کنترل ریسک مجموعه‌ای از روش‌هاست که شرکت‌ها از طریق آن‌ها زیان‌های بالقوه را ارزیابی کرده و اقداماتی را برای کاهش یا حذف این تهدیدات انجام می‌دهند. این تکنیک از یافته‌های ارزیابی‌های ریسک استفاده می‌کند که شامل شناسایی عوامل ریسک بالقوه در عملیات شرکت است. این عوامل می‌توانند شامل جنبه‌های فنی و غیرفنی کسب‌وکار، سیاست‌های مالی و سایر مسائلی باشند که ممکن است بر سلامت شرکت تأثیر بگذارند.
کنترل ریسک همچنین تغییرات پیش‌فعال را برای کاهش ریسک در این حوزه‌ها اجرا می‌کند. این روش به شرکت‌ها کمک می‌کند تا زیان‌ها را محدود کنند و جزء کلیدی پروتکل مدیریت ریسک سازمانی (ERM) یک شرکت است.
نکات کلیدی
- کنترل ریسک یک فرآیند سیستماتیک است که برای شناسایی، ارزیابی و مدیریت ریسک‌ها به منظور به حداقل رساندن زیان‌ها و نتایج منفی استفاده می‌شود.
- این تکنیک از یافته‌های ارزیابی‌های ریسک بهره می‌برد.
- هدف شناسایی و کاهش عوامل ریسک بالقوه در عملیات شرکت، مانند جنبه‌های فنی و غیرفنی کسب‌وکار، سیاست‌های مالی و سایر مسائلی است که ممکن است بر سلامت شرکت تأثیر بگذارند.
- روش‌های کنترل ریسک شامل اجتناب، پیشگیری از زیان، کاهش زیان، جداسازی، تکثیر و تنوع‌بخشی است.
نحوه عملکرد کنترل ریسک
کسب‌وکارهای مدرن با مجموعه‌ای متنوع از موانع، رقبا و خطرات بالقوه مواجه‌اند. کنترل ریسک یک استراتژی کسب‌وکار مبتنی بر برنامه است که هدف آن شناسایی، ارزیابی و آمادگی برای هرگونه خطر، تهدید و سایر پتانسیل‌های فاجعه است که ممکن است با عملیات و اهداف سازمان، چه به‌صورت فیزیکی و چه به‌صورت غیرمستقیم، تداخل داشته باشند.
مفاهیم اصلی کنترل ریسک شامل چندین جزء کلیدی است:
اجتناب
اجتناب بهترین روش کنترل زیان است. به عنوان مثال، صاحب یک کارخانه ممکن است پس از کشف اینکه ماده شیمیایی مورد استفاده در تولید محصولات شرکت برای کارگران خطرناک است، یک جایگزین ایمن پیدا کند. با این حال، اجتناب همیشه ممکن نیست.
پیشگیری از زیان
پیشگیری از زیان ریسک را می‌پذیرد اما تلاش می‌کند زیان را به حداقل برساند به جای اینکه آن را حذف کند. موجودی انبار در برابر سرقت آسیب‌پذیر است. از آنجا که نمی‌توان از آن اجتناب کرد، یک برنامه پیشگیری از زیان اجرا می‌شود. این برنامه شامل نگهبانان امنیتی گشت‌زن، دوربین‌های ویدئویی و امکانات ذخیره‌سازی امن است. بیمه نمونه دیگری از پیشگیری از ریسک است که از طریق قرارداد به شخص ثالث برون‌سپاری می‌شود.
کاهش زیان
کاهش زیان ریسک را می‌پذیرد و به دنبال محدود کردن زیان‌ها در هنگام وقوع تهدید است. شرکتی که مواد قابل اشتعال را در انبار ذخیره می‌کند، ممکن است آب‌پاش‌های پیشرفته نصب کند تا در صورت آتش‌سوزی آسیب را به حداقل برساند.
جداسازی
جداسازی شامل پراکنده کردن دارایی‌های کلیدی است به‌گونه‌ای که رویدادهای فاجعه‌بار در یک مکان تنها بر آن مکان تأثیر بگذارند. اگر همه دارایی‌ها در یک مکان باشند، کسب‌وکار با مشکلات جدی‌تری مواجه خواهد شد. شرکتی ممکن است از نیروی کار متنوع جغرافیایی استفاده کند تا تولید در صورت بروز مشکل در یک انبار ادامه یابد.
تکثیر
تکثیر شامل ایجاد یک برنامه پشتیبان است که اغلب با استفاده از فناوری انجام می‌شود. در صورت خرابی سرور اصلی، یک سرور پشتیبان به‌راحتی در دسترس است، زیرا خرابی سرور سیستم اطلاعاتی می‌تواند عملیات شرکت را متوقف کند.
تنوع‌بخشی
تنوع‌بخشی منابع کسب‌وکار را برای ایجاد چندین خط کسب‌وکار که محصولات یا خدمات متنوعی را در صنایع مختلف ارائه می‌دهند، تخصیص می‌دهد. زیان قابل‌توجه درآمدی از یک خط کسب‌وکار به خط اصلی شرکت آسیب جبران‌ناپذیری وارد نمی‌کند. به عنوان مثال، یک رستوران ممکن است علاوه بر سرو غذا، خط تولید سس‌های سالاد، ماریناد و سس‌ها را در فروشگاه‌های مواد غذایی عرضه کند.
مهم:
هیچ تکنیک کنترل ریسک واحدی نمی‌تواند به‌طور کامل شرکت را از آسیب‌های بالقوه محافظت کند. این تکنیک‌ها به درجات مختلف و به‌صورت ترکیبی با یکدیگر استفاده می‌شوند و با رشد شرکت، تغییرات اقتصادی و تغییر چشم‌انداز رقابتی تغییر می‌کنند.
استفاده از ماتریس ریسک و کنترل (RACM) برای مدیریت ریسک مؤثر
ماتریس ریسک و کنترل (RACM) ابزاری ارزشمند است که سازمان‌ها برای درک بهتر و بهینه‌سازی پروفایل ریسک خود استفاده می‌کنند. این یک رویکرد ساختاریافته است که به شرکت‌ها کمک می‌کند تا ریسک‌ها را شناسایی، ارزیابی و مدیریت کنند با ترسیم روابط بین ریسک‌های بالقوه و اقدامات کنترلی متناظر برای کاهش آن‌ها.
RACM به سازمان‌ها امکان می‌دهد تا اثربخشی استراتژی‌های کنترل ریسک خود را تجسم و ارزیابی کنند و تصمیمات مبتنی بر داده برای بهبود شیوه‌های مدیریت ریسک بگیرند. RACM معمولاً شامل اجزای زیر است:
- شناسایی ریسک: ماتریس تمام ریسک‌های بالقوه‌ای که سازمان ممکن است با آن مواجه شود را فهرست می‌کند، که اغلب بر اساس حوزه‌های کسب‌وکار، فرآیندها یا عملکردها دسته‌بندی می‌شوند.
- ارزیابی ریسک: هر ریسک شناسایی‌شده بر اساس احتمال وقوع و تأثیر بالقوه بر سازمان ارزیابی می‌شود. این ارزیابی به اولویت‌بندی ریسک‌ها و تمرکز منابع بر روی مهم‌ترین حوزه‌ها کمک می‌کند.
- اقدامات کنترلی: ماتریس اقدامات کنترلی خاصی را که برای کاهش یا کم کردن احتمال و تأثیر هر ریسک اجرا شده‌اند، مشخص می‌کند. این اقدامات می‌توانند شامل سیاست‌ها، رویه‌ها، سیستم‌ها یا سایر مکانیزم‌ها باشند.
- اثربخشی کنترل: RACM اثربخشی هر اقدام کنترلی را ارزیابی می‌کند، با در نظر گرفتن عواملی مانند سطح رعایت، کفایت طراحی کنترل و توانایی کنترل در تشخیص یا پیشگیری از تحقق ریسک.
- برنامه‌های عملی: ماتریس بر اساس ارزیابی اثربخشی کنترل ممکن است شامل برنامه‌های عملی برای بهبود اقدامات کنترل ریسک یا رسیدگی به شکاف‌های شناسایی‌شده در شیوه‌های مدیریت ریسک سازمان باشد.
با ایجاد و نگهداری یک RACM به‌روز، سازمان‌ها می‌توانند درک جامعی از چشم‌انداز ریسک خود و اثربخشی اقدامات کنترل ریسک خود به دست آورند. این اطلاعات می‌تواند تصمیم‌گیری استراتژیک را آگاه کند، تخصیص منابع را هدایت کند و بهبود مداوم در شیوه‌های مدیریت ریسک را پشتیبانی کند.
نمونه RACM
مثال یک RACM فرضی
| حوزه کسب‌وکار | توضیح ریسک | احتمال | تأثیر | رتبه‌بندی ریسک | اقدام کنترلی | اثربخشی کنترل | برنامه عملی |
|---|---|---|---|---|---|---|---|
| مالی | تراکنش‌های تقلبی | متوسط | بالا | بالا | اجرای کنترل‌های دسترسی قوی | مؤثر | بازبینی منظم کنترل‌های دسترسی |
| حسابرسی و تطبیق منظم | مؤثر | افزایش دفعات حسابرسی | |||||
| منابع انسانی | نقض داده‌های کارکنان | پایین | بالا | متوسط | ذخیره‌سازی امن و رمزنگاری داده‌ها | مؤثر | نظارت بر تهدیدات امنیتی جدید |
| آموزش کارکنان در مورد حریم خصوصی | تا حدی مؤثر | بهبود برنامه آموزشی | |||||
| عملیات | اختلال در زنجیره تأمین | بالا | بالا | بالا | تنوع‌بخشی به تأمین‌کنندگان و منابع | مؤثر | گسترش شبکه تأمین‌کنندگان |
| حفظ موجودی ایمنی | مؤثر | تنظیم سطوح موجودی ایمنی | |||||
| فناوری اطلاعات | حملات سایبری | بالا | بالا | بالا | به‌روزرسانی‌های امنیتی منظم و وصله‌ها | مؤثر | افزایش دفعات به‌روزرسانی‌ها |
| آموزش کارکنان در مورد امنیت سایبری | تا حدی مؤثر | بهبود محتوای آموزشی |
این نمونه RACM دسته‌بندی‌های مختلف ریسک مانند مالی، منابع انسانی، عملیات و فناوری اطلاعات را مشخص می‌کند. ریسک‌های خاص در هر دسته‌بندی، احتمال و تأثیر آن‌ها ارزیابی شده و به یک رتبه‌بندی کلی ریسک منجر می‌شود. اقدامات کنترلی سپس فهرست شده و اثربخشی آن‌ها ارزیابی می‌شود. برنامه‌های عملی برای بهبود اقدامات کنترل ریسک یا رسیدگی به شکاف‌های شناسایی‌شده در مدیریت ریسک پیشنهاد می‌شوند.
این تنها یک نمونه ساده است. یک RACM واقعی برای یک سازمان احتمالاً جزئیات بیشتری خواهد داشت و طیف گسترده‌تری از ریسک‌ها و کنترل‌ها را پوشش خواهد داد.
نمونه‌های کنترل ریسک
سومیتومو الکتریک و تاب‌آوری در برابر بلایا
سومیتومو الکتریک (SMTOY) در سال مالی ۲۰۰۸ برنامه‌های تداوم کسب‌وکار (BCPs) را به‌عنوان روشی برای اطمینان از ادامه فعالیت‌های اصلی کسب‌وکار در صورت وقوع بلایا توسعه داد. این BCPs در پاسخ به مسائل ناشی از زلزله بزرگ شرق ژاپن در مارس ۲۰۱۱ نقش داشتند. این زلزله خسارت عظیمی در مقیاسی بی‌سابقه ایجاد کرد که بسیار فراتر از خسارت‌های فرض‌شده در BCPs بود، بنابراین برخی از بخش‌های برنامه‌ها به اهداف خود نرسیدند. مدیران همچنان به ترویج تمرین‌ها و برنامه‌های آموزشی عملی بر اساس درس‌های آموخته‌شده از پاسخ شرکت به زلزله ادامه می‌دهند، اثربخشی برنامه‌ها را تأیید کرده و در صورت نیاز آن‌ها را بهبود می‌بخشند.
نشت نفت بریتیش پترولیوم
بریتیش پترولیوم (BP) پس از نشت نفت دیپ‌واتر هورایزن در سال ۲۰۱۰، یکی از بزرگ‌ترین فجایع زیست‌محیطی تاریخ، چندین اقدام کنترل ریسک را اجرا کرد. BP در سال ۲۰۱۵ تحت تسویه ۲۰٫۸ میلیارد دلاری با دولت ایالات متحده و پنج ایالت خلیج قرار گرفت. این شرکت از آن زمان رویکرد مدیریت ریسک خود را برای جلوگیری از حوادث مشابه در آینده تقویت کرده است. BP بر بهبود فرهنگ ایمنی خود تمرکز کرده است، از جمله برگزاری آموزش‌ها و تمرین‌های ایمنی منظم برای کارکنان، سرمایه‌گذاری در فناوری پیشرفته برای نظارت و کنترل بهتر عملیات حفاری، و اجرای استانداردهای ایمنی سختگیرانه در سراسر عملیات جهانی خود. این شرکت همچنین یک رویکرد سیستماتیک به ارزیابی و مدیریت ریسک اتخاذ کرده است که شامل شناسایی، ارزیابی و اولویت‌بندی ریسک‌ها و توسعه استراتژی‌های کنترلی متناسب برای کاهش تأثیرات بالقوه است. BP همچنین تلاش‌های خود را برای ترویج شفافیت و تعامل با ذی‌نفعان افزایش داده است. این شرکت اکنون گزارش پایداری سالانه‌ای منتشر می‌کند که اطلاعات دقیقی در مورد عملکرد ایمنی، زیست‌محیطی و اجتماعی خود و همچنین پیشرفت در اجرای اقدامات کنترل ریسک ارائه می‌دهد. این شفافیت به ذی‌نفعان امکان می‌دهد تا شرکت را مسئول اقداماتش بدانند و فرهنگی از بهبود مداوم در مدیریت ریسک را تقویت می‌کند.
زنجیره تأمین استارباکس
استارباکس (SBUX)، یکی از پیشروهای جهانی خرده‌فروشی قهوه، اقدامات کنترل ریسک مختلفی را برای مدیریت ریسک‌های زنجیره تأمین خود اجرا کرده است. این شرکت دانه‌های قهوه را از مناطق مختلف جهان تأمین می‌کند، که آن را در برابر نوسانات عرضه و اختلالات بالقوه ناشی از آب‌وهوا، بی‌ثباتی سیاسی یا سایر رویدادهای پیش‌بینی‌نشده آسیب‌پذیر می‌کند. استارباکس برای رسیدگی به این ریسک‌ها، یک استراتژی تأمین متنوع را اتخاذ کرده است که شامل تهیه دانه‌های قهوه از طیف گسترده‌ای از تأمین‌کنندگان در مناطق مختلف است. این رویکرد به شرکت کمک می‌کند تا وابستگی به هر تأمین‌کننده یا منطقه‌ای را کاهش دهد، تأمین مداوم مواد اولیه را تضمین کند و تأثیر اختلالات بالقوه را به حداقل برساند. استارباکس همچنین مجموعه‌ای جامع از استانداردهای زنجیره تأمین به نام شیوه‌های سهام قهوه و کشاورز (CAFE) ایجاد کرده است. این استانداردها جنبه‌های مختلفی از تولید قهوه، از جمله کیفیت، پایداری زیست‌محیطی و مسئولیت اجتماعی را پوشش می‌دهند. استارباکس با همکاری نزدیک با تأمین‌کنندگان خود و انجام حسابرسی‌های منظم می‌تواند رعایت این استانداردها را تضمین کند و خطر آسیب به شهرت و اختلالات بالقوه زنجیره تأمین را به حداقل برساند. استارباکس همچنین از نرم‌افزار مدیریت پیشرفته برای نظارت بر زنجیره تأمین جهانی خود در زمان واقعی استفاده می‌کند، که به شرکت امکان می‌دهد تا ریسک‌های بالقوه را زود شناسایی کرده و اقدامات مناسب برای کاهش آن‌ها انجام دهد. این رویکرد پیش‌فعال به استارباکس کمک کرده است تا شهرت خود را برای قهوه با کیفیت بالا حفظ کند و یک زنجیره تأمین مقاوم و پایدار ایجاد کند که از رشد مداوم آن پشتیبانی می‌کند.
راه‌های شناسایی ریسک‌های نوظهور
شناسایی ریسک‌های نوظهور می‌تواند چالش‌برانگیز باشد زیرا اغلب شامل موقعیت‌های جدید یا به‌سرعت در حال تغییر است. شرکت‌ها می‌توانند از استراتژی‌های مختلفی برای تشخیص و نظارت بر این ریسک‌ها استفاده کنند، مانند:
- به‌روز ماندن با روندهای صنعت، اخبار و تحقیقات برای شناسایی ریسک‌های بالقوه در افق.
- مشارکت در برنامه‌ریزی سناریو برای در نظر گرفتن تحولات احتمالی آینده و پیامدهای آن‌ها برای سازمان.
- استفاده از تحلیل‌های داده‌های بزرگ و ابزارهای هوش مصنوعی برای تحلیل مجموعه‌های داده بزرگ و شناسایی الگوها یا روندهایی که ممکن است نشان‌دهنده ریسک‌های نوظهور باشند.
- تشویق به فرهنگی از ارتباطات باز و همکاری که به کارکنان امکان می‌دهد بینش‌ها و نگرانی‌های خود در مورد ریسک‌های بالقوه را به اشتراک بگذارند.
- ایجاد یک تیم مدیریت ریسک اختصاصی که مسئول نظارت و پاسخ به ریسک‌های نوظهور باشد.
کنترل ریسک چگونه با مدیریت ریسک متفاوت است؟
مدیریت ریسک فرآیند کلی شناسایی، ارزیابی و اولویت‌بندی ریسک‌های یک سازمان است. کنترل ریسک به‌طور خاص بر اجرای استراتژی‌هایی برای کاهش یا حذف ریسک‌های شناسایی‌شده تمرکز دارد. مدیریت ریسک معمولاً شامل توسعه یک برنامه مدیریت ریسک کلی است، در حالی که کنترل ریسک به تکنیک‌ها و تاکتیک‌های استفاده‌شده برای به حداقل رساندن زیان‌های بالقوه و حفاظت از سازمان می‌پردازد.
آیا یک شرکت می‌تواند تمام ریسک‌های خود را از طریق کنترل ریسک حذف کند؟
کنترل ریسک با هدف به حداقل رساندن و مدیریت ریسک‌هاست، اما نمی‌تواند آن‌ها را به‌طور کامل حذف کند. برخی ریسک‌ها در محیط کسب‌وکار یا ماهیت صنعت ذاتی هستند، در حالی که برخی دیگر ممکن است از شرایط پیش‌بینی‌نشده ناشی شوند. هدف کنترل ریسک کاهش احتمال و تأثیر بالقوه ریسک‌ها بر سازمان است، که به ایجاد تاب‌آوری و حفظ ثبات در برابر عدم قطعیت کمک می‌کند.
کنترل ریسک چگونه با مسئولیت اجتماعی شرکتی ارتباط دارد؟
کنترل ریسک و مسئولیت اجتماعی شرکتی (CSR) از چند جهت به هم مرتبط‌اند. با اجرای اقدامات کنترل ریسک، شرکت‌ها می‌توانند آسیب‌های بالقوه به ذی‌نفعان، کارکنان، مشتریان و محیط‌زیست را به حداقل برسانند. این رویکرد پیش‌فعال با اصول CSR هم‌راستاست که بر اهمیت شیوه‌های کسب‌وکار اخلاقی و پایدار تأکید دارد. کنترل ریسک مؤثر همچنین می‌تواند به حفاظت از شهرت شرکت و حفظ اعتماد عمومی کمک کند، که جنبه‌های مهمی از CSR هستند. این یک جزء ضروری از یک استراتژی جامع CSR است زیرا به شرکت‌ها کمک می‌کند تا تعهدات اجتماعی، زیست‌محیطی و اخلاقی خود را برآورده کنند و در عین حال موفقیت و پایداری بلندمدت را تضمین کنند.
نتیجه‌گیری
کنترل ریسک یک جزء حیاتی از مدیریت کسب‌وکار مدرن است که به شرکت‌ها امکان می‌دهد تا خطرات و تهدیدات بالقوه برای عملیات و اهداف خود را شناسایی، ارزیابی و کاهش دهند. با اجرای ترکیبی از تکنیک‌های کنترل ریسک مانند اجتناب، پیشگیری از زیان، کاهش زیان، جداسازی، تکثیر و تنوع‌بخشی، کسب‌وکارها می‌توانند قرارگیری خود در معرض ریسک‌ها را به حداقل برسانند و تاب‌آوری خود را تقویت کنند.
نمونه‌های واقعی مانند اقدامات ایمنی پس از دیپ‌واتر هورایزن بریتیش پترولیوم و استراتژی‌های مدیریت زنجیره تأمین استارباکس اهمیت و اثربخشی اقدامات کنترل ریسک قوی را نشان می‌دهند. با ادامه تکامل محیط کسب‌وکار، شرکت‌ها باید در تلاش‌های کنترل ریسک خود هوشیار و تطبیق‌پذیر باقی بمانند تا موفقیت و پایداری بلندمدت را تضمین کنند.
نظرات کاربران