توی قسمت سوم از مدیریت ریسک با عنوان فرایند مدیریت ریسک، که شامل تعیین دامنه و اهداف و بافت، ارزیابی ریسک و در نهایت درمان ریسک است. شما با گوش کردن به این اپیزود قادر خواهید بود فرایند مدیریت ریسک را بصورت کامل در محیط کار خودتان پیاده سازی کنید.

۱- مقدمه
ارزیابی ریسک شامل سه تا بخش میشه، شناسایی ریسک، تحلیل ریسک و ارزشیابی ریسک. توی شناسایی ریسک تمام ریسک های که سازمان داره ثبت میشن، توی تحلیل سعی میکنیم علل بوجود اومدن ریسک ها رو بنویسیم، پیامدهاشون رو تعیین کنیم و اگر هم کنترلی دارن مشخص کنیم. توی گام بعدی هم میایم میزان ریسکی که آنالیز شده رو با معیارهای پذیرش ریسکمون مقایسه میکنیم.
در نهایت هم یک فرایند تکرار شونده داریم تحت عنوان درمان ریسک. که مدام بررسی میکنه تا ببینه کاری که ما نیاز داریم به درستی انجام شده یا نه .

​​​​​​​۲- زمینه سازی و مقدمه سازی برای ریسک
اما توی زمینه سازی چه کارایی باید بکنیم، اول بگم که اسمش توی این استاندارد جدید زمینه سازی نیست، اومده بجاش از سه تا کلمه استفاده کرده، اسکوپ، کانتکست و کرایتریا – یعنی همون دامنه، بافت و معیار.
در واقع ما توی این بخش باید تعیین کنیم که اصلا واسه چی میخوایم ارزیابی ریسک انجام بدیم ، یا اینکه هدفمون از ارزیابی ریسک چیه، بعد مشخص میکنیم دامنه ی ارزیابی ریسکمون چیه و کجا و چی رو قراره ارزیابی کنیم، بعد میایم مشخص میکنیم بافت سازمانمون چجوریه، که حالا راجع بهش حرف میزنیم و در نهایت مشخص کنیم که قراره به چی بگیم   های ریسک، به چی بگیم مدیوم ریسک و به چی میگیم ریسک پایین .

خب، دقیقا باید چیارو مشخص کنیم توی این بخش ؟
اول باید تصمیم بگیریم ببینیم هدف از ارزیابی ریسک چیه و میخوایم باهاش چه تصمیماتی بگیریم و نتایجی که مد نظرمونه اصلا چیا هستن . اهداف چیا میتونن باشن ؟ باید از خودمون سوال کنیم اصلا چرا میخوایم ارزیابی ریسک انجام بدیم ؟ واسه گرفتن گواهینامه ی ایزوعه ۹۰۰۰ عه ؟ واسه گواهینامه ۴۵ هزاره ؟ وزارت کار الزاممون کرده ؟ خودمون میخوایم ریسکامون رو شناسایی کنیم ؟ الزام بالا دستی داریم براش ؟ میخوایم جانمایی تجهیزات یا تسهیلات داشته باشیم ؟ میخوایم یه شرکت یا سازمانو بیمه کنیم ؟ میخوایم ببینیم اون شرکت شریک خوبی هست برای کار کردن ؟ یا هزار تا هدف دیگه که باید از قبل خیلی شفاف بیان بشن . یا حتی جزئی تر هدفمون رو مشخص کنیم. میخوایم ریسک مشاغلو در بیاریم، میخوایم ریسک تجهیزات و ماشین آلاتمون رو مشخص کنیم، میخوایم یه خطر خاص مثل حریق رو واکاوی کنیم، میخوایم ریسکای اسکلتی عضلانی رو شناسایی کنیم . یا اصاً ریسکای فرایندی رو توی برنامه داریم یا ریسکای ایمنی و بهداشتی
بعد بیایم مشخصات زمانی، مکانی و ویژگی های خاص و جاهایی که قراره روش کار بشه رو مشخص کنیم. مثلا تعیین کنیم چه زمانی میخوایم کار رو انجام بدیم و کجاهارو قراره ارزیابی کنیم . مثلا اینکه آیا قراره همه ی فعالیت ها رو ارزیابی کنیم ؟ یا قراره همه مشاغلو ارزیابی کنیم یا فقط مشاغل خاصی رو قراره روشون کار کنیم . ایا پیمانکارا یا بهره بردارا رو هم توی برنامه مون داریم یا نه . به پروژه ها میخوایم ورود کنیم یا نه و اینجور مسائل
توی گام بعد ابزارها و تکنیک های کاربردی رو مشخص کنیم – که توی هر بخش با توجه به استاندارد ۳۱۰۱۰ راجع بهش حرف میزنیم . خب طبیعتا هدف و دامنه ی کاربرد ماست که تکنیک هامون رو مشخص میکنه. مثلا اگه میخوای بری ریسک های ایمنی رو توی صنایع فرایندی شناسایی کنی، باید بری سراغ هزوپ، یا تکنیک هایی که خاص همین کار طراحی شدن .
بعدم اینکه منابع مورد نیاز، مسئولیت ها و مستندات و سوابقی که باید نگهداری بشن رو مشخص میکنی- منابع خیلی مهمه – مثلا اینکه قراره واسه یه پروژه ی مدیریت ریسک چقدر پول خرج بشه خیلی تاثیر داره توی کیفیت و کمیت کار – یا اینکه چقدر قراره براش زمان بزارید یا اصلا چقدر وقت دارید خیلی مهمه .
مرحله ی آخر از ین بخش هم تعیین ارتباطات با سایر پروژه ها، فرایندها و فعالیت ها ست .
در بند ۶-۳-۳ همان موضوع بافت داخلی و خارجی سازمانو مطرح کرده و گفته که حتما حواستون باشه تا بحث مدیریت ریسک رو با توجه به بافتی که شناسایی کردید انجام بدید . ما توی تعیین بافت سازمان به مسائل مختلف داخلی و خارجی اشاره میکنیم و با توجه به فضای خارجی حاکم بر سازمان و وضعیت داخلی سازمان میایم فرایند ارزیابی و مدیریت ریسکمون رو طراحی میکنیم . دقیقا این بافته سازمانه که تعیین میکنه ما کجاها باید کار کنیم و روی چه المان هایی بیشتر تمرکز کنیم. اینجا استاندارد الزام میکنه که سازمان باید حتما بافت داخلی و خارجی خودش رو که به موضوعات مدیریت ریسک مرتبط هستن رو ایجاد کنه و توشون به اون مواردی که توی اپیزودای قبلی در خصوص بافت سازمان مطرح کردیم توجه داشته باشه. حتما برای مرورشون به اپیزود یک و دوی میدریت ریسک مراجعه کنید.
بند بعدی یعنی بند ۶-۳-۴ در مورد یه موضوع مهم یعنی معیارهای ریسک صحبت میکنه. خب ما خیلی مفصل توی اپیزود مدیریت عملکرد در خصوص معیارها و معیارهای پذیرش حرف زدیم . در واقع توی ریسک هم این موضوع برقراره. یعنی اگه ریسک رو بگیریم یه شاخص برای تصمیم گیری، باید معیارهایی رو تعیین کنیم برای حد بالا و پایین و متوسطش . یعنی بگیم چه ریسکی بالاعه چه ریسکی پایینه چه ریسکی متوسط . در واقع این قسمت از اون قسمتاست که توی خیلی از شرکت سازمانا بهش توجهی نمیشه و یا صلیغه ای این معیارا انتخاب میشن یا اینکه از یه مدل یا الگویی برداشته میشن . البته که باید توجهم داشته باشیم که اگه یه مجموعه یا ارگان بالادستی داشته باشیم، بهتره از معیارای اونا حتما الگو بگیریم و زیادم با معیارای پذیرش اونا فاصله نداشته باشیم.

موضوع دیگه اینه که این معیارها باید داینامیک باشن و هر جا لازم بود سریعا اصلاح بشن . کلا این خط و خطوط قرار نیست ثابت باشه و اگر ایرادی هرجاش شناسایی بشه باید ساز و کاری وجود داشته باشه که سریعا به روز بشه .بطور خلاصه برای تنظیم معیارهای پذیرش ریسک توجه به این نکات ضروریه ( برای تعیین معیارها از عبارت ست یعنی تنظیم استفاده میکنه، که به نوع خودش جالبه، یعنی شما تعیینشون نمیکنی واسه همیشه، مدام داری ست میکنیشون) –
 
۳- شناسایی ریسک
هدف شناسایی ریسک،  یافتن، تشخیص و تشریح ریسکایی هست که میتونن جلوی دست یابی به اهداف رو بگیرن یا اینکه به ما توی رسیدن به اهدافمون کمک کنن ، که منظورش همون فرصتاست .
اطلاعاتی که توی این مرحله استفاده میشن دیگه باید اون مشخصاتی که قبلا گفتیم رو داشته باشن ، مرتبط به روز و معتبر
طیف متنوعی از تکنیکا رو میشه استفاده کرد. ولی باید توی این انتخابامون به یه سری پارامترا توجه کرد. مثلا:
اینکه منبع ریسک ما ملموسه یا نا ملموسه ( یعنی اینکه معلومه منبع ریسکمون چیه یا نیست)
علل و و ایونت هایی که میتونن وجود داشته باشن
تهدیدا و فرصتایی که وجود دارن
سطوح آسیب پذیر و ظرفیت های سازمان
شاخصای پدیدار شدن ریسک
ماهیت و ارزش سرمایه ها و منابع سازمان
پیامدها و اثرشون روی اهداف
محدودیت های دانشی سازمان و البته داده های غیر قابل اطمینان و قابل اطمینان
فاکتورهای مرتبط با زمان
خطاها، مفروضات ذهنی و اعتقادات ذهنیه اونایی که درگیر فرایند ارزیابی ریسکن
مرحله ی بعد ریسک آنالیزه –
 
۴- آنالیز ریسک
هدف آنالیز ریسک، درک ماهیت ریسک و ویژگی هاشه که میتونن به ما توی تعیین سطح ریسک  کمک کنن. در واقع توی آنالیز ریسک ما میایم تمرکز میکنیم روی عدم قطعیت ها، منابع ریسک،  پیامدها، احتمالات، وقایع، سناریوها، کنترل ها و اثربخشی شون. یه واقعه میتونه چندین و چند علت و پیامد داشته باشه که در واقع اینجا به همین چیزا میپردازیم .
تکنیک آنالیز ریسکی که استفاده میکنیم میتونه کیفی باشه یا کمی، یا ترکیبی از این دوتا . که با توجه به فرایندی که داریم و اهدافمون باید تعیینش کنیم . قبل اینکه توضیحشو ادامه بدم یه نکته ای رو بگم . ما اصولا از سه جور تکنیک اسم میبریم توی آنالیز ریسک  . کیفی، نیمه کمی و کمی .تکنیک های کیفی اون دسته از تکنیکا هستن که خروجیشون کیفیه، یعنی ما از اعداد و ارقام استفاده نمیکنیم زیاد توشون . یا اگرم استفاده میکنیم اون آخر ماجرا به زبان اعداد تقسیم بندی شون نمیکنیم . مثلا آخرش به این میرسیم که فلان ریسک بالاست، فلان ریسک متوسطه. یعنی خلاصه ی مطالب به عدد اولویت ریسک یا همون آر پی ان نمیرسیم .  تکنیک های نیمه کمی تکنیکایی هستن که توشون از اعداد استفاده میکنیم، ولی این اعداد قراردادی هستن و نشون دهنده ی مقیاس های واقعی نیستن .  مثلا ماتریس ریسکی که همه میشناسید یه تکنیک نیمه کمیه . درسته توش عدد استفاده میشه ولی این اعداد اعدادی هستن که خودمون قرارداد کردیم . مثلا میگیم اگه احتمال خیلی زیاد بود میدیم ۵، یا اگه شدت خیلی کم بود میدیم یک .
اما روش های کمی ارزیابی ریسک که به QRA هم مشهورن، تکنیکایی هستن که از اعداد واقعی توشون استفاده میشه . روش های مدلسازی پیامد از این دسته تکنیکا هستن . قطعا وقتی فرایند مدیریت ریسک تموم بشه بخش به بخش در مورد همشون صحبت میکنیم .
 
۵- ارزشیابی ریسک
اما گام آخر ارزیابی ریسک، ارزشیابی ریسکه . هدف ارزشیابی ریسک یا ریسک ایولویشن، طبق استاندارد حمایت از تصمیماته . یعنی عین جمله ای که استاندارد گفته اینه. The purpose of risk evaluation is to support decision
ارزشیابی ریسک شامل مقایسه ی نتایج آنالیز ریسک با معیارهاییه که ابتدای کار تعیین کردیم، تا از این طریق تعیین کنیم که کجاها اقدامات بیشتری مورد نیاز هست. یعنی این کار خروجیش به این منجر میشه که تصمیم بگیریم که برای یه ریسک:
نیازی نیست کار بیشتری انجام بشه
نیازه که یه سری گزینه هایی برای کنترلش در نظر گرفته بشه
نیازه که یه سری آنالیز بیشتر روی ریسکا انجام بشه تا ریسکه بهتر درک بشه
کنترل های موجود حفظ بشه
یا اینکه توی اهداف تجدید نظر بشه
 
۶- درمان ریسک
گام بعد یعنی ۶-۵، ریسک تریتمنته . هم میشه بهش گفت درمان ریسک هم میشه گفت برخورد با ریسک – در واقع ما اینجا باید ساز و کار اجراییه مربوط به بند قبلی رو طرح ریزی  و اجرا کنیم . یعنی مثلا اگه توی ارزشیابیه ریسک به این رسیدیم که برای یه ریسک  با ید اقدام کنترلی جدید در نظر بگیریم، اینجا میایم اقدامات کنترلی ای که گفتیم رو مشخص میکنیم، بهترین گزینه رو انتخاب میکنیم و بعد اجراش میکنیم . بعد هم ببینیم اوضاع خوب شده یا نه . این نکته خیلی خیلی خیلی مهمه که فرایند درمان ریسک یه فرایند تکراریه . یعنی چی، یعنی اینکه عین دمینگه . طرح ریزی میکنیم، اجرا میکنیم، چک میکنیم کنترله اثربخش بوده یا نه، اگر اثر بخش نبود اقدام اصلاحی میزنیم و دوباره همون فرایند رو تکرار میکنیم.
استاندارد این فرایند تکرار شونده رو شامل موارد زیر میدونه:
فرموله کردن و انتخاب گزینه های درمان ریسک
طرح ریزی و اجرای گزینه ها
ارزیابی اثربخشی اقدامات
تصمیم در مورد اینکه ریسک باقی مونده قابل قبول هست یا نه
اگر نیست، در نظر گرفتن اقدامات کنترلی بیشتر
انتخاب گزینه های درمان ریسک ، بند بعدیه استاندارده . یعنی ۶-۵-۲
 
۷- ثبت و گزارش دهی
گام آخر این فرایندم ثبت و گزارش دهی هست . توی بند ۶٫۷ میگه هدف اینکه ما باید فرایند مدیریت ریسک را هم ثبت کنیم هم گزارش بدیم اینه که :
همه رو از ماجرا با خبر کنیم و هرکسی بدونه ریسکای کار خودش چیه و اقداماتی که باید انجام بده کدومان
اطلاعات رو آماده کنیم واسه اینکه هرجا لازم شد تصمیم گیری از روشون انجام بدیم
فعالیت های ارزیابی ریسک وقتی ثبت بشن راحت تر تحلیل میشن و بهتر میشه توشون ارتقاـ ایجاد کرد
سطح تعاملات با سهامدارا رو ارتقاأ میده و اونا هم درک بهتری از وضعیت سازمان پیدا میکنن
توی گزارشا هم میگه باید جوری خلاقیت به خرج بدیم که بشه تیپ های مختلف گزارش رو با محوریت موضوعات مختلف برای آدما و گروه های مختلف تهیه کرد .