عندما تسأل الإدارة عن أبرز المخاطر التي تهدد أهداف المنشأة، قد تحصل على إجابات مختلفة من كل إدارة. يعرف مدير التقنية مخاطر الأنظمة، ويتابع المدير المالي تحديات السيولة، بينما يحتفظ مدير التشغيل بملاحظاته حول الموردين وتعطل العمليات. لكن هذه المعلومات تفقد جزءًا من قيمتها عندما تظل موزعة أو مرتبطة بخبرة أشخاص محددين.
يساعد إعداد سجل المخاطر على جمع هذه البيانات في أداة واحدة توضح وصف كل خطر، ومستواه، والضوابط القائمة، والمسؤول عن متابعته، والإجراءات المطلوب تنفيذها. ولا تكمن قيمة السجل في عدد المخاطر التي يحتوي عليها، بل في دقة معلوماته واستخدامه المستمر في المتابعة واتخاذ القرار.
ما هو سجل المخاطر؟
سجل المخاطر هو وثيقة مركزية تستخدمها المنشأة لتوثيق المخاطر التي قد تؤثر في أهدافها وعملياتها. ويتضمن عادةً وصف الخطر وأسبابه وآثاره، وتقييم احتمالية وقوعه وحجم تأثيره، والضوابط الحالية، والمسؤول عن متابعته وخطة معالجته.
يمكن أن يكون السجل ملفًا منظمًا في المنشآت الصغيرة، أو جزءًا من نظام إلكتروني في المنشآت الأكبر. كما يمكن إعداده على مستوى المنشأة أو لإدارة أو مشروع محدد.
وسجل المخاطر ليس قائمة ثابتة تُعد مرة واحدة؛ بل وثيقة تتغير عند ظهور مخاطر جديدة، أو تنفيذ إجراءات المعالجة، أو تغير العمليات والأنظمة وظروف السوق.
ما الفرق بين سجل المخاطر وتقرير المخاطر؟
يحتوي سجل المخاطر على التفاصيل المستخدمة في المتابعة اليومية، مثل التقييم والضوابط والمسؤوليات والمواعيد. أما تقرير المخاطر، فيقدم ملخصًا تحليليًا للإدارة عن المخاطر المهمة والتغيرات التي طرأت عليها والقرارات المطلوبة بشأنها.
بمعنى آخر، يمثل السجل مصدرًا مستمرًا للبيانات، بينما يعرض التقرير أهم النتائج خلال فترة معينة. لذلك يُحدّث السجل عند تغير معلومات الخطر، في حين يصدر التقرير دوريًا أو عند الحاجة.
لماذا تحتاج المنشأة إلى سجل للمخاطر؟
يساعد السجل على:
- جمع المخاطر في مصدر موحد.
- تحديد المخاطر الأعلى أولوية.
- توضيح المسؤول عن كل خطر.
- متابعة إجراءات المعالجة ومواعيدها.
- رصد التغير في مستويات المخاطر.
- تقليل الاعتماد على المعرفة الفردية.
- توفير معلومات تدعم الخطط والقرارات.
- توثيق ما اتخذته المنشأة بشأن المخاطر المهمة.
ولا يحقق السجل هذه الفوائد إذا اقتصر استخدامه على الحفظ أو العرض الدوري دون متابعة فعلية.
من يشارك في إعداد سجل المخاطر؟
لا يفترض أن تتولى إدارة المخاطر إعداد السجل منفردة؛ لأن الإدارات التنفيذية هي الأقرب إلى العمليات والمشكلات التي قد تؤثر فيها.
عادةً ما تتوزع الأدوار على النحو الآتي:
- تنسق إدارة المخاطر المنهجية وتوحّد طريقة التسجيل والتقييم.
- يحدد مديرو الإدارات ومالكو العمليات المخاطر المرتبطة بأعمالهم.
- يقدم المختصون المعلومات المتعلقة بالأنظمة والمالية والتقنية وغيرها.
- تراجع الإدارة العليا المخاطر الجوهرية والقرارات المطلوبة.
- تقدم المراجعة الداخلية تقييمًا مستقلًا لفاعلية العملية، دون أن تتولى ملكية المخاطر نيابةً عن الإدارة التنفيذية.
خطوات إعداد سجل المخاطر
تنقسم مرحلة إعداد سجل المخاطر إلى 10 خطوات أساسية وهي كالتالي:
1. تحديد نطاق السجل واستخدامه
تبدأ عملية إعداد سجل المخاطر بتحديد ما سيغطيه. فقد يكون السجل خاصًا بالمنشأة كاملة، أو بإدارة، أو بمشروع محدد. فمن المهم توضيح الأهداف والعمليات المشمولة، والفترة الزمنية، والجهات التي ستقدم البيانات، ومن سيستخدم السجل ويعتمد تحديثاته. ويمنع وضوح النطاق خلط المخاطر المؤسسية بمخاطر المشروعات أو تسجيل الخطر نفسه في أكثر من مكان دون حاجة.
2. جمع المخاطر من مصادر مختلفة
يمكن التعرف إلى المخاطر من خلال مراجعة الأهداف والخطط والعمليات، ومناقشة مديري الإدارات والموظفين، والرجوع إلى الحوادث السابقة وشكاوى العملاء وتقارير المراجعة ومؤشرات الأداء والتغيرات التنظيمية والتقنية.
لا تعتمد جودة السجل على أداة واحدة. المهم هو جمع المعلومات من الجهات الأقرب إلى العمل، بدل الاعتماد على افتراضات فريق غير مشارك في العملية.
3. صياغة الخطر بوضوح
تجنب الأوصاف العامة، مثل مشكلة تقنية أو ضعف الموردين؛ لأنها لا توضح ما قد يحدث أو أثره.
يمكن استخدام الصيغة التالية:
نتيجةً لـ[السبب]، قد يحدث [الحدث]، مما يؤدي إلى [الأثر].
مثال:
نتيجة الاعتماد على مورد واحد للمادة الأساسية، قد يتوقف التوريد عند تعثره، مما يؤدي إلى تأخر الإنتاج وعدم الوفاء بمواعيد العملاء.
تساعد هذه الصياغة على الفصل بين سبب الخطر والحدث المحتمل ونتيجته، واختيار معالجة تتناسب مع المشكلة الفعلية.
4. تسجيل الأسباب والآثار وتصنيف الخطر
قد يكون للخطر الواحد أكثر من سبب وأكثر من أثر. فتعطل منصة المبيعات قد ينتج عن ضعف البنية التقنية أو فشل مزود الخدمة، وقد يؤدي إلى توقف الطلبات وخسارة المبيعات وزيادة شكاوى العملاء.
بعد ذلك، يُصنف الخطر وفق التصنيف المستخدم داخل المنشأة، مثل المخاطر الاستراتيجية أو المالية أو التشغيلية أو التقنية أو مخاطر الالتزام والسمعة.
إذا ظهر الخطر نفسه في أكثر من إدارة، يُراجع سياقه ومالكه وطريقة معالجته قبل تكراره. فقد يكون خطرًا مؤسسيًا واحدًا، أو مخاطر منفصلة تشترك في الاسم وتختلف في أسبابها وآثارها.
5. تسجيل الضوابط الحالية
الضوابط الحالية هي الإجراءات المطبقة بالفعل لتقليل احتمال الخطر أو أثره، مثل الفصل بين المهام، والموافقات، والنسخ الاحتياطي، والمراجعات الدورية، والتدريب والتأمين.
لذا لا تُسجل الخطط المستقبلية على أنها ضوابط قائمة، كما أن وجود سياسة مكتوبة لا يعني أنها فعالة؛ لذلك ينبغي التحقق من تطبيق الضابط ووجود دليل يدعم فاعليته.
6. توثيق تقييم الاحتمالية والأثر
تستخدم المنشأة مقياسًا موحدًا لتقدير احتمالية وقوع الخطر وحجم أثره. وقد يتكون المقياس من ثلاث أو خمس درجات، بشرط تعريف كل درجة بوضوح.
يعتمد تقييم الاحتمالية على عوامل مثل الحوادث السابقة وتكرار العملية ومستوى التعرض. أما الأثر، فقد يشمل الخسائر المالية، أو توقف العمليات، أو مخالفة المتطلبات، أو الإضرار بالعملاء والسمعة.
تُوثق نتيجة التقييم في السجل وفق المنهجية المعتمدة، وفق المنهجية المعتمدة، بينما تُشرح أدوات القياس وطريقة تصميم مصفوفة المخاطر في دليل مستقل.
7. تحديد مستوى الخطر وأولويته
يُحدد مستوى الخطر من خلال نتيجة تقييم الاحتمالية والأثر، ثم يصنف عادةً إلى منخفض أو متوسط أو مرتفع أو حرج.
ولا ينبغي الاعتماد على الدرجة الحسابية وحدها؛ فقد يكون الخطر قليل الاحتمال لكنه شديد الأثر، مثل توقف عملية أساسية أو وقوع مخالفة جوهرية. لذلك تراجع الإدارة دلالة النتيجة قبل تحديد أولوية المعالجة.
8. اختيار طريقة التعامل مع الخطر
تختار المنشأة استجابة تتناسب مع مستوى الخطر وأهدافها:
- التجنب: إيقاف النشاط أو تغيير القرار المسبب للخطر.
- التخفيض: إضافة إجراءات تقلل احتمالية الخطر أو أثره.
- النقل أو المشاركة: نقل جزء من التبعات المالية أو التشغيلية إلى طرف آخر، مثل شركات التأمين أو الشركاء، مع بقاء مسؤولية المنشأة عن متابعة الخطر.
- القبول: الاحتفاظ بالخطر ضمن مستوى معتمد مع استمرار مراقبته.
ولا يعني نقل الخطر التخلص من المسؤولية بالكامل؛ فقد تبقى على المنشأة آثار تشغيلية أو نظامية أو مرتبطة بالسمعة.
9. تحديد مالك الخطر وإجراءات المعالجة
مالك الخطر هو الشخص صاحب الصلاحية والمسؤول عن متابعة الخطر واتخاذ القرارات المتعلقة بمعالجته، لذا من الضروري تحديده بمسمى وظيفي واضح، لا باسم إدارة عامة فقط.
وقد يختلف مالك الخطر عن مالك الإجراء؛ فالأول يتابع الخطر كاملًا، بينما يتولى الثاني تنفيذ مهمة محددة.
تتضمن خطة المعالجة:
- الإجراء المطلوب.
- المسؤول عن تنفيذه.
- الموعد المستهدف.
- حالة التنفيذ.
- دليل الإنجاز.
- الأثر المتوقع في مستوى الخطر.
10. تسجيل الخطر المتبقي وتحديث السجل
الخطر الكامن هو مستوى الخطر قبل مراعاة الضوابط، بينما يمثل الخطر المتبقي ما يبقى بعد تطبيقها. ولا يُخفض التقييم لمجرد وجود ضابط؛ بل بناءً على دليل يثبت تطبيقه وفاعليته.
يُراجع السجل دوريًا، ويُحدّث عند وقوع حادث، أو تغير عملية أو نظام، أو ظهور متطلب جديد، أو تأخر إجراء معالجة، كما أنه من الضروري توثيق تاريخ المراجعة والتغييرات المهمة؛ بما يمكّن الإدارة من متابعة تطور مستوى الخطر بمرور الوقت.
ما الحقول الأساسية في سجل المخاطر؟
تختلف الحقول بحسب حجم المنشأة والغرض من السجل، لكنها غالبًا تشمل:
- الرقم المرجعي للخطر.
- الهدف أو العملية المرتبطة به.
- التصنيف ووصف الخطر.
- الأسباب والآثار المحتملة.
- الضوابط الحالية.
- تقييم الاحتمالية والأثر.
- مستوى الخطر.
- طريقة التعامل معه.
- مالك الخطر ومالك الإجراء.
- إجراءات المعالجة والمواعيد.
- حالة التنفيذ.
- مستوى الخطر المتبقي.
- تاريخ آخر مراجعة وموعد المراجعة التالية.
لا يُنصح بإضافة حقول كثيرة لا يستخدمها الفريق؛ لأن تعقيد النموذج قد يجعل تحديثه عبئًا بدل أن يكون أداة للمتابعة.
أخطاء شائعة عند إعداد سجل المخاطر
من أبرز الأخطاء عند إعداد سجل المخاطر:
- استخدام أوصاف عامة لا تحدد الحدث والأثر.
- الخلط بين الخطر وسببه أو نتيجته.
- تكرار الخطر بصياغات مختلفة.
- الاعتماد على تقييمات شخصية غير محددة.
- تسجيل ضوابط لم تُطبق فعليًا.
- تعيين إدارة كاملة بدل مالك واضح.
- قبول الخطر دون صلاحية أو اعتماد.
- إغلاق الإجراءات دون التحقق من تنفيذها.
- عدم تحديث السجل عند تغير الظروف.
وقد يبدو السجل مكتملًا من حيث عدد البنود، لكنه يظل ضعيفًا إذا لم يوضح الأولويات والمسؤوليات والإجراءات الفعلية.
يعتمد نجاح إعداد سجل المخاطر على وضوح وصف المخاطر، واتساق التقييم، وتحديد المسؤوليات، ومتابعة إجراءات المعالجة وتحديث البيانات باستمرار.
إذا كانت مخاطر منشأتك موزعة بين الإدارات أو لا ترتبط بملاك وإجراءات واضحة، تساعدك شركة الدقة المتناهية على إعداد سجل منظم يعزز المتابعة ويدعم اتخاذ القرار.
الأسئلة الشائعة
ما المقصود بسجل المخاطر؟
هو وثيقة أو أداة مركزية توثق المخاطر وأسبابها وآثارها وتقييمها وضوابطها وملاكها وإجراءات معالجتها.
ما الفرق بين سجل المخاطر وتقرير المخاطر؟
السجل أداة تفصيلية مستمرة للمتابعة، بينما يقدم التقرير ملخصًا للمخاطر المهمة والاتجاهات والقرارات المطلوبة خلال فترة محددة.
من المسؤول عن إعداد سجل المخاطر؟
تنسق إدارة المخاطر إعداد السجل ومنهجيته، بينما تحدد الإدارات التنفيذية مخاطر عملياتها وتتولى ملكيتها ومتابعة معالجتها.
ما الفرق بين الخطر الكامن والخطر المتبقي؟
الخطر الكامن هو مستوى الخطر قبل الضوابط، بينما يمثل الخطر المتبقي المستوى القائم بعد مراعاة الضوابط وفاعليتها.
هل يمكن إعداد سجل المخاطر باستخدام Excel؟
نعم، إذا كان حجم البيانات مناسبًا، مع تحديد صلاحيات التعديل وحفظ الإصدارات ومتابعة التحديثات. وقد تحتاج المنشآت الأكبر إلى نظام متخصص.