يساعد إطار ERM المنظمات على إدارة المخاطر كجزء من الاستراتيجية، والأداء، والحوكمة، واتخاذ القرارات اليومية. ومن دونه، تصبح إدارة المخاطر غالبًا مجزأة: فريق يملك سجل المخاطر، وآخر يتتبع الحوادث، وآخر يدير الضوابط، وتتلقى القيادة العليا تقارير لا تُظهر التعرض الكامل.
وهذا التجزؤ يضر باتخاذ القرار.
يمنح إطار إدارة المخاطر المؤسسية القوي المنظمة طريقة منظمة لتحديد المخاطر، وتقييم التعرض، وتحديد قابلية المخاطر، وإسناد الملكية، ومعالجة المخاطر، ومراقبة التغيرات، ورفع ما يهم إلى مجلس الإدارة والإدارة العليا.
بالنسبة للمنظمات السعودية، تزداد أهمية ERM مع إدارة الأعمال للنمو، والتنظيم، والأمن السيبراني، وحماية البيانات، والاعتماد على الأطراف الخارجية، والضغوط المالية، والتحول التشغيلي. الهدف ليس تجنب كل خطر. بل فهم المخاطر بوضوح كافٍ لاتخاذ قرارات أفضل وحماية أهداف الأعمال.
تقييم ممارسات إدارة المخاطر الحالية وتحديد فجوات ERM
الخطوة الأولى في تطبيق ERM هي فهم ما هو موجود بالفعل.
لا تبدأ معظم المنظمات من الصفر. فقد تكون لديها بالفعل سياسات مخاطر، وضوابط داخلية، ومراجعات امتثال، وتقارير تدقيق، وعمليات أمن سيبراني، وتقييمات مورّدين، وضوابط مالية، وسجلات حوادث، وتقارير لمجلس الإدارة. لكن المشكلة أن هذه الأنشطة تعمل غالبًا بشكل منفصل.
يجب أن يراجع تقييم الفجوات المناسب نهج إدارة المخاطر الحالي مقارنةً بأهداف المنظمة، ونموذجها التشغيلي، وتعرضها التنظيمي، وهيكل الحوكمة، واحتياجات اتخاذ القرار. ويجب أن يحدد أين تكون أنشطة المخاطر قوية، وأين تكون مكررة، وأين تفشل في دعم القيادة.
يربط إطار COSO لإدارة المخاطر المؤسسية بين ERM والاستراتيجية والأداء، وهو تذكير مفيد بأن إدارة المخاطر لا ينبغي أن تبقى خارج تخطيط الأعمال. فإذا كانت العملية الحالية لا تنتج إلا سجلًا للتقارير، فهي لا تدعم بعد اتخاذ القرار على مستوى المؤسسة.
تشمل فجوات ERM الشائعة معايير تصنيف غير متسقة، وضوابط قديمة، وملكية غير واضحة، وتقارير مخاطر ضعيفة، ومسارات تصعيد مفقودة، وسجلات مخاطر لا تعكس الواقع التشغيلي. كما تفشل بعض المنظمات في ربط إدارة المخاطر بالامتثال، والتدقيق الداخلي، والأمن السيبراني، والمشتريات، والمالية، والتخطيط الاستراتيجي.
يجب أن يطرح التقييم أسئلة مباشرة. هل فئات المخاطر معرفة بشكل متسق؟ هل ملاك المخاطر محددون بالاسم؟ هل الضوابط مختبرة؟ هل تُتبع خطط المعالجة؟ هل تُصعّد المخاطر العالية؟ هل يتلقى مجلس الإدارة معلومات مخاطر ذات معنى؟ هل تفهم وحدات الأعمال دورها؟
تخلق هذه المرحلة خط الأساس. ومن دونها، قد تعالج خارطة طريق ERM المشكلة الخطأ.
تأمين دعم مجلس الإدارة والإدارة العليا لـ ERM
لا يمكن أن تنجح ERM كمشروع تابع لقسم المخاطر فقط.
دعم مجلس الإدارة والإدارة العليا ضروري لأن المخاطر المؤسسية تؤثر في الاستراتيجية، والموارد، والأداء، والسمعة، والمرونة طويلة الأجل. وإذا لم تستخدم القيادة معلومات المخاطر في القرارات، فسيتعامل الموظفون مع ERM كعمل إداري.
دور مجلس الإدارة هو الرقابة. يجب أن يفهم المخاطر الرئيسية للمنظمة، وأن يعتمد أو يتحدى قابلية المخاطر، وأن يراجع تقارير المخاطر، وأن يسأل ما إذا كانت الإدارة تعالج التعرضات الجوهرية بالشكل المناسب. أما دور الإدارة العليا فهو التنفيذ. يجب أن تخصص الموارد، وتسند المساءلة، وتحدد التوقعات، وتتأكد من دمج إدارة المخاطر عبر وحدات الأعمال.
تدعم توقعات الحوكمة السعودية أيضًا رقابة أقوى على المخاطر. تناقش لوائح حوكمة الشركات الصادرة عن هيئة السوق المالية مسؤوليات لجنة إدارة المخاطر، مثل وضع سياسات شاملة لإدارة المخاطر، ومراقبة تطبيقها، وتحديد مستويات المخاطر المقبولة، ومراجعة أنظمة المخاطر، ورفع تقارير التعرض للمخاطر إلى مجلس الإدارة.
هذا مهم لأن ERM تحتاج إلى سلطة واضحة. فإذا تعامل كبار القادة مع مناقشات المخاطر كأمر اختياري، سيؤخر ملاك المخاطر التحديثات. وإذا تلقت اللجان تقارير دون تحدي الضوابط الضعيفة، فسيفقد الإطار مصداقيته. وإذا لم تُوفر الموارد، فستبقى خطط المعالجة مفتوحة.
يجب أن يظهر التزام القيادة في اعتماد السياسات، وجداول أعمال اللجان، ومراجعات الأداء، وقرارات الميزانية، وتقارير الإدارة، وتواصل الموظفين. تصبح ERM أقوى عندما توضح القيادة أن القرارات الواعية بالمخاطر جزء من طريقة عمل المنظمة.
تحديد نطاق إطار ERM وأهدافه وقابلية المخاطر
بعد تأمين دعم القيادة، يجب على المنظمة تحديد نطاق إطار ERM وأهدافه.
يحدد النطاق ما سيغطيه الإطار. قد يشمل المنظمة بالكامل، أو كيانات محددة، أو وحدات أعمال، أو مشاريع رئيسية، أو عمليات أساسية، أو التزامات تنظيمية، أو أنظمة تقنية، أو وظائف عالية المخاطر. ويجب أن يعكس النطاق حجم المنظمة، وتعقيدها، وقطاعها، واستراتيجيتها، وتعرضها.
تحدد الأهداف ما ينبغي أن يحققه الإطار. قد ترغب المنظمة في تحسين رؤية المخاطر، أو توحيد تقييمات المخاطر، أو تعزيز الحوكمة، أو ربط المخاطر بالاستراتيجية، أو تحسين تقارير مجلس الإدارة، أو تقليل الضوابط المكررة، أو تحسين الجاهزية للتدقيق، أو خلق مساءلة أقوى حول معالجة المخاطر.
يجب أن يحدد إطار ERM أيضًا قابلية المخاطر والحدود المقبولة. توضح قابلية المخاطر مستوى المخاطر الذي تكون المنظمة مستعدة لقبوله في سعيها لتحقيق أهدافها. أما الحدود المقبولة فتحدد ضوابط أكثر تحديدًا لمجالات مخاطر أو عمليات أو مقاييس معينة.
من دون قابلية المخاطر، يصبح تصنيف المخاطر صعب الاستخدام. قد تُصنّف المخاطر على أنها عالية، لكن قد لا يعرف القادة ما إذا كانت مقبولة، أو غير مقبولة، أو مقبولة فقط مع معالجة إضافية. تساعد قابلية المخاطر الإدارة على تحديد المخاطر التي تتطلب إجراءً، والتي تحتاج إلى تصعيد، والتي يمكن قبولها مع المراقبة.
توفر إرشادات ISO 31000 الرسمية لإدارة المخاطر مبادئ وإطارًا وعملية لإدارة المخاطر. ويمكن للمنظمات استخدام نهج متوافق مع ISO 31000 لتشكيل النطاق، والسياق، والمعايير، والتقييم، والمعالجة، والمراقبة، والتقارير.
وهنا تصبح دورة إدارة المخاطر المؤسسية (ISO 31000) مفيدة للفرق التي تبني قدرات ERM. فهي تساعد المديرين، وملاك المخاطر، وفرق الامتثال، والمدققين، وكبار القادة على فهم كيفية ترابط قابلية المخاطر، والأهداف، والملكية، وخطط المعالجة.
تحديد المخاطر المؤسسية وربطها بأهداف الأعمال
يجب أن يبدأ تحديد المخاطر المؤسسية بالأهداف، لا بفئات مخاطر عامة.
يجب أن تحدد المنظمة ما الذي يمكن أن يؤثر في خططها الاستراتيجية، وعملياتها، وأدائها المالي، وامتثالها التنظيمي، ووضعها في الأمن السيبراني، وسمعتها، وثقة العملاء، والسلامة، والمشاريع، والمورّدين، وبيئتها التقنية. يجب أن ترتبط كل مخاطر جوهرية بهدف، أو عملية، أو مشروع، أو نتيجة أداء.
الخطر الذي لا يرتبط بهدف يصعب ترتيب أولويته. على سبيل المثال، «مخاطر التقنية» عبارة واسعة جدًا. أما الوصف الأقوى فيحدد الحدث والسبب والأثر: قد يؤدي تعطل نظام حرج بسبب بنية تحتية قديمة إلى تعطيل خدمة العملاء وتأخير العمليات التي تولد الإيرادات.
ينطبق المنطق نفسه على المخاطر التنظيمية، والمالية، والتشغيلية، ومخاطر الأطراف الخارجية. يجب أن يُظهر وصف الخطر ما الذي قد يحدث، ولماذا قد يحدث، وكيف يمكن أن يؤثر في الأعمال.
يجب أن يشمل تحديد المخاطر المؤسسية عدة أصحاب مصلحة. تفهم الإدارة العليا الاستراتيجية. وتفهم وحدات الأعمال العمليات. وتفهم المالية التقارير والتدفق النقدي. ويفهم الامتثال الالتزامات التنظيمية. ويفهم الأمن السيبراني التعرض التقني. وتفهم المشتريات الاعتماد على المورّدين. ويفهم التدقيق الداخلي نقاط ضعف الضوابط.
عندما تُجمع هذه الرؤى، يصبح ملف المخاطر أكثر واقعية.
تقييم المخاطر المؤسسية وتصنيفها وترتيبها حسب الأولوية
بمجرد تحديد المخاطر، يجب تقييمها بصورة متسقة.
يجب أن يأخذ التقييم في الاعتبار الاحتمالية، والأثر، والسرعة، وفعالية الضوابط، والعواقب المحتملة. قد تكون بعض المخاطر منخفضة الاحتمالية لكنها شديدة الأثر. وقد تحدث مخاطر أخرى بشكل متكرر لكنها تسبب ضررًا محدودًا. وقد تتطور بعض المخاطر ببطء، بينما تتطلب أخرى استجابة فورية.
يجب أن تحدد المنظمة معايير التصنيف قبل بدء التقييم. فإذا استخدمت الأقسام معاني مختلفة لعبارات «مرتفع»، و«متوسط»، و«منخفض»، فلن يدعم سجل المخاطر ترتيب الأولويات بشكل موثوق.
يجب أن يأخذ تصنيف المخاطر أيضًا في الاعتبار الضوابط القائمة. قد يبدو الخطر شديدًا في حالته الأصلية، لكن الضوابط القوية قد تقلل التعرض. وقد يبدو خطر آخر متوسطًا إلى أن تكشف الاختبارات ضعف فعالية الضوابط. ولهذا يجب أن يشمل تقييم مخاطر ERM الأدلة، لا الرأي فقط.
يساعد ترتيب الأولويات القيادة على توجيه الموارد. فقد تحتاج نقطة ضعف سيبرانية عالية المخاطر، أو تعرض تنظيمي غير محلول، أو اعتماد جوهري على مورّد، أو فجوة كبيرة في الضوابط المالية إلى اهتمام أسرع من مسألة عملية أقل أثرًا.
يجب أن ينتج التقييم أكثر من قائمة مرتبة. يجب أن يدعم قرارات المعالجة، والمراقبة، والتصعيد، ونطاق التدقيق، والميزانيات، واهتمام الإدارة.
تطوير خطط معالجة المخاطر وإسناد ملاك المخاطر
بعد تقييم المخاطر وترتيبها حسب الأولوية، تحتاج المنظمة إلى خطط معالجة تحول تحليل المخاطر إلى إجراء.
يجب أن تشرح خطة معالجة المخاطر كيف ستستجيب المنظمة لخطر جوهري. الخيارات الرئيسية هي تجنب الخطر، أو تقليل احتماليته أو أثره، أو مشاركة الخطر، أو نقل جزء من الخطر، أو قبوله ضمن قابلية المخاطر المعتمدة. وتعتمد الاستجابة المناسبة على أهداف المنظمة، ومواردها، وقابلية المخاطر، والالتزامات النظامية، ونضج الضوابط.
نقطة الضعف في كثير من تطبيقات ERM هي أن خطط المعالجة تكون غامضة جدًا. عبارات مثل «تحسين المراقبة»، أو «تعزيز الضوابط»، أو «مراجعة العملية» لا تمنح الإدارة ثقة كافية. يجب أن تحدد خطة المعالجة الإجراء، والمالك المحدد بالاسم، والموعد النهائي، والموارد المطلوبة، والنتيجة المتوقعة، والمخاطر المتبقية، ومؤشر المراقبة، ودليل الإكمال.
كما يجب أن تكون ملكية المخاطر واضحة. قد تنسق وظيفة المخاطر إطار ERM، لكنها لا تملك كل مخاطر المؤسسة. تمتلك وحدات الأعمال المخاطر الناتجة عن أنشطتها. وتمتلك فرق التقنية كثيرًا من ضوابط الأنظمة والأمن السيبراني. وتمتلك المالية ضوابط التقارير المالية. ويراقب الامتثال الالتزامات التنظيمية. ويوفر التدقيق الداخلي تأكيدًا مستقلًا.
تدعم إرشادات ISO لإدارة المخاطر هذا النهج المنظم من خلال التركيز على المبادئ، والإطار، والعملية. وعمليًا، يعني ذلك أن معالجة المخاطر لا ينبغي أن تبقى كملاحظة في سجل. بل يجب أن تصبح نشاطًا إداريًا مضبوطًا.
يجب أن تعالج خطة المعالجة القوية أيضًا المخاطر المتبقية. فإذا أكملت المنظمة الإجراء لكن التعرض بقي أعلى من قابلية المخاطر، يجب على مالك الخطر تصعيد القرار. قد تحتاج الإدارة إلى اعتماد معالجة إضافية، أو تخصيص موارد أكثر، أو تعديل النشاط، أو قبول المخاطر المتبقية رسميًا.
وهنا تصبح ERM عملية. فهي تنتقل من تحديد عدم اليقين إلى إسناد المسؤولية والتحقق مما إذا كان التعرض قد انخفض فعليًا.
دمج ERM في الاستراتيجية والعمليات وثقافة المنظمة
يصبح إطار ERM أقوى عندما يُدمج في طريقة عمل المنظمة.
لا ينبغي أن تبقى إدارة المخاطر خارج التخطيط الاستراتيجي، والميزانية، والمشتريات، والمشاريع، وقرارات التقنية، وإدارة الأداء، والمراجعات التشغيلية. فإذا لم تظهر ERM إلا أثناء التقارير ربع السنوية، فستبقى دائمًا متأخرة عن الأعمال.
يربط إطار COSO لإدارة المخاطر المؤسسية إدارة المخاطر المؤسسية بالاستراتيجية والأداء. وهذا الربط مهم لأن المخاطر ليست منفصلة عن النمو. فكل قرار استراتيجي كبير يتضمن قدرًا من عدم اليقين. وقد يخلق سوق جديد، أو منتج جديد، أو نظام جديد، أو مورّد جديد، أو استثمار جديد فرصة وتعرضًا في الوقت نفسه.
يعني دمج ERM في الاستراتيجية أن القادة يدرسون المخاطر قبل اكتمال القرارات. عند اعتماد مشروع جديد، يجب أن يسألوا عمّا يمكن أن يؤثر في التسليم، والتكلفة، والامتثال، والأمن السيبراني، وثقة العملاء، وموثوقية المورّدين، والقدرة التشغيلية. وعند تحديد الميزانيات، يجب أن ينظروا في المخاطر التي تحتاج إلى معالجة والضوابط التي تتطلب استثمارًا. وعند مراجعة الأداء، يجب أن ينظروا فيما إذا كانت الأهداف تتحقق من خلال قبول مخاطر تتجاوز قابلية المخاطر.
يجب أن تصبح ERM أيضًا جزءًا من ثقافة المنظمة. يجب أن يعرف الموظفون متى يصعّدون المسائل، وكيف يبلغون عن المخاطر الناشئة، ولماذا تهم الضوابط، وكيف يرتبط دورهم بالأهداف الأوسع. ويجب أن يفهم المديرون أن ملكية المخاطر ليست اختيارية. بل هي جزء من اتخاذ القرار المسؤول.
يدعم التدريب هذه الثقافة. يمكن أن تساعد دورة إدارة المخاطر المؤسسية (ISO 31000) الفرق السعودية على فهم قابلية المخاطر، والملكية، والتقييم، والمعالجة، والمراقبة، والتقارير بطريقة منظمة. وعندما تشترك الفرق في لغة واحدة للمخاطر، يصبح تطبيق ERM عبر الأقسام أسهل.
الثقافة الواعية بالمخاطر لا تعني تجنب كل خطر. بل تعني تحمل المخاطر بقصد، وبالأدلة، والملكية، والضوابط.
مراقبة إطار ERM والإبلاغ عنه وتحسينه باستمرار
يجب مراقبة إطار ERM بعد التطبيق.
تتغير المخاطر مع تغير المنظمة. قد يتحول مورّد كان موثوقًا في العام الماضي إلى خطر تركّز. وقد يخلق تحديث نظام تعرضًا في الأمن السيبراني. وقد يؤثر تغيير تنظيمي في العمليات. وقد تخلق استراتيجية نمو ضغطًا جديدًا في الامتثال أو المالية. وقد تفشل معالجة خطر كانت تبدو فعالة عند اختبارها.
يجب أن تغطي المراقبة المخاطر الرئيسية، وتقدم المعالجة، وأداء الضوابط، والمخاطر المتبقية، والحوادث، وملاحظات التدقيق، ومخالفات الامتثال، ومسائل المورّدين، والتهديدات الناشئة. ويمكن لمؤشرات المخاطر الرئيسية أن تساعد الإدارة على رؤية زيادة التعرض قبل وقوع الخسارة.
يجب تصميم التقارير لاتخاذ القرار. يحتاج مجلس الإدارة والإدارة العليا إلى معلومات واضحة عن أهم المخاطر، والمخاطر الخارجة عن قابلية المخاطر، وخطط المعالجة المتأخرة، والحوادث الكبرى، وإخفاقات الضوابط المتكررة، والقرارات المطلوبة. أما الفرق التشغيلية فتحتاج إلى تقارير أكثر تفصيلًا حتى تستطيع إدارة الضوابط وإكمال الإجراءات.
تبرز لوائح حوكمة الشركات الصادرة عن هيئة السوق المالية أهمية إدارة المخاطر، والرقابة الداخلية، ورقابة لجنة المراجعة، ورفع التقارير إلى مجلس الإدارة للشركات المدرجة. وبالنسبة للمنظمات التي تبني ERM في السعودية، يعزز ذلك الحاجة إلى معلومات مخاطر موثوقة ورقابة واضحة.
يجب أن يكون التدقيق الداخلي أيضًا جزءًا من دورة التحسين. يمكنه اختبار ما إذا كان إطار ERM مصممًا بالشكل الصحيح، وما إذا كانت الضوابط تعمل بفعالية، وما إذا كانت خطط المعالجة قد اكتملت، وما إذا كانت تقارير الإدارة موثوقة.
التحسين المستمر ضروري. يجب أن تعود ملاحظات التدقيق، والحوادث، والشكاوى، وإخفاقات الضوابط، والدروس المستفادة، والتحديثات التنظيمية، والمخاطر الناشئة كلها إلى الإطار. وإذا ظهر الخطر نفسه مرارًا دون تغيير حقيقي، فقد تكون المشكلة في الملكية، أو الثقافة، أو الموارد، أو ضعف تصميم الضوابط.
لا تكتمل ERM عند اعتماد أول سجل. بل تصبح ذات قيمة عندما تستمر معلومات المخاطر في تحسين القرارات بمرور الوقت.
الخاتمة: تعمل ERM عندما تغيّر القرارات
يساعد بناء إطار ERM خطوة بخطوة المنظمات على الانتقال من أنشطة مخاطر مجزأة إلى إدارة مخاطر منسقة.
تبدأ العملية بفهم الممارسات والفجوات الحالية. ثم تتطلب دعم مجلس الإدارة والإدارة العليا، وتحديد النطاق، وقابلية المخاطر، وتحديد المخاطر المؤسسية، والتقييم المتسق، وخطط المعالجة، وملكية المخاطر، والدمج الثقافي، والمراقبة، والتقارير، والتحسين المستمر.
بالنسبة للمنظمات السعودية، يزداد هذا الانضباط أهمية مع إدارة الأعمال للنمو، والتوقعات التنظيمية، وتهديدات الأمن السيبراني، والاعتماد على الأطراف الخارجية، والتعقيد التشغيلي.
لا يزيل إطار ERM القوي عدم اليقين. بل يساعد القادة على رؤية عدم اليقين بوضوح، وترتيب المخاطر المهمة حسب الأولوية، وتخصيص الموارد بحكمة، والتحرك قبل أن تتحول المخاطر إلى ضرر.
بالنسبة للفرق التي تريد بناء هذه القدرة، تقدم دورة إدارة المخاطر المؤسسية (ISO 31000) مسارًا مركزًا لفهم كيفية عمل مبادئ ERM، وتقييم المخاطر، وتخطيط المعالجة، والملكية، والتقارير معًا في الواقع العملي.
