كيفية إعداد سجل مخاطر المنشأة
كل منشأة تواجه مخاطر مالية وتشغيلية ونظامية وتقنية، لكن الخطر الأكبر هو بقاء هذه المخاطر في أذهان الموظفين دون توثيق أو مسؤول أو خطة معالجة.
سجل المخاطر يحول المخاوف العامة إلى معلومات قابلة للتقييم والمتابعة واتخاذ القرار.
ما هو سجل المخاطر؟
سجل المخاطر وثيقة مركزية تجمع المخاطر التي قد تؤثر في أهداف المنشأة، وتوضح:
وصف الخطر.
أسبابه.
آثاره.
احتمالية حدوثه.
مستوى تأثيره.
الضوابط الحالية.
مستوى الخطر بعد الضوابط.
خطة المعالجة.
مسؤول الخطر.
موعد الإجراء.
حالة المتابعة.
السجل ليس تقريرًا يعد مرة واحدة، بل أداة مستمرة تتغير مع أعمال المنشأة.
الفرق بين الخطر والمشكلة
الخطر
حدث محتمل لم يقع بعد، لكنه قد يؤثر في هدف أو عملية.
المشكلة
حدث وقع بالفعل ويحتاج إلى معالجة فورية.
مثال:
احتمال انتهاء رخصة قبل التجديد: خطر.
انتهاء الرخصة وتوقف النشاط: مشكلة.
تأخر تحديث بيانات الموظفين: قد يكون مؤشرًا على خطر.
تسجيل موظف ببيانات خاطئة: حادث أو مشكلة قائمة.
يجب تسجيل المشكلات ومعالجتها، ثم تحديد المخاطر التي قد تؤدي إلى تكرارها.
ابدأ بأهداف المنشأة
لا يمكن تحديد المخاطر دون معرفة الأهداف.
حدد أولًا:
أهداف النمو.
استمرارية التشغيل.
الالتزام النظامي.
حماية الأصول.
جودة الخدمة.
حماية البيانات.
سلامة الموظفين.
رضا العملاء.
توفر السيولة.
المحافظة على السمعة.
تنفيذ المشاريع.
استقطاب الموظفين والمحافظة عليهم.
ثم اسأل: ما الذي قد يمنع تحقيق كل هدف؟
حدد نطاق السجل
يمكن إعداد سجل شامل للمنشأة، أو سجلات متخصصة مثل:
مخاطر استراتيجية.
مخاطر تشغيلية.
مخاطر مالية.
مخاطر الامتثال.
مخاطر الموارد البشرية.
مخاطر تقنية المعلومات.
مخاطر الأمن السيبراني.
مخاطر المشاريع.
مخاطر الموردين.
مخاطر الأمن والسلامة.
مخاطر السمعة.
مخاطر الجهات الحكومية.
يفضل وجود منهج موحد حتى يمكن تجميع النتائج ومقارنتها.
اكتب الخطر بطريقة صحيحة
من أفضل الصيغ:
بسبب «السبب»، قد يحدث «الحدث»، مما يؤدي إلى «الأثر».
مثال:
بسبب عدم وجود تنبيه آلي ومتابعة موحدة لتواريخ الرخص، قد تتأخر المنشأة في التجديد، مما يؤدي إلى غرامة أو توقف خدمة أو تعطل نشاط.
هذه الصياغة أفضل من كتابة عبارة عامة مثل «مخاطر الرخص».
حدد أسباب الخطر
قد تشمل الأسباب:
غياب الإجراء.
ضعف التدريب.
الاعتماد على موظف واحد.
نقص البيانات.
صلاحيات غير مناسبة.
ضعف النظام.
عدم وجود تنبيهات.
تغير الأنظمة.
ضعف المورد.
نقص الميزانية.
عدم وضوح المسؤولية.
عدم وجود بديل.
قصور المتابعة.
تجاوز إجراء معتمد.
يمكن أن يكون للخطر أكثر من سبب، ويجب معالجة الأسباب المؤثرة لا الأعراض فقط.
حدد الآثار المحتملة
قد يكون الأثر:
خسارة مالية.
غرامة.
توقف نشاط.
فقدان ترخيص.
دعوى أو مطالبة.
تسرب بيانات.
إصابة.
انخفاض جودة.
فقدان عميل.
تأخر مشروع.
ضرر في السمعة.
فقدان موظفين.
قرار مبني على معلومات خاطئة.
تحديد الأثر يساعد على تقييم الخطر وتحديد الأولوية.
ضع مقياسًا للاحتمالية
يمكن استخدام مقياس من خمس درجات:
نادر.
غير محتمل.
ممكن.
مرجح.
شبه مؤكد.
حدد وصفًا واضحًا لكل درجة، مثل معدل التكرار أو عدد المرات المتوقعة، حتى لا يعتمد التقييم على الانطباع الشخصي.
ضع مقياسًا للتأثير
يمكن تقييم التأثير من خمس درجات:
طفيف.
محدود.
متوسط.
كبير.
جسيم.
يفضل تحديد معايير لكل درجة بحسب:
الأثر المالي.
مدة توقف العمل.
عدد العملاء أو الموظفين المتأثرين.
مستوى المخالفة.
الأثر في السمعة.
الأثر في السلامة.
حساسية البيانات.
مستوى تدخل الإدارة.
احسب مستوى الخطر
يمكن استخدام معادلة بسيطة:
درجة الخطر = الاحتمالية × التأثير
ثم توزع الدرجات على مستويات مثل:
منخفض.
متوسط.
مرتفع.
حرج.
لكن الدرجة الرقمية ليست قرارًا نهائيًا. قد يحتاج خطر منخفض الاحتمالية وعالي التأثير إلى اهتمام خاص، خصوصًا في السلامة أو الالتزام النظامي.
فرق بين الخطر الكامن والخطر المتبقي
الخطر الكامن
مستوى الخطر قبل احتساب أثر الضوابط الحالية.
الخطر المتبقي
مستوى الخطر بعد تطبيق الضوابط الحالية.
مثال:
قد يكون خطر الدخول غير المصرح إلى نظام مالي مرتفعًا قبل الضوابط. وبعد تطبيق المصادقة المتعددة ومراجعة الصلاحيات والسجلات، ينخفض مستوى الخطر، لكنه قد لا يختفي بالكامل.
وثق الضوابط الحالية
الضوابط هي الإجراءات التي تمنع الخطر أو تكشفه أو تقلل أثره.
من أمثلتها:
سياسة معتمدة.
فصل المهام.
موافقة مسبقة.
صلاحيات مقيدة.
مراجعة دورية.
تنبيه آلي.
نسخة احتياطية.
تدريب.
مطابقة.
تفتيش.
عقد مع مورد بديل.
تأمين.
خطة طوارئ.
اختبار استعادة.
سجل متابعة.
لا تكتب «توجد متابعة» دون تحديد من يتابع وكيف ومتى وأين يوثق النتيجة.
قيّم تصميم الضابط وفعاليته
اسأل عن كل ضابط:
هل يعالج السبب الحقيقي؟
هل هو مكتوب؟
هل له مسؤول؟
هل يطبق فعليًا؟
هل يوجد دليل على التطبيق؟
هل يعمل في الوقت المناسب؟
هل يغطي جميع الفروع؟
هل يعتمد على شخص واحد؟
هل يمكن تجاوزه؟
هل تم اختباره؟
قد يكون الضابط موجودًا على الورق لكنه غير فعال عمليًا.
حدد طريقة التعامل مع الخطر
يمكن التعامل مع المخاطر بإحدى الطرق:
التجنب
إيقاف النشاط أو القرار الذي ينشئ الخطر.
التقليل
إضافة ضوابط تخفض الاحتمالية أو التأثير.
النقل أو المشاركة
استخدام التأمين أو التعاقد أو توزيع المسؤولية، مع بقاء مسؤولية المتابعة.
القبول
قبول الخطر ضمن مستوى معتمد مع توثيق مبررات القرار وصاحب الصلاحية.
لا ينبغي أن يكون قبول الخطر قرارًا شفهيًا.
أعد خطة معالجة
يجب أن تتضمن خطة المعالجة:
الإجراء المطلوب.
سبب الإجراء.
المسؤول.
الموارد.
تاريخ البداية.
الموعد النهائي.
حالة التنفيذ.
دليل الإغلاق.
الأثر المتوقع.
مستوى الخطر المستهدف.
جهة التحقق.
تجنب عبارات مثل «تحسين المتابعة» دون إجراء قابل للقياس.
عين مسؤولًا لكل خطر
مسؤول الخطر هو الشخص أو الإدارة التي تملك القدرة على إدارة الخطر ومتابعته.
ليس بالضرورة أن يكون مسؤول المخاطر المؤسسية هو مالك جميع المخاطر. دوره قد يكون وضع المنهج والتجميع والتحدي والمتابعة، بينما تملك الإدارات التشغيلية مخاطرها.
حدد مؤشرات الإنذار المبكر
مؤشر الخطر يساعد على اكتشاف ارتفاع الخطر قبل وقوع الحادث.
أمثلة:
عدد الرخص التي ستنتهي خلال ستين يومًا.
نسبة الموظفين غير الموثقة عقودهم.
عدد محاولات الدخول الفاشلة.
مدة توقف النظام.
نسبة الموردين دون تقييم.
عدد الشكاوى المتكررة.
نسبة الإجراءات المتأخرة.
معدل الحوادث.
قيمة المبالغ غير المطابقة.
عدد الصلاحيات غير المراجعة.
حدد للمؤشر حدًا طبيعيًا وحدًا يتطلب تنبيهًا وحدًا يستوجب تصعيدًا.
الحقول المقترحة لسجل المخاطر
رقم الخطر.
الإدارة.
الهدف المرتبط.
فئة الخطر.
وصف السبب.
وصف الحدث.
وصف الأثر.
الاحتمالية الكامنة.
التأثير الكامن.
مستوى الخطر الكامن.
الضوابط الحالية.
تقييم فعالية الضوابط.
الاحتمالية المتبقية.
التأثير المتبقي.
مستوى الخطر المتبقي.
شهية المخاطر أو الحد المقبول.
قرار المعالجة.
خطة الإجراء.
مسؤول الخطر.
مسؤول الإجراء.
الموعد المستهدف.
مؤشر الخطر.
حالة التنفيذ.
تاريخ آخر مراجعة.
الملاحظات والأدلة.
مثال عملي
الخطر
تأخر تجديد رخصة تشغيلية.
السبب
عدم وجود سجل موحد وتنبيه مسبق وبديل للموظف المسؤول.
الأثر
غرامة أو إيقاف خدمة أو تعطل نشاط.
الضوابط الحالية
جدول متابعة يدوي ومراجعة شهرية.
خطة المعالجة
إنشاء سجل مركزي وتنبيهات قبل تسعين وستين وثلاثين يومًا، وتحديد مسؤول وبديل، ورفع تقرير شهري.
المؤشر
عدد الرخص التي تقل صلاحيتها عن ستين يومًا دون بدء إجراء التجديد.
راجع السجل دوريًا
تختلف دورية المراجعة بحسب مستوى الخطر:
المخاطر الحرجة: متابعة متقاربة وتصعيد مستمر.
المخاطر المرتفعة: مراجعة شهرية أو بحسب الحاجة.
المخاطر المتوسطة: مراجعة دورية مجدولة.
المخاطر المنخفضة: متابعة أقل مع بقائها في السجل.
راجع السجل أيضًا عند:
تغير نظام أو لائحة.
إطلاق خدمة.
إضافة فرع.
تغيير مورد.
حادث.
شكوى جوهرية.
نتيجة تدقيق.
تغيير هيكلي.
مشروع جديد.
تغير تقني.
أخطاء شائعة
كتابة عناوين عامة بدل وصف الخطر.
الخلط بين الخطر والمشكلة.
تقييم جميع المخاطر بدرجة مرتفعة.
عدم تحديد معايير الاحتمالية والتأثير.
تجاهل الخطر الكامن.
اعتبار وجود السياسة دليلًا كافيًا على فعالية الضابط.
تعيين مسؤول لا يملك صلاحية المعالجة.
وضع خطط دون مواعيد.
إغلاق الإجراء دون دليل.
عدم ربط المخاطر بالأهداف.
حذف المخاطر المنخفضة بدل مراقبتها.
تحديث السجل قبل التدقيق فقط.
عدم تصعيد المخاطر التي تجاوزت الحد المقبول.
الخلاصة
سجل المخاطر الجيد يربط أهداف المنشأة بالأسباب والأحداث والآثار والضوابط وخطط المعالجة. قيم الخطر قبل الضوابط وبعدها، وحدد مسؤولًا ومؤشرًا وموعدًا لكل إجراء.
لا تجعل السجل ملفًا محفوظًا دون استخدام. يجب أن يكون جزءًا من الاجتماعات والقرارات والتقارير ومتابعة الأداء.
يمكن لـ7PACT دعم منشأتك في إعداد سجل المخاطر ومنهج التقييم وخطط المعالجة ومؤشرات المتابعة وربطها بمتطلبات الامتثال.