إدارة المخاطر وخطوط الحوكمة الدفاعية

تتطلب قواعد الحوكمة بناء ثلاثة خطوط دفاعية في المنظمات ضد الفساد والأخطاء والتلاعب وتحريف البيانات، وهي على وجه الاختصار، الجهاز التنفيذي والهيكل والإدارات المكونة للمنظمة، فهي العقود التي تبرم بين جميع الأطراف من أجل تحقيق وجود المنظمة الفعلي، ويأتي خط الدفاع الثاني في جميع الإجراءات والسياسات والنظم الرقابية، التي من خلالها تستطيع المنظمة التفاعل مع نفسها ومحيطها من حولها، وفي الخط الثالث تأتي الأجهزة والأدوات الرقابية المستقلة، مثل المراجعة الداخلية والخارجية والأجهزة الرقابية العامة. هنا نقد لا بأس به حول وجود المراجعة الداخلية ضمن خط الدفاع الثالث، وهذا نقاش مهم جدا يجب أخذه بحذر، ذلك أن وجودها هناك يعني أنها خاضعة للرقابة بذاتها، من جانب خط الدفاع الثالث، وهنا نواجه مسألة في غاية الأهمية بشأن الاستقلال المهني للمراجعة الداخلية، لكن ليس هذا محل النقاش هنا، بل إن المقال يهتم بدور إدارة المخاطر في هذا النظام. ومن الواضح جدا أنني أضع الحوكمة كقضية شاملة للقضايا كافة، ونعم لا يخالجني في هذا شك، فحتى التخطيط الاستراتيجي يخضع للحوكمة، ومع ذلك فإن الممارسات التي أشهدها في الجهات المختلفة والقطاع الخاص، تؤكد أن الحوكمة لديهم هي مجرد لجان مجلس الإدارة. ومع ذلك، فإنني في هذا المقال أود التركيز على دور إدارة المخاطر في ربط خطوط الدفاع الثلاثة معا، ودورها المحوري كجهاز عصبي لمفهوم الحوكمة وحماية المنظمات.
بشكل عام، تهتم المخاطر بالثغرات، التي قد تصيب كل خط دفاعي، فهي تفحص بدقة متناهية وبطريقة مجهرية في كل مكونات الخط الدفاعي، في السياسات والإجراءات، في الأشخاص، في التعيينيات، في الوصول إلى البيانات، في التقرير والإبلاغ، في الالتزام والامتثال، وسجل المخاطر يرسم صورة بالأشعة تقريبا، لكل الهيكل المكون للخط الدفاعي، وصورة بالصبغة لكل التفاصيل والشرايين التي تصل إلى كل جزء من الهيكل وتربطه بالأجزاء الأخرى. فمثلا، تعمل إدارة المخاطر على طرح الأسئلة عن التوظيف، أو الهيكل التنظيمي، وبيئة العمل، أو الاستغناء عن الموظفين، وعقود التوظيف، وقرارات الاستقالة، أو رضا الموظفين، أو أصحاب المصلحة الرئيسين، وعن العلاقة معهم. ومن خلال هذه الأسئلة تفحص كفاية الإجراءات والسياسات ومن أين صدرت ومن أمر بها، وبعد وضع الإجابات عن جميع هذه الأسئلة يتفحص المختص في المخاطر إمكانية حدوث اختراق، ومتى يحدث وعن تأثيره لو حدث وكيف سيتم التعامل معه لتخفيف آثاره، وإذا وجدت الإجابات كافية ومناسبة ومعقولة، فإنه يضع علامات خضراء على هذه المخاطر، وإذا كانت هناك ثغرات، فإنه يضع العلامات الحمراء، منذرا ومحذرا من احتمالية حدوث الفساد والأخطاء واستغلال السلطة. باختصار، فإنه يضع العلامات الحمراء أمام نقاط الضعف في الحوكمة، وعلى من يمر هناك أن يلاحظ هذه العلامات.
لكن المعضلة في المخاطر أنها تقع ضمن حدود الخط الدفاعي الثاني، أي أنها لا تحمل قوة إشراف كافية على عناصر المخاطر المرتبطة بعناصر الحوكمة عند خط الدفاع الثالث، لكن العناصر عند ذلك الخط تستفيد من مخرجات وتقارير المخاطر، لمعرفة العلامات الحمراء التي وضعتها وتبدأ عمليات المساءلة والفحص. فالمساءلة إذن تشبه العلاقة بين الطبيب المعالج وبين المحللين في الأشعة والمختبرات، فالذي سيحدد المرض ويضع توصيات العلاج هم الذين يعملون في الخط الثالث، لكنهم رغم موقعهم ليسوا المرضى، بل إن المرضى هم في خطوط الدفاع الأولية، "الأول والثاني"، وعليهم قبول العلاج وأخذه فعلا، فالحوكمة تعمل على جعل العلاج إجباريا، وتعمل على فرض أخذه على أولئك المرضى، في خطوط الدفاع، وهكذا تبدو العلاقات بين المخاطر، والحوكمة، ولذلك لا أعتقد أبدا ولا أظن بأن هناك من يدعي وجود الحوكمة ولا يهتم بالمخاطر، وليس لديه سجل للمخاطر، ولا حتى إدارة مستقلة لها، عبثا يعمل أولئك الذين يضعون المخاطر ضمن أعمال المراجعة الداخلية، كمن يضع غرف المختبر في غرفة الكشف، ويضع معهم أجهزة الأشعة، عبثا نرفع الصوت بأهمية المخاطر وعدم تجزئتها وفي مشاريع منفصلة وتعميمات مبهمة.
من الجميل تلك العلاقة الرائعة بين مفهوم وفكر المخاطر وبين علم النفس، ولعل أهم المفاهيم ذات العلاقة بالمخاطر هو مفهوم إدراك الخطر، Risk Perception، لقد وجدت خلال ممارستي هذه المهنة والتدريب عليها وتدريسها أن قليلا من التنفيذيين ومتخذي القرار بشأن الأصول يدركون ما المخاطر، فإدراك الخطر حكم شخصي على كل حال يتأثر بمجموعة واسعة من العوامل الشخصية "كالسن والتخصص حتى نوع الجنس" والسمات والحالة العاطفية "المشاعر، والحالة المزاجية"، والمعرفية "الخبرات، والتجارب المرة"، والبيئة العامة "الحملات الإعلامية، والحالة العامة". فإذا واجهت شخصا لم يواجه تجارب في مواجهة المخاطر، فإن قدرته على تحديد الخطر وحجم الإجراءات الواجبة سيختلف حتما عن شخص واجه مثل هذه المخاطر وتحمل الألم. هنا قليل جدا من الدراسات في العالم العربي، وما زلنا في البدايات تماما، لكن ما يهمني الآن هو وضوح فكرة ارتباط المخاطر بالحوكمة، فلا تقل حوكمة ما لم يكن لديك عمل مؤسسي في المخاطر.