הטמעת תהליך ניהול הסיכונים בארגון

הבנה כללית של מושג הסיכון היא השלב הראשון בהתמודדות עם סיכונים. השלב השני הוא בניית תהליך ניהול סיכונים. על אף קיומם של מודלים כמותיים מתקדמים ומתוחכמים, ניהול סיכונים מתבצע בסוף על ידי אנשים, ועל כן יש לבנות הליך סדור של ניהול סיכונים בארגון. תהליך סדור מורכב משלושה שלבים מרכזיים: מודעות לסיכון, מדידתו וניהולו.

מודעות לסיכון (awareness)

זיהוי הסיכון זו נקודת ההתחלה בכל הליך סדור של ניהול סיכונים.

עובדים נוטים להתמקד במה שהם עושים כעת ובמשימות שיש עליהם להשלים בעתיד. סיכונים מתממשים כאשר עובדי החברה לא מעריכים נכונה מצב לא מוכר או לא שמים לב לסיכונים הקיימים בפעילותם השגרתית. חלק מרכזי בכל ניהול סיכונים הוא זיהוי הסיכון והבנת האחריות לניהולו. עובד שמודע לסיכון בפעילותו ומבין כי הוא אחראי לנהל אותו עשה צעד חשוב וקריטי בבניית הליך ניהול הסיכונים. חשיבותו של שלב זה נובעת מהמשמעות הברורה, שסיכון שלא זוהה, לא ימשיך לשלבי המדידה והניהול.

חשוב להדגיש שאנו חיים בעולם דינמי שמשתנה בקצב מהיר. הסיכונים בנקודת זמן מסוימת בדרך כלל לא משקפים את מכלול הסיכונים בהמשך הדרך. שינויים בסביבה החיצונית, ברגולציה, בתחרות כמו גם שינויים פנימיים במבנה החברה ובעובדיה עלולים להקים לחברה סיכונים משמעותיים. לשם כך, על עובדי החברה, בכל הרמות, להיות "קשובים" לסיכונים בפעילותם, לנסות לאתר סיכונים חדשים, כאשר החברה מצידה צריכה לעודד את העובדים למודעות אקטיבית בזיהוי סיכונים חדשות.

תרבות של מודעות לסיכון בארגון משמעותה קיום של הפעילויות הבאות על ידי כל העובדים והמנהלים בארגון:

• איתור פרואקטיבי של סיכונים בפעילות החברה בכלל, ובפעילות השוטפת של כל אחד בפרט.
• חשיבה וניתוח עצמי של הפעילויות עליהן כל אחד אחראי והבנת הסיכונים הכרוכים באותן פעילויות
• דיווח ויידוע שוטף לכל רוחב הארגון על הסיכונים שאותרו במטרה לעורר מודעות ותשומת לב של אחרים לאותם סיכונים ולהשלכות שלהם על הארגון.

בחברה שבה תרבות נאותה של ניהול סיכונים, ההתמודדות עם סיכונים תהא לרוב בשלבים המוקדמים, עוד כאשר הסיכון טרם התפתח למימדים שעלולים לפגוע מהותית בחברה.

קיימות דרכים שונות לעודד מודעות לסיכון בחרה. להלן חמש דרכים אפשריות:

מחויבות ההנהלה הבכירה

על מנת להטמיע תרבות ניהול סיכונים בארגון על ההנהלה הבכירה לשמש דוגמא אישית ולהראות מחויבות להליך הטמעת תרבות ארגונית נאותה ושימורה (tone of the top). מעורבות המנהלים הבכירים, ובעיקר המנכ"ל בתהליכים היא קריטית להצלחת המהלך. חשיבות תמיכת ההנהלה היא שבניהול סיכונים עובדים בניגוד לטבע האדם. אנשים ישמחו לדון ברעיונות אסטרטגיים לפיתוח עסקי, ברעיוניות לשיפור הפעילות שלהם, אך בלשון המעטה לא יאהבו לדון בסיכונים הנגרמים בגין פעילותם השוטפת או בבעיות שתחום אחריותם עלול לגרום לחברה.

על מנת להתגבר על התנגדות טבעית זו על הגורם הבכיר ביותר, המנכ"ל לרוב, לתמוך באופן מלא במהלך, לא רק במילים כי אם גם במעשים. על המנכ"ל להעביר את המסר כי ניהול הסיכונים הוא בעדיפות עליונה (top priority). העברת המסר צריכה להיות בישיבות, בהצגת הנושא לעובדים, ובפורומים אחרים.

יותר מכל, על המנכ"ל להדגים את מחויבותו במעשים. האם המנכ"ל משתתף בישיבות העוסקות בנושא? האם הוקצו תקציבים ומשאבים מספקים? האם ההנהלה הבכירה שותפה לתהליך? מה קורה כאשר מנהל בכיר אינו משתף פעולה עם מנהל הסיכונים? תשובות לשאלות אלה יענו על השאלה האם קיימת מחויבות מצד ההנהלה לקיום התהליך.

לשאול את השאלות הנכונות

בהתמודדות עם סיכונים, רובם מורכבים ודינמיים, לא תמיד יש להנהלה או למנהל הסיכונים את התשובה המתאימה לכל בעיה. חובתה של ההנהלה היא קודם כל לשאול את השאלות הנכונות ביחס לסיכונים. מרגע שהוגדרו השאלות הנכונות אנו כבר במחצית הדרך למציאת תשובה לסיכון.

שאלות שיש לשאול:

• האם אנו מקבלים תשואה מתאימה עבור הסיכון שאנו לוקחים?
• אילו מגבלות ובקרות הצבנו על מנת לצמצם את הסיכון (minimize the downside)?
• האם יש לנו מודלים ומערכות למדידת הסיכונים?
• האם יש לנו את האנשים מתאימים עם הכישורים הנדרשים בכדי לנהל את הסיכון?

זרימת מידע

שיתוף במידע ותקשורת בריאה הם תנאי מרכזי לקיומה של תרבות ניהול סיכונים נאותה. הליך ניהול סיכונים ארגוני מחייב שיתוף במידע ובתובנות והעזרות בכלל הידע הארגוני על מנת להתמודד עם מכלול הסיכונים שהחברה נדרשת להתמודד.

הכשרה

הכשרה נאותה מאפשרת לעובדים לנהל את הסיכונים בתחומי הפעילות תחת אחריותם.

ההכשרה בניהול סיכונים צריכה להתחיל כבר בקליטת העובדים ולהיות חלק מהדרישות להתחלת עבודה בארגון. לאחר מכן, יש לבנות תוכניות הכשרה מתמשכות לעובדים בארגון בהתאם לצרכים שלהם, לסיכונים הקיימים ולכישורים הנדרשים לארגון.

תמריצים

עובדים נוטים להתמקד באחריות שקיבלו במסגרת עבודתם ובתמריצים הכספיים שצמודים לביצועיהם. כמו בכל תהליך ארגוני, על מנת להכווין את העובדים לפעול באופן מסוים יש לייצר עבורם תמריצים מתאימים מצד ההנהלה והחברה. תמריצים אלה צריכים להינתן כמובן לצד יתר הפעילויות שתוארו לעיל.

עובדים שמבינים כי יבחנו על ידי ההנהלה גם על ביצועיהם בתחום ניהול הסיכונים, ושיתוגמלו גם לאור רמת ניהול הסיכונים בחברה ככלל וביחידה העסקית שלהם בפרט, יפעלו ליישם את תהליכי ניהול הסיכונים במוטיבציה רבה יותר. כמובן שתובנות אלה צריכות להיות ברורות לכל העובדים בארגון, ולהיות מגובות בפעילות תגמול של ממש מצד ההנהלה.

מדידת הסיכון (measure)

כמובן שידיעה שסיכון קיים אינה מספיקה. קיומו של סיכון שולי ורחוק בזמן אינו דומה לסיכון מהותי שעלול להתממש בטווח הזמן המיידי. יהיה הבדל מהותי בין שני סיכונים אלה, הן במהירות התגובה והן בהיקף המשאבים שיוקצו לטיפול בכל סיכון. מדידת הסיכון (measure) וכימותו (quantify) היא שלב מרכזי בניהול הסיכון.

חברות כיום מתקשות להתמודד עם רכיב זה נוכח האתגרים העצומים שמגוון הסיכונים ומורכבותם מציבים בפני מנהלי הסיכונים. על מנת לבצע הליך סדור של מדידת סיכון נדרשים משאבי מחשוב רבים, מערכות מתקדמות, נתונים רבים ממגוון מקורות, כאשר על הכל להסתנכרן באופן מדויק.

מידע

• אין מאגרי מידע מספקים ואמינים על הפסדי עבר באופן שיאפשר ניתוח אנליטי של הסיכון.
• קיים קושי מצד מי שנחשף לסיכון או לאירוע כשל לדווח עליו. על החברה לפעול לייצר משמעת פנימית שתוביל לדיווח מלא ובזמן אמת על אירועי כשל.
• לעיתים המידע אינו רלוונטי, כאשר ההנהלה הבכירה מוצפת במידע רב אשר בחלקו הגדול אינו ממש רלוונטי.

איזה מידע יש לכלול בדיווחים אודות הסיכונים

דיווח אודות הסיכונים (risk report) צריך לכלול את הרכיבים הבאים:

• הפסדים – חשוב שהפסדים יתפסו באופן אוטומטי במערכות החברה. ההנהלה צריכה לקבל דוח מעובד של סכימת ההפסדים לפי סגמנטים, ותיאור מגמות ככל וישנן.
• אירועי כשל – אירועי כשל משמעותיים, בין אם נגרם נזק בפועל או לא, צריכים להיות מדווחים להנהלה הבכירה. דוגמאות:
  • אובדן לקוח מהותי
  • הפרה של מדיניות החברה
  • כשל במערכות המחשוב
  • הונאה
  • תביעה

וכו'

• הערכות הנהלה – את הסיכונים שהתממשו יש להציג לצד תחזיות ההנהלה ביחס לסיכונים הצפויים לאותה תקופה.
• KRI – על הארגון לנטר מגוון רחב של אינדיקטורים. אלה עשויים להגיע לעשרות ואף למאות. בדוח להנהלה הבכירה יש להכניס רק את אלה שעשויים לעניין את ההנהלה.

דוגמאות:

• קרבת הסיכון בפועל למגבלה שנקבעה.
• פער משמעותי מבנצ'מרק.
• תפעולי: תקלות וטעויות, תלונות לקוחות, נפילת מערכות, אובדן ציוד.
• פתיחת מרווח אשראי
• תחלופת עובדים גבוהה.

על הדוח לכלול את הסיכונים המרכזיים לארגון. ניתן לאתר סיכונים אלה באמצעות השאלות הבאות שכל מנהל סיכונים ו/או מנהל בכיר ישאל את עצמו:

• מהם עשרת סיכונים המרכזיים?
• אילו אירועים אם יתרחשו עלולים למנוע מהארגון להשיג את יעדיו?
• אילו בעיות מטרידות אותי בלילה לפני השינה ביחס לארגון? (what keep me up at night).

ניהול הסיכון (control)

היעד המרכזי בניהול סיכונים בפרט ובניהול עסק בכלל הוא למקסם את היחס תשואה לסיכון.

לאחר שזיהינו את הסיכון ומדדנו אותו, עלינו להחליט כיצד להתמודד עם המידע שבידינו. החלטה זו היא בעיקרה החלטה ניהולית, כאשר על מנהל הסיכונים לוודא שהיא מתקבלת בתהליך סדור ועל בסיס מידע מספק ומהימן. ההנהלה יכולה לבחור באחת מארבע דרכים אפשריות:

1. קבלת הסיכון – בדרך כלל כאשר המדובר בסיכון שאינו משמעותי, ושהטיפול בו יגזול יותר משאבים מאשר עלות ההתמודדות אם וכאשר יתרחש. במקרים כאלה ההנהלה ככל הנראה תבחר שלא לבצע פעולה אקטיבית להפחיתו. במקרים מסוימים יתבקש ניטור ומעקב אחר סיכון זה, בדרך כלל במועד עתידי, בכדי לוודא שלא חל שינוי מהותי בחומרת הסיכון.
2. צמצום הסיכון – הפחתת חומרת הסיכון אפשרית על ידי הקטנת הסבירות להתרחשותו, למשל באמצעות בקרות מונעות או על ידי הפחתת חומרת הנזק למשל על ידי קביעת מגבלות שונות כמו מגבלת חשיפה לגוף מסוים (בסיכון אשראי) או מגבלות במסחר (בסיכון שוק).
3. שיתוף הסיכון – ביטוח למשל.
4. ביטול הסיכון –אפשר לבטל את הסיכון על ידי הפסקת הפעילות שמחוללת את הסיכון. לרוב המדובר יהיה בפעילויות שהן אינן בליבת הפעילות העסקית של החברה, שהטיפול בהן או החשיפה שהן יוצרות, אינן מצדיקות את שימור הפעילות בחברה.

סיכום

בעבודה השוטפת מתקבלות החלטות רבות ומתבצעות פעולות רבות בשגרה, מבלי שכל החלטה מגובה בהליך סדור של זיהוי, אמידה וניהול הסיכון של אותה פעולה. על מנהל הסיכונים לזהות את אותם תהליכים שצריכים להתבצע באופן סדור ולא באופן אינטואיטיבי במוחו של העובד שחושב על הסיכון, מנתח אותו לעצמו ומחליט לבדו באיזו פעולה לנקוט.