עקרונות ניהול סיכונים על פי ISO 31000:2018

בפוסט: תקנים לניהול סיכונים: עקרונות התייחסתי באופן כולל לתפקידם של עקרונות בתקנים  לניהול סיכונים. התקנים צריכים לבוא לידי ביטוי בכל ההיבטים של ניהול סיכונים: בניית Framework בארגונים, תהליך הערכת סיכונים  (Assessment), אופן הטיפול בסיכונים ובמעקב ובדיווח הישימים גם בהקשרים אישיים ומשפחתיים כמו ניהול סיכונים בכלכלת המשפחה. 

בפוסט זה אתייחס בקצרה לשמונת העקרונות של התקן ISO 31000 מהדורת 2018.

עיקרון 1: Integrated

ניהול סיכונים אינו נפרד מהאסטרטגיה הארגונית ומתהליכים ארגוניים. הסיכונים מתייחסים לתחומי העיסוק של הארגון. 
העיקרון אומר שה-Framework של ניהול הסיכונים יהיה משולב בתהליכי ניהול כלל ארגוניים ובאסטרטגיה הארגונית. 

תהליכי ניהול סיכונים צריכים להיות משולבים בפעילויות ובתהליכים שבהם עלולים להיווצר סיכונים או עשויים להשתנות סיכונים. סיכון שהוגדר כסיכון חמור עשוי להפוך לסיכון חמור הרבה פחות בגלל נסיבות שהשתנו. סיכון שהוגדר כשולי עלול להפוך לסיכון מהותי וחמור. 

כשמשלבים את ניהול הסיכונים בעשייה הכוללת של הארגון קל יותר לזהות שינויים בסיכונים שצריך להגיב אליהם או לפחות לבחון האם צריך להגיב אליהם.

העיקרון הזה תקף גם בניהול סיכונים בכלכלת המשפחה. קרוב לוודאי שמשפחה או יחיד לא יבנו Framework אבל תהליכים ושינויים כלכליים עשויים להתרחש: הגדלת  המשפחה, רכישת דירה או שיפור דיור, החלפת מקום עבודה וכיו"ב. לכל תרחיש כזה צריכה להתלוות בחינה של הסיכונים.

עיקרון 2: Structured and Comprehensive

על פי עיקרון זה ניהול הסיכונים צריך להיות מובנה וכולל. הוא מובנה בקבלת החלטות, כלומר: ההתייחסות לסיכונים היא בזמן הנכון ולא למשל אחרי קבלת ההחלטות. 
הקריטריונים לבחינת הטיפול בסיכונים צריכים להתייחס למטרות הארגון ולהיות עקביים. 

דוגמה לגישה שאינה עונה על העיקרון הזה היא לגלות את הסיכונים הקשורים במוצר חדש של חברה כאשר כבר הושקעו משאבים רבים בהתחלת פיתוחו. 

דוגמה 1: פיתוח מוצר תוכנה

כך למשל, חברה המפתחת מוצר תוכנה בלי לדעת שיש מוצרים דומים בשוק עומדת בפני סיכון שוק חמור. 
לעומת זאת חברה היודעת ומכירה את מוצרי המתחרים ואת יכולות המתחרים ומביאה בחשבון את הסיכונים, ולמרות זאת מפתחת מוצר ייחודי, ממוצבת טוב יותר משום שהיא פועלת על פי העיקרון והחליטה לקחת סיכון מחושב. 

דוגמה 2: כשל העתיד

בכלכלת המשפחה נתקלים במקרים רבים של החלטות שאינן מביאות בחשבון סיכונים בזמן קבלת ההחלטה. הדבר בולט במיוחד במצבים של כשל העתיד, כלומר: החלטות שההשלכות שלהן עלולות לבוא לידי ביטוי בזמן רחוק. דוגמה: משיכת פיצויים מחיסכון פנסיוני היוצרת סיכון  שבעתיד הרחוק קצבת הפנסיה לא תספיק.

עיקרון 3: Customized

התקן הוא כללי. הוא אינו מיועד למגזר מסוים או לארגון מסוים. נדרשת התאמה של ה-Framework והתהליכים להקשר הספציפי של כל ארגון. 
המונח הקשר מתייחס לארגון עצמו ולסביבה החיצונית לו, כגון: שותפים עסקיים ומתחרים.
המונח הקשר מתייחס גם ליעדים ולמטרות של ארגון ספציפי. 

ארגון שהמטרה שלו היא להיות הגורם המוביל בשוק המקומי של המדינה בה הוא נמצא צריך לראות באפשרות של כניסה של מתחרה גלובלי חזק וגדול ממנו לשוק המקומי סיכון משמעותי.

ארגון אחר שהמטרה שלו היא לשלוט בנישת שוק ספציפית וקטנה עשוי לראות בכניסת מתחרה גלובלי סיכון פחות משמעותי. המתחרה הגלובלי יכוון את עצמו כנראה ל-Mainstream. הנישה הרבה פחות מעניינת אותו. 

ראו למשל:
 Vendors Survival Guide: Supermarket, Grocery and Kiosk

עיקרון 4: Inclusive

על פי עיקרון זה יש לשתף בניהול הסיכונים את כל מי שיכול לתרום לו. מדובר באנשים בתוך הארגון וגם באנשים מחוץ לארגון הנמצאים איתו בקשר עסקי או אחר.
מצד אחד מדובר במידע ובדעות של אנשים המכירים מקרוב ולעומק חלקים מפעילויות הארגון או מכירים את ההקשר בו פועל הארגון בפעילויות משמעותיות להשגת המטרות האסטרטגיות שלו. 
מצד שני מדובר בהעברת מידע אליהם על מנת שיבינו את ניהול הסיכונים של הארגון ויפעלו בהתאם.

אנשים שאינם מודעים לניהול הסיכונים של הארגון עלולים להתעלם מסיכונים או לייצר שלא מדעת ולא מכוונה אירועי סיכון. 
קראו בהקשר הספציפי של אבטחת מידע את הדוגמה הבאה: 
The Chain is as strong as the weakest link in the chain.

העיקרון הזה עובד גם בכלכלת המשפחה. חשוב לשתף את כל בני המשפחה, כולל ילדים, בתהליך ניהול הסיכונים. ללא שיתופם התהליך עלול  להיות הרבה פחות אפקטיבי. 

חשוב לשים לב שלא ליצור סיכון באמצעות איסוף המידע ובהפצת המידע. עשוי להיאסף מידע מסווג שצריך להגן עליו גם מפני חלק מהאנשים בארגון המשתתפים בניהול סיכונים וקל וחומר מפני שותפים עסקיים.

עיקרון 5: Dynamic

העולם משתנה כל הזמן. השינויים הרלוונטיים חייבים לבוא לידי ביטוי בקבלת ההחלטות שלנו ובפעולות ובתהליכים הנגזרים מהן. זה נכון לגבי מגוון רחב של תחומים ובכלל זה ניהול סיכונים. 

דוגמה 1: אבטחת נתונים במערכות מחשב

איומי אבטחת מידע על מערכות משתנים. כל הזמן נוצרים איומים חדשים. ניהול סיכונים מחייב עדכון מקביל של כלי אבטחת מידע, למשל: עדכון ההגדרות של תוכנת אנטי-וירוס.

דוגמה 2: ביטוח סיעודי

בעקבות הטלטלה בשוק הביטוח הסיעודי, שהחלה לא מזמן ומי יודע מתי תיגמר, משפחות ויחידים המנהלים את הסיכונים שלהם עשויים להידרש להתייחס באופן חדש לסיכון הזה.

עוד על היבט הדינאמי של ניהול סיכונים

ההיבט הדינאמי בניהול סיכונים: ISO 31000:2018 Risk Manement Guidlines

עיקרון 6: Best Available Information

ככל שיש יותר מידע ומידע מדויק יותר ניהול הסיכונים עשוי להיות טוב יותר משום שהוא עושה שימוש ביותר מידע רלוונטי. 

המונח מידע מתייחס למידע עכשווי, למידע היסטורי וגם לתחזיות עתידיות. 

העיקרון ממליץ על שימוש במידע עדכני, מידע אמין ומידע רלוונטי. חשוב להיות ערים לכך שמידע לא אמין לפעמים גרוע יותר מחוסר מידע. הוא עלול להביא להטיה בתפיסת הסיכונים וכתוצאה מכך לניהול לא נכון שלהם.

כך למשל, מלחמת המפרץ השנייה של ארצות הברית ובעלות בריתה נגד עיראק התבססה על מידע כאילו לעיראק של סאדם חוסיין יש נשק השמדה המוני. המידע לא היה מידע שתמך בטענה הזו באופן מספק. וניתן היה להגיע על בסיס המידע למסקנה שלעיראק לא היה נשק כזה.

עיקרון 7: Human and Cultural Factors

  
גורמים אנושיים וגורמים של תרבות ארגונית עשויים להשפיע על כל האספקטים של ניהול סיכונים. כפי שכבר ראיתם בעיקרון 4 אנשים עשויים להיות החוליה החלשה בניהול אבטחת מידע. 

תרבות ארגונית ותרבות בכלל יכולים להביא לניהול סיכונים שונה מאשר ניהול סיכונים בארגון אחר. 

סטטיסטיקת התרסקות מטוסים הראתה בעבר שמטוסים שבהם טייסים קוריאנים מתרסקים בשכיחות גבוהה יותר. הסיכון נבע מגורם תרבותי. הגורם התרבותי מנע מטייס משנה לחלוק על דעתו של הקברניט גם כשהוא מזהה סכנה שהקברניט אינו מזהה. לאחר שהתפיסה התרבותית אותרה כגורם לכך שונתה התפיסה באמצעות הכשרת הטייסים לתפיסה תרבותית שונה. מי שמעוניין יכול לקרוא על כך בספרו של מלקולם גולדוול "מצוינים" בפרק 7: התאוריה האתנית.

עיקרון 8: Continual Improvement

כשמודעים לכך שניתן תמיד לשפר את ניהול הסיכונים יודעים לנצל הזדמנויות לשיפור מתמשך של ניהול הסיכונים. 
ניתן לשפר את ניהול הסיכונים על בסיס הסקת מסקנות מניסיון. למשל: הערכת ההסתברות להתרחשות אירוע סיכון עלולה להיות לא נכונה או לא מדויקת. ניסיון מצטבר עשוי לשנות את ההערכה הזו. 

בהקשר של כלכלת המשפחה, מודעות לסיכון כמו קושי עתידי לשלם משכנתה עשויה להביא לניצול הזדמנויות למיחזור שלה או להקטנתה באופן יזום.

תקנים לניהול סיכונים: עקרונות

תקני ניהול סיכונים בינלאומיים התפתחו באופן אבולוציוני. הם התפתחו מתקנים לאומיים בתחום שנוצרו במדינות שונות ומהצרכים הדינאמיים של ניהול סיכונים, הנובעים משינויים בעולם בכלל ובעולם העסקי בפרט.

במשך הזמן הם ממשיכים להתפתח באמצעות מהדורות חדשות ומשופרות שלהם. 

בשנת 2017  יצאה מהדורה חדשה של COSO ERM Framework. 

בפברואר 2018 שוחרר תקן חדש של ארגון התקנים הבינלאומי ISO 31000:2018. השוואה בינו לבין התקן הקודם של אותו ארגון עשיתי בפוסט קודם.

עקרונות: המשותף לכל התקנים

עקרונות (Principles) הם דבר המשותף לכל התקנים. איני מתכוון להגיד שהעקרונות זהים בכל התקנים. מה שאני טוען הוא שכל תקן כזה מציב עקרונות לניהול סיכונים.

בפוסט שהשווה בין ISO 31000:2018 ל-ISO 31000:2009 ציינתי כי אחד ההבדלים הוא צמצום ופישוט התקן. אחד הדברים שצומצמו הוא מספר העקרונות: ב-ISO 31000:2018 יש רק 8 עקרונות. 

חשיבותם של עקרונות

העקרונות הם הבסיס לבניית ניהול סיכונים בארגון הם מנחים את הארגון בבניית ניהול סיכונים אפקטיבי ויעיל ובהסבר המטרות והכוונות של ניהול הסיכונים בארגון. הסברים נדרשים על מנת ליידע את עובדי הארגון באופן כללי על ניהול הסיכונים שנעשה בו.

לא רק את עובדי הארגון ניתן ליידע. אפשר ליידע גם שותפים עסקיים. אפשר ליידע גם את הלקוחות ואפשר ליידע גם את הציבור הרחב.

יידוע שתי הקבוצות הראשונות חשוב משום שנדרש שיתוף פעולה שלהם ביצירת המסגרת ובבניית הקריטריונים והתהליכים של ניהול הסיכונים ובמימושם בפועל.

במקרים רבים גם לקוחות עשויים לתרום לשיפור ניהול הסיכונים של ארגון.

האם לעקרונות יש תועלת גם ברמה האישית וברמה המשפחתית?

בלוג זה ממוקד בכלכלת משפחות ויחידים ולכן השאלה בכותרת פסקה זו נשאלת באופן טבעי.

התשובה לשאלה הזו היא חיובית. משפחה המעוניינת לנהל את מכלול הסיכונים הכלכליים שלה בראייה כוללת יכולה להציב מספר עקרונות לפני בניית תוכנית ניהול הסיכונים שלה.

כך למשל, העיקרון הראשון של ניהול סיכונים ב-ISO 31000:2018 הוא Integrated. המשמעות היא שניהול הסיכונים הוא חלק אינטגרלי מפעילויות אחרות. בהקשר של ניהול סיכונים בכלכלת המשפחה, המשמעות היא שילוב מלא של ניהול הסיכונים עם היבטים אחרים של ניהול כלכלת המשפחה. 

קורס ניהול סיכונים

בתחילת חודש יוני אעביר קורס ISO 31000 ניהול סיכונים מטעם חברת PECB הקנדית.

לפרטים: קורס ISO 31000 ניהול סיכונים

ההיבט הדינאמי בניהול סיכונים: ISO 31000:2018 Risk Management Guidelines

לא הכל קבוע. דברים משתנים. אולי לא "הכל סיכונים" (הרוב כן) אבל "הכל דינאמי". העולם משתנה בכל אספקט שתחשבו עליו: לפני קצת יותר מ-20 שנה לא היה עדיין אינטרנט, בקושי היו טלפונים סלולאריים אבל לא היו טלפונים חכמים.

ירושלים וערי המרכז לא היו מוצפות במגדלי מגורים. אף לא אחד חשב על שנים ארוכות עם ריבת אפסית והרחבה כמותית. 
הדינאמיות וקצב השינויים הולכים וגדלים.

בהקשר של התקן החדש לניהול סיכונים ISO 31000:2018 Risk Management Guidelines, להיבט הדינאמי יש שתי משמעויות:

1. עצם קיומו של התקן החדש נובע מהדינאמיות. 

תקנים מתעדכנים על מנת להתאים לנסיבות המשתנות. גם בסטנדרט הקיים ISO 31000:2009 נדרשו שינויים, הרחבות והתאמות על מנת שיענה על שינויים בארגונים המחייבים ניהול סיכונים שונה. 

2. התקן החדש מדגיש את ההיבטים הדינאמיים של הטיפול בסיכונים
מי שקרא את הפוסט שלי המתייחס להיבט הדינאמי בתקן הקודם ISO 31000-2009, יודע שגם בגרסה הקודמת של התקן יש התייחסות להיבטים הדינאמיים של ניהול תיקונים. 
התקן של שנת 2018 מדגיש אותם יותר.  

האם יש שינויים מהותיים ב-ISO 31000-2018?

הדעות על כך חלוקות. יש החושבים שיש שינויים משמעותיים ויש החושבים שלא. 
כך למשל, כותב המאמר אליו מצורף קישור חושב שאין שיפור מהותי בהשוואה לתקן הקודם מלפני כמעט עשור. 
הקישור: Revised ISO 31000 Risk Management Standard: Still a Good Reference but not Substanially Improved 

לעומת זאת, בארגון התקנים הבינלאומי (ISO) מדברים על כוונה לעשות שינויים קלים, שהסתימה בשינויים משמעותיים, שחייבו תקן חדש.

השינויים העיקריים ב-ISO 31000-2018

1. צמצום ופישוט
התוכן המתאר את התקן צומצם בהיקפו, נכתב באופן ברור ופשוט יותר.
זהו כמובן לא שינוי מהותי אלא שינוי טכני בלבד. 
כך למשל, משתמשים בתקן רק בתפיסות הליבה (Core Concepts) של ניהול סיכונים. 
הגדרות מושגים פחות יסודיים הוצאו מהתקן והועברו לתקן משנת 2009 בשם:
 ISO Guide 73:2009 Risk Management Vocabulary 

צמצום אחר הוא צמצום מספר עקרונות היסוד של התקן. חלק מהעקרונות שנשארו, נוסחו באופן פשוט יותר ו/או תואם להדגשים החדשים.

2. דגש על מנהיגות (Leadership) של ההנהלה הבכירה
במהדורה של שנת 2009 כמעט ולא הייתה הבחנה בין הנהלה בכירה למנהלים אחרים. בתקן של שנת 2018 יש הבחנה בין מנהלים בכירים למנהלים אחרים ומודגשת חשיבות המחויבות והמנהיגות שלהם. 

3. דגש על שילוב ניהול סיכונים במנגנוני הניהול האסטרטגיים והאחרים של הארגון
שוב נושא שהוזכר בתקנים של שנת 2009, רק שעכשיו יש דגש עליו. מנגנוני הניהול בארגונים  מבוססים על תוכנה. הכוונה לשלב את ניהול הסיכונים במנגנונים הממוחשבים האלה. 
שילוב כזה מאפשר דיווחים קלים ונוחים יותר וגם ניתוחי מידע המשלבים בין מידע בתחום של ניהול סיכונים לבין מידע בתחומים אחרים. 
דוגמה: בהקשר של ביצוע בפועל של הטיפולים בניהול סיכונים אפשר לדווח באמצעות כלי APM (Application Performance Management).
תהליך רישום (Recording) ודיווח (Reprting) הוא נושא חדש שהתווסף לתקן של 2018.


4. דגש על הצורך בביצוע שינויים בניהול סיכונים
זוהי ההתייחסות להיבטים הדינאמיים, שהזכרתי בתחילת הפוסט.
המונח החוזר בהקשר זה אינו דינאמי אלא איטרטיבי. 
משמעות ביצוע איטרציות תקופתיות או בעקבות מעקב, בכל תחום של ניהול סיכונים, היא דגש על שינויים. כשהעולם מסביב הוא דינאמי, כלומר: משתנה כל הזמן, גם ניהול הסיכונים צריך להשתנות.
שינוי מחייב "יד על הדופק", כלומר: מעקב מתמיד ומתמשך אחרי ניהול הסיכונים בהקשר הרחב של השינויים העסקיים והאסטרטגיים וביצוע ההתאמות הנדרשות בניהול הסיכונים של הארגון.  

5. דגש על פתיחות המאפשרת התאמה למגוון רחב של הקשרים וצרכים
מודל ניהול הסיכונים הופך לפתוח יותר ולגנרי יותר.

משמעות השינויים לגבי ניהול סיכונים בכלכלת המשפחה 
בפוסטים על ISO 31000:2009 טענתי כי התקן רלוונטי לא רק לארגונים ולמדינות, אלא גם לניהול סיכונים של פרט או קבוצה. 
באופן מיוחד העמקתי במשמעות התקן ביחס לסיכונים בכלכלת המשפחה, התחום העיקרי בו עוסק בלוג זה.

כפי שציינתי, התקן הוא כללי וגנרי. ההקשר הארגוני מורכב יותר מההקשר של ניהול כלכלת המשפחה ולכן לא לכל מה שמופיע בתקן יש משמעות בהקשר של כלכלת המשפחה.

בפסקה זו אתייחס למשמעות השינויים בתקן של שנת 2018 על ניהול סיכונים בכלכלת המשפחה.

1. צמצום ופישוט
זהו שינוי טכני בתקן. מודל פשוט יותר קל יותר להבנה וליישום במקרה הפרטי הפשוט של כלכלת המשפחה.

2. דגש על ההנהלה הבכירה
יש משפחות שבה אחד מבני המשפחה הוא הקובע. בדרך כלל האם או האב. לראות אותו כהנהלה בכירה זה יהיה קצת מוגזם. 
השינוי הזה אינו רלוונטי לניהול סיכונים בכלכלת המשפחה.

3. דגש על שילוב ניהול סיכונים במנגנוני הניהול האסטרטגיים והאחרים של הארגון
לא ממש רלוונטי לניהול סיכונים בכלכלת המשפחה.
הדבר היחיד שרלוונטי הוא האינטגרציה או השילוב בין ניהול הסיכונים לבין היעדים הכלכליים האסטרטגיים של המשפחה.
נכון לעכשיו, מנגנוני ניהול ממוחשבים לא ממש מיושמים בניהול האסטרטגי של כלכלת המשפחה.

4. דגש על הצורך בביצוע שינויים בניהול סיכונים
לא בכדי השארתי את הכותרת הזו בצבע אדום. זהו השינוי הרלוונטי ביותר בהקשר של ניהול סיכונים בכלכלת המשפחה.
הדינאמיות הגדלה או הקצב הגדל של שינויים רלוונטית מאד גם לכלכלת המשפחה.

הצורך באיטרציות ובבחינה של שינויים המשפיעים על ניהול הסיכונים הכלכליים של משפחות הולך וגדל. 
ההמלצה שלי: גם אם השלמתם ייעוץ בכלכלת המשפחה בצעו פגישות בקרה תקופתיות.

 5. דגש על פתיחות המאפשרת התאמה למגוון רחב של הקשרים וצרכים
ההשפעה של השינוי הזה בהקשר של כלכלת המשפחה היא זניחה. 
יתכן שזה יאפשר ניסוח פשוט וברור יותר והבנה טובה יותר של משפחות.
הבסיס להתאמה לכלכלת המשפחה כבר היה בתקני שנת 2009. את ההתאמה הזאת אני כבר עשיתי כיועץ. 

השורה התחתונה: קל יותר להיעזר בתקן החדש בניהול סיכונים בכלכלת המשפחה בהשוואה לתקנים של שנת 2009. השינוי המשמעותי ביותר הוא הדגש על ההיבט הדינאמי.