مدیریت ریسک چیست و چرا اهمیت دارد؟

مدیریت ریسک فرآیند شناسایی، ارزیابی و کنترل تهدیدات برای سرمایه و درآمد یک سازمان است. این خطرات از منابع مختلفی از جمله عدم قطعیت‌های مالی، بدهی‌های قانونی، مسائل فناوری، خطاهای مدیریت استراتژیک، حوادث و بلایای طبیعی ناشی می‌شوند. یک برنامه مدیریت ریسک موفق به سازمان کمک می‌کند تا طیف کاملی از ریسک‌هایی را که با آن مواجه است در نظر بگیرد. مدیریت خطر همچنین رابطه بین ریسک‌ها و تأثیر آنها بر اهداف استراتژیک سازمان را بررسی می‌کند.

این رویکرد کل‌نگر برای مدیریت خطر، به دلیل تأکید بر پیش‌بینی و درک خطر در سراسر سازمان، گاهی به عنوان مدیریت خطر سازمانی توصیف می‌شود. علاوه بر تمرکز بر تهدیدات داخلی و خارجی، مدیریت ریسک سازمانی (ERM) بر اهمیت مدیریت ریسک مثبت تأکید دارد. ریسک‌های مثبت فرصت‌هایی هستند که می‌توانند ارزش کسب‌وکار را افزایش دهند یا برعکس، در صورت عدم استفاده، به سازمان آسیب بزنند. در واقع، هدف هر برنامه مدیریت خطر حذف تمام ریسک‌ها نیست، بلکه حفظ و افزودن ارزش شرکت با اتخاذ تصمیمات ریسک هوشمند است.

بنابراین، یک برنامه مدیریت خطر باید با استراتژی سازمانی در هم آمیخته شود. برای پیوند آنها، رهبران مدیریت خطر ابتدا باید ریسک‌پذیری سازمان را تعریف کنند؛ یعنی میزان ریسکی که یک کسب‌وکار برای تحقق اهدافش مایل است بپذیرد.

وظیفه بزرگ هر سازمان این است که تعریف کند کدام ریسک‌ها با ریسک‌پذیری سازمان مطابقت دارند و کدام‌یک نیاز به کنترل‌ها و اقدامات اضافی دارند. هر سازمانی با خطر رویدادهای غیرمنتظره و مضری مواجه است که می‌تواند برایش هزینه داشته باشد یا باعث تعطیلی آن شود. ریسک‌های انجام نشده نیز می‌تواند باعث دردسر شود.

چرا مدیریت ریسک مهم است؟

حال که به تعریف مدیریت ریسک پرداختیم، لازم است به دلایل اهمیت آن نیزمدیریت ریسک شاید هیچ‌گاه مهم‌تر از دوره کنونی نبوده است. خطراتی که سازمان‌های مدرن با آن مواجه هستند، به دلیل سرعت فزاینده جهانی‌شدن، پیچیده‌تر شده‌اند. خطرات جدید دائماً در حال ظهور هستند که اغلب به استفاده فراگیر از فناوری دیجیتال مربوط و توسط آن ایجاد می‌شوند. تغییرات اقلیمی توسط کارشناسان ریسک “ضریب افزایش تهدید” لقب گرفته است.

یک ریسک خارجی اخیر که خود را به عنوان یک موضوع زنجیره تأمین در بسیاری از شرکت‌ها نشان داد – همه‌گیری ویروس کرونا – به سرعت به یک تهدید وجودی تبدیل شد و بر سلامت و ایمنی کارکنان، ابزار انجام تجارت، توانایی تعامل با مشتریان و شهرت شرکت‌ها تأثیر گذاشت.

کسب‌وکارها به سرعت در برابر تهدیدات ناشی از همه‌گیری تغییراتی ایجاد کردند. اما، پس از همه‌گیری نیز با خطرات جدیدی دست‌وپنجه نرم کردند، از جمله اینکه چگونه کارکنان را به شرکت بازگردانند، چه کاری باید انجام شود تا زنجیره تأمین آنها کمتر آسیب‌پذیر شود و… .

با توجه به این بحران‌ها، شرکت‌ها و هیئت‌مدیره آنها نگاهی تازه به برنامه‌های مدیریت خطر خود دارند. آنها مجدداً احتمالات قرار گرفتن در معرض خطر و فرآیندهای ریسک را ارزیابی می‌کنند. سازمان‌ها همچنین این موضوع را بررسی می‌کنند که چه کسانی باید در مدیریت خطر مشارکت داشته باشند. شرکت‌هایی که در حال حاضر رویکردی واکنشی برای مدیریت خطر دارند – محافظت در برابر ریسک‌های گذشته و تغییر رویه‌ها پس از اینکه یک ریسک جدید باعث آسیب شود – مزایای رقابتی یک رویکرد فعال‌تر را در نظر می‌گیرند. در این گونه کسب‌وکارها علاقه زیادی به حمایت از پایداری، انعطاف‌پذیری و چابکی سازمانی وجود دارد.

مدیریت ریسک سنتی در مقابل مدیریت ریسک سازمانی

مدیریت خطر سنتی این روزها در مقایسه با مدیریت خطر سازمانی، طرفدار کمتری دارد. هدف هر دو رویکرد کاهش خطراتی است که می‌تواند به سازمان‌ها آسیب برساند. هر دو بیمه می‌خرند تا در برابر طیف وسیعی از خطرات از کسب‌وکارشان محافظت کنند، از خسارت ناشی از آتش‌سوزی و سرقت گرفته تا مسائل سایبری. هر دو به راهنمایی‌های ارائه شده توسط نهادهای استاندارد اصلی پایبند هستند. اما کارشناسان استدلال می‌کنند که مدیریت خطر سنتی فاقد طرز فکر و مکانیسم‌های مورد نیاز برای درک خطر به عنوان بخشی جدایی‌ناپذیر از استراتژی و عملکرد سازمانی است.

برای مثال، در برنامه‌های مدیریت خطر سنتی، ریسک معمولاً وظیفه رهبران کسب‌وکار و یا مسئول واحدهایی است که عامل خطر، پیوسته در آنها وجود دارد. به عنوان مثال، CIO یا CTO مسئول ریسک فناوری اطلاعات است، CFO مسئول ریسک مالی، COO برای ریسک عملیاتی و غیره است.

در مدیریت ریسک سازمانی، مدیریت خطر یک تلاش مشترک، متقابل و با تصویر بزرگ است. یک تیم ERM که می‌تواند به اندازه پنج نفر باشد، با رهبران و کارکنان واحد تجاری کار می‌کند تا انواع ریسک‌ها را برایشان توضیح دهد، به آنها کمک کند تا از ابزارهای مناسب برای فکر کردن در مورد خطرات، جمع‌آوری اطلاعات و ارائه آن به رهبری اجرایی و هیئت‌مدیره سازمان استفاده کنند.

ریسک‌گریزی یکی دیگر از ویژگی‌های سازمان‌های مدیریت خطر سنتی است. اما شرکت‌هایی که خود را ریسک‌گریز با ریسک پایین تعریف می‌کنند، گاهی اوقات در ارزیابی ریسک‌شان دچار اشتباه می‌شوند.

انواع مدیریت ریسک

با توجه به انواع ریسک‌هایی که احتمال دارد سازمان‌ها با آنها روبه‌رو شوند، مدیریت ریسک نیز به انواع گوناگونی تقسیم می‎‌شود. مهم‌ترین انواع مدیریت ریسک عبارتند از:

مدیریت ریسک مالی

این نوع مدیریت ریسک شامل شناسایی و مدیریت ریسک‌های مالی همچون ریسک تغییرات بازار، ریسک‌های ناشی از بدهی‌ها و ریسک‌های ناشی از میزان نقدینگی است. برای مثال، ریسک‌های اعتباری ممکن است به علت بدهی وام‌ها، بدهی‌های پرداخت نشده توسط مشتریان و یا تغییرات نرخ بهره بانکی ایجاد شود. در این نوع مدیریت ریسک، ابتدا باید ریسک‌های مالی که ممکن است بر سازمان تأثیرگذار باشند، شناسایی شوند. پس از آن، می‌توان راهکارهایی را برای کنترل و کاهش این ریسک‌ها اجرا کرد.

مدیریت ریسک پروژه

به فرآیندی می‌گویند که در آن ریسک‌های مربوط به پروژه شناسایی، تحلیل، ارزیابی و کنترل می‌شوند تا کیفیت و موفقیت پروژه را تضمین کنند. در این فرآیند، بعد از شناسایی و تحلیل ریسک‌های مرتبط با پروژه، احتمال و تأثیر هر یک بر پروژه تعیین و فعالیت‌های کنترلی و پیشگیرانه متناسب برای آنها مشخص می‌شود. مدیریت ریسک پروژه، احتمال وقوع خطاها، تأخیر در پروژه و یا افزایش هزینه‌ها را کاهش می‌دهد.

مدیریت ریسک استراتژیک

این نوع مدیریت ریسک شامل شناسایی و مدیریت ریسک‌های مرتبط با وضعیت استراتژیک یک سازمان همچون شرایط رقابت در بازار، تغییر سلیقه مشتریان و گسترش فناوری‌های نوین است. برای مثال، ریسک‌های رقابتی در بازار ممکن است به علت افزایش تعداد رقبا و یا محبوب شدن محصولات و خدمات آنها به وجود بیاید. در این نوع مدیریت ریسک، راه‌حل‌های پیشگیری و کاهش این ریسک‌ها پیگیری می‌شود.

مدیریت ریسک عملیاتی

این نوع مدیریت ریسک شامل شناسایی و مدیریت ریسک‌های مربوط به فعالیت‌های روزانه یک شرکت همچون عدم ایمنی کارکنان، عدم فعالیت صحیح مدیران، اعتصابات کارکنان و بی‌ثباتی در فرآیندهای کاری است. مدیریت ریسک عملیاتی به دنبال پیشگیری از نقص در فرآیندهای کاری، اشتباهات انسانی، مشکلات فنی، اختلالات سیستمی و مشکلات دیگر مربوط به فعالیت‌های روزمره شرکت است. مدیریت ریسک عملیاتی، همچنین به دنبال بهبود فرآیندهای کاری و استفاده از فناوری‌های جدید مانند نرم‌افزارهای اتوماسیون برای خودکارسازی فعالیت‌های روزمره سازمان است.

مدیریت ریسک پایبندی به مقررات

این نوع مدیریت ریسک شامل شناسایی و مدیریت ریسک‌های مرتبط با پایبندی به قوانین و مقررات، همچون نقض قوانین مالیاتی، رعایت قوانین مربوط به حریم خصوصی، رعایت قوانین مالکیت معنوی، رعایت تعهدات قراردادی و امثال اینهاست. در این رویکرد از برنامه‌های کنترلی، نظارتی و آموزشی به منظور پیشگیری از وقوع این نوع ریسک‌ها استفاده می‌شود.

مدیریت ریسک فناوری اطلاعات

در این نوع مدیریت ریسک، ریسک‌های مرتبط با فناوری اطلاعات همچون نقض امنیت داده‌ها و حریم خصوصی، حملات سایبری و خطرات دیگر مرتبط با فناوری اطلاعات شناسایی می‌شود. سپس برای کاهش این ریسک‌ها، شیوه‌هایی مثل استفاده از ابزارهای امنیتی و محافظتی، ایجاد فرآیندهای کنترلی، آموزش کارکنان و تدابیر امنیتی اتخاذ می‌شود.

مدیریت ریسک زنجیره تأمین

به مجموعه اقداماتی گفته می‌شود که در آن ریسک‌های مرتبط با زنجیره تأمین همچون مشکلات در تأمین مواد اولیه، تغییر در نیازهای مشتریان و یا نواسانات در قیمت‌ها شناسایی، ارزیابی، اولویت‌بندی و کنترل می‌شوند تا خطرات مربوط به این زنجیره به حداقل رسانده شود.

مدیریت ریسک کسب و کار

مدیریت ریسک کسب و کار یا Enterprise Risk Management به مجموعه فعالیت‌هایی گفته می‌شود که در آن همه ابعاد ریسک‌های مرتبط با سازمان شناسایی، ارزیابی و کنترل می‌شوند تا خطرات مربوط به فعالیت‌های سازمان به حداقل رسانده شود. با پیاده‌سازی مدیریت ریسک کسب و کار، سازمان می‌تواند بهترین تصمیمات را در خصوص مدیریت ریسک‌های خود بگیرد و برای کاهش خطرات مرتبط با فعالیت‌های خود، استراتژی‌های مناسب را طراحی و اجرا کند.

فرآیند مدیریت ریسک

فرآیند مدیریت خطر شامل 5 مرحله زیر است و می‌تواند توسط هر نوع نهادی مورد استفاده قرار گیرد:

• خطرات را شناسایی کنید.
• احتمال و تأثیر هر یک را تجزیه و تحلیل کنید.
• ریسک‌ها را بر اساس اهداف تجاری اولویت‌بندی کنید.
• شرایط خطر را شناسایی کنید و به آنها پاسخ دهید.
• نتایج را پایش کرده و در صورت لزوم تنظیم کنید.

مراحل ساده هستند، اما کمیته‌های مدیریت خطر نباید کار مورد نیاز برای تکمیل فرآیند را دست کم بگیرند. برای شروع، نیاز به درک کاملی از آنچه که سازمان را به پذیرش یک ریسک وادار می‌کند، دارد. هدف نهایی ایجاد مجموعه‌ای از فرآیندها برای شناسایی ریسک‌هایی است که سازمان با آنها مواجه است، احتمال و تأثیر این ریسک‌های مختلف، چگونگی ارتباط هر یک با حداکثر ریسکی که سازمان مایل به پذیرش آن است و اقداماتی که باید برای حفظ و نگهداری و افزایش ارزش سازمانی انجام شود.

ریسک بر اساس دسته‌بندی‌ها به چهار دسته زیر تقسیم‌بندی می‌شود:

• ریسک استراتژیک (به عنوان مثال، شهرت، روابط با مشتری، نوآوری‌های فنی)؛
• ریسک مالی و گزارشگری (به عنوان مثال، بازار، مالیات، اعتبار)؛
• ریسک انطباق و حاکمیت (به عنوان مثال، اخلاق، مقررات، تجارت بین‌المللی، حریم خصوصی)؛
• ریسک عملیاتی (به عنوان مثال، امنیت و حریم خصوصی فناوری اطلاعات، زنجیره تامین، مسائل کارگری، بلایای طبیعی).

مزایا و چالش‌های مدیریت ریسک

مدیریت مؤثر ریسک‌هایی که می‌توانند تأثیر منفی یا مثبتی بر سرمایه و سود داشته باشند، مزایای زیادی به همراه دارد. همچنین چالش‌هایی را حتی برای شرکت‌هایی با استراتژی‌های GRC بالغ ارائه می‌دهد.

مزایای مدیریت ریسک شامل موارد زیر است:

• افزایش آگاهی از ریسک در سراسر سازمان؛
• اعتماد بیشتر به اهداف سازمانی، زیرا ریسک در استراتژی لحاظ می‌شود.
• انطباق بهتر و کارآمدتر با دستورات نظارتی و انطباق داخلی، زیرا انطباق هماهنگ است.
• بهبود بهره‌وری عملیاتی از طریق اعمال سازگارتر فرآیندهای ریسک و کنترل؛
• بهبود ایمنی و امنیت محیط کار برای کارکنان و مشتریان؛
• یک تمایز رقابتی در بازار

برخی از چالش‌هایی که تیم‌های مدیریت خطر باید با آنها مواجه شوند، به شرح زیر است:

• هزینه‌ها در ابتدا افزایش می‌یابد، زیرا برنامه‌های مدیریت خطر می‌توانند به نرم افزار و خدمات گران‌قیمت نیاز داشته باشند.
• تأکید فزاینده بر حکمرانی همچنین واحدهای تجاری را ملزم می‌کند که برای رعایت آن زمان و پول سرمایه‌گذاری کنند.
• دستیابی به اجماع در مورد شدت خطر و نحوه حل آن می‌تواند یک تمرین دشوار و بحث‌برانگیز باشد و گاهی اوقات منجر به ناکامی در تجزیه و تحلیل ریسک شود.
• نشان دادن ارزش مدیریت خطر به مدیران بدون اینکه بتوانیم اعداد و ارقام سخت را به آنها ارائه کنیم، کار دشواری است.

بهترین شیوه‌های مدیریت ریسک

یک نقطه شروع خوب برای هر سازمانی که می‌خواهد بهترین شیوه‌های مدیریت ریسک را دنبال کند، اصول 11 گانه مدیریت ریسک ISO 31000 است. طبق استاندارد ISO، یک برنامه مدیریت خطر باید اهداف زیر را برآورده کند:

• برای سازمان ایجاد ارزش کند.
• بخشی جدایی‌ناپذیر از فرآیند کلی سازمان باشد.
• در فرآیند تصمیم‌گیری کلی شرکت نقش داشته باشد.
• صراحتاً به هرگونه عدم قطعیت رسیدگی کند.
• سیستماتیک و ساختارمند باشد.
• بر اساس بهترین اطلاعات موجود باشد.
• متناسب با پروژه باشد.
• عوامل انسانی از جمله خطاهای احتمالی را در نظر بگیرد.
• شفاف و فراگیر باشد.
• سازگار با تغییر باشد.
• به طور مداوم نظارت و بهبود یابد.

10 نکته برتر در مورد چگونگی بهبود مدیریت ریسک

1. در مورد وظایف خود شفاف باشید

هر گونه شکاف در مسئولیت‌ها در کسب‌وکار شما فرصت بیشتری برای ریسک ایجاد می‌کند. اطمینان حاصل کنید که همه دقیقاً می‌دانند چه بخشی از کسب‌وکار و چه فعالیت‌ها و وظایفی را بر عهده دارند.

2. خطرات را زودتر شناسایی کنید

هیچ‌گاه برای فکر کردن به ریسک، زود نیست! هرچه زودتر این کار را انجام دهید، مدیریت ریسک آسان‌تر خواهد بود. در شروع هر پروژه یا کاری به مدیریت خطر فکر کنید. چه شاخص‌های هشدار اولیه (EWI) را می‌توانیم برای خطرات مختلف ردیابی کنیم؟ شما باید مدیریت خطر را در فرآیندهای کاری و فرهنگ سازمانی خود بگنجانید.

3. مثبت‌اندیش باشید

همه ریسک‌ها منفی نیستند، بنابراین فقط روی جنبه‌های منفی تمرکز نکنید. ریسک‌ها می‌توانند مثبت هم باشند، فرصت‌هایی را ارائه می‌کنند و ما را قادر می‌سازند از یک رویداد یا موقعیت خاص استفاده کنیم.

4. ریسک را به طور مناسب توصیف کنید

به عنوان بخشی از فرآیند ارزیابی ریسک، ایجاد یک “رشته” ریسک عمل خوبی است که بین علت و معلول تمایز قائل می‌شود.

5. برآورد و اولویت‌بندی ریسک

از ماتریس ریسک برای ارزیابی و اولویت‌بندی تمام ریسک‌های شناخته شده استفاده کنید. شما می‌توانید شدت ریسک را با نگاه کردن به احتمال و تأثیر محاسبه کنید.

6. مسئولیت و مالکیت را به عهده بگیرید

اگر دیدید مشکلی وجود دارد، مانند یک مشکل احتمالی ایمنی، مشکوک به کلاهبرداری یا نقض امنیت، به جای اینکه منتظر باشید شخص دیگری مشکل را حل کند، مسئولیت را بر عهده بگیرید. مدیریت خطر، زمانی خوب انجام می‌شود که همه این اختیار را داشته باشند در مورد آن صحبت و اقدام کنند.

7. از اشتباهات گذشته درس بگیرید

از داده‌ها و حکایات تاریخی استفاده کنید تا از اشتباهات گذشته درس بگیرید و اطمینان یابید که هرگز تکرار نمی‌شوند.

8. از استراتژی‌های مناسب برای مدیریت ریسک استفاده کنید

از مدل 4Ts برای تصمیم‌گیری بهترین نحوه مدیریت خطر استفاده کنید. این مدل شامل:

انتقال ریسک: انتساب یک فرد، گروه یا شخص ثالث به عنوان مسئول ریسک.

تحمل ریسک: هیچ اقدامی برای کاهش ریسک انجام نمی‌شود (هنوز باید نظارت شود).

حل ریسک: کنترل ریسک از طریق اقداماتی که احتمال وقوع ریسک را کاهش می‌دهد یا تأثیر آن را قبل از وقوع به حداقل می‌رساند.

خاتمه ریسک: تغییر فرآیندها یا شیوه‌ها برای حذف ریسک.

9. تمام ریسک‌ها را ثبت کنید

با در نظر گرفتن همه ریسک‌ها در سرتاسر شرکت، تصویر بزرگ‌تری از کل ریسک‌پذیری خود خواهید دید و اشتراک‌گذاری اطلاعات و مسئولیت‌پذیری خود را بهبود می‌بخشد. به یاد داشته باشید که مستند کنید چه کسی مسئول چه چیزی است و یک صاحب ریسک نیز تعیین کنید.

10. به نظارت و بازبینی ادامه دهید

سطح ریسکی که ما با آن روبه‌رو هستیم به طور مداوم در حال تغییر است، با ظهور خطرات جدید و خطرات دیگر کمتر.

با فعال بودن و آمادگی برای مواجه شدن با ریسک، آماده خواهید بود تا وقتی که زمانش برسد، اقدام کنید. بنابراین وجود یک فرآیند مدیریت خطر مهم است.

بخشی از این فرآیند مستلزم آموزش مدیریت ریسک، نه فقط برای مدیریت، بلکه برای همه کارکنان است. کارکنان باید یاد بگیرند  که چگونه تشخیص دهند چه چیزی خطر را ایجاد می‌کند تا بتوانند در مدیریت خطر سهیم باشند.

عوامل کلیدی مدیریت ریسک چیست؟

مدیریت ریسک شامل موارد زیر است:

• عوامل درونی: عواملی که یک شرکت می‌تواند مستقیماً کنترل کند، مانند مدیریت منابع انسانی یا برنامه‌ریزی استراتژیک.
• عوامل بیرونی: عواملی که یک شرکت نمی‌تواند مستقیماً کنترل کند، مانند رقابت یا تحول بازار.

در هر دو مورد، در نظر گرفتن ریسک‌ها به منظور توسعه استراتژی‌های مؤثر برای به حداقل رساندن تأثیر آنها بر فعالیت شرکت، کلیدی است.

چه کسی در مدیریت ریسک حرفه‌ای است؟

مدیریت ریسک فرآیندی است که تمامی سطوح شرکت را در بر می‌گیرد و می‌تواند به صورت داخلی یا خارجی مدیریت شود. به طور کلی مدیریت خطر به تیمی از متخصصان سپرده می‌شود که تحلیل خطر و استراتژی کاهش را با روش‌های خاصی دنبال می‌کنند.

یکی از مهم‌ترین متخصصان این تیم از کارشناسان، مدیر ریسک است که مسئول شناسایی، ارزیابی و بررسی ریسک‌های شرکت است. مدیر ریسک باید بتواند به طور مؤثر نتایج تجزیه و تحلیل خود را به اشتراک بگذارد، زیرا مدیریت شرکت می‌تواند برای اقداماتی که باید برای کاهش خطر و حفظ تجارت تصمیم‌گیری کند.

اگرچه مدیریت خطر یک فرآیند پیچیده است، با این حال باید به خاطر داشته باشید که هدف آن محافظت از شرکت در برابر رویدادهای منفی است که می‌تواند فعالیت‌ها را تحت تأثیر قرار دهد. بنابراین، اختصاص زمان و منابع به مدیریت خطر و سرمایه‌گذاری مناسب برای رسیدگی بهتر به چالش‌های پیش آمده در طول عمر شرکت، ضروری است.

سخن پایانی

مدیریت ریسک به خودی خود نوعی بیمه است و گامی ضروری برای موفقیت پایدار است. فرو رفتن عمیق در کسب و کار و صنعت به شما کمک می‌کند تا یک برنامه مدیریت خطر را بهتر شکل دهید که می‌تواند کسب‌وکاری را که برای ایجاد آن سخت تلاش کرده‌اید نجات دهد.