التدقيق والحوكمة والتحول الرقمي إدارة المخاطر • سجل المخاطر • تقييم المخاطر • ERM
إدارة المخاطر المؤسسية (ERM): كيفية بناء سجل المخاطر وتقييمها عمليًا
إدارة المخاطر ليست ملفًا يُكتب ثم يُنسى—هي نظام يساعدك على حماية التشغيل وتحسين القرار. إذا أردت تطبيق ERM بشكل قابل للقياس، ابدأ من القلب: سجل المخاطر ثم تقييم المخاطر (الاحتمال × الأثر) قبل وبعد الضوابط، ثم خطط المعالجة والمتابعة. في هذا المقال ستتعلم طريقة عملية لبناء السجل وربطه بالمخاطر المالية والتشغيلية دون تعقيد.
إذا كنت جديدًا على الموضوع فابدأ بـ الرقابة الداخلية وإطار COSO: صمام الأمان للشركة
ثم عُد هنا لتفهم كيف تتحول المخاطر إلى سجل وإجراءات متابعة… وكيف تُترجم إلى ضوابط قابلة للاختبار داخل العمليات.
نجاح ERM لا يُقاس بعدد المخاطر المكتوبة… بل بوضوح المالك، وخطة المعالجة، وسرعة إغلاق الاستثناءات قبل أن تتحول لخسائر.
ماذا ستخرج به من هذا الدليل؟
- فهم مبسط لمفهوم ERM ولماذا يختلف عن “الرقابة” وحدها.
- طريقة بناء سجل المخاطر (Risk Register) بأعمدة واضحة قابلة للتدقيق.
- نموذج عملي لـ تقييم المخاطر (Inherent/Residual) ومصفوفة 5×5.
- كيفية ربط المخاطر بالضوابط عبر RCM وقياس التقدم بمؤشرات (KRIs).
جدول المحتويات يتحدد تلقائيًا أثناء التمرير
1) ما هي إدارة المخاطر المؤسسية (ERM)؟ 2) لماذا تحتاج ERM حتى لو لديك رقابة داخلية؟ 3) أنواع المخاطر: مالية وتشغيلية والتزام واستراتيجية 4) سجل المخاطر: الأعمدة التي تحتاجها فعلًا 5) تقييم المخاطر: Inherent vs Residual بطريقة 5×5 6) استجابات المخاطر: Avoid / Mitigate / Transfer / Accept 7) ربط المخاطر بالضوابط: مصفوفة RCM 8) المتابعة والتقارير: KRIs + إغلاق الإجراءات 9) Checklist سريعة لتطبيق ERM خلال 14 يوم 10) الأسئلة الشائعة 11) الخلاصة
1) ما هي إدارة المخاطر المؤسسية (ERM)؟
إدارة المخاطر المؤسسية (ERM) هي إطار عمل يساعد المؤسسة على تحديد المخاطر التي قد تعيق تحقيق الأهداف، ثم تقييمها، ثم اختيار الاستجابة المناسبة (تجنب/تخفيف/نقل/قبول) مع متابعة مستمرة. الهدف ليس التخلص من المخاطر بالكامل—بل إدارتها بذكاء ضمن “شهية المخاطر” المقبولة.
تعريف عملي: ERM = أهداف واضحة + مخاطر مكتوبة بصياغة سليمة + تقييم قابل للقياس + مالك وخطة ومعيار متابعة.
دورة من 5 مراحل: تحديد المخاطر، تقييمها، الاستجابة، التنفيذ/الضوابط، المتابعة والتقارير. تحديد المخاطر Identify تقييم المخاطر Assess الاستجابة Respond تنفيذ/ضوابط Implement متابعة Monitor تقارير دورية + إغلاق إجراءات
كل مرحلة يجب أن تترك “أثرًا” يمكن مراجعته: سجل + تقييم + قرار + ضابط/إجراء + متابعة وإغلاق.
2) لماذا تحتاج ERM حتى لو لديك رقابة داخلية؟
كثير من الشركات تطبق ضوابط جيدة داخل العمليات، لكن بدون ERM تصبح الجهود “مجزأة”. ERM يربط المخاطر بالأهداف ويوجه الموارد نحو الأعلى تأثيرًا، ثم الرقابة الداخلية تُترجم هذا إلى ضوابط تشغيلية ومالية قابلة للتنفيذ.
لأن COSO يشرح كيف تتحول المخاطر داخل العملية إلى ضوابط (وقائية/كاشفة) مع مالك وتواتر ودليل.
اختصار الفكرة: ERM يحدد “ماذا نخاف؟ ولماذا؟” والرقابة الداخلية تجيب “كيف نمنع/نكتشف؟”.
3) أنواع المخاطر: مالية وتشغيلية والتزام واستراتيجية
لكي يكون سجل المخاطر مفيدًا، صنّف المخاطر بشكل عملي (وليس أكاديميًا). هذه أمثلة شائعة تساعدك على تغطية المخاطر المالية والتشغيلية وغيرها:
- مخاطر مالية: سيولة، ائتمان، أسعار، أخطاء تقارير، اختلاسات، تسويات غير منضبطة.
- مخاطر تشغيلية: توقف أنظمة، أخطاء تشغيل، جودة، مخزون، سلسلة إمداد، موارد بشرية.
- مخاطر التزام: ضرائب، لوائح، عقود، حماية بيانات، متطلبات جهات رقابية.
- مخاطر استراتيجية: منافسة، توسع غير مدروس، تركيز عميل/مورد، منتجات غير مناسبة.
اكتب الخطر بصياغة “سبب → حدث → أثر” مثل: بسبب ضعف حدود الائتمان، قد ترتفع الديون المعدومة مما يؤثر على السيولة والربحية.
4) سجل المخاطر: الأعمدة التي تحتاجها فعلًا
سجل المخاطر ليس جدولًا للتجميل؛ هو قاعدة بيانات للقرار. أفضل سجل هو الذي يجيب بسرعة: ما أعلى 10 مخاطر؟ من مالك كل خطر؟ ما خطة المعالجة؟ هل انخفض الخطر أم لا؟
مصفوفة تفويض الصلاحيات الإدارية والمالية (DOA Matrix) - نموذج Excel
أعمدة عملية لسجل المخاطر المؤسسي (Enterprise Risk Register)
| العمود | ماذا يكتب فيه؟ | ملاحظة مهمة |
|---|---|---|
| وصف الخطر | سبب → حدث → أثر (صياغة واضحة) | اجعل الأثر قابلًا للقياس قدر الإمكان |
| التصنيف | مالي/تشغيلي/التزام/استراتيجي | يسهّل توزيع المسؤولية والمتابعة |
| الاحتمال/الأثر | تقييم 1–5 لكل بُعد | وثّق تعريف كل درجة لتوحيد الحكم |
| الخطر قبل الضوابط | Inherent Risk (Score) | يمثل “لو لم توجد ضوابط” |
| الضوابط القائمة | وقائية/كاشفة + مالك + تواتر | بدون دليل تنفيذ = ضابط ضعيف |
| الخطر بعد الضوابط | Residual Risk (Score) | هو الذي يهم مجلس الإدارة فعليًا |
| خطة المعالجة | إجراء/مشروع/تحسين ضابط | حدد تاريخ مستهدف + حالة |
| المالك | Risk Owner | شخص مسؤول، لا “قسم” فقط |
| مؤشرات متابعة | KRI/KPI | إنذار مبكر قبل تحول الخطر لخسارة |
قالب جاهز لسجل المخاطر (Enterprise Risk Register) يساعدك على توثيق المخاطر والتقييم والمالكين وخطط المعالجة والمتابعة في جدول واحد.
مثال مبسط (سطر واحد من سجل المخاطر)
مثال عملي سريع
| الخطر | التصنيف | Inherent | ضوابط قائمة | Residual | خطة | المالك |
|---|---|---|---|---|---|---|
| ضعف حدود الائتمان قد يرفع الديون المعدومة ويضغط السيولة | مالي | 20 (5×4) | حدود ائتمان + موافقة تجاوز + متابعة أعمار الذمم | 12 (4×3) | تحديث سياسة الائتمان + تقارير استثناء أسبوعية | مدير المالية |
مناسب لتقليل مخاطر الائتمان عمليًا: تعريف حدود، موافقات تجاوز، وإجراءات متابعة—ويرتبط مباشرة بسجل المخاطر ومؤشرات أعمار الذمم.
5) تقييم المخاطر: Inherent vs Residual بطريقة 5×5
تقييم المخاطر يصبح سهلًا عندما توحّد التعاريف: (1) احتمال الحدوث، (2) الأثر، ثم درجة الخطر = احتمال × أثر. بعدها تقيّم مرتين: قبل الضوابط (Inherent) وبعد الضوابط (Residual).
تعريف درجات سريعة (مثال)
- الاحتمال (1–5): من نادر إلى شبه مؤكد.
- الأثر (1–5): من أثر محدود إلى أثر جوهري (مالي/تشغيلي/سمعة/التزام).
مصفوفة 5×5 (الأثر × الاحتمال) — مثال توضيحي
| الأثر الاحتمال | 1 | 2 | 3 | 4 | 5 |
|---|---|---|---|---|---|
| 1 | 1 | 2 | 3 | 4 | 5 |
| 2 | 2 | 4 | 6 | 8 | 10 |
| 3 | 3 | 6 | 9 | 12 | 15 |
| 4 | 4 | 8 | 12 | 16 | 20 |
| 5 | 5 | 10 | 15 | 20 | 25 |
نصيحة تدقيقية: لا تجعل التقييم “شعورًا”. وثّق سبب اختيار الدرجة (أحداث تاريخية، مؤشرات، حجم معاملات، نتائج اختبارات…).
6) استجابات المخاطر: Avoid / Mitigate / Transfer / Accept
بعد التقييم، تختار الاستجابة. الفكرة ليست اختيار “الأفضل” نظريًا، بل الأنسب للواقع ضمن شهية المخاطر وتكلفة المعالجة.
كيف تختار الاستجابة المناسبة لكل خطر؟
| الاستجابة | متى تستخدمها؟ | مثال |
|---|---|---|
| تجنب (Avoid) | عندما يكون الأثر عاليًا ولا توجد قدرة على التحكم | إيقاف نشاط عالي المخاطر أو تغيير نموذج العمل |
| تخفيف (Mitigate) | عندما يمكن تقليل الاحتمال/الأثر بضوابط وإجراءات | فصل مهام + صلاحيات + مطابقات + تقارير استثناء |
| نقل (Transfer) | عندما يمكن نقل جزء من الخطر لطرف آخر | تأمين، تعهيد، شروط عقود، ضمانات |
| قبول (Accept) | عندما يكون الخطر منخفضًا أو تكلفة التخفيف أعلى من فائدته | توثيق قبول الخطر مع متابعة KRI |
لأن تحديد “شهية المخاطر” واعتماد قرارات القبول/التجنب يحتاج حوكمة واضحة: من يقرر؟ من يراجع؟ ومن يتحمل المسؤولية؟
7) ربط المخاطر بالضوابط: مصفوفة RCM
أكبر خطأ في ERM هو أن يبقى “سجل المخاطر” منفصلًا عن التشغيل. الحل هو ربط كل خطر بضوابط داخل العملية وتوثيق ذلك في RCM (Risk & Control Matrix). بهذه الطريقة يصبح لديك: خطر → ضابط → دليل → اختبار → استثناء → إغلاق.
ما الذي توثقه RCM عادةً؟
- الخطر (Risk) + هدف العملية (Objective)
- الضابط (Control) نوعه (وقائي/كاشف) وطبيعته (يدوي/آلي)
- المالك (Owner) + التواتر (Frequency)
- الدليل (Evidence) + كيفية الاختبار (Test Procedure)
استخدم مصفوفة المخاطر والضوابط للدورات الرئيسية
نموذج RCM جاهز لربط المخاطر بالضوابط في الدورات الأساسية (مشتريات/مبيعات/مخزون/خزينة/إغلاق) مع مالك وتواتر ودليل واختبار.
8) المتابعة والتقارير: KRIs + إغلاق الإجراءات
ERM يفشل عندما تتوقف المتابعة عند “تقييم سنوي”. اجعل المتابعة دورية عبر مؤشرات KRIs (مؤشرات إنذار مبكر) وربطها بخطط المعالجة وسجل إغلاق واضح.
أمثلة KRIs سهلة القياس
- نسبة الذمم المتأخرة +60 يوم (Credit Risk)
- عدد الاستثناءات المفتوحة فوق 30 يوم (Control Exceptions)
- فروق الجرد كنسبة من المخزون (Inventory Accuracy)
- عدد تغييرات بيانات المورد/العميل دون موافقة موثقة (Master Data Changes)
- تأخر التسوية البنكية عن الموعد (Cash Controls)
اجعل لكل مؤشر: حد إنذار (Threshold) + مالك + إجراء عند تجاوز الحد. بدون هذا تصبح المؤشرات “أرقام جميلة” بلا قيمة.
9) Checklist سريعة لتطبيق ERM خلال 14 يوم
- حدد النطاق: 5–7 عمليات حساسة (P2P, O2C, مخزون, خزينة, رواتب, إغلاق).
- اكتب 20–30 خطرًا بصياغة سبب→حدث→أثر (مالي/تشغيلي/التزام).
- طبّق تقييم 5×5 وحدد Inherent/Residual مع تعريف درجات واضح.
- عيّن مالكًا لكل خطر، وحدد خطة معالجة ومواعيد وحالة.
- اربط المخاطر بضوابط عبر RCM وحدد الدليل المطلوب لكل ضابط.
- أنشئ تقرير متابعة شهري: أعلى 10 مخاطر + الاستثناءات المفتوحة + الإغلاقات.
- راجع ربع سنويًا التغييرات (نظام/فريق/توسع) وأعد وزن المخاطر عند اللزوم.
لا تبدأ بالكمال. ابدأ بنظام بسيط “يعمل” ثم حسّنه. أفضل ERM هو الذي يغيّر القرار والسلوك، لا الذي يملأ الملفات.
10) الأسئلة الشائعة
ما الفرق بين إدارة المخاطر (ERM) والرقابة الداخلية؟
إدارة المخاطر (ERM) تُحدد المخاطر وتقيّمها وتختار استجابة لها على مستوى المؤسسة وربطها بالأهداف، بينما الرقابة الداخلية تركز على تصميم وتشغيل الضوابط داخل العمليات للحد من تلك المخاطر وتحسين موثوقية التقارير والالتزام.
ما هو سجل المخاطر؟ وما أهم أعمدته؟
سجل المخاطر هو جدول مركزي يوثق المخاطر وأسبابها وآثارها والتقييم (الاحتمال/الأثر) والضوابط القائمة والخطر المتبقي وخطة المعالجة والمالك والمواعيد ومؤشرات المتابعة وحالة الإغلاق.
كيف يتم تقييم المخاطر عمليًا؟
يتم تقييم المخاطر بتحديد احتمال الحدوث والأثر (مالي/تشغيلي/سمعة/التزام)، ثم احتساب درجة الخطر (مثل 1–5 لكل بُعد) قبل الضوابط (Inherent) وبعدها (Residual) مع توثيق الافتراضات والأدلة.
ما هي أفضل استجابات المخاطر؟
استجابات المخاطر الشائعة: التجنب (Avoid)، التخفيف عبر ضوابط (Mitigate)، النقل (Transfer) مثل التأمين/التعهيد، أو القبول (Accept) عند انخفاض الأثر أو ارتفاع تكلفة المعالجة، بشرط توثيق قرار القبول وحدود الشهية.
كيف أربط المخاطر بالضوابط بطريقة قابلة للتدقيق؟
اربط كل خطر بضوابط واضحة داخل العملية (وقائية/كاشفة) مع مالك وتواتر ودليل تنفيذ، ثم وثّق الربط في مصفوفة المخاطر والضوابط (RCM) لتسهيل الاختبار والمتابعة وإغلاق الاستثناءات.
11) الخلاصة
تطبيق إدارة المخاطر (ERM) لا يحتاج تعقيدًا: ابدأ بـ سجل المخاطر، نفّذ تقييم المخاطر قبل/بعد الضوابط، حدّد مالكًا وخطة ومؤشرات متابعة، ثم اربط المخاطر بالضوابط عبر RCM لتصبح العملية قابلة للتدقيق والتحسين. بهذه الخطوات ستتحول المخاطر من “كلام عام” إلى قرارات وإجراءات تمنع الخسائر وتدعم النمو.
© مقالات السلة الرقمية — محتوى تعليمي عام. تختلف التفاصيل حسب الأنظمة في بلدك وحجم شركتك. عند اتخاذ قرارات تنظيمية/قانونية يُفضل مراجعة مختص.