ایزو ۳۱۰۰۰ – استاندارد مدیریت ریسک | اصول، مزایا و مراحل پیاده‌سازی در سازمان‌ها

نیاز به مشاوره دارید؟ با ما تماس بگیرید...

۰۲۳-۳۶۶۵۰ (۳۰ خط) ۰۲۳-۳۳۴۴۴۸۱۴

مشاوره رایگان

سفارش گواهینامه ایزو

ایزو ۳۱۰۰۰ یک استاندارد بین‌المللی در زمینه‌ی مدیریت ریسک است که چارچوب، اصول و راهنمایی‌هایی را برای شناسایی، ارزیابی و کنترل ریسک‌ها در هر نوع سازمان ارائه می‌دهد.
این استاندارد به سازمان‌ها کمک می‌کند تا با شناخت بهتر عدم قطعیت‌ها، تصمیم‌گیری‌های دقیق‌تر، برنامه‌ریزی مؤثرتر و عملکرد پایدارتری داشته باشند.

هر سازمانی بدون توجه به اندازه، فعالیت یا بخش خود می‌تواند از ISO 31000 برای ایجاد فرهنگ مدیریت ریسک سازمانی (ERM) استفاده کند. در ادامه به صورت کامل با این استاندارد و الزامات آن آشنا می‌شویم.

ایزو ۳۱۰۰۰ چیست؟

استاندارد ISO 31000:2018 راهنمایی جامع برای طراحی و پیاده‌سازی یک سیستم مدیریت ریسک سازمانی ارائه می‌دهد.
هدف آن ایجاد رویکردی منسجم و نظام‌مند برای شناسایی، تحلیل، ارزیابی و پاسخ به ریسک‌هاست؛ به گونه‌ای که سازمان بتواند از فرصت‌ها بهره‌برداری کرده و از تهدیدها جلوگیری کند.
این استاندارد با تأکید بر اصولی مانند ایجاد و حفاظت از ارزش، مشارکت ذی‌نفعان، رهبری مدیران ارشد و بهبود مستمر، به سازمان‌ها کمک می‌کند تا مدیریت ریسک را در تصمیم‌گیری‌ها و راهبردهای کلان خود ادغام کنند.

ریسک‌هایی که بر سازمان ها تاثیر می‌گذارد، می‌توانند عواقبی را از لحاظ عملکرد اقتصادی و اعتبار حرفه‌ای، و همچنین نتایج محیط‌زیستی، ایمنی و اجتماعی داشته باشند. بنابراین مدیریت ریسک، به طور مؤثری به سازمان‌ها کمک می‌کند تا در محیطی سرشار از عدم اطمینان، عملکرد خوبی داشته باشند.

کاربرد iso 31000

ISO ۳۱۰۰۰ می‌تواند به سازمان‌ها در افزایش احتمال دستیابی به اهداف، بهبود شناسایی فرصت‌ها و تهدیدها و استفاده موثر از منابع برای مدیریت ریسک کمک کند.

سازمان هایی که از آن استفاده می کنند می توانند اقدامات مدیریت ریسک خود را با یک معیار بین المللی بسنجند و  اصولی برای مدیریت موثر و حاکمیت شرکتی فراهم کنند. گواهینامه های صادره برای این استاندارد به دلیل ماهیت راهنما بودن آن به صورت non accredited بوده و صرفا با اعتبارات CB صادر می گردد.

تعریف علمی و دقیق ریسک در ISO 31000

در استاندارد ISO 31000، ریسک به‌صورت «تأثیر عدم قطعیت بر اهداف» تعریف شده است. این تعریف با دیدگاه‌های سنتی که ریسک را صرفاً به‌عنوان تهدید در نظر می‌گرفتند متفاوت است. در واقع، ریسک می‌تواند هم تهدید باشد و هم فرصت.
به عنوان مثال، سرمایه‌گذاری در فناوری جدید ممکن است خطر از دست دادن سرمایه داشته باشد (تهدید)، اما در عین حال می‌تواند باعث رشد بازار و افزایش سود شود (فرصت). درک این دوگانگی به مدیران کمک می‌کند تا تصمیمات هوشمندانه‌تری اتخاذ کنند.

مراحل پیاده‌سازی مدیریت ریسک با کمک ایزو ۳۱۰۰۰

یکی از اهمیت‌های بزرگ مدیریت ریسک، تأمین تداوم کسب‌وکار است. این رویکرد به سازمان‌ها کمک می‌کند تا از بروز رخدادهای ناگوار محافظت کنند و تداوم فعالیت‌های خود را به‌خوبی تضمین کنند. برای پیاده‌سازی موفق مدیریت ریسک با استفاده از استاندارد ایزو ۳۱۰۰۰، می‌توانید مراحل زیر را دنبال کنید:

1. شناخت محیط: شناخت دقیق محیط کاری و شناسایی عوامل داخلی و خارجی مؤثر بر سازمان از جمله اقدامات ابتدایی در مراحل پیاده‌سازی مدیریت ریسک است.
2. شناسایی ریسک‌ها: در این مرحله، ریسک‌های موجود در سازمان به دقت شناسایی و دسته‌بندی می‌شوند تا در مراحل بعدی بتوان به بهترین شکل با آن‌ها برخورد کرد.
3. ارزیابی و اولویت‌بندی ریسک‌ها: ریسک‌های شناسایی شده بر اساس احتمال و تأثیر آن‌ها بر سازمان ارزیابی و اولویت‌بندی می‌شوند تا بتوان مدیریت ریسک را بهینه کرد.
4. برنامه‌ریزی و اقدامات پیشگیرانه: بر اساس ارزیابی‌ها، برنامه‌ریزی مناسبی انجام می‌شود و اقدامات پیشگیرانه برای کاهش ریسک‌ها به عمل می‌آید.
5. نظارت و بازبینی: فرآیند مدیریت ریسک به صورت مداوم نظارت و بازبینی می‌شود تا اطمینان حاصل شود که اقدامات انجام شده مؤثر بوده‌اند.

تغییرات نسخه ۲۰۱۸ نسبت به نسخه قبلی

نسخه جدید ISO 31000:2018 چند تغییر اساسی نسبت به نسخه ۲۰۰۹ دارد:

• کوتاه‌تر و ساده‌تر شدن متن برای دسترسی بهتر مدیران و کارمندان.
• تمرکز بیشتر بر نقش رهبری و حاکمیت سازمانی.
• تعریف جدید از ریسک که به جنبه‌های مثبت و منفی می‌پردازد.
• تاکید بر بازخورد، یادگیری و تطبیق‌پذیری مداوم.
• ارتباط بیشتر بین مدیریت ریسک و تصمیم‌گیری‌های راهبردی سازمان.

این تغییرات باعث شده تا ISO 31000 برای سازمان‌های کوچک و متوسط هم کاربردی‌تر شود.

اصول کلیدی مدیریت ریسک در ایزو ۳۱۰۰۰

ISO 31000 بر پایه مجموعه‌ای از اصول شکل گرفته است که چارچوب و فرآیند مدیریت ریسک را هدایت می‌کنند. این اصول عبارتند از:

1. ایجاد و حفاظت از ارزش – هدف اصلی مدیریت ریسک بهبود عملکرد سازمان است.
2. ادغام در همه فرآیندهای سازمانی – مدیریت ریسک باید بخشی از تصمیم‌گیری روزمره باشد.
3. ساختارمند و جامع بودن – ریسک باید در تمام سطوح سازمان ارزیابی شود.
4. تطبیق‌پذیر بودن با زمینه سازمان – هیچ روش واحدی برای همه سازمان‌ها وجود ندارد.
5. مبتنی بر اطلاعات بهترین و به‌روز – تصمیم‌ها باید بر پایه داده‌های واقعی باشند.
6. در نظر گرفتن عوامل انسانی و فرهنگی – فرهنگ سازمانی نقش تعیین‌کننده دارد.
7. شفافیت و فراگیری – تمامی ذی‌نفعان باید در فرآیند مشارکت داشته باشند.
8. بهبود مستمر – سیستم مدیریت ریسک باید دائماً بازبینی و ارتقا یابد.

بررسی اصول مدیریت ریسک، که معیار کلیدی موفقیت است

جیسون براون، رئیس کمیته فنی ISO / TC 262 در مورد ویرایش جدید مدیریت ریسک می گوید: ” نسخه بازبینی‌شده ایزو ۳۱۰۰۰ بر یکپارچگی سازمان و نقش رهبران و مسئولیت آن‌ها تمرکز دارد. متخصصان ریسک، اغلب در حاشیه مدیریت سازمان قرار دارند و این تاکید به آن‌ها کمک خواهد کرد تا نشان دهند که مدیریت ریسک بخش مهمی از کسب‌ و کار است.

هر بخش استاندارد به طور واضح با استفاده از زبان ساده‌تر برای تسهیل درک و دسترسی به تمام بخش ها مورد بررسی قرار گرفته میشود. نسخه ۲۰۱۸ استاندارد ایزو ۳۱۰۰۰ تمرکز بیشتری بر ایجاد و حفاظت از ارزش به عنوان هدایت کننده اصلی مدیریت ریسک و ویژگی‌های دیگر مرتبط با آن مانند بهبود مستمر، گنجاندن سهام داران، در نظر گرفتن عوامل انسانی و فرهنگی دارد.

در حال حاضر ریسک به عنوان «تأثیر عدم قطعیت در اهداف» تعریف شده است که بر شرایط در تصمیم گیری سازمان تمرکز دارد. این استاندارد بر تغییر درک سنتی از ریسک نیز تاثیر دارد و سازمان‌ها را مجبور می‌کند تا مدیریت ریسک را به نیازها و اهداف خود تطبیق دهند.

ابزارها و تکنیک‌های ارزیابی ریسک

در ISO 31000 ابزار خاصی تحمیل نشده است، اما برخی از روش‌های متداول عبارتند از:

• ماتریس احتمال و تأثیر (Risk Matrix): روشی ساده برای رتبه‌بندی ریسک‌ها بر اساس شدت و احتمال وقوع.
• تحلیل SWOT: شناسایی نقاط قوت، ضعف، فرصت و تهدید.
• روش FMEA (تحلیل حالات و اثرات خرابی) برای صنایع تولیدی.
• تحلیل درخت خطا (FTA) و تحلیل درخت رویداد (ETA) برای ارزیابی خطرات فنی و ایمنی.
  استفاده از این ابزارها باعث می‌شود ارزیابی‌ها دقیق‌تر و تصمیم‌گیری‌ها مبتنی بر داده باشند.

چارچوب مدیریت ریسک

ISO 31000 چارچوب مدیریت ریسک را فراهم کرده که از تمام فعالیت ها پشتیبانی می کند، از جمله تصمیم گیری در تمامی سطوح سازمان. چارچوب ایزو ۳۱۰۰۰ و فرایندهای آن باید با سیستم‌های مدیریت ادغام شود تا ثبات و اثربخشی کنترل مدیریت در تمام مناطق سازمان تضمین شود. این شامل استراتژی و برنامه‌ریزی، انعطاف‌پذیری سازمانی، منابع انسانی ، سازگاری، کیفیت، سلامت و ایمنی، تداوم کسب‌وکار، مدیریت بحران و امنیت می‌باشد.

استاندارد حاصله فقط یک نسخه جدید از ISO 31000 نیست بلکه در این ورژن جدید معنای جدیدی به نحوه مدیریت ریسک داده می شود. در رابطه با صدور گواهینامه، ISO 31000: 2018 رهنمودهای لازم را ارائه می دهد ، این امر به مدیران امکان انعطاف پذیری برای اجرای استاندارد را به شیوه ای  که مناسب با نیازها و اهداف سازمان آنهاست، می دهد.

این استاندارد نیز جزو دسته استانداردهای راهنما بوده و صدور گواهینامه برای آن به صورت non accredite یعنی بدون تایید نهاد بالادستی (AB) و صرفا با اعتبارات داخلی CB صورت می پذیرد. لذا این استاندارد بیشتر به منظور اجرا و بهره مندی از مزایای آن در نظر گرفته شده تا صدور گواهینامه برای آن.

مفهوم و اهمیت مدیریت ریسک

مدیریت ریسک به معنای شناسایی، ارزیابی، کنترل، و نظارت بر ریسک‌های موجود در یک سازمان است. ریسک‌ها می‌توانند از جنبه‌های مختلفی مانند مالی، عملیاتی، محیطی، حقوقی و غیره به سازمان آسیب برسانند و مدیریت صحیح آن‌ها می‌تواند از بروز خسارت‌ها جلوگیری کند. در واقع، مدیریت ریسک به عنوان یک فرآیند استراتژیک به ارتقای عملکرد و تضمین پایداری سازمان کمک می‌کند.

مزایای استفاده از استاندارد ایزو

مواجهه با ریسک‌ و عدم قطعیت‌ها در محیط کار خود بسیار اهمیت دارد. برای مواجهه با این چالش‌ها و کاهش تأثیرات منفی آن‌ها، از استاندارد‌های مدیریت ریسک استفاده می‌شود. استفاده از استاندارد‌های ایزو مرتبط با مدیریت ریسک دارای مزایای بسیاری است. این استانداردها به سازمان‌ها کمک می‌کنند تا:

• رویکردی سازمانی برای مدیریت ریسک ایجاد کنند و برای همه بخش‌های سازمان یک فرهنگ مدیریت ریسک ایجاد نمایند.
• ریسک‌هایی که ممکن است سازمان را تهدید کنند، شناسایی و ارزیابی کنند.
• اقدامات اصلاحی و پیشگیرانه را برای کاهش اثرات ریسک‌ها بهینه‌سازی کنند.
• تصمیم‌گیری‌های بهتر و برنامه‌ریزی استراتژیک دقیق‌تر را ممکن سازند.
• اطمینان حاصل کنند که سازمان از نظر تضمین کیفیت و امنیت در مقابل ریسک‌ها آماده است.

چالش‌ها و راهکارهای مدیریت ریسک

سیستم مدیریت ریسک هم با چالش‌ها و مشکلات خاص خود همراه است. در این بخش، به برخی از این چالش‌ها و راهکارهای مواجهه با آن‌ها می‌پردازیم:

• تغییر پویای ریسک‌ها: ریسک‌ها در طول زمان ممکن است تغییر کنند و این امر نیازمند نظارت مستمر و به‌روزرسانی استراتژی‌های مدیریت ریسک است.
• کمبود منابع: برخی سازمان‌ها به دلیل محدودیت منابع، ممکن است نتوانند به بهترین شکل به مدیریت ریسک‌ها پرداخته و به بهترین روش‌ها عمل کنند.
• مقاومت در اجرای استراتژی‌ها: تغییرات و اصلاحات مدیریت ریسک ممکن است در برخی از بخش‌های سازمان مقاومت ایجاد کند. ارتقاء فرهنگ سازمانی و آموزش کارکنان اهمیت دارد.

مثال‌های کاربردی از اجرای ISO 31000

• در صنعت تولید: ارزیابی خطر خرابی ماشین‌آلات برای جلوگیری از توقف تولید.
• در بیمارستان‌ها: شناسایی ریسک‌های مربوط به دارو یا خطای انسانی.
• در بانک‌ها: تحلیل ریسک اعتباری مشتریان و امنیت اطلاعات.
• در IT: ارزیابی تهدیدات سایبری و حملات احتمالی.

این مثال‌ها به مدیران کمک می‌کند تا کاربرد واقعی استاندارد را درک کنند.

نقش رهبری و فرهنگ سازمانی در موفقیت مدیریت ریسک

یکی از عوامل کلیدی در موفقیت سیستم مدیریت ریسک، تعهد مدیران ارشد است. اگر مدیران تنها در ظاهر از مدیریت ریسک حمایت کنند ولی در تصمیم‌گیری‌ها به آن عمل نکنند، سیستم عملاً ناکارآمد خواهد شد.

مدیریت ریسک باید جزئی از فرهنگ سازمانی شود؛ یعنی کارکنان در تمام سطوح احساس کنند که شناسایی و گزارش ریسک بخشی از وظیفه روزمره‌شان است. برای این منظور، برگزاری جلسات آموزشی، ایجاد کانال‌های ارتباطی مؤثر و تشویق افراد به شفافیت، بسیار اهمیت دارد.

ارتباط ISO 31000 با سایر استانداردها

استاندارد ISO 31000 به‌عنوان چارچوبی بالادستی برای مدیریت ریسک در تمامی سیستم‌های مدیریتی مطرح است.
به عنوان مثال:

• در ISO 9001 (مدیریت کیفیت)، مدیریت ریسک به بهبود فرآیندها و کاهش خطا کمک می‌کند.
• در ISO 45001 (ایمنی و بهداشت شغلی)، ریسک‌ها مربوط به سلامت و ایمنی کارکنان بررسی می‌شود.
• در ISO 27001 (امنیت اطلاعات)، ریسک‌ها به امنیت داده‌ها مربوط می‌شوند.

در واقع، ISO 31000 زیربنای فکری تمام استانداردهای مبتنی بر ریسک است.

ادغام مدیریت ریسک با سایر سیستم‌های مدیریتی

برای سازمان‌هایی که چند استاندارد مثل ISO 9001، ۴۵۰۰۱ و ۱۴۰۰۱ را دارند، ادغام مدیریت ریسک در سیستم‌های موجود باعث صرفه‌جویی و انسجام می‌شود.
مثلاً:

• گزارش‌های ریسک می‌توانند همزمان برای کنترل کیفیت و ایمنی کاربرد داشته باشند.
• جلسات بازنگری مدیریت می‌تواند شامل ارزیابی‌های ریسک نیز باشد.
• سیاست‌های سازمانی می‌توانند به‌صورت یکپارچه شامل رویکرد مدیریت ریسک شوند.

توصیه‌های نهایی برای اجرای موفق ایزو ۳۱۰۰۰

1. از حمایت کامل مدیریت ارشد اطمینان حاصل کنید.
2. آموزش و فرهنگ‌سازی در تمام سطوح انجام شود.
3. از ابزارهای ساده و عملی برای شروع استفاده کنید.
4. نتایج ارزیابی‌ها را مستندسازی و بازنگری کنید.
5. مدیریت ریسک را بخشی از تصمیم‌گیری‌های استراتژیک بدانید.

جمع‌بندی

سوالات متداول

ایزو ۳۱۰۰۰ به عنوان یک راهنمای موثر برای مدیریت ریسک در سازمان‌ها شناخته می‌شود و اجرای آن می‌تواند بهبودی چشمگیر در عملکرد سازمان‌ها ایجاد کند. در ادامه به برخی از سوالات متداول در این رابطه پاسخ می‌دهیم:

اخذ گواهینامه ایزو معتبر از ایزوسیستم

این مقاله به صورت اختصاصی توسط تیم فنی ایزوسیستم آماده شده است، هرگونه بهره‌برداری بدون ذکر نام و آدرس منبع شرعا و قانونا ممنوع می‌باشد.