چگونه سازمانها برای عدمقطعیت آماده میشوند؟
مدیریت ریسک: در دنیای کسبوکار، همیشه همهچیز طبق برنامه پیش نمیرود.
ممکن است یک پروژه با تأخیر مواجه شود، یک مشتری کلیدی از دست برود، هزینهها افزایش پیدا کند، یک فناوری جدید سرمایهگذاری انجامشده را کمارزش کند، یک نیروی کلیدی سازمان را ترک کند یا یک تصمیم استراتژیک برخلاف انتظار نتیجه دهد.
هیچ مدیری نمیتواند تمام این اتفاقات را پیشبینی یا حذف کند؛ اما یک مدیر حرفهای میتواند سازمان را برای مواجهه با آنها آماده کند.
اینجاست که مدیریت ریسک اهمیت پیدا میکند.
مدیریت ریسک به معنای ترس از آینده یا تلاش برای حذف تمام ریسکها نیست. در واقع، مدیریت ریسک یعنی شناخت عدمقطعیتها، ارزیابی پیامدهای احتمالی آنها و اتخاذ تصمیمهای آگاهانه برای کاهش آثار منفی و استفاده از فرصتهای ناشی از ریسک.
از نگاه مدیریتی، ریسک بخشی جداییناپذیر از تصمیمگیری است. سازمانی که هیچ ریسکی نمیپذیرد، احتمالاً فرصتهای زیادی را نیز از دست میدهد.
بنابراین مسئله اصلی این نیست که:
«چگونه هیچ ریسکی نداشته باشیم؟»
بلکه سؤال درست این است:
«کدام ریسکها را بپذیریم، کدام را کاهش دهیم و برای کدامیک باید آماده باشیم؟»
مدیریت ریسک چیست؟
مدیریت ریسک (Risk Management) یک فرآیند سیستماتیک برای شناسایی، تحلیل، ارزیابی، پاسخ و پایش ریسکهایی است که میتوانند بر اهداف سازمان تأثیر بگذارند.
ریسک میتواند مالی، عملیاتی، استراتژیک، فناوری، منابع انسانی، حقوقی، امنیتی یا حتی مرتبط با اعتبار و برند سازمان باشد.
برای مثال، یک شرکت فناوری ممکن است با ریسک خرابی زیرساخت، حمله سایبری، خروج برنامهنویسان کلیدی یا شکست یک محصول جدید مواجه باشد.
یک شرکت بازرگانی ممکن است با نوسان نرخ ارز، مشکلات تأمین، تغییر قوانین یا کاهش تقاضا روبهرو شود.
یک پروژه عمرانی نیز ممکن است با ریسک افزایش قیمت مواد اولیه، تأخیر پیمانکار، مشکلات فنی یا تغییرات قانونی مواجه شود.
در همه این موارد، اصل موضوع یکسان است:
ابتدا باید ریسک را بشناسیم؛ سپس درباره نحوه مواجهه با آن تصمیم بگیریم.
چرا مدیریت ریسک اهمیت دارد؟
یکی از تفاوتهای سازمانهای حرفهای با سازمانهای واکنشی این است که سازمان حرفهای منتظر وقوع مشکل نمیماند.
در یک سازمان واکنشی، معمولاً فرآیند به این شکل است:
اتفاق → بحران → واکنش
اما در مدیریت ریسک تلاش میکنیم فرآیند به شکل زیر باشد:
شناسایی → ارزیابی → برنامهریزی → کنترل → پایش
این تفاوت میتواند هزینههای سنگینی را کاهش دهد.
برای مثال، اگر احتمال خرابی یک زیرساخت حیاتی شناسایی شده باشد، سازمان میتواند پیش از وقوع حادثه اقداماتی مانند پشتیبانگیری، ایجاد زیرساخت جایگزین، قرارداد پشتیبانی یا طراحی برنامه بازیابی انجام دهد.
هزینه این اقدامات ممکن است بسیار کمتر از هزینه توقف کامل کسبوکار باشد.
انواع ریسک در سازمان
ریسکها را میتوان از جنبههای مختلف دستهبندی کرد. یکی از دستهبندیهای کاربردی برای مدیران شامل موارد زیر است:
۱. ریسک استراتژیک
این ریسکها به تصمیمات کلان و جهتگیری آینده سازمان مربوط میشوند.
برای مثال:
- ورود اشتباه به یک بازار
- انتخاب مدل کسبوکار نامناسب
- سرمایهگذاری روی فناوری اشتباه
- واکنش دیرهنگام به تغییرات بازار
- وابستگی بیش از حد به یک محصول
- تصمیم نادرست درباره توسعه یا ادغام کسبوکار
ریسک استراتژیک معمولاً از مهمترین انواع ریسک است، زیرا میتواند مسیر آینده سازمان را تحت تأثیر قرار دهد.
۲. ریسک مالی
ریسک مالی به احتمال ایجاد زیان یا کاهش توان مالی سازمان مربوط میشود.
برخی نمونهها عبارتاند از:
- نوسانات نرخ ارز
- افزایش هزینهها
- کاهش نقدینگی
- مطالبات وصولنشده
- وابستگی به یک منبع درآمد
- افزایش هزینه تأمین مالی
- کاهش حاشیه سود
مدیریت ریسک مالی به سازمان کمک میکند تصمیمهای سرمایهگذاری و مالی خود را با آگاهی بیشتری اتخاذ کند.
۳. ریسک عملیاتی
ریسک عملیاتی از مشکلات موجود در فرآیندها، سیستمها، افراد یا عملیات روزمره سازمان ناشی میشود.
برای مثال:
- خرابی سیستمهای فناوری اطلاعات
- خطای انسانی
- ضعف فرآیندها
- وابستگی به یک فرد کلیدی
- اختلال در زنجیره تأمین
- تأخیر در انجام خدمات
- مشکلات کنترل کیفیت
گاهی یک ضعف کوچک در یک فرآیند میتواند در مقیاس بزرگ به یک بحران جدی تبدیل شود.
۴. ریسک فناوری و امنیت اطلاعات
در سازمانهای امروزی، فناوری نهتنها یک ابزار کسبوکار، بلکه یکی از منابع مهم ریسک نیز محسوب میشود.
برخی از این ریسکها عبارتاند از:
- حملات سایبری
- از دست رفتن اطلاعات
- خرابی سرورها
- قطعی سرویسها
- ضعف امنیتی نرمافزارها
- وابستگی به یک تأمینکننده فناوری
- از رده خارج شدن فناوری
- عدم انطباق سیستمها با نیازهای آینده
با افزایش استفاده از رایانش ابری، هوش مصنوعی و سیستمهای دیجیتال، اهمیت این حوزه بیشتر نیز شده است.
فرآیند مدیریت ریسک
مدیریت ریسک یک فعالیت یکباره نیست؛ بلکه یک چرخه مستمر مدیریتی است.
یک فرآیند کاربردی را میتوان در چند مرحله تعریف کرد.
مرحله اول: شناسایی ریسک
اولین قدم این است که بدانیم چه اتفاقاتی میتوانند مانع تحقق اهداف شوند.
در این مرحله باید پرسید:
چه چیزی ممکن است اشتباه پیش برود؟
برای شناسایی ریسک میتوان از روشهایی مانند جلسات کارشناسی، تحلیل فرآیندها، بررسی تجربیات گذشته، تحلیل سناریوها، مصاحبه با ذینفعان و بررسی دادههای سازمان استفاده کرد.
مرحله دوم: تحلیل ریسک
بعد از شناسایی ریسک، باید مشخص کنیم هر ریسک چقدر اهمیت دارد.
دو سؤال کلیدی مطرح میشود:
احتمال وقوع آن چقدر است؟
و:
اگر اتفاق بیفتد، چه میزان اثر خواهد داشت؟
برای مثال، ممکن است احتمال خرابی یک سیستم بسیار کم باشد، اما اگر رخ دهد کل عملیات سازمان متوقف شود.
بنابراین صرفاً احتمال وقوع کافی نیست و باید اثر ریسک نیز بررسی شود.
ماتریس ریسک
یکی از ابزارهای ساده و کاربردی برای ارزیابی ریسک، ماتریس احتمال و اثر است.
در این روش، معمولاً احتمال وقوع ریسک در برابر شدت پیامد آن قرار میگیرد.
بهصورت ساده:
ریسک = احتمال وقوع × میزان اثر
برای مثال:
| ریسک | احتمال | اثر | اولویت |
|---|---|---|---|
| خرابی سیستم اصلی | متوسط | بسیار زیاد | بالا |
| تأخیر تأمینکننده | زیاد | متوسط | بالا |
| خروج نیروی کلیدی | متوسط | زیاد | بالا |
| کاهش جزئی فروش | زیاد | کم | متوسط |
این ماتریس به مدیر کمک میکند منابع محدود سازمان را روی مهمترین ریسکها متمرکز کند.
مرحله سوم: پاسخ به ریسک
پس از ارزیابی ریسک، باید تصمیم بگیریم چه کاری انجام دهیم.
معمولاً چهار رویکرد اصلی وجود دارد:
۱. اجتناب از ریسک
اگر ریسکی بیش از حد بزرگ باشد، ممکن است تصمیم بگیریم فعالیت ایجادکننده آن ریسک را انجام ندهیم.
مثلاً سازمانی که هنوز زیرساخت لازم برای ورود به یک بازار جدید را ندارد، ممکن است ورود به آن بازار را به زمان مناسبتری موکول کند.
۲. کاهش ریسک
در این حالت تلاش میکنیم احتمال وقوع یا شدت اثر ریسک را کاهش دهیم.
برای مثال:
- ایجاد سیستم پشتیبان
- آموزش کارکنان
- افزایش کنترل کیفیت
- استفاده از تأمینکنندگان جایگزین
- تقویت امنیت اطلاعات
۳. انتقال ریسک
در برخی شرایط میتوان بخشی از ریسک را به طرف دیگری منتقل کرد.
بیمه، قراردادهای خاص یا استفاده از خدمات تخصصی پیمانکاران نمونههایی از این رویکرد هستند.
۴. پذیرش ریسک
همه ریسکها ارزش کاهش دادن ندارند.
گاهی هزینه کنترل یک ریسک بیشتر از خسارت احتمالی آن است.
در این شرایط، سازمان میتواند آگاهانه ریسک را بپذیرد؛ البته با این شرط که پیامدهای آن را شناخته باشد.
ریسک همیشه تهدید نیست
یکی از نکات مهم در مدیریت ریسک این است که ریسک را فقط با «خطر» برابر ندانیم.
عدمقطعیت میتواند فرصت نیز ایجاد کند.
برای مثال، ورود یک فناوری جدید ممکن است برای یک شرکت تهدید باشد، اما برای شرکت دیگری فرصتی برای ایجاد یک محصول جدید و ورود به بازار تازه باشد.
به همین دلیل، مدیر باید علاوه بر سؤال:
«چه چیزی ممکن است اشتباه پیش برود؟»
این سؤال را نیز مطرح کند:
«چه فرصتی ممکن است از این شرایط ایجاد شود؟»
این نگاه باعث میشود مدیریت ریسک از یک فعالیت دفاعی به یک ابزار استراتژیک تبدیل شود.
نقش مدیریت ریسک در تصمیمگیری استراتژیک
مدیریت ریسک نباید در یک واحد سازمانی محصور شود.
اگر مدیریت ریسک فقط مسئول تهیه گزارشهای ریسک باشد اما در تصمیمهای کلان سازمان حضور نداشته باشد، بخش مهمی از ارزش آن از بین میرود.
هنگام تصمیمگیری درباره موضوعاتی مانند:
- ورود به بازار جدید
- توسعه محصول
- سرمایهگذاری
- خرید شرکت
- تحول دیجیتال
- برونسپاری
- توسعه زیرساخت
- استخدام نیروهای کلیدی
- تغییر مدل کسبوکار
باید ریسکهای تصمیم نیز بررسی شوند.
در واقع، تصمیم استراتژیک بدون درنظرگرفتن ریسک، یک تصمیم ناقص است.
مدیریت ریسک پروژه
در پروژهها، مدیریت ریسک اهمیت ویژهای دارد.
هر پروژه دارای عدمقطعیت است و ممکن است با تغییر در زمان، هزینه، کیفیت، منابع یا محدوده پروژه مواجه شود.
یک مدیر پروژه حرفهای از ابتدای پروژه، ریسکها را شناسایی میکند و برای ریسکهای مهم، برنامه پاسخ تهیه میکند.
برای مثال:
ریسک: تأخیر در تحویل یک بخش کلیدی پروژه
احتمال: متوسط
اثر: زیاد
اقدام پیشگیرانه: تعریف نقاط کنترل و تحویل مرحلهای
برنامه جایگزین: استفاده از تأمینکننده دوم
این رویکرد باعث میشود تیم پروژه در زمان بحران مجبور نباشد از صفر تصمیمگیری کند.
مدیریت ریسک در تحول دیجیتال
هر پروژه تحول دیجیتال علاوه بر فرصت، ریسک نیز ایجاد میکند.
برای مثال، مهاجرت از سیستم قدیمی به یک سیستم جدید میتواند ریسکهایی مانند:
- از دست رفتن داده
- اختلال عملیاتی
- عدم پذیرش کارکنان
- مشکلات یکپارچهسازی
- افزایش هزینه
- وابستگی به فروشنده
- مشکلات امنیتی
ایجاد کند.
به همین دلیل، مدیریت ریسک باید از ابتدای پروژه تحول دیجیتال در کنار برنامهریزی فناوری قرار داشته باشد، نه بعد از وقوع مشکل.
مدیریت ریسک و فرهنگ سازمانی
حتی بهترین سیستم مدیریت ریسک نیز بدون فرهنگ مناسب نمیتواند موفق باشد.
اگر کارکنان از گزارشکردن اشتباه یا ریسک بترسند، بسیاری از مشکلات تا زمانی که تبدیل به بحران نشوند دیده نخواهند شد.
فرهنگ مناسب ریسک یعنی افراد بتوانند بدون ترس، درباره:
- خطاها
- تهدیدها
- نقاط ضعف
- مشکلات فرآیندی
- نشانههای اولیه بحران
صحبت کنند.
در چنین سازمانی، گزارش یک ریسک نشانه ضعف نیست؛ بلکه نشانه مسئولیتپذیری و بلوغ سازمانی است.
اشتباهات رایج در مدیریت ریسک
برخی از سازمانها مدیریت ریسک را اجرا میکنند، اما به دلیل اشتباه در رویکرد، نتیجه مطلوب نمیگیرند.
تبدیل مدیریت ریسک به یک کار اداری
اگر مدیریت ریسک فقط به تهیه جدول و گزارش محدود شود، ارزش واقعی خود را از دست میدهد.
شناسایی تعداد زیادی ریسک بدون اولویتبندی
هدف، ساختن یک فهرست طولانی نیست.
هدف این است که مهمترین ریسکها را شناسایی و مدیریت کنیم.
تمرکز فقط بر ریسکهای گذشته
ریسکهای جدید ممکن است با تغییر فناوری، بازار و مدل کسبوکار ایجاد شوند.
نادیده گرفتن ریسکهای انسانی
وابستگی به افراد کلیدی، کمبود مهارت و مقاومت کارکنان میتواند به اندازه ریسکهای مالی و فناوری مهم باشد.
نداشتن برنامه جایگزین
شناسایی ریسک بدون مشخصکردن اقدام بعدی، مدیریت ریسک کامل نیست.
مدیر حرفهای چگونه با ریسک برخورد میکند؟
از نگاه من، مدیریت ریسک بیش از آنکه یک ابزار برای پیشبینی آینده باشد، ابزاری برای بهتر تصمیمگرفتن در شرایط عدمقطعیت است.
مدیر حرفهای نمیتواند آینده را با قطعیت پیشبینی کند؛ اما میتواند سناریوهای مختلف را بررسی کند.
او میپرسد:
اگر شرایط مطابق انتظار پیش نرفت چه میشود؟
اگر هزینهها افزایش پیدا کرد چه میکنیم؟
اگر مشتری اصلی از دست رفت چه میشود؟
اگر فناوری مورد استفاده ما تغییر کرد چه برنامهای داریم؟
اگر یکی از افراد کلیدی سازمان خارج شد، آیا جایگزین داریم؟
اگر پروژه با تأخیر مواجه شد، چه اقدام جبرانی انجام خواهیم داد؟
همین پرسشها باعث میشوند سازمان به جای واکنش احساسی به بحران، آمادگی مدیریتی داشته باشد.
مدیریت ریسک؛ بخشی از تفکر مدیریتی
مدیریت ریسک را نباید یک فعالیت جدا از مدیریت استراتژیک دانست.
وقتی یک مدیر اهداف سازمان را تعیین میکند، باید محدودیتها و عدمقطعیتهای مسیر رسیدن به آن اهداف را نیز بشناسد.
به همین دلیل، مدیریت ریسک با حوزههایی مانند:
مدیریت استراتژیک، توسعه کسبوکار، مدیریت پروژه، مدیریت مالی، تحول دیجیتال، امنیت اطلاعات و مدیریت تغییر
ارتباط مستقیم دارد.
در حقیقت، سازمانی که بتواند ریسکهای خود را بهتر بشناسد، معمولاً میتواند تصمیمهای جسورانهتر اما حسابشدهتری نیز بگیرد.
زیرا جسارت مدیریتی زمانی ارزشمند است که با شناخت ریسک و آمادگی برای پیامدها همراه باشد.
درنهایت کوتاه و مختصر باید بدانیم که
هیچ کسبوکاری بدون ریسک نیست.
تلاش برای حذف کامل ریسک، نه ممکن است و نه لزوماً مطلوب.
کسبوکارها برای رشد باید تصمیم بگیرند، سرمایهگذاری کنند، وارد بازارهای جدید شوند، فناوریهای تازه را امتحان کنند و تغییر ایجاد کنند؛ و همه این اقدامات با نوعی عدمقطعیت همراه هستند.
آنچه سازمانهای موفق را از سازمانهای واکنشی جدا میکند، نبود ریسک نیست؛ بلکه توانایی آنها در شناخت، اولویتبندی و مدیریت ریسک است.
از نگاه من، مدیریت ریسک یعنی اینکه پیش از وقوع بحران، درباره آن فکر کنیم؛ قبل از اینکه مجبور به واکنش شویم، برای اقدام آماده باشیم؛ و هنگام تصمیمگیری، علاوه بر فرصتها، هزینهها و پیامدهای احتمالی تصمیم را نیز ببینیم.
ومهمتر از همه آنکه:
مدیریت ریسک یعنی حذف نکردن آینده، بلکه آمادهشدن برای سناریوهای مختلف آن.
و مدیر موفق کسی نیست که هیچگاه با ریسک مواجه نشود؛
مدیر موفق کسی است که بداند کدام ریسک را باید کاهش دهد، کدام را منتقل کند، کدام را بپذیرد و در برابر کدام ریسک باید از ابتدا مسیر خود را تغییر دهد
دیدگاهتان را بنویسید