هر کسب و کاری با ریسک‌هایی روبرو است که می‌تواند بر عملکرد آن و در نهایت موفقیت یا شکست آن تأثیر بگذارد. اما ریسک‌های تجاری مختلف – حتی موارد رایجی که همه شرکت‌ها با آن مواجه هستند – بر هر سازمان به یک شکل تأثیر نمی‌گذارد. در نتیجه، رهبران یک شرکت باید نه تنها از ریسک‌هایی که با آن مواجه هستند، بلکه همچنین از احتمال وقوع مشکل و تأثیر تجاری آنها بر کسب و کار خود آگاه باشند.
این بخشی از مدیریت ریسک است – فرآیندی برای شناسایی، ارزیابی و کنترل ریسک‌های بالقوه کسب و کار. مشاوران و متخصصان مدیریت ریسک معمولاً ریسک‌ها را بر اساس دسته بندی‌ها یا انواع مختلف طبقه بندی می‌کنند. با این حال، خطرات همیشه جدا از هم نیستند. برخی از آنها در هم تنیده هستند، به این معنی که می‌توان آنها را با هم گروه بندی کرد و به طور دسته جمعی مدیریت کرد.
با وجود تغییرات در نحوه طبقه بندی ریسک‌ها توسط کارشناسان مختلف در این زمینه، ۱۳ نوع ریسک تجاری جا افتاده و نوظهور وجود دارد که مدیران اجرایی کسب و کار و تیم‌های مدیریت ریسک باید آنها را درک کنند.
۱. ریسک استراتژیک
ریسک استراتژیک به مسائلی مربوط می‌شود که می‌تواند بر توانایی شرکت در اجرای اهداف استراتژیک خود و دستیابی به اهداف تجاری تأثیر بگذارد. این نوع ریسک همچنین به مزیت‌های رقابتی یک سازمان در بازار و عوامل داخلی یا خارجی که می‌تواند آنها را کاهش دهد، مربوط می‌شود.
عناصر مورد نیاز برای مدیریت ریسک استراتژیک شامل مهارت و ثبات تیم مدیران ارشد و تیم مدیریت کسب و کار، توانایی سازمان در هدایت تغییرات کسب و کار یا بازار، توانایی آن در راه اندازی موفق محصولات و خدمات جدید و میزان انعطاف پذیری آن در مواجه با شرایط نامطلوب است.
از آنجایی که ریسک استراتژیک طیف وسیعی از مسائل را در بر می‌گیرد، برخی از کارشناسان مدیریت ریسک بر این باورند که بسیاری – اگر نگوییم اکثر یا حتی همه – ریسک‌های دیگر که در زیر آمده است، به طور بالقوه می‌توانند در این دسته قرار بگیرند.
۲. ریسک عملیاتی
امیلی فروتیک، شریک مشاوره ای در شرکت خدمات حرفه ای KPMG و رهبر برنامه مدیریت ریسک Trusted Imperative در ایالات متحده، گفت: ریسک عملیاتی، نوع گسترده ای از ریسک است که هر چیزی را که بر توانایی سازمان برای اداره موثر و کارآمد عملیات تجاری آن تاثیر بگذارد را شامل می شود. مدیریت ریسک عملیاتی بر فرآیندها، رویه‌ها، سیاست‌ها، افراد و سیستم‌هایی که یک شرکت برای اجرای آنها برنامه ریزی کرده و اطمینان از اینکه می توانند در برابر رویدادهای نامطلوب مقاومت کنند، تاثیر می گذارد.
ریسک عملیاتی همچنین اغلب شامل ریسک‌های مرتبط با زنجیره تامین و فروشندگان ثالث، عوامل محیطی و تاسیسات یک سازمان می‌شود، اگرچه برخی از مشاوران این موارد را به عنوان دسته ریسک جداگانه می‌بینند. به عنوان مثال، KPMG ریسک‌های زیست محیطی و ژئوپلیتیکی را به اندازه کافی مهم تلقی می‌کند که به عنوان یک نوع ریسک واحد در نظر گرفته شود. دیگران چنین مواردی را تنها برای مشاغلی که به طور خاص در برابر آنها آسیب پذیر هستند، به عنوان ریسک‌های مستقل در نظر می‌گیرند. برای مثال، یک تولیدکننده که برای کارکرد خطوط تولید خود به عدم توقف برنامه ریزی نشده وابسته است، ممکن است ریسک تاسیسات را به عنوان یک دسته جداگانه در نظر بگیرد.
۳. ریسک فرآیند
با وجودی که ریسک فرآیند گاهی اوقات بخشی از ریسک عملیاتی در نظر گرفته می‌شود، اما به طور مکرر به عنوان نوع دیگری از ریسک ذکر می‌شود. این موضوع به طور خاص به این مرتبط است که آیا فرآیندهای تجاری مختلفی که از عملیات یک شرکت پشتیبانی می‌کنند – از فرآیندهای داخلی اصلی گرفته تا گردش کار دیجیتال و عملکردهای زنجیره تامین – موثر، کارآمد و انعطاف پذیر هستند یا خیر. در غیر این صورت، یک سازمان باید تأثیرات پایین دستی را که شکاف فرآیند می‌تواند داشته باشد ارزیابی کند و تصمیم بگیرد که چگونه ریسک‌های ناشی از آن را کاهش دهد.
۴. ریسک مالی
همه شرکت‌ها با ریسک مالی روبرو هستند که شامل عوامل تجاری است که می‌تواند بر جریان نقدینگی، سودآوری، ترازنامه و حتی توانایی پرداخت سازمان تأثیر بگذارد. ریسک مالی به گفته رزولوند «این نیست که قیمت سهام شما پایین بیاید». او توضیح داد که عملکرد سهام، مثبت یا منفی، نتیجه‌ای از چگونگی مدیریت ریسک مالی و سایر انواع ریسک‌های تجاری‌ای است که یک شرکت با آن مواجه است.
۵. ریسک انطباق
هر شرکتی الزامات نظارتی دارد که باید رعایت کند. علاوه بر این، شرکت‌های خوش‌نام چارچوبی از سیاست‌ها و رویه‌های حاکمیتی را برای اطمینان از مطابقت عملیات تجاری با استانداردهای داخلی و پاسخگویی مدیران کسب‌وکار نسبت به رعایت استانداردها ایجاد می‌کنند.
اینکه شرکت‌ها تا چه حد با الزامات نظارتی و حاکمیتی مطابقت داشته باشند، می‌تواند بر عملکرد کسب‌وکار تأثیر بگذارد و سازمان‌ها در صنایع به شدت تحت نظارت، مانند خدمات مالی، زمانی که در انجام وظایف انطباق کوتاهی می‌کنند، با پیامدهای بیشتری روبرو می‌شوند. فرولیک گفت که توانایی یک شرکت در پیش بینی الزامات نظارتی و مدیریت روابط خود با سازمان‌های تنظیم کننده نیز می‌تواند بر عملکرد آن تأثیر بگذارد.
همه این موارد، ریسک انطباق را به یک موضوع مهم برای بسیاری از شرکت‌ها تبدیل می‌کند. این دسته که گاهی اوقات به طور گسترده‌تری به عنوان ریسک نظارتی و انطباق یا ریسک نظارتی، انطباق و حاکمیت (Governance, Risk and Compliance – GRC) اشاره می‌شود، یک حوزه کلیدی در ابتکارات حاکمیت، ریسک و انطباق در سازمان‌ها است.
۶. ریسک قانونی
به طور مشابه، هر شرکتی باید تا حدی ریسک حقوقی را مدیریت کند، مانند اطمینان از اینکه عملیات تجاری با تعهدات قراردادی مطابقت داشته و از قوانین مرتبط پیروی می‌کند. ریسک حقوقی همچنین شامل مسئولیت بالقوه برای خرابی محصول یا مسائل ایمنی و اقدامات مجرمانه مدیران و کارکنان است. مدیریت آن مستلزم این است که شرکت‌ها عواقب عدم رعایت تعهدات قانونی خود را شناسایی و درک کنند.
مانند سایر انواع ریسک‌های تجاری، میزان مواجهه یک شرکت با ریسک حقوقی بر اساس عوامل متعددی مانند نوع محصولات و خدماتی که ارائه می‌دهد، متفاوت است. به عنوان مثال، یک شرکت تفریحی که فعالیت‌های ماجراجویانه با ریسک بالا ارائه می‌دهد، به طور معمول نسبت به یک خرده فروش، با احتمال بیشتری با اقدامات قانونی مرتبط با مشتریان مصدوم مواجه می‌شود. از سوی دیگر، یک خرده فروش با صدها تامین کننده ممکن است احتمال بیشتری برای بروز اختلافات قراردادی داشته باشد.
۷. ریسک کلان اقتصادی
برخی از متخصصان همچنین ریسک کلان اقتصادی را به عنوان یک دسته جداگانه فهرست می‌کنند. جیم دلوچ، مدیر عامل مشاوره پروتیوی که بر GRC، مدیریت ریسک سازمانی (ERM) و انطباق با الزامات گزارشگری مالی تمرکز دارد، گفت که این امر به ویژه در حال حاضر منطقی است.
دلوچ با اشاره به واکنش‌های منفی در حال انجام علیه جهانی‌سازی تجارت، افزایش نرخ بهره و تشدید تنش‌های اقتصادی بین کشورها، گفت: «ما دوران بی‌سابقه‌ای را پشت سر می‌گذاریم». او افزود، مدیران اجرایی کسب‌وکار باید به این موارد و سایر عوامل کلان اقتصادی توجه زیادی داشته باشند، «زیرا آنها می‌توانند بر هر چیز دیگری ارجحیت داشته باشند». اما شرکت‌هایی که این نوع ریسک را به خوبی مدیریت می‌کنند، می‌توانند به سرعت به چنین نیروهای اقتصادی واکنش نشان دهند.
۸. ریسک منابع انسانی
این ریسک که همچنین ریسک نیروی انسانی یا ریسک انسانی نامیده می‌شود، نوع دیگری از ریسک است که بر هر کسب و کاری تأثیر می‌گذارد. همه شرکت‌ها برای عملکرد و موفقیت به افراد وابسته هستند. در نتیجه، شرکت‌ها در صورتی که نتوانند به اندازه کافی افراد با مهارت‌های مناسب برای برآوردن نیازهای تجاری موجود و پیش بینی شده استخدام و نگهداری کنند، با ریسک مواجه می‌شوند. همچنین اگر شرایط کسب و کار تغییر کند و نیروی کار اضافی داشته باشند، با ریسک مواجه می‌شوند.
رفتار افراد نیز خطرات بالقوه ای را به همراه دارد. به عنوان مثال، مدیران و سایر کارمندان ممکن است در حین کار مرتکب رفتار غیرقانونی، غیر اخلاقی یا نامناسب شوند یا در موقعیت خود صلاحیت نداشته باشند. مسائل شخصی نیز مانند مشکلات پزشکی می‌تواند بر توانایی افراد در انجام کارشان تأثیر بگذارد. رزولوند گفت: «همه این موارد بخشی از ریسک منابع انسانی هستند.»
۹. ریسک فناوری
یک دسته ریسک جهانی دیگر حول محور فناوری می‌چرخد. زیرساخت فناوری اطلاعات یک شرکت باید مورد ارزیابی قرار گیرد تا مشخص شود که آیا و تا چه حد ریسک ایجاد می‌کند – برای مثال، اگر سیستم‌ها و برنامه‌های فناوری اطلاعات قدیمی، پرهزینه یا به اندازه کافی انعطاف پذیر نباشند. استقرار فناوری‌های جدید نیز می‌تواند ریسک‌های تجاری را به همراه داشته باشد.
فرولیک توضیح داد: «شما ممکن است در زمینه فناوری کم سرمایه گذاری کنید، فناوری قدیمی داشته باشید، یا اکوسیستم فناوری شما در حال گسترش باشد و ریسک جدیدی ایجاد کند. همچنین این احتمال وجود دارد که [سیستم‌ها] از کار بیفتند که این نیز یک ریسک است.»
KPMG، اختلال را در کنار فناوری به عنوان یک دسته واحد از ریسک فهرست می‌کند – تأییدی بر تأثیر قابل توجهی که ابتکارات «تحول دیجیتال» اغلب بر یک سازمان دارد. اما این موضوع دو جنبه دارد: فرولیک گفت شرکتی که سیستم جدیدی را اجرا می‌کند، می‌تواند عملیات خود را مختل کند، همانطور که شرکتی که تصمیم می‌گیرد با فناوری قدیمی که غیرقابل اعتماد شده است، ادامه دهد. علاوه بر این، هر شرکتی با خطر مختل شدن توسط رقبایی که از فناوری‌های جدید یا فناوری‌های موجود به روشی جدید استفاده می‌کنند، مواجه است.
۱۰. ریسک امنیت سایبری
ریسک امنیت سایبری که همچنین به عنوان ریسک سایبری شناخته می‌شود، به پتانسیل مشکلات تجاری و ضررهای مالی ناشی از حمله سایبری که بر عملیات تأثیر می‌گذارد یا نقض امنیتی که منجر به سرقت داده‌های شرکت می‌شود، می‌پردازد. این ریسک ارتباط نزدیکی با ریسک فناوری دارد، اما فهرست کردن آن به عنوان یک نوع مستقل از ریسک، هزینه‌های قابل توجه و خسارت‌های تجاری را که حوادث امنیت سایبری می‌تواند ایجاد کند، به رسمیت می‌شناسد. به عنوان مثال، «گزارش هزینه نقض داده‌های IBM 2023» که بر اساس مطالعه ای انجام شده توسط موسسه تحقیقاتی Ponemon Institute برای آن انجام شده است، نشان داد که میانگین هزینه نقض داده‌ها در ۵۵۳ سازمان در سراسر جهان ۴.۴۵ میلیون دلار بوده است.
KPMG امنیت سایبری و جرم را با هم به عنوان یک دسته ریسک ترکیبی گروه بندی می‌کند، زیرا بسیاری از تهدیدات امنیتی نتیجه اقدامات مجرمانه است. فرولیک گفت: علاوه بر حملات سایبری و نقض داده‌ها، این ریسک فعالیت‌های غیرقانونی مانند سرقت، کلاهبرداری، اختلاس، پولشویی و سایر جرایم مالی را در بر می‌گیرد که می‌تواند باعث آسیب مالی و خدشه دار شدن شهرت یک سازمان شود.
۱۱. ریسک داده
اگرچه برخی از مشاوران و متخصصان مدیریت ریسک، نگرانی‌های مربوط به امنیت داده‌ها را تحت ریسک امنیت سایبری قرار می‌دهند، اما در حال حاضر برخی دیگر ریسک داده را یک دسته مجزا در نظر می‌گیرند. آنها اهمیت روزافزون داده‌ها برای عملیات تجاری را دلیل تمایز قائل شدن برای ریسک داده به عنوان یک نوع مجزا از ریسک عنوان می‌کنند که مسائل مدیریت داده و حکمرانی داده را نیز در بر می‌گیرد.
گاوری دیپ سینگ جوهر، یک متخصص مدیریت ریسک که عضو گروه کاری روندهای نوظهور در ISACA، یک انجمن حرفه‌ای برای افراد در زمینه امنیت اطلاعات، مدیریت ریسک و زمینه‌های مرتبط است، گفت: «حکمرانی داده، کیفیت داده، داده برای تجزیه و تحلیل – همه اینها موضوعات مهمی هستند. داده‌ها به صورت ۲۴/۷ جریان دارند و دائماً در حال تغییر هستند، بنابراین به میزان مناسب نظارت و حکمرانی نیاز دارند.»
جوهر گفت، شرکت‌هایی که نتوانند ریسک‌های مرتبط با برنامه‌های امنیت داده‌ها، مدیریت داده‌ها و حکمرانی داده‌های خود را به درستی مدیریت کنند، علاوه بر ضررهای مالی احتمالی، با فرصت‌های از دست رفته کسب و کار و سهم بازار نیز مواجه خواهند شد.
۱۲. ریسک هوش مصنوعی
این نوع دیگری از ریسک است که برخی از مشاوران اکنون آن را از دسته گسترده ریسک فناوری جدا می‌کنند. آنها می‌گویند با گسترش استفاده از هوش مصنوعی در کسب و کار، شرکت‌ها باید نسبت به شناسایی و مدیریت ریسک‌هایی که فناوری هوش مصنوعی برای عملیات آنها ایجاد می‌کند، توجه بیشتری داشته باشند.
ریسک‌های استفاده از هوش مصنوعی شامل مواردی مانند وارد کردن داده‌های بی کیفیت به مدل‌های هوش مصنوعی و نداشتن یک چارچوب حکومتی قوی برای هوش مصنوعی برای محافظت در برابر سوگیری‌های ناخواسته و انحراف مدل که باعث کاهش عملکرد می‌شود، است. اما شرکت‌ها همچنین در صورت محدود کردن یا صرف نظر از استفاده از هوش مصنوعی با ریسک مواجه هستند. برای مثال، آنها ممکن است از رقبایی که از هوش مصنوعی استفاده می‌کنند عقب بیفتند یا فرصت‌های احتمالی کسب و کار را از دست بدهند.
۱۳. ریسک شهرت
این که کسب و کاری چقدر خوب ریسک‌های خود را مدیریت کند – یا در مدیریت آنها شکست بخورد – همچنین می‌تواند بر شهرت و جایگاه برند آن در بازار تأثیر بگذارد. به همین ترتیب، برخی از مشاوران آسیب به شهرت را نتیجه مدیریت ضعیف سایر انواع ریسک‌ها به جای یک دسته ریسک جداگانه می‌دانند. رزولوند گفت: «مردم در مورد آن به عنوان یک ریسک صحبت می‌کنند، اما به طور کلی نتیجه چیز دیگری است. مشکلی پیش آمده است و در نتیجه شهرت شما آسیب دیده است.»
اما برخی دیگر، مانند KPMG، ریسک شهرت را به عنوان یک دسته جداگانه در نظر می‌گیرند. فرولیک اذعان کرد که مسائل مربوط به شهرت و برند «ناشی از چگونگی مدیریت سایر ریسک‌ها است»، اما او گفت که این موارد نیز قابل مدیریت هستند تا از ریسک‌های بالقوه جلوگیری یا آنها را به حداقل برسانند. به عنوان مثال، شرکت‌ها می‌توانند نحوه موقعیت یابی خود در بازار و میزان همخوانی خود با انتظارات مشتریان و شرکای تجاری را کنترل کنند.
بهترین روش‌ها برای مدیریت ریسک‌های تجاری
برای مدیریت موفق ریسک، یک سازمان باید با شناسایی انواع ریسک‌هایی که بر عملیات تجاری آن تأثیر می‌گذارد شروع کند و سپس برای درک تأثیر بالقوه هر یک، تحلیل ریسک انجام دهد. این کار اغلب مستلزم ایجاد یک طبقه‌بندی ریسک است که ریسک‌های پیش روی یک شرکت را تعریف می‌کند و همچنین یک ثبت ریسک که چگونگی اعمال ریسک‌های فردی بر کسب و کار را برای اهداف ردیابی و گزارش ریسک مستند می‌کند.
مدیران اجرایی کسب و کار و مدیران ریسک سپس باید از این اسناد برای توسعه و اجرای کنترل‌هایی برای اجتناب از ریسک‌ها یا کاهش آنها به سطح قابل قبول، مطابق با ریسک‌پذیری سازمان – معیاری از میزان ریسکی که یک شرکت برای دستیابی به اهداف تجاری خود حاضر به پذیرش آن است – استفاده کنند. اما استراتژی‌های مدیریت ریسک اغلب باید با تغییر شرایط و الزامات کسب و کار به‌روز شوند. رزولوند گفت: «در سازمان‌هایی که فرآیندهای مدیریت ریسک به خوبی مدیریت می‌شوند، ثبت ریسک، یک سند زنده است که در هسته عملیات استفاده می‌شود.»
یک برنامه مدیریت ریسک موثر، بخش‌ها و واحدهای تجاری را قادر می‌سازد تا با اطمینان از ریسک‌ها و نحوه برخورد با آنها در صورت بروز، با موقعیت‌های تجاری روبرو شوند. رزولوند گفت: «شما نمی‌خواهید به هر قیمتی از ریسک اجتناب کنید، زیرا ریسک‌پذیری عامل رشد شماست. اما غافلگیری‌ها خوب نیستند. شما باید ریسک‌های خود، کنترل‌های خود و شکاف‌های خود را درک کنید.»
