ایزو ۳۱۰۰۰ چیست؟
استاندارد ایزو ۳۱۰۰۰ دستورالعمل ها، اصول، چارچوب و فرآیندهایی را برای مدیریت ریسک ارائه می کند. این استاندارد می تواند توسط هر سازمانی صرف نظر از اندازه، فعالیت یا بخش استفاده شود.
استفاده از ایزو ۳۱۰۰۰ می تواند به سازمان ها کمک کند تا احتمال دستیابی به اهداف را افزایش دهند. بتوانند شناسایی فرصت ها و تهدیدها را بهبود بخشند. به طور موثر منابع را برای رسیدگی به ریسک تخصیص و استفاده کنند.
با این حال، ایزو ۳۱۰۰۰ نمی تواند برای اهداف صدور گواهینامه استفاده شود. اما راهنمایی برای برنامه های ممیزی داخلی یا خارجی ارائه می دهد در حالیکه بسیاری از سازمانها به دلایل مختلف اخذ گواهینامه ایزو 31000 را در دستور کار خود قرار می دهند. یعنی منعی برای صدور گواهینامه ایزو 31000 وجود ندارد. سازمان‌هایی که از این استاندارد استفاده می‌کنند می‌توانند شیوه‌های مدیریت ریسک خود را با یک معیار بین‌المللی به رسمیت شناخته شده مقایسه کنند و اصول صحیحی برای مدیریت مؤثر و حاکمیت شرکتی ارائه دهند.
کاربرد ایزو ۳۱۰۰۰ (استاندارد مدیریت ریسک) چیست؟
ایزو ۳۱۰۰۰ یک استاندارد بین المللی است که در سال 2009 توسط سازمان بین المللی استانداردسازی ایزو صادر شد و به عنوان راهنمای طراحی، اجرا و نگهداری مدیریت ریسک در نظر گرفته شده است. همه سازمانها با عوامل و تأثیرات داخلی و خارجی مواجه هستند که مشخص نیست که آیا و چه زمانی به اهداف خود دست خواهند یافت. تأثیری که این عدم قطعیت بر اهداف یک سازمان دارد، ریسک است. ریسک در هر فعالیت سازمان دخیل است.
ایزو 31000 یک فرآیند سیستماتیک و منطقی را توصیف می کند که طی آن سازمان ها ریسک را با شناسایی، تجزیه و تحلیل و سپس ارزیابی اینکه آیا ریسک باید اصلاح شود تا معیارهای ریسک خود را برآورده کند، مدیریت می کنند.
مدیریت ریسک را می توان برای کل یک سازمان، در حوزه ها و سطوح مختلف آن، در هر زمان و همچنین برای عملکردها، پروژه ها و فعالیت های خاص اعمال کرد. با پیاده سازی ایزو 31000 اصول و رهنمودهای عمومی را برای کمک به سازمان ها در ایجاد، اجرا، بهره برداری، حفظ و بهبود مستمر چارچوب مدیریت ریسک ارائه می گردد.
این استاندارد به هیچ صنعت یا بخش خاصی اختصاص ندارد، بنابراین ایزو ۳۱۰۰۰ می تواند توسط هر شرکت، انجمن، گروه یا فردی دولتی، خصوصی یا اجتماعی استفاده شود. سپس در ادامه صدور گواهینامه ایزو محقق گردد.
استاندارد مدیریت ریسک می تواند در طول عمر یک سازمان و برای طیف وسیعی از فعالیت ها، از جمله استراتژی ها و تصمیمات، عملیات، فرآیندها، عملکردها، پروژه ها، محصولات، خدمات و دارایی ها اعمال شود.
هدف این استاندارد ارتقای یکنواختی مدیریت ریسک در بین سازمانها نیست. طراحی و اجرای طرح‌ها و چارچوب‌های مدیریت ریسک باید نیازهای متفاوت یک سازمان خاص، اهداف خاص، زمینه، ساختار، عملیات، فرآیندها، عملکردها، پروژه‌ها، محصولات، خدمات، یا دارایی‌ها و شیوه‌های خاص به کار گرفته شده را در نظر بگیرد.
مدیریت ریسک چیست؟
مدیریت ریسک به عنوان مجموعه ای از فعالیت های هماهنگ برای هدایت و کنترل یک سازمان با توجه به ریسک تعریف می شود.
برای اینکه یک سازمان مدیریت ریسک موثری داشته باشد، باید این 11 اصل مدیریت ریسک را رعایت کند.
- ارزش ایجاد می کند و از آن محافظت می کند.
- بخشی جدایی ناپذیر از تمام فرآیندهای سازمانی است.
- بخشی از تصمیم گیری است.
- به صراحت به عدم قطعیت می پردازد.
- سیستماتیک، ساختارمند و به موقع است.
- بر اساس بهترین اطلاعات موجود است.
- قابل طراحی است.
- عوامل انسانی و فرهنگی را در نظر می گیرد.
- شفاف و فراگیر است.
- پویا، تکراری و پاسخگو به تغییر است.
- بهبود مستمر سازمان را تسهیل می کند
چارچوب استاندارد ایزو ۳۱۰۰۰
ایزو ۳۱۰۰۰ بیان می‌کند که موفقیت مدیریت ریسک به اثربخشی چارچوب مدیریتی بستگی دارد که پایه‌ها و ترتیباتی را ارائه می‌کند که آن را در سراسر سازمان در تمام سطوح تعبیه می‌کند.
اجرای ایزو ۳۱۰۰۰ به مدیریت موثر ریسک ها از طریق اعمال فرآیند مدیریت ریسک کمک می کند. اخذ ایزو می تواند اطمینانی برای ذینفعان در راستای مدیریت ریسک باشد.
با استقرار ایزو ۳۱۰۰۰ می توان اطمینان حاصل کرد که اطلاعات مربوط به ریسک ناشی از فرآیند مدیریت ریسک به اندازه کافی گزارش شده است و همچنین تضمین می کند که این اطلاعات به عنوان مبنایی برای تصمیم گیری و پاسخگویی در تمام سطوح سازمانی مربوطه استفاده می شود.
تعهد مدیریت
مدیریت سازمان در استاندارد ایزو ۳۱۰۰۰ باید با تعریف خط مشی مدیریت ریسک، اهداف، اطمینان از انطباق قانونی و مقرراتی، اطمینان از تخصیص منابع لازم به مدیریت ریسک، و اطلاع رسانی مزایای مدیریت ریسک به همه ذینفعان، تعهدی قوی و پایدار به مدیریت ریسک نشان دهد.
طراحی چارچوب برای مدیریت ریسک
قبل از اجرای استاندارد مدیریت ریسک، سازمان باید چارچوبی برای مدیریت ریسک طراحی کند. این امر شامل موارد زیر است:
- درک سازمان و زمینه (بافت) آن
- ایجاد خط مشی مدیریت ریسک
- اطمینان از پاسخگویی، اختیار و شایستگی مناسب برای مدیریت ریسک
- ادغام مدیریت ریسک در فرآیندهای سازمانی
- تخصیص منابع مناسب
- ایجاد سازوکارهای ارتباطی و گزارش دهی داخلی و خارجی
اجرای مدیریت ریسک
سازمان باید چارچوبی را برای مدیریت ریسک و فرآیند مدیریت ریسک اجرا کند.
پایش و بررسی چارچوب
برای اطمینان از اثربخشی مدیریت ریسک بر اساس استاندارد ایزو 31000، سازمان باید عملکرد و پیشرفت مدیریت ریسک را اندازه گیری کند. بررسی کند که آیا چارچوب، خط مشی و برنامه مدیریت ریسک هنوز مناسب هستند. اثربخشی چارچوب مدیریت ریسک را بررسی کند.
بهبود مستمر چارچوب
بر اساس نتایج پایش و بازنگری، باید در مورد چگونگی بهبود چارچوب مدیریت ریسک، خط مشی و برنامه تصمیم گیری شود.
ارزیابی ریسک
ارزیابی ریسک فرآیند کلی شناسایی، تحلیل و ارزیابی ریسک است.
شناسایی خطر
از طریق به کارگیری ابزارها و تکنیک های شناسایی ریسک، سازمان باید منابع ریسک، حوزه های تأثیرات، رویدادها و علل و پیامدهای بالقوه آنها را شناسایی کند.
تحلیل ریسک
تجزیه و تحلیل ریسک شامل توسعه درک ریسک، در نظر گرفتن علل و منابع خطر، پیامدهای مثبت و منفی آنها، احتمال وقوع آن پیامدها، ارائه ورودی برای ارزیابی ریسک و تصمیم گیری در مورد اینکه آیا خطرات باید درمان شوند، و مناسب ترین استراتژی ها و روش های درمان خطر.
ارزیابی ریسک
هدف از این مرحله کمک به تصمیم گیری در مورد اینکه کدام خطرات نیاز به درمان و اولویت برای اجرای درمان دارند.
درمان خطر
گزینه های درمان ریسک باید بر اساس نتیجه ارزیابی ریسک، هزینه مورد انتظار برای اجرا و بهره مندی از این گزینه ها انتخاب شوند.
پایش و بررسی
نظارت و بررسی می تواند دوره ای یا موقتی باشد و باید بخشی برنامه ریزی شده از فرآیند مدیریت ریسک باشد.
ثبت فرآیند مدیریت ریسک
فعالیت های مدیریت ریسک باید قابل ردیابی باشد. در فرآیند مدیریت ریسک، سوابق زمینه را برای بهبود روش ها و ابزار و همچنین در فرآیند کلی فراهم می کند. ایزو ۳۱۰۰۰ بیان می کند که موفقیت مدیریت ریسک به اثربخشی مدیریت بستگی دارد.
فرآیند مدیریت ریسک باید به صورت زیر باشد:
- بخش جدایی ناپذیر مدیریت؛
- تعبیه شده در فرهنگ و شیوه ها؛
- متناسب با فرآیندهای تجاری سازمان.
فرآیند مدیریت ریسک شامل فعالیت های زیر است:
ارتباط و مشاوره:
ارتباط و مشاوره با ذینفعان خارجی و داخلی باید در تمام مراحل فرآیند مدیریت ریسک صورت گیرد.
ایجاد زمینه:
با ایجاد زمینه، سازمان اهداف خود را بیان می کند. پارامترهای خارجی و داخلی را که باید در هنگام مدیریت ریسک در نظر گرفته شود، تعریف می کند. محدوده و معیارهای ریسک را برای فرآیند باقی مانده تعیین می کند.
ارتباط بین ایزو ۳۱۰۰۰ و سایر استانداردها
ایزو ۳۱۰۰۰ را می توان به راحتی با سایر استانداردهای مدیریت ریسک مانند راهنمای ISO 73:2009 – واژگان مدیریت ریسک و ISO/IEC 31010 – مدیریت ریسک – تکنیک های ارزیابی ریسک مرتبط کرد.
ISO/IEC 31010 یک استاندارد پشتیبانی کننده برای ISO 31000 است و راهنمایی در مورد انتخاب و کاربرد تکنیک های سیستماتیک برای ارزیابی ریسک ارائه می دهد.
پیوند ایزو 31000 با ایزو 27005
بر اساس چارچوب ایزو ۳۱۰۰۰ ، استاندارد ایزو ۲۷۰۰۵ به طور مفصل نحوه انجام ارزیابی ریسک و درمان ریسک را در چارچوب امنیت اطلاعات توضیح می دهد.
مدیریت ریسک - مزایای کسب و کار
مانند تمام شرکت های بزرگ در یک سازمان، کسب حمایت و حمایت از مدیریت اجرایی ضروری است.
تا حد زیادی بهترین راه برای دستیابی به این هدف، به جای برجسته کردن جنبه‌های منفی عدم مدیریت ریسک، نشان دادن دستاوردهای مثبت داشتن یک چارچوب مدیریت ریسک موثر است.
مدیریت ریسک به سازمان این امکان را می دهد که اطمینان حاصل کند که خطراتی را که با آن مواجه است می داند و درک می کند.
مزایای استقرار ایزو ۳۱۰۰۰
- افزایش احتمال دستیابی به اهداف
- تشویق مدیریت فعال
- آگاهی از نیاز به شناسایی و درمان ریسک در سراسر سازمان
- شناسایی بهتر فرصت ها و تهدیدها
- انطباق با الزامات قانونی و مقررات مربوطه و هنجارهای بین المللی
- گزارش دهی اجباری و داوطلبانه بهبود یافته است
- بهبود حکمرانی
- اعتماد و اعتماد ذینفعان بهبود یافته است
- ایجاد یک مبنای قابل اعتماد برای تصمیم گیری و برنامه ریزی
- کنترل های بهبود یافته
- تخصیص و استفاده موثر از منابع برای درمان ریسک
اخذ گواهینامه ایزو ۳۱۰۰۰
گواهینامه گواهی مدیریت ریسک ایزو ۳۱۰۰۰ یک گواهینامه حرفه ای برای متخصصانی است که نیاز به نشان دادن شایستگی برای پیاده سازی، نگهداری و مدیریت یک برنامه مدیریت ریسک بر اساس ایزو 31000 دارند. هر چند اخذ گواهینامه ایزو ۳۱۰۰۰ اختیاری است، لکن بسیاری از سازمان ها برای نشان دادن میزان تعهد خود به ریسک های محتمل، دریافت گواهینامه ایزو ۳۱۰۰۰ را دنبال می کنند.
شرکت بیکران راهکار سعادت به عنوان یک نهاد شناخته شده صدور گواهینامه ایزو در ایران با اعتباردهی از مراجع معتبر ملی و بین المللی آماده ثبت و صدور گواهینامه ایزو 31000 برای سازمان های درخواست کننده است.