حوكمة المخاطر التشغيلية هي المنظومة التي تحدد كيف تتعرف الشركة على المخاطر الناتجة عن العمليات والأشخاص والأنظمة والأحداث الخارجية، ومن المسؤول عن إدارتها، وكيف يتم قياسها ومراقبتها والتصعيد بشأنها، ومن يملك صلاحية اتخاذ القرار عند وقوعها.
ولا تعني حوكمة المخاطر التشغيلية إعداد سجل للمخاطر فقط، بل تعني بناء علاقة واضحة بين مجلس الإدارة، والإدارة التنفيذية، وأصحاب المخاطر، والرقابة الداخلية، والامتثال، والمراجعة الداخلية، بحيث تصبح إدارة المخاطر جزءاً من طريقة اتخاذ القرار اليومية.
وتأتي أهمية هذا الموضوع في ظل توجه البيئة التنظيمية السعودية نحو تعزيز حوكمة الشركات والعمل المؤسسي والاستدامة، حيث بدأ سريان نظام الشركات الجديد ولوائحه التنفيذية في 19 يناير 2023، ومن أهدافه تعزيز البيئة التنظيمية للشركات وتوفير إطار فعال وعادل لحوكمتها وتكريس العمل المؤسسي.
يمكن بناء منظومة حوكمة المخاطر التشغيلية من خلال سبع خطوات رئيسية:
- تحديد المخاطر التشغيلية.
- تحديد مالك كل خطر.
- تقييم احتمالية الخطر وأثره.
- تحديد الضوابط والإجراءات الوقائية.
لكن نجاح المنظومة يعتمد على سؤال أعمق:
لماذا تحتاج الشركات إلى حوكمة المخاطر التشغيلية؟
يمكن للشركة أن تمتلك أرباحاً جيدة واستراتيجية قوية، لكنها تظل معرضة لخطر تشغيلي قد يعطل أعمالها خلال ساعات.
قد يكون الخطر بسبب:
– خطأ بشري.
– توقف نظام تقني.
– خلل في سلسلة الإمداد.
– ضعف في إجراءات الموافقة.
– احتيال داخلي.
– تعطل مورد رئيسي.
– تسرب معلومات.
– سوء إدارة التغيير.
المشكلة ليست في وجود المخاطر؛ فوجود المخاطر أمر طبيعي.
المشكلة في أن تكون الشركة غير قادرة على معرفة حجم الخطر أو المسؤول عنه أو طريقة التعامل معه قبل أن يتحول إلى خسارة.
ما الفرق بين إدارة المخاطر وحوكمة المخاطر التشغيلية؟
إدارة المخاطر تجيب عن سؤال:
ما المخاطر التي تواجه الشركة وكيف نتعامل معها؟
أما حوكمة المخاطر التشغيلية فتضيف أسئلة أخرى:
– من المسؤول عن الخطر؟
– من يراقبه؟
– من يرفع التقارير؟
– من يملك قرار المعالجة؟
– ما حدود المخاطرة المقبولة؟
– متى يجب التصعيد؟
– من يراجع فعالية الضوابط؟
– كيف يراقب مجلس الإدارة المخاطر المهمة؟
وبالتالي فإن إدارة المخاطر تركز على المخاطر والاستجابة لها، بينما تركز الحوكمة على هيكل المسؤولية والقرار والرقابة والمساءلة.
ما المقصود بالمخاطر التشغيلية؟
المخاطر التشغيلية هي المخاطر التي قد تنتج عن فشل أو قصور في:
– العمليات الداخلية.
– الموظفين.
– الأنظمة والتقنيات.
– الضوابط.
– الموردين.
– البنية التشغيلية.
– الأحداث الخارجية.
ولا ينبغي حصرها في الأخطاء التشغيلية اليومية فقط.
فمثلاً، توقف نظام تخطيط الموارد لمدة يوم قد يكون خطراً تقنياً، لكنه قد يتحول إلى خطر مالي، ثم إلى خطر يتعلق بالعملاء والسمعة.
ولهذا يجب النظر إلى الخطر من خلال أثره على الشركة بالكامل.
أهم أنواع المخاطر التشغيلية في الشركات
- المخاطر المرتبطة بالأشخاص:
مثل:
– نقص الكفاءات.
– الاعتماد على موظف واحد.
– الأخطاء البشرية.
– ضعف التدريب.
– ارتفاع معدل دوران الموظفين.
– عدم وضوح المسؤوليات.
- المخاطر المرتبطة بالعمليات:
مثل:
– الإجراءات غير الواضحة.
– تكرار الموافقات.
– غياب الفصل بين المهام.
– عدم وجود ضوابط.
– ضعف التوثيق.
– الإجراءات غير المحدثة.
- المخاطر التقنية:
مثل:
– تعطل الأنظمة.
– فقد البيانات.
– ضعف الأمن السيبراني.
– فشل التكامل بين الأنظمة.
– ضعف النسخ الاحتياطي.
– توقف الخدمات التقنية.
- مخاطر الموردين:
مثل:
– الاعتماد على مورد واحد.
– عدم قدرة المورد على الاستمرار.
– ضعف جودة الخدمة.
– تأخر التوريد.
– عدم الالتزام بالعقود.
كيف تبدأ الشركة في بناء حوكمة المخاطر التشغيلية؟
الخطوة الأولى: تحديد شهية المخاطر
لا يمكن إدارة المخاطر دون معرفة مقدار المخاطر الذي تستطيع الشركة تحمله.
فقد تقبل الشركة مستوى معيناً من المخاطر في الابتكار، لكنها لا تقبل المستوى نفسه في:
– السيولة.
– الأمن السيبراني.
– سلامة العملاء.
– البيانات.
– السمعة.
لذلك يجب أن تكون شهية المخاطر مرتبطة باستراتيجية الشركة.
الخطوة الثانية: بناء سجل المخاطر التشغيلية
يجب إعداد سجل واضح يتضمن على الأقل:
– وصف الخطر.
– مصدر الخطر.
– العملية المتأثرة.
– احتمال الحدوث.
– الأثر.
– مستوى الخطر.
– الضوابط الحالية.
لكن سجل المخاطر ليس الهدف النهائي.
إنه مجرد أداة تساعد الشركة على رؤية المخاطر.
الخطوة الثالثة: تحديد مالك الخطر
من أكثر الأخطاء شيوعاً أن يكون الخطر “مسؤولية إدارة المخاطر” فقط.
إدارة المخاطر قد تضع المنهجية وتراقب وتنسق، لكن مالك الخطر يجب أن يكون داخل النشاط أو العملية التي ينشأ فيها الخطر.
مثلاً:
إذا كان الخطر مرتبطاً بالمبيعات، فقد يكون مالكه مدير المبيعات.
إذا كان مرتبطاً بالنظام المالي، فقد يكون مالكه المسؤول عن العملية أو النظام.
أما إدارة المخاطر فتقوم بدور مستقل في المنهجية والتحدي والمتابعة وفق النموذج المعتمد في الشركة.
الخطوة الرابعة: تقييم الخطر
يمكن تقييم المخاطر وفق محورين رئيسيين:
احتمالية الحدوث × حجم الأثر
لكن التقييم لا يجب أن يكون رقمياً فقط.
يجب أن تسأل الشركة:
– ماذا يحدث إذا وقع الخطر؟
– كم يستغرق التعافي؟
– هل يتوقف نشاط رئيسي؟
– هل يتأثر العملاء؟
– هل توجد تبعات مالية؟
وهكذا يصبح تقييم المخاطر مرتبطاً بالواقع وليس مجرد لون في مصفوفة.
الخطوة الخامسة: تحديد الضوابط
بعد تحديد الخطر، يجب تحديد الضابط الذي يمنعه أو يقلل أثره.
ومن أمثلة الضوابط:
– الفصل بين المهام.
– الموافقات.
– المراجعة المستقلة.
– المطابقات.
– الأنظمة الآلية.
– التنبيهات.
والسؤال المهم هنا:
هل الضابط موجود فعلاً أم موجود فقط في السياسة؟
دور مجلس الإدارة في حوكمة المخاطر التشغيلية
لا يعني دور مجلس الإدارة أن يتدخل في كل عملية تشغيلية.
بل يجب أن يركز على:
– الإشراف على إطار إدارة المخاطر.
– فهم المخاطر الرئيسية.
– التأكد من وجود سياسات مناسبة.
– مراجعة مستوى المخاطر.
– متابعة المخاطر الجوهرية.
وبالنسبة للشركات الخاضعة للائحة حوكمة الشركات الخاصة بالشركات المدرجة، تتضمن اللائحة أحكاماً أكثر تحديداً بشأن مسؤوليات مجلس الإدارة وإدارة المخاطر والرقابة الداخلية واللجان ذات الصلة. وقد نُشرت نسخة محدثة في 3 يوليو 2026، مع تعديل صدر في 30 مارس 2026.
وهذا التفريق مهم: لا ينبغي التعامل مع متطلبات حوكمة المخاطر الخاصة بالشركات المدرجة باعتبارها متطلبات موحدة لجميع الشركات السعودية؛ إذ يختلف نطاق الالتزامات بحسب شكل الشركة ونشاطها والجهة التنظيمية الخاضعة لها.
دور الإدارة التنفيذية
الإدارة التنفيذية هي التي تحول إطار الحوكمة إلى ممارسة فعلية.
ومن مسؤولياتها:
– تنفيذ سياسات إدارة المخاطر.
– تحديد المخاطر داخل العمليات.
– تطبيق الضوابط.
– متابعة المؤشرات.
– معالجة أوجه القصور.
– رفع التقارير.
– تصعيد المخاطر الجوهرية.
– التأكد من استمرارية الأعمال.
فلا يمكن أن تكون إدارة المخاطر وظيفة منفصلة عن التشغيل.
دور إدارة المخاطر
تعمل إدارة المخاطر كجهة متخصصة تساعد على:
– وضع المنهجية.
– توحيد معايير التقييم.
– إعداد تقارير المخاطر.
– تحدي تقييمات الإدارات.
– متابعة خطط المعالجة.
– تحليل الاتجاهات.
– رفع الوعي.
– دعم الإدارة ومجلس الإدارة بالمعلومات.
لكن يجب الحذر من تحويل إدارة المخاطر إلى مالك لجميع المخاطر.
فالمسؤولية عن الخطر يجب أن تبقى مرتبطة بالإدارة المالكة للعملية.
دور المراجعة الداخلية
المراجعة الداخلية تختلف عن إدارة المخاطر.
إدارة المخاطر تساعد الشركة على تحديد المخاطر وإدارتها.
أما المراجعة الداخلية فتقدم تقييماً مستقلاً حول مدى كفاية وفعالية الضوابط والعمليات.
وبذلك يمكن تصور العلاقة كالتالي:
الإدارة التشغيلية → تملك المخاطر
إدارة المخاطر والامتثال → تضع المنهجية وتراقب وتدعم
المراجعة الداخلية → تقدم تأكيداً مستقلاً
مجلس الإدارة → يشرف ويوجه ويراقب
وهذا الفصل يساعد على تقليل تضارب الأدوار.
حوكمة المخاطر التشغيلية والرقابة الداخلي
لا يمكن فصل الموضوعين.
فالخطر يحدد:
ما الذي يمكن أن يحدث؟
والرقابة تحدد:
ما الذي سنفعله لمنع حدوثه أو تقليل أثره؟
ولهذا يجب ربط سجل المخاطر بمصفوفة الضوابط.
مثلاً:
الخطر: دفع فاتورة غير مستحقة.
الضوابط المحتملة:
– فصل إنشاء المورد عن اعتماد الدفع.
– مطابقة أمر الشراء.
– مطابقة الاستلام.
– مراجعة الفاتورة.
– اعتماد الدفع.
– المطابقة البنكية.
وهكذا تصبح الرقابة مرتبطة مباشرة بالخطر.
حوكمة المخاطر التشغيلية وسلسلة الإمداد
في كثير من الشركات، لا تتوقف المخاطر التشغيلية داخل حدود الشركة.
فقد تعتمد الشركة على:
– مورد رئيسي.
– شركة لوجستية.
– مزود تقني.
– مزود خدمات سحابية.
– موزع.
– وكيل.
– مقاول.
لذلك يجب أن تتضمن الحوكمة أسئلة مثل:
– ما الموردون الحرجون؟
– ما البديل؟
– ماذا يحدث إذا توقف المورد؟
– هل توجد اتفاقية مستوى خدمة؟
– هل توجد مؤشرات أداء؟
– هل توجد خطة بديلة؟
– هل المورد يخضع للتقييم الدوري؟
حوكمة المخاطر التشغيلية والأمن السيبراني
لم يعد الخطر التقني مجرد مشكلة لقسم تقنية المعلومات.
فقد يؤدي حادث سيبراني واحد إلى:
– توقف العمليات.
– فقد البيانات.
– خسائر مالية.
– مشاكل قانونية أو تنظيمية.
– توقف خدمة العملاء.
– ضرر بالسمعة.
لذلك يجب أن تصل المخاطر السيبرانية الجوهرية إلى مستوى الحوكمة المناسب، مع تحديد:
– المسؤوليات.
– مستويات التصعيد.
– خطط الاستجابة.
– النسخ الاحتياطي.
– استمرارية الأعمال.
– اختبارات التعافي.
دور مجلس الإدارة
متابعة المخاطر التقنية الجوهرية ضمن إطار المخاطر المؤسسية دون إدارة تفاصيل التشغيل اليومية.
هذا هو الفرق بين إدارة خطر وحوكمة الخطر.
كيف تبني مصفوفة حوكمة المخاطر التشغيلية؟
يمكن تصميم مصفوفة تربط بين:
الخطر → المالك → الضابط → المؤشر → مستوى التصعيد → الجهة المستلمة للتقرير
مثلاً:
خطر تشغيلي مرتفع
↓
مالك خطر محدد
↓
ضابط واضح
↓
مؤشر إنذار مبكر
↓
حد تصعيد
↓
↓
مجلس الإدارة عند الحاجة
هذه السلسلة تمنع بقاء الخطر في سجل لا يقرأه أحد.
ما الأخطاء الشائعة في حوكمة المخاطر التشغيلية؟
- تحويل إدارة المخاطر إلى ملف سنوي:
المخاطر تتغير يومياً، ولذلك لا يكفي تحديث سجل المخاطر مرة واحدة في السنة إذا كانت طبيعة النشاط تتطلب متابعة أكثر تكراراً.
- تحميل إدارة المخاطر مسؤولية كل شيء:
الإدارة المالكة للعملية يجب أن تتحمل مسؤولية المخاطر المرتبطة بنشاطها.
- التركيز على المخاطر الكبيرة فقط:
أحياناً تبدأ الخسارة من مشكلة تشغيلية صغيرة تتكرر باستمرار.
- عدم تحديد حدود التصعيد:
إذا لم تعرف الإدارة متى يجب رفع الخطر، فقد يصلها بعد فوات الأوان.
- الخلط بين الخطر والرقابة:
الخطر هو احتمال حدوث شيء يؤثر في الأهداف.
أما الرقابة فهي الآلية التي تمنع الخطر أو تكشفه أو تقلل أثره.
ما علاقة حوكمة المخاطر التشغيلية بجذب المستثمرين؟
المستثمر يريد معرفة ما إذا كانت الشركة قادرة على حماية القيمة التي يستثمر فيها.
لذلك يهتم بعناصر مثل:
– جودة الرقابة.
– وضوح المسؤوليات.
– استمرارية الأعمال.
– جودة البيانات.
– إدارة المخاطر.
– الامتثال.
– الاعتماد على الأشخاص.
– المخاطر التقنية.
– قدرة الإدارة على اكتشاف المشكلات مبكراً.
وتشير وزارة التجارة إلى أن الالتزام بالشفافية والبيانات المالية يساعد على تقييم المخاطر المالية والتشغيلية ويدعم ثقة المستثمرين والملاك والدائنين والبنوك.
متى تحتاج الشركة إلى استشارات حوكمة المخاطر التشغيلية؟
قد تحتاج الشركة إلى مستشار عندما:
– تتكرر المشكلات التشغيلية.
– لا توجد ملكية واضحة للمخاطر.
– تختلف الإجراءات بين الإدارات.
– توجد مخاطر لا تصل إلى الإدارة العليا.
ماذا تشمل استشارات حوكمة المخاطر التشغيلية؟
يمكن أن يشمل المشروع:
– تقييم مستوى النضج الحالي.
– تحليل إطار إدارة المخاطر.
– تحديد المخاطر التشغيلية.
– بناء سجل المخاطر.
– تطوير شهية المخاطر.
– تحديد ملاك المخاطر.
الأسئلة الشائعة حول حوكمة المخاطر التشغيلية
- ما المقصود بحوكمة المخاطر التشغيلية؟
هي نظام يحدد المسؤوليات والصلاحيات والرقابة وآليات اتخاذ القرار المتعلقة بالمخاطر الناتجة عن العمليات والأشخاص والأنظمة والأحداث الخارجية.
- هل حوكمة المخاطر التشغيلية هي نفسها إدارة المخاطر؟
لا. إدارة المخاطر تركز على تحديد وتقييم ومعالجة المخاطر، بينما تركز الحوكمة على هيكل المسؤولية والقرار والرقابة والمساءلة.
من المسؤول عن المخاطر التشغيلية؟
الإدارة المالكة للعملية تتحمل عادةً مسؤولية إدارة مخاطر نشاطها، بينما تساعد إدارة المخاطر والامتثال في وضع المنهجيات والمتابعة، وتقدم المراجعة الداخلية تأكيداً مستقلاً بحسب نموذج الحوكمة المعتمد.
- هل تحتاج الشركات الصغيرة إلى حوكمة المخاطر التشغيلية؟
نعم، لكن بحجم يتناسب مع طبيعة نشاطها وحجمها ومستوى المخاطر. لا تحتاج الشركة الصغيرة بالضرورة إلى هيكل معقد، لكنها تحتاج إلى وضوح في المخاطر والمسؤوليات والضوابط.
- هل المخاطر التشغيلية مسؤولية إدارة المخاطر فقط؟
لا. اعتبار إدارة المخاطر المالك الوحيد لجميع المخاطر من أكثر الأخطاء شيوعاً. المخاطر يجب أن تدار داخل الأعمال نفسها.
- ما أهم أداة في حوكمة المخاطر التشغيلية؟
لا توجد أداة واحدة تكفي. من أهم الأدوات: سجل المخاطر، مصفوفة المخاطر والضوابط، مؤشرات المخاطر، مصفوفة الصلاحيات، آليات التصعيد، وتقارير المخاطر.
- هل حوكمة المخاطر التشغيلية مطلوبة قانونياً بالطريقة نفسها لكل الشركات؟
لا. تختلف المتطلبات بحسب شكل الشركة ونشاطها والجهة التنظيمية المختصة. وتوجد متطلبات أكثر تفصيلاً لبعض الشركات الخاضعة لتنظيمات سوق المال والحوكمة الخاصة بالشركات المدرجة.
الخلاصة
إن حوكمة المخاطر التشغيلية لا تعني أن تحاول الشركة منع كل المخاطر، فهذا غير ممكن.
وعندما تصبح هذه الأسئلة جزءاً من طريقة عمل الشركة، تتحول إدارة المخاطر من وظيفة رقابية منفصلة إلى نظام يساعد الإدارة على اتخاذ قرارات أكثر أماناً ووضوحاً واستدامة.
مهارات للاستشارات والتدريب — لا نريد أن نساعدكم على تسجيل المخاطر فقط، بل على بناء شركة ترى الخطر قبل أن يتحول إلى أزمة ، يمكنك التواصل على : +966539995582
أو عبر البريد الإلكتروني الاستشاري: mailto:info@maharatadvisory.com