إدارة مخاطر تصنع القيمة وتحميها
ما هو ISO 31000
ISO 31000 هو المعيار الدولي الذي يقدم للمؤسسات إرشادات لإدارة المخاطر. وهو غير مرتبط بأي قطاع أو حجم أو نوع من المخاطر، ولذلك يصلح للاستراتيجية والعمليات والمشاريع والشؤون المالية والسلامة والمعلومات وغيرها. ويتمحور الإصدار الحالي ISO 31000:2018 حول خلق القيمة وحمايتها، ويتكون من ثلاثة أجزاء: المبادئ والإطار والعملية.
ما الذي يتضمنه المعيار
- المبادئ (8): الصفات التي تجعل إدارة المخاطر فعالة، كأن تكون متكاملة ومنظمة ومخصصة وشاملة وديناميكية ومبنية على أفضل المعلومات المتاحة ومراعية للعوامل البشرية والثقافية ومتحسنة باستمرار.
- الإطار: كيف تُدمج القيادة والتكامل والتصميم والتطبيق والتقييم والتحسين إدارة المخاطر في الحوكمة والعمل اليومي.
- العملية: الدورة المتكررة من التواصل والاستشارة، والنطاق والسياق والمعايير، وتقييم المخاطر، ومعالجة المخاطر، والمراقبة والمراجعة، والتسجيل ورفع التقارير.
لا يمكن للمؤسسات الحصول على شهادة وفق ISO 31000. راجع قسم «خيارات التقييم والشهادة» أدناه للاطلاع على المسارات المتاحة فعليًا: تقييمات النضج والتدقيق الداخلي والمراجعات المستقلة والمؤهلات الشخصية.
ما الذي تغيّر في 2018 مقارنةً بـ 2009
- مبادئ أقل وأوضح، وتركيز أقوى على خلق القيمة.
- تأكيد أكبر على قيادة الإدارة العليا وعلى الدمج في الحوكمة.
- تأكيد أكبر على عملية تكرارية تتحسن باستمرار.
المصطلحات الأساسية بلغة مبسطة
- 01المخاطر
- أثر عدم اليقين على الأهداف، وقد يكون إيجابيًا أو سلبيًا أو كليهما
- 02مصدر الخطر
- أي شيء قد ينشأ عنه خطر
- 03الشهية للمخاطر
- مقدار ونوع المخاطر التي ترغب المؤسسة في السعي إليها أو قبولها
- 04مالك الخطر
- الشخص المسؤول عن إدارة خطر محدد
- 05سجل المخاطر
- سجل المخاطر المحددة وتقييماتها وملاكها ومعالجاتها
- 06معالجة المخاطر
- الإجراء المتخذ لتغيير الخطر: التجنب أو التقليل أو المشاركة أو القبول أو اغتنامه كفرصة
- 07الخطر المتبقي
- الخطر الذي يبقى بعد المعالجة
إدارة المخاطر جزء من طريقة اتخاذ القرارات
يجعل ISO 31000 إدارة المخاطر جزءًا من طريقة اتخاذ القرارات وليس تقريرًا منفصلًا.
قرارات أفضل
تتوافر معلومات المخاطر عند اتخاذ قرارات الاستراتيجية والميزانيات والمشاريع.
يحمي القيمة ويصنعها
تُدار التهديدات وتُرصد الفرص وتُغتنم عن قصد.
حوكمة أقوى
مساءلة واضحة وشهية مخاطر محددة وخطوط رفع تقارير من مجلس الإدارة حتى الفريق.
مفاجآت وخسائر أقل
يقلل الرصد المبكر والمراقبة من الحوادث والتعطل والتكلفة.
لغة ومنهجية موحدة
نهج مشترك واحد لتقييم المخاطر ورفع التقارير عنها في جميع الإدارات.
ثقة أصحاب المصلحة
يرى المستثمرون والعملاء والشركاء والجهات التنظيمية نهجًا منظمًا يمكن الدفاع عنه.
استخدام كفء للموارد
يُوجَّه الجهد والميزانية إلى المخاطر الأكثر أهمية.
يتكامل مع الأنظمة الأخرى
يتوافق مع ISO 27001 وISO 27701 وISO 22301 وISO 9001 وأنظمة الإدارة المماثلة.
التحسين المستمر
تحافظ المراقبة والمراجعة والدروس المستفادة على حداثة النهج.
كل مؤسسة لها أهداف وتواجه عدم اليقين
يمكن لأي مؤسسة لها أهداف وتواجه عدم اليقين أن تستفيد من ISO 31000، أيًا كان حجمها أو قطاعها أو مستوى نضجها.
منهجية واحدة يمكن لكل فريق اتباعها
من قاعة مجلس الإدارة إلى مكتب المشاريع، يمنح ISO 31000 الجميع أسلوبًا مشتركًا للحديث عن المخاطر وتقييمها والتصرف حيالها، ويتدرج حتى الشركات الصغيرة والمتوسطة: ابدأ ببساطة ثم وسّع.
| الفئة | سبب الملاءمة |
|---|---|
| مجالس الإدارة والفرق التنفيذية | تحتاج إلى معلومات المخاطر لقرارات الاستراتيجية والاستثمار وشهية المخاطر |
| فرق المخاطر والامتثال والتدقيق الداخلي | تحتاج إلى إطار ومنهجية وهيكل تقارير موحد |
| مكاتب المشاريع والبرامج | تحتاج إلى أسلوب موحد لتقييم مخاطر المشاريع وإدارتها |
| البنوك وشركات التأمين والتقنية المالية | تعرض مرتفع لمخاطر الائتمان والسوق والتشغيل والسلوك |
| الطاقة والإنشاءات والتصنيع | مخاطر السلامة وسلاسل الإمداد واستمرارية التشغيل |
| الرعاية الصحية وعلوم الحياة | مخاطر سلامة المرضى والجودة والمتطلبات التنظيمية |
| الحكومة والقطاع العام | تقديم الخدمات وثقة الجمهور والمساءلة |
| مزودو التقنية والخدمات السحابية | مخاطر الأمن السيبراني والخصوصية والأطراف الثالثة وتوافر الخدمة |
| الشركات الصغيرة والمتوسطة | نهج قابل للتوسع؛ ابدأ ببساطة ثم وسّع |
هل يبدو لك هذا مألوفًا؟
- 1هل تقيّم إداراتك المخاطر بطرق مختلفة؟
- 2هل تطّلع القيادة على تقارير المخاطر قبل القرارات الكبرى؟
- 3هل تُتابَع المخاطر بوجود ملاك ومواعيد نهائية؟
إجابتان أو أكثر بـ«لا» تعني أن تقييم نضج المخاطر هو الخطوة المنطقية التالية.
احجز تقييم نضج المخاطر مجانًامن التكليف إلى التحسين المستمر في إحدى عشرة مرحلة
يستغرق إعداد أول إطار عملي عادةً من 3 إلى 6 أشهر (تقريبي ويعتمد على الحجم والممارسات القائمة). ثم تستمر إدارة المخاطر بصورة دائمة.
دورة متكررة وليست مشروعًا لمرة واحدة
تشكل المراحل من 5 إلى 7 جوهر عملية المخاطر، وتتكرر مع تغير السياق وورود معلومات جديدة. ويسير التواصل والمراقبة جنبًا إلى جنب مع كل مرحلة.
-
01 التزام القيادة والتكليف تعتمد الإدارة العليا سياسة لإدارة المخاطر وتحدد الغرض والأهداف وتخصص الموارد.
-
02 السياق والنطاق فهم أهداف المؤسسة وسياقها الداخلي والخارجي وأصحاب المصلحة وحدود البرنامج.
-
03 تصميم الإطار تحديد كيفية دمج إدارة المخاطر مع الحوكمة والاستراتيجية والتخطيط والتقارير، وتحديد المسؤوليات وشهية المخاطر.
-
04 معايير المخاطر والمنهجية الاتفاق على مقاييس الاحتمال والأثر، ومصفوفة المخاطر، وقواعد التقييم، وعتبات المعالجة والتصعيد.
-
05 تحديد المخاطر إجراء ورش عمل ومراجعات لتحديد المخاطر ومصادرها وأحداثها وأسبابها وعواقبها وتسجيلها في سجل المخاطر.
-
06 تحليل المخاطر وتقييمها تقييم كل خطر ومقارنته بالمعايير والشهية، وتحديد المخاطر التي تحتاج إلى معالجة وترتيبها.
-
07 معالجة المخاطر اختيار الإجراءات وتخطيطها (التجنب أو التقليل أو المشاركة أو القبول أو اغتنام الفرصة)، وتعيين الملاك والمواعيد النهائية، وتسجيل الخطر المتبقي.
-
08 الدمج في القرارات إدراج مراجعة المخاطر في الميزانية والموافقة على المشاريع والمشتريات وإدارة التغيير وإدارة الأداء.
-
09 التواصل والاستشارة والتدريب إبقاء أصحاب المصلحة على اطلاع طوال الوقت وتدريب الموظفين والمديرين على المنهجية.
-
10 المراقبة والمراجعة ورفع التقارير متابعة مؤشرات المخاطر وتقدم المعالجة، ورفع التقارير إلى الإدارة ومجلس الإدارة بإيقاع ثابت.
-
11 التقييم والتحسين التحقق دوريًا من مدى ملاءمة الإطار للمؤسسة، وتقييم النضج وتحديثه.
كيف يعمل ISO 31000 مع المعايير الأخرى
يدعم ISO 31000 الامتثال وأنظمة الإدارة الأخرى لكنه لا يحل محلها. والربط أدناه إرشادي.
| المعيار أو المتطلب | العلاقة بـ ISO 31000 |
|---|---|
| ISO 31073 | مفردات إدارة المخاطر؛ استخدمه لتوحيد المصطلحات في وثائقك |
| IEC 31010 | تقنيات تقييم المخاطر (مثل ربطة العنق وتحليل أنماط الفشل وتحليل السيناريوهات) لاستخدامها ضمن خطوة التقييم |
| ISO/IEC 27001 | إدارة أمن المعلومات؛ ويمكن لمتطلبات تقييم المخاطر ومعالجتها فيه أن تتبع عملية ISO 31000 |
| ISO/IEC 27701 | إدارة معلومات الخصوصية؛ ويمكن لتقييم مخاطر الخصوصية أن يستخدم المنهجية والسجل نفسيهما |
| ISO 22301 | استمرارية الأعمال؛ يغذي تقييم المخاطر تحليل الأثر على الأعمال وتخطيط الاستمرارية |
| ISO 9001 | إدارة الجودة؛ يدعم متطلبات التفكير القائم على المخاطر فيه |
| ISO 14001 وISO 45001 | إدارة البيئة والصحة والسلامة؛ يدعم تقييم مخاطر الأخطار والجوانب البيئية |
| ISO 37301 | إدارة الامتثال؛ يدعم تقييم مخاطر الامتثال |
| متطلبات الجهات التنظيمية القطاعية والعملاء | تتوقع جهات تنظيمية وعملاء كثيرون حوكمة مخاطر موثقة؛ راجع القواعد التي تنطبق على قطاعك |
خدمة ذات صلة: اطّلع على صفحة ISO/IEC 27701 لنظام PIMS، فتقييم مخاطر الخصوصية نشاط مشترك.
الوثائق والسجلات لإطار إدارة المخاطر
ISO 31000 إرشادي، لذا لا يسرد وثائق مطلوبة كما تفعل المعايير القابلة للشهادة. لكنه يتوقع توثيق إدارة المخاطر وتسجيل نتائجها وإبلاغها.
| الوثيقة أو السجل | الغرض | الحالة |
|---|---|---|
| سياسة إدارة المخاطر | تحدد الالتزام والغرض والنهج، وتعتمدها الإدارة العليا | أساسية |
| وثيقة إطار إدارة المخاطر | تصف كيفية دمج إدارة المخاطر في الحوكمة والعمليات | أساسية |
| بيان شهية المخاطر ومستوى التحمل | يحدد مقدار المخاطر المقبولة حسب الفئة | أساسية |
| معايير المخاطر ومنهجية التقييم | المقاييس والمصفوفة وعتبات التصعيد | أساسية |
| سجل المخاطر | المخاطر وأسبابها وعواقبها وتقييماتها وملاكها ومعالجاتها | أساسية |
| خطط معالجة المخاطر | الإجراءات والملاك والمواعيد النهائية والموارد | أساسية |
| تقارير تقييم المخاطر | نتائج كل تقييم مع المنهجية والافتراضات | أساسية |
| تقارير المخاطر للإدارة ومجلس الإدارة | ملخص دوري لأهم المخاطر واتجاهاتها | أساسية |
| لوحة مؤشرات المخاطر الرئيسية (KRI) | مقاييس إنذار مبكر مع عتبات | موصى بها |
| خطة التواصل والاستشارة | من يُبلَّغ بماذا ومتى | موصى بها |
| سجلات التدريب والكفاءة | دليل على فهم الموظفين للمنهجية | موصى بها |
| سجل الحوادث والدروس المستفادة | يغذي تحسين الإطار | موصى بها |
| سجلات المراجعة والتحسين | تقييمات النضج ونتائج التدقيق والإجراءات | موصى بها |
| ضوابط يشترطها نظام ذو صلة أو جهة تنظيمية | مثل خطة معالجة المخاطر في ISO 27001 | مطلوبة عند الانطباق |
لا تكون العناصر مطلوبة إلا عندما تشترطها جهة تنظيمية أو عقد عميل أو نظام إدارة ذو صلة مثل ISO 27001.
خيارات التقييم والشهادة
لا يمكن للمؤسسات الحصول على شهادة وفق ISO 31000. وتصفه ISO بأنه إرشاد يمكن أن يدعم كذلك برامج التدقيق الداخلية والخارجية. وفيما يلي المسارات المتاحة فعليًا.
| الخيار | ما هو | المخرجات |
|---|---|---|
| تقييم نضج المخاطر | مراجعة الممارسات الحالية مقابل مبادئ ISO 31000 وإطاره وعمليته | تقرير فجوات وخارطة طريق للتحسين |
| تدقيق داخلي وفق ISO 31000 | تدقيق يجريه فريقك أو مستشار لمدى جودة تطبيق الإطار | تقرير تدقيق وإجراءات تصحيحية |
| مراجعة خارجية مستقلة | يراجع طرف ثالث الإطار ويقدم رأيًا وليس شهادة | تقرير مراجعة يمكنك مشاركته مع العملاء أو مجالس الإدارة |
| المؤهلات الشخصية | دورات واختبارات ISO 31000 للمستوى التأسيسي ومدير المخاطر وكبير مديري المخاطر من مزودي التدريب | شهادة فردية للموظف وليست للمؤسسة |
| أنظمة الإدارة القابلة للشهادة التي تستخدم إدارة المخاطر | ISO/IEC 27001 وISO/IEC 27701 وISO 22301 وISO 9001 وما يماثلها | شهادة للمؤسسة من جهة منح شهادات معتمدة |
الصياغة التي نستخدمها وما نتجنبه
- نستخدم: «متوافق مع ISO 31000» و«قائم على إرشادات ISO 31000» و«مراجَع بصورة مستقلة وفق ISO 31000».
- نتجنب: «حاصل على شهادة ISO 31000» و«شهادة ISO 31000 لشركتك».
- بالنسبة إلى المؤهلات الشخصية، تعود الشهادة إلى الشخص وليس إلى المؤسسة.
ISO 31000:2018 هو الإصدار الحالي وقد جرى تأكيده في آخر مراجعة له عام 2023. ويُدرج إصدار منقح قيد الإعداد؛ وسنحدّث هذه الصفحة عند صدوره.
المدة المعتادة
- تصميم الإطار وإطلاقه: من 3 إلى 6 أشهر (تقريبًا).
- تُحدد مدة تقييم النضج والتدريب وأتعابهما وفق مؤسستك؛ اطلب عرض سعر بعد التقييم المجاني.
أكثر الأسئلة التي نتلقاها حول ISO 31000
تحدث إلى مستشار من QMet وسنجيبك مباشرة، دون أي التزام.
اطرح سؤالك01 ما هو ISO 31000؟
هو المعيار الدولي الذي يقدم إرشادات لإدارة المخاطر من خلال مبادئ وإطار وعملية يمكن لأي مؤسسة تكييفها.
02 هل يمكننا الحصول على شهادة ISO 31000؟
لا. فهو معيار إرشادي وليس قابلًا للشهادة. يمكن تقييم ممارساتك أو مراجعتها وفقه، ويمكن للأفراد الحصول على مؤهلات.
03 كيف يختلف عن ISO 27001 أو ISO 9001؟
هذان معياران لنظام الإدارة يتضمنان متطلبات وشهادة. أما ISO 31000 فهو إرشاد عام حول المخاطر يمكن أن يدعمهما.
04 هل ISO 31000 للمؤسسات الكبيرة فقط؟
لا. فهو مصمم ليتكيف مع حجم أي مؤسسة وقطاعها ومستوى نضجها.
05 هل يغطي المخاطر السلبية فقط؟
لا. فهو يعرّف الخطر بأنه أثر عدم اليقين على الأهداف، ولذلك يغطي الفرص كما يغطي التهديدات.
06 كم يستغرق التطبيق؟
يستغرق إعداد أول إطار عملي عادةً من 3 إلى 6 أشهر، ثم تستمر إدارة المخاطر كممارسة دائمة.
07 ما هو الإصدار الحالي؟
ISO 31000:2018، الصادر في فبراير 2018.
08 هل يساعد ISO 31000 في الامتثال؟
إنه يدعم الامتثال بتنظيم كيفية تحديد المخاطر وإسنادها ومعالجتها، لكنه لا يجعل المؤسسة ممتثلة لأي نظام أو لائحة بمفرده.
هل أنت مستعد لبناء إطار مخاطر يدعم قرارات أفضل؟
احجز تقييم نضج المخاطر المجاني. سنراجع كيفية تقييم المخاطر وإسنادها ورفع التقارير عنها في مؤسستك اليوم، ونوضح لك أسرع طريق نحو إطار عملي وفق ISO 31000.
بإرسال طلبك فإنك توافق على سياسة الخصوصية لدينا. يكفي الاسم والبريد الإلكتروني للعمل والشركة وعدد الموظفين لنبدأ.
إخلاء مسؤولية: هذه الصفحة لأغراض المعلومات العامة ولا تُعد استشارة قانونية أو مهنية. ISO وIEC علامتان تجاريتان لمنظمتيهما. QMet غير تابعة لمنظمة ISO أو IEC أو أي جهة منح شهادات ما لم يُذكر خلاف ذلك. ISO 31000 معيار إرشادي ولا يمكن الحصول على شهادة وفقه.