COSO ERM فقط یک فهرست ریسک نیست. این چارچوب کمک می‌کند سازمان ریسک را در دل تصمیم‌گیری، استراتژی، عملکرد و پایش قرار دهد. تفاوت اصلی در همین نکته است: ریسک قرار نیست بعد از تصمیم بررسی شود؛ باید هنگام تصمیم‌گیری دیده شود.
سناریو: توسعه سرویس آنلاین یک شرکت مالی
فرض کنید یک شرکت مالی تصمیم گرفته سرویس جدیدی برای مشتریان سازمانی راه‌اندازی کند. مدیرعامل از رشد درآمد حرف می‌زند، فناوری اطلاعات از ظرفیت زیرساخت، امنیت از حمله و نشت اطلاعات، مالی از بازگشت سرمایه و حقوقی از الزامات مقرراتی. اگر هر واحد جداگانه ریسک‌ها را بنویسد، خروجی یک «لیست نگرانی» است؛ اما COSO ERM می‌خواهد این نگرانی‌ها به اهداف سازمان وصل شوند.
پنج مؤلفه اصلی COSO ERM در عمل
| مؤلفه | سؤال کلیدی | نمونه در سناریو | خروجی |
|---|---|---|---|
| حاکمیت و فرهنگ | چه کسی پاسخ‌گوست و فرهنگ پذیرش ریسک چگونه است؟ | تعیین مالک ریسک برای سرویس جدید | نقش‌ها و مسئولیت‌ها |
| استراتژی و تعیین هدف | هدف کسب‌وکار چیست و چه میزان ریسک پذیرفته می‌شود؟ | رشد ۲۰ درصدی درآمد بدون افت سطح خدمت | هدف و اشتهای ریسک |
| عملکرد | چه ریسک‌هایی مانع هدف می‌شوند و اولویت کدام است؟ | اختلال سرویس، تقلب، هزینه بیش از بودجه | ثبت و ارزیابی ریسک |
| بازنگری و اصلاح | چه چیزی تغییر کرده و آیا کنترل‌ها هنوز مؤثرند؟ | افزایش بار سرویس پس از کمپین فروش | بازارزیابی و اقدام اصلاحی |
| اطلاعات، ارتباطات و گزارش‌دهی | چه اطلاعاتی باید به چه کسی برسد؟ | داشبورد ریسک برای مدیریت ارشد | KRI، گزارش و هشدار |
چطور ریسک را از یک جمله مبهم به تصمیم مدیریتی تبدیل کنیم؟
جمله «ممکن است سیستم قطع شود» برای مدیریت کافی نیست. بهتر است ریسک به این شکل ثبت شود: «به دلیل نبود ظرفیت افزونه و رشد پیش‌بینی‌نشده تراکنش، احتمال اختلال سرویس در ساعات اوج وجود دارد که می‌تواند باعث نقض SLA و کاهش درآمد شود.» حالا علت، رویداد و اثر مشخص است و می‌توان برای آن کنترل، مالک و اقدام تعریف کرد.
نمونه جدول ارزیابی
| ریسک | احتمال | اثر | سطح اولیه | پاسخ | ریسک باقیمانده |
|---|---|---|---|---|---|
| اختلال در ساعات اوج | زیاد | زیاد | بحرانی | افزایش ظرفیت و تست بار | متوسط |
| نشت داده مشتری | متوسط | خیلی زیاد | بحرانی | رمزنگاری، کنترل دسترسی، پایش | کم |
| هزینه بیش از بودجه | متوسط | متوسط | متوسط | کنترل مرحله‌ای بودجه و Gate | کم |
COSO ERM در MedaGRC چطور اجرا می‌شود؟
در MedaGRC می‌توان هدف، ریسک، مالک، ارزیابی اولیه، کنترل‌های کاهنده، اقدام اصلاحی و ارزیابی ریسک باقیمانده را به‌صورت قابل رهگیری ثبت کرد. مزیت مهم این است که ممیزی و مدیریت ریسک از هم جدا نمی‌مانند؛ یک یافته ممیزی می‌تواند به ریسک متصل شود و اقدام اصلاحی همان‌جا دنبال شود.
خطاهای رایج
- ساختن رجیستر ریسک بدون اتصال به اهداف کسب‌وکار
- امتیازدهی ریسک بدون تعریف معیار روشن برای احتمال و اثر
- ثبت کنترل بدون سنجش اثربخشی آن
- بستن ریسک صرفاً چون اقدام انجام شده، بدون اندازه‌گیری ریسک باقیمانده
- تمرکز کامل روی ریسک‌های منفی و نادیده گرفتن فرصت‌های ناشی از ریسک
چیستان GRC
من چیزی هستم که اگر صفر شوم، احتمالاً سازمان هیچ کاری نمی‌کند؛ اگر بی‌نهایت شوم، سازمان بدون کنترل نابود می‌شود. نه ترس هستم و نه شجاعت. من چه هستم؟
پاسخ
اشتهای ریسک (Risk Appetite). سازمان باید بداند چه میزان ریسک را برای رسیدن به اهدافش می‌پذیرد.
جمع‌بندی
COSO ERM زمانی ارزش دارد که ریسک را از یک فایل اکسل جداگانه به بخشی از تصمیم‌گیری مدیریتی تبدیل کند. اگر استراتژی، ریسک، کنترل، شاخص و اقدام اصلاحی در یک زنجیره قابل مشاهده باشند، مدیریت ریسک از «ثبت نگرانی» به «هدایت سازمان» تبدیل می‌شود.
