مراحل اداری در مدیریت ریسک
مدیریت ریسک مجموعهای از فرآیندهایی است که برای شناسایی، ارزیابی، کنترل و نظارت بر ریسکها به منظور به حداقل رساندن تأثیر آنها بر یک سازمان طراحی شدهاند. در عمل، موفقیت مدیریت ریسک نه تنها با تجزیه و تحلیل فنی مانند محاسبات احتمال یا مدلهای تأثیر، بلکه با قدرت اداری نیز تعیین میشود: اینکه چگونه یک سازمان سیاستها را تدوین میکند، مراحل را مستند میکند، نقشها را تعیین میکند و پیگیری مداوم را تضمین میکند.
این مقاله مراحل اداری مربوط به مدیریت ریسک سیستماتیک را مورد بحث قرار میدهد. این مراحل را میتوان در انواع مختلف سازمانها - شرکتها، سازمانهای دولتی، مدارس، بیمارستانها و حتی سازمانهای غیرانتفاعی - به کار برد، زیرا مدیریت ریسک اساساً بر نظم فرآیند و پاسخگویی تأکید دارد.
۱. زمینه و اهداف مدیریت ریسک را مشخص کنید
اولین گام اداری، ایجاد زمینه است. سازمان باید دلیل مدیریت ریسک، دامنه آن و اهدافی را که به دنبال دستیابی به آنهاست، تعریف کند. این زمینه بسیار مهم است تا همه طرفها بدانند چه خطراتی وجود دارد و این فرآیند چه چیزی را ارائه میدهد.
از نظر اداری، نتایج این مرحله معمولاً در اسنادی مانند موارد زیر بیان میشود:
– بیانیه اهداف و دامنه مدیریت ریسک
– مرزهای فرآیند (واحدهای کاری، مکانها، پروژهها یا فعالیتهای خاص)
– معیارهای موفقیت و شاخصهای عملکرد مرتبط با ریسک
بدون یک زمینه مشخص، فرآیند مدیریت ریسک در معرض تبدیل شدن به یک چک لیست تشریفاتی است، نه یک ابزار تصمیم گیری.
۲. تدوین سیاستها و چارچوبهای ریسک
پس از تعیین اهداف، سازمان باید یک سیاست مدیریت ریسک تدوین کند. این سیاست به عنوان چتر اصلی عمل میکند که تمام رویههای فرعی را هدایت میکند. این سیاست همچنین تعهدات رهبری، فرهنگ ریسکی که باید ایجاد شود و اصولی که باید رعایت شوند را روشن میکند.
از نظر اداری، سیاستها و چارچوبهای ریسک معمولاً شامل موارد زیر هستند:
– اصول مدیریت ریسک (مثلاً احتیاط، شفافیت، پایداری)
– ساختار سازمانی و خطوط گزارش ریسک
– تعریف اصطلاحات و دستهبندیهای ریسک
– ارتباط سیاست ریسک با SOP یا سایر سیستمهای مدیریتی (کیفیت، K3، امنیت اطلاعات، ممیزی داخلی)
اسناد سیاستی باید به راحتی قابل دسترسی و انتشار باشند و به طور منظم مورد بررسی قرار گیرند تا مرتبط باقی بمانند.
۳. نقشها، مسئولیتها و اختیارات را تعیین کنید
مدیریت ریسک در صورتی مؤثر خواهد بود که نقش هر یک از طرفین مشخص باشد. سازمانها باید مشخص کنند که چه کسی مالک ریسک است، چه کسی آن را رصد میکند، چه کسی اقدامات کاهش ریسک را تأیید میکند و چه کسی گزارشدهی را تضمین میکند.
به طور کلی نقشهای تعیینشده شامل موارد زیر است:
– مدیریت ارشد: تعیین مسیر، تصویب سیاستها، تأمین منابع
– واحد یا دبیرخانه مدیریت ریسک: فرآیندها را هماهنگ میکند، گزارشها را تهیه میکند، ارزیابیها را تسهیل میکند
- مالک ریسک: طرفی که مستقیماً مسئول ریسکهای موجود در حوزه کاری خود است
– حسابرس داخلی/کمیته ریسک: بررسیهای مستقلی انجام میدهد و توصیههایی ارائه میدهد
این تصمیم باید در یک حکم، نمودار سازمانی، ماتریس RACI (مسئول، پاسخگو، مورد مشورت، مطلع) یا سایر اسناد حاکمیتی بیان شود.
۴. شناسایی ساختاریافته ریسک را انجام دهید
شناسایی ریسک فرآیند شناسایی رویدادها یا شرایطی است که میتوانند مانع دستیابی به اهداف شوند. از نظر مدیریتی، شناسایی باید با استفاده از یک روش ثابت انجام شود تا نتایج بین واحدها و دورهها قابل مقایسه باشد.
روشهای شناسایی رایج عبارتند از:
– طوفان فکری هدفمند با واحدهای کاری
– مصاحبهها و پرسشنامهها
- تحلیل فرآیندهای کسب و کار و SOP
- ارزیابی حوادث/شکایات رخ داده
- تحلیل محیط داخلی و خارجی
نتایج شناسایی باید در یک فهرست ریسک ثبت شود که شامل شرح ریسک، منبع ریسک، منطقه آسیبدیده و طرف مسئول باشد.
۵. ارزیابی ریسک: احتمال، تأثیر و سطح اولویت
پس از ثبت ریسکها، مرحله بعدی ارزیابی ریسک است. از نظر اداری، سازمانها باید معیارهای ارزیابی واضحی را تعریف کنند - برای مثال، مقیاس ۱ تا ۵ برای احتمال و تأثیر - تا از ذهنی بودن محض ارزیابی جلوگیری شود.
مدارکی که معمولاً در این مرحله تهیه میشوند عبارتند از:
– ماتریس ریسک
– معیارهای ریسک و تعریف هر سطح
– یادداشتهای ارزیابی ریسک برای هر مورد در فهرست ریسک
خروجی کلیدی، یک نقشه اولویتبندی است: کدام ریسکها باید فوراً مورد توجه قرار گیرند، کدامها قابل نظارت هستند و کدامها قابل قبول هستند.
۶. تعیین استراتژی برخورد با ریسک
مدیریت ریسک مجموعهای از تصمیمات و اقدامات برای کاهش احتمال یا تأثیر یا مدیریت پیامدها است. بهطورکلی، استراتژیهای مدیریت ریسک شامل موارد زیر است:
– اجتناب از ریسک: فعالیتهایی را که باعث ایجاد ریسک میشوند، متوقف کنید
– کاهش ریسک (کاهش): بهبود کنترلها، رویهها یا سیستمها
– انتقال ریسک: بیمه، برونسپاری یا قراردادهای خاص
– ریسک را بپذیرید (بپذیرید): با نظارت و برنامههای اضطراری بپذیرید
مدیریت خوب مستلزم آن است که هر تصمیم درمانی، همراه با منطق، هزینه، بازه زمانی و شخص مسئول، ثبت شود. این معمولاً در یک طرح درمان ریسک، که شامل بازههای زمانی، شاخصها و منابع مورد نیاز است، تشریح میشود.
۷. اسناد پشتیبان را گردآوری کنید و رویهها را استاندارد کنید
اغلب، کنترلهای ریسک نه به دلیل بد بودن ایده، بلکه به دلیل استاندارد نبودن آنها با شکست مواجه میشوند. بنابراین، سازمانها باید اطمینان حاصل کنند که اقدامات کاهش ریسک انتخاب شده به اسناد عملیاتی واضح تبدیل شدهاند.
نمونههایی از اسناد پشتیبان:
- روش استاندارد عملیاتی جدید یا روش استاندارد عملیاتی اصلاحشده
– دستورالعملهای کاری
- فرمهای بازرسی، چک لیستها و دفترچههای ثبت وقایع
- حداقل استانداردهای خدمات یا استانداردهای کیفیت
- شرایط قراردادی با اشخاص ثالث
این استانداردسازی کمک میکند تا اطمینان حاصل شود که کنترلهای ریسک وابسته به افراد نیستند، بلکه در سیستم تعبیه شدهاند.
۸. ارتباطات، اجتماعی شدن و آموزش
مدیریت ریسک همچنین شامل ارتباطات داخلی مؤثر است. ریسکها متعلق به یک بخش واحد نیستند؛ بسیاری از ریسکها بین بخشی هستند. بنابراین، نتایج شناسایی، اولویتبندی و برنامههای کاهش ریسک باید به طرفهای ذیربط ابلاغ شود.
فعالیتهای اداری رایج انجام شده:
- اجتماعیسازی سیاستها و رویههای ریسک
- آموزش استفاده از فهرستهای ریسک و ماتریسهای ارزیابی
- جلسات توجیهی منظم در مورد ریسکهای کلیدی سازمان
- اطلاعرسانی حادثه و درسهای آموختهشده
هدف، ایجاد فرهنگی آگاه از ریسک است، که در آن گزارش مشکلات به عنوان یک تلاش برای بهبود دیده شود، نه یک اشتباه که باید لاپوشانی شود.
۹. نظارت، ارزیابی و گزارشدهی دورهای
ریسک پویا است. بنابراین، مدیریت ریسک باید تحت نظارت باشد. این مرحله نیاز به مدیریت گزارشدهی کارآمد دارد: چه کسی، چه زمانی و با چه فرمتی گزارش میدهد.
نظارت ممکن است شامل موارد زیر باشد:
- وضعیت اجرای اقدامات کاهش خطر (تکمیل شده، در حال انجام، با تأخیر)
- تغییرات در سطح ریسک پس از اجرای کنترلها
– ظهور ریسکهای جدید به دلیل تغییرات در محیط یا پروژه
- روند حوادث، شکایات یا خرابیهای سیستم
گزارشدهی میتواند ماهانه، فصلی یا در صورت نیاز انجام شود. در حالت ایدهآل، گزارشها باید ریسکهای دارای اولویت، موانع، توصیهها و تصمیماتی را که رهبری باید اتخاذ کند، برجسته کنند.
۱۰. ممیزی، بررسی مدیریت و بهبود مستمر
گام نهایی، حصول اطمینان از بهبود مستمر سیستم کلی مدیریت ریسک است. ممیزیهای داخلی یا ارزیابیهای مستقل، به ارزیابی انطباق با سیاستها و اثربخشی کنترل کمک میکنند. علاوه بر این، بررسیهای مدیریتی، مشارکت رهبری در تصمیمات استراتژیک مرتبط با ریسک را تضمین میکند.
بهبود مستمر معمولاً توسط موارد زیر انجام میشود:
- تنظیم سیاستها و معیارهای ریسک
- بهبود فرآیند شناسایی و ارزیابی برای دقیقتر شدن
- ادغام مدیریت ریسک با برنامهریزی و بودجهبندی
– اتخاذ فناوری (داشبورد ریسک، سیستم گزارشدهی دیجیتال)
با این چرخه بهبود، مدیریت ریسک به عنوان یک سند متوقف نمیشود، بلکه به یک مکانیسم یادگیری سازمانی تبدیل میشود.
بستن
مراحل اداری در مدیریت ریسک، پایه و اساس یک فرآیند ریسک منسجم، پاسخگو و تأثیرگذار هستند. از ایجاد زمینه و تدوین سیاستها و تعیین نقشها گرفته تا نظارت و حسابرسی - همه به هم پیوسته هستند و نیاز به مستندسازی دقیق دارند.
سازمانهایی که مهارتهای مدیریت ریسک قوی دارند، برای مواجهه با عدم قطعیت آمادگی بهتری خواهند داشت، سریعتر به تغییرات پاسخ میدهند و بهتر میتوانند عملکرد پایدار خود را حفظ کنند. در نهایت، مدیریت ریسک صرفاً در مورد اجتناب از مشکلات نیست، بلکه در مورد ایجاد یک سیستم کاری بالغتر، ایمنتر و مقیاسپذیرتر است.
