مقدمة

لا تعمل مؤسسات القطاع غير الربحي في بيئة مستقرة يمكن التنبؤ بكل ما سيحدث فيها. فقد يتأخر تمويل، أو يتغير نظام، أو يتوقف مورد، أو يغادر موظف رئيسي، أو تتعرض بيانات المستفيدين للخطر، أو تتغير احتياجات المجتمع بصورة أسرع من قدرة البرنامج على الاستجابة.

السؤال إذن ليس:

هل ستواجه المؤسسة مخاطر؟

بل:

هل ستكتشفها مبكرًا، وتفهم أثرها، وتعرف متى تتدخل قبل أن تتحول إلى أزمة؟

من هنا تأتي إدارة المخاطر (Risk Management) باعتبارها جزءًا من الحوكمة والإدارة المؤسسية، وليست إجراءً يبدأ بعد وقوع المشكلة.

وهي لا تهدف إلى إزالة جميع المخاطر؛ فهذا غير ممكن، وقد يؤدي تجنب المخاطر بالكامل إلى منع المؤسسة من الابتكار أو التوسع. وإنما تهدف إلى فهم حالات عدم اليقين المرتبطة بأهداف المؤسسة، وتحديد ما يمكن تحمله منها، ووضع ضوابط واستجابات مناسبة، ومراقبة التغيرات باستمرار.

كما أن التفكير في المخاطر لا يقتصر على تجنب الخسائر. فقد يكشف الخطر عن ضعف يحتاج إلى إصلاح، أو إجراء يمكن تحسينه، أو فرصة يمكن استثمارها.

ويطور هذا المقال الإطار الأصلي الذي تناول مفهوم إدارة المخاطر، وتصنيفاتها، وسجل المخاطر، ومصفوفة التقييم، واستراتيجيات المعالجة، ومؤشرات الإنذار المبكر، ودور مجلس الإدارة والإدارة التنفيذية، وعلاقة إدارة المخاطر بالحوكمة والمانحين والتحسين المستمر.

---

أولًا: ما المقصود بإدارة المخاطر؟

إدارة المخاطر عملية مستمرة ومنهجية تساعد المؤسسة على:

تحديد المخاطر → تحليلها → تقييمها → معالجتها → مراقبتها → مراجعتها والتعلم منها.

ويمكن تعريف الخطر بصورة عملية بأنه حالة من عدم اليقين قد تؤثر في قدرة المؤسسة على تحقيق أهدافها.

وهذه نقطة مهمة:

لا توجد إدارة مخاطر جيدة دون أهداف واضحة.

فالسؤال ليس فقط: ما الذي قد يحدث؟

بل:

ما الذي قد يحدث ويؤثر في قدرتنا على تحقيق هدف معين؟

ولهذا يجب أن ترتبط المخاطر بالأهداف الاستراتيجية والبرامج والعمليات والقرارات الرئيسية للمؤسسة.

ولا تعد إدارة المخاطر مسؤولية قسم واحد؛ فمجلس الإدارة والإدارة التنفيذية ومديرو البرامج والمالية والتقنية والموارد البشرية وغيرهم يمتلك كل منهم جزءًا من الصورة.

---

ثانيًا: لماذا تحتاج الجمعيات إلى إدارة المخاطر؟

قد تواجه الجمعية مخاطر تؤثر في:

• سلامة المستفيدين والعاملين.
• استمرارية الخدمات.
• الموارد المالية.
• البيانات والأنظمة.
• الالتزام القانوني والتنظيمي.
• جودة البرامج.
• ثقة المجتمع.
• العلاقات مع المانحين والشركاء.
• سمعة المؤسسة.
• قدرتها على تحقيق رسالتها.

لكن القيمة الحقيقية لإدارة المخاطر ليست في إنشاء قائمة بهذه الاحتمالات.

بل في الانتقال من:

حدثت المشكلة، ماذا نفعل؟

إلى:

ماذا يمكن أن يحدث؟ كيف سنعرف أنه يقترب؟ وما القرار الذي يجب أن يكون جاهزًا؟

وهذا التحول من رد الفعل إلى الاستعداد هو أحد أهم مؤشرات النضج المؤسسي.

---

ثالثًا: أنواع المخاطر في القطاع غير الربحي

تختلف المخاطر باختلاف المؤسسة والسياق، لكن من أكثر الفئات شيوعًا:

المخاطر الاستراتيجية

مثل اختيار تدخل لا يتوافق مع احتياجات المجتمع، أو التوسع بصورة أسرع من قدرة المؤسسة، أو الاعتماد الكبير على مصدر تمويل واحد.

المخاطر التشغيلية

مثل ضعف الإجراءات، أو أخطاء التنفيذ، أو نقص الموظفين والمهارات، أو تعطل سلسلة التوريد.

المخاطر المالية

مثل ضعف السيولة، أو تجاوز الميزانيات، أو تأخر التمويل، أو ضعف الضوابط المالية.

المخاطر القانونية والتنظيمية

مثل عدم الامتثال للأنظمة أو الالتزامات التعاقدية أو شروط المانحين.

المخاطر التقنية والسيبرانية

مثل تعطل الأنظمة، أو فقدان البيانات، أو الوصول غير المصرح به، أو الهجمات السيبرانية.

مخاطر السمعة

مثل فقدان ثقة المجتمع أو المانحين نتيجة حادث، أو سوء إدارة قضية حساسة، أو معلومات غير دقيقة.

مخاطر السلامة والأمن

وهي المخاطر التي قد تؤثر في الموظفين والمتطوعين والمستفيدين، خصوصًا في البيئات الهشة أو عالية الخطورة.

لكن هذه التصنيفات تساعد على التنظيم فقط.

المخاطر في الواقع لا تعيش داخل صناديق منفصلة.

فقد يؤدي حادث سيبراني إلى:

فقدان البيانات → توقف الخدمة → شكاوى المستفيدين → أزمة سمعة → تراجع ثقة المانحين → أثر مالي.

ولهذا يجب النظر أيضًا إلى ترابط المخاطر وتأثيراتها المتسلسلة.

---

رابعًا: من رد الفعل إلى التفكير الاستباقي

المؤسسة الناضجة ليست المؤسسة التي لا تواجه مشكلات.

بل المؤسسة التي تستطيع اكتشاف الإشارات قبل أن تصبح المشكلة أزمة.

ويبدأ ذلك من ممارسات بسيطة:

• مراجعة البيئة الداخلية والخارجية.
• تحليل الحوادث السابقة.
• الاستماع إلى الموظفين والمستفيدين.
• متابعة التغيرات التنظيمية والاقتصادية والتقنية.
• مناقشة المخاطر عند اتخاذ القرارات المهمة.
• تحديث سجل المخاطر دوريًا.
• دراسة السيناريوهات المحتملة.

ومن الأسئلة المفيدة عند التخطيط:

ما الذي يجب أن يكون صحيحًا حتى تنجح هذه الخطة؟ وماذا لو لم يكن صحيحًا؟

هذا السؤال يكشف كثيرًا من الافتراضات والمخاطر قبل بدء التنفيذ.

---

خامسًا: Risk Appetite وRisk Tolerance... كم من المخاطر يمكننا تحملها؟

ليس الهدف من إدارة المخاطر الوصول إلى "صفر مخاطر".

فكل قرار تقريبًا يحمل درجة من عدم اليقين.

لذلك تحتاج المؤسسة إلى فهم مفهومين مهمين:

Risk Appetite – شهية المخاطر

مقدار ونوع المخاطر التي تكون المؤسسة مستعدة لقبولها أثناء سعيها لتحقيق أهدافها.

Risk Tolerance – حدود تحمل المخاطر

الحدود المقبولة للانحراف أو التعرض قبل أن يصبح التدخل أو التصعيد ضروريًا.

وقد تكون المؤسسة مستعدة لقبول مستوى محسوب من المخاطر عند تجربة طريقة جديدة لجمع التبرعات أو إطلاق برنامج مبتكر.

لكنها قد تحدد مستوى تحمل منخفضًا جدًا تجاه مخاطر مثل:

الاحتيال، إساءة استخدام الأموال، سلامة المستفيدين، الانتهاكات الجسيمة، أو تسرب البيانات الحساسة.

وجود هذه الحدود يساعد الإدارة على الإجابة عن سؤال حاسم:

متى نتوقف عن المراقبة ونبدأ التدخل أو التصعيد؟

---

سادسًا: سجل المخاطر Risk Register... قلب المنظومة

يعد Risk Register من أهم أدوات إدارة المخاطر.

لكنه ليس ملفًا يتم إعداده من أجل التدقيق ثم يُنسى.

إنه وثيقة حية لاتخاذ القرار.

وقد يتضمن:

• الخطر.
• الهدف أو العملية المتأثرة.
• الأسباب.
• العواقب المحتملة.
• احتمالية الحدوث.
• حجم التأثير.
• مستوى الخطر.
• الضوابط الحالية.
• الإجراءات الإضافية المطلوبة.
• Risk Owner.
• الموعد المستهدف للمعالجة.
• مؤشرات الإنذار.
• حالة الإجراءات.
• تاريخ المراجعة القادمة.

وكلما كان الخطر محددًا بصورة جيدة، أصبحت معالجته أكثر فاعلية.

فبدلًا من:

خطر التمويل.

يمكن كتابة:

احتمال عدم تجديد المانح الرئيسي للتمويل، مما قد يؤدي إلى فجوة تمويلية تؤثر في استمرارية البرامج الأساسية.

أصبح لدينا الآن حدث وسبب محتمل وأثر يمكن التعامل معه.

---

سابعًا: Inherent Risk وResidual Risk... هل تعمل الضوابط فعلًا؟

هذه من أهم الأفكار في إدارة المخاطر.

لنفرض أن المؤسسة تحتفظ ببيانات حساسة للمستفيدين.

قبل النظر إلى أي ضوابط، قد يكون خطر الوصول غير المصرح به مرتفعًا.

وهذا يسمى:

Inherent Risk

مستوى الخطر قبل أخذ الضوابط الحالية في الاعتبار.

ثم تطبق المؤسسة ضوابط مثل:

• التحكم في الصلاحيات.
• المصادقة متعددة العوامل.
• النسخ الاحتياطي.
• التشفير.
• التدريب.
• مراقبة الأنظمة.

بعد ذلك نعيد تقييم الخطر.

وما يبقى يسمى:

Residual Risk

مستوى الخطر المتبقي بعد تطبيق الضوابط.

وبذلك يصبح التفكير:

Inherent Risk → Controls → Residual Risk

وهنا يظهر السؤال الإداري الأهم:

هل الخطر المتبقي يقع ضمن المستوى الذي تستطيع المؤسسة تحمله؟

إذا كانت الإجابة لا، فنحتاج إلى إجراءات إضافية أو تصعيد أو تغيير القرار.

---

ثامنًا: كيف نقيم المخاطر؟

يستخدم التقييم عادة عنصرين أساسيين:

Likelihood

ما احتمالية وقوع الخطر؟

Impact

ما حجم أثره إذا وقع؟

ويمكن استخدام مقياس بسيط، مثل:

منخفض — متوسط — مرتفع

أو مقياس رقمي أكثر تفصيلًا عند الحاجة.

ثم توضع المخاطر في Risk Matrix للمساعدة في تحديد الأولويات.

لكن يجب الانتباه إلى نقطة مهمة:

Risk Score أداة لدعم الحكم الإداري، وليس بديلًا عنه.

فقد يكون خطر معين منخفض الاحتمالية لكنه كارثي الأثر، وبالتالي لا ينبغي تجاهله فقط لأن حاصل التقييم العددي لم يكن الأعلى.

كما أن جودة النتيجة تعتمد أصلًا على جودة المعلومات والتقديرات المستخدمة.

---

تاسعًا: مثال عملي... ماذا لو كان 65% من التمويل يأتي من مانح واحد؟

لنفترض أن جمعية تعتمد على مانح واحد في 65% من دخلها السنوي.

يمكن تحليل الخطر كالتالي:

الخطر: توقف أو عدم تجديد التمويل من المانح الرئيسي.

السبب: ارتفاع تركّز مصادر التمويل.

الأثر: تعطل برامج أساسية وعدم القدرة على تغطية بعض الالتزامات.

Likelihood: مرتفع.

Impact: مرتفع.

Inherent Risk: مرتفع جدًا.

الضوابط والإجراءات

• خطة لتنويع مصادر الدخل.
• بناء Donor Pipeline.
• تطوير مصادر تمويل غير مقيدة.
• بناء احتياطي مالي مناسب.
• مراجعة توقعات التدفقات النقدية.

Risk Owner

المدير التنفيذي أو المسؤول المعتمد عن تنمية الموارد، بحسب هيكل المؤسسة.

KRI

نسبة الإيرادات القادمة من أكبر مانح.

Trigger

مثلًا، إذا تجاوز الاعتماد الحد الذي اعتمدته المؤسسة، يصبح التدخل أو التصعيد مطلوبًا.

Treatment

Mitigate.

بعد تنفيذ الإجراءات، يُعاد تقييم الخطر لتحديد:

Residual Risk.

هذا المثال يوضح أن Risk Register ليس قائمة مخاوف، بل أداة تربط الخطر بالمسؤول والإجراء والمؤشر والقرار.

---

عاشرًا: كيف نتعامل مع المخاطر؟

هناك أربع استراتيجيات رئيسية:

1. Avoid – التجنب

إيقاف النشاط أو تغيير القرار عندما يكون التعرض للخطر غير مقبول.

2. Mitigate – التخفيف

تقليل احتمالية وقوع الخطر أو تأثيره من خلال ضوابط وإجراءات إضافية.

3. Transfer / Share – النقل أو المشاركة

نقل أو مشاركة جزء من الأثر مع طرف آخر، مثل التأمين أو بعض الترتيبات التعاقدية المناسبة.

لكن نقل جزء من الخطر لا يعني دائمًا انتقال مسؤولية المؤسسة بالكامل.

4. Accept – القبول

قبول الخطر عندما يكون ضمن الحدود المعتمدة، مع الاستمرار في مراقبته.

والسؤال ليس:

كيف نزيل هذا الخطر؟

بل:

ما الاستجابة الأكثر تناسبًا مع مستوى الخطر وأهداف المؤسسة وتكلفة المعالجة؟

---

الحادي عشر: Risk Owner... من المسؤول فعلًا؟

من أكثر المشكلات شيوعًا أن يُكتب أمام الخطر:

المسؤول: الإدارة.

أو:

جميع الأقسام.

وهذا يضعف المساءلة.

يحتاج كل خطر رئيسي إلى Risk Owner واضح يمتلك الصلاحية والمسؤولية المناسبة لمتابعته.

ويكون مسؤولًا عن:

• مراقبة الخطر.
• مراجعة تقييمه.
• متابعة الضوابط.
• متابعة خطة المعالجة.
• مراقبة مؤشرات الإنذار.
• التصعيد عند تجاوز الحدود.
• تحديث الإدارة بشأن حالته.

يمكن أن تشارك عدة إدارات في معالجة الخطر، لكن يجب أن تكون ملكية الخطر واضحة.

---

الثاني عشر: مؤشرات المخاطر الرئيسية KRIs... لا تنتظر وقوع الحدث

من أفضل طرق الانتقال إلى الإدارة الاستباقية استخدام:

Key Risk Indicators – KRIs

وهي مؤشرات تساعد المؤسسة على اكتشاف تغير مستوى التعرض للخطر قبل أن يتحول إلى مشكلة كبيرة.

مثل:

• ارتفاع معدل دوران الموظفين.
• تراجع السيولة.
• زيادة الشكاوى المتكررة.
• ارتفاع نسبة المشاريع المتأخرة.
• زيادة الأعطال التقنية.
• تكرار أخطاء البيانات.
• ارتفاع الاعتماد على ممول واحد.
• انخفاض رضا المستفيدين.

لكن المؤشر يصبح أكثر فائدة عندما يرتبط بحدود واضحة للتدخل.

مثال:

KRI: معدل دوران الموظفين.

الوضع الطبيعي: أقل من الحد المعتمد.

Warning: الاقتراب من الحد.

Escalation: تجاوزه.

وهكذا يتحول KRI من رقم في Dashboard إلى:

Trigger for Action.

---

الثالث عشر: Scenario Analysis... لا تحاول توقع المستقبل بدقة

لا تستطيع المؤسسة معرفة كل ما سيحدث.

لكنها تستطيع الاستعداد لعدة احتمالات.

لنفترض أن برنامجًا يعتمد على تمويل متوقع خلال ثلاثة أشهر.

يمكن التفكير في:

Expected Case

يصل التمويل في موعده.

Adverse Case

يتأخر التمويل عدة أسابيع.

Severe Case

لا يصل التمويل أو يتوقف بصورة مفاجئة.

ثم نسأل لكل سيناريو:

ما الذي سيتأثر؟

ما الخدمات الحرجة التي يجب استمرارها؟

ما الالتزامات التي يجب حمايتها؟

متى يجب أن نتخذ القرار؟

من يملك صلاحية اتخاذه؟

ما الموارد البديلة المتاحة؟

هنا تتصل إدارة المخاطر مباشرة بـ Business Continuity واستمرارية الخدمات.

والهدف ليس التنبؤ بالمستقبل بدقة، وإنما:

أن تكون القرارات الصعبة قد فُكر فيها قبل أن تضطر المؤسسة إلى اتخاذها تحت ضغط الأزمة.

---

الرابع عشر: المخاطر والفرص... ليس كل عدم يقين تهديدًا فقط

قد تكشف إدارة المخاطر أيضًا فرصًا للتحسين.

مثلًا، إذا اكتشفت المؤسسة أن الاعتماد على قناة واحدة للتبرعات يمثل خطرًا، فقد يقود ذلك إلى:

تنويع القنوات → الوصول إلى شرائح جديدة من المانحين → زيادة الاستدامة المالية.

وإذا كشف خطر تعطل العمل اليدوي عن ضعف العمليات، فقد يدفع إلى:

الأتمتة → تقليل الأخطاء → رفع الكفاءة.

وقد يكشف تغير احتياجات المجتمع عن فرصة لإعادة تصميم برنامج ليصبح أكثر تأثيرًا.

لذلك يمكن أن تسأل المؤسسة عند مراجعة الخطر:

ما الذي يكشفه هذا الخطر عن نقاط ضعفنا؟

ثم:

هل توجد فرصة لتحسين النظام أو الخدمة أو القرار أثناء معالجته؟

إدارة المخاطر الجيدة لا تجعل المؤسسة أكثر خوفًا من التغيير.

بل تساعدها على المخاطرة بوعي عندما تكون الفرصة تستحق ذلك.

---

الخامس عشر: دور مجلس الإدارة والإدارة التنفيذية

نجاح إدارة المخاطر يحتاج إلى توزيع واضح للمسؤوليات.

مجلس الإدارة

يتولى على المستوى المناسب:

• الإشراف على إطار إدارة المخاطر.
• اعتماد السياسات.
• تحديد Risk Appetite.
• مراجعة المخاطر الاستراتيجية والرئيسية.
• متابعة ما إذا كانت المخاطر ضمن الحدود المقبولة.
• مساءلة الإدارة عن معالجة المخاطر الجوهرية.

الإدارة التنفيذية

تتولى:

• تطبيق إطار وسياسات إدارة المخاطر.
• إدارة Risk Register.
• تعيين ومتابعة Risk Owners.
• تنفيذ خطط المعالجة.
• مراقبة KRIs.
• تصعيد المخاطر المهمة.
• تقديم معلومات دورية لمجلس الإدارة.
• دمج المخاطر في التخطيط والعمليات.

أما الإدارات والفرق التشغيلية، فهي غالبًا الأقرب إلى الإشارات الأولى للمخاطر، ولذلك يجب أن تكون جزءًا فعليًا من المنظومة.

---

السادس عشر: بناء ثقافة لا تعاقب من يبلغ عن الخطر

لا يمكن لأي نظام أن ينجح إذا كان الموظف يخشى قول:

لدينا مشكلة.

إذا كان الإبلاغ عن المخاطر يُفسر باعتباره فشلًا شخصيًا، فستصل المعلومات إلى الإدارة متأخرة.

أما الثقافة الناضجة فتشجع الموظفين والمتطوعين على:

• الإبلاغ المبكر بحسن نية.
• مناقشة الأخطاء.
• مشاركة Near Misses.
• طرح المخاوف.
• توثيق الدروس المستفادة.
• اقتراح التحسينات.

وهذا لا يعني غياب المساءلة عن الإهمال أو المخالفات.

بل يعني التفريق بين:

الإبلاغ المهني عن الخطر والسلوك الذي تسبب فيه بصورة غير مسؤولة.

الهدف هو بناء مؤسسة ترى اكتشاف الخطر مبكرًا باعتباره نجاحًا للنظام، لا إحراجًا يجب إخفاؤه.

---

السابع عشر: إدارة المخاطر والحوكمة والامتثال

ترتبط إدارة المخاطر ارتباطًا مباشرًا بالحوكمة.

الحوكمة تحدد من يقرر ومن يراقب ومن يُساءل.

الامتثال يساعد المؤسسة على الالتزام بالمتطلبات القانونية والتنظيمية والتعاقدية والسياسات.

إدارة المخاطر تساعدها على معرفة ما الذي قد يمنعها من تحقيق أهدافها أو الوفاء بهذه الالتزامات.

ويظهر التكامل عندما:

• ترتبط المخاطر بالأهداف الاستراتيجية.
• تُناقش المخاطر الرئيسية على مستوى الإدارة والمجلس.
• تستخدم نتائج التدقيق لتحديث Risk Register.
• تؤثر المخاطر في تخصيص الموارد.
• تُدمج المخاطر في تصميم المشاريع الجديدة.
• تتم مراجعة المخاطر عند حدوث تغييرات جوهرية.

عندها تصبح إدارة المخاطر جزءًا من اتخاذ القرار وليس نظامًا موازيًا له.

---

الثامن عشر: كيف يعرف المانح أن إدارة المخاطر مطبقة فعلًا؟

وجود Risk Management Policy لا يثبت وحده أن المؤسسة تدير مخاطرها.

قد يبحث المانح أو الشريك عن أدلة مثل:

Risk Management Policy → Risk Appetite Statement → Risk Register → Risk Owners → Risk Treatment Plans → KRIs → Incident Records → Business Continuity Plans → Corrective Actions → Board Risk Reports → Lessons Learned.

لكن أحد أقوى الاختبارات العملية هو:

أرونا خطرًا رئيسيًا ارتفع خلال السنة الماضية.

ثم:

كيف اكتشفتموه؟

من كان Risk Owner؟

كيف تغير تقييمه؟

متى تم تصعيده؟

ما الإجراءات التي اتخذتموها؟

هل نُفذت؟

وما مستوى Residual Risk بعد المعالجة؟

الإجابة الموثقة عن هذه الأسئلة تعكس نضجًا أكبر بكثير من وجود سياسة مثالية لم تُستخدم.

---

التاسع عشر: كيف تقيس نضج نظام إدارة المخاطر؟

يمكن للمؤسسة مراجعة عناصر مثل:

• وجود إطار وسياسة واضحة لإدارة المخاطر.
• ارتباط المخاطر بالأهداف الاستراتيجية.
• وجود Risk Appetite معتمد.
• تحديث Risk Register بصورة منتظمة.
• وجود Risk Owner واضح لكل خطر رئيسي.
• التفريق بين Inherent وResidual Risk.
• تقييم فعالية الضوابط.
• وجود Treatment Plans للمخاطر المهمة.
• استخدام KRIs وحدود للتصعيد.
• إدراج المخاطر في تقارير الإدارة ومجلس الإدارة.
• استخدام Scenario Analysis للمخاطر الجوهرية عند الحاجة.
• ربط إدارة المخاطر باستمرارية الأعمال.
• تحليل الحوادث وNear Misses.
• توثيق الإجراءات التصحيحية والدروس المستفادة.
• دمج تقييم المخاطر في المشاريع والقرارات والتغييرات المهمة.

لكن لا ينبغي قياس النضج بعدد الوثائق.

السؤال الحقيقي هو:

هل تغير قرارات المؤسسة عندما تتغير مخاطرها؟

إذا لم يحدث ذلك، فهناك سجل مخاطر، لكن إدارة المخاطر لم تصبح بعد جزءًا حقيقيًا من الإدارة.

---

العشرون: من الخطر إلى التحسين المستمر

بعد وقوع حادث أو اقتراب وقوعه، لا ينبغي أن تنتهي العملية عند:

تم حل المشكلة.

بل يجب أن نسأل:

لماذا حدثت؟

لماذا لم تكتشف مبكرًا؟

هل كانت الضوابط غير كافية أم لم تطبق؟

هل يوجد الخطر نفسه في عملية أخرى؟

ما الذي يجب تغييره؟

ثم:

Incident → Root Cause → Corrective Action → Updated Controls → Updated Risk Assessment → Lesson Learned

وهكذا تتحول الحوادث والمخاطر إلى مدخلات للتحسين المؤسسي.

---

قبل الانتقال إلى المقال القادم...

يمكن للجمعية أن تبدأ عمليًا بـ:

✓ تحديد المخاطر المرتبطة بأهدافها الرئيسية.

✓ إنشاء أو تحديث Risk Register.

✓ تحديد Risk Owner لكل خطر رئيسي.

✓ تقييم Inherent Risk.

✓ توثيق الضوابط الحالية.

✓ تقييم Residual Risk.

✓ تحديد Risk Appetite وTolerance للمجالات المهمة.

✓ إعداد Treatment Plans للمخاطر التي تتجاوز الحدود المقبولة.

✓ تحديد KRIs للمخاطر الرئيسية.

✓ وضع Thresholds واضحة للتدخل والتصعيد.

✓ استخدام Scenario Analysis للمخاطر الحرجة.

✓ ربط المخاطر باستمرارية الأعمال.

✓ مناقشة المخاطر دوريًا في الإدارة ومجلس الإدارة.

✓ تحليل الحوادث وNear Misses.

✓ تحويل الدروس المستفادة إلى تعديلات فعلية في الضوابط والإجراءات.

---

تقييم ذاتي سريع

اسأل نفسك:

□ هل نعرف أهم المخاطر التي تهدد أهدافنا حاليًا؟

□ هل نعرف مقدار المخاطر الذي نحن مستعدون لقبوله؟

□ هل لكل خطر رئيسي Risk Owner واضح؟

□ هل نعرف مستوى الخطر قبل الضوابط وبعدها؟

□ هل نختبر فعالية الضوابط أم نفترض أنها تعمل؟

□ هل توجد مؤشرات تحذرنا قبل تفاقم المخاطر الرئيسية؟

□ هل يعرف الفريق متى يجب تصعيد الخطر؟

□ هل نفهم كيف يمكن أن يؤدي خطر في إدارة إلى مخاطر في إدارات أخرى؟

□ هل لدينا سيناريوهات جاهزة للمخاطر الحرجة؟

□ هل نعرف الخدمات التي يجب ألا تتوقف أثناء الأزمات؟

□ هل يستطيع الموظفون الإبلاغ عن المخاطر مبكرًا؟

□ هل يناقش مجلس الإدارة المخاطر الجوهرية بصورة منتظمة؟

□ هل نستطيع تقديم مثال على قرار تغير نتيجة ارتفاع مستوى خطر؟

□ هل نستطيع إثبات أن معالجة أحد المخاطر خفضت Residual Risk؟

إذا كانت الإجابة "لا" على عدد من هذه الأسئلة، فقد تكون المؤسسة تسجل المخاطر، لكنها لم تبنِ بعد منظومة مؤسسية لإدارتها.

---

خاتمة

إدارة المخاطر ليست محاولة للتنبؤ بالمستقبل بدقة.

إنها بناء قدرة مؤسسية على التعامل مع عدم اليقين.

وتبدأ هذه القدرة عندما تعرف المؤسسة أهدافها، وتحدد ما قد يمنع تحقيقها، وتفهم مقدار المخاطر الذي تستطيع تحمله، وتعين مسؤولًا عن كل خطر رئيسي، وتراقب إشارات الإنذار، وتستعد للسيناريوهات المحتملة، وتتدخل قبل أن يصبح الخطر أزمة.

لكن المؤسسة الأكثر نضجًا تذهب أبعد من ذلك.

فهي لا تسأل فقط:

كيف نحمي أنفسنا من هذا الخطر؟

بل تسأل أيضًا:

ماذا تعلمنا منه؟ وما الذي يمكن أن نحسنه بسببه؟

وهكذا تصبح إدارة المخاطر أكثر من سجل ومصفوفة وتقارير.

تصبح جزءًا من الحوكمة والتخطيط واتخاذ القرار والتعلم المؤسسي.

والمؤسسات الأكثر قدرة على الاستمرار ليست تلك التي لا تواجه المخاطر، بل تلك التي تراها مبكرًا، وتفهمها، وتعرف حدودها، وتستجيب لها بوعي، ثم تستخدم ما تعلمته لبناء مؤسسة أقوى وأكثر مرونة واستدامة.