ما هي إدارة المخاطر؟ دليل عملي لفهم المخاطر وإدارتها في المؤسسات والمشاريع

عندما نضع خطة لمشروع جديد، أو نتخذ قرارًا استراتيجيًا، أو نبدأ مبادرة داخل المؤسسة، فإننا نبني جزءًا من قراراتنا على توقعات حول المستقبل. لكن المستقبل لا يسير دائمًا كما خططنا له، فقد يتأخر مورد مهم، أو ترتفع التكلفة، أو تظهر مشكلة لم تكن متوقعة. وفي المقابل، قد تظهر فرصة جديدة تساعدنا على إنجاز العمل بشكل أسرع، أو تخفيض التكلفة، أو تحقيق قيمة أكبر مما توقعنا.

هنا تظهر قيمة إدارة المخاطر Risk Management.

إدارة المخاطر لا تعني محاولة التنبؤ بكل ما سيحدث، ولا تعني التخلص من جميع المخاطر، وإنما تعني التعامل المنهجي مع حالة عدم اليقين، حتى تكون المؤسسة أو المشروع أكثر استعدادًا لما قد يحدث، وأكثر قدرة على اتخاذ القرار عندما تتغير الظروف. لذلك، لا ينبغي النظر إلى إدارة المخاطر على أنها مجرد سجل نكتب فيه قائمة بالمخاطر، بل باعتبارها جزءًا من عملية اتخاذ القرار.

ما هو الخطر؟

الخطر Risk هو حدث أو حالة لم تقع بعد، ولكن إذا وقعت فقد يكون لها تأثير إيجابي أو سلبي على واحد أو أكثر من الأهداف. من هذا التعريف نتوصل إلى نقطة مهمة، وهي أن الخطر يتعلق بالمستقبل، بينما إذا وقع الحدث بالفعل فنحن لم نعد نتعامل مع خطر محتمل، وإنما مع مشكلة أو Issue تحتاج إلى معالجة. على سبيل المثال، إذا كان أحد الموردين قد يتأخر في تسليم معدات المشروع خلال الشهر القادم، فنحن أمام خطر. أما إذا كان موعد التسليم قد انتهى ولم تصل المعدات، فقد تحول الأمر إلى مشكلة. هذا الفرق البسيط مهم جدًا؛ وذلك لأن إدارة المخاطر تحاول أن تجعلنا نفكر فيما قد يحدث قبل أن نضطر إلى التعامل معه بعد وقوعه.

هل جميع المخاطر سلبية؟

من الأخطاء الشائعة أن نستخدم كلمة "خطر" باعتبارها مرادفًا للمشكلة أو التهديد. على أي حال، في إدارة المخاطر عدم اليقين قد يعمل في اتجاهين، فهو كل ما يخطر على بالك من أحداث. فإذا كان الحدث المحتمل سيؤثر بشكل سلبي على الأهداف، فإن ذلك الحدث يمثل تهديدًا Threat، أما إذا كان الحدث المحتمل سيؤثر بشكل إيجابي على الأهداف، فإن ذلك الحدث يمثل فرصة Opportunity. تخيل مثلًا أن مشروعًا يخطط لشراء أجهزة خلال الأشهر القادمة، فإن احتمال ارتفاع أسعار الأجهزة قد يمثل تهديدًا للتكلفة، بينما ظهور مورد جديد يقدم الجودة المطلوبة بسعر أقل قد يمثل فرصة للمشروع. في الحالتين نحن نتعامل مع أحداث مستقبلية غير مؤكدة.

لذلك، لا تقتصر إدارة المخاطر على حماية المشروع من الأحداث السلبية، وإنما تشمل أيضًا محاولة الاستفادة من الفرص التي يمكن أن تساعد على تحقيق الأهداف.

لماذا نحتاج إلى إدارة المخاطر؟

لا تعمل المشاريع والمؤسسات في بيئة ثابتة، فهناك تغيرات في السوق، والتقنية، والموارد، والمتطلبات، وأصحاب المصلحة، والأنظمة، والتكاليف، والعديد من العوامل الأخرى التي يمكن أن تؤثر في تحقيق الأهداف. وإذا انتظرنا حتى تتحول هذه التغيرات إلى مشكلات، فستصبح مساحة الخيارات المتاحة أمامنا أقل بشكل كبير، أما عندما نتعرف على المخاطر مبكرًا، فإننا سنمنح أنفسنا فرصة أكبر لفهمها وتحليلها والاستعداد لها.

توفر إدارة المخاطر العديد من المنافع التي تفيد التوجه المستقبلي للمشروع، ومنها:

• زيادة احتمال تحقيق الأهداف.
• تقليل المفاجآت غير المتوقعة.
• تحسين عملية اتخاذ القرار.
• التعامل المبكر مع التهديدات المحتملة.
• الاستفادة من الفرص.
• تحسين استخدام الموارد.
• زيادة قدرة المشروع أو المؤسسة على التعامل مع التغيير.

لكن القيمة الحقيقية لا تأتي من مجرد معرفة المخاطر، بل من معرفة أي المخاطر تستحق اهتمامنا، وما الذي سنفعله حيالها، ومن المسؤول عنها، وكيف سنعرف أن وضعها قد تغير.

إدارة المخاطر ليست محاولة لإلغاء المخاطر

قد يبدو الهدف المثالي هو التخلص من جميع المخاطر، لكن هذا الأمر لن يكون ممكنًا بشكل دائم، وقد لا يكون منطقيًا أصلًا. فكل مشروع أو قرار أو استثمار في فرصة جديدة يتضمن قدرًا من حالة عدم اليقين، ومحاولة إزالة جميع المخاطر قد تعني في بعض الحالات إزالة الفرصة نفسها. لذلك تعمل إدارة المخاطر على الموازنة بين المخاطر والقيمة.

كيف تتم إدارة المخاطر؟

إدارة المخاطر ليست نشاطًا يحدث مرة واحدة في بداية المشروع، بل هي عملية مستمرة تبدأ بالتخطيط، ثم تحديد المخاطر وتحليلها، ثم اختيار الاستجابة المناسبة، وتنفيذها ومراقبة المخاطر طوال دورة العمل. حيث يمكن تبسيط العملية في مجموعة مراحل مترابطة:

التخطيط لإدارة المخاطر

قبل البدء في تسجيل المخاطر، نحتاج إلى تحديد الطريقة التي ستدار بها، وهنا نحدد المنهجية المستخدمة، والأدوار والمسؤوليات، ومستويات الصلاحية، وآلية التصعيد، وحدود المخاطر المقبولة، والأدوات والقوالب المستخدمة، وعدد مرات مراجعة المخاطر. الهدف من هذه المرحلة هو ألا تكون إدارة المخاطر نشاطًا عشوائيًا يعتمد على اجتهاد كل شخص.

تحديد المخاطر

في هذه المرحلة نحاول اكتشاف الأحداث أو الظروف التي يمكن أن تؤثر في الأهداف، فقد تأتي المخاطر من مصادر مختلفة، مثل نطاق العمل، والجدول الزمني، والتكاليف، والموارد، والموردين، والتقنية، وأصحاب المصلحة أو البيئة المحيطة بالمشروع. ولا يمكن اكتشاف جميع المخاطر في اجتماع واحد، حيث إن المخاطر الجديدة قد تظهر مع تقدم المشروع وتغير الظروف، ولهذا فإن تحديد المخاطر عملية مستمرة.

تحليل المخاطر

ليست جميع المخاطر متساوية، فقد يكون لدينا عشرات المخاطر، لكن بعضها أكثر احتمالًا أو أكثر تأثيرًا من غيره، وهنا نستخدم التحليل لمساعدتنا على معرفة المخاطر التي تستحق الأولوية. يمكن أن يكون التحليل نوعيًا Qualitative وذلك عبر تقييم الاحتمالية والتأثير والعوامل المرتبطة بالخطر، أو يكون كميًا Quantitative وذلك عندما نحتاج إلى تقدير الأثر بالأرقام واستخدام تقنيات تحليل أكثر تقدمًا. والهدف في النهاية ليس إنتاج أرقام أكثر، وإنما الوصول إلى قرارات أفضل حول الأولويات.

تخطيط الاستجابة للمخاطر

بعد فهم الخطر وتحديد أهميته، يأتي سؤال مهم وهو: ماذا سنفعل إذا كان الخطر مهمًا؟

فإذا كان الخطر يمثل تهديدًا، فقد نقرر تجنبه، أو نقله، أو تخفيفه، أو قبوله، وقد يتم تصعيده عندما يكون خارج نطاق صلاحيات المشروع. أما إذا كان يمثل فرصة، فقد نحاول استغلالها، أو تعزيزها، أو مشاركتها، أو قبولها، كما يمكن تصعيدها عند الحاجة. حيث إن الاستجابة المناسبة تختلف باختلاف طبيعة الخطر وأهميته والظروف المحيطة به.

تنفيذ الاستجابة

وجود خطة للاستجابة لا يعني أن الخطر أصبح تحت السيطرة، حيث يجب تنفيذ الإجراءات التي تم الاتفاق عليها. ولذلك من المهم تحديد من يملك الخطر ومن المسؤول عن تنفيذ إجراءات الاستجابة، ومتابعة تنفيذها في الوقت المناسب.

مراقبة الخطر

المخاطر تتغير، فقد يرتفع احتمال أحد المخاطر، أو ينخفض تأثيره، أو يظهر خطر جديد، أو تتحول فرصة إلى واقع، أو ينتج عن الاستجابة نفسها خطر جديد. لذلك من المهم أن تستمر عملية المراقبة وإعادة التقييم طوال المشروع. وهنا تظهر أهمية أن يكون سجل المخاطر Risk Register وثيقة حية يتم تحديثها باستمرار، وليس ملفًا يتم إنشاؤه في بداية المشروع ثم تعود إليه عند الحاجة فقط.

سجل المخاطر ليس مجرد قائمة

من أكثر الأدوات التي ترتبط بإدارة المخاطر سجل المخاطر Risk Register، حيث يساعدنا السجل الجيد على توثيق المخاطر المحددة، وتسجيل نتائج التحليل، وتحديد المسؤوليات والاستجابات، ثم متابعة ما يحدث لهذه المخاطر مع مرور الوقت. بهذه الطريقة يتحول السجل من قائمة للأحداث المحتملة إلى مصدر للمعلومات، التي تساعد الفريق والإدارة على متابعة حالة عدم اليقين المحيطة بالأهداف.

كيف نكتب الخطر بطريقة صحيحة؟

تؤثر صياغة الخطر في قدرتنا على فهمه وإدارته، حيث يجب كتابة الخطر بطريقة واضحة ومفهومة. ومن الطرق المفيدة أن نقوم بالتفكير بالخطر من خلال ثلاثة عناصر:

بمعنى: نتيجة لسبب معين، قد يحدث خطر ما، مما يؤدي إلى أثر على أحد الأهداف.

فبدلًا من كتابة عبارة "تأخر المشروع"، يمكن أن نفكر بصورة أوضح من خلال كتابة العبارة التالية:

بهذه الطريقة يصبح من الأسهل فهم مصدر الخطر، والحدث المحتمل، والهدف الذي يمكن أن يتأثر.

من المسؤول عن الخطر؟

لا يكفي وجود الخطر في السجل لإدارته، لذلك يظهر مفهوم مالك الخطر Risk Owner، وهو الشخص المسؤول عن إدارة الخطر ومتابعته عبر عملية إدارة المخاطر والتأكد من اختيار الاستجابة المناسبة ومراقبة وضع الخطر.

في المقابل، قد يوجد شخص آخر مسؤول عن تنفيذ إجراء محدد ضمن الاستجابة، وهو Risk Action Owner. على أي حال، الشخص الذي يتابع الخطر ويتأكد من إدارته ليس بالضرورة هو الشخص نفسه الذي ينفذ جميع الإجراءات المرتبطة به.

ماذا يحدث بعد تنفيذ الاستجابة؟

حتى بعد تنفيذ الاستجابة، قد لا يختفي الخطر بالكامل، فقد يبقى جزء منه، وهو ما يعرف باسم الخطر المتبقي Residual Risk. كما قد تؤدي الاستجابة نفسها إلى ظهور خطر جديد يسمى الخطر الثانوي Secondary Risk. وهذا يوضح لماذا لا يمكن التعامل مع إدارة المخاطر كعملية خطية تنتهي بمجرد تنفيذ الإجراء، فكل استجابة تحتاج إلى متابعة، وكل تغيير قد يولد حالة جديدة من عدم اليقين.

إدارة المخاطر لا تتوقف عند المشروع

عندما نتحدث عن إدارة المخاطر، فقد نفكر مباشرة في المشروع. لكن يمكن إدارة المخاطر على مستويات مختلفة داخل المؤسسة، فهناك مخاطر على مستوى المشروع Project، ومخاطر على مستوى البرنامج Program، ومخاطر على مستوى المحفظة Portfolio، ومخاطر على مستوى المؤسسة Enterprise.

فقد يكون هناك خطر مهم على مستوى مشروع معين، بينما توجد مخاطر أخرى تتجاوز صلاحيات المشروع وتحتاج إلى التصعيد إلى مستوى أعلى. أما على مستوى المؤسسة فيظهر مفهوم إدارة المخاطر المؤسسية Enterprise Risk Management — ERM، وهو المفهوم الذي ينظر إلى المخاطر في سياق أوسع، حيث يرتبط بأهداف المؤسسة واستراتيجيتها وقدرتها على خلق القيمة وحمايتها. وهنا تصبح إدارة المخاطر جزءًا من الحوكمة واتخاذ القرار، وليس مجرد نشاط مرتبط بإدارة مشروع واحد.

ما الذي يجعل إدارة المخاطر فعالة؟

يمكن للمؤسسة امتلاك سياسة لإدارة المخاطر، ونماذج، وسجلًا، ومصفوفة ملونة، ومع ذلك لا تحقق القيمة المتوقعة. السبب أن إدارة المخاطر لا تعتمد على الأدوات وحدها، حيث إن نجاح إدارة المخاطر يحتاج إلى وضوح المسؤوليات، والتزام الإدارة، والتواصل، وإشراك أصحاب المصلحة، وربط إدارة المخاطر بعمليات المؤسسة، والاستمرار في المراجعة والتحسين.

كما تحتاج المؤسسة إلى ثقافة تسمح بمناقشة المخاطر بوضوح، فالهدف من اكتشاف الخطر ليس البحث عن الشخص الذي تسبب فيه، وإنما توفير معلومة تساعد على اتخاذ القرار قبل أن تتغير الظروف بطريقة لم نستعد لها.

إدارة المخاطر في النهاية هي إدارة للقرار

قد تبدو إدارة المخاطر للوهلة الأولى مجموعة من المصطلحات: سجل مخاطر، احتمالية، تأثير، مصفوفة، تحليل نوعي، تحليل كمي، استجابة، مالك خطر وغيرها. لكن هذه الأدوات ليست هي الهدف، حيث إن الهدف هو أن نكون أكثر قدرة على الإجابة على أسئلة مهمة مثل:

• ما الذي قد يحدث؟
• كيف يمكن أن يؤثر في أهدافنا؟
• ما مدى أهميته؟
• ماذا يمكن أن نفعل حياله؟
• من المسؤول عن متابعته؟

وعندما تصبح هذه الأسئلة جزءًا طبيعيًا من التخطيط واتخاذ القرار، تتحول إدارة المخاطر من إجراء إداري إلى قدرة تساعد المؤسسة على التعامل مع عدم اليقين بطريقة أكثر وعيًا. فالمؤسسة التي تدير مخاطرها جيدًا لا تعرف المستقبل أكثر من غيرها، لكنها تكون أكثر استعدادًا للتعامل معه.