مدیریت ریسک سازمانی

مشاوره و آموزش خصوصی مدیریت، برنامه ریزی و کنترل ریسک سازمان

مدیریت ریسک بر اساس استانداردهای جهانی

مقدمه

از آنجا که ریسک جز جدایی ناپذیر از فعالیت های سازمان و همچنین رویدادی است که می‌تواند مشکلاتی در مسیر اجرا و تحقق اهداف ایجاد کند، آگاهی از مطالب این حوزه بسیار ضروری است.
مدیریت ریسک سازمان یکی از مباحث بسیار مهم مدیریت و همچنین یکی از ده حوزه دانش مدیریت است که یک مدیر باید درآن تبحر کافی داشته باشد.
اما پیاده سازی یک سیستم منسجم برای به کارگیری فرآیند مدیریت ریسک کار دشواری است که نیازمند مطالعه و تحقیق بسیار در این حوزه می‌باشد.

تعاریف ریسک

• مدیریت ریسک سازمان

مدیریت ریسک شامل فرآیندها ابزارها و تکنیک هایی است که به مدیر سازمان برای افزایش احتمال و شدت ریسک های مثبت و متقابلا کاهش احتمال و شدت ریسک های منفی کمک می‌کند.

• عدم قطعیت

فضایی است غیر قابل پیش بینی  و غیر قابل اندازه‌ گیری است.

• ریسک

هر گونه رویداد در فضای عدم قطعیت که در صورت وقوع، می‌تواند تاثیر منفی روی یک یا چند مورد از اهداف سازمان را داشته باشد ( تهدید ) که باید آن را با مدیریت صحیح به تاثیر مثبت ( فرصت ) تبدیل کرد.

• منشا ریسک

مجموعه ای از شرایطی هستند که در سازمان و در محیط آن وجود داشته و باعث بروز ریسک می‌شوند.

نکات

متداول ترین اشتباه در شناسایی ریسک سازمان، ناتوانی در تمایز میان منشا ریسک ، ریسک و تاثیرات ریسک می‌باشد.

استفاده از جمله زیر به ما در شناسایی ریسک و منشا آن‌ها کمک می‌کند:

به خاطر ……… ممکن است ریسک ……..  اتفاق بیفتد که در صورت وقوع  باعث …………… در فعالیت های سازمان می‌شود.

استفاده از ساختار شکست ریسک ( RBS ) در شناسایی منشا ریسک ها کمک می‌کند.

انواع ریسک

Known unknowns

ریسک هایی که شناخته شده هستند اما اینکه چقدر در سازمان تاثیر دارند مشخص نیست.

Unknown unknowns

ریسک هایی که نه وجود آن ها و نه میزان تاثیر آن ها در سازمان مشخص است.

جایگاه مدیریت ریسک سازمان

آنچه سازمان موفق را از سازمان های ناموفق جدا می کند، نحوه مدیریت مشکلات و معضلاتی است که ممکن است در آینده سازمان را دچار بحران کند،
تیم ما آموزش می‌دهد که از زمان شناخت تا زمان وقوع، چطور برای آن‌ها در زمان مناسب، پاسخ های درستی درنظر گرفته شود.

اهداف فرآیند مدیریت ریسک سازمان

1-گرفتن تصمیمات مناسبی برای کاهش ضرر ناشی از تهدیدها و افزایش سود ناشی از فرصت ها
2- تضمین عدم پیشروی ریسک ها از محدود قابل قبول
3- اطمینان از دستیابی به اهداف سازمان
4- اطلاع رسانی به ذینفعان و اعضای تیم اجرا از آنچه که منجر به موفقیت یا عدم موفقیت می‌شود

فرآیندهای مدیریت ریسک مطابق استاندارد

1- برنامه ریزی مدیریت ریسک سازمان ( plan Risk management )

برنامه ریزی شفاف و دقیق برای چگونگی انجام فعالیت های مدیریت ریسک برای هر سازمان است
که مزیت اصلی آن اطمینان از مناسب بودن درجه، نوع ، شفافیت مدیریت ریسک با ریسک ها و اهمیت فعالیت برای سازمان و سایر ذینفعان است.

 به طور کلی برنامه ریزی ریسک شامل موارد زیر می‌باشد:

متدلوژی، ابزارها و تکنیک های مورد استفاده ( Tools & Technique , Methodology )
تعیین و شناسایی نقش ها و مسئولیت های ذینفعان ( Roles and responsibilities )
راه های تامین بودجه (  Budgeting )
مدت زمان درنظر گرفته شده برای حل و فصل نمودن ریسک ها (  Timing )
تعیین میزان ریسک پذیری ذینفعان (  Revised stakeholders tolerance )
تعیین استاندارد های گزارش دهی، ساختار و چرخه های به روز رسانی آن ها ( Reporting format )
پیگیری های مورد نیاز (  Tracking )

2- شناسایی ریسک ها ( Identify Risks )

فرآیند شناسایی ریسک های سازمان، همچنین ریسک های فعالیت ها و مستندسازی مشخصات آن‌ها می‌باشد.

روش های شناسایی ریسک

طوفان فکری (  Brainstorming )

روش و تکنیک دلفی (  Delphi)

• شناسایی متخصصان و اطمینان از مشارکت آن‌ها
• ارسال پرسشنامه دلفی
• دریافت پاسخ های متخصصان
• بررسی و جمع بندی پاسخ ها
• جمع آوری مجدد نظرات متخصصان و تکرار فرآیند ( حداقل سه بار )
• توزیع و به کارگیری اطلاعات نهایی

تهیه چک لیست ( Checklist )

عموما چک لیست ها که از فعالیت های قبلی سازمان بدست آمدند، برای شناسایی ریسک ها و برنامه ریزی پاسخگویی به آن ها طراحی می شوند.

اما از این نظر که هر سازمان منحصر به فرد هست احتمال دارد با ریسک های جدیدی رو به رو شود که در سازمان های مشابه نبوده.

مصاحبه ( Interview )

جهت شناسایی ریسک ها می توان با شرکای سازمان، ذینفعان، و کارشناسان مربوطه مصاحبه کرد.

تحلیل SWOT ( SWOT analysis  )

این روش هر یک از نقاط قوت، ضعف، فرصت ها و تهدیدات را بررسی می کند.

نمودار علت و معلول ( Cause and Effect Diagram )

نمودار علت و معلول که به نام های ایشیکاوا یا استخوان ماهی نیز معروف است، نشان می‌دهد که چگونه عوامل مختلف ممکن است باعث بروز مشکلات یا آثار بالقوه شوند.

خروجی فرآیند شناسایی ریسک سازمان

دفتر ثبت ( Risk Register  ) می‌باشد که شامل فهرست ریسک های شناسایی شده، فهرست پاسخ های بالقوه و صاحبان ریسک ها می‌باشد.

3- ارزیابی ریسک ها

• ارزیابی کیفی ریسک ( Qualitative Risk Analysis)

فرآیند اولویت بندی کردن ریسک ها برای اقدام و یا تحلیل بیشتر از طریق احتمال وقوع و یا شدت اثر آن ها می‌باشد.
ماتریس احتمال و اثر ( P-I )
ارزیابی اینکه یک ریسک چقدر اهمیت دارد و اولویت توجه به آن ها چگونه باید باشد با استفاده از یک جدول و یا ماتریس احتمال و اثر صورت می‌گیرد.

در این ماتریس دو بعد احتمال و شدت در سطوح مختلف به صورت کیفی درجه بندی شده است و نقطه تلاقی هر دو بعد با یکدیگر نشان دهنده میزان اهمیت و امتیاز ریسک می‌باشد.

نکته:
هنگامی که در یک پروژه مجموعه ای از ریسک ها به وقوع می‌پیوندند، بدیهی است که این ریسک ها بر یکدیگر تاثیر می گذارند.

وقوع یک ریسک احتمال بروز دیگری را افزایش و کاهش می‌دهد یا تاثیر آن را بیشتر و یا کمتر می کند، حتی با به وقوع پیوستن یک ریسک ممکن است ریسک های جدیدی را به سازمان اضافه کند.

• ارزیابی کمی ریسک ( Quantitative Risk Analysis )

ارزیابی کمی ریسک عبارت است از تحلیل عددی تاثیر ریسک های شناسایی شده بر اهداف کلی سارمان که دقیقا پس از مرحله ارزیابی کیفی ریسک ها و اولویت بندی آن‌ها صورت می‌گیرد.

بنابراین تحلیل کمی در مورد ریسک هایی صورت می گیرد که در مرحله تحلیل کیفی ریسک ها اولویت بندی شده‌اند.

روش های تحلیل کمی

درخت تصمیم ( Decision Tree )

نشان می دهد که چگونه یک تصمیم بین گزینه های استراتژیک سرمایه ای، زمانی که محیط در حالت عدم قطعیت است اتخاذ می‌گردد.

تحلیل حساسیت ( Sensitivity Analysis )

به کمک این تکنیک می‌توان تشخیص داد کدام ریسک اثر بالقوی بیشتری بر فعالیت سازمان دارد به طوری که با تغییر پارامترها در مدل، حساس و مهم بودن ریسک ها مشخص می‌شود.

شبیه سازی ( Simulation )

شبیه سازی عبارت است از تبدیل کردن جهان واقعی به کمک مجموعه ای از فرضیات در قالب یک مدل که هدف آن فهم رفتار یا فرآیند یک سیستم  تحث تاثیر متغیرهای مختلف می‌باشد.
یکی از شناخته شده ترین روش های شبیه سازی که بر مبنای اصول مقدماتی نمونه گیری آماری شکل گرفته و درک آن نیازمند تخصص زیادی نیست روش مونت کارلو می‌باشد.

4- برنامه ریزی پاسخ به ریسک ( Plan Risk Responses )

فرآیند تعیین گزینه ها و اقدامات مختلف جهت بهره برداری از فرصت ها و کاهش تهدیدات مربوط به اهداف سازمان است.
این فرآیند بر اساس اولویت ریسک ها به آن‌ها توجه می‌کند و منابع و فعالیت ها را به بودجه، زمان، و برنامه مدیریت در صورت نیاز ترزیق می‌کند.

• استراتژی پاسخ به ریسک های منفی ( تهدیدات )

واگذارکردن به سطوح بالا ( Escalate )

زمانیکه رسیدگی به ریسک های موجود در پروژه از اختیارات و مسئولیت های مدیر بالاتر باشد باید موضوع در سطوح بالاتر سازمان مطرح و توسط آن‌ها حل گردد.

دراین صورت موضوع از دستور کار تیم پروژه خارج می‌شود ولی می تواند برای رصد در جدول لیست ریسک ها آورده شود.

اجتناب ( Avoid )

این روش در صورت امکان بهترین شیوه پاسخگویی به ریسک ها است.

در صورتی که ریسک ها از همان ابتدا شناسایی شده باشند از بسیاری از آن‌ها می‌توان اجتناب کرد.

به طور کلی با شفاف سازی الزامات، جمع آوری اطلاعات بیشتر، توسعه ارتباطات، تخصیص مناسب مدت زمان و تخصیص مناسب هزینه می‌توان از ریسک ها اجتناب کرد.

انتقال ( Transfer )

در این استراتژی، ریسک را به یک عضو سوم انتقال می‌دهیم که انتقال تعهد و مسئولیت ریسک ها با تعیین مبلغی از طریق یک قرارداد صورت می‌گیرد.

شرط انتقال ریسک پایین بودن هزینه انتقال نسبت به هزینه ی وقوع احتمالی ریسک می‌باشد.

تعدیل ( Mitigate )

انجام مجموعه اقداماتی که به موجب آن‌ها احتمال وقوع ریسک کاهش می‌یابد و یا در صورت وقوع ریسک اثر منفی آن کمتر شود.

پذیرش ( Accept )

اگر هیچ یک از استراتژی های فوق را نتوان به کار گرفت، به ناچار استراتژی پذیرش را انتخاب می‌کنیم.

بنابراین قبل از وقوع ریسک کاری از دست ما بر نمی‌آید. نهایت می‌توانیم تمهیداتی را بیندیشیم که در صورت وقوع ریسک خسارات ناشی از آن کاهش یابد.

• استراتژی پاسخ به ریسک های مثبت یا فرصت ها

واگذار کردن به سطوح بالا ( Escalate )

برای استفاده از فرصت ها و تحقق آن‌ها در مواردی که از اختیارات مدیر بالاتر است موضوع به رده بالاتر فرستاده می‌شود.

محقق کردن ( Exploit )

باید اقداماتی انجام دهیم که فرصت های شناسایی شده محقق سازد البته تحقق بخشیدن به همه فرصت ها بسیار ایده آل است.

تسهیم ( Share )

به اشتراک گذاری فرصت ها با شرکا  در راستای بهره برداری از فرصت ها

افزایش ( Enhance )

افزایش احتمال و اثر وقوع فرصت ها

نادیده گرفتن ( Ignore )

در حالیکه می دانیم ریسک در صورت وقوع تاثیر مثبت بر سازمان دارد اما تلاشی برای تحقق آن نمی‌کنیم.

توجه:

در برخورد با برخی ریسک ها ممکن است استفاده از یک استراتژی کافی نباشد و ما نیازمند استفاده از ترکیبی از استراتژی ها هستیم.

5- پیاده سازی پاسخ ریسک ها ( Implement Risk Response )

فرآیند پیاده سازی پاسخ هایی که روی آن‌ها توافق صورت گرفته و مزیت کلیدی این فرآیند این است که اطمینان حاصل می‌کند

پاسخ های پذیرفته شده اجرا می‌شوند و به دنبال آن تهدید ریسک ها کاهش و فرصت آن‌ها افزایش می‌یابد.

6- کنترل ریسک ها ( Monitor Risks )

فرآیند پیاده سازی برنامه های پاسخ به ریسک، پیگیری ریسک های شناسایی شده، نظارت بر ریسک های باقی‌مانده، شناسایی ریسک های جدید و ارزیابی اثربخشی فرآیند ریسک در طول پروژه است.
در این قسمت نیازمند پاسخ سوالات زیر هستیم:
آیا مفروضات فعالیت هنوز اعتبار دارند؟
آیا درجه اهمیت ریسک ها تغییر نکرده است؟
آیا سیاست های به کارگرفته شده مناسب هستند؟
آیا ذخیره احتیاطی آماده و مطمئن در ابعاد زمان، هزینه و سایر اهداف در اختیار مدیر است؟
آیا می توان بازنگری هایی در مورد مسائلی مانند انتخاب استراتژی های جایگزین، اجرای برنامه های احتیاطی و انجام اصلاحات در برنامه مدیریت ریسک را انجام داد؟

 مدیریت چابک ( Agile ) در ریسک سازمان

فعالیت های سازمانی با متغیرهای زیاد به خودی خود ابهامات و ریسک بالایی دارند.
برای حل این مسئله و کاهش ابهامات، سازمان های چابک روش تحویل تدریجی محصول و استفاده از تیم های چند مهارته را در دستور کار خود قرار داده‌اند
و از  این طریق می‌توانند دانش کسب شده در هر مرحله را با یکدیگر به اشتراک بگذارند تا روند آتی را بهبود دهند.
در اینجا این بحث خلاصه وار عنوان شده است شرح کامل این مطلب در مقالات بعدی ارائه خواهد شد.
  

مشاوره و آموزش خصوصی مدیریت، برنامه ریزی و کنترل ریسک سازمان

نویسنده و راهنما: آرش بیاضیان سرکندی

نگارنده: حدیث باجلان ( محقق و توسعه دهنده )

موضوع: مدیریت ریسک سازمان بر اساس استاندارد جهانی