تدير المؤسسات السعودية اليوم عددًا من فئات المخاطر أكبر من أي وقت مضى في مرحلة رؤية 2030: تحولات استراتيجية مرتبطة بالتنويع الاقتصادي، وتعرضات تشغيلية ناتجة عن النمو السريع، وتقلبات مالية، ومشهد تهديدات سيبرانية متسارع يخضع لإشراف الهيئة الوطنية للأمن السيبراني (NCA)، بالإضافة إلى مخاطر سمعية مرتبطة بالحوكمة البيئية والاجتماعية (ESG). وفي الوقت ذاته، حددت هيئة السوق المالية (CMA) بشكل واضح ما يُفترض أن يقوم به مجلس الإدارة حيال ذلك، من خلال مواد محددة ومرقّمة ضمن لائحة حوكمة الشركات.
يوضح هذا الدليل ما تنص عليه هذه المتطلبات فعليًا، وكيف يبدو برنامج إدارة المخاطر المؤسسية (ERM) الفعّال على أرض الواقع، وكيفية سد الفجوة بين "إدراكنا بأهمية المخاطر" و"امتلاكنا نظامًا موثقًا وقابلًا للتدقيق لإدارة المخاطر".
ما الذي يُعد مخاطرة مؤسسية في المنظمات السعودية اليوم
لم تعد إدارة المخاطر في المملكة مقتصرة على الضوابط المالية. يتابع برنامج إدارة المخاطر المؤسسية الحديث عادة خمس فئات مترابطة:
| فئة المخاطر | ما تشمله | مثال في السياق السعودي |
|---|---|---|
| الاستراتيجية | دخول أسواق جديدة، التنويع، التحول المرتبط برؤية 2030 | التوسع في قطاع منظم جديد دون مراجعة الترخيص اللازم |
| التشغيلية | إخفاقات العمليات، سلسلة الإمداد، الاعتماد على أطراف ثالثة | تأخر مورّد رئيسي عن الوفاء بموعد تنظيمي نيابة عنك |
| المالية | السيولة، التعرض الائتماني، تقلبات العملة وأسعار الفائدة | ضغط على التدفق النقدي بسبب تأخر معالجة مستردات زاتكا |
| السيبرانية | اختراق البيانات، تعطل الأنظمة، برامج الفدية | عدم الامتثال لضوابط الهيئة الوطنية للأمن السيبراني NCNICC-1:2025 |
| الحوكمة والاستدامة | إخفاقات الحوكمة، المسؤولية البيئية، الامتثال لأنظمة العمل | فجوات تظهر أثناء تدقيق شامل للحوكمة والمخاطر والامتثال |
التعامل مع هذه الفئات كبرنامج واحد منسّق - بدلًا من خمس قوائم تحقق منفصلة تديرها خمس إدارات مختلفة - هو جوهر فكرة إدارة المخاطر المؤسسية، وهو ذات تحدي التكامل الذي تناولناه في دليلنا حول بناء استراتيجية موحدة للحوكمة والمخاطر والامتثال للمؤسسات السعودية.
ما الذي تتطلبه الأنظمة السعودية فعليًا
على عكس بعض الإرشادات التي تبقى اختيارية في مجال إدارة المخاطر، حددت لائحة حوكمة الشركات الصادرة عن هيئة السوق المالية التزامات محددة ومرقّمة للشركات المساهمة المدرجة في السوق المالية السعودية (تداول). يلخص الجدول التالي أبرز هذه المواد:
| المادة | المتطلب |
|---|---|
| المادة 67 | يجب على مجلس الإدارة تشكيل لجنة مخصصة لإدارة المخاطر، على أن يكون رئيسها وأغلبية أعضائها من الأعضاء غير التنفيذيين، وأن يمتلك أعضاؤها مستوى معرفة كافٍ في إدارة المخاطر والشؤون المالية. |
| المادة 68 | تتولى اللجنة وضع استراتيجية وسياسات شاملة لإدارة المخاطر تتناسب مع حجم الشركة وطبيعة أنشطتها، وتحديد مستوى المخاطر المقبول، والإشراف على نظام إدارة المخاطر وتقييم فعاليته. |
| المادة 69 | يجب أن تجتمع اللجنة بشكل دوري، مرة واحدة على الأقل كل ستة أشهر، وبشكل أكثر تكرارًا عند الحاجة. |
| المادة 70 | يجب على مجلس الإدارة اعتماد نظام رقابة داخلية على مستوى الشركة لتقييم سياسات إدارة المخاطر، والامتثال لقواعد الحوكمة، والالتزام بالأنظمة واللوائح ذات الصلة. |
| المادة 71 | يجب على الشركة إنشاء وحدات أو إدارات مخصصة مسؤولة عن تقييم المخاطر وإدارتها، منفصلة عن إدارة المراجعة الداخلية. |
المصدر: هيئة السوق المالية، لائحة حوكمة الشركات، المواد 67-71 (قرار مجلس هيئة السوق المالية، ساري المفعول منذ 13 فبراير 2017)
تُصنَّف المواد 67-69 الخاصة بلجنة إدارة المخاطر كأحكام استرشادية (غير إلزامية) بالنسبة للشركات المدرجة في السوق الرئيسية، غير أن المادتين 70 و71 تنطبقان على نطاق أوسع، كما أصبح معظم المستثمرين المؤسسيين ومراجعي الحسابات يعتبرون وجود عملية موثقة لإدارة المخاطر توقعًا عمليًا.
أما بالنسبة للمتطلبات الخاصة بالقطاعات، فتحمل البنوك والمؤسسات المالية التزامات إضافية بموجب أنظمة مؤسسة النقد العربي السعودي (ساما)، بما في ذلك متطلبات المراقبة الفورية لمكافحة غسل الأموال التي تناولناها في دليل ساما 2026 لمراقبة المعاملات في الوقت الفعلي.
بناء برنامج لإدارة المخاطر المؤسسية: نهج تدريجي خطوة بخطوة
يتبع برنامج إدارة المخاطر المؤسسية الموثوق عادة نفس دورة الحياة التي تصفها الأطر الدولية مثل ISO 31000، مع تكييفها للسياق التنظيمي السعودي:
- تحديد السياق ومستوى المخاطر المقبول: تحديد مستوى المخاطر الذي ترغب المؤسسة في قبوله، بما يتماشى مع أهدافها الاستراتيجية والتزاماتها التنظيمية.
- تحديد المخاطر عبر الفئات الخمس كافة: بناء سجل مخاطر يغطي المخاطر الاستراتيجية والتشغيلية والمالية والسيبرانية والمتعلقة بالحوكمة البيئية والاجتماعية.
- تقييم الاحتمالية والأثر: استخدام التقييم النوعي أو النمذجة الكمية لترتيب المخاطر حسب الأولوية.
- ترتيب الأولويات وتحديد المسؤولية: يحتاج كل خطر جوهري إلى مسؤول محدد بالاسم، وليس مجرد سطر في جدول بيانات.
- تصميم إجراءات التخفيف والضوابط: توثيق الضابط أو السياسة أو الإجراء التقني الذي يعالج كل خطر ذي أولوية.
- المراقبة والإبلاغ والمراجعة: رفع تقارير دورية للجنة إدارة المخاطر مرة كل ستة أشهر على الأقل، وتحديث السجل عند أي تغيير جوهري.
وتلجأ المؤسسات الراغبة في مواءمة عمليتها الداخلية مباشرة مع المعيار الدولي إلى مسار موازٍ قائم على المعايير، من خلال برامج مثل دورة إدارة المخاطر المؤسسية (ISO 31000) من المعهد السعودي للامتثال، والتي تربط كل خطوة من هذه الخطوات الست بعملية إدارة المخاطر الرسمية وفق معيار ISO 31000.
ماذا يحدث إذا لم تتم إدارة المخاطر بالشكل الصحيح
تجاهل بناء برنامج منظم لإدارة المخاطر المؤسسية لا يخلق فجوة توثيقية فحسب، بل يخلق تعرضًا حقيقيًا:
-
تعرض على مستوى الحوكمة: يواجه مجلس الإدارة الذي لا يستطيع إثبات وجود لجنة مخاطر فعالة أو نظام رقابة داخلية مراجعة أكثر صرامة من هيئة السوق المالية وفحصًا دقيقًا أثناء الطرح العام الأولي.
تعرض سيبراني: دون إدراج فئة المخاطر السيبرانية ضمن برنامج إدارة المخاطر المؤسسية، تخاطر كيانات القطاع الخاص بعدم الامتثال لضوابط NCNICC-1:2025 - راجع تحليلنا حول الجهات الملزمة بالامتثال لضوابط القطاع الخاص الصادرة عن الهيئة الوطنية للأمن السيبراني.
تعرض مالي: غالبًا ما تظهر المخاطر غير المُدارة المتعلقة بالأطراف الثالثة أو السيولة أو مكافحة غسل الأموال على شكل حادثة مفاجئة ومكلفة - وهو السبب ذاته الذي يدفع الشركات اليوم لتصحيح إقراراتها الضريبية التاريخية ضمن نافذة إعفاء زاتكا من الغرامات الضريبية 2026 قبل انتهائها.
-
ازدواجية تنظيمية: تميل المؤسسات التي تدير المخاطر والامتثال والأمن السيبراني كوظائف منفصلة إلى تكرار الجهود أو ترك فجوات بين الأطر المختلفة.
قائمة التحقق من الجاهزية: هل برنامج إدارة المخاطر لديك جاهز للتدقيق؟
استخدم هذه القائمة كتقييم ذاتي سريع قبل دورة التدقيق أو اجتماع مجلس الإدارة القادم:
لماذا يسد التدريب المنظم هذه الفجوة
لا تنشأ معظم فجوات الجاهزية المذكورة أعلاه من نقص الوعي، بل من عدم حصول موظفي المخاطر والامتثال والمالية على تدريب منظم في كيفية بناء وتشغيل نظام رسمي لإدارة المخاطر من الأساس. فنجاح أي برنامج موثق لإدارة المخاطر المؤسسية يعتمد على فهم القائمين عليه لتقنيات تحديد المخاطر ومنهجية التقييم وأدوات ترتيب الأولويات.
وهذه بالضبط الفجوة التي صُممت دورة إدارة المخاطر من المعهد السعودي للامتثال لسدها. تُقدَّم الدورة باللغتين العربية والإنجليزية عبر ست وحدات تغطي مصطلحات إدارة المخاطر، وأبرز أنواع المخاطر، وتقنيات التحديد والتقييم، وأدوات التحليل وترتيب الأولويات، واستراتيجيات التخفيف والمراقبة، والتطبيق العملي - وهي مصممة لمديري المخاطر ومسؤولي الامتثال وأصحاب الأعمال. ويمكن للفرق المستعدة لرفع تقارير إلى مجلس الإدارة إكمال دورة إدارة المخاطر خلال 3-4 ساعات وتطبيق قائمة التحقق من الجاهزية أعلاه مباشرة بعد ذلك.
الخاتمة
لم تعد إدارة المخاطر المؤسسية في المملكة العربية السعودية مجرد توصية لأفضل الممارسات، بل أصبحت توقعًا محددًا، مادة بمادة، بموجب لائحة حوكمة الشركات الصادرة عن هيئة السوق المالية - وضرورة عملية في ظل وتيرة التغيير السيبراني والمالي والتنظيمي المتسارعة في المملكة.
