نموذج سجل مخاطر جاهز وفق ISO 31000: كيف تبنيه وتستخدمه

كل جهة تدير المخاطر بشكل أو بآخر. لكن الفرق بين جهة تتفاجأ بالأزمات وجهة تستعد لها هو وجود سجل مخاطر حي: مكتوب، ومحدّث، ويُناقش في اجتماعات الإدارة. هذا المقال يشرح كيف تبني هذا السجل وفق ISO 31000، ويوفر نموذجًا جاهزًا للتحميل في نهايته.

ما هو ISO 31000؟

ISO 31000:2018 معيار دولي يقدم إرشادات لإدارة المخاطر في أي منظمة، بغض النظر عن حجمها أو قطاعها. وهو يتكون من ثلاثة أجزاء: مبادئ إدارة المخاطر، وإطار يدمجها في الحوكمة والإدارة، وعملية عملية لإدارة المخاطر.

ومن المهم معرفة أنه معيار إرشادي وليس معيار متطلبات. أي أن الجهة لا تحصل على شهادة مطابقة له، لكنها تستخدمه مرجعًا لبناء إطارها، وكثير من الأنظمة الوطنية والقطاعية في الخليج تبني عليه.

عملية إدارة المخاطر

تبدأ العملية بتحديد النطاق والسياق ومعايير قبول المخاطر، ثم تقييم المخاطر بثلاث خطوات: التحديد والتحليل والتقييم. بعدها تأتي المعالجة، ثم المتابعة والمراجعة. ويصاحب ذلك كله التواصل مع المعنيين وتسجيل النتائج، وهنا يأتي دور سجل المخاطر.

كيف تصوغ الخطر بشكل صحيح؟

أكثر خطأ يتكرر في سجلات المخاطر هو كتابة الخطر بكلمة واحدة، مثل “الأمن السيبراني” أو “الموارد البشرية”. هذه مجالات وليست مخاطر. والصياغة الصحيحة تربط ثلاثة أجزاء في جملة واحدة:

بسبب [السبب]، قد يحدث [الحدث]، مما يؤدي إلى [الأثر على الأهداف].

مثال: “بسبب الاعتماد على مورد وحيد لنظام الدفع الإلكتروني، قد يتوقف النظام لفترة طويلة، مما يؤدي إلى تعطل تحصيل الرسوم وتراكم الشكاوى.”

هذه الصياغة تكشف فورًا أين يجب أن تتجه المعالجة: نحو السبب لتقليل الاحتمالية، أو نحو الأثر لتقليل الضرر.

تحليل الخطر بالمصفوفة

لكل خطر تُقدّر الجهة الاحتمالية والأثر على مقياس من 1 إلى 5، ودرجة الخطر هي حاصل ضربهما. ثم تُصنّف الدرجة إلى مستويات تحدد الأولوية.

والمهم أن تكتب الجهة تعريفًا واضحًا لكل رقم. فالأثر “5” مثلًا قد يعني توقف خدمة حرجة لأكثر من يومين، أو خسارة مالية تتجاوز حدًا معينًا. بدون هذه التعريفات، يقدّر كل مسؤول الأرقام بطريقته، وتفقد المصفوفة معناها.

أعمدة سجل المخاطر

النموذج المرفق يتضمن الأعمدة التي يحتاجها السجل في أغلب الجهات:

خيارات المعالجة

لكل خطر أربعة خيارات أساسية: التجنب بإيقاف النشاط المسبب، أو التقليل بضوابط تخفض الاحتمالية أو الأثر، أو النقل عبر التأمين أو التعاقد، أو القبول إذا كانت الدرجة ضمن حدود القبول أو كانت تكلفة المعالجة أعلى من الأثر. والقبول قرار موثق يتخذه صاحب الصلاحية، وليس إهمالًا.

كيف يبقى السجل حيًا؟

1. ملكية واضحة: كل خطر له مالك يُسأل عنه في الاجتماعات.
2. مراجعة دورية: المخاطر المرتفعة والحرجة شهريًا، والسجل كاملًا كل ربع سنة.
3. ربط بالقرارات: المخاطر الحرجة تُعرض على الإدارة العليا مع خطط معالجتها.
4. تحديث عند التغيير: مشروع جديد، أو نظام جديد، أو حادث وقع، كلها تستدعي مراجعة السجل.

الخلاصة

سجل المخاطر ليس ملفًا يُعد مرة للتدقيق ثم يُنسى. صُغ المخاطر بشكل صحيح، وعرّف مقاييسك بوضوح، وحدد مالكًا لكل خطر، وراجعه بانتظام. وابدأ من النموذج المرفق وعدّله بما يناسب جهتك.