كيف تبني سجل مخاطر Risk Register احترافي خطوة بخطوة

في كثير من المنشآت يوجد ملف باسم "سجل المخاطر"، لكنه في حقيقته قائمة مخاوف كتبها فريق في ورشة عمل قبل سنتين ولم يفتحها أحد بعدها. الفرق بين الاثنين ليس في الشكل بل في الوظيفة: قائمة المخاوف تصف ما يقلق الناس، أما سجل المخاطر (Risk Register) فأداة إدارية تربط كل خطر بمالك محدد بالاسم، وتقييم مبني على مقياس معلن، وخطة معالجة لها تاريخ استحقاق وتكلفة، وحالة تتغير مع الوقت.

سجل المخاطر: تعريف عملي وما يميّزه عن قائمة المخاوف

المواصفة الدولية ISO 31000 تصف إدارة المخاطر بأنها جزء من عملية اتخاذ القرار لا نشاط موازٍ لها، وإطار COSO ERM يربطها بالاستراتيجية والأداء. سجل المخاطر هو المكان الذي تتجسد فيه هذه المبادئ عملياً: فهو المخرج الملموس لعمليتي تحديد المخاطر وتحليلها، والمدخل لأي قرار يتعلق بتوزيع الضوابط والموارد.

هناك اختبار بسيط لجودة أي سجل مخاطر: هل غيّر قراراً واحداً خلال الأشهر الستة الماضية؟ إن كانت الإجابة لا، فما لديك جدول توثيقي يُخرَج عند الحاجة إلى إثبات الالتزام، لا أداة إدارة.

السجل الجيد لا يقاس بعدد المخاطر المسجّلة فيه، بل بعدد القرارات التي استند إليها.

حدّد النطاق والمستوى قبل أن تفتح الجدول

أكثر الأخطاء كلفة في البداية هو خلط المستويات: خطر استراتيجي مثل "تغيّر تفضيلات العملاء" يوضع في الصف نفسه مع خطر تشغيلي مثل "انقطاع خط الإنترنت في الفرع". النتيجة سجل لا يخدم أحداً؛ فالمجلس لا يجد فيه ما يهمه، ومدير التشغيل يغرق في تفاصيل ليست ملكه.

الحل هو بناء ثلاثة مستويات مترابطة: سجل مؤسسي يملكه المجلس أو الإدارة التنفيذية ويضم عادة من 15 إلى 25 خطراً رئيسياً، وسجلات قطاعية على مستوى الإدارات، وسجلات مشاريع لها أفق زمني ينتهي بانتهاء المشروع. ما يتجاوز حدود التحمّل في المستوى الأدنى يُرفَع (Escalation) إلى المستوى الأعلى وفق قاعدة مكتوبة، لا وفق اجتهاد شخصي.

سجل مخاطر المشروع تحديداً له منطق مختلف: أفقه قصير، ومالكه مدير المشروع، ويُراجَع في كل نقطة تحقق. ولمن يعمل في بيئة المشاريع، يشرح دليل شهادة PMP ومسار التأهل للاختبار في السعودية كيف يندمج السجل ضمن خطط إدارة المشروع، بينما يذهب برنامج PMI-RMP لإدارة مخاطر المشاريع إلى تفاصيل التحليل الكمي وتحليل الاحتياطي.

أعمدة سجل المخاطر الاحترافي

لا توجد قائمة أعمدة إلزامية عالمياً، لكن هناك حداً أدنى لا يصبح السجل قابلاً للاستخدام من دونه. ابدأ بالأعمدة التالية، وقاوم إغراء إضافة أعمدة لن يملأها أحد:

لاحظ أن العمودين الأخيرين هما ما يحوّل الجدول من وثيقة إلى نظام. سجل بلا مالك وبلا تاريخ مراجعة يموت خلال ربع سنة واحد.

كيف تصوغ عبارة الخطر صياغة قابلة للإدارة

الصياغة ليست ترفاً لغوياً؛ فالخطر المصاغ بشكل رديء لا يمكن تقييمه ولا معالجته. استخدم البنية الثلاثية: بسبب (سبب قائم اليوم)، قد يحدث (حدث غير مؤكد)، مما يؤدي إلى (أثر قابل للقياس). قارن بين "مخاطر الموردين" وبين: "بسبب اعتماد الإنتاج على مورّد وحيد لمادة خام مستوردة، قد ينقطع التوريد لأكثر من ثلاثة أسابيع، مما يؤدي إلى توقف خط الإنتاج وخسارة إيراد شهري وغرامات تأخير تعاقدية".

العبارة الثانية تخبرك مباشرة أين تعالج: السبب يعالَج بتأهيل مورّد بديل، والحدث يعالَج بمخزون أمان، والأثر يعالَج بمراجعة بنود الغرامات في العقود. ثلاثة مسارات معالجة لم تكن ظاهرة في الصياغة الأولى.

انتبه أيضاً إلى الخلط بين الخطر وبين السبب أو الأثر أو حتى غياب الضابط. "لا يوجد نظام حضور إلكتروني" ليس خطراً بل ثغرة في ضابط. و"انخفاض التدفق النقدي" أثر وليس خطراً بحد ذاته؛ ولفهم كيف يتحول هذا الأثر إلى تهديد وجودي حتى في المنشآت الرابحة، يفيد الاطلاع على إدارة التدفق النقدي وأسباب تعثر شركات تحقق أرباحاً قبل تقدير أثر أي خطر مالي.

تحديد المخاطر: من أين تأتي المدخلات فعلاً

ورشة العمل الجماعية مصدر واحد فقط، وهي أضعف المصادر إذا استُخدمت وحدها لأنها تلتقط ما يتذكره الحاضرون. المواصفة ISO 31010 تعرض عشرات الأساليب المكمّلة، وأكثرها عملية في المنشآت المتوسطة: مراجعة سجل الحوادث والأخطاء التشغيلية للسنتين الماضيتين، وملاحظات تقارير التدقيق الداخلي والخارجي، وشكاوى العملاء، ونتائج تحليل السبب الجذري للأعطال، وتحليل السيناريوهات، وأسلوب ربطة العنق (Bow-tie) للمخاطر عالية الأثر.

• المخاطر التشغيلية: العمليات والأشخاص والأنظمة والأحداث الخارجية، وهي أخصب مصدر لأنها موثّقة في بيانات موجودة أصلاً. تفصّلها مقالة إدارة المخاطر التشغيلية من التحديد إلى المعالجة.
• مخاطر الأطراف الثالثة: الموردون ومقدمو الخدمات السحابية وشركات النقل والتعهيد، ولها منهجية تصنيف وعناية واجبة مستقلة تشرحها إدارة مخاطر الأطراف الثالثة والموردين.
• مخاطر الامتثال: تُبنى من مصفوفة المتطلبات النظامية المطبّقة على نشاطك، لا من الانطباع العام.
• المخاطر الاستراتيجية: تُستخرج من افتراضات الخطة الاستراتيجية نفسها؛ كل افتراض غير مؤكد هو خطر محتمل.

قاعدة عملية: خصص جلسة لكل فئة مع أصحابها المباشرين بدل جلسة عامة واحدة. السجل الذي يُبنى بمشاركة أصحاب العمليات يُحدَّث، والذي يُبنى في إدارة المخاطر وحدها يُهمَل.

تقييم الاحتمال والأثر وبناء مقياس متسق

التقييم بلا مقياس مكتوب تصويت على المشاعر. قبل تقييم أول خطر، اعتمد مقياساً من خمسة مستويات للاحتمال والأثر، وعرّف كل مستوى بعبارة قابلة للتحقق. الجدول التالي مثال توضيحي فقط، وعلى كل منشأة معايرة حدوده المالية بحسب حجمها ثم اعتمادها من الإدارة العليا:

قيّم الخطر المتأصل أولاً ثم المتبقي بعد الضوابط الفعّالة؛ فالفجوة بينهما هي القيمة التي تنتجها ضوابطك، وهي حجتك عند طلب ميزانية. وتذكّر أن حاصل ضرب الاحتمال في الأثر رقم مضلل عند الأطراف: خطر احتماله 1 وأثره 5 يعطي النتيجة نفسها لخطر احتماله 5 وأثره 1، بينما الأول قد يهدد بقاء المنشأة والثاني مجرد إزعاج يومي. لذلك تُقرأ النتائج على مصفوفة لا كأرقام مجردة، وهو ما تشرحه بالتفصيل مقالة خريطة المخاطر الحرارية وكيفية بنائها وقراءتها.

تقدير الأثر على الاستمرارية تحديداً لا يُخمَّن؛ فله منهجية مستقلة تحدد الحد الأقصى المقبول للتعطل لكل عملية، وتفصّلها مقالة تحليل أثر الأعمال BIA بوصفه الخطوة السابقة لأي خطة طوارئ. نتائج هذا التحليل تُغذّي عمود الأثر في سجلك بأرقام مسنودة بدل التقديرات الانطباعية.

المعالجة: أربع استراتيجيات ومالك واحد

بعد التقييم يأتي القرار. الاستراتيجيات الأربع المعتمدة في الأطر الدولية واضحة، والمهم هو توثيق سبب الاختيار لا الاختيار وحده. وفي بيئة المشاريع تُضاف استراتيجيات للفرص (Opportunities) مثل الاستغلال والتعزيز، لأن الخطر في تعريفه المعياري هو أثر عدم اليقين على الأهداف سلباً أو إيجاباً.

القبول قرار مشروع بشرط أن يكون واعياً وموثّقاً ومعتمداً من صلاحية مناسبة، لا نتيجة إهمال. والفارق يظهر في التوثيق: قبول موثّق يذكر الاسم والتاريخ والمبرر، والإهمال يترك الخانة فارغة.

قبل اعتماد أي ضابط، قارن تكلفته بالخفض المتوقع في الخسارة المتوقعة؛ ضابط بمليون ريال لخطر أثره الأقصى 200 ألف قرار سيئ مهما بدا حصيفاً. وهذه المقارنة تتطلب فهماً لهيكل التكاليف الثابتة والمتغيرة، وهو ما تعالجه مقالة أساسيات محاسبة التكاليف ومعرفة التكلفة الحقيقية. أما المخاطر ذات الأثر الكارثي ومنخفضة الاحتمال فمعالجتها الواقعية ليست ضابطاً وقائياً بل خطة تعافٍ مختبَرة، وهو مجال تخصصي تشرح مساره مقالة شهادة BCP لاستمرارية الأعمال ومتى تحتاجها منشأتك.

الحوكمة: دورة المراجعة والمؤشرات وخطوط الدفاع

السجل نظام حي، ودورته تحتاج قواعد مكتوبة: مراجعة شهرية لمخاطر المستوى المرتفع، وربع سنوية للسجل المؤسسي أمام لجنة المخاطر أو لجنة المراجعة، ومراجعة فورية عند وقوع حادث أو تغيّر نظامي أو دخول سوق جديد أو توقيع عقد تعهيد كبير. أي خطر لم يُلمَس منذ اثني عشر شهراً إما أنه لم يعد قائماً وإما أن أحداً لا يديره؛ وكلا الاحتمالين يستوجب إجراءً.

اربط كل خطر مرتفع بمؤشر إنذار مبكر يتحرك قبل وقوع الحدث لا بعده، مثل نسبة دوران الموظفين في وظيفة حرجة أو عمر الذمم المدينة أو عدد محاولات الدخول الفاشلة. الفرق الجوهري بين هذه المؤشرات ومؤشرات الأداء تشرحه مقالة مؤشرات المخاطر الرئيسية KRIs والفرق بينها وبين KPIs، وضبط هذا الفرق هو ما يمنع تحوّل لوحة المخاطر إلى تقرير أداء متأخر.

أما توزيع الأدوار فيتبع نموذج الخطوط الثلاثة الذي أصدره معهد المدققين الداخليين: الإدارات التشغيلية تملك المخاطر وتديرها يومياً، ووظائف المخاطر والامتثال تضع المنهجية وتتحدى التقييمات، والتدقيق الداخلي يقدم تأكيداً مستقلاً على فاعلية المنظومة كلها من دون أن يملك المخاطر أو يقيّمها نيابة عن أصحابها. من يعمل في هذا الخط الثالث يجد في دليل شهادة CIA للمدقق الداخلي بأجزائها الثلاثة خريطة لمتطلباتها، ويغطي برنامج التحضير لشهادة CIA منهجية التدقيق المبني على المخاطر عملياً، بينما يركّز برنامج إدارة المخاطر المؤسسية CRMO على بناء المنهجية والسجل من جانب الخط الثاني.

السياق السعودي وأخطاء تفسد السجل

في المملكة لم يعد سجل المخاطر ممارسة اختيارية في عدة قطاعات. لائحة حوكمة الشركات الصادرة عن هيئة السوق المالية تُلزم الشركات المدرجة بوضع سياسة لإدارة المخاطر وتشكيل لجنة مختصة ورفع تقارير دورية للمجلس، والجهات الخاضعة لإشراف البنك المركزي السعودي تخضع لمتطلبات أكثر تفصيلاً في المخاطر التشغيلية والاستعانة بمصادر خارجية. وفي الجانب السيبراني، تشترط الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني منهجية موثّقة لإدارة مخاطر الأمن السيبراني تُدار وتُراجع دورياً. راجع دائماً النسخة السارية من كل لائحة على الموقع الرسمي للجهة، فالمتطلبات تُحدَّث.

على مستوى القوى العاملة، تدخل السعودة ونطاقات ونظام العمل ضمن مخاطر الامتثال والاستمرارية معاً: تغيّر تصنيف المنشأة في نطاقات يؤثر على استقدام الكفاءات وعلى الخدمات المرتبطة به، والاعتماد على موظف واحد في وظيفة حرجة خطر تشغيلي مباشر. وضمن مستهدفات رؤية 2030 لتنمية القدرات، يوفّر صندوق تنمية الموارد البشرية (هدف) برامج دعم للتدريب قد تغطي جزءاً من كلفة تأهيل فريق المخاطر؛ وتختلف الشروط ونسب الدعم من برنامج لآخر، فتحقق منها رسمياً قبل بناء الميزانية عليها. وتُعقد اختبارات الشهادات الدولية في مراكز معتمدة في الرياض وجدة والخبر وفق سياسة كل جهة مانحة.

وأخيراً، هذه أكثر الأخطاء تكراراً في السجلات التي تُبنى لأول مرة:

1. تضخيم العدد: سجل مؤسسي فيه 200 خطر لا يُقرأ. ادمج المتشابه وادفع التفاصيل إلى السجلات القطاعية.
2. تقييم من دون مقياس معتمد، فتصبح المقارنة بين إدارتين بلا معنى.
3. مالك جماعي: "إدارة تقنية المعلومات" ليست مالكاً؛ المالك شخص له صلاحية تخصيص موارد.
4. خلط الضوابط المخطط لها بالضوابط القائمة، فيظهر الخطر المتبقي أقل مما هو عليه واقعاً.
5. نسخ سجل جاهز من قطاع آخر؛ المخاطر تعكس نموذج عملك ولا تُستورد.
6. إغفال الترابط: خطر واحد قد يشعل ثلاثة أخرى، ولا يظهر ذلك في جدول مسطّح ما لم يُوثَّق عمود للعلاقات.

ابدأ صغيراً: عشرة مخاطر مصاغة صياغة صحيحة، لها ملاك بالاسم ومقياس معتمد وتواريخ مراجعة، أفضل من مئة صف لا يقرؤها أحد. ثم وسّع السجل ربعاً بعد ربع مع نضج المنظومة.