من الهدف إلى الخطر: منهجية مهنية لتحديد المخاطر وصياغتها

تبدأ كثير من ورش تحديد المخاطر بسؤال مباشر يوجَّه إلى الإدارات:

ما المخاطر التي تواجهكم؟

يفتح هذا السؤال باب النقاش، غير أن الإجابات الناتجة عنه تأتي في الغالب على هيئة عبارات عامة، مثل: نقص الموارد، وضعف التنسيق، وتأخر المشروع، وخسائر مالية محتملة. تحمل هذه العبارات دلالات مهمة، لكنها تجمع مفاهيم مختلفة في مستوى واحد؛ فقد تصف سببًا، أو حدثًا محتملًا، أو نتيجة مترتبة على وقوع حدث آخر.

تتحسن جودة تحديد المخاطر عندما يبدأ النقاش من الهدف الذي تسعى الإدارة إلى تحقيقه. يصبح السؤال عندئذ أكثر تحديدًا:

ما الهدف المطلوب تحقيقه، وما الظروف غير المؤكدة التي قد تؤثر في الوصول إليه؟

هذه البداية تنقل إدارة المخاطر من إعداد قائمة عامة للمخاوف إلى تحليل منظم للعلاقة بين الأهداف ومصادر عدم اليقين والأحداث المحتملة وآثارها.

الخطر يرتبط بهدف

يعرّف معيار ISO 31000:2018 الخطر بأنه «أثر عدم اليقين على الأهداف». ويشمل مفهوم الأهداف في هذا السياق غرض المنظمة ورؤيتها وقيمها، إلى جانب الأهداف والغايات المحددة على المستويات الاستراتيجية والتشغيلية ومستوى القرارات الفردية.

يحمل هذا التعريف دلالة عملية مهمة: يصعب وصف الخطر أو تقدير أهميته بمعزل عن الهدف الذي قد يتأثر. فالحدث ذاته قد يمثل خطرًا جوهريًا لإدارة، وأمرًا محدود الأهمية لإدارة أخرى، تبعًا لطبيعة أهداف كل منهما وحجم التأثير المتوقع عليها.

يمثل تأخر توريد مادة معينة مثالًا واضحًا. قد يكون أثر هذا التأخر محدودًا عندما يتوافر مخزون كافٍ أو مورد بديل، وقد يؤدي في سياق آخر إلى توقف الإنتاج وفقدان مبيعات جوهرية والإخلال بالتزامات تعاقدية. تنشأ أهمية الخطر هنا من علاقته بالهدف والنتيجة المتوقعة، وليس من وصف الحدث منفردًا.

موقع الأهداف في الأطر المهنية لإدارة المخاطر

يعزز إطار COSO لإدارة المخاطر المؤسسية هذا الارتباط. يضع الإطار صياغة أهداف الأعمال ضمن المبدأ التاسع، ثم ينتقل في المبدأ العاشر إلى تحديد المخاطر، وفي المبدأ الحادي عشر إلى تقييم شدة المخاطر. ويقرر الإطار أن أهداف الأعمال تترجم الاستراتيجية إلى أداء، وتوفر أساسًا لتحديد المخاطر وتقييمها والاستجابة لها.

ويتبنى الدليل الاسترشادي لإدارة المخاطر الصادر عن وزارة المالية السعودية التوجه نفسه. ينص القسم 5.3.1.1 على مراجعة أهم الأهداف الاستراتيجية والتشغيلية للإدارات من خلال ورش عمل تفاعلية مع رواد المخاطر والفرق التشغيلية ومديري الإدارات، بهدف تحديد المخاطر المحيطة بعملياتهم وأهدافهم. ويوصي الدليل بعقد هذه الورش سنويًا على الأقل لدعم التحديث المستمر لسجل المخاطر.

توضح هذه المراجع تسلسلًا منهجيًا متماسكًا:

1. فهم الهدف والسياق.
2. تحديد المخاطر المرتبطة به.
3. تحليل الأسباب والآثار.
4. تقييم مستوى الخطر.
5. اختيار الاستجابة المناسبة.
6. مراقبة التغيرات والنتائج.

لماذا تنتج الأسئلة العامة سجلات مخاطر ضعيفة؟

عندما يُطلب من الإدارات ذكر المخاطر بصورة عامة، تعتمد الإجابات غالبًا على أكثر المشكلات حضورًا في الذاكرة. تظهر نتيجة لذلك عبارات قصيرة مثل:

• نقص الكفاءات.
• ضعف التواصل.
• تعطل النظام.
• فقدان العملاء.
• عدم الالتزام.
• ارتفاع التكاليف.

تصف بعض هذه العبارات مصادر للخطر، بينما يصف بعضها الآخر أحداثًا أو آثارًا. ويصعب عند إدراجها بصورتها المجردة تحديد الضوابط المناسبة أو تقدير الاحتمالية والأثر بصورة منضبطة.

على سبيل المثال، تمثل عبارة «نقص الكفاءات» سببًا أو ظرفًا داخليًا. أما الحدث المحتمل فقد يتمثل في تعذر تشغيل خط إنتاج جديد، أو تأخر تنفيذ مشروع، أو وقوع أخطاء تشغيلية. وقد يظهر الأثر في انخفاض الإنتاج، أو تجاوز الميزانية، أو تأخر تحقيق الإيرادات، أو ضعف جودة الخدمة.

كذلك تمثل عبارة «خسائر مالية» أثرًا محتملًا، من دون بيان الحدث الذي أدى إليها أو الهدف المالي الذي تعرض للتأثير. وينطبق الأمر نفسه على عبارات مثل «تأخر المشروع» و«عدم الالتزام»، إذ تحتاج إلى تحديد نطاقها وأسبابها ونتائجها.

المكونات الأساسية لصياغة الخطر

تستفيد صياغة الخطر من الفصل بين أربعة عناصر مترابطة:

1. الهدف

النتيجة التي تسعى الجهة أو الإدارة إلى تحقيقها خلال مدة محددة.

قد يكون الهدف استراتيجيًا، مثل دخول سوق جديد، أو تشغيليًا، مثل رفع الطاقة الإنتاجية، أو ماليًا، مثل تحسين التدفقات النقدية، أو تنظيميًا، مثل استيفاء متطلبات ترخيص معين.

2. السبب أو مصدر عدم اليقين

العامل الذي يزيد احتمال وقوع الحدث أو يهيئ الظروف لوقوعه.

تشمل الأسباب المحتملة محدودية الموارد، والاعتماد على مورد واحد، ونقص المعلومات، وضعف تصميم الإجراءات، والتغيرات التنظيمية، وتقلب الطلب، والاعتماد على أنظمة تقنية قديمة.

3. الحدث المحتمل

الواقعة التي قد تحدث في المستقبل وتؤثر في تحقيق الهدف.

ينبغي أن يكون الحدث محددًا وقابلًا للفهم. ومن أمثلته: تأخر وصول المواد، وتعطل النظام، ورفض طلب الترخيص، وانسحاب موظف رئيس، وارتفاع التكلفة الفعلية عن الميزانية.

4. الأثر على الهدف

النتيجة التي قد تترتب على وقوع الحدث، مثل تأخر تحقيق الهدف، أو انخفاض جودته، أو تجاوز تكلفته، أو الإخلال بالتزام نظامي أو تعاقدي.

يتسق هذا التفكيك مع منهج تحديد المخاطر الذي ينظر في مصادر الخطر، والأحداث، وأسبابها، والعواقب المحتملة.

صيغة عملية لكتابة الخطر

يمكن استخدام الصيغة الآتية كأداة عملية تساعد فرق العمل على بناء وصف متماسك:

بسبب «السبب أو مصدر عدم اليقين»، قد يحدث «الحدث المحتمل»، مما يؤدي إلى «الأثر على الهدف».

تمثل هذه الصيغة وسيلة تنظيمية للكتابة، وليست نصًا إلزاميًا يفرضه معيار ISO 31000. وتكمن فائدتها في إظهار العلاقات المنطقية بين عناصر الخطر ومنع الخلط بين السبب والحدث والأثر.

وقد تحتاج بعض المخاطر إلى صياغة أقصر، خاصة عندما يكون السياق معروفًا وواضحًا داخل سجل المخاطر. يظل المعيار الأساسي هو قدرة الصياغة على نقل معنى الخطر بدقة إلى القارئ وصانع القرار ومالك الخطر.

مثال تطبيقي

لنفترض أن منشأة صناعية تستهدف بدء المبيعات التجارية في أكتوبر 2026، مع تحقيق كمية مبيعات محددة قبل نهاية السنة.

الهدف

بدء المبيعات التجارية في أكتوبر 2026 وتحقيق كمية المبيعات المستهدفة بنهاية العام.

المؤشر

كمية الوحدات المباعة خلال الفترة من أكتوبر إلى ديسمبر 2026.

المستهدف

تحقيق الكمية المعتمدة في الخطة التشغيلية والمالية.

مصدر عدم اليقين

إجراءات اعتماد الموردين، ومدد توريد المواد الخام، والاعتماد على عدد محدود من الموردين.

الحدث المحتمل

تأخر وصول المواد اللازمة لبدء الإنتاج التجاري.

الأثر المحتمل

تأخر بدء الإنتاج والمبيعات، وانخفاض الكميات المباعة، وتأجيل التدفقات النقدية المتوقعة.

صياغة الخطر

بسبب احتمال تأخر اعتماد الموردين أو وصول المواد الخام، قد يتأخر بدء الإنتاج التجاري عن أكتوبر 2026، مما يؤدي إلى انخفاض كمية المبيعات والتدفقات النقدية عن المستهدف المعتمد لنهاية العام.

تساعد هذه الصياغة على تحديد الجهة المسؤولة عن الخطر، والضوابط القائمة، والإجراءات الإضافية، ومؤشرات الإنذار المبكر. كما تتيح تقييم الاحتمالية والأثر وفق معلومات مرتبطة بسياق واضح.

أما عبارة «خطر تأخر الإنتاج» فتقدم عنوانًا عامًا، من دون أن توضح مصدر التأخر أو توقيته أو النتيجة التي قد يسببها.

خطوات عملية لتحديد المخاطر انطلاقًا من الأهداف

الخطوة الأولى: تثبيت الهدف

تبدأ الورشة بمراجعة الهدف والتأكد من وضوحه. يحتاج الهدف إلى نتيجة محددة، ومؤشر قياس، ومستهدف، وإطار زمني، ومسؤول عن تحقيقه.

تؤدي الأهداف العامة، مثل «تحسين الأداء» أو «رفع الجودة»، إلى مخاطر عامة بالدرجة نفسها. ومن الأفضل تحويلها إلى نتائج قابلة للفهم والقياس قبل بدء تحديد المخاطر.

الخطوة الثانية: فهم الافتراضات

تُبنى الخطط عادة على مجموعة من الافتراضات المتعلقة بالموارد والطلب والتكاليف والأنظمة والتقنية والجدول الزمني. تمثل هذه الافتراضات مدخلًا مهمًا لتحديد المخاطر.

يمكن طرح أسئلة من قبيل:

• ما الافتراضات التي قام عليها هذا الهدف؟
• ما المعلومات التي ما زالت غير مكتملة؟
• ما الجهات الخارجية التي يعتمد عليها التنفيذ؟
• ما الموارد الحرجة لتحقيق النتيجة؟
• ما التغيرات التي قد تؤثر في الخطة؟

الخطوة الثالثة: تحليل السياق

يشمل السياق الداخلي الهيكل التنظيمي، والموارد، والكفاءات، والإجراءات، والأنظمة، والثقافة، ومستوى النضج الإداري. ويشمل السياق الخارجي المتطلبات النظامية، والموردين، والعملاء، والسوق، والتقنية، والظروف الاقتصادية والاجتماعية والبيئية.

تتغير المخاطر بتغير السياق، حتى مع بقاء الهدف ثابتًا. ولذلك تحتاج عملية التحديد إلى معلومات حديثة وإلى مشاركة الأشخاص الأقرب إلى التنفيذ.

الخطوة الرابعة: تحديد مصادر عدم اليقين

تبحث هذه الخطوة في العوامل التي قد تغير مسار تحقيق الهدف. ويمكن تصنيفها وفق طبيعة العمل إلى مصادر استراتيجية، وتشغيلية، ومالية، وتقنية، وتنظيمية، وبشرية، وتعاقدية، وسمعة، واستدامة.

تساعد فئات المخاطر على توسيع نطاق التفكير، مع بقاء الهدف محور النقاش.

الخطوة الخامسة: وصف الحدث المحتمل

يُصاغ الحدث بعبارة واضحة تجيب عن سؤال: ما الذي قد يحدث؟

تزداد جودة الصياغة عندما تصف حدثًا محددًا ضمن نطاق زمني أو تشغيلي معروف. كما يفيد تجنب العبارات التي تجمع عدة أحداث مستقلة في خطر واحد؛ لأن لكل حدث أسبابًا وضوابط وآثارًا قد تختلف عن الآخر.

الخطوة السادسة: تحديد الأثر

يرتبط الأثر بالهدف أو الالتزام أو القيمة المعرضة للتأثر. وقد يكون ماليًا، أو تشغيليًا، أو نظاميًا، أو متعلقًا بالسلامة، أو السمعة، أو جودة الخدمة، أو استمرارية الأعمال.

يفضل وصف الأثر بصورة ملموسة، مثل انخفاض الإيرادات، أو تجاوز مدة المشروع، أو تعطل خدمة حرجة، أو التعرض لجزاء تنظيمي.

الخطوة السابعة: توثيق العلاقة بين العناصر

تجمع الصياغة النهائية السبب والحدث والأثر في عبارة مفهومة. وبعد ذلك توثق معلومات أخرى في سجل المخاطر، مثل:

• مالك الخطر.
• العمليات والأهداف المرتبطة.
• الضوابط الحالية.
• تقييم الخطر الكامن والمتبقي.
• الاستجابة المعتمدة.
• خطة المعالجة.
• مؤشر الخطر الرئيس عند الحاجة.
• تواريخ المراجعة والمتابعة.

كيف تختبر جودة صياغة الخطر؟

يمكن مراجعة الصياغة من خلال مجموعة من الأسئلة:

1. ما الهدف أو الالتزام الذي قد يتأثر؟
2. هل يظهر الحدث المحتمل بوضوح؟
3. هل تم تحديد السبب أو مصدر عدم اليقين؟
4. هل يوضح الأثر نتيجة وقوع الحدث؟
5. هل تصف العبارة خطرًا واحدًا يمكن إدارته؟
6. هل يستطيع القارئ تحديد الجهة الأقرب إلى ملكية الخطر؟
7. هل يمكن تصميم ضوابط أو إجراءات استجابة مرتبطة به؟
8. هل توجد معلومات كافية لتقدير الاحتمالية والأثر؟
9. هل يمكن مراقبة التغير في مستوى الخطر؟
10. هل ما زالت الصياغة مفهومة لشخص لم يشارك في ورشة التحديد؟

تشير الإجابات غير الواضحة إلى حاجة الصياغة إلى مزيد من التحليل.

الفرق بين الخطر والمشكلة القائمة

تصف المخاطر حالات عدم يقين قد تؤثر في الأهداف، بينما تصف المشكلات أحداثًا وقعت وتحتاج إلى معالجة مباشرة.

على سبيل المثال:

• مشكلة قائمة: توقفت آلة الإنتاج الرئيسية منذ ثلاثة أيام.
• خطر مستقبلي: قد يستمر تعطل الآلة الرئيسية بسبب عدم توافر قطعة الغيار، مما يؤدي إلى تأخر تنفيذ أوامر العملاء وخسارة جزء من المبيعات المخططة.

قد تتحول المشكلة القائمة إلى مصدر لخطر مستقبلي، وقد تكشف عن ضعف في أحد الضوابط. ولهذا يستفيد سجل المخاطر من التكامل مع سجل المشكلات والحوادث والإجراءات التصحيحية.

أخطاء شائعة في صياغة المخاطر

استخدام كلمة واحدة أو عنوان عام

تظهر في بعض السجلات عبارات مثل «الموارد البشرية» أو «الأمن السيبراني» أو «الموردون». تمثل هذه العبارات موضوعات أو فئات، وتحتاج إلى حدث وأثر محددين.

كتابة الأثر وحده

عبارات مثل «خسائر مالية» و«تضرر السمعة» تصف نتائج محتملة. وتكتمل الصياغة عند تحديد الحدث الذي قد يقود إليها والهدف الذي سيتأثر.

الخلط بين السبب والخطر

قد يكتب الفريق «عدم وجود سياسة» بوصفه خطرًا. غياب السياسة يمثل ضعفًا رقابيًا أو سببًا، بينما يتمثل الخطر في الحدث المحتمل والأثر الناتج عنه.

جمع عدة مخاطر في عبارة واحدة

قد تحتوي العبارة الواحدة على تعطل النظام، وفقدان البيانات، وتأخر الخدمة، وتعرض الجهة لعقوبة. يؤدي هذا الجمع إلى صعوبة تحديد التقييم والضوابط والمالك. ويُفضل فصل الأحداث الجوهرية عندما تختلف أسبابها أو استجاباتها.

تقييم الخطر قبل استكمال تعريفه

يؤدي الانتقال المبكر إلى مصفوفة الاحتمالية والأثر إلى تقديرات مبنية على فهم متفاوت بين المشاركين. قد ينتج عن ذلك رقم دقيق في مظهره، مع ضعف الأساس التحليلي الذي يستند إليه.

يقرر الدليل الاسترشادي لوزارة المالية تسلسلًا يبدأ بتحديد المخاطر، ثم تحليل مسبباتها وآثارها، ثم تقييمها وفق مصفوفة الأثر والاحتمالية المناسبة لطبيعة الجهة.

الأهداف نقطة انطلاق ضمن نطاق أوسع

توفر الأهداف مدخلًا رئيسًا لتحديد المخاطر، ويستفيد العمل المهني من مراجعة مصادر أخرى، منها:

• العمليات والإجراءات اليومية.
• البرامج والمشروعات والمبادرات.
• الالتزامات النظامية والتعاقدية.
• القرارات والاستثمارات الجوهرية.
• الحوادث والخسائر والمشكلات السابقة.
• نتائج التدقيق والمراجعة والرقابة.
• شكاوى العملاء وأصحاب المصلحة.
• التغيرات التقنية والاقتصادية والتنظيمية.
• الاعتماد على الأطراف الخارجية.
• المخاطر الناشئة والسيناريوهات بعيدة المدى.

ويُربط كل خطر في النهاية بهدف، أو التزام، أو عملية، أو أصل، أو قيمة مؤسسية قد تتأثر. يحافظ هذا الربط على صلة سجل المخاطر بالقرارات الفعلية وبأولويات المنظمة.

من سجل المخاطر إلى دعم القرار

تظهر قيمة الصياغة الجيدة في المراحل اللاحقة من إدارة الخطر. فعندما تكون العلاقة بين السبب والحدث والأثر واضحة، يصبح من الممكن:

• اختيار ضوابط تعالج الأسباب الفعلية.
• تحديد استجابة تتناسب مع طبيعة الخطر.
• تصميم مؤشر إنذار مبكر له معنى.
• توزيع المسؤوليات على الجهات المناسبة.
• تقدير الموارد اللازمة للمعالجة.
• متابعة أثر الإجراءات في مستوى الخطر.
• عرض معلومات مفيدة للإدارة العليا ومجلس الإدارة.

أما السجل الذي يحتوي على عناوين عامة، فيصعب تحويله إلى قرارات أو خطط عمل قابلة للمتابعة. وقد يتحول مع مرور الوقت إلى وثيقة دورية يجري تحديث درجاتها من دون تغير ملموس في طريقة إدارة الأعمال.

خاتمة

تبدأ إدارة المخاطر الفعالة بفهم ما تحاول المنظمة تحقيقه، والظروف التي قد تؤثر في هذا المسار. ومن هنا تتشكل أسئلة أكثر دقة حول مصادر عدم اليقين، والأحداث المحتملة، والآثار المترتبة عليها.

يمكن تلخيص منطق تحديد الخطر في ثلاثة أسئلة مترابطة:

ما الهدف المطلوب تحقيقه؟

ما الحدث الذي قد يؤثر فيه، وما أسبابه؟

ما النتيجة المحتملة على الهدف عند وقوعه؟

كلما كانت الإجابات محددة ومرتبطة بالسياق، ارتفعت جودة سجل المخاطر وتحسنت موثوقية التقييم والاستجابة والمراقبة. وتصبح إدارة المخاطر عندئذ جزءًا من التخطيط والأداء واتخاذ القرار، وقادرة على دعم تحقيق الأهداف وحماية القيمة المؤسسية.

المراجع

1. المنظمة الدولية للتقييس، ISO 31000:2018 — إدارة المخاطر: إرشادات، البندان 3.1 و6.4.2.
2. المنظمة الدولية للتقييس ومنظمة الأمم المتحدة للتنمية الصناعية، ISO 31000:2018 — إدارة المخاطر: دليل عملي، 2021.
3. لجنة المنظمات الراعية للجنة تريدواي، إدارة المخاطر المؤسسية: التكامل مع الاستراتيجية والأداء، الملخص التنفيذي، 2017، المبادئ 9 و10 و11.
4. وزارة المالية السعودية، الدليل الاسترشادي لإدارة المخاطر: المبادئ الأساسية والممارسات التوجيهية، 2021، الأقسام 5.3.1.1 و5.3.1.2 و5.3.1.3.