RACI v IT bez nezmyslov: Ako nastaviť zodpovednosti a governance

RACI matica? Koniec sporov o zodpovednosť v IT

RACI matica je v IT často vnímaný ako „korporátna tabuľka“, ktorá skončí v šuplíku. Problém nie je v RACI. Problém je, že sa používa zle. Firmy si spravia maticu na 200 riadkov, doplnia mená ľudí, priradia všetkým všetko a výsledok je presný opak toho, čo chceli. Chaos zostane, iba dostane byrokratickú formu.

V IT governance je RACI praktická kontrola, ktorá rieši jednu vec. Kto má urobiť prácu, kto nesie zodpovednosť za výsledok, koho treba prizvať a koho informovať. Ak to nie je jasné, budete mať incidenty bez ownera, zmeny bez rozhodnutia a služby, ktoré „niekto nejako spravuje“.

RACI sa dá zaviesť aj bez veľkej reorganizácie. Odporúčam začať tam, kde máte najviac procesných problémov ktoré sa dotýkajú zodpovedností. Tento článok vás prevedie praktickým minimum, ktoré funguje.

Čo je RACI a prečo patrí do IT governance

RACI je skratka pre štyri typy zapojenia do aktivity alebo procesu:

RolaVýznam
R (Responsible)Vykoná prácu.
A (Accountable)Nesie zodpovednosť za výsledok a má posledné slovo.
C (Consulted)Dáva vstup, pripomienky, odborné stanovisko.
I (Informed)Dostáva informáciu o výsledku bez potreby diskutovať.

Z pohľadu governance je RACI spôsob, ako previesť decision rights a accountability do praxe. COBIT pracuje s princípom jasných zodpovedností a transparentnosti. ISO 38500 stavia na responsibility. Bez praktického rozdelenia rolí sa tieto princípy v realite rozpadnú na osobné dohody a dojmy.

RACI nie je dokument pre audit. Je to spôsob, ako zrýchliť rozhodovanie a odstrániť spory, ktoré vznikajú iba preto, že nie je jasné, kto má posledné slovo.

Ako spoznáte, že máte problém so zodpovednosťami

Tieto signály sa opakujú v mnohých firmách:

  • Incident sa rieši dlho, lebo nie je jasný owner a každý čaká na druhého.
  • Change sa odkladá, lebo nie je jasné, kto ho má schváliť.
  • Biznis eskaluje na konkrétneho človeka (na priamo), nie na správny proces.
  • Dodávateľ tlačí svoje riešenie, lebo z IT strany nie je jasné, kto je Accountable.
  • Po výpadku sa rieši vina, nie náprava, lebo zodpovednosti sú nejasné.

Ak sa vám to deje, RACI je presne ten doplnok k procesu, ktorý prinesie poriadok rýchlo.

Najčastejšie chyby, ktoré RACI maticu ničia

RACI na všetko: Ak spravíte RACI na desiatky procesov a stovky aktivít, nikto to nebude udržiavať. Matica má riešiť konfliktné miesta, nie byť encyklopédia.

RACI podľa mien, nie podľa rolí: Keď dáte do RACI mená, pri každej personálnej zmene sa dokument stáva neplatný. Matica má byť postavený na stabilných rolách.

Viac než jeden A: Toto je najčastejšia a najhoršia chyba. Ak má aktivita dvoch Accountable ľudí, v praxi nemá Accountable nikoho. Accountable musí byť len jeden.

R je všetci Ak je R „všetci“, nikto neberie úlohu ako svoju. Responsible musí byť konkrétna rola alebo tím.

RACI bez rozhodovacích pravidiel RACI popíše, kto je A. Ale ak nemáte jasné pravidlá, kedy A rozhoduje a na základe čoho, skončíte pri ad hoc dohadovaní.

Minimum, ktoré funguje: RACI iba pre tri procesy

Ak chcete efekt bez byrokracie, začnite iba tromi oblasťami. Presne tam vzniká najviac prevádzkových konfliktov:

  1. Incident Management
  2. Change Management
  3. Service Ownership

Tieto tri oblasti pokryjú väčšinu prevádzkovej reality a zároveň sa prirodzene napájajú na IT governance.
V IT Steering sa riešia priority, v Decision Logu sa zapisujú rozhodnutia, v RACI sa udrží poriadok v tom, kto čo robí.


RACI pre Incident Management

Cieľ: Incident sa musí riešiť rýchlo. Zodpovednosti musia byť jasné aj o druhej ráno. RACI tu nie je o formálnosti. Je to nástroj proti paralýze.

Minimálny RACI model: Toto je jednoduchý model, ktorý funguje v praxi. Roly si prispôsobte podľa svojho service modelu.

AktivitaRACI
Triáž a založenie incidentuL1 / Service DeskService Desk LeadL2 podľa potrebyService Owner
Diagnostika a riešenieL2 / L3 tímL2 Lead alebo L3 OwnerVendor podľa potrebyService Owner
Eskalácia major incidentuIncident ManagerService OwnerBiznis OwnerManagement
Komunikácia smerom vonService OwnerIT DirectorLegal podľa potrebyStakeholders
Post incident reviewIncident ManagerService OwnerL2 a SecurityIT Steering

Najdôležitejšie sú dve veci. Pri major incidente musí byť jasné, kto ho vedie. A musí byť jasné, kto má posledné slovo pri rozhodnutiach typu rollback alebo obmedzenie služby.

RACI pre Change Management

Cieľ

Change management je kontrola rizika. RACI má zabezpečiť, že zmena má ownera, je posúdená a je dohľadateľné, kto ju schválil.

Poznámka k CAB. CAB je typicky advisory orgán. V praxi preto dáva zmysel mať CAB ako Consulted a mať jasne definované, kto je Accountable za schválenie.

Minimálny RACI model

AktivitaRACI
Návrh zmeny a ticketEngineer / TímChange ManagerService Owner podľa potrebyService Owner
Posúdenie dopadovService OwnerChange ManagerSecurity, Infra, App tímyStakeholders
Schválenie normal changeChange ManagerChange ManagerCAB, Service OwnerIT Steering pri veľkých zmenách
Standard changeEngineer / TímChange ManagerService Owner podľa potrebyService Owner
Emergency changeOn call tímService OwnerChange ManagerIncident Manager, Stakeholders
Verifikácia po zmene a uzavretieVykonávajúci tímService OwnerChange ManagerStakeholders podľa potreby

Tu platí pravidlo. Ak je zmena riziková, Accountable má byť rola, ktorá nesie zodpovednosť za službu, nie iba za technický komponent.

RACI pre Service Ownership

Cieľ

Ak nemáte Service Ownera, nemáte riadenú službu. Máte len technickú prevádzku. RACI pre service ownership je základ pre SLA, reporting a stabilitu.

Minimálny RACI model

AktivitaRACI
Definícia služby a jej hranícService OwnerIT DirectorBiznis OwnerStakeholders
SLA ciele a reportingService OwnerIT DirectorOps LeadIT Steering
Roadmap a priorityProduct OwnerBiznis OwnerService OwnerIT
Riziko a výnimkySecurityService OwnerIT DirectorAudit
Vendor management pri službeService OwnerIT Director alebo Vendor OwnerProcurementIT Steering

Toto rozdelenie zabráni najčastejšiemu problému. Že incidenty rieši IT, ale nikto nerieši kvalitu a rozvoj služby ako celku.

Self check: Máte RACI, alebo len tabuľku?

Skúste si pravdivo odpovedať na tieto otázky:

  • Je pre incident jasný jeden owner, ktorý riadi major incident?
  • Je pri risky change jasné, kto má posledné slovo?
  • Má každá kritická služba jedného Service Ownera?
  • Viete povedať, kto je Accountable za SLA výsledok?
  • Viete dohľadať, kto schválil výnimku alebo risk acceptance?

Ak na tieto otázky neviete odpovedať, RACI vám chýba alebo je nefunkčné.


Záver: RACI zrýchľuje rozhodovanie a znižuje spory

RACI funguje vtedy, keď je malé, zrozumiteľné a priamo použiteľné v prevádzke. Ak ho obmedzíte na tri kľúčové procesy a dodržíte pravidlo jedného A, prestanú sa opakovať rovnaké spory a IT sa zrýchli bez toho, aby stratilo kontrolu.

Ako prvé je potrebné vybrať incident management, change management a service ownership, pomenovať roly a spísať jednu jednoduchú maticu. Ak sa zaseknete na otázke „kto má posledné slovo“, nie je to problém RACI. Je to chýbajúce rozhodnutie o decision rights. To patrí na IT Steering a výsledok má byť zapísaný v Decision Logu.

Picture of Ján Kratka

Ján Kratka

20+ rokov skúseností v enterprise IT ako manažér, architekt aj auditor. LinkedIn | jankratka.com

Mohlo by vás tiež zaujímať

Vybrané články z rovnakej tematickej oblasti pre hlbšie pochopenie súvislostí.

Kybernetický útok na cloudovú infraštruktúru Europa.eu →

Útok, za ktorý prevzali zodpovednosť kyberzločinecké skupiny TeamPCP a ShinyHunters, viedol k úniku dát v odhadovanom objeme 350 GB. Interné systémy Komisie zasiahnuté neboli.

Rumunsko čelí masívnym hybridným hrozbám a kyberútokom →

Rumunské štátne inštitúcie a strategická infraštruktúra zaznamenávajú systematický nárast kybernetických incidentov. Ministerstvo obrany v apríli 2026 potvrdilo, že vládne systémy čelia viac ako 10 000 kybernetickým útokom denne.

Kritické zraniteľnosti v Citrix NetScaler vyžadujú okamžitú aktualizáciu →

Spoločnosť Citrix vydala koncom marca 2026 bezpečnostné varovanie týkajúce sa dvoch závažných zraniteľností v produktoch NetScaler ADC a NetScaler Gateway.

Americká kyberagentúra CISA je v rozklade — 60 % zamestnancov na nútenom voľne, hrozby rastú →

Americká Agentúra pre kybernetickú bezpečnosť a bezpečnosť infraštruktúry (CISA) — hlavná federálna inštitúcia zodpovedná za kybernetickú obranu USA — je v najvážnejšej kríze od svojho vzniku.

Ransomvér Medusa zasiahol nemocnicu aj miestnu správu — žiadal 800 000 dolárov za každý cieľ →

Ransomvérová skupina Medusa si v marci 2026 pripísala dva veľké útoky na kritickú infraštruktúru v USA.

EÚ zakázala aplikácie na tvorbu deepfake nahých fotiek — nové pravidlá platia okamžite →

Európska komisia tento týždeň oznámila zákaz AI aplikácií na generovanie falošných nahých fotografií. Opatrenie nadväzuje na AI Act a je priamou reakciou na narastajúci počet prípadov zneužívania deepfake technológie, ktorá sa v posledných rokoch stala nástrojom kyberšikany, vydierania a sextorzie — často aj voči maloletým osobám.

USA: nový AI Fraud Accountability Act a rastúce napätie okolo regulácie AI →

V americkom Kongrese bol predstavený bipartízny zákon AI Fraud Accountability Act, ktorý vytvára nový trestný čin podľa Communications Act – zakazuje používanie vysoko realistických AI-generovaných hlasových klonov a deepfake videí s úmyslom podviesť ľudí o peniaze. 

INTERPOL zlikvidoval 45 000 škodlivých serverov v globálnej operácii →

Medzinárodná operácia koordinovaná INTERPOLom naprieč 72 krajinami vyradila z prevádzky 45 000 škodlivých IP adries a serverov napojených na phishingové, malvérové a ransomvérové ekosystémy, pričom bolo zatknutých 94 osôb. 

Masívny supply-chain útok na open-source bezpečnostné nástroje →

Skupina TeamPCP kompromitovala Trivy – populárny open-source skener zraniteľností od Aqua Security – a injektovala doň malvér kradúci prihlasovacie údaje. 

Chrome rozšírenie QuickLens bolo kompromitované a kradlo kryptomeny →

QuickLens – Search Screen with Google Lens bolo rozšírenie pre Chrome prehliadač ktoré umožňovalo vyhľadávanie obsahu obrazovky cez Google Lens. Google ho odstránil z Chrome Web Store koncom februára 2026 po tom, čo sa zistilo že bolo kompromitované.

Severokórejská skupina ScarCruft útočí cez Zoho a USB médiá →

ScarCruft je severokórejská APT skupina známa kybernetickou špionážou. Detaily o jej najnovšej kampani zverejnil Zscaler ThreatLabz vo februári 2026.

Eurail, predajca Interrail a Eurail lístkov, rieši únik dát. Dáta sa objavili na dark webe →

Firma zverejnila, že pri prieniku došlo k neoprávnenému prístupu k databáze zákazníkov a časť dát bola aj ukradnutá. Eurail následne potvrdil, že údaje boli ponúknuté na predaj na dark webe a vzorka sa objavila aj na Telegrame.  

NIST certifikoval prvý komerčný HSM modul s plnou podporou štandardu ML-KEM (FIPS 203) →

Toto zariadenie predstavuje prvý certifikovaný hardvérový prvok na trhu, ktorý v plnej miere spĺňa požiadavky normy FIPS 203 pre generovanie a bezpečnú správu mriežkových kryptografických kľúčov v post-kvantovej ére.

ENISA zverejnila technické usmernenia pre oznamovacie povinnosti podľa Aktu o kybernetickej odolnosti (CRA) →

Dokument špecifikuje presnú štruktúru dát pre „počiatočné oznámenie“ aktívne zneužívaných zraniteľností, ktoré musia výrobcovia podať príslušným orgánom do 24 hodín od ich zistenia.

Gartner a NIST definujú nové riziká: AI agenti ako hrozba pre infraštruktúru →

Gartner vo svojej najnovšej predikcii varoval, že do roku 2028 bude významná časť výpadkov kritickej infraštruktúry v krajinách G20 spôsobená chybne konfigurovanou AI, nie priamym hackerským útokom.

CISA aktualizovala KEV katalóg: Kritické chyby v SolarWinds a Notepad++ sú aktívne zneužívané →

Americká agentúra pre kybernetickú bezpečnosť a infraštruktúru (CISA) dňa 12. februára 2026 rozšírila svoj katalóg známych zneužívaných zraniteľností (KEV) o štyri nové položky. Tento krok je priamym signálom pre IT manažérov, že na dané systémy prebiehajú aktívne útoky v reálnom prostredí a vyžadujú si okamžitú nápravu.

Microsoft Patch Tuesday: Oprava 78 chýb vrátane kritickej zraniteľnosti RDP a piatich zero-day hrozieb →

Spoločnosť Microsoft včera v rámci pravidelného februárového cyklu „Patch Tuesday“ vydala bezpečnostné aktualizácie, ktoré riešia celkovo 78 zraniteľností naprieč ekosystémom Windows, Office a Azure. Kritickú pozornosť si vyžaduje fakt, že až päť z týchto chýb je klasifikovaných ako zero-day, čo potvrdzuje ich aktívne zneužívanie hackerskými skupinami ešte pred vydaním oficiálnej opravy.

„Broken Pipes“: Nová metóda exfiltrácie dát z prostredia Azure →

Bezpečnostní analytici odhalili v úvode februára 2026 sofistikovanú kampaň zameranú na cloudovú infraštruktúru Azure.

Ransomvér Polymorph: Príchod plne autonómneho škodlivého kódu →

Na rozdiel od doterajších verzií nevyužíva statické príkazy z riadiaceho servera (C2), ale disponuje integrovaným lokálnym AI modelom určeným na autonómnu modifikáciu vlastného kódu.

Deepfake útok na sieť SWIFT: Hlasová biometria pod paľbou AI →

Útočníci úspešne zrealizovali neautorizovaný prevod vysokého objemu finančných prostriedkov cez sieť SWIFT s využitím hlasového deepfake modelu v reálnom čase.

Kritická chyba v GNU Telnetd umožňuje okamžitý root prístup →

Bezpečnostní výskumníci odhalili 11 rokov starú kritickú zraniteľnosť v balíku GNU InetUtils telnetd, ktorá umožňuje neautentifikovaným útočníkom získať okamžitý root prístup k serveru.

Notepad++ pod paľbou: Čínska skupina APT31 pol roka zneužívala aktualizačný proces →

Populárny textový editor Notepad++, ktorý je štandardom pre milióny vývojárov a IT administrátorov, sa stal obeťou sofistikovaného útoku na dodávateľský reťazec (supply chain attack).