كيفية إنشاء عملية تقييم المخاطر

كيف تعمل

1. دوّن المقاييس وحدود التقبّل

   عرّف مستويات الاحتمالية والأثر بعبارات ملموسة — مال، وتوقف، وضرر، وأثر تنظيمي — وحدّد العتبة التي يجب فوقها معالجة المخاطرة لا قبولها. المعايير التي تبقى داخل وثيقة سياسة تُقدَّر من الذاكرة، وهكذا يصل مقيّمان إلى درجتين مختلفتين من الوقائع نفسها.

2. حدّد المخاطر مع من ينفّذون العمل

   أدر خطوة التحديد كنشاط جماعي مع الموظفين التشغيليين، مدعوماً بسجل الحوادث ونتائج التدقيق. التحديد المنفرد على المكتب يُفوّت المخاطر التي لا يراها إلا الممارسون، ولا يعوّض أي قدر من دقة التقييم لاحقاً عن مخاطرة لم تُكتب أصلاً.

3. افرض صيغة السبب والحدث والأثر

   أعد كتابة كل قيد بصيغة «قد يسبّب س حدوث ص، فينتج عنه ع». ينكمش حجم معظم السجلات عند فعل ذلك، لأن عدة قيود تتبيّن أنها المخاطرة نفسها موصوفة من زوايا مختلفة — أما ما يبقى منها فيصبح قابلاً للتقييم.

4. قيّم المخاطرة الكامنة قبل احتساب الضوابط

   أبقِ التقييمين خطوتين منفصلتين. ثم قيّم تصميم الضابط وفاعلية تشغيله كلاً على حدة، لأن ضابطاً محكم التصميم لا ينفّذه أحد لا يساوي شيئاً، والسجل الذي يفترض غير ذلك متفائل بطريقة لا تستطيع رؤيتها.

5. حدّد مستوى الاعتماد اللازم للقبول

   دوّن من يجوز له قبول مخاطرة في كل نطاق درجات، واشترط تسجيل القبول باسم محدد. هذه القاعدة وحدها هي ما يمنع امتلاء السجل بمخاطر قُبِلت افتراضياً لأن أحداً لم يجد وقتاً لمعالجتها.

6. امنح كل قيد مالكاً ومُحفِّز مراجعة

   مالك مخاطرة مُسمّى — لا إدارة — وتاريخ مراجعة على القيد، إضافةً إلى محفّزات حدثية: حادثة، أو تغيير مورّد، أو نظام جديد، أو ملاحظة تدقيق. السجل الذي يُراجَع سنوياً فقط هو وصف للعام الماضي.

الأسئلة الشائعة

ما خطوات عملية تقييم المخاطر؟

تحديد النطاق والمعايير، ثم تحديد المخاطر، ثم وصف كل منها كسبب وحدث وأثر، ثم تحليل الاحتمالية والأثر، ثم مقارنة الوضع المتبقي بحدود التقبّل، ثم اختيار أسلوب المعالجة، ثم إسناد مالك وتاريخ مراجعة. ويجمع ISO 31000 التحديد والتحليل والتقييم تحت مسمى تقييم المخاطر، وتليها المعالجة. والترتيب هو ما يجعل النتائج قابلة للمقارنة: المعايير قبل التقييم، والوصف قبل التحليل، والتقييم قبل أن يقترح أحد ضوابط.

ما الفرق بين المخاطرة الكامنة والمخاطرة المتبقية؟

الكامنة هي الانكشاف قبل احتساب الضوابط القائمة، والمتبقية هي ما يبقى بعدها. وتقييم الاثنتين يُظهر الضوابط: مخاطرة بدرجة كامنة عالية ودرجة متبقية منخفضة يمسك بها شيء محدد، وإن كان ذلك الشيء فحصاً يدوياً واحداً ينفّذه شخص واحد، فمن المفيد معرفة ذلك قبل أن يغادر. السجلات التي تدوّن الدرجة المتبقية وحدها لا تستطيع الإجابة عن أي الضوابط حامل للثقل.

ما أساليب معالجة المخاطر الأربعة؟

التخفيض (إضافة ضوابط أو تعزيزها)، والنقل (التأمين أو الشروط التعاقدية أو الإسناد الخارجي)، والتجنّب (إيقاف النشاط أو تغييره)، والقبول (حملها عن علم). والقبول خيار حقيقي يحتاج معتمِداً: الفارق بين قبول مخاطرة وتجاهلها هو شخص مُسمّى يملك الصلاحية وسجل يثبت أنه قرّر. أما النقل فهو الأكثر مبالغةً في تقديره — إذ ينقل التأمين الأثر المالي ونادراً ما ينقل الأثر التشغيلي أو الأثر على السمعة.

كل كم ينبغي مراجعة المخاطر؟

بوتيرة تحددها الدرجة، إضافةً إلى محفّزات حدثية. المراجعة السنوية أساس معقول للمخاطر منخفضة الدرجة، والربع سنوية لما يقترب من عتبة التقبّل، لكن المحفّزات أهم: مورّد جديد، أو تغيير في نظام، أو حادثة، أو تغيير تنظيمي، أو ملاحظة تدقيق، ينبغي أن يقدّم كلٌّ منها مراجعة القيود المتأثرة. والاكتفاء بالمراجعة المجدولة يعني أن السجل دقيق يوم كتابته ثم ينحرف بقية العام.