«مدیر باید ریسک‌پذیر باشد.» جمله‌ای است که احتمالاً همه ما بارها شنیده‌ایم و شاید خودمان هم از آن استفاده کرده باشیم. من هم با اصل آن مشکلی ندارم. مدیریت بدون پذیرش ریسک تقریباً ممکن نیست. مدیری که قرار باشد فقط زمانی تصمیم بگیرد که از نتیجه مطمئن است، احتمالاً بسیاری از فرصت‌ها را از دست خواهد داد. مسئله از جایی شروع می‌شود که ریسک‌پذیری را به‌خودی‌خود یک فضیلت مدیریتی بدانیم؛ انگار هرچه مدیر ریسک بیشتری بپذیرد، جسورتر و در نتیجه مدیر بهتری است.
در سازمان‌ها گاهی با تصمیم‌هایی مواجه می‌شویم که ریسک قابل توجهی به سازمان تحمیل می‌کنند و وقتی درباره پیامدهایشان صحبت می‌شود، پاسخ چیزی شبیه این است که «بالاخره باید ریسک کرد» یا «اگر قرار باشد از همه‌چیز بترسیم که هیچ کاری نمی‌شود کرد.» این حرف در ظاهر درست است، اما یک جای کار می‌لنگد. مسئله این نیست که سازمان نباید ریسک کند؛ مسئله این است که آیا می‌داند چه ریسکی می‌کند؟ آیا می‌داند در صورت وقوع آن چه چیزی را از دست خواهد داد؟ و مهم‌تر از همه، آیا این ریسک را آگاهانه پذیرفته یا فقط امیدوار است اتفاقی نیفتد؟
فکر می‌کنم تفاوت مهمی میان «ریسک کردن» و «مدیریت ریسک» وجود دارد که گاهی در سازمان‌ها نادیده گرفته می‌شود. مدیر حرفه‌ای الزاماً کسی نیست که ریسک کمتری می‌کند. ممکن است اتفاقاً تصمیم بسیار پرریسکی هم بگیرد، اما پیش از تصمیم می‌داند با چه چیزی روبه‌روست. احتمال وقوع را تا حد ممکن بررسی کرده، پیامدها را می‌شناسد، راه‌های کاهش آن را سنجیده و در نهایت تصمیم گرفته است که این میزان از ریسک در برابر منفعت مورد انتظار قابل پذیرش است. این دیگر قمار کردن با منابع سازمان نیست؛ تصمیم‌گیری در شرایط عدم‌قطعیت است.
اینجاست که مدیریت ریسک معنا پیدا می‌کند. مدیریت ریسک قرار نیست سازمان را از حرکت بازدارد یا برای هر تصمیم آن‌قدر مانع ایجاد کند که در نهایت هیچ کاری انجام نشود. برعکس، اگر درست اجرا شود، می‌تواند به سازمان کمک کند با اطمینان بیشتری حرکت کند؛ چون پیش از آنکه اتفاقی بیفتد، درباره اتفاقاتی که ممکن است بیفتند فکر کرده است.
اولین قدم هم شاید ساده‌ترین و در عین حال سخت‌ترین قسمت ماجرا باشد: ریسک‌ها را ببینیم. گاهی در سازمان‌ها حتی از همین مرحله هم استقبال نمی‌شود. بیان یک ریسک ممکن است بدبینی، مقاومت در برابر تغییر یا حتی سنگ‌اندازی تلقی شود. کسی که می‌گوید یک پروژه ممکن است با این مشکل مواجه شود، یک تصمیم ممکن است چنین پیامدی داشته باشد یا یک سرویس حیاتی چنین نقطه ضعفی دارد، گاهی به جای اینکه بخشی از فرآیند تصمیم‌گیری دیده شود، به عنوان کسی شناخته می‌شود که مرتب از مشکلات حرف می‌زند.
در حالی که شناسایی یک ریسک، آن ریسک را ایجاد نمی‌کند. اگر سازمان به یک تأمین‌کننده وابستگی خطرناکی دارد، نوشتن آن در فهرست ریسک‌ها باعث ایجاد این وابستگی نشده است. اگر یک سرویس حیاتی نقطه شکست واحد دارد، صحبت نکردن درباره آن این نقطه ضعف را از بین نمی‌برد. اگر تصمیمی ممکن است چند میلیارد تومان هزینه، چند روز توقف عملیات یا از دست رفتن بخشی از اطلاعات را به دنبال داشته باشد، پاک کردن آن از گزارش‌ها احتمال وقوعش را کمتر نمی‌کند. تنها تفاوت این است که در یک سازمان ریسک پیش از وقوع دیده شده و در سازمان دیگر، زمانی درباره آن صحبت می‌شود که دیگر از ریسک به مسئله یا بحران تبدیل شده است.
بعد از شناسایی، باید بتوانیم ریسک‌ها را ارزیابی کنیم. همه ریسک‌ها اهمیت یکسانی ندارند. احتمال وقوع بعضی از آنها زیاد است اما اثر محدودی دارند و بعضی دیگر احتمال کمی دارند ولی اگر رخ دهند، پیامد بسیار بزرگی ایجاد می‌کنند. ترکیب احتمال و اثر کمک می‌کند بفهمیم انرژی و منابع محدود سازمان را باید روی کدام ریسک‌ها متمرکز کنیم. هدف این نیست که یک فهرست بلند از چیزهایی که ممکن است روزی اتفاق بیفتند تهیه کنیم؛ هدف این است که بفهمیم کدام عدم‌قطعیت‌ها واقعاً می‌توانند مانع رسیدن سازمان به اهدافش شوند.
پس از آن نوبت تصمیم درباره نحوه مواجهه با ریسک است. بعضی ریسک‌ها را می‌توان با ایجاد کنترل مناسب کاهش داد، بعضی را می‌توان از طریق قرارداد، بیمه یا روش‌های دیگر منتقل کرد، در بعضی موارد بهتر است از فعالیتی که ریسک را ایجاد می‌کند اجتناب کنیم و گاهی هم کاملاً منطقی است که ریسک را بپذیریم. قرار نیست برای حذف یک ریسک یک‌میلیاردی، ده میلیارد تومان هزینه کنیم. مدیریت ریسک یعنی همین انتخاب آگاهانه؛ اینکه بدانیم چه چیزی را کاهش می‌دهیم، از چه چیزی اجتناب می‌کنیم و چه چیزی را با اطلاع از پیامدهای احتمالی آن می‌پذیریم.
اما پذیرش ریسک یک شرط مهم دارد: کسی که ریسک را می‌پذیرد باید بداند دقیقاً چه چیزی را پذیرفته است. «به نظرم اتفاقی نمی‌افتد» پذیرش ریسک نیست. «تا حالا که اتفاق نیفتاده» هم تحلیل ریسک نیست. حتی جمله‌ای مثل «مسئولیتش با من» تا زمانی که اثر تصمیم متوجه کل سازمان است، به تنهایی معنای چندانی ندارد. پذیرش ریسک زمانی معنا پیدا می‌کند که ریسک مشخص شده، احتمال و اثر آن تا حد معقول بررسی شده، کنترل‌های موجود و اقدامات ممکن شناخته شده و فردی که اختیار لازم را دارد، آگاهانه تصمیم گرفته باشد که ریسک باقی‌مانده برای سازمان قابل قبول است.
یک Risk Register خوب هم دقیقاً برای همین ساخته می‌شود، نه برای اینکه جدولی داشته باشیم که هنگام ممیزی نشان دهیم. ریسک باید مالک داشته باشد، سطح آن مشخص باشد، اقداماتی که برای کنترلش در نظر گرفته شده معلوم باشد و در دوره‌های مشخص دوباره بررسی شود. شرایط سازمان تغییر می‌کند و همراه آن ریسک‌ها هم تغییر می‌کنند. ریسکی که شش ماه پیش قابل قبول بوده ممکن است امروز دیگر قابل قبول نباشد و ریسکی که زمانی جدی بوده، با ایجاد یک کنترل جدید اهمیت بسیار کمتری پیدا کند. مدیریت ریسک یک جلسه یا یک فایل اکسل نیست؛ یک فرآیند مستمر برای بهتر دیدن سازمان است.
در این میان یک افراط دیگر هم وجود دارد که به اندازه ندیدن ریسک می‌تواند این فرآیند را بی‌اثر کند: اینکه هر مشکلی را «ریسک» بنامیم. اگر هر کار انجام‌نشده، هر ضعف مدیریتی و هر مسئولیتی که کسی به آن عمل نکرده وارد Risk Register شود، خیلی زود با فهرستی مواجه می‌شویم که صدها ریسک دارد و عملاً هیچ‌کدام مدیریت نمی‌شوند.
فرض کنیم تهیه نسخه پشتیبان از اطلاعات حیاتی بخشی از وظایف مشخص یک واحد است و زیرساخت لازم برای آن نیز وجود دارد، اما Backup گرفته نمی‌شود. احتمال از دست رفتن اطلاعات قطعاً یک ریسک است، اما مسئله فقط ریسک نیست؛ یک کنترل ضروری اجرا نشده و یک وظیفه مشخص انجام نشده است. نمی‌توان انجام ندادن آن وظیفه را برای همیشه پشت عنوان «پذیرش ریسک» پنهان کرد. همین موضوع درباره نگهداری تجهیزات حیاتی، کنترل دسترسی‌ها، تمدید قراردادهای ضروری، رعایت الزامات قانونی و بسیاری از مسئولیت‌های ذاتی سازمان صدق می‌کند.
مرز این دو موضوع مهم است. مدیریت ریسک نباید تبدیل به ابزاری شود که با آن انجام ندادن وظایف را توجیه کنیم. Risk Acceptance مجوز بی‌مسئولیتی نیست. اتفاقاً مدیریت ریسک بالغ کمک می‌کند بفهمیم کجا با یک عدم‌قطعیت واقعی مواجهیم و کجا صرفاً کاری را که باید انجام می‌دادیم، انجام نداده‌ایم.
شاید به همین دلیل بهتر باشد در تعریف «مدیر ریسک‌پذیر» هم کمی تجدیدنظر کنیم. مدیر ریسک‌پذیر لزوماً کسی نیست که با جسارت بیشتری می‌گوید «بروید انجامش دهید، مسئولیتش با من.» گاهی گفتن این جمله ساده‌ترین قسمت مدیریت است. بخش سخت‌تر این است که پیش از آن بپرسد اگر انجامش دادیم چه اتفاقاتی ممکن است بیفتد، احتمال آنها چقدر است، چه چیزی را ممکن است از دست بدهیم، چه کاری می‌توانیم برای کاهش پیامدها انجام دهیم و آیا منفعتی که انتظار داریم واقعاً ارزش پذیرفتن این ریسک را دارد؟
بعد از پاسخ به این سؤال‌ها ممکن است باز هم تصمیم بگیریم جلو برویم و حتی ریسک بزرگی را بپذیریم. تفاوت در این است که این بار چشم‌بسته جلو نرفته‌ایم.
نباید از فهمیدن ریسک‌های سازمان ترسید. زیاد شدن تعداد ریسک‌های شناسایی‌شده الزاماً به این معنا نیست که وضعیت سازمان بدتر شده است؛ گاهی فقط یعنی سازمان خودش را بهتر می‌شناسد. خطر واقعی جایی است که ریسک وجود دارد اما درباره‌اش حرف نمی‌زنیم، اندازه‌اش نمی‌گیریم، مالکش را نمی‌شناسیم و برای روزی که اتفاق بیفتد برنامه‌ای نداریم.
مدیر باید بتواند ریسک کند؛ اما نه به این معنا که سازمان را بیشتر در معرض خطر قرار دهد. هنر مدیریت این است که بداند کدام ریسک ارزش پذیرفتن دارد، کدام را باید کنترل کرد و کدام را اصلاً نباید پذیرفت. چون فاصله میان جسارت و بی‌احتیاطی را معمولاً خود ریسک مشخص نمی‌کند؛ میزان شناخت ما از آن مشخص می‌کند.
