ریسک عملیاتی (Operational Risk) به عدم قطعیت‌ها و خطراتی اشاره دارد که یک شرکت در انجام فعالیت‌های روزمره کسب‌وکار خود در یک حوزه یا صنعت با آن مواجه می‌شود. این نوع ریسک، که زیرمجموعه ریسک‌های کسب‌وکار است، از نقص در فرآیندهای داخلی، افراد، و سیستم‌ها ناشی می‌شود، نه از عوامل خارجی مانند رویدادهای سیاسی یا اقتصادی، یا ریسک‌های سیستمیک مرتبط با کل بازار یا بخش بازار.
مدیریت ریسک عملیاتی شامل شناسایی و رفع ضعف‌های بالقوه در کارکنان، سیستم‌ها، و کنترل‌های داخلی سازمان برای جلوگیری از اختلالات و زیان‌های مالی است. این ریسک به‌عنوان نوعی ریسک غیرسیستمیک خاص یک شرکت یا صنعت طبقه‌بندی می‌شود.
نکات کلیدی
- ریسک عملیاتی به خطرات و عدم قطعیت‌های ناشی از فعالیت‌های روزمره، فرآیندها، و سیستم‌های یک شرکت اشاره دارد.
- این ریسک اغلب با خطای انسانی مرتبط است، جایی که اشتباهات یا شکست‌ها از تصمیمات یا اقدامات کارکنان ناشی می‌شود.
- شرکت‌ها با شناسایی شاخص‌های کلیدی ریسک (KRIs) و جمع‌آوری داده‌ها، ریسک عملیاتی را ارزیابی می‌کنند.
- برخلاف ریسک‌های سیستمیک یا مالی، ریسک عملیاتی یک دسته متمایز از ریسک‌های کسب‌وکار است.
- مدیریت ریسک عملیاتی شامل پیش‌بینی ریسک‌ها، تحلیل هزینه/فایده، اجتناب از ریسک‌های غیرضروری، و واگذاری برنامه‌ریزی استراتژیک به مدیریت ارشد است.
درک ریسک عملیاتی
ریسک عملیاتی بر نحوه انجام کارها در یک سازمان تمرکز دارد، نه لزوماً آنچه تولید می‌شود یا ویژگی‌های ذاتی یک صنعت. این ریسک‌ها اغلب با تصمیمات فعال در مورد نحوه عملکرد سازمان و اولویت‌های آن مرتبط هستند. اگرچه این ریسک‌ها همیشه به شکست، کاهش تولید، یا افزایش هزینه‌ها منجر نمی‌شوند، شدت آن‌ها تحت تأثیر تصمیمات مدیریتی داخلی است.
از آنجا که ریسک عملیاتی به فرآیندها و تفکرات انسانی وابسته است، به‌عنوان ریسک انسانی شناخته می‌شود و نشان‌دهنده خطر شکست عملیات کسب‌وکار به دلیل خطای انسانی است. این ریسک از صنعتی به صنعت دیگر متفاوت است و در تصمیم‌گیری‌های سرمایه‌گذاری اهمیت دارد. صنایعی با تعامل انسانی کمتر، مانند تولید خودکار، معمولاً ریسک عملیاتی کمتری دارند.
مدیریت این ریسک‌ها، به‌ویژه برای مؤسسات مالی، حیاتی است، زیرا زیان‌های عملیاتی می‌توانند غیرقابل‌پیش‌بینی و از نظر مالی قابل‌توجه باشند. در حالی که روش‌های سنتی شامل حسابرسی داخلی، فرآیندها، و بیمه است، بخش بانکی چارچوب‌های مدیریت ریسک عملیاتی پیشرفته‌تری را برای مقابله با پیچیدگی‌های روزافزون اتخاذ کرده است.
مهم: ریسک عملیاتی یکی از انواع ریسک‌های کسب‌وکار است، در کنار ریسک استراتژیک (شکست در اجرای برنامه)، ریسک انطباق (عدم رعایت قوانین و مقررات صنعتی)، و ریسک شهرت (عواملی که می‌توانند به تصویر عمومی سازمان آسیب برسانند).
علل ریسک عملیاتی
ریسک عملیاتی معمولاً از چهار منبع اصلی ناشی می‌شود: افراد، فرآیندها، سیستم‌ها، و رویدادهای خارجی. شرکت‌ها باید این ریسک‌ها را در هر دسته تا حد ممکن کاهش دهند، با این درک که برخی از ریسک‌های عملیاتی همیشه وجود خواهند داشت.
افراد
ریسک‌های ناشی از افراد می‌توانند به دلیل کمبود دانش کارکنان یا کمبود نیروی انسانی ایجاد شوند. برای مثال، یک شرکت ممکن است کارکنانی با مهارت کافی برای حل مشکلات خاص نداشته باشد یا تعداد کارکنان برای مدیریت دوره‌های پرمشغله سال کافی نباشد. استخدام کارکنان جدید می‌تواند این ریسک را کاهش دهد، اما ریسک‌های جدیدی مانند انتخاب نامناسب، آموزش، و حفظ کارکنان را به همراه دارد.
فرآیندها
هر شرکتی فرآیندهای خاص خود را دارد. شرکت‌های تولیدی پیچیده (مانند خودروسازی) فرآیندهای متفاوتی نسبت به شرکت‌های خدماتی (مانند دفاتر حقوقی) دارند. عدم مستندسازی کامل فرآیندها یا ناتوانی در اجرای دقیق آن‌ها می‌تواند به نتایج زیان‌بار منجر شود. همچنین، فرآیندهای ضعیف ممکن است از طریق تبانی یا شکست کنترل‌های داخلی مورد سوءاستفاده قرار گیرند و شرکت را در معرض سرقت یا زیان مالی قرار دهند.
سیستم‌ها
بسیاری از شرکت‌ها به سیستم‌ها و نرم‌افزارها وابسته‌اند. ریسک عملیاتی شامل احتمال قدیمی بودن، ناکافی بودن، یا تنظیم نادرست این سیستم‌هاست. سیستم‌های ناکارآمد نسبت به رقبا یا وجود اشکالات فنی می‌توانند شرکت را در معرض جرایم سایبری یا محدودیت‌های ظرفیت قرار دهند.
رویدادهای خارجی
ریسک‌های عملیاتی ممکن است از خارج شرکت ناشی شوند، مانند بلایای طبیعی که فرآیندهای حمل‌ونقل را مختل می‌کنند یا تغییرات سیاسی که عملیات را محدود می‌کنند. برخی از این ریسک‌ها ممکن است به‌صورت جداگانه (مانند ریسک ژئوپلیتیکی) طبقه‌بندی شوند، در حالی که برخی دیگر، مانند عدم اجرای قرارداد توسط طرف سوم، بخشی از ماهیت کسب‌وکار هستند.
واقعیت سریع: ریسک عملیاتی هرگز به‌طور کامل قابل‌حذف نیست. مدیریت باید سطح قابل‌قبول ریسک را تعیین کند و با قراردادها یا توافقات، ریسک‌های خارجی مانند قابلیت اطمینان تأمین‌کنندگان را کاهش دهد.
هفت دسته ریسک عملیاتی
علل بالا به هفت دسته اصلی ریسک عملیاتی تقسیم می‌شوند:
- تقلب داخلی: کارکنان برای دور زدن کنترل‌های داخلی و سوءاستفاده از منابع شرکت تبانی می‌کنند.
- تقلب خارجی: طرف‌های خارجی تلاش می‌کنند با رشوه، سرقت، جعل، یا حملات سایبری به شرکت آسیب برسانند.
- شکست فناوری: نقص در سیستم‌های کامپیوتری، سخت‌افزار، نرم‌افزار، یا تعامل بین آن‌ها.
- مدیریت اجرا، تحویل، و فرآیندها: ناتوانی مدیریت در ارزیابی صحیح موقعیت یا اجرای استراتژی درست.
- شیوه‌های کارکنان و ایمنی محل کار: نقض یا ریسک نقض اقدامات ایمنی محل کار (فیزیکی، روانی، یا غیره).
- بلایای طبیعی و آسیب به دارایی‌های فیزیکی: شرایط جوی نامناسب، آتش‌سوزی، یا شرایط سخت زمستانی که دارایی‌ها و وظایف کارکنان را مختل می‌کند.
- مشتریان، محصولات، و شیوه‌های کسب‌وکار: فعالیت‌هایی که به مشتریان آسیب می‌رساند، اطلاعات گمراه‌کننده، سهل‌انگاری، یا عدم انطباق تصادفی با الزامات.
ارزیابی ریسک عملیاتی
ارزیابی ریسک عملیاتی شامل استفاده از شاخص‌های کلیدی ریسک (KRIs) و داده‌ها است. KRIs معیارهایی هستند که شرکت برای نظارت بر سطح ریسک، ارزیابی اثربخشی کنترل‌ها، و اطمینان از عملکرد در محدوده ریسک قابل‌قبول تعیین می‌کند. برای مثال، شرکتی که با تأمین‌کنندگان معتبر کار می‌کند، ممکن است KRI تعیین کند که بیش از سه تأمین‌کننده نباید در قرارداد تخلف کنند. این معیارها باید قابل‌مقدارسازی باشند تا شرکت بتواند آن‌ها را رصد و اندازه‌گیری کند.
داده‌ها بخش حیاتی ارزیابی هستند. شرکت‌ها از فرآیندهای جمع‌آوری اطلاعات قوی، مانند خودکارسازی، نظرسنجی‌های شخص ثالث، نتایج مالی، یا داده‌های صنعتی استفاده می‌کنند. در برخی صنایع، مانند بانکداری، استانداردها ممکن است KRIها و فرآیندهای خاصی را الزام کنند، که ارزیابی ریسک عملیاتی را ساده‌تر می‌کند.
مدیریت ریسک عملیاتی
چهار استراتژی اصلی برای مدیریت ریسک عملیاتی عبارت‌اند از:
- اجتناب از ریسک‌های غیرضروری: شرکت‌ها باید ارزیابی کنند که آیا ریسک‌ها پاداش کافی دارند. برای مثال، همکاری با تأمین‌کنندگان غیرمعتبر می‌تواند ریسک غیرضروری ایجاد کند.
- تحلیل هزینه/فایده: تصمیم‌گیری‌ها باید بر اساس مقایسه هزینه‌های ریسک با مزایای بالقوه باشد. برای مثال، گسترش به یک بازار بین‌المللی ممکن است ریسک عملیاتی بالایی داشته باشد، اما تحقیقات مناسب می‌تواند نشان دهد که پاداش آن ارزش ریسک را دارد.
- واگذاری تصمیمات به مدیریت ارشد: مدیریت ارشد به دلیل بینش گسترده‌تر، باید تصمیم‌گیری‌های مربوط به ریسک عملیاتی را بر عهده گیرد.
- پیش‌بینی ریسک: شرکت‌ها باید ریسک‌های احتمالی را پیش‌بینی کرده و برنامه‌هایی برای پذیرش، کاهش، یا اجتناب از آن‌ها داشته باشند.
ریسک عملیاتی در مقابل سایر ریسک‌ها
ریسک عملیاتی در مقابل ریسک مالی
ریسک مالی به احتمال ناکافی بودن جریان نقدی برای پوشش تعهدات، مانند بازپرداخت وام‌ها، اشاره دارد. این ریسک بیشتر به استفاده از اهرم مالی و تأمین مالی بدهی مرتبط است، در حالی که ریسک عملیاتی به تلاش‌های روزمره برای سودآوری شرکت مربوط می‌شود.
ریسک عملیاتی در مقابل ریسک بازار
ریسک بازار به تغییرات قیمت ابزارهای مالی به دلیل عواملی مانند نرخ بهره، تمایلات سرمایه‌گذاران، یا عوامل اقتصادی اشاره دارد. ریسک عملیاتی بر عملیات داخلی، منابع، و افراد شرکت تمرکز دارد.
ریسک عملیاتی در مقابل ریسک استراتژیک
ریسک استراتژیک معمولاً بلندمدت است و ممکن است عوامل خارجی بیشتری را شامل شود. برای مثال، ورود یک رقیب جدید به بازار ریسک استراتژیک است، اما نحوه مدیریت روزانه آن توسط شرکت، ریسک عملیاتی محسوب می‌شود.
مثال‌های ریسک عملیاتی
- نگهداری سیستم‌ها: اگر شرکتی بین دو فعالیت نگهداری یکی را انتخاب کند و سیستمی که نگهداری نمی‌شود خراب شود، این ریسک عملیاتی است.
- کارکنان: حفظ یک تیم فروش ضعیف به دلیل هزینه‌های پایین یا عدم استخدام مکانیک ماهر در یک شرکت تولیدی، ریسک عملیاتی ایجاد می‌کند.
- تقلب کارکنان: مشارکت کارکنان در فعالیت‌های تقلبی، مانند سرقت منابع، ریسک عملیاتی است که به تصمیمات انسانی مرتبط است.
پنج سطح ریسک چیست؟
شرکت‌ها ریسک را در پنج سطح ارزیابی می‌کنند: بسیار محتمل (>۹۰٪)، محتمل (>۵۰٪)، ممکن، بعید، و بسیار بعید. مدیریت از این درصدها برای مقایسه هزینه‌های کاهش ریسک با زیان‌های احتمالی استفاده می‌کند.
چگونه ریسک عملیاتی را شناسایی می‌کنید؟
ریسک عملیاتی با بررسی مواردی که ممکن است در عملیات روزمره اشتباه پیش برود شناسایی می‌شود، مانند پرسیدن "چه می‌شود اگر سیستم خاصی خراب شود؟" یا "چه می‌شود اگر تأمین‌کننده‌ای به‌موقع تحویل ندهد؟"
چهار T مدیریت ریسک چیست؟
چهار T مدیریت ریسک عبارت‌اند از:
- تحمل (Tolerate): پذیرش سطح خاصی از ریسک.
- پایان (Terminate): توقف فعالیت‌هایی که ریسک غیرقابل‌قبولی دارند.
- درمان (Treat): کاهش ریسک با اقدامات خاص.
- انتقال (Transfer): انتقال ریسک به شخص ثالث، مانند خرید بیمه.
چه کسی مسئول مدیریت ریسک عملیاتی است؟
مدیریت ارشد معمولاً مسئول مدیریت ریسک عملیاتی است، زیرا آن‌ها بینش لازم برای نظارت بر استراتژی‌ها و اطمینان از اجرای صحیح آن‌ها را دارند.
به‌روزرسانی‌های اخیر (تا آگوست ۲۰۲۵)
تا آگوست ۲۰۲۵، مدیریت ریسک عملیاتی همچنان در اولویت شرکت‌ها قرار دارد:
- شرایط اقتصادی: گزارش‌های مالی ژوئن ۲۰۲۵ نشان می‌دهند که با نرخ‌های بهره بالا (۵.۲۵٪-۵.۵٪ توسط فدرال رزرو) و تورم حدود ۳٪، شرکت‌ها در بخش‌های فناوری و تولید با ریسک‌های عملیاتی ناشی از کمبود نیروی کار و اختلالات زنجیره تأمین مواجه هستند.
- روندهای نظارتی: تحلیلگران در می ۲۰۲۵ گزارش دادند که نهادهای نظارتی مانند دفتر سرپرست نهادهای مالی (OSFI) در کانادا الزامات سخت‌گیرانه‌تری برای مدیریت ریسک عملیاتی در بانک‌ها وضع کرده‌اند، به‌ویژه در زمینه امنیت سایبری.
- بحث‌های شبکه‌های اجتماعی: پست‌های X در جولای ۲۰۲۵ بحث‌هایی را درباره تأثیر جرایم سایبری بر ریسک عملیاتی برجسته کردند. کاربران اظهار داشتند که شرکت‌های فناوری باید سرمایه‌گذاری در سیستم‌های امنیتی را افزایش دهند.
- پیشرفت‌های فناوری: گزارش‌های ژوئن ۲۰۲۵ اشاره دارند که ابزارهای مبتنی بر هوش مصنوعی، مانند ServiceNow و IBM Risk Management، به شرکت‌ها کمک می‌کنند تا KRIs را به‌صورت خودکار رصد کرده و ریسک‌های عملیاتی را سریع‌تر شناسایی کنند.
مثال اضافی
در سال ۲۰۲۵، یک شرکت تولیدی به دلیل استفاده از نرم‌افزار قدیمی با یک حمله سایبری مواجه می‌شود که تولید را برای یک هفته متوقف می‌کند. این شرکت با استفاده از ابزارهای هوش مصنوعی، KRIs جدیدی برای نظارت بر امنیت سیستم‌ها تعریف می‌کند و سیستم‌های خود را ارتقا می‌دهد تا ریسک‌های آینده را کاهش دهد.
نتیجه‌گیری
ریسک عملیاتی به خطر زیان ناشی از نقص در فرآیندها، کارکنان، سیستم‌ها، یا رویدادهای خارجی در فعالیت‌های روزمره کسب‌وکار اشاره دارد. این ریسک اجتناب‌ناپذیر است، اما شرکت‌ها می‌توانند با پیش‌بینی، تحلیل هزینه/فایده، اجتناب از ریسک‌های غیرضروری، و واگذاری تصمیمات به مدیریت ارشد، آن را مدیریت کنند. تا آگوست ۲۰۲۵، شرایط اقتصادی، الزامات نظارتی، بحث‌های عمومی، و پیشرفت‌های فناوری، اهمیت مدیریت ریسک عملیاتی را برای حفظ پایداری شرکت‌ها تقویت کرده‌اند.
نظرات کاربران