مدیریت ریسک
مقصود و مزایا
مقصود از ارزیابی ریسک، ارائه اطلاعات بر پایه شواهد و تحلیل برای اتخاذ تصمیمات آگاهانه در مورد نحوه برخورد با ریسک‌های خاص و نحوه انتخاب بین گزینه‌ها است. برخی از مزایای اصلی اجرای ارزیابی ریسک شامل موارد زیر است.
- درک ریسک و پیامد بالقوه آن بر اهداف
- ارائه اطلاعات به تصمیم گیرندگان
- کمک به درک ریسک‌ها به منظور کمک در انتخاب گزینه‌های برخورد با ریسک
- شناسایی عوامل مهم شرکت کننده در ریسک‌ها و پیوندهای ضعیف در سیستم‌ها و سازمان‌ها
- مقایسه ریسک‌ها در سیستم‌ها، تکنولوژی ها یا رویکردهای مختلف
- تبادل اطلاعات مربوط به ریسک ها و عدم قطعیت‌ها
کمک در ایجاد اولویت‌ها
- کمک در جهت جلوگیری از رویداد بر اساس تحقیق و تفحص پس از رویداد
- انتخاب اشکال مختلف برخورد با ریسک
- برآورده ساختن الزامات نظارتی
- ارائه اطلاعاتی که به سنجش این امر کمک می‌کند که آیا ریسک بایستی در هنگام مقایسه با معیارهای از قبل تعریف شده‌ای، پذیرفته شود
- ارزیابی ریسک‌ها برای وارهایی در پایان عمر.
ارزیابی ریسک و چارچوب مدیریت ریسک
فرض این استاندارد بر این است که ارزیابی ریسک درون چارچوب و فرآیند مدیریت ریسک توصیف شده در استاندارد ISO ۳۱۰۰۰ اجرا می‌شود. چارچوب مدیریت ریسک خط مشی‌ها، روش‌های اجرایی و توافقات سازمانی را ارائه می‌دهد که در کل سازمان و در تمام سطوح مدیریت ریسک تعبیه می‌شوند. سازمان به عنوان قسمتی از این چارچوب بایستی خط مشی یا راهبردی داشته باشد تا تصمیم بگیرد که ریسک‌ها در چه زمانی و چگونه بایستی ارزیابی شوند.
به ویژه افرادی که ارزیابی‌های ریسک را انجام می‌دهند، بایستی در خصوص موارد زیر مطمئن باشند.
- فضای سازمانی و اهداف آن
- میزان و نوع ریسک‌هایی که قابل تحمل هستند و نحوه برخورد با ریسک‌های غیر قابل قبول
- نحوه انسجام ارزیابی ریسک با فرآیندهای سازمانی
- روش‌ها و تکنیک‌های مورد استفاده برای ارزیابی ریسک و کمک آنها به فرآیند مدیریت ریسک
- پاسخگویی، مسئولیت و اختیار برای اجرای ارزیابی ریسک
- منابع موجود برای انجام ارزیابی ریسک
نحوه گزارش دهی و بازنگری ارزیابی ریسک
ارزیابی ریسک و فرآیند مدیریت ریسک
ارزیابی ریسک دربردارنده عناصر هسته‌ای فرآیند مدیریت ریسک است که در ISO ۳۱۰۰۰ تعریف شده‌اند و شامل عناصر زیر هستند.
- تبادل اطلاعات و مشاوره
- برقراری فضا
- ارزیابی ریسک (شامل شناسایی ریسک، تحلیل ریسک و سنجش ریسک)
- برخورد با ریسک
- پایش و بازنگری
ارزیابی ریسک فعالیتی مستقل نیست و بایستی کاملاً با دیگر اجزاء در فرآیند مدیریت ریسک وحدت داشته باشد.
تبادل اطلاعات و مشاوره
یک ارزیابی ریسک موفقت آمیز، به تبادل اطلاعات و مشاوره اثربخش با علاقمندان وابسته است. دخالت دادن علاقمندان در فرآیند مدیریت ریسک در موارد زیر کمک می‌کند.
- تکوین یک طرح تبادل اطلاعات
- تعریف فضا به طور مناسب
- حصول اطمینان از این که منافع علاقمندان درک شده و در نظر گرفته می‌شوند
- گرد هم آوردن حوزه‌های مختلف تخصصی برای شناسایی و تحلیل ریسک
- حصول اطمینان از این که نظرات مختلف در سنجش ریسک‌ها به طور مناسب در نظر گرفته می‌شوند
- حصول اطمینان از این که ریسک‌ها به نحو مناسب شناسایی می‌شوند
- تامین پشتیبانی و حمایت برای طرح برخورد
علاقمندان بایستی به وساطت بین فرآیند ارزیابی ریسک با دیگر رشته‌های مدیریتی از جمله مدیریت تغییر،مدیریت پروژه و برنامه و همچنین مدیریت مالی کمک کنند.
برقراری فضا
برقراری فضا، پارامترهای اساسی را برای مدیریت ریسک تعریف می‌کند و دامنه و معیارها را برای بقیه فرآیند تنظیم می‌نماید. برقراری فضا شامل در نظر گرفتن پارامترهای داخلی و خارجی مرتبط با کل سازمان و همچنین پس زمینه ریسک‌های خاصی است که مورد ارزیابی قرار گرفته‌اند. در برقراری فضا، اهداف ارزیابی ریسک، معیارهای ریسک و برنامه ارزیابی ریسک تعیین شده و مورد توافق قرار می‌گیرند. برای یک ارزیابی ریسک خاص، برقراری فضا بایستی شامل تعریف فضای مدیریت ریسک خارجی و داخلی و طبقه بندی معیارهای ریسک شود.
الف) برقراری فضای خارجی شامل آشنا شدن با محیطی است که سازمان و سیستم در آن کار می‌کند، از جمله:
- عوامل محیط فرهنگی، سیاسی، قانونی، نظارتی، مالی، اقتصادی و رقابتی، چه بین المللی باشند و چه ملی، منطقه‌ای یا محلی
- محرک‌ها و روندهای کلیدی که پیامدهایی بر اهداف سازمان دارند
- ادراک و ارزش‌های علاقمندان خارجی
ب) برقراری فضای داخلی شامل درک موارد زیر است.
- توانمندی‌های سازمان از نظر منابع و دانش
- جریان‌های اطلاعات و فرآیندهای تصمیم گیری
- علاقمندان داخلی
- اهداف و راهبردهایی که برای دستیابی به اهداف دخیل هستند
- ادراک، ارزش‌ها و فرهنگ
- خط مشی‌ها و فرآیندها
- استانداردها و مدل‌های مرجعی که سازمان اتخاذ نموده است
- ساختارها (مثلاً حکمرانی، نقش‌ها و پاسخگویی‌ها)
پ) برقراری فضای فرآیند مدیریت ریسک شامل موارد زیر است.
- تعریف پاسخگویی‌ها و مسئولیت‌ها.
- تعریف گستره‌ی فعالیت‌های مدیریت ریسک که قرار است انجام شوند، از جمله شمول‌ها و حذف‌های خاص
- تعریف گستره‌ی پروژه، فرآیند، وظیفه یا فعالیت از نظر زمان و مکان
- تعریف روابط بین پروژه یا فعالیتی خاص و دیگر پروژه‌ها و فعالیت‌های سازمان
- تعریف متدولوژی‌های ارزیابی ریسک
- تعریف معیارهای ریسک
- تعریف نحوه سنجش عملکرد مدیریت ریسک
- شناسایی و مشخص کردن تصمیمات و اقداماتی که باید صورت گیرند
- شناسایی مطالعات مورد نیاز برای تعیین حوزه یا چارچوب، وسعت آنها، اهدافشان و همچنین منابع مورد نیاز برای چنین مطالعاتی.
ت) تعریف معیارهای ریسک شامل تصمیم گیری درباره‌ی موارد زیر است.
- ماهیت و انواع عواقبی که قرار است گنجانده شوند و نحوه اندازه گیری آنها
- نحوه بیان احتمالات
- نحوه تعیین سطح ریسک
- معیارهایی که مطابق با آنها در خصوص زمان برخورد با ریسک تصمیمگیری می‌شود
- معیارهایی برای تصمیم گیری در این مورد که یک ریسک در چه صورت قابل قبول و یا قابل تحمل است.
- آیا ترکیب ریسک‌ها در نظر گرفته می‌شود و در این صورت چگونه.
معیارها می‌توانند بر اساس منابعی چون موارد زیر باشند.
- اهداف فرآیند مورد توافق
- معیارهای شناسایی شده توسط مشخصات
- منابع کلی داده‌ها
- معیارهای عموما پذیرفته شده در صنعت مانند سطوح انسجام ایمنی تمایل و رغبت سازمان به ریسکپذیری
الزامات قانونی و دیگر الزامات برای تجهیزات یا کاربردهای خاص
ارزیابی ریسک
ارزیابی ریسک فرآیند کلی شناسایی، تحلیل و سنجش ریسک است. ریسک‌ها را می‌توان در سطح سازمانی، در سطح شعبه‌ای، برای پروژه‌ها، فعالیت‌های منفرد یا ریسک‌های خاص ارزیابی نمود. ابزارها و تکنیک‌های مختلفی ممکن است در فضاهای مختلف، مناسب باشند. ارزیابی ریسک درکی از ریسک‌ها، دلایل آنها، عواقب و احتمالات آنها را فراهم می‌سازد. این امر یک ورودی به تصمیمگیری در مورد مسائل زیر است.
- آیا فعالیتی بایستی انجام گیرد.
- نحوه به حداکثر رساندن فرصت‌ها
- آیا نیاز است که با ریسک‌ها برخورد شود
- انتخاب بین گزینه‌هایی با ریسک‌های مختلف
- تعیین اولویت گزینه‌های برخورد با ریسک
- انتخاب مناسب‌ترین راهبردهای برخورد با ریسک که ریسک‌های نامطلوب را به سطحی قابل تحمل می‌رساند.
برخورد با ریسک
با به اتمام رساندن ارزیابی ریسک، برخورد با ریسک طراحی می‌شود. برخورد با ریسک شامل انتخاب و موافقت با یک یا چند گزینه مرتبط برای تغییر احتمال رویداد، تاثیر ریسک‌ها، یا هر دو و پیاده سازی این گزینه‌ها، است.
پس از آن فرآیند گردشی باز ارزیابی سطح جدید ریسک، با نگاهی به تعیین قابلیت تحمل آن طبق معیارهای از پیش تنظیم شده، انجام می‌گیرد. این امر به منظور تصمیم گیری در مورد این که آیا برخورد بیشتری مورد نیاز است یا خیر، صورت می‌پذیرد.
پایش و بازنگری
ریسک‌ها و کنترل‌ها، به عنوان قسمتی از فرآیند مدیریت ریسک، بایستی بر مبنایی منظم مورد پایش و بازنگری قرار گیرند تا موارد زیر را تصدیق نمایند.
- مفروضات در مورد ریسک‌ها معتبر می‌مانند.
- مفروضات که ارزیابی ریسک بر اساس آنها صورت می‌گیرد، از جمله فضای خارجی و داخلی، معتبر باقی می‌مانند.
- نتایج مورد انتظار کسب می‌شوند.
- نتایج ارزیابی ریسک مطابق با تجربه واقعی هستند.
- تکنیک‌های ارزیابی ریسک به طور مناسب به کار می‌روند.
- برخورد با ریسک‌ها اثربخش هستند.
- تعهد و پاسخگویی برای پایش و اجرای بازنگری‌ها بایستی برقرار شوند.