در کاین، در تعامل مستمر با شرکتها و کارفرمایان صنایع مختلف، بارها با یک تناقض روبهرو شدهایم: سازمانهایی که مرتب بر اساس اصول و استانداردهای شناختهشده مدیریت ریسک فعالیت میکنند، کمیته ریسک تشکیل میدهند، ماتریس ریسک تهیه میکنند و در ظاهر همه الزامات حاکمیت شرکتی را رعایت میکنند؛ اما همچنان از ریسکهای «پیشبینینشده» ضربه میخورند.
نکته اینجاست که بسیاری از این ریسکها اصلاً پیشبینینشده نبودهاند. بارها در کمیتههای ریسک مطرح شدند و به پروندههای آن راه پیدا کردند. در بازبینی این پروندهها، معمولاً میبینیم که سازمان ریسک را از قبل شناسایی و حتی در گزارشی مستند کرده بود؛ اما هیچ مکانیزمی وجود نداشت تا مدیران بر اساس آن هشدار، تصمیم را متوقف یا اصلاح کنند. مسئله، نبود دانش یا ابزار نیست. مسئله این است که بسیاری از سازمانهای ایرانی مدیریت ریسک را بهجای یک سازوکار تصمیمساز، به یک تشریفات اداری تبدیل کردهاند.
این ناکارآمدی معمولاً از هفت خلأ ساختاری سرچشمه میگیرد.
۱. جایگاه سازمانی ضعیف واحد ریسک
در بیشتر شرکتها، کمیتههای ریسک زیرمجموعه مالی یا حسابرسی داخلی تعریف شده و خط گزارشدهی مستقلی به هیئتمدیره ندارد. وقتی مدیر ریسک باید به کسی گزارش دهد که ریسک تصمیمات خودش را ارزیابی میکند، یک تضاد منافع ساختاری شکل میگیرد که هیچ فرآیندی نمیتواند آن را جبران کند. استانداردهایی مانند مدل «سه خط دفاعی» (Three Lines Model) دقیقاً به همین دلیل تأکید دارند که خط دوم دفاع—یعنی ریسک و انطباق—نباید در دل خط اول (مدیریت اجرایی) ادغام شود.
۲. نبود اختیار وتو یا توقف تصمیم
در عمل، خروجی مدیریت ریسک در اغلب سازمانها فقط یک گزارش هشداردهنده است، نه ورودی الزامآور در مسیر تصمیمگیری. مدیر ریسک نمیتواند جلوی یک قرارداد یا پروژه پرریسک را بگیرد؛ فقط میتواند آن را در گزارشی ثبت کند که اغلب در همان مرحله متوقف میماند. تفاوت میان risk advisory (مشاوره ریسک) و risk governance (حاکمیت ریسک) دقیقاً همینجاست.
۳. انگیزههای متضاد در سطح مدیریت ارشد
مدیران عامل و مدیران پروژه معمولاً بر اساس دستیابی به اهداف کوتاهمدت—فروش، سود فصلی، تکمیل بهموقع پروژه—ارزیابی و پاداش میگیرند، نه بر اساس مدیریت مؤثر ریسک بلندمدت. در چنین سیستم پاداشی، هر کس که ریسک را جدی بگیرد و مسیر را کند کند، عملاً مانعتراشی محسوب میشود؛ حتی اگر تحلیلش درست باشد.
۴. فاصله قدرت بالا در فرهنگ سازمانی
در ساختارهای سلسلهمراتبی که فاصله قدرت در آنها بالاست—وضعیتی رایج در بسیاری شرکتهای ایرانی—زیردستان تمایل چندانی به بهچالشکشیدن تصمیمات مدیران ارشد ندارند. در نتیجه، سازمان بهجای آنکه از مستندسازی ریسک برای تصمیمسازی استفاده کند، آن را به شکلی از «پوشش مسئولیت» تبدیل میکند: سندی که کارکنان صرفاً برای اثبات اینکه «هشدار داده شده بود» نگهداری میکنند.
۵. نبود داده و سیستم اطلاعاتی قابلاتکا
بدون دادههای بهروز، دقیق و یکپارچه—که بسیاری سازمانها به دلیل سیستمهای پراکنده و فرآیندهای دستی در اختیار ندارند—سازمانها ماتریسهای ریسک را بر پایه قضاوتهای ذهنی و کیفی تکمیل میکنند، نه تحلیل کمّی. در نتیجه، سازمان بیشتر از ماتریس ریسک برای تیکزدن الزامات حسابرسی یا اخذ گواهی استفاده میکند تا برای تصمیمگیری واقعی.
۶. انگیزه بیرونی بهجای باور درونی
در بسیاری موارد، محرک اصلی فعالیت کمیتههای ریسک، الزام قانونی یا نظارتی (مثلاً از سوی بورس یا بانک مرکزی) یا پیشنیاز اخذ یک گواهی بینالمللی است، نه باور واقعی مدیریت ارشد به ارزش آن. وقتی انگیزه از بیرون تحمیل میشود، طبیعی است که خروجی هم صوری و حداقلی باقی بماند؛ همان چیزی که سازمان برای رفع تکلیف نیاز دارد، نه چیزی بیشتر.
۷. نبود آستانههای کمّی و خط قرمز مشخص
هر شرکتی باید از پیش و بهصورت مکتوب مشخص کند چه میزان ریسک برایش قابل قبول است و از چه نقطهای غیرقابل قبول (Risk Appetite و Risk Tolerance). بدون این آستانههای عددی، هر ریسکی—هرچقدر هم بزرگ—قابل توجیه و دور زدن است، چون معیار مشخصی برای «رد کردن» وجود ندارد. در این شرایط، مدیر بر اساس قضاوت لحظهای تصمیم میگیرد، نه یک چارچوب از پیش توافقشده. کسی که باید بگوید «این ریسک بیش از حد است». اما متاسفانه ترجیح میدهد سکوت کند، چون سندی برای حمایت از این تصمیم ندارد.
آنچه ریسک واقعی را از ریسک نمایشی جدا میکند
تجربه ما در کاین نشان میدهد که تفاوت میان یک سیستم مدیریت ریسک واقعی و نسخه نمایشی از کمیتههای ریسک حجم مستندات نیست. بلکه در سه رکن مشخص است:
- اختیار اجرایی؛ یعنی قدرت واقعی برای توقف یا ارجاع یک تصمیم پرریسک، نه صرفاً هشدار دادن درباره آن.
- استقلال گزارشدهی؛ یعنی خط ارتباطی مستقیم میان مدیریت ریسک و کمیته ریسک هیئتمدیره، بدون واسطه مدیریت اجرایی.
- همسویی انگیزشی؛ یعنی ارزیابی و پاداش مدیران بر اساس مدیریت مؤثر ریسک، نه فقط دستاورد کوتاهمدت.
بدون این سه رکن، هر چقدر هم فرآیندها و مستندات پیچیده و «حرفهای» به نظر برسند، عملاً یک تشریفات اداری باقی میمانند که در لحظه تصمیمگیری واقعی، هیچ تأثیری ندارند. غافلگیری در برابر ریسکهای بهظاهر «پیشبینینشده»، اغلب نتیجه همین خلأ ساختاری است، نه کمبود دانش یا ابزار.
همین امروز برای اطمینان از کارآمد بودن کمیته ریسک خود و ساختار صحیح حاکمیت شرکتی اقدام نمایید.
کارشناسان کاین در کنار شما هستند