ISO 31000 چیست؟

ISO 31000 یک استاندارد بین المللی برای ارائه اصول و راهنمایی های مربوط به مدیریت ریسک است. هدف این استاندارد ایجاد یک رویکرد منظم و ساختاریافته برای شناسایی، تحلیل، ارزیابی و برخورد با ریسک ها است.

ایزو 31000 برخلاف برخی استانداردهای سیستم مدیریتی، یک استاندارد گواهی پذیر به معنای معمول نیست؛ بلکه به عنوان یک چارچوب و راهنما برای کمک به سازمان ها در مدیریت ریسک مورد استفاده قرار می گیرد.

مدیریت ریسک بر اساس ISO 31000 باید با اهداف، تصمیم گیری ها، ساختار و فرآیندهای سازمان هماهنگ باشد.

مدیریت ریسک چیست؟

مدیریت ریسک فرآیندی برای شناسایی و بررسی رویدادها یا شرایطی است که ممکن است بر اهداف سازمان تأثیر بگذارند و سپس اتخاذ اقدامات مناسب برای برخورد با آنها.

ریسک می تواند اثر مثبت یا منفی بر اهداف داشته باشد؛ بنابراین مدیریت ریسک فقط به معنای جلوگیری از اتفاقات نامطلوب نیست، بلکه می تواند به سازمان در شناسایی فرصت ها و تصمیم گیری آگاهانه نیز کمک کند.

به زبان ساده، مدیریت ریسک به سازمان کمک می کند قبل از اینکه یک مشکل جدی ایجاد شود، آن را شناسایی کرده و برای نحوه برخورد با آن برنامه داشته باشد.

ریسک چیست؟

در چارچوب ISO 31000، ریسک به اثر عدم قطعیت بر اهداف اشاره دارد.

عدم قطعیت یعنی درباره وقوع یک رویداد یا نتیجه آن اطمینان کامل وجود ندارد. این عدم قطعیت می تواند بر اهداف سازمان تأثیر بگذارد.

برای مثال، یک سازمان ممکن است با ریسک هایی مانند موارد زیر مواجه باشد:

• خرابی تجهیزات
• اختلال در تأمین مواد اولیه
• خطای انسانی
• حوادث شغلی
• مشکلات مالی
• تغییر قوانین و مقررات
• اختلال در سیستم های فناوری اطلاعات
• کاهش کیفیت محصول
• تأخیر در اجرای پروژه
• مشکلات زنجیره تأمین

نوع و میزان ریسک در هر سازمان متفاوت است و باید بر اساس شرایط همان سازمان بررسی شود.

اهمیت مدیریت ریسک در سازمان ها

اجرای یک فرآیند مناسب مدیریت ریسک می تواند به سازمان کمک کند تا تصمیمات خود را با شناخت بیشتری از عدم قطعیت ها اتخاذ کند.

برخی از مهم ترین مزایای مدیریت ریسک عبارت اند از:

شناسایی زودهنگام تهدیدها

با شناسایی ریسک ها، سازمان می تواند قبل از وقوع رویدادهای نامطلوب برای آنها برنامه ریزی کند.

بهبود تصمیم گیری

اطلاع از ریسک های احتمالی می تواند کیفیت تصمیم های مدیریتی را افزایش دهد.

کاهش خسارت

کنترل و برخورد مناسب با ریسک ها می تواند احتمال وقوع برخی حوادث یا میزان پیامدهای آنها را کاهش دهد.

افزایش آمادگی سازمان

سازمان با شناسایی سناریوهای مختلف، آمادگی بیشتری برای مواجهه با شرایط غیرمنتظره خواهد داشت.

بهبود ایمنی

در حوزه ایمنی، مدیریت ریسک می تواند به شناسایی خطرات و تعیین اقدامات کنترلی مناسب کمک کند.

اصول مدیریت ریسک در ISO 31000

استاندارد ISO 31000 بر مجموعه ای از اصول برای اثربخشی مدیریت ریسک تأکید دارد.

مهم ترین این اصول شامل موارد زیر است:

• مدیریت ریسک باید یکپارچه باشد.
• رویکرد مدیریت ریسک باید ساختاریافته و جامع باشد.
• فرآیند مدیریت ریسک باید متناسب با شرایط سازمان باشد.
• مشارکت ذی نفعان اهمیت دارد.
• مدیریت ریسک باید پویا و متناسب با تغییرات باشد.
• بهترین اطلاعات موجود باید در تصمیم گیری مورد استفاده قرار گیرد.
• عوامل انسانی و فرهنگی باید در نظر گرفته شوند.
• مدیریت ریسک باید به صورت مستمر بهبود پیدا کند.

بنابراین، مدیریت ریسک نباید یک فعالیت جداگانه و مقطعی باشد، بلکه بهتر است با فرآیندهای اصلی سازمان ادغام شود.

فرآیند مدیریت ریسک در ISO 31000

فرآیند مدیریت ریسک را می توان به چند مرحله اصلی تقسیم کرد:

1. تعیین دامنه، زمینه و معیارها

در ابتدا باید مشخص شود مدیریت ریسک در چه حوزه ای انجام می شود و اهداف، شرایط داخلی و خارجی و معیارهای مورد استفاده برای تصمیم گیری چیست.

2. شناسایی ریسک

در این مرحله، ریسک های احتمالی که می توانند بر اهداف سازمان تأثیر بگذارند شناسایی می شوند.

برای شناسایی ریسک می توان از روش های مختلفی مانند جلسات کارشناسی، بررسی سوابق، مصاحبه، چک لیست و تحلیل فرآیندها استفاده کرد.

3. تحلیل ریسک

پس از شناسایی، ریسک ها مورد تحلیل قرار می گیرند.

در ارزیابی ریسک معمولاً عواملی مانند احتمال وقوع و شدت پیامد مورد توجه قرار می گیرند. نوع روش تحلیل باید متناسب با ماهیت ریسک و نیاز سازمان انتخاب شود.

4. ارزیابی ریسک

در این مرحله، نتایج تحلیل ریسک با معیارهای تعیین شده مقایسه می شوند تا مشخص شود کدام ریسک ها نیازمند اقدام هستند و اولویت آنها چگونه است.

5. برخورد با ریسک

پس از ارزیابی، سازمان درباره نحوه برخورد با ریسک تصمیم گیری می کند.

اقدامات می تواند شامل مواردی مانند:

• اجتناب از ریسک
• حذف یا تغییر منبع ریسک
• کاهش احتمال وقوع
• کاهش پیامد
• انتقال یا تقسیم ریسک
• پذیرش ریسک بر اساس معیارهای سازمان

باشد.

6. پایش و بازنگری

ریسک ها ثابت نیستند و ممکن است با تغییر شرایط سازمان تغییر کنند. بنابراین لازم است ریسک ها و اقدامات انجام شده به صورت مستمر پایش و بازنگری شوند.

7. ثبت و گزارش دهی

مستندسازی اطلاعات مربوط به ریسک ها، اقدامات کنترلی، مسئولیت ها و نتایج پایش می تواند به ایجاد یک فرآیند منظم و قابل پیگیری کمک کند.

ارزیابی ریسک چیست؟

ارزیابی ریسک بخشی از فرآیند مدیریت ریسک است که معمولاً پس از شناسایی و تحلیل ریسک انجام می شود.

در ارزیابی ریسک، نتایج تحلیل با معیارهای تعیین شده توسط سازمان مقایسه می شوند تا مشخص شود ریسک قابل پذیرش است یا نیاز به اقدامات بیشتری دارد.

برای مثال، سازمان می تواند ریسک ها را بر اساس سطح احتمال و شدت پیامد طبقه بندی کرده و برای ریسک های با اولویت بالاتر اقدامات کنترلی بیشتری در نظر بگیرد.

نکته مهم این است که روش ارزیابی ریسک باید با نوع فعالیت و شرایط سازمان متناسب باشد.

مدیریت ریسک و ایمنی

یکی از کاربردهای مهم مدیریت ریسک در حوزه ایمنی است.

در محیط های کاری، سازمان ممکن است با خطرات مختلفی مانند سقوط، آتش سوزی، برق گرفتگی، مواد شیمیایی، تجهیزات مکانیکی یا خطاهای انسانی مواجه باشد.

مدیریت ریسک ایمنی کمک می کند خطرات شناسایی شده، میزان ریسک آنها بررسی شود و اقدامات کنترلی مناسب برای کاهش ریسک طراحی و اجرا شوند.

به همین دلیل، رویکردهای مدیریت ریسک می توانند در کنار سیستم های مدیریت ایمنی و بهداشت حرفه ای مورد استفاده قرار گیرند.

روش های برخورد با ریسک

پس از انجام ارزیابی ریسک، سازمان باید مشخص کند با هر ریسک چگونه برخورد کند.

برخی از روش های رایج عبارت اند از:

اجتناب از ریسک

در این روش فعالیتی که باعث ایجاد ریسک می شود متوقف یا حذف می شود.

کاهش ریسک

هدف، کاهش احتمال وقوع یا کاهش شدت پیامدهای ریسک است.

انتقال یا تقسیم ریسک

در برخی موارد می توان بخشی از پیامد یا مسئولیت ریسک را با استفاده از سازوکارهایی مانند قرارداد یا بیمه تقسیم یا منتقل کرد.

پذیرش ریسک

اگر ریسک در محدوده قابل قبول سازمان باشد، ممکن است با آگاهی و تصمیم گیری مناسب پذیرفته شود.

نقش مدیریت در اجرای ISO 31000

مدیریت ارشد نقش مهمی در اثربخشی مدیریت ریسک دارد.

مدیریت باید اهمیت مدیریت ریسک را در سازمان مشخص کرده، مسئولیت ها را تعیین کند و منابع لازم برای اجرای فرآیند را در اختیار سازمان قرار دهد.

همچنین تصمیم های مدیریتی مهم باید تا حد امکان با در نظر گرفتن ریسک ها و فرصت های مرتبط اتخاذ شوند.

مستندسازی در مدیریت ریسک

مستندسازی یکی از ابزارهای مهم برای حفظ اطلاعات مربوط به ریسک ها و اقدامات انجام شده است.

سازمان می تواند اطلاعاتی مانند موارد زیر را ثبت کند:

• ریسک شناسایی شده
• علت یا منبع ریسک
• پیامد احتمالی
• نتایج تحلیل و ارزیابی
• سطح یا اولویت ریسک
• اقدامات کنترلی
• مسئول اجرای اقدامات
• زمان بندی اقدامات
• وضعیت اجرای اقدامات
• نتایج پایش و بازنگری

این اطلاعات می توانند در تصمیم گیری و پیگیری اقدامات مدیریت ریسک مورد استفاده قرار گیرند.

ارتباط ISO 31000 با سایر استانداردهای مدیریتی

مدیریت ریسک می تواند در بسیاری از سیستم های مدیریتی مورد استفاده قرار گیرد.

برای مثال، رویکرد مدیریت ریسک می تواند با موضوعاتی مانند:

• ISO 9001 و مدیریت کیفیت
• ISO 14001 و مدیریت زیست محیطی
• ISO 45001 و ایمنی و بهداشت شغلی
• مدیریت پروژه
• مدیریت زنجیره تأمین
• مدیریت امنیت اطلاعات

ارتباط داشته باشد.

استفاده از رویکرد مشترک مدیریت ریسک می تواند به سازمان کمک کند ریسک های مختلف را به شکل هماهنگ تری شناسایی و مدیریت کند.

تفاوت مدیریت ریسک و ارزیابی ریسک چیست؟

مدیریت ریسک یک فرآیند گسترده است که از تعیین زمینه و شناسایی ریسک تا تحلیل، ارزیابی، برخورد، پایش و بازنگری را دربرمی گیرد.

اما ارزیابی ریسک بخشی از فرآیند مدیریت ریسک است که برای بررسی و مقایسه ریسک ها با معیارهای تعیین شده انجام می شود.

به عبارت ساده:

مدیریت ریسک = فرآیند کلی مدیریت ریسک ها

ارزیابی ریسک = یکی از بخش های مهم این فرآیند

مزایای پیاده سازی ISO 31000

استفاده از چارچوب ایزو 31000 می تواند مزایایی برای سازمان ایجاد کند، از جمله:

• ایجاد رویکرد ساختاریافته برای مدیریت ریسک
• بهبود تصمیم گیری
• افزایش آگاهی نسبت به ریسک ها
• کمک به اولویت بندی اقدامات
• کاهش احتمال برخی خسارت ها
• افزایش آمادگی در برابر تغییرات
• کمک به بهبود عملکرد سازمان
• تقویت فرهنگ مدیریت ریسک
• ایجاد هماهنگی میان واحدهای مختلف سازمان

البته میزان اثربخشی این رویکرد به نحوه پیاده سازی و تناسب آن با شرایط واقعی سازمان بستگی دارد.

چگونه مدیریت ریسک را در سازمان پیاده سازی کنیم؟

برای ایجاد یک فرآیند مؤثر مدیریت ریسک می توان مراحل زیر را در نظر گرفت:

1. تعیین اهداف و دامنه مدیریت ریسک

مشخص شود مدیریت ریسک قرار است در کدام فعالیت ها و فرآیندها اجرا شود.

2. شناسایی ریسک ها

ریسک های مرتبط با اهداف و فعالیت های سازمان شناسایی شوند.

3. تحلیل و ارزیابی ریسک

سطح و اولویت ریسک ها بر اساس معیارهای مشخص بررسی شود.

4. تعیین اقدامات کنترلی

برای ریسک های مهم، اقدامات مناسب برای کاهش، انتقال، اجتناب یا مدیریت آنها تعیین شود.

5. تعیین مسئولیت ها

برای هر اقدام، مسئول یا واحد مربوطه مشخص شود.

6. پایش و بازنگری

اثربخشی اقدامات بررسی و ریسک ها در فواصل مناسب بازنگری شوند.

7. بهبود مستمر

نتایج به دست آمده برای اصلاح و بهبود فرآیند مدیریت ریسک مورد استفاده قرار گیرند.

سوالات متداول

ISO 31000 چیست؟

ISO 31000 یک استاندارد بین المللی برای ارائه اصول و راهنمایی های مدیریت ریسک است. این استاندارد به سازمان ها کمک می کند ریسک ها را به شکل ساختاریافته شناسایی، تحلیل، ارزیابی و مدیریت کنند.

ایزو 31000 برای چه سازمان هایی مناسب است؟

ایزو 31000 می تواند برای سازمان ها و کسب وکارهای مختلف در اندازه ها و حوزه های گوناگون مورد استفاده قرار گیرد. اصول آن قابلیت تطبیق با شرایط، اهداف و فرآیندهای مختلف سازمان را دارد.

مدیریت ریسک چیست؟

مدیریت ریسک فرآیندی برای شناسایی، تحلیل، ارزیابی و برخورد با ریسک هایی است که می توانند بر اهداف سازمان تأثیر بگذارند.

ارزیابی ریسک چیست؟

ارزیابی ریسک فرآیندی برای مقایسه نتایج تحلیل ریسک با معیارهای تعیین شده و تصمیم گیری درباره اولویت و قابل پذیرش بودن ریسک است.

تفاوت ریسک و خطر چیست؟

ریسک به اثر عدم قطعیت بر اهداف اشاره دارد، در حالی که خطر معمولاً به منبع یا شرایطی اشاره می کند که می تواند موجب آسیب یا پیامد نامطلوب شود. این دو مفهوم به ویژه در حوزه ایمنی باید از یکدیگر تفکیک شوند.

آیا مدیریت ریسک فقط برای ایمنی کاربرد دارد؟

خیر. مدیریت ریسک در حوزه های مختلفی مانند کیفیت، مالی، پروژه، منابع انسانی، فناوری اطلاعات، زنجیره تأمین، محیط زیست و ایمنی کاربرد دارد.

مراحل اصلی مدیریت ریسک چیست؟

مراحل اصلی شامل تعیین دامنه و معیارها، شناسایی ریسک، تحلیل ریسک، ارزیابی ریسک، برخورد با ریسک، پایش و بازنگری و ثبت و گزارش دهی است.

چگونه سطح ریسک تعیین می شود؟

سطح ریسک با استفاده از روش و معیار مناسب سازمان تعیین می شود. در بسیاری از روش ها عواملی مانند احتمال وقوع و شدت پیامد مورد توجه قرار می گیرند؛ اما روش دقیق باید بر اساس نوع ریسک و شرایط سازمان انتخاب شود.

چرا ارزیابی ریسک اهمیت دارد؟

زیرا به سازمان کمک می کند ریسک های مختلف را با معیارهای مشخص مقایسه کرده و برای ریسک های مهم تر، اقدامات کنترلی و منابع مناسب را در اولویت قرار دهد.

آیا ISO 31000 با ISO 45001 ارتباط دارد؟

بله. هر دو استاندارد با مفهوم مدیریت ریسک ارتباط دارند، اما ISO 45001 به طور تخصصی بر سیستم مدیریت ایمنی و بهداشت شغلی تمرکز دارد، در حالی که ISO 31000 یک چارچوب عمومی تر برای مدیریت ریسک در سازمان ارائه می کند.

جمع بندی

ISO 31000 یا ایزو 31000 یک چارچوب بین المللی برای کمک به سازمان ها در ایجاد و بهبود فرآیند مدیریت ریسک است. این استاندارد بر شناسایی، تحلیل، ارزیابی، برخورد و پایش ریسک ها تأکید دارد و می تواند در حوزه های مختلف سازمان مورد استفاده قرار گیرد.

ارزیابی ریسک یکی از بخش های مهم این فرآیند است که به سازمان کمک می کند ریسک ها را بر اساس معیارهای مشخص بررسی و اولویت بندی کند.

از آنجا که ریسک می تواند بر اهداف، عملکرد و ایمنی سازمان تأثیر بگذارد، ایجاد یک رویکرد منظم برای مدیریت آن می تواند نقش مهمی در تصمیم گیری بهتر، افزایش آمادگی سازمان و کاهش پیامدهای نامطلوب داشته باشد.

در نهایت، اثربخشی مدیریت ریسک بر اساس ISO 31000 زمانی بیشتر خواهد بود که مدیریت ریسک به عنوان بخشی از فرآیندهای روزمره و تصمیم گیری سازمان در نظر گرفته شود و به صورت مستمر پایش و بهبود پیدا کند.

[مشاهده و ثبت نام در دوره تخصصی ISO 31000 مدیریت ریسک ]