إدارة المخاطر المؤسسية في الممارسة العملية

بقلم Jonas Osman Abdelghafour — خبير اكتواري ومدير مخاطر مالية (FRM، GARP الولايات المتحدة).

كل إطار لإدارة المخاطر المؤسسية راجعته على مدى عشرين عامًا من الاستشارات يبدو محترمًا على الغلاف. فهناك بيان شهية مخاطر، وتصنيف، ومخطط لخطوط الدفاع الثلاثة، وخريطة حرارية أُعيد استخدامها على الأرجح عبر عدة لجان غير مترابطة. وما يميز إطارًا يُدير الشركة فعليًا عن آخر يُزيّن الإنترانت ليس المخطط — بل حفنة من الخيارات التصميمية التي لا تزال معظم المؤسسات تُخطئ فيها.

يجمع هذا المقال تلك الخيارات كما أراها، مع مراعاة الممارسين الذين عليهم أن يجعلوا إدارة المخاطر المؤسسية قابلة للدفاع أمام مجلس إدارة، وجهة رقابية، ومدقق داخلي في الربع نفسه.

ابدأ من القرارات لا من المخاطر

نمط الفشل الأكثر شيوعًا هو إطار يُصنّف المخاطر بشكل شامل ثم يفتقر إلى آلية لتحويل ذلك التصنيف إلى قرارات. وتبدأ وظيفة إدارة المخاطر المؤسسية المفيدة من الطرف الآخر. اسأل: ما القرارات التي تتخذها هذه المؤسسة، وكيف ستُغيّرها معلومات المخاطر؟

بالنسبة لشركة تأمين، القرارات هي تخصيص رأس المال، وهيكل إعادة التأمين، ومزيج المنتجات، والتسعير، والاستراتيجية الاستثمارية. وبالنسبة لبنك، هي إصدار الأصول، ووضعية إدارة الأصول والخصوم، وأرصدة السيولة، وتصميم المنتجات. وبالنسبة لشركة غير مالية، هي المشاريع الرأسمالية، والتحوّط، وتركّز المورّدين، والانتشار الجغرافي.

كل تقرير مخاطر لا يتصل بأحد هذه القرارات هو عبء زائد. وكل قرار لا تُعلمه المخاطر بشكل واضح هو ثغرة حوكمية. والإطار الذي يربط بين الاثنين يكون صغيرًا وحادًّا ومُستخدَمًا فعليًا — انظر المقال المصاحب حول إزالة الغموض عن إدارة المخاطر المؤسسية لمعالجة أكثر تفصيلًا للخريطة نفسها.

شهية مخاطر ذات أثر حقيقي

لا تساوي شهية المخاطر إلا بقدر القرارات التي توقفها. فإذا لم يُرفض أي شيء قط لأنه تجاوز الشهية، فإن البيان غير مُعايَر — إنه مجرد ديكور. وثلاث خصائص تفصل إطار شهية حقيقيًا عن آخر رمزي.

حدود كمية على المستوى الذي تُتخذ عنده القرارات. شهية على مستوى المجموعة تقول "نحافظ على نسبة ملاءة 180% تحت الضغط" لا تفيد مكتتبًا يسعّر معاهدة اختيارية. صنّف المقياس نزولًا: استهلاك رأس المال الاقتصادي لكل خط عمل، وحدود تركّز لكل طرف مقابل، وسقوف حساسية لكل عامل سوق. وينبغي أن يكون كل حد تشغيلي قابلًا للتتبع رجوعًا إلى بيان المجموعة.

استجابة مُلتزَم بها مسبقًا عند اختراق حد. أضعف نقاط أطر الشهية عمومًا هي أن الاختراق يُثير نقاشًا لا إجراءً. التزم مسبقًا: دون X، راقب. بين X وY، خطة معالجة خلال ثلاثين يومًا. فوق Y، أغلق التعرض. يجد المجالس هذا مزعجًا وغالبًا ما تقاومه الإدارة — وهذا بالضبط سبب نجاحه.

قياس مستقل. إذا قاس الخط الأول استهلاكه الخاص مقارنةً بالشهية، فلن تكون الشهية مُلزِمة. الخط الثاني يمتلك الحساب، والخط الثالث يراجع المنهجية دوريًا. ويتداخل هذا مع نموذج حوكمة الخطوط الثلاثة الذي كتبت عنه بشكل منفصل.

ORSA وما يعادلها: فرض سيناريوهات ذات معنى

يُعدّ التقييم الذاتي للمخاطر والملاءة (ORSA) أحد أكثر الأدوات التنظيمية قيمة التي استحدثتها Solvency II. وتنبع قيمته ليس من الوثيقة، بل من السيناريوهات المختارة ومن مدى صدق تفاعل الإدارة معها.

يحتوي ORSA المفيد على ثلاثة أو أربعة سيناريوهات سردية تُجهد نقاط الضعف الخاصة بالشركة، لا العامة منها. فبالنسبة لشركة تأمين سيارات أحادية الخط، يعني ذلك تضخم الشدة مقترنًا بإصلاح قانوني؛ وبالنسبة لصندوق تقاعد، طول العمر مع انهيار في المعدلات الحقيقية؛ وبالنسبة لبنك، صدمة جودة الأصول مقترنة بهروب الودائع. ونسخ السيناريوهات التوضيحية للجهة الرقابية يُهدر التمرين.

وينبغي أن يُسقِط تقرير ORSA — لا أن يصفها فقط — الميزانية العمومية تحت كل سيناريو على مدى أفق التخطيط التجاري، باستخدام الافتراضات والنماذج ذاتها التي تستخدمها الشركة لخطتها الخاصة. وعندما تتباعد أرقام ORSA عن خطة العمل، تنشأ محادثة حوكمية لا بد من إجرائها. وتلك المحادثة هي بيت القصيد.

أتناول تصميم السيناريوهات واستخدام المجلس لها بمزيد من التفصيل في مذكرة تصميم سيناريوهات ORSA. وبالنسبة للمؤسسات المالية، يتصل هذا بـدليل نمذجة رأس المال الذي أستخدمه مع العملاء.

مشكلة التصنيف

تستثمر كل وظيفة إدارة مخاطر مؤسسية وقتًا في بناء تصنيف للمخاطر. وتكتشف كل وظيفة في النهاية أن التصنيف إما فظّ جدًا فيصبح غير مفيد، أو دقيق جدًا فلا يستطيع أحد التنقل فيه. والمخرج هو تقبّل أن للتصنيف مهمتين تحتاجان هيكلين مختلفين.

تصنيف الإبلاغ هو ما يظهر في حزم المجلس وORSA والإقرارات التنظيمية. وينبغي أن يضم بين سبع وخمس عشرة فئة، متمايزة تمامًا، وثابتة عبر الزمن. لا تُغيّره باستخفاف — فقابلية المقارنة عبر السنوات ميزة لا صدفة.

التصنيف الإداري هو ما يستخدمه الخط الأول لتسجيل القضايا وتتبعها والتصرف بشأنها. ويمكن بل ينبغي أن يكون أكثر تفصيلًا، ويمكن أن يتطور مع تطور العمل. ويجب أن يكون الربط من التصنيف الإداري إلى تصنيف الإبلاغ من نوع "متعدد إلى واحد" وغير ملتبس.

والخلط بين الاثنين هو ما يُنتج التصنيفات المترامية التي تجعل أنظمة إدارة المخاطر المؤسسية غير قابلة للاستخدام. افصلهما ليتحسّن كلاهما.

المخاطر الناشئة: ابنِ عادة، لا سجلًا

كل إطار رأيته يحتوي على سجل للمخاطر الناشئة. وتقريبًا لا شيء منها مفيد. فالسجل يلتقط أمورًا كانت واضحة أصلًا حين أُضيفت — مخاطر الجائحة في 2019، والمخاطر الجيوسياسية في 2022، والذكاء الاصطناعي في 2024 — ولا يُنتج أي إنذار مبكر على الإطلاق.

ما ينجح هو عادة ربع سنوية بدلًا من وثيقة. مجموعة متناوبة من خبراء الخط الأول، ومخاطر الخط الثاني، وصوت خارجي واحد تقضي تسعين دقيقة في مناقشة ما تغيّر في بيئة التشغيل. والمخرج صفحة واحدة. والانضباط هو أن على المجموعة تحديد سيناريو واحد على الأقل لا يغطيه ORSA حاليًا، وإما تفسير سبب عدم الحاجة لتغطيته، أو إدراجه في دورة ORSA التالية.

وهذا يحوّل عمل المخاطر الناشئة من تمرين امتثالي إلى وظيفة استخباراتية. كما يمنح المجلس شيئًا ملموسًا يتفاعل معه، وهو أكثر مما تُنتجه معظم سجلات المخاطر الناشئة على الإطلاق.

مخاطر النماذج تقع داخل إدارة المخاطر المؤسسية لا بجانبها

المؤسسات التي تفصل إدارة مخاطر النماذج عن إدارة المخاطر المؤسسية تنتهي بتكرار الحوكمة، والأسوأ من ذلك، بمعاملة النماذج كمشكلة تقنية لا استراتيجية. فكل نموذج يُعلم قرارًا يستهلك قدرة على تحمّل المخاطر، وفشله يمثل مخاطرة بحد ذاتها. وهذا اهتمام أساسي لإدارة المخاطر المؤسسية، لا هامش جانبي.

عمليًا، يعني هذا أن اللجنة ذاتها التي تُقرّ شهية المخاطر ينبغي أن تُقرّ تصنيف أهمية جرد النماذج وخطة معالجة النتائج الجوهرية. وتوضح مذكرة معالجة مخاطر النماذج كيف أُنظّم ذلك عمليًا، والتحقق المستقل من النماذج هو خط الخدمة الذي يُقدّم ذلك.

العلاقة مع المجلس

أكبر مؤشر منفرد على نجاح إدارة المخاطر المؤسسية في مؤسسة ما هو جودة العلاقة بين رئيس إدارة المخاطر والمجلس. الأطر تساعد، لكن لا يصمد أي إطار أمام رئيس مخاطر عاجز عن إيصال رسائل مزعجة.

اقتراحان عمليان. أولًا، ينبغي ألا يمتلك رئيس المخاطر أكثر من خمسة مؤشرات في بطاقة أداء المجلس، وينبغي أن يكون كل منها مؤشرًا يفضّل الرئيس التنفيذي ألا يراه. فإذا كان كل شيء في لوحة المخاطر أخضر، فاللوحة خاطئة. ثانيًا، ينبغي أن يعرض رئيس المخاطر بمفرده أمام المجلس مرتين في السنة على الأقل — دون حضور الرئيس التنفيذي. وهذا تغيير ثقافي صعب لكنه يستحق الصراع من أجله.

ختامًا

إدارة المخاطر المؤسسية ليست مشروعًا. إنها عادة ربط القرارات بالمخاطر، ومعايرة الشهية بحيث تكون مُلزِمة، واختيار سيناريوهات مؤلمة، والسماح للنتائج بتغيير الخطة. والأطر قابلة للتبديل إلى حد بعيد. أما الخيارات أعلاه فليست كذلك.

إذا كنت تعيد بناء وظيفة إدارة مخاطر مؤسسية أو تُحضّر دورة ORSA ستُستخدَم فعليًا، يسعدني التحدث معك. راجع صفحة خدمات إدارة المخاطر المؤسسية أو تواصل معي.