ISO 31000: إدارة مخاطر مؤسسية تدعم القرار
كيف تبني إدارة مخاطر تدعم القرار، بدلاً من سجل مخاطر لا يقرؤه أحد؟
تطلب كل مواصفات أنظمة الإدارة من المؤسسات معالجة المخاطر والفرص. لكن إدارة المخاطر تصبح أقوى بكثير عندما تغطي المؤسسة كلها: الاستراتيجية، والمشروعات، والمالية، والعمليات، والامتثال، والسمعة. والمرجع الدولي لذلك هو ISO 31000:2018 إدارة المخاطر – إرشادات.
وISO 31000 مواصفة إرشادية لا تُستخدم لمنح الشهادات. وتكمن قيمتها في أنها تمنح المؤسسة لغة ومنهجية مشتركة للمخاطر، يمكن لأنظمة الإدارة مثل ISO 9001 وISO 14001 وISO 45001 وISO 22301 أن تبني عليها.
أولاً: الأجزاء الثلاثة في ISO 31000
| الجزء | ما يغطيه |
|---|---|
| المبادئ | خصائص إدارة المخاطر الفعالة |
| الإطار | كيف تُدمج إدارة المخاطر في الحوكمة والقيادة واتخاذ القرار |
| العملية | الخطوات العملية لتحديد المخاطر وتقييمها ومعالجتها ومتابعتها |
ثانياً: المبادئ
إدارة المخاطر الفعالة:
- مدمجة في جميع أنشطة المؤسسة.
- منظمة وشاملة، تعطي نتائج متسقة وقابلة للمقارنة.
- مصممة وفق سياق المؤسسة وأهدافها.
- تشاركية، تشرك الأطراف المعنية في الوقت المناسب.
- ديناميكية، تستجيب للتغيير.
- تعتمد على أفضل المعلومات المتاحة مع إدراك حدودها.
- تراعي العوامل البشرية والثقافية.
- تتحسن باستمرار من خلال التعلم والخبرة.
والغاية من هذه المبادئ كلها هي خلق القيمة وحمايتها.
ثالثاً: الإطار: جعل إدارة المخاطر جزءاً من طريقة إدارة المؤسسة
يبدأ الإطار بـ القيادة والالتزام، ثم يغطي الدمج، والتصميم، والتطبيق، والتقييم، والتحسين. ويعني ذلك عملياً:
- تضع الإدارة العليا سياسة إدارة المخاطر وتحدد مستوى تقبّل المؤسسة للمخاطر.
- تتضح الأدوار والمسؤوليات المتعلقة بالمخاطر، من مجلس الإدارة إلى مالكي العمليات.
- تغذي معلومات المخاطر التخطيط الاستراتيجي والموازنة وقرارات الاستثمار والمشروعات.
- تُوفر الموارد والكفاءات.
- يُراجع الإطار ويُحسن.
رابعاً: العملية
| الخطوة | الأسئلة الرئيسية |
|---|---|
| التواصل والتشاور | من يجب إشراكه وإبلاغه؟ |
| النطاق والسياق والمعايير | ماذا نقيّم؟ وكيف نحكم على قبول المخاطرة؟ |
| تحديد المخاطر | ما الذي قد يحدث، ولماذا، وكيف، فيؤثر في أهدافنا؟ |
| تحليل المخاطر | ما احتماليته؟ وما عواقبه؟ وما مدى فاعلية الضوابط القائمة؟ |
| تقدير المخاطر | أي المخاطر يحتاج إلى معالجة؟ وبأي ترتيب؟ |
| معالجة المخاطر | التجنب أو الخفض أو المشاركة أو القبول أو اغتنام الفرصة، بخطة ومسؤول |
| المتابعة والمراجعة | هل تتغير المخاطر والضوابط؟ وهل تنجح المعالجة؟ |
| التسجيل والإبلاغ | من يحتاج إلى أي معلومات عن المخاطر ليتخذ قراراته؟ |
خامساً: ISO 31000 وأنظمة الإدارة
| المواصفة | كيف تساعد ISO 31000 |
|---|---|
| ISO 9001 | منهجية متسقة لمعالجة المخاطر والفرص المؤثرة في أهداف الجودة |
| ISO 14001 | ربط الجوانب البيئية والالتزامات القانونية بمخاطر المؤسسة |
| ISO 45001 | وضع تقييم مخاطر السلامة والصحة المهنية ضمن مخاطر المؤسسة |
| ISO 22301 | تغذية تحليل أثر الأعمال وتقييم المخاطر لاستمرارية الأعمال |
| ISO 37301 والحوكمة | معالجة مخاطر الامتثال ضمن الإطار نفسه، كجزء من الحوكمة والمخاطر والامتثال (GRC) |
واستخدام منهجية مخاطر واحدة في نظام الإدارة المتكامل يجنب المؤسسة تعدد سجلات المخاطر وتعارض مقاييس التقدير.
سادساً: أخطاء شائعة
- سجل يُعد مرة واحدة من أجل التدقيق ولا يُستخدم في القرارات.
- وصف غامض للمخاطر، مثل «مخاطر الجودة»، دون سبب أو نتيجة.
- درجات بلا معايير، فيقيّم المديرون المخاطرة نفسها بطرق مختلفة.
- التركيز على التهديدات فقط وإغفال الفرص.
- خطط معالجة بلا مسؤولين أو مواعيد.
- غياب الربط بالأهداف، فلا يرى مجلس الإدارة أي الأهداف هي الأكثر عرضة للخطر.
سابعاً: نقطة بداية عملية
- اتفق على معايير المخاطر ومقياس تقدير بسيط للمؤسسة كلها.
- اعقد ورش عمل قصيرة مع كل إدارة لتحديد أهم المخاطر على أهدافها.
- اجمعها في ملف مخاطر مؤسسي للإدارة العليا.
- حدد مسؤولين وخطط معالجة للمخاطر الأعلى.
- راجع الملف كل ربع سنة وارفعه إلى مراجعة الإدارة.
الخلاصة
تحوّل ISO 31000 إدارة المخاطر من ممارسة امتثال إلى أداة لاتخاذ قرارات أفضل. وتمنح مبادئها وإطارها وعمليتها المؤسسة كلها لغة واحدة للتعامل مع عدم اليقين، وتمنح كل نظام إدارة أساساً متيناً لمعالجة المخاطر والفرص.
اسأل فريق القيادة: ما أكبر خمس مخاطر على أهداف هذا العام؟ ومن المسؤول عن كل منها؟