ISO 31000 یک استاندارد راهنما برای مدیریت ریسک است؛ نه یک چک‌لیست صدور گواهینامه. هدف آن ایجاد یک روش منسجم برای شناسایی، تحلیل، ارزیابی، پاسخ و پایش ریسک در سراسر سازمان است.
سناریو: مهاجرت سامانه مالی به دیتاسنتر جدید
یک سازمان قصد دارد سامانه مالی خود را به دیتاسنتر جدید منتقل کند. پروژه از نظر فنی ساده به نظر می‌رسد، اما وابستگی‌های زیادی دارد: شبکه، نسخه پشتیبان، پیمانکار، بانک اطلاعاتی، کاربران شعب و الزامات تداوم کسب‌وکار. ISO 31000 کمک می‌کند تصمیم‌ها قبل از اجرا بر پایه ریسک گرفته شوند.
فرآیند ISO 31000 در یک نگاه
| گام | سؤال | نمونه خروجی |
|---|---|---|
| تعیین دامنه و معیار | چه چیزی را ارزیابی می‌کنیم و معیار موفقیت چیست؟ | دامنه مهاجرت سامانه مالی، RTO، RPO و SLA |
| شناسایی ریسک | چه اتفاقی ممکن است بیفتد؟ | خرابی Backup، تأخیر DNS، ناسازگاری نسخه DB |
| تحلیل ریسک | احتمال و پیامد چقدر است؟ | امتیاز احتمال و اثر |
| ارزیابی ریسک | کدام ریسک قابل قبول است؟ | مقایسه با معیار پذیرش |
| پاسخ به ریسک | اجتناب، کاهش، انتقال یا پذیرش؟ | تست بازیابی، Rollback Plan، بیمه |
| پایش و بازنگری | بعد از اقدام چه تغییری کرد؟ | ریسک باقیمانده و وضعیت کنترل |
مثال عملی
| رویداد ریسک | علت | پیامد | کنترل پیشنهادی |
|---|---|---|---|
| عدم راه‌اندازی سامانه پس از مهاجرت | ناسازگاری نسخه پایگاه داده | توقف عملیات مالی | تست Pre-Production و Rollback |
| از دست رفتن داده | Backup ناقص یا غیرقابل بازیابی | زیان مالی و حقوقی | Restore Test قبل از مهاجرت |
| قطع ارتباط شعب | خطای Route یا DNS | عدم دسترسی کاربران | پیش‌آزمون و مسیر جایگزین |
ISO 31000 چه چیزی را تغییر می‌دهد؟
مهم‌ترین تغییر، نگاه سیستماتیک است. به‌جای اینکه بعد از وقوع مشکل بپرسیم «چه شد؟»، قبل از اجرا می‌پرسیم «چه چیزی ممکن است مانع هدف شود، چرا، با چه اثری و چه کسی باید پاسخ دهد؟».
پیاده‌سازی در MedaGRC
در MedaGRC می‌توان Risk Register را بر اساس دامنه و واحد سازمانی تفکیک کرد، معیارهای احتمال و اثر را تعریف کرد، مالک ریسک تعیین نمود، کنترل و برنامه درمان را ثبت کرد و بعد از اجرای اقدام، ریسک باقیمانده را دوباره محاسبه کرد. این چرخه باعث می‌شود Risk Treatment فقط یک متن باقی نماند و به اقدام قابل پیگیری تبدیل شود.
چه تفاوتی با ISO 27001 دارد؟
ISO 31000 یک چارچوب عمومی مدیریت ریسک است و می‌تواند برای مالی، عملیات، پروژه، منابع انسانی، امنیت یا هر حوزه دیگری استفاده شود. ISO 27001 بر سیستم مدیریت امنیت اطلاعات تمرکز دارد. در عمل، بسیاری از سازمان‌ها از منطق ISO 31000 برای ساخت رویکرد مدیریت ریسک خود استفاده می‌کنند و آن را در حوزه امنیت اطلاعات نیز به‌کار می‌گیرند.
چیستان GRC
من قبل از اتفاق وجود دارم، بعد از کنترل هم باقی می‌مانم، اما مقدارم باید کمتر شود. اگر هیچ‌وقت دوباره اندازه‌گیری نشوم، شاید فقط روی کاغذ کم شده باشم. من چه هستم؟
پاسخ
ریسک باقیمانده (Residual Risk).
جمع‌بندی
ISO 31000 به سازمان یک زبان مشترک برای ریسک می‌دهد. اگر دامنه، معیار، مالک، ارزیابی، پاسخ و پایش درست تعریف شوند، ریسک از یک موضوع مبهم به یک ورودی واقعی برای تصمیم‌گیری تبدیل می‌شود.
