مصفوفة المخاطر: التقييم الصحيح للاحتمالية والتأثير

تقيس الاحتمالية مدى احتمال وقوع حدث أو معدل تكراره، بينما يقيس التأثير شدة عواقبه. ويساعد الفصل بين البعدين على تجنب أخطاء التقييم، والتمييز بين المخاطر المتكررة منخفضة العواقب والأحداث النادرة ذات النتائج التنظيمية الخطيرة.

يمكن أن يكون الخطر مرتفع الاحتمالية ومنخفض التأثير. ومن أمثلته خطأ بسيط في معالجة المعاملات يحدث بصورة متكررة، لكنه يُصحح بسرعة.

وقد يكون الخطر منخفض الاحتمالية ومرتفع التأثير. ويُعد تعطل مركز بيانات رئيسي مثالًا على ذلك. فالحدث نادر، لكن عواقبه كبيرة.

ويكتسب هذا التمييز أهمية لأن تكرار الحدث لا يحدد الأولوية تلقائيًا. فالمخاطر ذات التأثير المرتفع تحتاج إلى اهتمام مناسب حتى عندما تكون احتمالية وقوعها منخفضة.

وبالمثل، تحتاج الحوادث البسيطة المتكررة إلى المعالجة عندما يؤدي تأثيرها التراكمي إلى استهلاك الموارد أو يكشف عن ضعف في بيئة الضوابط.

كما يساعد هذا الفصل في تحسين مناقشات الإدارة. يستطيع مالكو المخاطر توضيح ما إذا كان تصنيف الخطر ناتجًا بشكل أساسي عن تكرار التعرض أم عن شدة العواقب.

لذلك تتجنب مصفوفة المخاطر دمج المفهومين في حكم شخصي واحد. يتم تقييم الاحتمالية والتأثير بشكل مستقل، ثم دمجهما للوصول إلى التصنيف الإجمالي للخطر.

يتم حساب درجة مصفوفة المخاطر من خلال الجمع بين قيمتي الاحتمالية والتأثير، وغالبًا باستخدام عملية الضرب. فعندما تبلغ الاحتمالية 4 والتأثير 5، تكون الدرجة 20 ضمن نموذج تقييم مكون من خمسة مستويات.

المعادلة الشائعة هي:

درجة الخطر = الاحتمالية × التأثير

وباستخدام مقياس من خمس نقاط، تكون أقل درجة نظرية:

1 × 1 = 1

بينما تكون أعلى درجة:

5 × 5 = 25

بعد ذلك تُربط النتيجة بفئة محددة للمخاطر. فعلى سبيل المثال، يمكن للمؤسسة تصنيف الدرجات من 1–4 كمخاطر منخفضة، ومن 5–9 كمخاطر متوسطة، ومن 10–16 كمخاطر مرتفعة، ومن 17–25 كمخاطر مرتفعة جدًا.

هذه الحدود أمثلة وليست معيارًا عالميًا موحدًا. تحدد المؤسسة حدودها وفق إطار الحوكمة الخاص بها، وشهية المخاطر، والمتطلبات التنظيمية، والسياق التشغيلي.

يوفر الضرب علاقة رقمية بسيطة بين الاحتمالية والتأثير، لكنه ليس أسلوب التقييم الوحيد.

فبعض المؤسسات تستخدم تصنيفات وصفية مثل منخفض، ومتوسط، ومرتفع. بينما تستخدم مؤسسات أخرى أنظمة ترجيح تمنح أبعادًا معينة للتأثير أهمية أكبر.

ويتمثل الشرط الأساسي في الاتساق. فعندما تعتمد المؤسسة طريقة محددة للتقييم، يجب على مالكي المخاطر تطبيق الطريقة نفسها عند إجراء تقييمات مماثلة.

يصبح تقييم مصفوفة المخاطر غير موثوق عندما تستخدم المؤسسات فئات غير محددة، أو أدلة غير متسقة، أو درجات عشوائية، أو حدودًا غير مناسبة، أو مخاطر مكررة، أو تقييمات قديمة. وتظهر أخطر المشكلات عندما تبدو الأرقام دقيقة بينما تظل معايير التقييم ذاتية وغير متسقة.

من الأخطاء الشائعة التعامل مع الرقم باعتباره موضوعيًا لمجرد أنه يظهر في صورة رياضية. فالدرجة 16 لا تمثل المستوى نفسه من التعرض عندما تستخدم إدارتان تعريفات مختلفة.

وتتمثل مشكلة أخرى في الخلط بين المخاطر الكامنة والمخاطر المتبقية. تشير المخاطر الكامنة إلى مستوى التعرض قبل تطبيق الضوابط، بينما تشير المخاطر المتبقية إلى مستوى التعرض بعد تطبيق الضوابط القائمة.

ويؤدي استخدام الدرجة نفسها للحالتين إلى منع الإدارة من معرفة ما إذا كانت الضوابط تقلل التعرض فعليًا.

ومن الأخطاء أيضًا الخلط بين قوة الضابط والتأثير. فالضابط القوي لا يقلل بالضرورة من عواقب الحدث. بل يمكن أن يقلل الاحتمالية أو التأثير أو كليهما، وفقًا لطبيعة تصميم الضابط.

كما تصبح سجلات المخاطر غير موثوقة عندما تبقى الدرجات دون تغيير لفترات طويلة. فالتهديدات الخارجية، والعمليات التجارية، والتقنيات، والموردون، واللوائح، والظروف التشغيلية تتغير باستمرار.

لذلك تحتاج مصفوفة المخاطر إلى إعادة تقييم دورية. وغالبًا ما تتطلب المخاطر ذات الأولوية العالية مراجعة أكثر تكرارًا من المخاطر منخفضة الأولوية.

كما تحتاج عملية التقييم إلى مراجعة مستقلة. يقدم مالكو المخاطر المعرفة التشغيلية، بينما توفر فرق إدارة المخاطر أو الامتثال أو التدقيق الداخلي أو الإدارة العليا الرقابة والحوكمة اللازمة.

تصبح الشهادة الرسمية ذات أهمية عندما تحتاج المؤسسة إلى دليل منظم على الكفاءة، أو اعتراف بالتطوير المهني، أو توحيد المعرفة بالمخاطر، أو مسار تعليمي محدد للموظفين المسؤولين عن تقييم المخاطر وإدارتها.

يؤدي التدريب والشهادة أغراضًا مختلفة. فالتدريب يطور المعرفة والقدرة العملية، بينما توفر الشهادة دليلًا رسميًا على استكمال متطلبات تعليمية أو تقييمية محددة.

وبالنسبة للفرد، تصبح الشهادة أكثر أهمية عندما تشكل إدارة المخاطر جزءًا من مساره المهني. ويعمل مديرو المخاطر، ومتخصصو إدارة المشاريع، ومتخصصو الامتثال، والمدققون الداخليون، والمديرون التشغيليون، والمتخصصون في الحوكمة ضمن عمليات منظمة لإدارة المخاطر.

أما بالنسبة لصاحب العمل، فتقدم الشهادة سجلًا تدريبيًا أكثر وضوحًا. ويمكن لفرق الموارد البشرية استخدام حالة الحصول على الشهادة إلى جانب التقييمات العملية، ومراجعات الأداء، وأطر الكفاءات.

ومع ذلك، يجب أن يستند القرار إلى طبيعة الوظيفة. فالموظف الذي يقتصر دوره على الإبلاغ عن الحوادث التشغيلية لا يحتاج إلى المستوى نفسه من التأهيل الرسمي في إدارة المخاطر الذي يحتاجه مدير المخاطر المسؤول عن التقييم المؤسسي الشامل.

وعندما ينتقل هدف التعلم من التوعية العامة إلى الكفاءة المهنية، يمكن للمؤسسات تقييم برامج الشهادات المنظمة كجزء من استراتيجية تطوير الموظفين. وهنا تصبح الموارد المتخصصة مثل لماذا تُعد شهادة إدارة المخاطر من الأكاديمية البريطانية للتدريب والتطوير خطوة مهنية ذكية؟ مناسبة لتقييم مسار الشهادة المحدد.

اكتشف المزيد من الرؤى المتخصصة:

المسار المهني لمهندس الجودة: الدورات التدريبية والشهادات والرواتب

بناء نظام تدقيق الجودة: الإطار والنماذج

ينبغي للمهنيين اختيار برنامج إدارة المخاطر وفقًا لأهداف التعلم، والتطبيق العملي، وعمق التقييم، ونمط التدريب، وخبرة المدرب، ومتطلبات الشهادة، والارتباط ببيئة العمل، بعد تحديد الكفاءات المطلوبة قبل مقارنة البرامج.

المعيار الأول هو مدى ملاءمة المنهج. فالبرنامج الذي يركز فقط على المصطلحات لا يوفر الكفاءة نفسها التي يوفرها برنامج يغطي تحديد المخاطر وتقييمها والضوابط والمراقبة والتصعيد وإعداد التقارير.

المعيار الثاني هو التطبيق العملي. يحتاج المشاركون إلى فرص لتقييم مخاطر واقعية، وحساب الدرجات، ومراجعة الافتراضات، وتفسير النتائج.

المعيار الثالث هو التقييم. يوفر البرنامج الذي يتضمن تقييمًا عمليًا دليلًا أقوى على الكفاءة مقارنة بمجرد حضور التدريب.

المعيار الرابع هو ملاءمة طريقة التدريب. وينبغي لفرق الموارد البشرية مراعاة ما إذا كان الموظفون يحتاجون إلى التفاعل داخل قاعة التدريب، أو التدريب المباشر عبر الإنترنت، أو المرونة التي يوفرها التعلم الإلكتروني، أو نموذج التعلم المدمج.

المعيار الخامس هو الارتباط ببيئة العمل. يجب أن تتوافق مصطلحات المخاطر ومعايير التقييم مع إطار إدارة المخاطر المعتمد داخل المؤسسة.

وبالنسبة للمهنيين الذين يقيمون مسارًا تعليميًا منظمًا، توفر دورات تدريبية في إدارة المخاطر فئة مناسبة لمقارنة خيارات التطوير المهني الرسمي. وينبغي تقييم البرنامج وفق مستوى الكفاءة الحالي للفرد ومسؤولياته الوظيفية المستهدفة، بدلًا من اختياره لمجرد أنه يتضمن شهادة.

تبدأ عملية اتخاذ القرار الصحيحة بتحديد معايير المخاطر، وتقييم الاحتمالية والتأثير بشكل مستقل، وحساب التصنيف، ومقارنته بشهية المخاطر، وتقييم الضوابط، وتحديد المسؤولية، ووضع متطلبات المراجعة لضمان ارتباط التقييم بالإجراء.

تصبح مصفوفة المخاطر ذات قيمة عندما تؤثر الدرجة على قرار فعلي.

يمكن أن تدعم الدرجة المنخفضة المراقبة الروتينية، بينما يمكن أن تتطلب الدرجة المتوسطة ضوابط إضافية أو مراجعة إدارية. أما الدرجة المرتفعة فيمكن أن تؤدي إلى التصعيد أو وضع خطة لمعالجة الخطر أو الحصول على موافقة الإدارة العليا.

ويجب أن ترتبط الحدود المعتمدة بشهية المؤسسة للمخاطر. وتشير شهية المخاطر إلى مستوى ونوع التعرض الذي تقبل المؤسسة بتحمله أثناء سعيها لتحقيق أهدافها.

كما يجب أن تميز المصفوفة بين التقييم والمعالجة. فالدرجة المرتفعة لا تحدد تلقائيًا الضابط المناسب، وإنما تشير إلى الحاجة إلى استجابة إدارية.

بعد ذلك يحدد مالك الخطر ما إذا كان سيتم تجنب التعرض أو تقليله أو نقله أو قبوله أو معالجته بطريقة أخرى وفق إطار المؤسسة.

وتتمثل المرحلة النهائية في المراقبة. وتحتاج الدرجات إلى المراجعة عند وقوع حوادث، أو تغير الضوابط، أو تغير ظروف العمل، أو ظهور معلومات جديدة تؤثر في التقييم.

وبذلك تعمل مصفوفة المخاطر بأفضل صورة عندما تكون جزءًا من دورة مستمرة لإدارة المخاطر، وليس مجرد أداة لتسجيل درجة لمرة واحدة.