ریسک پسماند یا ریسک باقیمانده از ریسک ذاتی چیست؟

وقتی درباره مدیریت ریسک صحبت می کنیم، معمولا اقداماتی که قرار است ریسک ها را کاهش دهند به ذهن ما خطور می کند، مثل کنترل های ایمنی، بیمه، پشتیبان گیری از داده ها یا آموزش کارکنان. اما واقعیت این است که هیچ کنترلی کامل و صد درصدی نیست. همیشه بخشی از ریسک، حتی بعد از همه اقدامات کنترلی، باقی می ماند. این بخش همان چیزی است که در مدیریت ریسک به آن ریسک باقیمانده یا ریسک پسماند گفته می شود.

برای درک بهتر موضوع، باید تفاوت بین ریسک ذاتی و ریسک پسماند یا ریسک باقیمانده را بشناسیم. ریسک ذاتی، همان سطح ریسکی است که قبل از اعمال هرگونه اقدام کنترلی وجود دارد؛ یعنی وضعیت خام و اولیه ریسک. وقتی کنترل ها و اقدامات کاهشی اعمال می شوند، بخشی از این ریسک حذف یا کاهش پیدا می کند. آنچه بعد از اجرای این کنترل ها همچنان باقی می ماند، همان ریسک باقیمانده است. در واقع، ریسک باقیمانده بخشی از ریسک ذاتی است که با وجود کنترل ها و اقدامات مدیریت ریسک، هنوز وجود دارد و باید آن را پذیرفت، پایش کرد یا با ابزارهای دیگری مثل بیمه پوشش داد.

بگذارید در همین ابتدا یک مثال را مرور کنیم. تصور کنید یک سازمان آتش نشانی برای حفاظت از کارکنان خود در عملیات نجات، تجهیزات ایمنی کامل، دوره های آموزشی و دستورالعمل های دقیق دارد. با این حال، هیچ کس نمی تواند تضمین کند که در یک عملیات سخت، مثل ریزش ساختمان یا انفجار گاز، خطر آسیب یا تلفات به صفر برسد. آن بخش خطری که حتی بعد از همه آمادگی ها وجود دارد، همان ریسک باقیمانده است.

در یک سازمان صنعتی مثل یک کارخانه فولاد، ممکن است برای کاهش احتمال حوادث ناشی از کار با کوره های ذوب، سیستم های خنک کننده اضطراری، سنسورهای هشدار و پروتکل های ایمنی طراحی شده باشد. با وجود همه این اقدامات، باز هم امکان دارد یک خطای انسانی یا یک نقص فنی غیرقابل پیش بینی باعث حادثه شود. این احتمال اندک اما واقعی، همان ریسک باقیمانده است.

ریسک پسماند و ریسک باقیمانده در برابر ریسک ذاتی

ریسک پسماند فقط در سطح عملیات روزمره نیست؛ بلکه در سطح استراتژیک هم وجود دارد. مثلاً یک شرکت خدمات مالی ممکن است در برابر نوسانات اقتصادی، با متنوع سازی سرمایه گذاری ها و پایش بازارها، سطح ریسک خود را پایین بیاورد. با این حال، اگر بحران جهانی مالی رخ دهد، باز هم اثر منفی روی سودآوری شرکت اجتناب ناپذیر خواهد بود. این بخش کنترل نشده، نمونه ای از ریسک باقیمانده است.

یا در یک سازمان عمومی مثل شهرداری، فرض کنید برنامه ای جامع برای نوسازی ناوگان حمل و نقل عمومی تدوین شده باشد. تأمین بودجه، قرارداد با تولیدکنندگان معتبر و زمان بندی دقیق همه در نظر گرفته شدهاند. اما همچنان عواملی مثل تغییر ناگهانی نرخ ارز، تحریم ها یا بلایای طبیعی می توانند اجرای پروژه را تحت تأثیر قرار دهند. اینجا هم ریسک باقیمانده همچنان پابرجاست.

در دنیای خدمات هم نمونه های زیادی دیده میشود. مثلاً یک بیمارستان ممکن است برای جلوگیری از خطاهای پزشکی، از پروتکل های درمانی استاندارد، سیستم های الکترونیکی ثبت پرونده و پایش مستمر کیفیت استفاده کند. با این حال، امکان خطا به طور کامل حذف نمی شود. حتی در بهترین شرایط، احتمال رخداد یک اشتباه انسانی یا نقص سیستم باقی می ماند که نمونه ای روشن از ریسک پسماند است.

حتی در فناوری اطلاعات هم همین موضوع صادق است. یک شرکت ارائه دهنده خدمات ابری ممکن است برای محافظت از داده های مشتریان، از رمزنگاری پیشرفته، فایروال های چندلایه و تیم امنیت سایبری استفاده کند. با وجود این، احتمال حمله یک هکر بسیار حرفه ای یا بروز یک ضعف امنیتی ناشناخته، هرچند اندک، باز هم وجود دارد. این احتمال همان ریسک باقیمانده در حوزه سایبری است.

بنابراین، ریسک باقیمانده نه یک ضعف در مدیریت ریسک به طور عام و در مدیریت ریسک سازمانی به صورت خاص، بلکه یک واقعیت اجتناب ناپذیر است. هنر مدیریت ریسک آن است که سازمان ها بتوانند این ریسک های پسماند را شناسایی کنند، سطح قابل قبول بودن شان را بسنجند و برای مواجهه با آنها آماده باشند. پذیرش آگاهانه ریسک باقیمانده، بخشی از بلوغ سازمان در مدیریت ریسک است؛ چرا که ما نمی توانیم دنیا را بدون عدم قطعیت تصور کنیم.