مدیریت ریسک سازمانی یا ERM روشی استراتژیک برای مدیریت ریسک است که از دیدگاه کل سازمان به موضوع نگاه می‌کند. این رویکرد از بالا به پایین طراحی شده و هدف آن شناسایی، ارزیابی و آمادگی در برابر زیان‌های احتمالی، خطرات، تهدیدها و سایر آسیب‌هایی است که ممکن است عملکرد یا اهداف سازمان را مختل کرده یا منجر به خسارات مالی یا عملیاتی شوند.
نکات کلیدی
- ERM یک استراتژی سراسری در سازمان است که به شناسایی و آمادگی در برابر خطراتی که ممکن است بر امور مالی، عملیات و اهداف سازمان تأثیر بگذارند، کمک می‌کند.
- این روش به مدیران اجازه می‌دهد جایگاه کلی ریسک سازمان را شکل دهند؛ برای مثال، تصمیم بگیرند کدام بخش‌های کسب‌وکار وارد برخی فعالیت‌ها شوند یا از آن‌ها خارج شوند.
- برخلاف مدیریت سنتی ریسک که تصمیم‌گیری را به سرپرستان بخش‌ها واگذار می‌کند و ممکن است به ارزیابی‌های جداگانه و جزیره‌ای منجر شود، ERM دید جامع‌تری دارد.
- چارچوب COSO برای ERM، هشت مؤلفه اصلی برای توسعه این روش را تعریف می‌کند.
- راهبردهای موفق ERM می‌توانند انواع مختلفی از ریسک‌ها را کاهش دهند؛ از جمله ریسک‌های عملیاتی، مالی، امنیتی، انطباقی، حقوقی و غیره.
درک بهتر ERM
ERM رویکردی جامع دارد و به تصمیم‌گیری در سطح مدیریت عالی متکی است. در این روش، مسئولیت مدیریت ریسک فقط به عهده واحدهای مستقل سازمان نیست، بلکه نگاه سازمانی و کل‌نگرانه‌ای اعمال می‌شود.
در بسیاری از موارد، برنامه‌ریزی ریسک به‌عنوان بخشی از گزارش سالانه در اختیار ذی‌نفعان قرار می‌گیرد. صنایع مختلفی مانند هوافضا، ساخت‌وساز، سلامت عمومی، توسعه بین‌المللی، انرژی، مالی و بیمه همگی به سمت استفاده از ERM گرایش پیدا کرده‌اند.
ERM نه‌تنها برای کاهش ریسک سازمانی به‌کار می‌رود، بلکه می‌تواند فرصت‌های خاص و منحصر به‌فردی را نیز در سطح کل سازمان شناسایی کند. ارتباط و هماهنگی میان بخش‌های مختلف سازمان برای موفقیت در پیاده‌سازی ERM حیاتی است؛ زیرا تصمیمات ریسک از سطح مدیریت ممکن است با ارزیابی‌های محلی در تضاد به نظر برسند.
سازمان‌هایی که از ERM استفاده می‌کنند، معمولاً یک تیم اختصاصی برای این حوزه دارند که فعالیت‌ها را نظارت می‌کند.
نگاهی کلی‌نگر به مدیریت ریسک
کسب‌وکارهای امروزی با انواع مختلفی از ریسک‌ها روبرو هستند. در گذشته، هر بخش خود ریسک‌هایش را مدیریت می‌کرد. اما در ERM، سازمان موظف است همه ریسک‌هایی را که با آن مواجه است شناسایی کرده و برای مدیریت برخی از آن‌ها تصمیم‌گیری کند.
ERM هر واحد کسب‌وکار را مانند یک "پرتفوی" در نظر می‌گیرد و بررسی می‌کند که چگونه ریسک‌های بخش‌های مختلف با هم تداخل یا تعامل دارند. این روش حتی ریسک‌هایی را که هیچ واحدی به‌تنهایی متوجه آن‌ها نمی‌شود، می‌تواند شناسایی کند.
در مدل سنتی، ریسک‌ها توسط هر بخش ارزیابی می‌شدند و سپس به مدیرعامل گزارش داده می‌شد. اما اکنون نیاز به دیدگاه جامع‌تری احساس می‌شود.
نقش مدیر ارشد ریسک (CRO)
در ERM، مدیر ارشد ریسک (Chief Risk Officer - CRO) مسئول شناسایی، تحلیل و کاهش ریسک‌های داخلی و خارجی است که می‌توانند کل سازمان را تحت تأثیر قرار دهند. CRO همچنین اطمینان حاصل می‌کند که شرکت مطابق با مقرراتی مثل قانون ساربنز-آکسلی (SOX) عمل می‌کند و عواملی را بررسی می‌کند که ممکن است بر سرمایه‌گذاری‌ها یا عملکرد بخش‌ها آسیب بزنند.
اجزای کلیدی ERM براساس چارچوب COSO
- حاکمیت و فرهنگ سازمانی: شامل تقویت اهمیت مدیریت ریسک، تعیین ساختار سازمانی مناسب، تعریف فرهنگ مطلوب، تعهد به ارزش‌های اصلی، و جذب و حفظ سرمایه انسانی همسو با استراتژی است.
- استراتژی و تعیین اهداف: ریسک‌پذیری سازمان با اهداف و مأموریت آن هماهنگ می‌شود. اهداف باید در راستای استراتژی سازمان بوده و با سطح ریسک‌پذیری تعیین‌شده منطبق باشند.
- عملکرد: ریسک‌هایی که ممکن است مانع از تحقق اهداف سازمان شوند، باید شناسایی و ارزیابی شوند. شدت آن‌ها با توجه به میزان ریسک‌پذیری اولویت‌بندی می‌شود و سپس واکنش مناسب تعیین می‌شود.
- بازبینی و اصلاح: اثربخشی اجزای ERM به‌مرور زمان بررسی می‌شود. تغییرات اساسی شناسایی شده و اصلاحات لازم اعمال می‌گردد.
- اطلاعات، ارتباطات و گزارش‌دهی: سازمان باید اطلاعات داخلی و خارجی مرتبط با ریسک را به‌طور مداوم جمع‌آوری و به اشتراک بگذارد. این اطلاعات باید برای کارکنان نیز در دسترس باشد تا فرآیند مدیریت ریسک بهتر اجرا شود.
نحوه پیاده‌سازی ERM در سازمان
- تعریف دیدگاه سازمان نسبت به ریسک و ایجاد فلسفه‌ای روشن در این زمینه.
- تدوین برنامه اقدام برای حفاظت از دارایی‌ها پس از ارزیابی ریسک‌ها.
- تفکر خلاقانه و گسترده درباره تهدیدات بالقوه—even those that seem unlikely.
- تعیین اولویت‌ها و اطلاع‌رسانی دقیق درباره ریسک‌هایی که نباید پذیرفته شوند.
- تخصیص وظایف مشخص به کارکنان برای اجرای بخش‌های مختلف برنامه.
- حفظ انعطاف‌پذیری در برابر تغییرات و ریسک‌های نوظهور.
- استفاده از فناوری برای ثبت، پایش و کنترل ریسک‌ها.
- نظارت مستمر بر عملکرد و اقدامات مرتبط با مدیریت ریسک.
- استفاده از شاخص‌ها و معیارهای دقیق (مانند اهداف SMART) برای ارزیابی موفقیت برنامه‌ها.
مزایا و معایب ERM
مزایا:
- بهبود فرهنگ سازمانی و افزایش شفافیت در مورد ریسک‌ها
- افزایش رضایت کارکنان و مشتریان با برنامه‌ریزی بهتر در برابر خطرات
- گزارش‌دهی مؤثر به مدیران ارشد برای تصمیم‌گیری سریع‌تر
- بهره‌وری بیشتر و حذف فرآیندهای زائد
- شناسایی بهتر بازارهای جدید و فرصت‌های سرمایه‌گذاری
معایب:
- عدم توانایی در شناسایی ریسک‌های ناشناخته و پیش‌بینی‌نشده
- اتکا زیاد به برآوردهای مدیریتی که ممکن است دقیق نباشند
- زمان‌بر بودن و نیاز به منابع انسانی و مالی زیاد
- دشواری در ارزیابی اثربخشی برنامه‌های ERM، به‌ویژه زمانی که ریسک‌ها رخ نداده‌اند
انواع ریسک‌هایی که ERM به آن‌ها می‌پردازد
- ریسک انطباقی (Compliance Risk): نقض قوانین یا مقررات خارجی
- ریسک حقوقی (Legal Risk): دعوی قضایی یا جریمه‌های قانونی
- ریسک استراتژیک (Strategic Risk): تهدیداتی برای اهداف بلندمدت شرکت
- ریسک عملیاتی (Operational Risk): اختلال در فعالیت‌های روزانه مانند بلایای طبیعی
- ریسک امنیتی (Security Risk): از دست رفتن داده‌ها یا دسترسی غیرمجاز به اطلاعات
- ریسک مالی (Financial Risk): زیان‌های ارزی یا وضعیت مالی ناپایدار
مناسب‌ترین شرکت‌ها برای پیاده‌سازی ERM
ERM برای شرکت‌های بزرگ و چندملیتی که در محیط‌های پیچیده و متنوع فعالیت می‌کنند بسیار مناسب است؛ مخصوصاً در صنایع مالی مانند بانکداری، بیمه و سرمایه‌گذاری که قوانین سخت‌گیرانه‌تری دارند.
ERM همچنین برای شرکت‌هایی که در کشورهای مختلف فعالیت دارند مفید است؛ چراکه می‌تواند با خطراتی مثل نوسانات ارزی، ناآرامی‌های سیاسی، اختلال در زنجیره تأمین و قوانین متنوع مقابله کند.
تفاوت ERM با ERP و CRM
- ERM: روی شناسایی و مدیریت ریسک‌های سازمانی تمرکز دارد.
- ERP (برنامه‌ریزی منابع سازمانی): بر بهینه‌سازی فرآیندهای عملیاتی مانند مالی، تولید، فروش و بازاریابی متمرکز است.
- CRM (مدیریت ارتباط با مشتری): بر تعامل با مشتریان، افزایش رضایت آن‌ها و ارتقای فروش تمرکز دارد.
ERM بیشتر به جنبه‌های درونی سازمان و حفاظت از دارایی‌ها نگاه دارد، در حالی که CRM بیشتر بر تعاملات بیرونی با مشتریان تأکید دارد.
نمونه‌ای از ERM در عمل: شرکت ExxonMobil
شرکت ExxonMobil، یکی از بزرگ‌ترین شرکت‌های نفت و گاز جهان، از یک چارچوب ساختاریافته برای پیاده‌سازی ERM استفاده می‌کند که شامل پنج عنصر اصلی است:
- سازمان‌دهی و تجمیع ریسک‌ها
- شناسایی دقیق ریسک‌ها
- اولویت‌بندی ریسک‌ها
- فرآیندها و سامانه‌های مدیریت ریسک
- حاکمیت کامل ریسک
این شرکت از مدل‌سازی داده و ارزیابی‌های زیست‌محیطی برای پیش‌بینی و کاهش اثرات منفی احتمالی در پروژه‌های جدید خود بهره می‌برد.
جمع‌بندی
ERM روشی سیستماتیک، جامع و کل‌نگر برای مدیریت ریسک است که با هدف حفاظت از دارایی‌ها، تداوم عملیات، و واکنش سریع به رخدادهای پیش‌بینی‌نشده طراحی شده است. این روش نه‌تنها از وقوع خسارات جلوگیری می‌کند، بلکه سازمان را برای آینده‌ای پایدارتر و مطمئن‌تر آماده می‌سازد.
نظرات کاربران