كيفية إنشاء سجل المخاطر باستخدام الذكاء الاصطناعي: دليل كامل

سجل المخاطر هو جدول واحد يسرد ما يمكن أن يسير بشكل خاطئ ومدى احتمالية حدوثه. كما يسجل أيضًا حجم الضرر المحتمل، والمسؤول عنه، وما قررت القيام به. تبني معظم الفرق سجلها الأول بعد حدوث خطأ لم يقم أحد بتدوينه مسبقًا. يغطي هذا الدليل الطريقة اليدوية والطريقة الأسرع باستخدام ملفات التصدير المتوفرة لديك بالفعل.

ما هو سجل المخاطر

يأتي التعريف الأكثر وضوحًا من قاموس مصطلحات NIST، والذي يعرفه بأنه "مستودع لمعلومات المخاطر يتضمن البيانات المفهومة حول المخاطر بمرور الوقت".

هناك تعريف ثانٍ في الصفحة نفسها يعد أكثر فائدة للعمل العملي. حيث يصفه بأنه سجل مركزي للمخاطر الحالية لنطاق أو مؤسسة معينة.

يوضح هذا التعريف بعد ذلك تمييزًا تغفله معظم القوالب. تشمل المخاطر الحالية كلاً من المخاطر التي تم قبولها وتلك التي تملك مسار تخفيف مخطط له.

هذه هي الفكرة الأساسية بأكملها. فسجل المخاطر ليس مجرد قائمة بالمشكلات التي تنتظر الحل، بل هو سجل للقرارات، وتعتبر عبارة "لقد نظرنا في هذا الأمر وقررنا التعايش معه" مدخلاً مشروعًا ومقبولاً.

هذا التمييز له نتيجة عملية هامة. فإذا كانت المخاطر المقبولة غائبة عن السجل، فلن يتمكن أحد من التمييز بين خطر تم تقييمه واستبعاده وخطر آخر لم يتم رصده على الإطلاق. وبعد مرور ستة أشهر، سيبدو هذان الخطران متطابقين تمامًا، في حين أن أحدهما فقط يمثل فشلاً في التقييم.

ملاحظة واحدة لتحديد النطاق قبل البدء في البناء. تقع مواد NIST في سياق فيدرالي وسياق الأمن السيبراني. ويشير تعريف القاموس الخاص بها إلى منشور OMB Circular A-11 لمعرفة المحتويات التي يجب أن يتضمنها السجل الفيدرالي. ما نوضحه هنا هو النسخة الإدارية التي تحتاجها معظم الفرق بالفعل، وليس سجلاً مبنيًا وفقًا لمعيار امتثال محدد. إذا كنت تقدم تقاريرك بموجب إطار عمل معين، فاستخدم قائمة الحقول الخاصة بهذا الإطار.

ومع ذلك، هناك فكرة واحدة من تلك الأدبيات يمكن الاستفادة منها. حيث تم بناء معيار NIST IR 8286 حول السجلات. ويوضح ملخصه "قيمة تجميع مقاييس المخاطر التي يتم التعامل معها عادةً على مستويات الأنظمة والمؤسسات الأدنى لرفعها إلى مستوى المؤسسة الأوسع".

هذا أمر يستحق التصميم من أجله منذ الإصدار الأول. فالسجل الذي تستند درجاته إلى أرقام قابلة للمقارنة يمكن دمجه مع سجل فريق آخر؛ بينما لا يمكن فعل ذلك مع سجل مبني على تقديرات شخصية خاصة.

ما تحتاجه قبل البدء

ثلاثة مدخلات، ونادرًا ما تجتمع معًا.

• قائمة المخاطر. كل ما يقلق فريقك بالفعل، بغض النظر عن مدى عدم رسمية تسجيله.
• بيانات التعرض للمخاطر. الإنفاق على الموردين، شروط العقود، عدد الموظفين حسب الموقع، جرد الأنظمة، سجل الحوادث.
• خريطة المسؤولين. من يمكنه اتخاذ القرار فعليًا، وليس من أبلغ عن المشكلة.

تحتاج أيضًا إلى رقم واحد متفق عليه مسبقًا. وهو حد التأثير الذي بناءً عليه يتم إدراج أي أمر في سجل المخاطر من الأساس. وبدونه، سيمتلئ الجدول بعناصر لن يتخذ أي شخص إجراءً بشأنها على الإطلاق.

حدد هذا الرقم بنفس الوحدات المستخدمة في بيانات التعرض للمخاطر الخاصة بك. فالحد الذي يتم التعبير عنه بالإنفاق السنوي يكون قابلاً للتحقق؛ أما الحد الذي يتم التعبير عنه بكلمة "مادي" أو "جوهري" فيعيد فتح الجدال عند كل مراجعة.

كيفية بناء سجل يدويًا

الخيار 1: جدول واحد في ورقة عمل

صف واحد لكل خطر، مع وجود الاحتمالية والتأثير كأعمدة. هذا هو المكان الذي يبدأ منه كل سجل تقريبًا، وهو كافٍ بالنسبة لفريق صغير.

التكلفة هنا هي الصيانة والمتابعة. حيث يتم كتابة كل صف يدويًا، ويصبح السجل قديمًا وغير محدث في الأسبوع التالي لورشة العمل التي أنتجته.

الخيار 2: تقييم المخاطر وفرزها

أضف تقييمًا للاحتمالية وآخر للتأثير، واضربهما معًا، ثم قم بالفرز. الآن أصبح للجدول ترتيب محدد، وهو أول ما يجعله قابلاً للاستخدام في الاجتماعات.

تكمن الصعوبة هنا في الاتساق. فشخصان يقومان بتقييم نفس الخطر بفارق شهر بينهما سيختلفان في التقييم، ولا يوجد شيء في ورقة العمل يمكنه اكتشاف هذا الاختلاف وتصحيحه.

الخيار 3: تأسيس التقييمات على بياناتك الخاصة

هذا هو الإصدار الذي يصمد أمام المناقشة والمساءلة. فبدلاً من تقييم مخاطر الموردين من الذاكرة، يمكنك سحب الأرقام الحقيقية. حيث يحدد الإنفاق السنوي، وفترة الإشعار بالعقد، وعدد الفرق التي تعتمد على هذا المورد تقييم التأثير الإجمالي فيما بينها.

تشير إرشادات Ready.gov التابعة لـ FEMA إلى نفس الاتجاه فيما يتعلق بالمخاطر المادية. حيث تطلب صفحة تقييم المخاطر الخاصة بها من الشركات "البحث عن نقاط الضعف أو الثغرات التي قد تجعل عملك أكثر عرضة للضرر الناجم عن خطر ما". وتشير إلى أن نقاط الضعف هذه "تساهم في شدة الضرر عند وقوع حادث".

وتصيغ الصفحة نفسها الاستجابة من منظور الاستثمار. حيث "يمكن تقليل التأثيرات من خلال الاستثمار في التخفيف من حدتها". وحينما يكون التأثير المحتمل كبيرًا، فإن بناء استراتيجية تخفيف "يجب أن يكون أولوية قصوى".

هذه هي الطريقة الصحيحة ولكنها بطيئة. فكل خطر يتطلب العودة إلى ملف تصدير مختلف.

كيفية إنشاء سجل مخاطر باستخدام الذكاء الاصطناعي

الخطوة 1: تحميل ملفات التصدير التي تصف تعرضك للمخاطر

افتح Powerdrill Bloom وقم بتحميل ما لديك: ملف تصدير الإنفاق على الموردين، قائمة العقود، جرد الأنظمة، وسجلات الحوادث السابقة. قم بتحميلها معًا بدلاً من تحميلها واحدًا تلو الآخر.

ثم صف نطاقك بلغة طبيعية. حدد أي جزء من العمل يغطيه السجل، وما هو حد التأثير الخاص بك، والمقياس الذي تستخدمه للتقييم.

الخطوة 2: اطلب أرقام التعرض لكل خطر، وليس التقييمات

اطلب جدولاً يحتوي على صف واحد لكل خطر محتمل، يحمل الأرقام التي يجب أن تحدد التقييم. مثل الإنفاق السنوي، وعدد الفرق المعتمدة، وفترة الإشعار، وعدد الحوادث خلال العام الماضي.

اطلب مصدر كل رقم. ستعرض المنصة إجابة موثقة توضح الصفحة والصف اللذين يقع خلفهما كل رقم. في سجل المخاطر، تمثل إمكانية التتبع هذه الفرق بين تقييم يمكنك الدفاع عنه وآخر لا يمكنك ذلك.

قم بإجراء التقييم بنفسك بناءً على تلك الأرقام. فالتقدير واتخاذ القرار هو الجزء الذي يجب أن يظل بشريًا.

الخطوة 3: أضف قراراتك وقم بالتصدير

لكل صف، سجل القرار: قبول، أو تخفيف، أو نقل، أو تجنب. وحينما يكون القرار هو التخفيف، أضف الإجراء المخطط له، والمسؤول عنه، وتاريخ المراجعة.

ثم قم بتصدير الجدول مفرزًا حسب التقييم. احتفظ بأرقام التعرض كأعمدة بدلاً من حذفها. فمراجعة الربع القادم ستبدأ من التحقق مما إذا كانت تلك الأرقام قد تغيرت.

إذا أصبح السجل مهمة دورية مطلوبة، فإن المهام المجدولة مدرجة في كل خطة اشتراك، مع توفر مهمة واحدة في الفئة المجانية (Free) و20 مهمة بدءًا من فئة Pro فما فوق. وتناسب التحديثات الربع سنوية معظم الفرق.

ما الذي ينتمي إلى كل صف

العمود	سبب استحقاقه لمكانه
وصف الخطر	يكتب كسبب ونتيجة، وليس كموضوع عام
الاحتمالية	نصف التقييم، وهو النصف الذي يخمنه الناس عادةً
التأثير	يجب أن يكون قابلاً للتتبع إلى رقم حقيقي
رقم التعرض للمخاطر	الرقم الذي استُمد منه تقييم التأثير
القرار	قبول، أو تخفيف، أو نقل، أو تجنب
التخفيف والمسؤول	لا يكون ذا معنى إلا بوجود شخص واحد محدد بالاسم
تاريخ المراجعة	بدونه، يصبح السجل قديمًا دون أن يشعر أحد

عمود رقم التعرض للمخاطر هو العمود الذي تغفله معظم القوالب. والاحتفاظ به يحول التقييم الشخصي الذاتي إلى شيء يمكن للمراجع التالي التحقق منه.

أفضل الممارسات والأخطاء الشائعة

سجل المخاطر المقبولة أيضًا. السجل الذي يحتوي فقط على العناصر المفتوحة هو مجرد قائمة مهام. المدخلات المقبولة هي ما يحميك عندما يتساءل شخص ما لاحقًا عما إذا كان أي شخص قد نظر في هذا الأمر.

اكتب المخاطر كسبب ونتيجة. "تركيز الموردين" هو مجرد موضوع عام. بينما "تعتمد عمليات الفوترة لدينا على مورد واحد بفترة إشعار مدتها 90 يومًا" هو خطر محدد يمكنك تقييمه.

اربط التأثير برقم. حتى الرقم التقريبي أفضل بكثير من تقييم عشوائي، وهو ما يجعل المراجعة التالية عملية مقارنة بدلاً من جدال جديد.

خصص مسؤولاً واحدًا لكل صف. تعني الملكية المشتركة للخطر بشكل مؤكد ألا أحد قد قام بمراجعته، ويجب أن يكون المسؤول هو الشخص الذي يملك صلاحية تفويض إجراء التخفيف.

حدد تواريخ مراجعة لكل صف، وليس لكل سجل. فمخاطر الموردين والمخاطر التنظيمية تتحرك وفق جداول زمنية مختلفة، والمسح الربع سنوي الموحد يتعامل معها وكأنها لا تختلف.

أبقِ السجل منفصلاً عن أداء الموردين. فهما يستخدمان ملفات تصدير متداخلة ويجيبان عن أسئلة مختلفة. تقييم المورد بناءً على التسليم والجودة ينتمي إلى دليلنا حول بطاقة أداء الموردين؛ بينما يتعلق السجل بما يحدث في حال فشل هذا المورد.

عرف مصطلحاتك مرة واحدة. يجب أن تعني فئات الاحتمالية ومستويات التأثير الشيء نفسه لكل من يقوم بالتقييم. هذا هو نفس المبدأ الموضح في دليلنا التفصيلي حول بناء قاموس البيانات. وإذا أصبح المخرج مستندًا دائمًا، فإن صفحة مولد تقارير الذكاء الاصطناعي توضح هذا الشكل.

خاتمة

يستحق سجل المخاطر مكانه من خلال تحويل القلق المشتت إلى سجل للقرارات، بما في ذلك قرار قبول أمر ما والمضي قدمًا. الجزء الصعب ليس أبدًا تصميم الجدول؛ بل هو تأسيس كل تقييم للتأثير على رقم حقيقي بدلاً من مجرد شعور.

ابنِ سجل المخاطر من ملفات التصدير التي تملكها بالفعل، وأبقِ أرقام التعرض مرئية بجانب التقييمات. خصص مسؤولاً وتاريخ مراجعة لكل صف.

هل تملك بالفعل ملفات تصدير الموردين والحوادث؟ جرب Powerdrill Bloom وابنِ الإصدار الأول هذا الأسبوع.

الأسئلة الشائعة

ما هو سجل المخاطر؟

يصف قاموس مصطلحات NIST السجل بأنه مستودع لمعلومات المخاطر يغطي ما هو مفهوم عن المخاطر بمرور الوقت. ومن الناحية العملية، هو جدول واحد يسجل كل خطر، وتقييمه، والمسؤول عنه، والقرار المتخذ بشأنه.

ما هي الأعمدة التي يجب أن يحتوي عليها سجل المخاطر؟

كحد أدنى: الخطر مكتوبًا كسبب ونتيجة، الاحتمالية، التأثير، والرقم الكامن وراء تقييم التأثير. ثم القرار، وإجراء التخفيف والمسؤول عنه، وتاريخ المراجعة.

هل يجب أن تظل المخاطر المقبولة في السجل؟

نعم. يتعامل تعريف NIST مع المخاطر الحالية باعتبارها تشمل كلاً من المخاطر المقبولة وتلك التي تملك مسار تخفيف مخطط له. وإزالة العناصر المقبولة يؤدي إلى فقدان سجل هذا القرار.

كم مرة يجب مراجعته؟

حدد تواريخ مراجعة لكل صف بدلاً من المستند بأكمله، لأن الفئات المختلفة من المخاطر تتغير وفق جداول زمنية مختلفة. ويناسب المسح الربع سنوي للصفوف ذات التقييمات الأعلى معظم الفرق.

هل هذا هو نفسه تقييم المخاطر؟

لا. يصف موقع Ready.gov تقييم المخاطر بأنه عملية تحديد المخاطر وتحليل ما يمكن أن يحدث. أما السجل فهو الأداة أو المستند الذي يسجل النتائج والقرارات.