مخطط انسيابي لقرار قبول المخاطر

كيف تعمل

1. أعد تسمية المسارات بحقوق القرار لديك

   استبدل مالك المخاطرة ومدير المخاطر والشؤون القانونية والامتثال وجهة الاعتماد بالأدوار الموجودة لديك فعلاً. وأبقِ مالك المخاطرة منفصلاً عن مدير المخاطر: الأول يحمل النتيجة، والثاني يدير المنهجية وينبغي ألا يكون هو الموقِّع. وإن كانت إدارتك التنفيذية ولجنة المخاطر هيئةً واحدة، فادمجهما في جهة اعتماد واحدة بدل رسم تسليم لا يحدث.

2. دوّن عتبة التقبّل على اختبار الحدود

   «هل المخاطرة المتبقية ضمن حدود التقبّل؟» هو محور المخطط كله، فضع بجواره العتبة الواردة في سياسة المخاطر لديك: نطاق الدرجة، أو العبارة الصريحة لما ستحمله المؤسسة وما لن تحمله بالمال أو بمدة التوقف أو بالضرر أو بالسمعة. فحدود التقبّل التي تعيش داخل وثيقة سياسة فقط تُقدَّر من الذاكرة، وهكذا يصبح التعرّض نفسه ضمن الحدود على مكتب وخارجها على آخر.

3. اربط نطاقات التصنيف بجهات اعتماد مُسمّاة

   استبدل «منخفض/متوسط» و«مرتفع/حرج» بنطاقات درجاتك أنت، وسمِّ من يجوز له التوقيع عند كل نطاق. وقاعدتان تحفظان نزاهة الفرع: لا يقبل أحد مخاطرة لصالحه حين يكون القبول هو ما يفكّ عرقلة مشروعه، ويتحقق فرع المدير من الصلاحية المفوّضة صراحةً بدل افتراض أن الأقدمية تعني وجودها. وكل ما يتجاوز حدّ المدير يُوجَّه إلى اللجنة، وهذا هو الغرض من «هل لدى المدير صلاحية مفوّضة؟».

4. عرّف ما الذي يُحتسب ضابطاً تعويضياً

   على فرع خارج حدود التقبّل، يكون الضابط التعويضي هو الشيء الوحيد الحائل بين الاستثناء والرفض، فحدّد الاختبار. يجب أن يكون قائماً بالفعل لا مخططاً له، ومُثبَتاً بأدلة لا مدّعىً، وأن يخفّض التعرّض نفسه لا تعرّضاً مجاوراً. والمراقبة لا تُحتسب إلا إذا كان أحدهم ملزماً بالتصرف بناءً على ما تُبلِّغ عنه.

5. ضع سقفاً لمدة القبول وحدّد ما يحدث عند انتهائها

   ضع حداً أقصى للمدة بدل تركها للمُقترِح، وعادةً ألا تتجاوز المراجعة المجدولة التالية وأن تكون أقصر للمخاطر عالية التصنيف، وأضف محفّزات حدثية مثل وقوع حادثة أو تغيير في نظام أو عقد جديد أو تغيّر في الضابط نفسه. وانصّ على أن القبول يسقط عند انتهاء المدة وتعود المخاطرة إلى هذه الشجرة، لأن قبولاً يتجدّد بصمت هو قبول مفتوح يرتدي تاريخاً.

6. دوّن القرار في السجل ثم احتفظ بنسخة سارية واحدة

   مُخرَج الشجرة سجلّ: من قبِل، وعند أي نطاق وبأي صلاحية مفوّضة، والشروط والضابط التعويضي، وتاريخ الانتهاء والمراجعة، ومقارنة المعالجة التي بررت القبول بدلاً منها. استعرض المخطط النهائي مع المخاطر والشؤون القانونية ومن يوقّع، وصحّحه ليطابق ما يفعلونه فعلاً، ثم انشر تلك المراجعة واحتفظ بالسابقة ليعرف من يفتحه لاحقاً أي نسخة يقرأ.

الأسئلة الشائعة

ما هو قبول المخاطر؟

قبول المخاطر قرار بالاحتفاظ بمخاطرة متبقية عن علم بدل خفضها أو نقلها أو تجنّبها. ويُدرج معيار ISO 31000 الاحتفاظ بالمخاطرة بقرار مستنير ضمن خيارات المعالجة، والعبارة الجديرة بالتمسّك بها هي «قرار مستنير»: الفرق بين قبول مخاطرة وتجاهلها هو وجود شخص مُسمّى يملك صلاحية حملها، وسجل لما كان معلوماً حين قرّر، وشروط مرفقة بالقرار. والقبول مشروع حين تكون المعالجة قد كُلِّفت مالياً وحُكم بأنها غير متناسبة مع التعرّض، وهو غير مشروع بوصفه ما يحدث حين لا يموّل أحد الضابط، ولهذا يختبر أول قرارين في هذا المخطط تحليل المعالجة قبل النظر في القبول أصلاً.

من ينبغي أن يملك صلاحية قبول مخاطرة؟

من يُساءل عن النتيجة، عند مستوى يوازي التصنيف. ومعظم المؤسسات تضبط ذلك في جدول تفويض: مدير قسم أو إدارة للتصنيفات المنخفضة والمتوسطة، ومالك تنفيذي أو لجنة المخاطر للمرتفعة والحرجة. وهناك ضمانتان أهم من موضع الخط نفسه. الأولى أن المخطط يتحقق من الصلاحية المفوّضة صراحةً عبر «هل لدى المدير صلاحية مفوّضة؟» بدل افتراض أن الأقدمية تعني وجودها، وأن كل ما يتجاوز الحد يُصعَّد بدل التوقيع عليه محلياً. والثانية ألا تكون جهة الاعتماد هي من يخدمها القبول: فإذا كان القبول هو ما يفك عرقلة مشروع أحدهم أو ميزانيته، فالقرار يخصّ مستوى أعلى.

هل يجوز قبول مخاطرة تخالف قانوناً أو نظاماً أو عقداً؟

لا. لا تستطيع المؤسسة أن تقرّر أن تكون غير ممتثلة، فمخالفة معلومة لالتزام تشريعي أو تنظيمي أو تعاقدي تُعالَج تصحيحياً ولا تُقبَل، وفي هذا المخطط لا يصل ذلك الفرع إلى معتمِد أبداً بل يخرج إلى «رفض القبول والمعالجة التصحيحية». وما يمكن تحديد مدته مشروعاً هو التعرّض المؤقت أثناء تنفيذ المعالجة: خطة بمالك وتاريخ، وتصعيد إلى من يلزم إعلامه، واستشارة قانونية بشأن التزامات الإفصاح أو الإبلاغ حيثما انطبقت. أما تسجيل ذلك بوصفه مخاطرة مقبولة فهو الصيغة التي يتعامل معها المدقّقون والجهات الرقابية بشدة، لأنها توثّق قراراً بحمل مخالفة.

هل ينبغي أن يكون لقبول المخاطرة تاريخ انتهاء؟

نعم. القبول حكم على التعرّض والضوابط وكلفة المعالجة كما كانت في يوم واحد، وثلاثتها تتغير. امنح كل قبول مدةً وتاريخ مراجعة، وضع سقف المدة في السياسة بدل تركه للمُقترِح، واجعله أقصر للتصنيفات الأعلى. وانصّ صراحةً على ما يحدث عند انتهائه: يسقط القبول وتعود المخاطرة إلى شجرة القرار هذه لإجابة جديدة، بدل التجديد الضمني. وأضف محفّزات حدثية إلى جانب التاريخ، مثل وقوع حادثة أو تغيير في نظام أو مورّد أو عقد جديد أو تعديل الضابط التعويضي أو إزالته، لأن هذه تخبرك أن الحكم تقادم قبل أن يخبرك التقويم.

كيف يختلف هذا عن مخطط عملية تقييم المخاطر؟

كل منهما يجيب على سؤال مختلف. مخطط عملية تقييم المخاطر خريطة عملية متعددة الوظائف: يبيّن ماذا يحدث تالياً ومن ينفّذه، من التحديد مروراً بالتقييم وفعالية الضوابط والمعالجة حتى دورة المراجعة. أما هذه الصفحة فشجرة قرار للحظة واحدة داخل تلك العملية، وهي النقطة التي كُلِّفت فيها المعالجة مالياً وصار على أحدهم أن يختار بين المعالجة والقبول. ولا مهام فيها تُسلَّم، بل اختبارات تُجاب من الأدلة، وتنتهي عند خمس نتائج متمايزة لا عند سجل مغلق واحد. فإن كنت توثّق الإجراء فاستخدم قالب عملية تقييم المخاطر، وإن كنت تحسم من يقبل ماذا وبأي شروط وإلى متى فاستخدم هذا.