يجب أن يساعد سجل المخاطر القادة على اتخاذ قرارات أفضل، لا أن يثبت فقط أن ورشة عمل حول المخاطر قد عُقدت. وعندما يكون مكتوبًا بشكل ضعيف، أو قديمًا، أو منفصلًا عن الإجراءات، فقد يجعل المنظمة تبدو أكثر ضبطًا مما هي عليه فعليًا.
وهذه الثقة الزائفة خطيرة.
تحتفظ كثير من الشركات بسجلات مخاطر تحتوي على قوائم طويلة من المخاطر، وتصنيفات ملوّنة، وملاك، وملاحظات تخفيف. على الورق، يبدو السجل مكتملًا. أما في الواقع، فالمخاطر غامضة، والتصنيف غير متسق، وخطط المعالجة تفتقر إلى الأدلة، والملكية موضوعة لدى الأقسام بدلًا من أفراد مسؤولين بوضوح.
بالنسبة للمنظمات السعودية التي تبني إدارة مخاطر مؤسسية أقوى، يجب أن يكون سجل المخاطر أكثر من مجرد مستند للتدقيق. يجب أن يساعد الإدارة على فهم عدم اليقين، وترتيب الموارد حسب الأولوية، وتتبع خطط المعالجة، وتصعيد التعرضات قبل أن تؤثر في الاستراتيجية، أو الامتثال، أو العمليات، أو الأمن السيبراني، أو السمعة، أو الأداء المالي.
تصف إرشادات ISO 31000 الرسمية لإدارة المخاطر إدارة المخاطر بأنها استخدام مبادئ، وإطار، وعملية لإدارة المخاطر عبر أي منظمة، بغض النظر عن حجمها أو نشاطها أو قطاعها. يجب أن يدعم سجل المخاطر هذه العملية. وعندما لا يفعل ذلك، يتحول إلى عبء تقارير بدلًا من أداة إدارية.
أوصاف المخاطر الغامضة التي تجعل سجلات المخاطر غير فعالة
أحد أكثر أخطاء سجل المخاطر شيوعًا هو كتابة المخاطر بعبارات واسعة جدًا.
مدخلات مثل «مخاطر سيبرانية»، أو «مخاطر المورّدين»، أو «مخاطر السوق»، أو «فشل تشغيلي»، أو «الامتثال التنظيمي» لا تشرح ما الذي قد يحدث، ولماذا قد يحدث، وكيف سيؤثر في المنظمة. هذه فئات مخاطر، وليست أوصافًا مفيدة للمخاطر.
يجب أن يشرح وصف المخاطر القوي الحدث غير المؤكد، والسبب، والأثر المحتمل على الأهداف. وهذا يمنح الإدارة معلومات كافية لتحليل الاحتمالية، والأثر، والضوابط، والملكية، والمعالجة.
الوصف الغامض يجعل كل خطوة لاحقة أضعف. فإذا وُصفت المخاطر فقط بأنها «مخاطر المورّدين»، فقد لا يعرف المالك ما إذا كان القلق يتعلق بتأخر التسليم، أو عدم الاستقرار المالي، أو ضعف الجودة، أو الوصول السيبراني، أو عدم الامتثال النظامي، أو الاعتماد المفرط على مزود واحد. وكل سيناريو يتطلب ضابطًا وخطة معالجة مختلفين.
يجب أن يكون مدخل المخاطر الأفضل محددًا بما يكفي لدعم الإجراء. يجب أن يوضح ما الذي قد يحدث، وما الذي قد يسببه، وما النتيجة التجارية التي قد تتأثر. وبالنسبة إلى مخاطر مرتبطة بالمورّدين، قد يعني ذلك فشل مورّد حرج في الوفاء بمستويات الخدمة بسبب ضعف القدرة، مما يؤدي إلى تأخر تسليم العملاء والإضرار بالسمعة.
يساعد هذا المستوى من التفصيل ملاك المخاطر على تحديد ما يجب مراقبته. كما يساعد الإدارة العليا على معرفة ما إذا كانت المخاطر تؤثر في العمليات، أو الامتثال، أو المالية، أو ثقة العملاء، أو تنفيذ الاستراتيجية.
تفشل سجلات المخاطر عندما تتحول إلى قوائم من التسميات. وتتحسن عندما يصف كل مدخل حالة عدم يقين حقيقية مرتبطة بهدف تنظيمي.
تصنيف مخاطر غير متسق ومعايير تقييم ضعيفة التعريف
الخطأ الثاني هو عدم اتساق تصنيف المخاطر.
إذا كان أحد الأقسام يصنف الأثر بناءً على الخسارة المالية، بينما يصنف قسم آخر الأثر بناءً على التعطل التشغيلي، يصبح السجل غير موثوق. وإذا كانت الاحتمالية تُفسر بشكل مختلف من كل فريق، فلا يمكن مقارنة المخاطر. وإذا كانت درجات الخطورة مبنية على الرأي دون أدلة، فقد تعطي القيادة الأولوية للمسائل الخطأ.
يجب تحديد معايير تصنيف المخاطر قبل تقييمها. يجب أن تكون الاحتمالية، والأثر، والخطورة، وقابلية المخاطر، والحدود المقبولة، وعتبات التصعيد واضحة بما يكفي لتستخدمها الفرق المختلفة بصورة متسقة.
هذا لا يعني أن تصنيف المخاطر يجب أن يصبح تقنيًا بشكل مفرط. بل يعني أن المنظمة يجب أن تحدد ما المقصود فعليًا بـ «مرتفع»، و«متوسط»، و«منخفض». فقد تحتاج الأثر المالي، والعواقب التنظيمية، وضرر العملاء، ووقت التعطل، ومخاوف السلامة، وأثر السمعة، والتعطل الاستراتيجي إلى معايير محددة.
تشمل عملية إدارة المخاطر في ISO 31000 تحديد النطاق، والسياق، والمعايير قبل تقييم المخاطر. وهذا التسلسل مهم لأن المعايير تخلق الأساس لتقييم المخاطر وترتيبها حسب الأولوية. وإذا كانت المعايير ضعيفة، فسيكون التصنيف ضعيفًا أيضًا.
يجب أن تستخدم المنظمات الأدلة الداعمة حيثما أمكن. يمكن للحوادث السابقة، وملاحظات التدقيق، وإخفاقات الضوابط، والشكاوى، والأحداث السيبرانية، وأداء المورّدين، والبيانات المالية، والتحديثات التنظيمية، والمقاييس التشغيلية أن تحسن جودة تقييم المخاطر.
كما أن مدخلات أصحاب المصلحة مهمة. قد يفهم فريق المخاطر المنهجية، لكن المديرين التشغيليين يفهمون واقع العمليات. وتفهم فرق الأمن السيبراني التعرضات التقنية. وتفهم فرق الامتثال الضغط التنظيمي. وتفهم المالية آثار التقارير والسيولة. ويفهم التدقيق الداخلي نقاط ضعف الضوابط. إن جمع هذه الرؤى يحسن الاتساق ويقلل المناطق العمياء.
لا يؤثر التصنيف الضعيف في السجل فقط. بل يؤثر في الميزانيات، والضوابط، والتصعيد، وتخطيط التدقيق، وقرارات التنفيذيين.
غياب ملاك المخاطر وضعف المساءلة
سجل المخاطر من دون ملكية واضحة ليس سوى سجل للمخاوف.
تسند كثير من الشركات المخاطر إلى أقسام بدلًا من أفراد محددين. قد تظهر «المالية»، أو «تقنية المعلومات»، أو «العمليات»، أو «الامتثال» في خانة المالك، لكن هذا لا يوضح من المسؤول عن إبقاء المدخل دقيقًا، أو مراجعة الضوابط، أو تحديث خطة المعالجة، أو تصعيد التأخيرات.
يجب أن تكون ملكية المخاطر محددة. يجب أن يمتلك مالك المخاطر ما يكفي من السلطة والمعرفة لإدارة الخطر أو تنسيق عمل من يستطيعون ذلك. وقد يختلف مالك المعالجة إذا كان إجراء معين يقع لدى فريق آخر. ويجب توثيق الدورين بوضوح.
يساعد نموذج الخطوط الثلاثة الصادر عن IIA في شرح سبب أهمية هذا التمييز. تمتلك الإدارة المخاطر وتديرها. وتدعم أدوار المخاطر والامتثال، وتراقب، وتتحدى. ويوفر التدقيق الداخلي تأكيدًا مستقلًا. وإذا اختلطت هذه المسؤوليات، فقد تفقد المنظمة المساءلة.
يجب أن يحدد سجل المخاطر مالك الخطر، ومالك المعالجة، وتاريخ المراجعة، ومسار التصعيد، ومسؤولية التقارير. كما يجب أن يوضح من يتحقق مما إذا كانت إجراءات المعالجة مكتملة.
هنا تكشف كثير من المنظمات نقطة ضعف خفية. فهي تسند الملكية أثناء ورشة عمل، لكن لا أحد يحدّث السجل بعد ذلك. يبقى الخطر مفتوحًا، وتظل ملاحظة المعالجة دون تغيير، وترى القيادة التصنيف نفسه في كل ربع سنة.
يجب أن تكون الملكية نشطة. يجب أن يراجع مالك المخاطر التغيرات في مستوى التعرض، ويقيّم ما إذا كانت الضوابط لا تزال تعمل، ويحدّث تقدم المعالجة، ويصعّد عندما تتغير المواعيد النهائية أو مستويات المخاطر.
ومن دون هذا الانضباط، يتحول السجل إلى قائمة ثابتة بدلًا من أداة عاملة لإدارة المخاطر المؤسسية.
خطط معالجة المخاطر دون إجراءات أو مواعيد نهائية أو أدلة
خطأ شائع آخر في سجل المخاطر هو كتابة خطط معالجة تبدو مفيدة لكنها غير قابلة للإدارة.
عبارات مثل «تحسين الضوابط»، أو «المراقبة عن قرب»، أو «تعزيز الوعي»، أو «تقوية الأمن السيبراني»، أو «مراجعة أداء المورّد» غامضة جدًا. فهي لا تشرح ما الذي سيتم فعله، ومن سيفعله، ومتى سيكتمل، وما الموارد المطلوبة، أو كيف سيتم إثبات الإكمال.
يجب أن تكون خطة معالجة المخاطر قابلة للقياس. يجب أن تحدد الإجراء، والمالك، والتاريخ المستهدف، والموارد المطلوبة، والنتيجة المتوقعة، وحالة التقدم، وأثر المخاطر المتبقية، ودليل الإكمال.
إذا كانت المخاطر تتعلق بضعف ضوابط الوصول، فقد تشمل المعالجة مراجعة الحسابات ذات الامتيازات، وإزالة الوصول غير الضروري، وتطبيق المصادقة متعددة العوامل، وتوثيق أدلة الاعتماد، وجدولة مراجعات دورية للوصول. وإذا كانت المخاطر تتعلق بفشل المورّد، فقد تشمل المعالجة تحديثات العناية الواجبة، ومراقبة مستويات الخدمة، والتخطيط للطوارئ، ومراجعة العقد.
النقطة المهمة هي أن المعالجة يجب أن تقلل التعرض. فالمهمة لا تصبح معالجة لمجرد أنها تظهر في السجل.
هنا تصبح دورة إدارة المخاطر المؤسسية (ISO 31000) ذات صلة بالفرق التي تحتاج إلى فهم العلاقة بين تحديد المخاطر، وتحليل المخاطر، ومعالجة المخاطر، والملكية، والأدلة، والمراقبة. فلا يكون السجل مفيدًا إلا عندما تنتقل معالجة المخاطر من النية إلى إجراء متحقق منه.
يجب أيضًا مراجعة معالجة المخاطر بعد الإكمال. فإذا تم تطبيق ضابط لكنه لم يُختبر، فلا تزال المنظمة لا تعرف ما إذا كان الخطر قد انخفض. وإذا اكتمل الإجراء لكن المخاطر المتبقية بقيت فوق قابلية المخاطر، فقد تحتاج القيادة إلى اعتماد معالجة إضافية أو قبول التعرض بشكل صريح.
خطة المعالجة الضعيفة تخلق مظهرًا للتقدم. أما خطة المعالجة القوية فتخلق خفضًا للمخاطر يمكن تتبعه.
التعامل مع سجل المخاطر كوثيقة امتثال لمرة واحدة
تنشئ بعض الشركات سجل مخاطر لأغراض التدقيق، أو حزمة مجلس الإدارة، أو طلب جهة تنظيمية، أو مشروع شهادة، أو ورشة عمل سنوية، ثم تتركه دون تحديث لأشهر.
هذه إحدى أسرع الطرق لجعل السجل غير ذي صلة.
تتغير المخاطر باستمرار. قد يخلق مشروع جديد تعرضًا تقنيًا. وقد يصبح مورّد أقل موثوقية. وقد تتطلب لائحة جديدة ضوابط محدثة. وقد تكشف حادثة سيبرانية نقاط ضعف. وقد يظهر اتجاه في الشكاوى مخاطر مرتبطة بالعملاء. وقد يغير تحول استراتيجي قابلية المنظمة للمخاطر.
لذلك، يجب مراجعة سجل المخاطر وفق جدول مخطط وتحديثه عند وقوع أحداث مهمة. ونادرًا ما تكون المراجعة السنوية وحدها كافية للمنظمات ذات العمليات سريعة التغير، أو الأنظمة الرقمية، أو التعرض التنظيمي، أو العلاقات المعقدة مع الأطراف الخارجية.
تُعد التحديثات المدفوعة بالأحداث مهمة بشكل خاص. يجب مراجعة السجل بعد الحوادث الكبرى، أو ملاحظات التدقيق الداخلي، أو التغييرات التنظيمية، أو إطلاق منتجات جديدة، أو تغييرات الأنظمة، أو تغييرات المورّدين، أو إعادة الهيكلة، أو تحولات السوق، أو إخفاقات الضوابط.
إذا لم يتم تحديث السجل بعد الأحداث الفعلية، فإنه يتوقف عن عكس الواقع.
يجب أن يستطيع القادة النظر إلى سجل المخاطر ورؤية ملف المخاطر الحالي للمنظمة. فإذا كان السجل لا يزال يعكس افتراضات العام الماضي، فلن يستطيع دعم اتخاذ القرار.
فصل سجل المخاطر عن العمليات التجارية
يفقد سجل المخاطر قيمته عندما تتم إدارته بشكل منفصل عن العمل الذي يخلق المخاطر.
في كثير من الشركات، يبقى السجل لدى فريق المخاطر بينما تظهر إشارات المخاطر الحقيقية في أماكن أخرى. تسجل العمليات الحوادث. وتعالج خدمة العملاء الشكاوى. ويرفع التدقيق الداخلي إخفاقات الضوابط. وتدير المشتريات مشكلات المورّدين. وتتتبع تقنية المعلومات أحداث الأمن السيبراني. وتبقى التحديثات التنظيمية لدى الامتثال. وتناقش الإدارة العليا التغييرات الاستراتيجية.
إذا لم تُحدّث هذه الإشارات سجل المخاطر، تصبح رؤية المنظمة للمخاطر غير مكتملة.
يجب أن يرتبط سجل المخاطر القوي بالعمليات التجارية. ينبغي أن تؤثر ملاحظات التدقيق، والحوادث، والشكاوى، وتنبيهات الاحتيال، وإخفاقات الضوابط، ومشكلات المورّدين، وتأخيرات المشاريع، وتعطل الأنظمة، ومخالفات الامتثال، والأحداث التي تؤثر في العملاء، في تصنيفات المخاطر وأولويات المعالجة.
يساعد هذا الربط الشركات على رؤية الأنماط مبكرًا. فقد يكون تأخر مورّد واحد مسألة تشغيلية. أما التأخيرات المتكررة التي تؤثر في التزامات العملاء فقد تشير إلى خطر جوهري من طرف خارجي. وقد تكون مراجعة وصول فاشلة واحدة مسألة ضابط. أما الاستثناءات المتكررة في الوصول عبر الأنظمة الحرجة فقد تشير إلى ضعف أوسع في حوكمة الأمن السيبراني.
يجب أن يدعم السجل أيضًا القرارات الاستراتيجية. فإذا كانت الإدارة تدخل سوقًا جديدًا، أو تطلق خدمة جديدة، أو تغير الأنظمة، أو تُسند عملية إلى طرف خارجي، أو تعيد هيكلة العمليات، فيجب أن يعكس سجل المخاطر هذا التغيير. وإلا ستبقى إدارة المخاطر متأخرة عن الأعمال.
تصف النظرة الرسمية إلى ISO 31000 إدارة المخاطر بأنها عملية تدعم إدارة المخاطر عبر المنظمات. وعمليًا، يعني ذلك أن السجل لا ينبغي أن يكون وثيقة منفصلة تُنشأ بعد اتخاذ القرارات. بل يجب أن يساعد في توجيه القرارات نفسها.
يصبح سجل المخاطر أقوى عندما يرتبط بالأدلة اليومية على كيفية عمل المنظمة فعليًا.
تجاهل المخاطر المتبقية وفعالية الضوابط
خطأ كبير آخر في سجل المخاطر هو افتراض أن التخفيف يعني تلقائيًا أن الخطر أصبح تحت السيطرة.
قد يكتمل إجراء معالجة، لكن المنظمة لا تزال بحاجة إلى معرفة ما إذا كان هذا الإجراء قد نجح. هنا تبرز أهمية المخاطر المتبقية. فالمخاطر المتبقية هي المخاطر التي تبقى بعد تطبيق الضوابط أو إجراءات المعالجة.
إذا سجلت شركة خطرًا سيبرانيًا، وطبقت عملية جديدة لمراجعة الوصول، ووضعت علامة على اكتمال المعالجة، فإن العمل لم ينتهِ بعد. لا يزال عليها اختبار ما إذا كانت مراجعات الوصول تُجرى في الوقت المحدد، وما إذا كانت الاستثناءات تُحل، وما إذا كان المستخدمون ذوو الامتيازات تتم مراجعتهم، وما إذا كان الدليل يُحتفظ به. وإذا لم يعمل الضابط بفعالية، فقد تبقى المخاطر المتبقية مرتفعة جدًا.
ينطبق الأمر نفسه على مخاطر المورّدين، ومخاطر الامتثال، ومخاطر الاحتيال، ومخاطر التقارير المالية، والمخاطر التشغيلية، ومخاطر السلامة. تحديث السياسة لا يثبت أن السلوك تغير. والضابط الجديد لا يثبت أن الضابط يعمل. والإجراء المكتمل لا يثبت أن التعرض قد انخفض.
يجب أن يتضمن سجل المخاطر القوي المخاطر الأصلية، والضوابط القائمة، وإجراءات المعالجة، وفعالية الضوابط، والمخاطر المتبقية، وحالة القبول. وإذا ظلت المخاطر المتبقية أعلى من قابلية المخاطر، فيجب على المالك إما اقتراح معالجة إضافية أو تصعيد القرار للقبول الرسمي.
يجب أن تستند فعالية الضوابط إلى الأدلة. وقد تشمل هذه الأدلة نتائج الاختبار، وتقارير التدقيق الداخلي، ومراقبة الامتثال، وسجلات الأنظمة، وسجلات الحوادث، ومراجعات الإدارة، أو التحقق المستقل.
تركز السجلات الضعيفة على التصنيف الأول فقط. أما السجلات القوية فتُظهر ما إذا كانت الضوابط تقلل التعرض فعليًا بمرور الوقت.
استخدام سجل المخاطر للتقارير بدلًا من اتخاذ القرار
لا ينبغي أن يوجد سجل المخاطر فقط لملء تقرير مجلس الإدارة.
التقارير مهمة، لكن الغرض من السجل هو اتخاذ قرارات أفضل. فإذا راجع القادة السجل دون استخدامه لتحديد الأولويات، أو تخصيص الموارد، أو تحدي تأخيرات المعالجة، أو تعديل الاستراتيجية، أو تصعيد التعرض غير المقبول، فإن السجل لا يؤثر في الإدارة.
هذا إخفاق شائع. تظهر أهم المخاطر في كل تقرير ربع سنوي. وتبقى الألوان غالبًا كما هي. ويتم تحديث ملاحظات المعالجة قليلًا. وتقر اللجان التقرير، لكن لا يتغير قرار جوهري. وبمرور الوقت، يتحول سجل المخاطر إلى طقس إداري.
النهج الأقوى هو استخدام السجل لتوجيه الإجراء.
إذا كان الخطر مرتفعًا والضوابط ضعيفة، فيجب أن يؤثر ذلك في الميزانية، أو التوظيف، أو الأنظمة، أو قرارات المورّدين، أو التدريب، أو المراقبة، أو نطاق التدقيق. وإذا كان الخطر في ازدياد، فيجب أن تسأل القيادة: ما الذي تغير؟ وإذا كانت المعالجة متأخرة، فيجب أن يشرح المالك السبب. وإذا بقيت المخاطر المتبقية أعلى من قابلية المخاطر، فيجب على الإدارة العليا أن تقرر ما إذا كانت ستقلل الخطر، أو تنقله، أو تتجنبه، أو تقبله.
يجب أن يدعم السجل أيضًا مناقشات إدارة المخاطر المؤسسية. يجب أن يساعد القادة على مقارنة المخاطر عبر الوظائف، وتحديد الاعتماديات، وفهم قيود الموارد، وتحديد مواضع الاستثمار الرقابي الأكثر أهمية.
يتماشى ذلك مع غرض ISO 31000: يجب أن تدعم إدارة المخاطر الأهداف واتخاذ القرار، لا التوثيق فقط. فالسجل الذي لا يؤثر في القرارات ليس أداة لإدارة المخاطر. بل هو سجل إداري.
كيف يمكن للشركات تحسين سجل المخاطر
لا يتطلب تحسين سجل المخاطر دائمًا نظامًا جديدًا. غالبًا ما يتطلب انضباطًا أقوى.
يجب أن تبدأ المنظمة بإعادة كتابة المخاطر الغامضة في عبارات واضحة تتضمن الحدث والسبب والأثر. ويجب أن تحدد معايير التصنيف حتى تقيم الأقسام الاحتمالية والأثر بصورة متسقة. ويجب أن تُسند ملاك مخاطر وملاك معالجة محددين بالاسم. كما يجب أن تتطلب خطط معالجة تتضمن إجراءات، ومواعيد نهائية، وموارد، وأدلة.
يجب أيضًا مراجعة السجل وفق جدول محدد وتحديثه بعد الأحداث المهمة. يجب أن تؤدي ملاحظات التدقيق الداخلي، والحوادث، والشكاوى، وتغييرات المورّدين، والتحديثات التنظيمية، والمشاريع الجديدة، وإخفاقات الضوابط، كلها إلى مراجعة السجل.
يجب إعادة تقييم المخاطر المتبقية بعد اكتمال إجراءات المعالجة. ويجب اختبار فعالية الضوابط. ويجب أن يتطلب الإغلاق أدلة. ويجب تصعيد المخاطر المرتفعة أو المتأخرة.
بالنسبة للشركات التي تطور إدارة مخاطر مؤسسية أقوى، يمكن أن تساعد دورة إدارة المخاطر المؤسسية (ISO 31000) الفرق على فهم كيفية ترابط تحديد المخاطر، وتقييمها، ومعالجتها، ومراقبتها، وملكيتها، والإبلاغ عنها. وهذا مهم لأن سجل المخاطر لا يكون قويًا إلا بقدر قوة التفكير في إدارة المخاطر خلفه.
الخاتمة
يضر سجل المخاطر بالشركات عندما يخلق ثقة زائفة.
أوصاف المخاطر الغامضة، والتصنيف غير المتسق، وغياب الملاك، وخطط المعالجة الضعيفة، والمدخلات القديمة، والعمليات المنفصلة، وتجاهل المخاطر المتبقية، والسلوك القائم على التقارير فقط، كلها تقلل قيمة السجل. قد تبدو لدى المنظمة إدارة مخاطر قائمة، بينما تبقى تعرضات خطيرة دون إدارة.
يفعل السجل القوي العكس. فهو يمنح القادة رؤية أوضح لعدم اليقين، وفجوات الضوابط، والملكية، وتقدم المعالجة، والتعرض المتبقي، والقرارات المطلوبة.
بالنسبة للمنظمات السعودية التي تبني إدارة مخاطر مؤسسية أقوى، يجب أن يتحول سجل المخاطر إلى أداة إدارة حية. يجب تحديثه عندما تتغير الأعمال، واختباره مقابل الأدلة، وربطه بالعمليات، واستخدامه لتوجيه الأولويات.
الهدف ليس الحفاظ على جدول مثالي. بل مساعدة المنظمة على فهم المخاطر بدرجة كافية لاتخاذ إجراء قبل أن تصبح المخاطر مشكلة أكبر.
