ریسک همیشه رویدادی نیست که بتوان زمان مشخصی برای آغاز آن تعیین کرد. گاهی تغییرات کوچک و تدریجی، بدون آنکه اختلالی آشکار ایجاد کنند، شرایط فعالیت یک سازمان را تغییر می‌دهند و آسیب‌پذیری آن را افزایش می‌دهند.
مدیریت ریسک معمولاً با شناسایی تهدیدها، ارزیابی احتمال وقوع و شدت پیامدهای آنها و برنامه‌ریزی برای مواجهه با مهم‌ترین موارد آغاز می‌شود. این رویکرد همچنان ضروری است، اما برای شناخت بخشی از ریسک‌های پیش روی کسبوکارها کافی نیست؛ به‌ویژه زمانی که ریسک‌ها به یکدیگر وابسته‌اند و پیامدهای آنها از مرزهای یک واحد سازمانی فراتر می‌رود.
برای مثال، نوسان نرخ ارز می‌تواند تأمین تجهیزات را دشوار کند. محدودیت در تأمین تجهیزات ممکن است نوسازی زیرساخت‌ها را به تعویق بیندازد و ادامۀ استفاده از زیرساخت‌های قدیمی، آسیب‌پذیری عملیاتی و امنیتی را افزایش دهد. در همین شرایط، نگهداری از این زیرساخت‌ها ممکن است به دانش تعداد محدودی از نیروهای متخصص وابسته شود.
بخوانید: تداوم کسب‌وکار بر چه چیزی استوار است؟
در چنین وضعیتی، اقتصاد، فناوری، امنیت، منابع انسانی و زنجیره تأمین را نمی‌توان مسائل کاملاً مستقلی دانست. تغییر در هر حوزه ممکن است پیامدهایی در حوزه‌های دیگر ایجاد کند و در نهایت، توان سازمان برای ادامه فعالیت را تحت تأثیر قرار دهد.
از این منظر، مدیریت ریسک علاوه بر شناسایی تهدیدها، به شناخت روابط و وابستگی‌هایی نیاز دارد که می‌توانند اثر یک رویداد را به بخش‌های دیگر سازمان منتقل کنند. مسئله تنها این نیست که چه ریسک‌هایی وجود دارند، بلکه باید مشخص شود هر ریسک از چه مسیری می‌تواند بر فعالیت‌های حیاتی کسب‌وکار اثر بگذارد.
وقتی استفاده‌نکردن از فناوری به ریسک تبدیل می‌شود
تصمیم‌گیری درباره فناوری همواره با ارزیابی هزینه‌ها، پیامدهای امنیتی و بازگشت سرمایه همراه بوده است. بااین‌حال، سرعت پیشرفت فناوری، به‌ویژه در حوزۀ هوش مصنوعی، بُعد دیگری به این تصمیم‌ها اضافه کرده است: ریسک ناشی از به‌کارنگرفتن فناوری‌های جدید.
مازیار نوربخش، رئیس کمیسیون تحول، نوآوری و بهره‌وری اتاق تهران، استفاده‌نکردن از هوش مصنوعی را یکی از ریسک‌های پیش روی کسبوکارها می‌داند. از نگاه او، ظرفیت هوش مصنوعی به کاربرد ابزارهایی مانند چت‌بات محدود نیست و این فناوری می‌تواند با ورود به فرایندهای سازمانی، به ساده‌سازی فعالیت‌ها و افزایش بهره‌وری کمک کند.
بخوانید: وقتی آینده قابل پیش‌بینی نیست، کسبوکارها چگونه به فعالیت خود ادامه می‌دهند؟
در چنین شرایطی، سازمانی که تصمیم‌گیری درباره هوش مصنوعی را به تعویق می‌اندازد یا کاربرد آن را به چند ابزار محدود می‌کند، ممکن است به‌تدریج از رقبای خود عقب بماند. این عقب‌ماندگی لزوماً با توقف ناگهانی فعالیت یا ازدست‌رفتن یک مشتری مشخص همراه نیست؛ ممکن است در طول زمان و در قالب افزایش هزینه‌ها، کاهش سرعت انجام کارها یا افت بهره‌وری آشکار شود.
این نوع ریسک نشان می‌دهد که حفظ وضعیت موجود همیشه به معنای کاهش خطر نیست. در برخی حوزه‌ها، تصمیم‌نگرفتن نیز می‌تواند پیامدهایی داشته باشد و امکان جبران فاصله با رقبا را در آینده دشوارتر کند.
بنابراین، ارزیابی ریسک فناوری نباید تنها به پیامدهای استفاده از ابزارهای جدید محدود شود. سازمان باید هزینه‌ها و پیامدهای استفاده‌نکردن از آنها را نیز در نظر بگیرد.
بااین‌حال، بهره‌گیری از فناوری‌های جدید تنها یکی از ابعاد مسئله است. هرچه فعالیت سازمان به زیرساخت‌های فناورانه وابسته‌تر شود، دسترسی به تجهیزات، خدمات و دانش موردنیاز برای نگهداری از آنها نیز اهمیت بیشتری پیدا می‌کند.
وابستگی‌هایی که جایگزین ندارند
هیچ کسب‌وکاری مستقل از منابع و بازیگران دیگر فعالیت نمی‌کند. کارکنان، تأمین‌کنندگان، تجهیزات، نرم‌افزارها، انرژی و شبکه‌های ارتباطی، همگی بخشی از وابستگی‌های عملیاتی سازمان‌اند. وجود این وابستگی‌ها به‌خودی‌خود نشانه ضعف نیست؛ مسئله زمانی جدی‌تر می‌شود که سازمان برای منابع حیاتی خود جایگزین مناسبی در اختیار نداشته باشد.
افشین خدامرادی، معاون فناوری اطلاعات بانک سپه، دو چالش را در کنار یکدیگر مطرح می‌کند: وابستگی به زیرساخت‌های سخت‌افزاری و دشواری حفظ نیروهای متخصص. از یک سو، تأمین بخشی از تجهیزات به منابع خارجی وابسته است و از سوی دیگر، نیروهای متخصص میان بخش دولتی، بخش خصوصی و بازارهای کار خارج از کشور جابه‌جا می‌شوند.
اگرچه این دو موضوع در حوزه‌های متفاوتی قرار می‌گیرند، از منظر مدیریت ریسک شباهت مهمی دارند. در هر دو مورد، سازمان به منابعی وابسته است که دسترسی پایدار به آنها به‌طور کامل تحت کنترلش نیست.
امیر یزدانی، مدیرعامل شرکت معتمد مالیاتی ریما، این وابستگی را در حوزه منابع انسانی توضیح می‌دهد. او به نیروهای فنی‌ای اشاره می‌کند که در طراحی، راه‌اندازی و نگهداری زیرساخت‌ها نقش داشته‌اند، اما ممکن است به‌دلیل فرسودگی شغلی، تکراری‌شدن فعالیت‌ها یا دریافت پیشنهادهای کاری بهتر، سازمان را ترک کنند.
در چنین شرایطی، خروج یک نیروی متخصص ممکن است پیامدی فراتر از خالی‌شدن یک موقعیت شغلی داشته باشد. اگر دانش راهبری یا بازیابی یک سامانۀ حیاتی تنها در اختیار همان فرد باشد، خروج او می‌تواند بخشی از توان عملیاتی سازمان را نیز از دسترس خارج کند.
به این ترتیب، ریسک منابع انسانی مستقیماً با ریسک فناوری ارتباط پیدا می‌کند. ممکن است یک سامانه از نظر فنی بدون مشکل کار کند، اما دانش لازم برای مدیریت اختلال یا بازیابی آن تنها نزد فرد یا گروه محدودی متمرکز باشد.
بنابراین، شناخت وابستگی‌های حیاتی باید با بررسی امکان جایگزینی آنها همراه باشد. سازمان علاوه بر شناسایی منابع ضروری، باید بداند در صورت ازدست‌رفتن دسترسی به هر منبع، چه گزینه‌هایی برای ادامه فعالیت در اختیار خواهد داشت.
هرچه گزینه‌های جایگزین محدودتر باشند، اختلال در یک منبع حیاتی می‌تواند پیامدهای گسترده‌تری برای سازمان ایجاد کند.
این مسئله در حوزه امنیت اهمیت بیشتری پیدا می‌کند؛ زیرا وابستگی به تجهیزات، دانش و معماری فنی می‌تواند بر توان سازمان برای پیشگیری از رخدادها و بازیابی خدمات پس از آنها تأثیر بگذارد.
امنیت؛ از پیشگیری تا بازیابی خدمات
امنیت اطلاعات و سامانه‌ها تنها به ابزارهای حفاظتی وابسته نیست. نحوه طراحی زیرساخت، معماری نرم‌افزار، تأمین تجهیزات و دسترسی به دانش تخصصی نیز در شکل‌گیری وضعیت امنیتی سازمان نقش دارند.
پیمان اکبری، معاون برنامه‌ریزی و توسعه مبنا کارت آریا، امنیت را در دو حوزه تجهیزات سخت‌افزاری و معماری نرم‌افزار بررسی می‌کند. او بخشی از چالش‌های موجود را با محدودیت دسترسی به تجهیزات و دانش تخصصی مرتبط می‌داند.
این دیدگاه نشان می‌دهد که امنیت نباید صرفاً مجموعه‌ای از اقدامات تکمیلی پس از طراحی و راه‌اندازی سامانه‌ها تلقی شود. تصمیم‌هایی که در مراحل تأمین تجهیزات و طراحی زیرساخت گرفته می‌شوند، می‌توانند بر آسیب‌پذیری و قابلیت اطمینان سامانه‌ها در آینده تأثیر بگذارند.
امیر یزدانی نیز وابستگی سخت‌افزاری را با مخاطرات امنیتی و ضعف در نگهداری و پشتیبان‌گیری از داده‌ها مرتبط می‌کند. این مسئله به‌ویژه زمانی اهمیت پیدا می‌کند که کسب‌وکار در حال توسعه باشد، اما ظرفیت زیرساخت‌ها و سازوکارهای حفاظتی آن متناسب با ابعاد جدید فعالیت افزایش نیافته باشد.
در چنین شرایطی، رشد کسب‌وکار ممکن است آسیب‌پذیری‌های موجود را گسترش دهد. افزایش تعداد کاربران، حجم داده‌ها یا وابستگی فرایندها به یک سامانه، می‌تواند پیامدهای اختلال در آن را نیز گسترده‌تر کند.
حسام مقصودلو، مدیرعامل ایده ونچرز، از منظر دیگری به امنیت و تداوم خدمات می‌پردازد. در شرایطی که سازمان‌ها ناگزیر به استفاده از اینترنت و شبکه‌های ارتباطی هستند، جلوگیری از تمامی حملات احتمالی، فرضی واقع‌بینانه نیست. از نگاه او، حضور متخصصان، برگزاری تمرین‌ها و مانورهای بحران و اطمینان از قابلیت بازیابی نسخه‌های پشتیبان، از ضرورت‌های آمادگی سازمان است.
این رویکرد، توجه را از پیشگیری صرف به مدیریت پیامدهای رخداد نیز معطوف می‌کند. وجود نسخه پشتیبان به‌تنهایی کافی نیست؛ سازمان باید از امکان بازیابی اطلاعات و بازگرداندن خدمات در زمان موردنیاز نیز اطمینان داشته باشد.
از این منظر، امنیت سایبری و تداوم کسب‌وکار حوزه‌هایی به‌هم‌پیوسته‌اند. اقدامات امنیتی می‌توانند احتمال وقوع یا موفقیت حملات را کاهش دهند و برنامه‌ریزی برای تداوم و بازیابی، به محدودکردن پیامدهای اختلال و بازگرداندن فعالیت‌های ضروری کمک می‌کند.
در نتیجه، پرسش مهم تنها این نیست که چگونه می‌توان از وقوع یک حمله جلوگیری کرد، بلکه باید مشخص شود در صورت وقوع رخداد، چه بخش‌هایی از کسب‌وکار تحت تأثیر قرار می‌گیرند و سازمان با چه سرعت و ظرفیتی می‌تواند خدمات حیاتی خود را بازیابی کند.
بااین‌حال، آسیب‌پذیری زیرساخت‌ها همیشه از تهدیدهای فنی یا امنیتی ناشی نمی‌شود. گاهی منشأ آن تغییراتی اقتصادی است که پیامدهایشان به‌تدریج در عملیات سازمان آشکار می‌شود.
چگونه یک فشار اقتصادی به ریسک عملیاتی تبدیل می‌شود؟
نوسان نرخ ارز در نگاه نخست مسئله‌ای مالی به نظر می‌رسد، اما پیامدهای آن می‌تواند به بخش‌های مختلف فعالیت یک کسب‌وکار منتقل شود؛ حتی اگر درآمدهای آن شرکت مستقیماً به ارز وابسته نباشد.
رسول قربانی، رئیس هیئت‌مدیره راه پرداخت، به اثر تغییرات نرخ ارز و دشواری واردات بر طیف گسترده‌ای از کسبوکارها اشاره می‌کند. از نگاه او، افزایش هزینه‌ها، از تأمین اقلامی مانند کاغذ تا خرید تجهیزات سخت‌افزاری، می‌تواند فعالیت شرکت‌هایی را نیز تحت تأثیر قرار دهد که مدل درآمدی ارزی ندارند.
بانک‌ها، شرکت‌های بیمه و کسب‌وکارهای فناوری نیز به زیرساخت‌ها و تجهیزاتی وابسته‌اند که بخشی از زنجیره تأمین آنها با واردات ارتباط دارد. بنابراین، تغییرات اقتصادی ممکن است از مسیر تأمین تجهیزات و نگهداری زیرساخت‌ها بر تداوم خدمات اثر بگذارند.
برای مثال، افزایش نرخ ارز می‌تواند هزینه خرید یا جایگزینی تجهیزات را افزایش دهد. این افزایش هزینه ممکن است نوسازی زیرساخت‌ها را به تعویق بیندازد و دوره استفاده از تجهیزات موجود را طولانی‌تر کند. در ادامه، فرسودگی تجهیزات یا محدودیت دسترسی به قطعات و خدمات پشتیبانی می‌تواند نگهداری از زیرساخت را دشوارتر سازد.
در چنین زنجیره‌ای، یک تغییر اقتصادی به‌تدریج به مسئله‌ای عملیاتی تبدیل می‌شود. ریسکی که ابتدا در محاسبات مالی ظاهر شده بود، ممکن است در مراحل بعدی بر دسترس‌پذیری، امنیت یا قابلیت اطمینان خدمات تأثیر بگذارد.
رسول قربانی همچنین به پیچیدگی فرایند واردات و آسیب‌پذیری احتمالی زیرساخت‌های وارداتی اشاره می‌کند؛ مسائلی که می‌توانند دسترسی به فناوری و تجهیزات موردنیاز را برای کسبوکارها دشوارتر کنند.
این ارتباط نشان می‌دهد که تقسیم‌بندی سازمانی ریسک‌ها همیشه با مسیر واقعی اثرگذاری آنها یکسان نیست. نرخ ارز ممکن است در حوزه مالی بررسی شود، واردات در تدارکات قرار گیرد، نگهداری تجهیزات بر عهدۀ واحد فناوری باشد و امنیت نیز مسئولیت واحد دیگری محسوب شود؛ اما پیامدهای یک اختلال می‌توانند از همۀ این بخش‌ها عبور کنند.
به همین دلیل، شناسایی ریسک‌ها بر اساس واحدهای سازمانی باید با بررسی روابط میان آنها تکمیل شود. در غیر این صورت، ممکن است سازمان هر ریسک را به‌صورت مستقل شناسایی کرده باشد، اما مسیر انتقال پیامدهای آن به فعالیت‌های حیاتی را نبیند.
وقتی حفظ فعالیت بر توسعه اولویت پیدا می‌کند
ریسک‌های اقتصادی، فناورانه، امنیتی و منابع انسانی، ماهیت و پیامدهای یکسانی ندارند؛ بااین‌حال، همگی ممکن است بر توان سازمان برای ادامه فعالیت اثر بگذارند.
محمدصادق آزادانی، مدیرعامل پیشگامان فناوری‌های نوین صاد، بر اهمیت حفظ پایداری کسب‌وکار در شرایط موجود تأکید می‌کند. از نگاه او، ممکن است در برخی شرایط، مسئله اصلی سازمان دیگر صرفاً سودآوری یا توسعه نباشد، بلکه تخصیص منابع باید به‌گونه‌ای انجام شود که پیش از هر چیز، امکان ادامه فعالیت حفظ شود.
این رویکرد به معنای کنارگذاشتن اهداف توسعه‌ای نیست، بلکه بر ضرورت توجه به ظرفیت‌های حیاتی سازمان هنگام تصمیم‌گیری درباره منابع و اولویت‌ها تأکید دارد.
از این منظر، ارزیابی ریسک باید بتواند ارتباط میان تهدیدها و تداوم فعالیت را روشن کند. ارزش یک فهرست ثبت ریسک‌ها (Risk Register) تنها به تعداد موارد شناسایی‌شده وابسته نیست، بلکه به میزان اطلاعاتی بستگی دارد که درباره پیامدهای احتمالی و مسیر اثرگذاری آنها بر فعالیت‌های سازمان ارائه می‌دهد.
برای نمونه، خروج یک نیروی متخصص تنها مسئله‌ای در حوزه منابع انسانی نیست، اگر دانش موردنیاز برای اداره یک سامانه حیاتی نیز با خروج او از دسترس خارج شود. فرسودگی تجهیزات نیز صرفاً موضوعی فنی باقی نمی‌ماند، اگر به اختلال در ارائۀ خدمات منجر شود. به همین ترتیب، نوسان نرخ ارز ممکن است از طریق افزایش هزینه‌ها و محدودیت تأمین، بر تصمیم‌های عملیاتی سازمان تأثیر بگذارد.
در نقطه‌ای که پیامدهای این مسائل به توان ارائه خدمات و ادامه فعالیت سازمان مرتبط می‌شوند، مدیریت آنها دیگر تنها مسئولیت یک واحد تخصصی نیست، بلکه به بخشی از تصمیم‌گیری در سطح کسب‌وکار تبدیل می‌شود.
بااین‌حال، شناخت این ارتباط‌ها تنها بخشی از مسئله است. سازمان باید بداند تغییرات و وابستگی‌های موجود تا چه اندازه گزینه‌های آن را برای مواجهه با شرایط آینده محدود کرده‌اند.
ریسک‌هایی که گزینه‌های سازمان را محدود می‌کنند
ممکن است یک سازمان در ظاهر فعالیتی پایدار داشته باشد، اما به‌تدریج توان مواجهه با اختلالات را از دست بدهد. این وضعیت الزاماً با وقوع حادثه‌ای مشخص همراه نیست؛ گاهی نتیجه کاهش تدریجی گزینه‌های جایگزین و افزایش وابستگی به منابع محدود است.
زمانی که تأمین یک تجهیز حیاتی تنها از یک مسیر امکان‌پذیر باشد، دانش اداره یک سامانه نزد فردی مشخص متمرکز شود یا نسخه‌های پشتیبان بدون آزمون بازیابی نگهداری شوند، ممکن است هنوز اختلالی در خدمات رخ نداده باشد. بااین‌حال، سازمان در صورت ازدست‌رفتن هر یک از این منابع، انتخاب‌های محدودی برای واکنش خواهد داشت.
همین مسئله درباره تصمیم‌های فناورانه نیز مطرح است. سازمانی که تغییرات فناوری را دنبال نمی‌کند یا تصمیم‌گیری درباره آنها را به تعویق می‌اندازد، ممکن است به‌تدریج بخشی از توان خود برای انتخاب مسیرهای جدید را از دست بدهد.
بنابراین، بخشی از ریسک‌های آینده را می‌توان در وابستگی‌هایی جست‌وجو کرد که امروز شکل می‌گیرند، اما پیامدهای آنها در شرایط اختلال آشکار می‌شود. این وابستگی‌ها ممکن است بدون ایجاد توقف فوری، انعطاف‌پذیری سازمان را کاهش دهند و هزینه واکنش به تغییرات را افزایش دهند.
از این منظر، یکی از وظایف مدیریت ریسک، علاوه بر کاهش احتمال وقوع رویدادها و محدودکردن پیامدهای آنها، حفظ گزینه‌های جایگزین و توان تصمیم‌گیری سازمان است.
این گزینه‌ها می‌توانند مسیرهای جایگزین تأمین تجهیزات، انتقال دانش میان کارکنان، امکان بازیابی خدمات، انعطاف‌پذیری در انتخاب فناوری یا ظرفیت بازنگری در تصمیم‌های پیشین باشند.
در چنین رویکردی، پرسش «بزرگ‌ترین ریسک سازمان چیست؟» همچنان اهمیت دارد، اما می‌توان پرسش دیگری را نیز به آن اضافه کرد:
«در کدام بخش‌های کسب‌وکار، گزینه‌های ما برای ادامۀ فعالیت در حال محدودشدن هستند؟»
پاسخ به این پرسش می‌تواند وابستگی‌هایی را آشکار کند که هنوز به اختلال منجر نشده‌اند، اما در آینده توان سازمان برای واکنش به تغییرات را کاهش خواهند داد.
بعضی از مهم‌ترین ریسک‌ها زمانی شکل می‌گیرند که فعالیت‌ها همچنان بدون مشکل ادامه دارند، اما سازمان به‌تدریج گزینه‌های کمتری برای مواجهه با شرایط متفاوت در اختیار خواهد داشت.
علاقه‌مندان برای آشنایی بیشتر با این رویکرد به تداوم و مواجهه کسبوکارها با شرایط عدم‌قطعیت، می‌توانند به وب‌سایت خانه تکنوکرات‌ها و کانال آپارت مراجعه کنند.
