ارزیابی ریسک
ارزیابی ریسك دریافت تصمیمگیران و طرفهای مسئول از ریسكها را بهبود میبخشد كه میتواند بر دستیابی به اهداف و شایستگی و اثربخشی كنترلهایی كه از قبل در كارند، تاثیر بگذارد. این امر مبنایی برای تصمیم گیری در مورد مناسب ترین رویكردی كه باید، به منظور برخورد با ریسكها استفاده شود را فراهم میسازد. خروجی ارزیابی ریسك ورودی به فرآیندهای تصمیم گیری سازمان است. ارزیابی ریسك فرآیند كلی شناسایی، تحلیل و سنجش ریسك است.نحوه به كارگیری این فرآیند به فضای فرآیند مدیریت ریسك و همچنین روشها و تكنیكهای مورد استفاده برای انجام ارزیابی ریسك بستگی دارد.
ارزیابی ریسك ممكن است مستلزم رویكردی چند رشتهای باشد چرا كه ریسكها ممكن است گستره وسیعی از دلایل و عواقب را پوشش دهند.
شناسایی ریسک
شناسایی ریسك فرآیند یافتن، به رسمیت شناختن و ثبت ریسكها است. مقصود از شناسایی ریسك، شناسایی این است كه چه اتفاقی ممكن است رخ دهد و یا چه موقعیتهایی ممكن است وجود داشته باشند كه میتوانند بر دستیابی به اهداف سیستم یا سازمان تاثیر بگذارند. هنگامی كه ریسكی شناسایی میشود، سازمان بایستی تمامی كنترلهای موجود را مانند خصایص طراحی، افراد، فرآیندها و سیستمها شناسایی كند.
فرآیند شناسایی ریسك شامل شناسایی دلایل و منابع ریسك (خطر در خصوص آسیب فیزیكی)، رخدادها،موقعیتها یا اوضاع و احوالی است كه میتوانند پیامدی كلی بر اهداف و ماهیت این پیامد داشته باشند. روشهای شناسایی ریسك میتوانند شامل موارد زیر شوند.
- روشهای مبتنی بر شواهد، از جمله فهرستهای وارسی و بازنگری دادههای تاریخچهای
- رویكردهای گروهی سیستماتیك كه در آنها گروهی از متخصصین فرآیندی سیستماتیك را دنبال میكنند تا ریسكها را از طریق مجموعهای ساختار یافته از اعلانها یا پرسشها شناسایی كنند.
- تكنیكهای استدلال استقرایی مانند HAZOP
تكنیكهای پشتیبانی مختلفی میتوانند برای بهبود درستی و تكامل در شناسایی ریسك به كار روند، مانند توفان ذهنی و متدولوژی دلفی. صرف نظر از تكنیكهایی كه واقعا به كار میروند، به رسمیت شناختن عوامل انسانی و سازمانی در هنگام شناسایی ریسك دارای اهمیت است. از این رو انحراف از عوامل انسانی و سازمانی مورد از حد انتظار بایستی در فرآیند شناسایی ریسك و همچنین رخدادهای سخت افزار یا نرم افزار گنجانده شود.
تحلیل ریسک
تحلیل ریسك راجع به تكوین دركی از ریسك است. تحلیل ریسك ورودی ارزیابی ریسك و تصمیماتی استكه در مورد نیاز برخورد با ریسك اتخاذ میشوند. تحلیل ریسك همچنین ورودی تصمیماتی در مورد مناسبترین راهبردها و روشهای برخورد، است. تحلیل ریسك شامل تعیین عواقب و احتمال آنها برای رخدادهای ریسك شناسایی شده، با به حساب آوردن حضور (یا عدم حضور) و اثربخشی هر كنترل موجود است. سپس عواقب و احتمالات آنها تركیب میشوند تاسطح ریسك را تعیین كنند.
تحلیل ریسك شامل در نظر گرفتن دلایل و منابع ریسك، عواقب آنها و احتمال این عواقب است. عواملی كه بر عواقب و احتمال تاثیر میگذارند بایستی شناسایی شوند. یك رخداد میتواند عواقب و اهداف متعدد داشته باشد. كنترلهای ریسك موجود و اثربخشی آنها بایستی به حساب آید. ممكن است برای كاربردهای پیچیده، بیش از یك تكنیك مورد نیاز باشد. تحلیل ریسك معمولاً شامل برآوردی از گستره عواقب بالقوهای است كه ممكن است از یك رخداد، موقعیت یا اوضاع و احوال و احتمالات مربوطه آنها برخیزد تا سطح ریسك را اندازه گیری كند. با این حال در برخی موارد، مانند هنگامی كه عواقب احتمالاً قابل توجه نیستند، یا انتظار میرود كه احتمال بسیار پایین باشد، یك برآورد پارامتر واحد ممكن است برای تصمیم گیری كافی باشد.
در برخی اوضاع و احوال، عواقب میتواند در نتیجه گسترهای از رخدادها یا وضعیتهای مختلف یا در حالتی كه رخداد خاصی شناسایی نشده است، به وقوع بپیوندد. در این مورد تمركز ارزیابی ریسك بر تحلیل اهمیت و آسیب پذیری اجزاء سیستم با دیدگاهی برای تعریف برخوردهایی است كه مربوط به سطوح حفاظت یا راهبردهای بازیابی هستند.
روشهای مورد استفاده در تحلیل ریسكها میتوانند كیفی، نیمه كمی یا كمی باشند. میزان تفصیل مورد نیاز بسته به كاربرد خاص، در دسترس بودن دادههای قابل اطمینان و نیازهای تصمیم گیری در سازماناست. برخی روشها و میزان تفصیل تحلیل میتواند توسط مقررات تجویز شود.
ارزیابی كیفی عواقب، احتمال و سطح ریسك را با سطوح اهمیت مانند بالا، متوسط و پایین تعریف میكند، می توان عواقب و احتمال را تركیب كرد و سطح حاصل ریسك را در مقابل معیارهای كیفی سنجید. روشهای نیمه كیفی از مقیاس های درجه بندی عددی برای عواقب و احتمال استفاده میكنند و آنها راتركیب میكنند تا با استفاده از فرمول، سطحی از ریسك را ایجاد كنند.
مقیاسها ممكن است خطی یا لگاریتمی باشند و یا رابطه دیگری داشته باشند. فرمولهای به كار رفته نیز ممكن است متفاوت باشند. تحلیل كمی برای عواقب و احتمالات آنها مقادیری عملی برآورد میكند و مقادیری از سطح ریسك رابرحسب واحدهای خاص ایجاد میكند كه هنگام تكوین فضا تعریف میشوند. تحلیل كمی كامل ممكن استبه دلیل اطلاعات ناكافی در مورد سیستم یا فعالیتی كه تحلیل میشود، كمبود دادهها، تاثیر عوامل انسانی و غیره، یا به این دلیل كه تلاش تحلیل كمی مورد ضمانت یا الزام نیست، همیشه ممكن یا مطلوب نباشد. درچنین اوضاع و احوالی رده بندی نیمه كمی مقایسهای یا كیفی ریسكها توسط متخصصینی كه در میدان مربوطه اطلاعات دارند، هنوز میتواند اثربخش باشد.
در مواردی كه تحلیل كیفی است، بایستی توضیحی روشن از تمام عبارات به كار رفته موجود باشد و بایستی مبنایی برای تمام معیارها ثبت شود. حتی هنگامی كه كمی كردن به طور كامل انجام گرفته است، نیاز است كه برآورد بودن تمام سطوح ریسك محاسبه شده، به رسمیت شناخته شود. بایستی دقت شود تا اطمینان حاصل شود كه به آنها سطحی از درستی و دقت كه ناسازگار با درستی دادهها و روشهای به كار رفته است، نسبت داده نشود. سطوح ریسكها بایستی با مناسبترین اصطلاحات برای آن نوع ریسك و به شكلی كه به سنجش ریسك كمك میكند، بیان شوند. در برخی موارد بزرگی ریسك میتواند به عنوان توزیع احتمال در گسترهای از عواقب بیان شود.
ارزیابی كنترلها
سطح ریسك به كفایت و اثربخشی كنترلهای موجود وابسته است. پرسشهایی كه مورد توجه قرار میگیرند، شامل موارد زیر است.
- كنترلهای موجود برای یك ریسك خاص كدامند؟
- آیا این كنترلها قادر به برخورد كافی با ریسك هستند تا در سطح قابل تحملی كنترل شود؟
- در عمل آیا كنترلها به نحو مورد نظر عمل میكنند و آیا می توانند هنگام نیاز اثربخش واقع شوند؟
این پرسش ها تنها در صورتی میتوانند با اطمینان پاسخ داده شوند كه فرآیندهای مستندسازی و تضمین مناسبی در كار باشند سطح اثربخشی برای كنترلی خاص یا مجموعهای از كنترلهای مرتبط میتواند به صورت كیفی، نیمه كمی یا كمی بیان شود. در بیشتر موارد، سطح بالایی از درستی تضمین نمیشود. با این حال ممكن است بیان و ثبت میزان اثربخشی كنترل ریسك ارزشمند باشد تا در این مورد كه تلاش در بهبود كنترل یا ارائه برخورد با ریسكی متفاوت به بهترین نحو صرف شده است، مورد كارشناسی قرار گیرد.
تحلیل عواقب
تحلیل عواقب ماهیت و نوع پیامدی را تعیین میكند كه با فرض وقوع موقعیت رخداد یا عواقبی خاص، ممكن است اتفاق بیفتد. یك رخداد ممكن است گسترهای از پیامدها با اندازههای مختلف داشته باشد و بر گسترهای از اهداف مختلف و علاقمندان مختلف تاثیر بگذارد. انواع عواقب مورد تحلیل و علاقمندان تحت تاثیر در زمان برقراری فضا تعیین خواهد شد. تحلیل عواقب میتواند از توصیفی ساده از پیامدها تا مدلسازی كیفی تفصیلی یا تحلیل آسیب پذیری متفاوت باشد.
پیامدها ممكن است دارای عواقبی پایین اما احتمال بالا یا عواقبی بالا و احتمالی پایین یا پیامدی متوسط باشند. بهتر است كه روی ریسكهایی با پیامدهای بالقوه بسیار بزرگ تمركز شود، چرا كه اغلب بیشترین اهمیت را برای مدیران دارند. در موارد دیگر ممكن است مهم باشد كه ریسكهای با عواقب بالا و پایین به طور مجزا تحلیل شوند. مثلاً یك مشكل مكرر اما با پیامد پایین (یا مزمن) ممكن است تاثیرات تجمعی یا دراز مدت بزرگی داشته باشد. به علاوه اقدامات برخورد برای پرداختن به این دو نوع متمایز ریسك اغلب نسبتاً متفاوتند، بنابراین تحلیل آنها به طور مجزا مفید خواهد بود.
تحلیل عواقب میتواند شامل موارد زیر باشد.
- در نظر گرفتن كنترلهای موجود برای برخورد با عواقب، به علاوه تمام عوامل كمك كننده مرتبط كه روی عواقب تاثیر میگذارند.
- ایجاد ارتباط بین عواقب ریسك و اهداف اصلی.
- در نظر گرفتن عواقب فوری و همچنین عواقبی كه پس از گذشت زمان معینی پدید میآیند، اگر این امر سازگار با هدف و دامنه كاربرد ارزیابی باشد.
- در نظر گرفتن عواقب ثانوی، از قبیل پیامدی كه بر سیستمها، فعالیتها، تجهیزات یا سازمانهای مربوطه اثر میگذارند.
تحلیل راستنمایی و برآورد احتمال
سه رویكرد كلی اغلب برای برآورد احتمال به كار میروند. این رویكردها را میتوان به صورت منفرد یا مشترك مورد استفاده قرار داد.
الف) استفاده از دادههای تاریخچهای مرتبط برای شناسایی رخدادها یا موقعیتهایی كه در گذشته رخ دادهاند و از این رو توانایی برون یابی احتمال وقوع آنها در آینده. دادههای مورد استفاده بایستی مرتبط با نوع سیستم، تسهیلات، سازمان یا فعالیت در نظر گرفته شده و همچنین مربوط به استانداردهای بهره برداری سازمان باشد. اگر در تاریخچه فراوانی وقوع بسیار پایین است، آن گاه هر برآورد احتمال غیرقطعی خواهد بود. این امر به ویژه در مورد وقوع صفر به كار میرود، كه در آن نمیتوان فرض نمود كه رخداد، موقعیت یا اوضاع و احوال در آینده به وقوع نخواهند پیوست.
ب) استفاده از تكنیكهای پیش بینی احتمال مانند تحلیل درخت خرابی و تحلیل درخت رخداد. هنگامی كه دادههای تاریخچهای در دسترس نیستند یا ناكافی هستند، ضروری است كه احتمال را با تحلیل سیستم، فعالیت، تجهیزات یا سازمان و حالات مربوطه شكست یا موفقیتش به دست آورد. سپس دادههای عددی برای تجهیزات، انسانها، سازمانها و سیستمها از تجربه بهره برداری یا منابع دادههای منتشر شده تركیب میشوند تا برآوردی از احتمال رخداد بالایی تهیه كنند. هنگام استفاده از تكنیكهای پیش بینی، مهم است اطمینان یابیم كه سهمیه لازم در تحلیل برای احتمال مدهای خرابی رایج در نظر گرفته شده، از جمله خرابی تصادفی تعدادی از قسمتها یا اجزاء مختلف درون سیستم كه ناشی ازدلیلی یكسان هستند. تكنیكهای شبیه سازی ممكن است برای ایجاد احتمال خرابی تجهیزات و خرابی ساختاری به دلیل كهنگی و دیگر فرآیندهای تنزل، از طریق محاسبه تاثیرات عدم قطعیتها مورد الزام باشند.
پ) نظر تخصصی میتواند در فرآیندی سیستماتیك و ساختار یافته برای برآورد احتمال مورد استفاده قرار گیرد. قضاوتهای تخصصی بایستی از تمام اطلاعات مرتبط موجود از جمله داده های تاریخچهای، خاص سیستم، خاص سازمان، آزمایشی، طراحی و غیره استفاده كنند. روشهای رسمی مختلفی برای به دست آوردن قضاوت تخصصی موجود هستند كه در شكل دادن پرسشهای مناسب كمك میكنند. روشهای موجود شامل رویكرد دلفی، مقایسههای جفتی، ردهبندی طبقهای و قضاوتهای احتمال مطلق هستند.
تحلیل مقدماتی
میتوان ریسكها را غربال كرد تا مهمترین ریسكها شناسایی شده یا ریسكهای كم اهمیت تر یا جزئی ازتحلیل بیشتر حذف شوند. مقصود، حصول اطمینان از این است كه منابع روی مهمترین ریسكها متمركز خواهند بود. بایستی دقت شود كه ریسكهای پایینی كه به طور مكرر رخ میدهند و تاثیر تجمعی قابل توجهی دارند، حذف نشوند.
غربال كردن بایستی بر اساس معیارهایی باشد كه در فضا تعریف شدهاند. تحلیل مقدماتی، یك یا چند مورد از راه كارهای زیر را تعیین می كند.
- تصمیم به برخورد با ریسكها بدون ارزیابی بیشتر
- كنار گذاشتن ریسكهای كم اهمیتی كه برخورد را توجیه نمیكنند
- پیشروی ارزیابی ریسك با تفصیل بیشتر.
- مفروضات و نتایج اولیه بایستی مستند شوند.
عدم قطعیتها و حساسیتها
اغلب عدم قطعیتهای قابل توجهی مربوط به تحلیل ریسك موجودند. درك عدم قطعیتها برای تعبیر و تبادل اطلاعات اثر بخش نتایج تحلیل ریسك ضروری است. تحلیل عدم قطعیتهای مربوط به دادهها، روشها و مدلهای مورد استفاده برای شناسایی و تحلیل ریسك نقشی مهم در كاربرد آنها ایفا میكند. تحلیل عدم قطعیت شامل تعیین تغییرپذیری در پارامترها و مفروضات مورد استفاده در تعریف نتایج است. حوزهای كه ارتباط نزدیكی با تحلیل عدم قطعیت دارد، تحلیل حساسیت است.تحلیل حساسیت شامل تعیین اندازه و اهمیت بزرگی ریسك با تغییرات در هر یك از پارامترهای ورودی است. این تحلیل برای شناسایی دادههایی به كار میرود كه باید درست باشند و همچنین دادههایی كه حساسیت كمتری دارند و از این رو تاثیر كمتری بر درستی كلی خواهند داشت.تكامل و درستی تحلیل ریسك بایستی تا حد ممكن به طور كامل بیان شود. منابع عدم قطعیت بایستی بر حسب اقتضا شناسایی شوند و بایستی به عدم قطعیتهای دادهها و همچنین مدل / روش بپردازند. پارامترهایی كه تحلیل به آنها حساس است و همچنین میزان حساسیت بایستی بیان شود.
سنجش ریسك
سنجش ریسك شامل مقایسه سطوح برآوردی ریسك با معیارهای ریسك كه در زمان برقراری فضا تعریف شدهاند، بوده و به منظور تعیین اهمیت سطح و نوع ریسك است. سنجش ریسك از درك ریسك به دست آمده در طول تحلیل ریسك برای تصمیم گیری در مورد اقدامات آینده استفاده میكند. مسائل اخلاقی، قانونی، مالی و غیره، از جمله ادراكی ریسك نیز ورودیهایی به تصمیم هستند.
تصمیمات ممكن است شامل موارد زیر باشند.
- آیا ریسك نیازی به برخورد دارد.
- اولویتها برای برخورد.
- آیا فعالیتی بایستی انجام شود.
- كدام یك از مسیرهای مختلف بایستی دنبال شود.
ماهیت تصمیماتی كه نیاز است اتخاذ شوند و معیارهایی كه برای این تصمیمات مورد استفاده قرار میگیرند، هنگام برقراری فضا تعیین شدهاند اما در این مرحله كه اطلاعات بیشتری در مورد ریسكهای خاص شناسایی شده در دست است، نیاز است با تفصیل بیشتری مورد بررسی قرار گیرند. سادهترین چارچوب برای تعریف معیارهای ریسك سطح واحدی است كه ریسكهایی را كه نیاز به برخورد دارند از بقیه جدا میكند. این چارچوب نتایج ساده و جالبی میدهد، اما عدم قطعیتهای موجود را در برآورد ریسكها و در تعریف مرز بین ریسكهایی كه نیاز به برخورد دارند و ریسكهایی كه نیاز به برخورد ندارند، منعكس نمی سازد.
تصمیم در مورد این كه آیا با ریسكی برخورد شود یا خیر و نحوه برخورد با آن، ممكن است بسته به هزینهها و منافع پذیرفتن ریسك و هزینهها و منافع پیاده سازی كنترلهای بهبود یافته باشد. یك رویكرد رایج تقسیم ریسكها به سه دسته است.
- دسته بالایی كه در آن سطح ریسك غیر قابل تحمل محسوب میشود، حال فعالیت هر سودی در برداشته باشد و برخورد با ریسك با هر هزینهای ضروری است.
- دسته وسطی (یا ناحیه خاكستری) كه در آن هزینهها و سودها به حساب میآیند و فرصتها طبق عواقب بالقوه متعادل میشوند.
- دسته پایینی كه در آن سطح ریسك قابل صرف نظر كردن است و یا به قدری كوچك است كه هیچ اقدام برخوردی مورد نیاز نیست.
مستندسازی
فرآیند ارزیابی ریسك بایستی همراه با نتایج ارزیابی مستندسازی شود. ریسكها بایستی با اصطلاحات قابل فهم بیان شوند و واحدهایی كه سطح ریسك در آنها بیان میشوند بایستی روشن باشند. میزان گزارش بسته به دامنه ارزیابی خواهد بود. به جز ارزیابیهای بسیار ساده، مستندسازی میتواند شامل موارد زیر باشد.
- اهداف و دامنه كاربرد
- توصیف قسمتهای مرتبط سیستم و وظایف آنها
- خلاصهای از فضای خارجی و داخلی سازمان و نحوه ارتباط آن با موقعیت، سیستم یا اوضاع و احوال مورد ارزیابی
- معیارهای ریسك به كار رفته و توجیه آنها
- محدودیتها، مفروضات و توجیه فرض ها
- متدولوژی ارزیابی
- نتایج شناسایی ریسك
- دادهها، مفروضات و منابع و صحه گذاری آنها
- نتایج تحلیل ریسك و سنجش آنها
- تحلیل حساسیت و عدم قطعیت
- مفروضات حیاتی و عوامل دیگری كه نیاز به پایش دارند
- بحث در مورد نتایج
- نتیجه گیری ها و توصیهها
- مراجع.
در صورتی كه ارزیابی ریسك از فرآیند مدیریت ریسك پیوستهای پشتیبانی میكند، بایستی به صورتی اجرا و مستندسازی شود كه بتواند در كل چرخه عمر سیستم، سازمان، تجهیزات یا فعالیت حفظ شود. ارزیابی بایستی با در دسترس قرار گرفتن اطلاعات مهم جدید و تغییر فضا، مطابق با نیازهای فرآیند مدیریت به روز شود.
پایش و بازنگری ارزیابی ریسك
فرآیند ارزیابی ریسك بر فضا و عوامل دیگری كه انتظار میرود در طول زمان تغییر یابند و میتوانند تغییر كنند یا ارزیابی ریسك را بیاعتبار كنند، تاكید میكند. این عوامل بایستی به طور مشخص برای پایش و بازنگری مداوم شناسایی شوند، تا ارزیابی ریسك بتواند در صورت نیاز به روز شود. دادههایی كه قرار است مورد پایش قرار گیرد تا ارزیابی ریسك را بهبود بخشد نیز بایستی شناسایی و جمعآوری شود.
اثربخشی كنترلها نیز بایستی مورد پایش و مستندسازی قرار گیرند تا دادههایی برای استفاده در تحلیل ریسك فراهم سازند. بایستی مسئولیت و پاسخگوییهایی برای ایجاد و بازنگری شواهد و مستندسازی تعریف شوند.
به كارگیری ارزیابی ریسك در طول فازهای چرخه عمر
بسیاری از فعالیتها، پروژهها و محصولات را میتوان برخوردار از چرخه عمری دانست كه از مفهوم اولیه و تعریف آغاز میشوند و تا تحقق و اتمام نهایی ادامه مییابند و ممكن است شامل از كار اندازی و وارهایی سخت افزار باشد.
ارزیابی ریسك را میتوان در تمام مراحل چرخه عمر به كار برد و معمولاً دفعات بسیاری با سطوح مختلفی از جزئیات به كار میرود تا به اتخاذ تصمیماتی كه نیاز است در هر فاز اخذ شوند، كمك كند. فازهای چرخههای عمر الزامات مختلفی دارند و نیازمند تكنیكهای مختلفی هستند. مثلاً در طول فاز مفهوم و تعریف، هنگامی كه فرصتی شناسایی میشود، ارزیابی ریسك میتواند مورد استفاده قرار گیرد تا تصمیم گرفته شود كه آیا پیشروی صورت گیرد یا خیر. هنگامی كه گزینه های متعددی موجودند، ارزیابی ریسك میتواند مورد استفاده قرار گیرد تا مفاهیم مختلف مورد سنجش قرار گیرند تا به تصمیم گیری در این مورد كمك كنند كه كدام یك بهترین تعادل را بین ریسكهای مثبت و منفی فراهم میسازد. در طول فاز طراحی و تكوین، ارزیابی ریسك به موارد زیر كمك میكند.
در طول فاز طراحی و تكوین، ارزیابی ریسك به موارد زیر كمك میكند.
- حصول اطمینان از این كه ریسكها قابل تحمل هستند.
- فرآیند بهبود طراحی
- مطالعات صرفه اقتصادی
- شناسایی ریسكهایی كه بر فازهای بعدی چرخه عمر اثر میگذارند.
با پیشروی فعالیت، ارزیابی ریسك را میتوان برای ارائه اطلاعات به منظور كمك در تكوین روشهای اجرایی برای وضعیتهای عادی و اضطراری مورد استفاده قرار داد.