أساسيات إدارة المخاطر

يعتبر الخطر واحدًا من أهم المفاهيم الأساسية التي ستواجهها كل منظّمة. وفي حين أن هناك تعريفات عديدة للخطر، إلا أن معيار ISO 31000 يعرِّف الخطر بأنه تأثير حدث غير مُؤكَّد على الأهداف. وينص المعيار على أن المنظّمات من جميع الأنواع والأحجام تتأثَّر بعوامل داخلية وخارجية تؤثِّر في أهدافها. ويُعرف هذا التأثير باسم الخطر، ويمكن أن يكون الخطر شيئًا يضر بالمنظّمة أو فرصة لتحقيق مزيد من التطوّر.

ووفقًا لمعيار ISO 31000، يتألَّف الخطر من مصدره، والضرر المُحتمل الذي يمكن أن يتسبَّب فيه، واحتمالية وقوع الأحداث المُحدَّدة والعواقب المترتبة على تلك الأحداث. وفي بيئة الأمن السيبراني، يمكن أن يكون المصدر برنامج قديم يحتوي على ثغرات. ويمكن اعتبار المُتسلِّل الذي يستغل البرنامج القديم بأنه الحدث. وإذا كنا نتحدَّث عن برنامج مهم، فتكون احتمالية الوقوع مرتفعة، حيث إن المهاجمين سيسعون للحصول على مكاسب مالية من خلال استغلال تلك الثغرة. ويمكن أن تكون العواقب خسائر مالية ضخمة وتضرر سمعة المنظّمة، وخصوصًا في حالة تسريب بيانات المستهلكين الشخصية.

كيف يُصنَّف الخطر؟

يصنِّف روبرت إس. كابلان وأنيت ميكيس الخطر في ثلاثة مستويات مختلفة: الخطر الذي يمكن منعه، والخطر الاستراتيجي، والخطر الخارجي:

الخطر الذي يمكن منعه

ينشأ هذا النوع من المخاطر من داخل المنظّمة، سواء بسبب سلوكيات الموظَّفين، أو العمليات الداخلية، أو الأنظمة. وتشمل بعض الأمثلة أمورًا من بينها الاحتيال من جانب الموظَّفين، والأنشطة غير القانونية وغير الأخلاقية، والفساد. وأفضل طريقة للتعامل مع هذا النوع من المخاطر هي من خلال المراقبة المستمرة، وأنظمة الاختيار الدقيقة عند استقطاب الموظَّفين الجدد، والإدارة الفعّالة للأداء. ومن الأمثلة على الخطر الذي يمكن منعه سرقة موظَّف لمنتجات من المنظّمة وبيعه إياها على الإنترنت.

الخطر الاستراتيجي

الخطر الاستراتيجي هو الخطر التي تُقبِل عليه المنظّمة بشكلٍ مُتعمَّد لكي تخلق قيمة. ولا يكون هذا النوع من المخاطر سيئًا بطبيعته، بل يكون ضروريًا لخلق ميزة تنافسية في السوق الحالية. والعامل الأهم في الإقبال على المخاطر الاستراتيجية هو إجراء بحوث شاملة في السوق وإيجاد التوازن السليم بين الخطر والمكسب. ومقدار المخاطر الاستراتيجية التي تُقبِل عليها المنظّمة يعتمد اعتمادًا كبيرًا على درجة تقبّلها أو تحمّلها للمخاطر. ومن الأمثلة على الخطر الاستراتيجي توسّع المنظّمة إلى دولة جديدة حينما تكون غير متأكدة من مقدار الطلب على خدماتها في تلك السوق.

الخطر الخارجي

ينشأ الخطر الخارجي من خارج المنظّمة. ولا يمكن منع هذا النوع من المخاطر بالكامل، ولكن يمكن تخفيفه من خلال تخطيط القدرة على التكيف والصمود، وعمليات النسخ الاحتياطي المُتكرِّر، والتأمين، والمرونة. ويمكن أن تشمل المخاطر الخارجية أمورًا من بينها الكوارث الطبيعية، والأزمات السياسية، والأزمات الاقتصادية، والتغييرات التنظيمية المفاجئة.

كيف يمكن إدارة المخاطر وفقًا لمعيار ISO 31000؟

تحتاج المنظّمات إلى إطار مُوحَّد لإدارة المجموعة المُتنوِّعة من المخاطر التي تواجهها. وهنا يأتي دور معيار ISO 31000، فهو يوفِّر مبادئ وإرشادات يمكن للمنظّمات اتباعها لإدارة المخاطر بفعالية، مما يمكِّنها من خلق القيمة وحماية نفسها. وفي حين أنه لا ينص على طرق مُحدَّدة لإدارة المخاطر، إلا أنه يوفِّر إطارًا يمكن أن تتبنَّاه جميع المنظّمات، بصرف النظر عن نوعها أو حجمها.

ووفقًا لمعيار ISO 31000، فينبغي أن تكون إدارة المخاطر:

• مُدمجة – مُدمجة في المنظّمة بأكملها
• مُنظَّمة وشاملة – مُنظَّمة بشكلٍ شامل بحيث تضع في الحسبان كل عملية من عمليات المنظّمة
• مُخصَّصة – مُخصَّصة وفقًا لاحتياجات المنظّمة
• شمولية – تشمل جميع الأطراف المعنية المناسبة
• ديناميكية – تتطوَّر دائمًا وفقًا لمختلف المخاطر والتغييرات التنظيمية
• أفضل المعلومات المتاحة – تستند إلى أحدث المعلومات الموثوقة
• العوامل البشرية والثقافية – تراعي التأثير البشري والثقافي
• التحسين المستمر – تُحسَّن باستمرار بناءً على الخبرات السابقة

ويوفِّر المعيار إطارًا وعملية لإدارة المخاطر يمكن لجميع المنظّمات اتباعها لكي تخلق القيمة وتظل محمية.

كيف يمكن أن تساعدكم PECB في إدارة المخاطر

هنا في PECB، نحن نولي أهمية قصوى لإدارة المخاطر باعتبارها الركيزة الأساسية لكل مؤسَّسة تجارية ناجحة. ومن خلال الدورات التدريبية والشهادات المُعترف بها عالميًا لدينا، نحن نزوِّد الأفراد بمجموعة المهارات اللازمة لترسيخ العمليات الناجحة لإدارة المخاطر في أي منظّمة.

وفيما يلي الدورات التدريبية لمعيار ISO 31000 لدينا:

• ISO 31000 Foundation
• ISO 31000 Risk Manager
• ISO 31000 Lead Risk Manager