مدیریت ریسک سازمانی (ERM): راهنمای جامع ISO 31000 و COSO

مدیریت ریسک سازمانی (ERM) چیست؟

مدیریت ریسک سازمانی (Enterprise Risk Management – ERM) یک رویکرد جامع و یکپارچه برای شناسایی، ارزیابی، مدیریت و پایش ریسک‌ها در تمام سطوح یک سازمان است. هدف اصلی ERM، همسو کردن استراتژی‌ها، فرآیندها، افراد و فناوری برای مدیریت عدم قطعیت‌ها و دستیابی به اهداف سازمانی است. این فرآیند به جای تمرکز بر ریسک‌های مجزا در واحدهای مختلف، نگاهی کل‌نگر به تمام ریسک‌های بالقوه‌ای دارد که می‌توانند بر موفقیت سازمان تأثیر بگذارند.

مزایای کلیدی مدیریت ریسک سازمانی

پیاده‌سازی یک چارچوب ERM مؤثر می‌تواند مزایای قابل توجهی برای سازمان به همراه داشته باشد. درک این مزایا به توجیه سرمایه‌گذاری در این حوزه کمک می‌کند:

• تصمیم‌گیری بهتر: با درک کامل ریسک‌ها، مدیران می‌توانند تصمیمات آگاهانه‌تر و استراتژیک‌تری بگیرند.
• بهبود عملکرد: کاهش غافلگیری‌ها و زیان‌های غیرمنتظره منجر به عملکرد پایدارتر و قابل پیش‌بینی‌تر می‌شود.
• تخصیص بهینه منابع: منابع سازمان به سمت مدیریت مهم‌ترین ریسک‌ها هدایت می‌شود.
• افزایش انطباق‌پذیری: سازمان‌ها برای مقابله با تغییرات ناگهانی در محیط کسب‌وکار آماده‌تر خواهند بود.
• افزایش اعتماد ذینفعان: یک برنامه ERM قوی، اعتماد سرمایه‌گذاران، مشتریان و نهادهای نظارتی را جلب می‌کند.

چارچوب‌های یکپارچه: ISO 31000 و COSO ERM

دو مورد از معتبرترین و پرکاربردترین چارچوب‌ها برای پیاده‌سازی مدیریت ریسک سازمانی، استاندارد ISO 31000 و چارچوب COSO ERM هستند. هرچند این دو چارچوب تفاوت‌هایی دارند، اما هدف مشترک آن‌ها ارائه یک راهنمای ساختاریافته برای مدیریت ریسک است.

چارچوب COSO ERM

این چارچوب که توسط کمیته سازمان‌های حامی کمیسیون تريدوی (COSO) توسعه یافته، بر ارتباط بین استراتژی، عملکرد و ریسک تمرکز دارد. این مدل به سازمان‌ها کمک می‌کند تا ریسک را در فرآیند تعیین و اجرای استراتژی ادغام کنند. برای اطلاعات بیشتر می‌توانید به وبسایت رسمی COSO مراجعه کنید.

استاندارد ISO 31000

ISO 31000 یک استاندارد بین‌المللی است که اصول و دستورالعمل‌های کلی برای مدیریت ریسک ارائه می‌دهد. این استاندارد بر اصول، چارچوب و فرآیند مدیریت ریسک تأکید دارد و برای هر نوع سازمان با هر اندازه‌ای قابل استفاده است.

فرآیند گام به گام مدیریت ریسک سازمانی (ERM)

فرآیند ERM یک چرخه تکرارشونده است که شامل مراحل زیر می‌باشد:

1. شناسایی ریسک: کشف، شناسایی و توصیف ریسک‌هایی که ممکن است بر اهداف سازمان تأثیر بگذارند.
2. ارزیابی ریسک: تجزیه و تحلیل احتمال وقوع و تأثیر بالقوه هر ریسک شناسایی‌شده.
3. ارزیابی و تصمیم‌گیری: مقایسه نتایج تحلیل ریسک با معیارهای از پیش تعیین‌شده (مانند اشتهای ریسک) برای تصمیم‌گیری در مورد نحوه پاسخ به ریسک.
4. پاسخ به ریسک (Treatment): انتخاب و اجرای گزینه‌هایی برای کاهش، انتقال، پذیرش یا اجتناب از ریسک.
5. پایش و بازبینی: نظارت مستمر بر ریسک‌ها، اثربخشی برنامه‌های پاسخ به ریسک و خود چارچوب ERM.
6. گزارش‌دهی و ارتباطات: به اشتراک‌گذاری اطلاعات مرتبط با ریسک با ذینفعان داخلی و خارجی در تمام مراحل فرآیند.

اشتهای ریسک و آستانه تحمل ریسک

یکی از مفاهیم کلیدی در ERM، تعیین «اشتهای ریسک» (Risk Appetite) است. این مفهوم به میزان و نوع ریسکی اشاره دارد که یک سازمان برای دستیابی به اهداف استراتژیک خود مایل به پذیرش آن است. آستانه تحمل ریسک (Risk Tolerance) نیز سطح قابل قبول انحراف از اشتهای ریسک برای یک هدف خاص را مشخص می‌کند. تعریف روشن این مفاهیم برای همسوسازی تصمیم‌گیری‌ها در سراسر سازمان ضروری است.

منبع: این مقاله بر اساس راهنمای سریع مدیریت ریسک سازمانی (ERM) تهیه شده توسط Manoj Valiya Veettil و مبتنی بر چارچوب‌های ISO 31000 و COSO ERM است.