تواجه الشركات في الكويت مخاطر متعددة يمكن أن تؤثر في العمليات والموارد والقرارات والأهداف الاستراتيجية، سواء كانت مرتبطة بالتمويل أو التشغيل أو الموردين أو الامتثال أو أمن المعلومات. لذلك أصبحت ادارة المخاطر ايزو 31000 من الأطر المهمة التي يمكن للشركات الاستفادة منها لبناء منهج منظم لتحديد المخاطر وتحليلها وتقييمها ومعالجتها ومتابعتها. ويقدم ISO 31000 مبادئ وإرشادات عامة يمكن تكييفها مع حجم المؤسسة وطبيعة نشاطها وأهدافها.
ويجب الانتباه إلى أن ISO 31000:2018 هو الإصدار الحالي حتى عام 2026، وقد تمت مراجعته وتأكيد صلاحيته في عام 2023. وفي الوقت نفسه، تعمل ISO/TC 262 على إصدار ثالث من المعيار، لكنه ما يزال في مرحلة التطوير ولم يحل محل إصدار 2018 حتى الآن.
ما هو معيار ISO 31000 لإدارة المخاطر؟
ISO 31000:2018 هو معيار دولي يقدم مبادئ وإرشادات لإدارة المخاطر داخل المؤسسات. ويمكن تطبيقه على مختلف أنواع المؤسسات والقطاعات والأنشطة، كما يمكن استخدامه في القرارات والاستراتيجيات والعمليات والمشاريع والخدمات والأصول.
ويهدف المعيار إلى مساعدة المؤسسات على إنشاء نهج متكامل لإدارة المخاطر بدل التعامل مع كل خطر بصورة منفصلة. وتشمل العملية تحديد المخاطر وتحليلها وتقييمها ومعالجتها ومراقبتها والتواصل بشأنها.
ولا يفرض المعيار نموذجًا واحدًا يجب أن تستخدمه جميع الشركات، لأن طبيعة المخاطر تختلف حسب حجم المؤسسة ونشاطها وأهدافها وبيئتها التشغيلية. ولذلك يسمح ISO 31000 بتكييف إطار إدارة المخاطر مع احتياجات كل مؤسسة.
أهمية إدارة المخاطر وفق ISO 31000 للشركات في الكويت
يمكن أن تساعد إدارة المخاطر المنظمة الشركات على فهم العوامل التي قد تؤثر في تحقيق أهدافها واتخاذ قرارات أكثر اعتمادًا على المعلومات المتاحة. ويشجع ISO 31000 على دمج إدارة المخاطر في الحوكمة والاستراتيجية والتخطيط والعمليات واتخاذ القرارات بدل حصرها في قسم منفصل.
وتزداد أهمية هذا النهج في الشركات التي تتعامل مع مشاريع متعددة أو موردين أو بيانات حساسة أو التزامات تعاقدية ومالية. فعندما تكون المخاطر محددة ومصنفة ومراقبة، يمكن للإدارة تحديد الأولويات وتوجيه الموارد نحو المخاطر التي تحتاج إلى معالجة أكبر.
كما يساعد تطبيق الممارسات المستندة إلى ISO 31000 على إنشاء لغة مشتركة للمخاطر داخل المؤسسة، مما يسهل التواصل بين الإدارة العليا والفرق التشغيلية والمالية والقانونية والتقنية.
ماذا يتضمن ISO 31000:2018؟
يتكون النهج الذي يقدمه المعيار من مبادئ وإطار وعملية لإدارة المخاطر. وتؤكد ISO أن الهدف هو دمج إدارة المخاطر في أنشطة المؤسسة وقراراتها بدل التعامل معها كعملية منفصلة.
مبادئ إدارة المخاطر
تركز مبادئ المعيار على جعل إدارة المخاطر جزءًا من خلق القيمة وحمايتها، مع مراعاة العوامل البشرية والثقافية وأصحاب المصلحة والتحسين المستمر وتخصيص النهج وفق ظروف المؤسسة.
إطار إدارة المخاطر
يساعد الإطار المؤسسة على تحديد كيفية تنظيم مسؤوليات إدارة المخاطر ودمجها في عمليات الحوكمة والإدارة والتخطيط. ويشمل ذلك دور القيادة وتحديد المسؤوليات وتوفير الموارد ومراجعة أداء إطار إدارة المخاطر.
عملية إدارة المخاطر
تتضمن العملية التواصل والتشاور، وتحديد النطاق والسياق والمعايير، وتقييم المخاطر، ومعالجتها، ثم المتابعة والمراجعة والتسجيل وإعداد التقارير.
تحديد وتحليل وتقييم المخاطر
لا يكفي إعداد قائمة بالمخاطر، بل يجب فهم مصادرها واحتمالية حدوثها وتأثيراتها، ثم تحديد مستوى الأولوية الذي يساعد الإدارة على اختيار الاستجابة المناسبة.
معالجة المخاطر والمتابعة والمراجعة
بعد تقييم المخاطر، تحدد المؤسسة خيارات المعالجة المناسبة، ثم تتابع النتائج وتراجع المخاطر بصورة دورية لأن مستوى الخطر قد يتغير مع تغير السوق أو العمليات أو القوانين أو التكنولوجيا.
كيف يساعد ISO 31000 الشركات الكويتية في إدارة المخاطر؟
يمكن استخدام إطار ISO 31000 في مختلف مجالات المؤسسة، وليس فقط في قسم المخاطر. وتشير ISO إلى إمكانية دمج إطار إدارة المخاطر وعملياته مع مجالات مثل الاستراتيجية والتخطيط والحوكمة والموارد البشرية وتقنية المعلومات والامتثال والجودة والصحة والسلامة واستمرارية الأعمال.
المخاطر المالية والتشغيلية
يمكن للمؤسسة استخدام منهج منظم لتحديد المخاطر المرتبطة بالتدفقات النقدية والتكاليف والاستثمارات والائتمان والموردين والعمليات اليومية. ويساعد ذلك الإدارة على ترتيب المخاطر بحسب تأثيرها واحتمالية حدوثها.
مخاطر الامتثال والأنظمة
يمكن أن تتغير المتطلبات القانونية والتنظيمية والتعاقدية التي تواجه الشركة. ولذلك تحتاج المؤسسات إلى آلية واضحة لتحديد الالتزامات ومتابعة المخاطر المرتبطة بعدم الامتثال.
مخاطر المشاريع وسلاسل التوريد
قد تواجه المشاريع مخاطر مرتبطة بالتأخير أو التكلفة أو الموارد أو الموردين أو جودة المدخلات. ويساعد تطبيق مبادئ ISO 31000 على إدخال تقييم المخاطر في مراحل التخطيط والتنفيذ والمتابعة.
مخاطر أمن المعلومات واستمرارية الأعمال
تعتمد المؤسسات الحديثة على الأنظمة الرقمية والبيانات بصورة متزايدة. ويمكن استخدام منهج إدارة المخاطر لتحديد التهديدات التي قد تؤثر في المعلومات والأنظمة والعمليات والخدمات الأساسية.
متطلبات تطبيق ISO 31000 في الشركات
لا يقدم ISO 31000 قائمة متطلبات إلزامية لنظام إدارة قابل للشهادة، بل يقدم إرشادات يمكن للمؤسسة تكييفها مع ظروفها.
تحديد سياق المؤسسة وأهدافها
تحتاج الشركة أولًا إلى فهم أهدافها الاستراتيجية والتشغيلية والبيئة الداخلية والخارجية التي تعمل فيها. ويساعد ذلك على تحديد أنواع المخاطر التي يمكن أن تؤثر في تحقيق هذه الأهداف.
تحديد المخاطر
يتم تحديد الأحداث أو الظروف التي يمكن أن تؤثر في الأهداف، مع توضيح مصادر الخطر والعمليات والأصول المتأثرة.
تحليل وتقييم المخاطر
بعد تحديد المخاطر، يتم تحليل احتمال وقوعها وتأثيراتها المحتملة وفق منهج مناسب للمؤسسة. ثم يتم تقييم النتائج لتحديد الأولويات.
وضع خطط معالجة المخاطر
يمكن للشركة اختيار استجابات مختلفة، مثل تجنب الخطر أو تقليله أو مشاركته أو الاحتفاظ به وفق مستوى الخطر وأهداف المؤسسة.
تحديد المسؤوليات والصلاحيات
يجب أن تكون مسؤوليات إدارة المخاطر واضحة، بحيث يعرف كل قسم دوره في تحديد المخاطر والإبلاغ عنها وتنفيذ إجراءات المعالجة ومتابعة النتائج.
المراقبة والمراجعة المستمرة
إدارة المخاطر ليست نشاطًا يتم تنفيذه مرة واحدة. فالمخاطر تتغير مع تغير العمليات والأسواق والتكنولوجيا والظروف الخارجية، ولذلك تحتاج الشركة إلى المراجعة المستمرة.
توثيق نتائج إدارة المخاطر
يساعد الاحتفاظ بالسجلات والتقارير على متابعة المخاطر والإجراءات المتخذة ونتائجها، كما يوفر للإدارة معلومات يمكن الرجوع إليها عند اتخاذ القرارات.
خطوات تطبيق ISO 31000 في الشركات الكويتية
يمكن للشركات بناء برنامج لإدارة المخاطر وفق منهج تدريجي يتناسب مع طبيعة نشاطها.
تقييم نظام إدارة المخاطر الحالي
تبدأ المؤسسة بمراجعة الطريقة الحالية التي تحدد بها المخاطر وتتابعها، وتحديد الأقسام المسؤولة عن إدارة المخاطر وآليات الإبلاغ الحالية.
تحليل الفجوات
تتم مقارنة الممارسات الحالية بالمبادئ والإرشادات التي يقدمها ISO 31000، مع تحديد المجالات التي تحتاج إلى تطوير.
إعداد إطار إدارة المخاطر
تحدد الإدارة الهيكل والمسؤوليات وآليات التواصل والتقارير والموارد المطلوبة لإدارة المخاطر.
إنشاء سجل المخاطر
يساعد سجل المخاطر على توثيق المخاطر الرئيسية، ومصادرها، واحتمالاتها، وتأثيراتها، ومستوياتها، والمسؤولين عنها، وإجراءات المعالجة.
تحديد إجراءات المعالجة
بعد تحديد الأولويات، تضع المؤسسة خططًا مناسبة لمعالجة المخاطر ومراقبة فعالية هذه الإجراءات.
تدريب الموظفين
تحتاج إدارة المخاطر إلى مشاركة الموظفين والمديرين، ولذلك يجب توضيح الأدوار والمسؤوليات وآليات الإبلاغ عن المخاطر.
تنفيذ التدقيق والمراجعة الداخلية
يمكن استخدام التدقيق الداخلي لمراجعة مدى تطبيق إطار إدارة المخاطر وفعالية العمليات والإجراءات المعتمدة. وتوضح ISO أن ISO 31000 يمكن أن يقدم أساسًا لبرامج التدقيق الداخلي أو الخارجي رغم أنه غير مخصص للشهادة.
التحسين المستمر
تتم مراجعة نتائج إدارة المخاطر وتحديث الإجراءات عندما تتغير المخاطر أو أهداف المؤسسة أو عملياتها.
هل يمكن الحصول على شهادة ISO 31000؟
هذه من أهم النقاط التي يجب توضيحها للشركات. ISO 31000:2018 ليس معيارًا قابلًا للحصول على شهادة مستقلة لإدارة المخاطر. وتؤكد ISO بشكل صريح أن المعيار يقدم إرشادات وليس متطلبات، ولذلك فهو غير مخصص لأغراض الشهادة.
لذلك لا ينبغي لشركة أن تدعي حصولها على “شهادة ISO 31000” بمعنى شهادة مطابقة رسمية للمعيار صادرة عن جهة اعتماد. ويمكن بدلًا من ذلك تطبيق المعيار كمرجع دولي لإدارة المخاطر، وإجراء تقييمات أو تدقيقات داخلية وخارجية لممارسات إدارة المخاطر.
لماذا لا يصدر ISO 31000 شهادة مستقلة؟
السبب مرتبط بطبيعة المعيار نفسه. فهو يقدم مبادئ وإرشادات وإطارًا وعملية لإدارة المخاطر، وليس مجموعة متطلبات لنظام إدارة يجب على المؤسسة استيفاؤها للحصول على شهادة.
وتوضح ISO أن المؤسسات تستطيع استخدام ISO 31000 كمرجع ومقارنة ممارساتها بإطار دولي معترف به، كما يمكن استخدامه لدعم برامج التدقيق الداخلي أو الخارجي.
ولهذا يجب التفريق بين تطبيق ISO 31000 وبين الحصول على شهادة لنظام إدارة آخر يتضمن متطلبات مرتبطة بإدارة المخاطر.
ما البدائل للشركات التي تحتاج إلى شهادة مرتبطة بإدارة المخاطر؟
إذا كانت الشركة تحتاج إلى شهادة مستقلة، فيمكن النظر إلى معايير أخرى يكون تقييم المطابقة والشهادة جزءًا من استخدامها، بحسب مجال المخاطر الذي تريد المؤسسة إدارته.
ISO 9001 وإدارة المخاطر ضمن نظام الجودة
يمكن دمج التفكير القائم على المخاطر ضمن نظام إدارة الجودة وفق ISO 9001، بحسب نطاق النظام ومتطلبات المعيار.
ISO 27001 وإدارة مخاطر أمن المعلومات
يمكن للشركات التي تركز على أمن المعلومات استخدام ISO/IEC 27001 لبناء نظام إدارة أمن المعلومات وإدارة المخاطر المرتبطة بالمعلومات ضمن نطاق محدد.
ISO 22301 وإدارة مخاطر استمرارية الأعمال
بالنسبة للشركات التي تحتاج إلى التركيز على استمرارية الخدمات والعمليات أثناء الاضطرابات، يمكن النظر في ISO 22301 كنظام إدارة متخصص في استمرارية الأعمال.
ISO 45001 وإدارة مخاطر الصحة والسلامة المهنية
للشركات التي تحتاج إلى نظام لإدارة الصحة والسلامة المهنية، يوفر ISO 45001 إطارًا متخصصًا لإدارة المخاطر المرتبطة ببيئة العمل.
وبذلك يمكن استخدام ISO 31000 كمرجع عام لإدارة المخاطر، إلى جانب المعايير المتخصصة التي تتناسب مع نوع المخاطر ونظام الإدارة الذي تحتاج إليه المؤسسة.
دور الاستشارات في تطبيق ISO 31000 في الكويت
يمكن للشركات الاستفادة من خدمات الاستشارات لتقييم ممارساتها الحالية وتحديد الفجوات وبناء إطار لإدارة المخاطر يناسب حجمها ونشاطها.
وتشمل عملية التأهيل عادةً مراجعة الهيكل الحالي، وتحديد المخاطر الرئيسية، وتطوير منهج تقييم المخاطر، وإعداد السجلات والسياسات والإجراءات، وتدريب الفرق، ومساعدة الإدارة على وضع آليات للمتابعة والتقارير.
ويجب أن تكون الاستشارات موجهة إلى بناء نظام عملي يناسب الشركة، بدل إنشاء وثائق منفصلة عن العمليات اليومية.
كيف تختار الشركة جهة الاستشارات أو التدقيق المناسبة؟
عند اختيار جهة مساعدة، ينبغي للشركة مراجعة خبرتها في إدارة المخاطر وطبيعة القطاعات التي تعمل معها، إضافة إلى فهم نطاق الخدمات التي تقدمها.
ومن المهم أيضًا التأكد من أن الجهة لا تقدم وعودًا غير دقيقة بالحصول على “شهادة ISO 31000″، لأن ISO تؤكد أن المعيار غير مخصص للشهادة.
كما ينبغي تحديد نطاق العمل بوضوح، بما في ذلك تقييم الوضع الحالي، وإعداد الإطار، والتدريب، والتوثيق، والمراجعة، وآليات المتابعة.
فوائد تطبيق ISO 31000 للشركات الكويتية
يمكن أن يوفر تطبيق مبادئ ISO 31000 مجموعة من الفوائد الإدارية، خصوصًا عندما تصبح إدارة المخاطر جزءًا من التخطيط واتخاذ القرار.
ومن أبرز هذه الفوائد:
- تحسين القدرة على تحديد المخاطر في وقت مبكر.
- دعم القرارات الإدارية بالمعلومات المتعلقة بالمخاطر.
- توحيد منهجية تقييم المخاطر داخل المؤسسة.
- تحسين توزيع الموارد المخصصة لمعالجة المخاطر.
- زيادة وضوح المسؤوليات المرتبطة بالمخاطر.
- دعم استمرارية العمليات والقدرة على التعامل مع الاضطرابات.
- تحسين التواصل بشأن المخاطر بين الإدارات.
- تعزيز ثقافة إدارة المخاطر داخل المؤسسة.
وتشير ISO إلى أن تطبيق المعيار يمكن أن يساعد المؤسسات على زيادة احتمال تحقيق أهدافها وتحسين تحديد الفرص والتهديدات واستخدام الموارد بصورة أكثر فعالية.
أخطاء شائعة عند تطبيق إدارة المخاطر وفق ISO 31000
من الأخطاء الشائعة التعامل مع إدارة المخاطر على أنها مسؤولية قسم واحد فقط. فالمخاطر يمكن أن تظهر في الاستراتيجية والعمليات والموارد البشرية والتقنية والمالية والمشاريع، ولذلك تحتاج إلى مشاركة الإدارات المعنية.
كما أن إعداد سجل للمخاطر دون تحديثه بصورة منتظمة لا يحقق الغرض من عملية إدارة المخاطر. ويجب أن تكون المعلومات الموجودة في السجل مرتبطة بالعمليات والأهداف الفعلية للشركة.
ومن الأخطاء كذلك الخلط بين تطبيق ISO 31000 والحصول على شهادة ادارة المخاطر مستقلة. فالمعيار نفسه غير قابل للشهادة وفق ISO.
وقد يؤدي الاعتماد على منهج واحد لجميع المخاطر إلى نتائج محدودة، لأن طريقة تحليل المخاطر المالية قد تختلف عن مخاطر أمن المعلومات أو مخاطر المشاريع أو المخاطر التشغيلية.
الخلاصة
تمثل ادارة المخاطر ايزو 31000 منهجًا دوليًا يمكن للشركات في الكويت استخدامه لتنظيم طريقة تحديد المخاطر وتحليلها وتقييمها ومعالجتها ومراقبتها. ويتميز المعيار بمرونته، إذ يمكن تكييفه مع حجم المؤسسة ونشاطها وأهدافها بدل فرض نموذج واحد على جميع الشركات.
ومن المهم أن تعرف الشركات أن ISO 31000:2018 ليس معيارًا قابلًا للشهادة، ولذلك فإن تطبيقه لا يعني الحصول على شهادة ISO 31000 مستقلة. ويمكن استخدامه بدلًا من ذلك كإطار مرجعي للتدقيق والتقييم وتحسين ممارسات إدارة المخاطر، إلى جانب معايير متخصصة يمكن أن تكون قابلة للشهادة في مجالات مثل الجودة وأمن المعلومات واستمرارية الأعمال.
وتستطيع Finsoul Network Kuwait مساعدة الشركات في فهم منهجيات إدارة المخاطر وتقييم الممارسات الحالية وتطوير إطار مناسب لطبيعة النشاط، مع التركيز على تطبيق عملي يمكن دمجه في العمليات واتخاذ القرارات اليومية.
الأسئلة الشائعة
هل ISO 31000 قابل للحصول على شهادة؟
لا. تؤكد ISO أن ISO 31000:2018 يقدم إرشادات لإدارة المخاطر وليس معيارًا مخصصًا لأغراض الشهادة.
ما الإصدار الحالي من ISO 31000؟
الإصدار الحالي هو ISO 31000:2018، وقد تمت مراجعته وتأكيده في عام 2023. وتوجد حاليًا مسودة إصدار ثالث قيد التطوير، لكنها لم تحل محل إصدار 2018 حتى الآن.
هل يمكن تدقيق نظام إدارة المخاطر وفق ISO 31000؟
نعم، يمكن استخدام المعيار كمرجع لبرامج التدقيق الداخلي أو الخارجي ومقارنة ممارسات المؤسسة بالمبادئ والإرشادات الواردة فيه، لكن هذا لا يعني إصدار شهادة مطابقة لـISO 31000.
ما الفرق بين ISO 31000 وISO 9001؟
ISO 31000 يقدم إرشادات عامة لإدارة المخاطر ويمكن تطبيقه على مختلف الأنشطة، بينما ISO 9001 هو معيار لنظام إدارة الجودة وله متطلبات يمكن تقييم المطابقة لها والحصول على شهادة عند استيفائها.
هل يناسب ISO 31000 الشركات الصغيرة والمتوسطة؟
نعم. يمكن تكييف مبادئ وإرشادات ISO 31000 مع حجم المؤسسة وطبيعة نشاطها واحتياجاتها، ولا يقتصر استخدامه على الشركات الكبيرة.
كيف تبدأ الشركة في تطبيق ISO 31000؟
يمكن البدء بتحديد أهداف الشركة وسياقها، ثم تقييم ممارسات إدارة المخاطر الحالية، وتحديد الفجوات، وإنشاء إطار واضح للمسؤوليات والعمليات، ثم تحديد المخاطر وتحليلها ووضع إجراءات المعالجة ومراجعة النتائج بصورة مستمرة.