كيفية إنشاء عملية تقييم المخاطر

باختصار

• المعايير وحدود التقبّل قبل تحديد المخاطر، وإلا فالدرجات غير قابلة للمقارنة.
• اكتب المخاطرة كسبب وحدث وأثر، لا كاسم مجرّد.
• قيّم المخاطرة الكامنة والمتبقية منفصلتين حتى تظهر مساهمة الضوابط.
• القبول أسلوب معالجة، ويحتاج معتمِداً يملك صلاحية حمل المخاطرة.
• كل قيد ينتهي بمالك مُسمّى وتاريخ مراجعة.

اعتمد المقاييس قبل أن يقيّم أحد أي شيء

تقييم المخاطر يختلّ قبل التقييم لا في أثنائه. فإذا كانت مقاييس الاحتمالية والأثر غير معرّفة وعتبة التقبّل غير معلنة، قيّم مقيّمان الانكشاف نفسه بدرجتين مختلفتين وكان لكليهما ما يبرّره؛ وهذا يحوّل السجل إلى مجموعة آراء لا يمكن ترتيبها. اعتماد المعايير أولاً عمل غير لافت، وهو تحديداً ما يجعل كل ما بعده قابلاً للمقارنة.

الإخفاق الثاني هو صياغة المخاطرة. «إخفاق المورّد» لا يمكن تقييمها، لأنها لا تسمّي ما قد يسبّبها ولا ما قد يترتب عليها، فيتحول التقييم إلى جدل حول معنى العبارة. السبب والحدث والأثر هو الحد الأدنى من البنية الذي يجعل المخاطرة قابلة للتقييم؛ وكتابتها بهذه الصيغة تُجبر القيود الغامضة في معظم السجلات على أن تصبح إما محددة وإما مكرّرة بوضوح.

المثال أدناه عملية تقييم مخاطر عبر خمسة مسارات وخمس مراحل. وهو يقيّم المخاطرة الكامنة قبل احتساب أثر الضوابط، ويقارن المتبقية بحدود التقبّل، ويرسم القبول كقرار اعتماد لا كما يحدث حين لا يتحرك أحد.

من المُحفِّز إلى قيد سجل خاضع للمتابعة

عملية تقييم مخاطر عبر خمسة مسارات. راقب تقييم المخاطرة الكامنة والمتبقية كلٍّ على حدة.

1. المعايير أولاً

   تحديد النطاق والأهداف، ثم اعتماد المعايير وحدود التقبّل. إنجاز ذلك قبل تحديد المخاطر هو ما يجعل درجات مقيّمَين قابلة للمقارنة؛ وهو الخطوة الأكثر تخطّياً لمصلحة الذهاب مباشرةً إلى ورشة عمل.

2. حدّد، ثم صِف كما ينبغي

   تحديد المخاطر مع الفريق، وتسجيلها في سجل المخاطر، وفحص التكرار الذي يدمج بدل أن يحسب مرتين، ثم وصف السبب والحدث والأثر. خطوة الوصف قائمة لأن سجلاً مليئاً بمخاطر من كلمة واحدة لا يمكن تقييمه أصلاً.

3. قيّم قبل الضوابط وبعدها

   تقدير الاحتمالية والأثر، ثم تقييم المخاطرة الكامنة، ثم تقييم تصميم الضوابط القائمة وفاعليتها، ثم مقارنة المتبقية بحدود التقبّل. الاكتفاء بتقييم الوضع المتبقي يخفي كم يتوقف على ضابط وحيد لم يختبره أحد.

4. أربعة أساليب معالجة، والقبول يحتاج توقيعاً

   تخفيض أو نقل أو تجنّب أو قبول: على أن يمرّ القبول باعتماد على المستوى المناسب. هذا الاعتماد هو الفارق بين قبول مخاطرة وتجاهلها، وبدونه يصبح القبول هو الخيار الافتراضي بلا قرار.

5. مالك وتاريخ مراجعة، ثم متابعة

   إعادة التقييم بعد المعالجة تعود إلى خيارات المعالجة إن بقيت المخاطرة المتبقية مرتفعة، ثم تحديد مالك المخاطرة وتاريخ المراجعة قبل المتابعة. قيد سجل بلا الاثنين يكون دقيقاً يوم كتابته ثم يتآكل بصمت.

كيف تعمل

1. دوّن المقاييس وحدود التقبّل

   عرّف مستويات الاحتمالية والأثر بعبارات ملموسة (مال، وتوقف، وضرر، وأثر تنظيمي) وحدّد العتبة التي يجب فوقها معالجة المخاطرة لا قبولها. المعايير التي تبقى داخل وثيقة سياسة تُقدَّر من الذاكرة، وهكذا يصل مقيّمان إلى درجتين مختلفتين من الوقائع نفسها.

2. حدّد المخاطر مع من ينفّذون العمل

   أدر خطوة التحديد كنشاط جماعي مع الموظفين التشغيليين، مدعوماً بسجل الحوادث ونتائج التدقيق. التحديد المنفرد على المكتب يُفوّت المخاطر التي لا يراها إلا الممارسون، ولا يعوّض أي قدر من دقة التقييم لاحقاً عن مخاطرة لم تُكتب أصلاً.

3. افرض صيغة السبب والحدث والأثر

   أعد كتابة كل قيد بصيغة «قد يسبّب س حدوث ص، فينتج عنه ع». ينكمش حجم معظم السجلات عند فعل ذلك، لأن عدة قيود تتبيّن أنها المخاطرة نفسها موصوفة من زوايا مختلفة. أما ما يبقى منها فيصبح قابلاً للتقييم.

4. قيّم المخاطرة الكامنة قبل احتساب الضوابط

   أبقِ التقييمين خطوتين منفصلتين. ثم قيّم تصميم الضابط وفاعلية تشغيله كلاً على حدة، لأن ضابطاً محكم التصميم لا ينفّذه أحد لا يساوي شيئاً، والسجل الذي يفترض غير ذلك متفائل بطريقة لا تستطيع رؤيتها.

5. حدّد مستوى الاعتماد اللازم للقبول

   دوّن من يجوز له قبول مخاطرة في كل نطاق درجات، واشترط تسجيل القبول باسم محدد. هذه القاعدة وحدها هي ما يمنع امتلاء السجل بمخاطر قُبِلت افتراضياً لأن أحداً لم يجد وقتاً لمعالجتها.

6. امنح كل قيد مالكاً ومُحفِّز مراجعة

   مالك مخاطرة مُسمّى، لا إدارة، وتاريخ مراجعة على القيد، إضافةً إلى محفّزات حدثية: حادثة، أو تغيير مورّد، أو نظام جديد، أو ملاحظة تدقيق. السجل الذي يُراجَع سنوياً فقط هو وصف للعام الماضي.

أخطاء ينبغي تجنّبها

• التقييم قبل اعتماد المقاييس

  لا يمكن ترتيب النتائج ولا مقارنتها، وأول اعتراض جدّي على درجة يُسقط الثقة بالسجل كله.

• مخاطر مكتوبة كأسماء مجرّدة

  «الأمن السيبراني» و«إخفاق المورّد» فئتان لا مخاطرتان. لا يمكن تقييمها ولا معالجتها ولا إسنادها إلى مالك.

• الاكتفاء بتقييم المخاطرة المتبقية

  يبدو السجل مطمئناً ولا يستطيع إخبارك أي الضوابط حامل للثقل؛ وهو السؤال الذي يهمّ حين يتغير أحدها.

• القبول بالتقصير

  مخاطرة لم يعالجها أحد ولم يوقّع عليها أحد تكون قد قُبِلت دون أن يقرّر ذلك أحد. اجعل القبول اعتماداً.

أنشئ عملية تقييم المخاطر الخاصة بك

افتح مثال تقييم المخاطر كمخطط خاص بك، ودوّن مقاييسك، وحدّد مستوى الاعتماد اللازم لقبول المخاطر.

أنشئ عملية تقييم المخاطر الخاصة بك

أدلة ذات صلة

• كيفية إجراء التدقيق الداخلي
• كيفية إنشاء عملية ضبط الوثائق
• كيفية إدارة نتائج التدقيق

الأسئلة الشائعة

ما خطوات عملية تقييم المخاطر؟

تحديد النطاق والمعايير، ثم تحديد المخاطر، ثم وصف كل منها كسبب وحدث وأثر، ثم تحليل الاحتمالية والأثر، ثم مقارنة الوضع المتبقي بحدود التقبّل، ثم اختيار أسلوب المعالجة، ثم إسناد مالك وتاريخ مراجعة. ويجمع ISO 31000 التحديد والتحليل والتقييم تحت مسمى تقييم المخاطر، وتليها المعالجة. والترتيب هو ما يجعل النتائج قابلة للمقارنة: المعايير قبل التقييم، والوصف قبل التحليل، والتقييم قبل أن يقترح أحد ضوابط.

ما الفرق بين المخاطرة الكامنة والمخاطرة المتبقية؟

الكامنة هي الانكشاف قبل احتساب الضوابط القائمة، والمتبقية هي ما يبقى بعدها. وتقييم الاثنتين يُظهر الضوابط: مخاطرة بدرجة كامنة عالية ودرجة متبقية منخفضة يمسك بها شيء محدد، وإن كان ذلك الشيء فحصاً يدوياً واحداً ينفّذه شخص واحد، فمن المفيد معرفة ذلك قبل أن يغادر. السجلات التي تدوّن الدرجة المتبقية وحدها لا تستطيع الإجابة عن أي الضوابط حامل للثقل.

ما أساليب معالجة المخاطر الأربعة؟

التخفيض (إضافة ضوابط أو تعزيزها)، والنقل (التأمين أو الشروط التعاقدية أو الإسناد الخارجي)، والتجنّب (إيقاف النشاط أو تغييره)، والقبول (حملها عن علم). والقبول خيار حقيقي يحتاج معتمِداً: الفارق بين قبول مخاطرة وتجاهلها هو شخص مُسمّى يملك الصلاحية وسجل يثبت أنه قرّر. أما النقل فهو الأكثر مبالغةً في تقديره: إذ ينقل التأمين الأثر المالي ونادراً ما ينقل الأثر التشغيلي أو الأثر على السمعة.

كل كم ينبغي مراجعة المخاطر؟

بوتيرة تحددها الدرجة، إضافةً إلى محفّزات حدثية. المراجعة السنوية أساس معقول للمخاطر منخفضة الدرجة، والربع سنوية لما يقترب من عتبة التقبّل، لكن المحفّزات أهم: مورّد جديد، أو تغيير في نظام، أو حادثة، أو تغيير تنظيمي، أو ملاحظة تدقيق، ينبغي أن يقدّم كلٌّ منها مراجعة القيود المتأثرة. والاكتفاء بالمراجعة المجدولة يعني أن السجل دقيق يوم كتابته ثم ينحرف بقية العام.