إدارة مخاطر المؤسسة

في عام ٢٠٠٣، عرّفت جمعية الخبراء الاكتواريين في مجال التأمين على الحوادث (CAS) إدارة المخاطر المؤسسية (ERM) بأنها المنهج الذي تتبعه أي مؤسسة في أي قطاع لتقييم المخاطر من جميع المصادر والتحكم فيها واستغلالها وتمويلها ومراقبتها بهدف زيادة قيمة المؤسسة لأصحاب المصلحة على المديين القصير والطويل. ^{[ ١ ]} وقد صاغت جمعية الخبراء الاكتواريين في مجال التأمين على الحوادث مفهوم إدارة المخاطر المؤسسية على أنه عملية تمتد عبر بُعدين: نوع المخاطر وعمليات إدارة المخاطر. ^{[ ١ ]} وتشمل أنواع المخاطر وأمثلة عليها ما يلي: ^{[ ٢ ]}

مخاطر

المسؤولية التقصيرية، أضرار الممتلكات، الكوارث الطبيعية

المخاطر المالية

مخاطر التسعير، مخاطر الأصول، مخاطر العملة، مخاطر السيولة

المخاطر التشغيلية

رضا العملاء، فشل المنتج، النزاهة، مخاطر السمعة؛ استقطاب الموظفين من داخل المؤسسة؛ استنزاف المعرفة

المخاطر الاستراتيجية

المنافسة، والاتجاهات الاجتماعية، وتوافر رأس المال

تتضمن عملية إدارة المخاطر ما يلي: ^{[ 3 ]}

1. تحديد السياق: يشمل ذلك فهم الظروف الحالية التي تعمل فيها المنظمة في سياق داخلي وخارجي وفي سياق إدارة المخاطر.
2. تحديد المخاطر: يشمل ذلك توثيق التهديدات المادية التي تواجه المنظمة في تحقيق أهدافها، وتمثيل المجالات التي يمكن للمنظمة استغلالها لتحقيق ميزة تنافسية.
3. تحليل/تحديد المخاطر كمياً: يشمل ذلك معايرة، وإذا أمكن، إنشاء توزيعات احتمالية للنتائج لكل خطر مادي.
4. دمج المخاطر: يشمل ذلك تجميع جميع توزيعات المخاطر، مما يعكس الارتباطات وتأثيرات المحفظة، وصياغة النتائج من حيث تأثيرها على مؤشرات الأداء الرئيسية للمنظمة.
5. تقييم/تحديد أولويات المخاطر: يشمل ذلك تحديد مساهمة كل خطر في ملف المخاطر الإجمالي، وتحديد الأولويات المناسبة.
6. معالجة/استغلال المخاطر: يشمل ذلك وضع استراتيجيات للسيطرة على المخاطر المختلفة واستغلالها.
7. المراقبة والمراجعة: يشمل ذلك القياس والمراقبة المستمرة لبيئة المخاطر وأداء استراتيجيات إدارة المخاطر.

يُعرّف إطار إدارة مخاطر المؤسسات المتكامل التابع للجنة المنظمات الراعية (COSO ) والمنشور في عام 2004 (لم يُذكر الإصدار الجديد COSO ERM 2017، وإصدار 2004 قديم) إدارة مخاطر المؤسسات بأنها "...عملية، تُنفذها هيئة إدارة الكيان وإدارته وموظفوه الآخرون، وتُطبق في وضع الاستراتيجيات وعبر المؤسسة، وهي مصممة لتحديد الأحداث المحتملة التي قد تؤثر على الكيان، وإدارة المخاطر لتكون ضمن نطاق تقبله للمخاطر ، وذلك لتوفير ضمان معقول بشأن تحقيق أهداف الكيان." ^{[ 4 ]}

يتألف إطار إدارة المخاطر المؤسسية (ECRM) التابع للجنة المنظمات الراعية للأمن (COSO) من ثمانية مكونات وأربع فئات للأهداف. وهو امتداد لإطار الرقابة الداخلية المتكامل التابع للجنة المنظمات الراعية للأمن (COSO) الذي نُشر عام 1992 وعُدّل عام 1994. المكونات الثمانية هي:

• البيئة الداخلية
• تحديد الأهداف
• تحديد الحدث
• تقييم المخاطر
• الاستجابة للمخاطر
• أنشطة الرقابة
• المعلومات والاتصالات
• يراقب

فئات الأهداف الأربعة - المكونات الإضافية المميزة - هي:

• الاستراتيجية - أهداف رفيعة المستوى، تتماشى مع رسالة المنظمة وتدعمها
• العمليات - الاستخدام الفعال والكفء للموارد
• التقارير المالية - موثوقية التقارير التشغيلية والمالية
• الامتثال - الامتثال للقوانين واللوائح المعمول بها

ISO 31000 هو معيار دولي نشرته المنظمة الدولية للمعايير (ISO) في عام 2009، ويوصف بأنه "المعيار الذهبي"، ^{[ 5 ]} وتم تنقيحه في عام 2018 وتأكيده في عام 2023، وهو يوفر المبادئ والتوجيهات لإدارة المخاطر الفعالة في جميع القطاعات.

يتمثل هدفها الأساسي في خلق القيمة وحمايتها، وهو أمر ينطبق على أي منظمة بغض النظر عن حجمها أو مجال عملها.

يدعم هذا المعيار ما يلي:

• ISO/IEC 31010 (تقنيات تقييم المخاطر)، التي تقدم أدوات عملية لتقييم المخاطر.

• دليل ISO 73 (مفردات المخاطر)، مما يضمن الاتساق في المصطلحات.

وضع معيار ISO 31000 الأساس لإدارة مخاطر المؤسسات ، موضحاً أن الغرض من إدارة المخاطر هو خلق القيمة وحمايتها . فهو يحسن الأداء، ويشجع الابتكار، ويدعم تحقيق الأهداف واتخاذ القرارات الاستراتيجية.

يقترح هيكلاً ثلاثي الركائز يتكون من مجموعة من المبادئ، وإطار عمل، وعملية.

تُقدّم هذه المبادئ إرشاداتٍ حول خصائص إدارة المخاطر الفعّالة والكفؤة، وتُبيّن قيمتها، وتشرح غايتها وهدفها. تُشكّل هذه المبادئ أساس إدارة المخاطر، وينبغي مراعاتها عند وضع إطار عمل إدارة المخاطر وعملياتها في المؤسسة. كما تُمكّن هذه المبادئ المؤسسة من إدارة آثار عدم اليقين على أهدافها. ^{[ 6 ]}

تُدير المؤسسات بطبيعتها المخاطر، ولديها العديد من الإدارات أو الوظائف القائمة ("وظائف إدارة المخاطر") التي تُحدد وتُدير مخاطر مُحددة. ومع ذلك، تختلف كل وظيفة من وظائف إدارة المخاطر في قدراتها وكيفية تنسيقها مع وظائف إدارة المخاطر الأخرى. يتمثل أحد الأهداف والتحديات الرئيسية لإدارة المخاطر المؤسسية في تحسين هذه القدرات والتنسيق، مع دمج المخرجات لتوفير صورة موحدة للمخاطر لأصحاب المصلحة، وتحسين قدرة المؤسسة على إدارة المخاطر بفعالية.

تشمل وظائف إدارة المخاطر الأساسية في الشركات الكبيرة التي قد تشارك في برنامج إدارة المخاطر المؤسسية عادةً ما يلي:

• التخطيط الاستراتيجي - يحدد التهديدات الخارجية والفرص التنافسية، بالإضافة إلى المبادرات الاستراتيجية اللازمة لمواجهتها
• التسويق - فهم العميل المستهدف لضمان توافق المنتج/الخدمة مع متطلبات العميل
• الامتثال والأخلاقيات - يراقب الامتثال لقواعد السلوك ويوجه تحقيقات الاحتيال.
• المحاسبة / الامتثال المالي - يوجه تقييم القسمين 302 و404 من قانون ساربينز-أوكسلي، والذي يحدد مخاطر إعداد التقارير المالية
• القسم القانوني - يدير الدعاوى القضائية ويحلل الاتجاهات القانونية الناشئة التي قد تؤثر على المنظمة
• التأمين - يضمن التغطية التأمينية المناسبة للمنظمة
• الخزانة - تضمن كفاية السيولة النقدية لتلبية احتياجات العمل، مع إدارة المخاطر المتعلقة بأسعار السلع أو أسعار صرف العملات الأجنبية
• ضمان الجودة التشغيلية - يتحقق من أن الناتج التشغيلي ضمن الحدود المسموح بها
• إدارة العمليات - تضمن سير العمل اليومي بسلاسة، وتحديد العقبات ذات الصلة لإيجاد حلول لها.
• الائتمان - يضمن أن يكون أي ائتمان يُمنح للعملاء مناسبًا لقدرتهم على الدفع
• خدمة العملاء - تضمن معالجة شكاوى العملاء على الفور وإبلاغ قسم العمليات بالأسباب الجذرية لحلها
• التدقيق الداخلي - يقيم فعالية كل وظيفة من وظائف إدارة المخاطر المذكورة أعلاه ويوصي بالتحسينات
• الأمن المؤسسي - يحدد ويقيّم ويخفف المخاطر التي تشكلها التهديدات الأمنية المادية والمعلوماتية

تقدم العديد من الشركات الاستشارية اقتراحات حول كيفية تطبيق برنامج إدارة المخاطر المؤسسية. ^{[ 7 ]} تشمل المواضيع والتحديات الشائعة ما يلي: ^{[ 8 ]}

• تحديد الرعاة التنفيذيين لإدارة المخاطر المؤسسية.
• وضع لغة أو مسرد مشترك للمخاطر.
• وصف مدى تقبل الكيان للمخاطر (أي المخاطر التي سيتحملها والتي لن يتحملها)
• تحديد ووصف المخاطر في "قائمة المخاطر".
• تطبيق منهجية تصنيف المخاطر لتحديد أولويات المخاطر داخل الوظائف وفيما بينها.
• إنشاء لجنة للمخاطر و/أو مسؤول رئيسي للمخاطر (CRO) لتنسيق أنشطة معينة لوظائف إدارة المخاطر.
• تحديد المسؤولية عن المخاطر والاستجابات المحددة.
• توضيح جدوى وتكلفة جهود إدارة المخاطر.
• وضع خطط عمل لضمان إدارة المخاطر بشكل مناسب.
• إعداد تقارير موحدة لمختلف الجهات المعنية.
• مراقبة نتائج الإجراءات المتخذة للتخفيف من المخاطر.
• ضمان تغطية فعالة للمخاطر من قبل المدققين الداخليين وفرق الاستشارات والجهات التقييمية الأخرى.
• تطوير إطار عمل تقني لإدارة المخاطر المؤسسية يُمكّن من المشاركة الآمنة من قبل أطراف ثالثة وموظفين عن بُعد.

إلى جانب تدقيق تكنولوجيا المعلومات، يضطلع المدققون الداخليون بدورٍ هام في تقييم عمليات إدارة المخاطر في المؤسسة والدعوة إلى تحسينها المستمر. ومع ذلك، وللحفاظ على استقلالية المؤسسة وموضوعية أحكامها، تنص المعايير المهنية للتدقيق الداخلي على أنه لا ينبغي لهذه الوظيفة أن تتحمل أي مسؤولية مباشرة عن اتخاذ قرارات إدارة المخاطر للمؤسسة أو إدارة وظيفة إدارة المخاطر. ^{[ 9 ]}

يُجري المدققون الداخليون عادةً تقييمًا سنويًا للمخاطر في المؤسسة، لوضع خطة لمهام التدقيق للعام المقبل. ويتم تحديث هذه الخطة بشكل دوري. ويتضمن ذلك عادةً مراجعة تقييمات المخاطر المختلفة التي أجرتها المؤسسة (مثل الخطط الاستراتيجية، والمقارنة المعيارية التنافسية، وتقييم المخاطر من أعلى إلى أسفل وفقًا للمادة 404 من قانون ساربينز-أوكسلي )، والنظر في عمليات التدقيق السابقة، وإجراء مقابلات مع مجموعة متنوعة من الإدارة العليا. وتهدف هذه الخطة إلى تحديد مشاريع التدقيق، وليس إلى تحديد المخاطر وترتيب أولوياتها وإدارتها بشكل مباشر في المؤسسة.

نصّت المادة 404 من قانون ساربينز-أوكسلي لعام 2002 على إلزام الشركات الأمريكية المدرجة في البورصة باستخدام إطار عمل للرقابة في تقييماتها للرقابة الداخلية. وقد اختارت العديد منها إطار عمل COSO للرقابة الداخلية ، الذي يتضمن عنصر تقييم المخاطر. إضافةً إلى ذلك، فرضت توجيهات جديدة صادرة عن هيئة الأوراق المالية والبورصات الأمريكية (SEC) ومجلس مراقبة محاسبة الشركات العامة في عام 2007 مزيدًا من التدقيق على تقييم المخاطر من أعلى إلى أسفل، وتضمنت شرطًا محددًا لإجراء تقييم لمخاطر الاحتيال . ^{[ 10 ]} وتشمل تقييمات مخاطر الاحتيال عادةً تحديد سيناريوهات الاحتيال المحتمل (أو الذي حدث بالفعل)، ومدى تعرض المنظمة له، والضوابط ذات الصلة، وأي إجراءات تم اتخاذها نتيجةً لذلك.

يشترط سوق نيويورك للأوراق المالية على لجان التدقيق في الشركات المدرجة لديه "مناقشة السياسات المتعلقة بتقييم المخاطر وإدارتها ". ويتابع التعليق ذو الصلة: "بينما تقع مسؤولية تقييم وإدارة تعرض الشركة للمخاطر على عاتق الرئيس التنفيذي والإدارة العليا، يجب على لجنة التدقيق مناقشة المبادئ التوجيهية والسياسات التي تحكم عملية معالجة هذه المخاطر. وينبغي للجنة التدقيق مناقشة أبرز المخاطر المالية التي تواجهها الشركة والخطوات التي اتخذتها الإدارة لرصد هذه المخاطر والسيطرة عليها. ولا يُشترط أن تكون لجنة التدقيق هي الجهة الوحيدة المسؤولة عن تقييم المخاطر وإدارتها، ولكن كما ذُكر أعلاه، يجب على اللجنة مناقشة المبادئ التوجيهية والسياسات التي تحكم عملية تقييم المخاطر وإدارتها. وتدير العديد من الشركات، ولا سيما الشركات المالية، مخاطرها وتقيّمها من خلال آليات أخرى غير لجنة التدقيق. وينبغي للجنة التدقيق مراجعة العمليات المطبقة في هذه الشركات بشكل عام، ولكن ليس من الضروري أن تحل محلها." ^{[ 11 ]}

تعتزم وكالة ستاندرد آند بورز (S&P)، المتخصصة في تصنيف الديون، إدراج سلسلة من الأسئلة حول إدارة المخاطر ضمن عملية تقييم الشركات. وسيبدأ تطبيق هذا الإجراء على الشركات المالية في عام 2007. ^{[ 12 ]} وتُعد نتائج هذا الاستبيان أحد العوامل العديدة التي تُؤخذ في الاعتبار عند تصنيف الديون، مما يؤثر بدوره على أسعار الفائدة التي يفرضها المقرضون على الشركات مقابل القروض أو السندات. ^{[ 13 ]} وفي 7 مايو/أيار 2008، أعلنت ستاندرد آند بورز أيضًا أنها ستبدأ بإدراج تقييم إدارة المخاطر المؤسسية في تصنيفاتها للشركات غير المالية ابتداءً من عام 2009، ^{[ 14 ]} مع تقديم تعليقات أولية في تقاريرها خلال الربع الأخير من عام 2008. ^{[ 15 ]}

تركز معايير الأداء الصادرة عن مؤسسة التمويل الدولية ^{[ 16 ]} على إدارة المخاطر والآثار المتعلقة بالصحة والسلامة والبيئة والمجتمع. وقد نُشرت الطبعة الثالثة في 1 يناير 2012 بعد عملية تفاوض استمرت عامين مع القطاع الخاص والحكومات ومنظمات المجتمع المدني. وقد اعتمدتها بنوك مبادئ خط الاستواء ، وهي اتحاد يضم أكثر من 118 بنكًا تجاريًا في 37 دولة.

تنصّ قواعد حماية البيانات، مثل اللائحة العامة لحماية البيانات في الاتحاد الأوروبي ، بشكل متزايد على عقوبات رادعة في حال الإخفاق في توفير الحماية الكافية للبيانات الشخصية للأفراد، كالأسماء وعناوين البريد الإلكتروني والمعلومات المالية الشخصية، أو في تنبيه الأفراد المتضررين عند انتهاك خصوصية بياناتهم. وتُلزم لائحة الاتحاد الأوروبي أي منظمة - بما فيها المنظمات الموجودة خارج الاتحاد الأوروبي - بتعيين مسؤول حماية بيانات يتبع مباشرةً لأعلى مستوى إداري ^{[ 17 ]} إذا كانت تتعامل مع البيانات الشخصية لأي شخص مقيم في الاتحاد الأوروبي.

في عام 2003، أصدرت لجنة إدارة مخاطر المؤسسات التابعة لجمعية الخبراء الاكتواريين في مجال التأمين على المسؤولية المدنية (CAS) عرضًا عامًا لإدارة مخاطر المؤسسات. ^{[ 18 ]} وقد أوضحت هذه الورقة تطور إدارة مخاطر المؤسسات، وأسسها المنطقية، وتعريفاتها، وأطرها من منظور الخبراء الاكتواريين في مجال التأمين على المسؤولية المدنية، كما تضمنت أيضًا مصطلحات، وأسسًا مفاهيمية وتقنية، وممارسات وتطبيقات عملية، ودراسات حالة. ^{[ 18 ]}

لدى جمعية خبراء التأمين المعتمدين (CAS) أهداف محددة معلنة لإدارة المخاطر المؤسسية، بما في ذلك أن تكون "موردًا رائدًا دوليًا للمواد التعليمية المتعلقة بإدارة المخاطر المؤسسية في مجال تأمين الممتلكات والمسؤولية المدنية" ^{[ 19 ]} ، وقد رعت الجمعية البحث والتطوير والتدريب لخبراء التأمين في هذا المجال. ^{[ 20 ]} وقد امتنعت الجمعية عن إصدار شهادة اعتماد خاصة بها؛ وبدلًا من ذلك، قرر مجلس إدارتها في عام 2007 أن تشارك الجمعية في مبادرة تطوير شهادة عالمية لإدارة المخاطر المؤسسية، على أن تتخذ قرارًا نهائيًا في وقت لاحق. ^{[ 21 ]}

في عام ٢٠٠٧، استحدثت جمعية الخبراء الاكتواريين شهادة محلل مخاطر المؤسسات المعتمد (CERA) استجابةً لنمو مجال إدارة مخاطر المؤسسات. ^{[ ٢٢ ]} وتُعدّ هذه أول شهادة مهنية جديدة تُصدرها الجمعية منذ عام ١٩٤٩. ^{[ ٢٣ ]} يركز محلل مخاطر المؤسسات المعتمد (CERA) على دراسة كيفية تأثير المخاطر المختلفة، بما في ذلك المخاطر التشغيلية والاستثمارية والاستراتيجية والمتعلقة بالسمعة، على المؤسسات. ويعمل هؤلاء المحللون في مجالات تتجاوز التأمين وإعادة التأمين والاستشارات، لتشمل قطاعات أوسع كالخدمات المالية والطاقة والنقل والإعلام والتكنولوجيا والتصنيع والرعاية الصحية. ^{[ ٢٣ ]}

يستغرق إكمال برنامج شهادة CERA ما يقارب ثلاث إلى أربع سنوات، وهو يجمع بين أساسيات العلوم الاكتوارية، ومبادئ إدارة المخاطر المؤسسية، ودورة تدريبية حول الاحترافية. وللحصول على شهادة CERA، يجب على المرشحين اجتياز خمسة اختبارات، واستيفاء متطلبات الخبرة التعليمية، وإكمال دورة تدريبية واحدة عبر الإنترنت، وحضور دورة تدريبية واحدة حضورية حول الاحترافية. ^{[ 23 ]}

في البداية، كان جميع الحاصلين على شهادة CERA أعضاء في جمعية الاكتواريين ^{[ 24 ]} ولكن في عام 2009 أصبحت شهادة CERA شهادة مهنية متخصصة عالمية، يتم منحها وتنظيمها من قبل العديد من الهيئات الاكتوارية؛ ^{[ 25 ]} على سبيل المثال ، شهادة الاكتواري المعتمد لإدارة مخاطر المؤسسات من معهد وجمعية الاكتواريين .