ریسک استراتژیک چیست و چه فرقی با ریسک عملیاتی دارد؟
استاندارد ISO 31000 ریسک را «اثر عدم‌قطعیت بر اهداف» تعریف می‌کند. این تعریف کوتاه یک نکته کلیدی دارد: ریسک همیشه نسبت به یک هدف معنا پیدا می‌کند. اگر هدف روشنی وجود نداشته باشد، فهرست ریسک‌ها به مجموعه‌ای از نگرانی‌های پراکنده تبدیل میشود که هیچ تصمیمی را جهت نمی‌دهد.
ریسک استراتژیک به رویدادها و روندهایی گفته میشود که می‌توانند تحقق اهداف کلان، مزیت رقابتی یا مدل کسب‌وکار سازمان را به خطر بیندازند. خرابی یک دستگاه در خط تولید ریسکی عملیاتی است؛ اما وابستگی کامل تولید به یک تأمین‌کننده خارجی در شرایط نوسان ارزی ریسکی استراتژیک است، چون میتواند هدف رشد سهم بازار را از اساس ناممکن کند.
تفاوت اصلی در افق و دامنه است. ریسک عملیاتی معمولاً در سطح فرایند و واحد مدیریت میشود، اما ریسک استراتژیک باید در سطح مدیریت ارشد دیده شود؛ چون تصمیم درباره آن اغلب به جابه‌جایی منابع، تغییر اولویت پروژه‌ها یا حتی بازنگری راهبرد می‌انجامد.
چرا مدیریت ریسک بخشی از برنامهریزی راهبردی است، نه پیوست آن
بسیاری از سازمانها ابتدا برنامه راهبردی را می‌نویسند و بعد، اغلب به خاطر الزامات ممیزی، یک جدول ریسک کنار آن می‌گذارند. این جدایی باعث میشود ریسک‌ها هیچ‌وقت بر تصمیم‌ها اثر نگذارند. ISO 31000:2018 بر یکپارچه بودن مدیریت ریسک با حاکمیت، راهبرد و تصمیم‌گیری تأکید دارد و آن را فعالیتی جدا از کار اصلی سازمان نمی‌داند.
در عمل، بخش بزرگی از ورودی‌های ریسک استراتژیک در مراحل قبلی تولید شده‌اند: تهدیدها و ضعفهای تحلیل SWOT وزن‌دار، سناریوهای نامطلوب در سناریونویسی راهبردی و ریسک‌هایی که در تحلیل ذینفعان ثبت شده‌اند. اگر این ورودی‌ها به دفتر ریسک نرسند، بخشی از کار تحلیلی گذشته عملاً بی‌استفاده می‌ماند. جایگاه این مرحله در کل مسیر را می‌توانید در راهنمای جامع مدیریت استراتژیک ببینید.
ISO 9001:2015 نیز در بند ۶.۱ سازمان را به برنامهریزی اقدام برای ریسک‌ها و فرصت‌ها ملزم می‌کند. بنابراین سازمان‌هایی که نظام مدیریت کیفیت دارند معمولاً زیرساخت اولیه را در اختیار دارند و کافی است آن را از سطح فرایند به سطح اهداف راهبردی ارتقا دهند.
فرایند ISO 31000 در شش گام کاربردی
ISO 31000 یک استاندارد راهنماست و برای صدور گواهینامه طراحی نشده است. یعنی اصول، چارچوب و فرایند را پیشنهاد می‌کند و هر سازمان باید آن را با اندازه و پیچیدگی خود متناسب کند. فرایند آن را می‌توان به این شکل به کار گرفت:
- تعیین دامنه، بافت و معیارها: مشخص کنید ریسک‌ها نسبت به کدام اهداف نقشه استراتژیک سنجیده می‌شوند، مقیاس احتمال و شدت چیست و چه سطحی از ریسک قابل‌پذیرش است.
- شناسایی ریسک: از خروجی SWOT، سناریوها، ذینفعان، الزامات قانونی و یافتههای ممیزی شروع کنید و برای هر هدف کلیدی بپرسید «چه چیزی میتواند مانع تحقق آن شود؟»
- تحلیل ریسک: علت‌ها، پیامدها و کنترل‌های موجود را بشناسید و احتمال و شدت را با تعریف‌های از پیش توافق‌شده امتیاز دهید.
- ارزیابی ریسک: سطح هر ریسک را با معیارهای گام اول مقایسه کنید و تصمیم بگیرید کدام ریسک به اقدام فوری نیاز دارد و کدام فقط پایش میشود.
- برخورد با ریسک: گزینه پاسخ را انتخاب کنید، مالک و مهلت تعیین کنید و اقدام را به برنامه کاری واحد مربوط یا یک پروژه مشخص بسپارید.
- پایش، بازنگری و گزارش‌دهی: روند ریسک و شاخص‌های هشداردهنده را به‌طور دوره‌ای مرور و نتیجه را به مدیریت ارشد گزارش کنید.
«ارتباط و مشاوره» در این استاندارد گامی جداگانه در انتهای کار نیست، بلکه در همه مراحل جریان دارد. ریسکی که فقط کارشناس برنامهریزی آن را شناسایی کرده و مدیر مالک از آن بی‌خبر است، در عمل مدیریت نمی‌شود.
ابزارهای اصلی: ماتریس احتمال و شدت، KRI و راهبرد پاسخ
ماتریس احتمال × شدت
رایج‌ترین روش تحلیل، امتیازدهی احتمال و شدت در مقیاس ۱ تا ۵ و ضرب آن‌هاست که عددی بین ۱ تا ۲۵ به دست میدهد. این عدد ابزار اولویت‌بندی است، نه اندازه‌گیری دقیق. مهم این است که معنای هر سطح از پیش نوشته شود؛ مثلاً شدت ۵ یعنی «از دست رفتن هدف سالانه یکی از منظرهای نقشه استراتژیک».
| سطح ریسک | بازه امتیاز | برخورد پیشنهادی |
|---|---|---|
| بحرانی | ۱۵ تا ۲۵ | تصمیم مدیریت ارشد، اقدام فوری و گزارش به هیئت‌مدیره |
| زیاد | ۱۰ تا ۱۴ | برنامه اقدام با مالک و مهلت مشخص |
| متوسط | ۵ تا ۹ | پایش منظم و تقویت کنترل‌های جاری |
| کم | ۱ تا ۴ | پذیرش آگاهانه و بازبینی دوره‌ای |
شاخص کلیدی ریسک (KRI)
شاخص کلیدی عملکرد (KPI) نشان میدهد به هدف رسیده‌ایم یا نه؛ شاخص کلیدی ریسک (KRI) هشدار میدهد که احتمال یا شدت یک ریسک در حال افزایش است. برای ریسک وابستگی به یک تأمین‌کننده، «تعداد روزهای پوشش موجودی ماده اولیه حیاتی» میتواند KRI مناسبی باشد. KRI خوب پیش‌نگر است، یعنی پیش از وقوع ریسک تغییر می‌کند.
چهار راهبرد پاسخ
- کاهش: اقدامی که احتمال یا شدت را پایین می‌آورد، مانند افزودن تأمین‌کننده دوم.
- انتقال: سپردن بخشی از پیامد مالی به طرف دیگر، مانند بیمه یا بندهای قراردادی.
- پذیرش: تصمیم آگاهانه به تحمل ریسک، چون هزینه برخورد از پیامد احتمالی بیشتر است.
- اجتناب: کنار گذاشتن فعالیتی که ریسک را ایجاد می‌کند، مانند انصراف از ورود به یک بازار پرنوسان.
مثال فرضی: یک شرکت لبنی در شمال کشور
فرض کنید یک شرکت تولید محصولات لبنی فرضی در یکی از استان‌های شمالی، هدف «افزایش سهم فروش در بازار تهران» را در منظر مشتری نقشه استراتژیک خود قرار داده است. تیم برنامهریزی پیش‌تر در SWOT تهدید «افزایش هزینه حمل یخچال‌دار» و ضعف «نبود انبار توزیع در تهران» را ثبت کرده بود.
در جلسه شناسایی، این دو مورد به یک ریسک مشخص تبدیل شد: «ناتوانی در تحویل به‌موقع و سالم سفارش فروشگاه‌های زنجیره‌ای تهران». احتمال ۴ و شدت ۴ ارزیابی شد و امتیاز ۱۶ ریسک را در ناحیه بحرانی قرار داد. معاون بازرگانی مالک ریسک شد و «سهم سفارش‌های تحویل‌شده خارج از بازه توافقی» به‌عنوان KRI تعریف شد.
راهبرد اصلی «کاهش» بود: اجاره یک سردخانه در حاشیه تهران به‌عنوان یک پروژه تحول تعریف شد و بخشی از پیامد مالی آسیب بار هم با بیمه «انتقال» یافت. در بازبینی فصل بعد، با بهبود KRI احتمال به ۳ کاهش یافت و امتیاز به ۱۲ رسید؛ ریسک هنوز در ناحیه زیاد است و پایش آن ادامه دارد.
درس این مثال آن است که ریسک از دل تحلیل‌های قبلی آمد، به یک هدف مشخص گره خورد و پاسخ آن به شکل پروژه‌ای در سبد پروژه‌های تحول وارد اجرا شد.
اشتباهات رایج در مدیریت ریسک استراتژیک
- فهرست بلند و بی‌اولویت: ثبت ده‌ها ریسک بدون ارزیابی، توجه مدیران را پراکنده می‌کند و ریسکهای واقعاً مهم گم می‌شوند.
- ریسک بدون هدف: ریسکی که به هیچ هدف استراتژیکی وصل نیست، یا عملیاتی است یا اصلاً ریسک نیست.
- خلط علت، رویداد و پیامد: «نوسان نرخ ارز» علت است؛ ریسک «افزایش بهای تمام‌شده و از دست رفتن حاشیه سود» است.
- ریسک بدون مالک: وقتی مسئول مشخص نباشد، اقدامی هم انجام نمی‌شود.
- امتیازدهی یک‌باره: ریسک‌ها پویا هستند و دفتری که سالی یک بار بهروز شود، تصویر واقعی نمی‌دهد.
- غفلت از فرصت‌ها: تعریف ISO 31000 اثر عدم‌قطعیت را هم منفی و هم مثبت می‌داند؛ نگاه صرفاً تدافعی فرصت‌ها را از دست میدهد.
پیوند با پایش عملکرد و گزارش‌دهی
مدیریت ریسک زمانی ارزش پیدا می‌کند که در کنار وضعیت اهداف و پروژه‌ها دیده شود. وقتی هدفی در وضعیت قرمز است، مدیر باید بتواند فوراً ببیند کدام ریسک‌ها آن را تهدید میکنند و اقدامات کنترلی در چه وضعیتی هستند. به همین دلیل بهتر است ریسکهای بحرانی در کنار نقشه حرارتی شاخص‌ها مرور شوند.
در سطح حاکمیتی، هیئت‌مدیره به فهرست کامل ریسک‌ها نیاز ندارد؛ چند ریسک برتر، روند آن‌ها و تصمیم‌هایی که از هیئت‌مدیره خواسته میشود کافی است. چگونگی تنظیم این گزارش را در مقاله گزارش‌دهی راهبردی به هیئت‌مدیره شرح داده‌ایم.
این کار در فانوس
بخش «نقشه ریسک» فانوس یک دفتر ثبت ریسک است که برای هر ریسک احتمال (P) و شدت (R) را از ۱ تا ۵ می‌گیرد و امتیاز RPN = P×R را از ۲۵ محاسبه می‌کند. ریسک‌ها خودکار در نواحی بحرانی، زیاد، متوسط و کم قرار می‌گیرند و در شش دسته عملیاتی/زنجیره تأمین، بازار و رقابت، مالی و ارزی، انطباق و قانونی، فناوری اطلاعات و منابع انسانی طبقه‌بندی می‌شوند.
برای هر ریسک می‌توانید راهبرد پاسخ (کاهش، انتقال، پذیرش، اجتناب)، روند، KRI، اقدامات کنترلی، هدف استراتژیک تهدیدشده، منشأ آن در SWOT و سناریوهای مرتبط را ثبت کنید. ماتریس حرارتی و فهرست ۵ ریسک برتر هم تصویر سریعی برای جلسه مدیریت فراهم می‌کند. برای دیدن این بخش روی داده‌های نمونه، درخواست نمایش آنلاین ثبت کنید.