مدیریت ریسک در شرکت‌ها؛ از استقرار ظاهری تا اثربخشی واقعی

صدای بورس - در سال‌های اخیر، با توسعۀ الزامات حاکمیت شرکتی، تشکیل کمیته‌های ریسک، ایجاد واحدهای مدیریت ریسک و تدوین دستورالعمل‌های مرتبط در شرکت‌ها و مؤسسات مالی بیش از گذشته مورد توجه قرار گرفته است. بااین‌حال، پرسش اساسی این است که آیا ایجاد این ساختارها به معنای استقرار واقعی مدیریت ریسک است؟ آیا هیئت‌مدیره از اطلاعات ریسک در تصمیم‌گیری‌های خود استفاده می‌کند و آیا گزارش‌های ارائه‌شده از کیفیت و قابلیت اتکای لازم برخوردارند؟ برای یافتن پاسخ، با مجتبی رستمی نوروزآباد، مجری و مشاور پیاده‌سازی مدیریت ریسک گفت‌وگویی انجام داده‌ایم که در ادامه می‌خوانید.

با توجه به الزامات حاکمیت شرکتی و تشکیل کمیته‌های ریسک، آیا می‌توان گفت مدیریت ریسک در شرکت‌ها به‌صورت واقعی استقرار یافته است؟

به اعتقاد من، یکی از مسائل مهم در حوزۀ حاکمیت شرکتی، تفاوت میان استقرار شکلی و استقرار واقعی مدیریت ریسک است. تشکیل کمیتۀ مدیریت ریسک، ایجاد واحد مدیریت ریسک و تدوین دستورالعمل‌های مرتبط، اقدامات ضروری و ارزشمندی هستند؛ اما نباید آنها را با استقرار اثربخش مدیریت ریسک یکسان بدانیم.

استقرار شکلی زمانی اتفاق می‌افتد که سازمان عمدتاً برای پاسخ‌گویی به الزامات قانونی و نظارتی، ساختارهای موردنیاز را ایجاد می‌کند. در چنین شرایطی ممکن است کمیتۀ مدیریت ریسک تشکیل شده باشد، جلسات آن برگزار شود، فهرستی از ریسک‌ها تهیه شده و گزارش‌هایی نیز به هیئت‌مدیره ارائه شود؛ اما مدیریت ریسک هنوز جایگاه مشخصی در تصمیم‌گیری‌های واقعی سازمان نداشته باشد.

در مقابل، استقرار واقعی زمانی معنا پیدا می‌کند که مدیریت ریسک از سطح ساختارها و مستندات فراتر برود و در فرایندهای مدیریتی سازمان نهادینه شود. به این معنا که هنگام تصمیم‌گیری دربارۀ سرمایه‌گذاری، تأمین مالی، توسعۀ فعالیت‌ها، ورود به بازارهای جدید یا تخصیص منابع، پیامدهای ریسک نیز به‌صورت نظام‌مند بررسی شوند.

برای مثال، ممکن است یک شرکت پیش از اجرای طرح سرمایه‌گذاری، صرفاً مطالعات مالی و اقتصادی آن را بررسی کند؛ درحالی‌که در شرکتی با مدیریت ریسک توسعه‌یافته، سناریوهای نامساعد، میزان تحمل زیان، محدودیت‌های نقدینگی و تأثیر طرح بر مجموعۀ ریسک‌های شرکت نیز در تصمیم نهایی مورد توجه قرار می‌گیرد.

بنابراین، مسئلۀ اصلی این نیست که شرکت کمیتۀ مدیریت ریسک دارد یا خیر؛ بلکه باید بررسی کنیم این کمیته و سایر اجزای نظام مدیریت ریسک تا چه اندازه توانسته‌اند بر کیفیت تصمیم‌ها و نحوۀ مواجهه با مخاطرات اثر بگذارند.

از نظر من، معیار اصلی استقرار واقعی مدیریت ریسک را باید در تصمیم‌های سازمان جست‌وجو کرد، نه صرفاً در ساختارها و مستندات آن.

به نظر شما چه نشانه‌هایی می‌تواند استقرار واقعی مدیریت ریسک را از استقرار ظاهری آن متمایز کند؟

مهم‌ترین نشانه، ارتباط مدیریت ریسک با فرایند تصمیم‌گیری است. اگر واحد مدیریت ریسک فعالیت کند، اما نتایج ارزیابی‌های آن در تصمیم‌های مدیریت اجرایی و هیئت‌مدیره مورد استفاده قرار نگیرد، نمی‌توان از استقرار کامل و اثربخش مدیریت ریسک سخن گفت.

البته این موضوع به معنای آن نیست که مدیریت ریسک باید جایگزین تصمیم‌گیری مدیران شود. مسئولیت تصمیم‌گیری همچنان بر عهدۀ مدیران اجرایی و هیئت‌مدیره است، اما مدیریت ریسک باید اطلاعاتی فراهم کند که تصمیم‌ها با شناخت دقیق‌تری از مخاطرات و پیامدهای احتمالی اتخاذ شوند.

برای تشخیص میزان استقرار واقعی، باید چند موضوع را بررسی کنیم. نخست اینکه آیا ریسک‌های بااهمیت سازمان به‌درستی شناسایی و ارزیابی شده‌اند و آیا برای آنها شاخص‌های مشخصی جهت پایش وجود دارد؟ دوم اینکه آیا هیئت‌مدیره اشتهای ریسک سازمان را تعیین کرده و حدود پذیرش ریسک در فعالیت‌های مختلف مشخص شده است؟ سوم اینکه آیا وضعیت ریسک‌ها به‌صورت مستمر پایش می‌شود و در صورت عبور از حدود تعیین‌شده، اقدامات مشخصی صورت می‌گیرد؟

موضوع مهم دیگر، نحوۀ برخورد سازمان با نتایج ارزیابی ریسک است. فرض کنید واحد مدیریت ریسک نسبت به افزایش تمرکز سرمایه‌گذاری یا تشدید ریسک نقدینگی هشدار می‌دهد. باید بررسی کنیم آیا این هشدار در تصمیم‌های مدیران مؤثر بوده است یا خیر. آیا تصمیم قبلی بازنگری شده، اقدامات کنترلی جدیدی تعریف شده یا موضوع با پذیرش آگاهانۀ ریسک در سطح مناسب تصمیم‌گیری همراه بوده است؟

نکتۀ مهم این است که اثربخشی مدیریت ریسک الزاماً به معنای کاهش همۀ ریسک‌ها نیست. ممکن است سازمان با شناخت کافی، پذیرش سطح بالاتری از یک ریسک را برای دستیابی به اهداف راهبردی خود انتخاب کند. آنچه اهمیت دارد، آگاهانه‌بودن تصمیم، انطباق آن با ظرفیت و اشتهای ریسک و وجود سازوکار مناسب برای پایش پیامدهای آن است.

به همین دلیل، معتقدم برای ارزیابی استقرار واقعی مدیریت ریسک باید از پرسش «چه ساختارهایی ایجاد شده است؟» فراتر برویم و بپرسیم «این ساختارها چه نقشی در تصمیم‌های سازمان داشته‌اند؟»

در چنین شرایطی، هیئت‌مدیره چگونه می‌تواند از وضعیت واقعی مدیریت ریسک و اثربخشی آن اطمینان حاصل کند؟

هیئت‌مدیره در جایگاه راهبری و نظارت، مسئولیت مهمی در این زمینه دارد. این مسئولیت صرفاً به تصویب سیاست‌ها، تشکیل کمیتۀ مدیریت ریسک یا دریافت گزارش‌های دوره‌ای محدود نمی‌شود. هیئت‌مدیره باید اطمینان نسبی و مبتنی بر شواهد حاصل کند که نظام مدیریت ریسک متناسب با ماهیت فعالیت‌های سازمان طراحی شده و در عمل نیز کارکرد مورد انتظار را دارد.

نخستین موضوع، تعیین اشتهای ریسک سازمان است. هیئت‌مدیره باید مشخص کند شرکت برای دستیابی به اهداف خود آمادۀ پذیرش چه نوع ریسک‌هایی و در چه حدودی است. این موضوع نباید صرفاً در قالب یک بیانیۀ کلی باقی بماند؛ بلکه لازم است به حدود مشخص و قابل پایش برای ریسک‌های مالی و غیرمالی بااهمیت تبدیل شود.

موضوع دوم، کیفیت اطلاعاتی است که در اختیار هیئت‌مدیره قرار می‌گیرد. گزارش مدیریت ریسک باید نشان دهد مهم‌ترین مخاطرات شرکت چیست، وضعیت آنها نسبت به حدود تعیین‌شده چگونه است، چه تغییراتی رخ داده و مدیریت اجرایی برای مواجهه با آنها چه اقداماتی انجام داده است.

برای مثال، در یک شرکت سرمایه‌گذاری، هیئت‌مدیره باید بتواند وضعیت ریسک نقدینگی، تمرکز سرمایه‌گذاری، ریسک بازار و سایر ریسک‌های بااهمیت را در ارتباط با اهداف و محدودیت‌های شرکت بررسی کند. صرف اعلام اینکه ریسک بازار در سطح بالا یا متوسط قرار دارد، بدون مشخص‌بودن مبنای ارزیابی و پیامدهای مدیریتی آن، ارزش تصمیم‌گیری محدودی خواهد داشت.

موضوع سوم، پیگیری تصمیم‌ها و اقدامات اصلاحی است. اگر هیئت‌مدیره بر اساس گزارش مدیریت ریسک تصمیمی اتخاذ می‌کند، باید سازوکاری برای بررسی میزان اجرای آن و ارزیابی نتایج وجود داشته باشد.

در کنار این موارد، ارزیابی دوره‌ای بلوغ مدیریت ریسک نیز اهمیت دارد. چنین ارزیابی‌ای می‌تواند مشخص کند سازمان در چه حوزه‌هایی قابلیت مناسبی ایجاد کرده، چه نارسایی‌هایی همچنان وجود دارد و برای ارتقای نظام مدیریت ریسک چه اقداماتی باید در اولویت قرار گیرد.

بااین‌حال، یک مسئلۀ اساسی باقی می‌ماند: هیئت‌مدیره چگونه می‌تواند از صحت اطلاعات ارائه‌شده و اثربخشی فرایندهایی که این اطلاعات را تولید می‌کنند، اطمینان حاصل کند؟ اینجاست که نقش حسابرسی ریسک اهمیت پیدا می‌کند.

به نقش حسابرسی ریسک اشاره کردید. چرا وجود حسابرس ریسک و ارزیابی مستقل گزارش‌های مدیریت ریسک را ضروری می‌دانید؟

به اعتقاد من، یکی از حلقه‌های مهم و کمتر توسعه‌یافتۀ نظام حاکمیت ریسک در کشور، اطمینان‌بخشی تخصصی و مستقل نسبت به کیفیت مدیریت ریسک و گزارش‌های آن است.

واحد مدیریت ریسک در چارچوب مسئولیت‌های خود، وظیفۀ تدوین روش‌ها، هماهنگی فرایندها، تحلیل اطلاعات و گزارشگری وضعیت ریسک‌ها را بر عهده دارد؛ اما صرف فعالیت این واحد تضمین نمی‌کند که فرایندها به‌درستی اجرا شده‌اند یا گزارش‌های تهیه‌شده از دقت، جامعیت و قابلیت اتکای کافی برخوردارند.

در اینجا نقش حسابرس ریسک مطرح می‌شود. منظور من از حسابرس ریسک، فردی دارای صلاحیت تخصصی و استقلال حرفه‌ای است که بتواند نحوۀ طراحی و استقرار نظام مدیریت ریسک، عملکرد فرایندهای آن و کیفیت اطلاعات و گزارش‌های حاصل از این فرایندها را ارزیابی کند و نسبت به آنها اطمینان‌بخشی مستقل ارائه دهد.

برای مثال، زمانی که در گزارش مدیریت ریسک اعلام می‌شود یکی از ریسک‌های اصلی شرکت در محدودۀ قابل قبول قرار دارد، حسابرس ریسک باید بتواند بررسی کند که آیا شاخص‌های مورد استفاده مناسب بوده‌اند، داده‌های مبنای ارزیابی معتبر بوده‌اند، حدود پذیرش ریسک به‌درستی اعمال شده و نتیجه‌گیری ارائه‌شده با شواهد موجود سازگار است یا خیر.

همچنین باید بتواند بررسی کند که آیا فرایند شناسایی ریسک‌ها متناسب با ماهیت فعالیت سازمان بوده، ریسک‌های بااهمیت به‌درستی پوشش داده شده‌اند، اقدامات کنترلی واقعاً اجرا شده‌اند و گزارش‌های ارائه‌شده به هیئت‌مدیره تصویری منصفانه و قابل اتکا از وضعیت ریسک‌ها ارائه می‌کنند.

متأسفانه یکی از خلأهای جدی کشور در این حوزه آن است که برای پرورش نظام‌مند حسابرسان متخصص ریسک، به‌عنوان یک حرفۀ تخصصی متمایز، سازوکار فراگیر و منسجمی شکل نگرفته است. درحالی‌که برای مدیران ریسک، کارشناسان مدیریت ریسک و حسابرسان داخلی مسیرهای آموزشی و حرفه‌ای مختلفی وجود دارد، پرورش افرادی که بتوانند با تسلط هم‌زمان بر اصول مدیریت ریسک، روش‌های ارزیابی و الزامات حسابرسی، نسبت به کیفیت و اثربخشی نظام مدیریت ریسک اطمینان‌بخشی کنند، هنوز به‌اندازۀ کافی مورد توجه قرار نگرفته است.

از سوی دیگر، در چارچوب‌های نظارتی کشور نیز جایگاه حسابرس ریسک به‌عنوان یک تخصص حرفه‌ای مستقل، با الزامات مشخص برای احراز صلاحیت، دامنۀ رسیدگی، استانداردهای اطمینان‌بخشی و نحوۀ گزارش‌دهی، به‌صورت یکپارچه و روشن تعریف نشده است. البته در برخی مقررات، وظایفی در زمینۀ ارزیابی اثربخشی مدیریت ریسک و کیفیت گزارشگری آن به واحدهای حسابرسی داخلی واگذار شده است؛ اما این موضوع با ایجاد یک نظام تخصصی برای پرورش، احراز صلاحیت و به‌کارگیری حسابرسان ریسک تفاوت دارد.

این خلأ از نظر من اهمیت زیادی دارد؛ زیرا هرچه الزامات استقرار مدیریت ریسک در شرکت‌ها گسترش پیدا کند، نیاز به ارزیابی مستقل کیفیت اجرای این الزامات نیز بیشتر می‌شود. نمی‌توان صرفاً از شرکت‌ها انتظار داشت نظام مدیریت ریسک ایجاد کنند و گزارش ارائه دهند، اما برای بررسی تخصصی قابلیت اتکای این گزارش‌ها و اثربخشی فرایندهای مدیریت ریسک، سازوکار حرفه‌ای متناسبی توسعه نداد.

البته باید میان مدیریت ریسک و حسابرسی ریسک تفکیک روشنی وجود داشته باشد. مسئولیت مدیریت ریسک بر عهدۀ مدیران و واحدهای مسئول آن است؛ درحالی‌که حسابرس باید نسبت به طراحی و عملکرد این فرایندها اطمینان‌بخشی مستقل ارائه کند. حسابرس نباید در موقعیتی قرار گیرد که مسئولیت اجرایی فرایندی را بپذیرد و سپس همان فرایند را حسابرسی کند.

به باور من، لازم است موضوع پرورش و احراز صلاحیت حسابرسان ریسک به‌صورت جدی در دستور کار نهادهای حرفه‌ای و ناظر قرار گیرد. این تخصص می‌تواند در چارچوب حسابرسی داخلی یا سایر سازوکارهای اطمینان‌بخشی مستقل توسعه یابد، مشروط بر اینکه صلاحیت تخصصی، استقلال و استانداردهای لازم برای آن تعریف شده باشد.

همان‌طور که برای افزایش قابلیت اتکای اطلاعات مالی از حسابرسی استفاده می‌کنیم، در حوزۀ مدیریت ریسک نیز به سازوکاری تخصصی و مستقل برای اطمینان‌بخشی نسبت به فرایندها و کیفیت گزارشگری نیاز داریم. به اعتقاد من، بدون تقویت این بخش، یکی از حلقه‌های اصلی نظام حاکمیت ریسک ناقص باقی خواهد ماند.

آیا این اطمینان‌بخشی باید صرفاً در سطح هیئت‌مدیره انجام شود یا نهادهای ناظر نیز باید از نتایج آن استفاده کنند؟

به نظر من، اطمینان‌بخشی نسبت به مدیریت ریسک باید در دو سطح مورد توجه قرار گیرد: نخست در سطح سازمان و هیئت‌مدیره و دوم در سطح نهاد ناظر.

در سطح سازمان، هیئت‌مدیره باید از طریق گزارش‌های مدیریت ریسک و ارزیابی‌های مستقل، تصویری قابل اتکا از وضعیت ریسک‌ها و کیفیت عملکرد نظام مدیریت ریسک در اختیار داشته باشد. هدف اصلی در این سطح، پشتیبانی از نظارت و تصمیم‌گیری و شناسایی نارسایی‌های نیازمند اصلاح است.

اما در سطح نهاد ناظر، موضوع ابعاد گسترده‌تری پیدا می‌کند. سازمان بورس و اوراق بهادار، بانک مرکزی و بیمۀ مرکزی هرکدام در حوزۀ نظارتی خود با مجموعه‌ای از شرکت‌ها و مؤسسات مالی مواجه‌اند که ضعف مدیریت ریسک در آنها می‌تواند پیامدهایی فراتر از یک سازمان داشته باشد.

ازاین‌رو، معتقدم نهادهای ناظر نباید ارزیابی وضعیت مدیریت ریسک را صرفاً به بررسی تشکیل کمیته‌ها، وجود واحدهای سازمانی یا دریافت گزارش‌های دوره‌ای محدود کنند. این اقدامات برای بررسی رعایت الزامات رسمی اهمیت دارند، اما شواهد کافی برای قضاوت دربارۀ اثربخشی واقعی مدیریت ریسک فراهم نمی‌کنند.

نهاد ناظر باید بتواند بررسی کند که آیا نظام مدیریت ریسک واقعاً در سازمان فعالیت می‌کند، گزارش‌های تهیه‌شده از کیفیت لازم برخوردارند و هیئت‌مدیره بر اساس اطلاعات حاصل از آن، تصمیم‌های آگاهانه اتخاذ می‌کند یا خیر.

در این زمینه، استفاده از نتایج حسابرسی ریسک و گزارش‌های اطمینان‌بخشی مستقل می‌تواند نقش مهمی داشته باشد. البته اتکای نهاد ناظر به این گزارش‌ها باید با توجه به استقلال، صلاحیت حرفه‌ای، دامنۀ رسیدگی و کیفیت کار حسابرس صورت گیرد و جایگزین مسئولیت نظارتی خود نهاد ناظر نشود.

برای مثال، نهاد ناظر می‌تواند در چارچوب اختیارات و الزامات مربوط، علاوه بر گزارش مدیریت ریسک، نتایج ارزیابی مستقل کیفیت آن، نارسایی‌های شناسایی‌شده و اقدامات اصلاحی انجام‌شده را نیز مطالبه و بررسی کند. چنین رویکردی موجب می‌شود نظارت از بررسی صرف رعایت الزامات شکلی، به سمت ارزیابی کیفیت استقرار و عملکرد واقعی مدیریت ریسک حرکت کند.

با توجه به تفاوت ماهیت فعالیت شرکت‌های بورسی، بانک‌ها و شرکت‌های بیمه، نهادهای ناظر چگونه می‌توانند استقرار ظاهری مدیریت ریسک را از استقرار واقعی آن تشخیص دهند؟

در وهلۀ نخست باید بپذیریم که وجود ساختارهای مشابه، الزاماً به معنای برخورداری از قابلیت‌های مشابه مدیریت ریسک نیست. ممکن است دو بانک، دو شرکت بیمه یا دو ناشر بورسی از نظر ساختار رسمی مدیریت ریسک وضعیت یکسانی داشته باشند، اما میزان بلوغ و اثربخشی نظام مدیریت ریسک آنها کاملاً متفاوت باشد.

بنابراین، به اعتقاد من، نهادهای ناظر باید میان رعایت الزامات ساختاری، میزان استقرار فرایندها، بلوغ قابلیت‌های مدیریت ریسک و کیفیت گزارشگری آن تفکیک قائل شوند.

در گام نخست، می‌توان رعایت الزامات ساختاری و حاکمیتی را بررسی کرد؛ از جمله وجود کمیته‌های تخصصی، تفکیک مسئولیت‌ها، تصویب سیاست‌های مدیریت ریسک و تعیین ساختار سازمانی مناسب. این مرحله مشخص می‌کند الزامات رسمی تا چه اندازه رعایت شده‌اند، اما به‌تنهایی برای ارزیابی اثربخشی کافی نیست.

در گام بعد، باید نحوۀ عملکرد واقعی فرایندهای مدیریت ریسک بررسی شود. برای این منظور، شناسایی و ارزیابی ریسک‌های بااهمیت، تعیین حدود پذیرش ریسک، کیفیت پایش، اجرای اقدامات کنترلی و نحوۀ گزارشگری به مدیریت ارشد و هیئت‌مدیره اهمیت دارد.

اما از نظر من، تعیین‌کننده‌ترین بخش، بررسی ارتباط اطلاعات ریسک با تصمیم‌های واقعی سازمان است. نهاد ناظر باید بتواند شواهدی از این ارتباط را مشاهده کند. برای مثال، آیا هشدارهای مدیریت ریسک در تصمیم‌های سرمایه‌گذاری یا تأمین مالی مورد توجه قرار گرفته‌اند؟ آیا عبور از حدود پذیرش ریسک به تصمیم مشخصی منجر شده است؟ آیا هیئت‌مدیره در مواجهه با سناریوهای نامساعد، پیامدهای ریسک را بررسی کرده و اقدامات لازم را تعیین کرده است؟

در این میان، لازم است ماهیت فعالیت هر صنعت نیز مورد توجه قرار گیرد. در بانک‌ها، موضوعاتی مانند ریسک اعتباری، نقدینگی، بازار و عملیاتی اهمیت ویژه‌ای دارند. در شرکت‌های بیمه، ریسک‌های بیمه‌گری، ذخایر فنی، نقدینگی، سرمایه‌گذاری و سایر تعهدات بیمه‌ای باید متناسب با ماهیت فعالیت مورد ارزیابی قرار گیرند. در ناشران بورسی نیز ترکیب ریسک‌های بااهمیت به صنعت، مدل کسب‌وکار، ساختار مالی و ویژگی‌های عملیاتی شرکت وابسته است.

ازاین‌رو، نمی‌توان برای همۀ سازمان‌ها صرفاً یک فهرست یکسان از شاخص‌ها تعریف کرد و انتظار داشت نتایج حاصل، تصویری دقیق از وضعیت مدیریت ریسک آنها ارائه دهد. چارچوب ارزیابی باید دارای اصول مشترک باشد، اما معیارهای تخصصی آن نیز باید با ماهیت ریسک‌های هر صنعت تناسب داشته باشد.

همچنین پیشنهاد می‌کنم نهادهای ناظر به‌تدریج از الگوهای ارزیابی مبتنی بر بلوغ مدیریت ریسک استفاده کنند؛ به‌گونه‌ای که بتوانند میان سازمان‌هایی که صرفاً الزامات اولیه را رعایت کرده‌اند و سازمان‌هایی که مدیریت ریسک را در تصمیم‌گیری و فعالیت‌های خود نهادینه کرده‌اند، تمایز قائل شوند.

در کنار این موضوع، بهره‌گیری از حسابرسان متخصص ریسک می‌تواند به افزایش قابلیت اتکای نتایج چنین ارزیابی‌هایی کمک کند. البته برای این منظور لازم است ابتدا صلاحیت‌های حرفه‌ای، معیارهای استقلال، روش‌های رسیدگی و الزامات گزارش‌دهی حسابرسان ریسک به‌صورت دقیق تعریف شود. هدف نباید صرفاً افزودن یک گزارش یا تکلیف نظارتی جدید باشد؛ بلکه باید کیفیت اطلاعات نظارتی و امکان تشخیص نارسایی‌های واقعی مدیریت ریسک بهبود یابد.

در جمع‌بندی، چه اقداماتی را برای ارتقای جایگاه مدیریت ریسک در نظام حاکمیت شرکتی و نظارت بر مؤسسات مالی ضروری می‌دانید؟

به اعتقاد من، اکنون یکی از مهم‌ترین موضوعاتی که باید در حوزۀ مدیریت ریسک مورد توجه قرار گیرد، عبور از استقرار صرفاً ساختاری به سمت استقرار اثربخش و قابل ارزیابی است.

در سال‌های گذشته، توجه به ضرورت تشکیل کمیته‌های ریسک، ایجاد واحدهای مدیریت ریسک و تدوین دستورالعمل‌های مرتبط، گام مهمی در توسعۀ حاکمیت ریسک بوده است. اما باید توجه داشته باشیم که هدف نهایی از ایجاد این ساختارها، صرفاً رعایت الزامات قانونی و نظارتی نیست؛ بلکه هدف، ارتقای توانایی سازمان در شناخت مخاطرات و اتخاذ تصمیم‌های آگاهانه در شرایط عدم اطمینان است.

از این منظر، سه موضوع را ضروری می‌دانم.

نخست، هیئت‌مدیره باید نقش فعال‌تری در راهبری ریسک بر عهده بگیرد. این نقش صرفاً به تصویب سیاست‌ها و دریافت گزارش‌ها محدود نیست. هیئت‌مدیره باید اشتهای ریسک سازمان را تعیین کند، بر رعایت حدود پذیرش ریسک نظارت داشته باشد و اطمینان حاصل کند که اطلاعات ریسک در تصمیم‌های مهم سازمان مورد استفاده قرار می‌گیرد.

دوم، لازم است جایگاه حسابرسی ریسک و اطمینان‌بخشی مستقل تقویت شود. گزارش‌های مدیریت ریسک نباید صرفاً بر مبنای اطلاعات و ارزیابی‌های واحد تهیه‌کننده پذیرفته شوند؛ بلکه کیفیت داده‌ها، روش‌های ارزیابی، نحوۀ اجرای فرایندها و قابلیت اتکای نتایج نیز باید توسط اشخاص دارای صلاحیت و استقلال لازم بررسی شود. در این زمینه، توسعۀ آموزش‌های تخصصی، تعریف صلاحیت‌های حرفه‌ای حسابرسان ریسک و تعیین چارچوب‌های مشخص برای اطمینان‌بخشی مستقل، ضرورتی جدی است.

سوم، نهادهای ناظر شامل سازمان بورس و اوراق بهادار، بانک مرکزی و بیمۀ مرکزی باید در چارچوب مأموریت‌ها و اختیارات خود، توجه بیشتری به کیفیت استقرار و اثربخشی مدیریت ریسک داشته باشند. بررسی رعایت الزامات ساختاری ضروری است، اما نباید پایان فرایند نظارت تلقی شود.

به اعتقاد من، برای این منظور باید سازوکارهایی توسعه یابد که نهاد ناظر بتواند علاوه بر بررسی وجود ساختارهای مدیریت ریسک، کیفیت گزارشگری، میزان بلوغ فرایندها، نتایج حسابرسی ریسک و شواهد استفاده از اطلاعات ریسک در تصمیم‌گیری‌های هیئت‌مدیره را نیز ارزیابی کند.

در چنین رویکردی، شرکت صرفاً به دلیل تشکیل کمیتۀ مدیریت ریسک یا ارائۀ گزارش‌های دوره‌ای، دارای نظام مدیریت ریسک اثربخش تلقی نمی‌شود. در مقابل، برای ارزیابی واقعی باید شواهدی وجود داشته باشد که نشان دهد مدیریت ریسک در فرایندهای سازمان نهادینه شده و در تصمیم‌های مهم مدیریتی نقش دارد.

همچنین لازم است نهادهای ناظر از نتایج این ارزیابی‌ها برای شناسایی نارسایی‌ها، تعیین اولویت‌های نظارتی و پیگیری اقدامات اصلاحی استفاده کنند. این رویکرد می‌تواند نظارت بر مدیریت ریسک را از یک فرایند عمدتاً مبتنی بر بررسی مدارک و رعایت الزامات، به نظارتی مبتنی بر شواهد و اثربخشی تبدیل کند.

در این میان، موضوع پرورش و به‌کارگیری حسابرسان متخصص ریسک نیز نباید مغفول بماند. اگر قرار است کیفیت مدیریت ریسک و گزارش‌های آن به‌صورت مستقل ارزیابی شود، باید افرادی با دانش و صلاحیت حرفه‌ای لازم برای انجام این مسئولیت پرورش شوند و جایگاه و حدود مسئولیت آنها در نظام اطمینان‌بخشی و نظارت روشن باشد.

به باور من، پرسش اصلی نهاد ناظر نباید صرفاً این باشد که آیا شرکت کمیتۀ مدیریت ریسک تشکیل داده و گزارش مدیریت ریسک ارائه کرده است؛ بلکه باید بپرسد آیا این گزارش‌ها قابل اتکا هستند، آیا هیئت‌مدیره از آنها در تصمیم‌گیری استفاده می‌کند و آیا نظام مدیریت ریسک واقعاً توانسته است کیفیت مواجهۀ سازمان با ریسک‌ها را بهبود دهد؟

اگر بتوانیم این نگاه را در سطح هیئت‌مدیره و نهادهای ناظر تقویت کنیم، مدیریت ریسک به‌تدریج از یک الزام ساختاری و گزارشگری به یکی از اجزای اصلی نظام راهبری و تصمیم‌گیری سازمان تبدیل خواهد شد.

در نهایت، معتقدم موفقیت در استقرار مدیریت ریسک را نباید با تعداد کمیته‌ها، حجم دستورالعمل‌ها یا تعداد گزارش‌های تهیه‌شده سنجید؛ بلکه باید آن را در کیفیت تصمیم‌های سازمان، میزان آگاهی مدیران از مخاطرات و توانایی سازمان در مدیریت پیامدهای عدم اطمینان جست‌وجو کرد.