مجتبی رستمی نوروزآباد | مدیریت ریسک سازمانی

#جویای_کار - مدیر ریسک نهاد مالی یک مدیر با بیش از ۲۰ سال سابقه در تأمین سرمایه‌ها و صندوق‌های سرمایه‌گذاری، با تجربۀ مستقیم در حوزۀ مهندسی مالی و ریسک، آمادۀ بررسی فرصت‌های شغلی در سطح «مدیر ریسک» یا «رئیس واحد ریسک» در نهادهای مالی است. سوابق حرفه‌ای شامل: - مدیریت مهندسی مالی و ریسک در تأمین سرمایه - راهبری و نظارت بر صندوق‌های سرمایه‌گذاری - تسلط کامل بر مقررات سازمان بورس در حوزۀ صندوق‌های سرمایه‌گذاری - دارندۀ گواهی ERM و مدارک حرفه‌ای بازار سرمایه تمرکز تخصصی: ریسک‌های بازار، ریسک نقدشوندگی و الزامات نظارتی صندوق‌ها. در صورت نیاز به دریافت رزومۀ کامل، پیام خصوصی ارسال فرمایید. #پست_موقت @EnterpriseRiskManagement

ساختار کتاب چگونه طراحی شده است؟ این کتاب در ۵ بخش و ۲۱ فصل تنظیم شده و مسیر آن از مبانی نظری آغاز می‌شود و به طراحی یک مدل بومی برای ایران ختم می‌گردد. ▪️بخش اول: بنیان‌های فلسفی و فرهنگی GRC: از مفهوم حاکمیت، مدیریت ریسک و انطباق آغاز می‌کند و نشان می‌دهد فرهنگ سازمانی و «لحن در سطح عالی مدیریت» چگونه بر رفتار و تصمیم‌گیری اثر می‌گذارد. انطباق در این بخش از الزام صرف، به ابزار راهبردی تبدیل می‌شود. ▪️ بخش دوم: مدیریت ریسک و سازوکارهای کنترلی: به اخلاق، بحران‌های مالی، پیاده‌سازی ERM و نقش کنترل‌های داخلی می‌پردازد؛ با این تأکید که کنترل‌ها باید ابزار یادگیری و بهبود مستمر باشند، نه صرفاً چک‌لیست انطباق. ▪️ بخش سوم: هیئت‌مدیره و راهبری مبتنی بر ریسک: نقش هیئت‌مدیره در جهت‌دهی راهبردی، نظارت بر ریسک، نظام جبران خدمات، جانشین‌پروری و پیوند KRI با اهداف سازمان را بررسی می‌کند. ▪️ بخش چهارم: تکامل هیئت‌مدیره و آیندهٔ حکمرانی: به خطاهای رایج هیئت‌مدیره‌ها، تمرکز قدرت، تفکیک نقش‌ها و روندهای آیندهٔ حاکمیت شرکتی می‌پردازد. ▪️ بخش پنجم: معماری بومی GRC برای ایران: در این بخش، چارچوب‌های جهانی در بستر نهادی ایران بازآرایی شده و یک معماری سه‌بعدی برای حکمرانی تصمیم‌محور طراحی می‌شود؛ مدلی که شکاف میان الگوهای بین‌المللی و واقعیت سازمان‌های ایرانی را هدف قرار می‌دهد. 🔹 ویژگی‌های تکمیلی کتاب - واژه‌نامهٔ دو‌زبانۀ تخصصی - منشور پیشنهادی کمیتۀ مدیریت ریسک (بر پایۀ COSO ERM و RIMS RMM) - پانویس‌های تحلیلی برای خودبسندگی و ارجاع‌پذیری علمی این ساختار به‌گونه‌ای طراحی شده که خواننده از سطح «ترجمۀ مفاهیم» عبور کند و به سطح «طراحی و استقرار یک مدل بومی» برسد. @EnterpriseRiskManagement

در سال‌هایی که در حوزهٔ پیاده‌سازی مدیریت ریسک در نهادهای مالی و بنگاه‌های اقتصادی فعالیت کرده‌ام، بارها با پرسش‌هایی روبه‌رو شده‌ام که به‌ظاهر ساده‌اند، اما در عمل سرنوشت‌سازند: - جایگاه واقعی مدیر ریسک در سازمان کجاست؟ - نگاه هیئت‌مدیره به مدیریت ریسک باید چگونه باشد؟ - انطباق چه نسبتی با مدیریت ریسک دارد؟ - و استقلال واحد مدیریت ریسک دقیقاً به چه معناست؟ برای هر یک از این پرسش‌ها، پاسخ‌هایی مبتنی بر تجربهٔ میدانی، چارچوب‌های بین‌المللی و سال‌ها تعامل با هیئت‌مدیره‌ها و نهادهای ناظر داشته‌ام. اما تقریباً همیشه پس از این گفت‌وگوها، یک سؤال مشترک مطرح می‌شد: «مرجعی هست که بتوانیم به آن استناد کنیم؟». همین پرسش ساده به‌تدریج به یک دغدغه تبدیل شد. مسئله صرفاً پاسخ دادن نبود؛ مسئله، نبودِ یک منبع منسجم و قابل اتکا به زبان فارسی در حوزۀ حاکمیت، مدیریت ریسک و انطباق (GRC) بود. مفتخرم به اطلاع برسانم که کتاب حاکمیت، مدیریت ریسک و انطباق (از نظریه تا عمل) در پاسخ به همین دغدغه منتشر شده است. در این اثر، اندیشه‌های ریچارد ام. اشتاینبرگ، از چهره‌های اثرگذار در توسعهٔ چارچوب‌های COSO، ترجمه و در کنار آن، با نگاه مؤلفانه، در بستر نهادی ایران بازخوانی و تحلیل شده است. اثر حاضر تلاشی برای پیوند دادن تجربهٔ جهانی با واقعیت تصمیم‌گیری در سازمان‌های ایرانی است. این کتاب به‌تازگی توسط انتشارات کانون کارگزاران بورس و اوراق بهادار منتشر شده و نخستین اثر این انتشارات و در عین حال، نخستین کتاب جامع در ایران در حوزهٔ GRC است. افتخار دیگر در این اثر، پیشگفتاری است که نورمن مارکس برای آن نوشته است، تأکیدی بر این نکته که حاکمیت، مدیریت ریسک و انطباق زمانی معنا پیدا می‌کنند که در خدمت تحقق مسئولانهٔ اهداف سازمان باشند. امیدوارم از این پس، وقتی دربارهٔ استقلال مدیر ریسک، نقش هیئت‌مدیره در ریسک یا نسبت انطباق با مدیریت ریسک گفت‌وگو می‌کنیم، بتوانیم به مرجعی مشترک و مستند ارجاع دهیم، مرجعی که این گفت‌وگوها را از سلیقه‌محوری به چارچوب‌محوری ارتقا دهد. در فرآیند ترجمه و تألیف، کوشیده‌ام ضمن وفاداری به منطق اثر ریچارد ام. اشتاینبرگ، مفاهیم تخصصی GRC با زبانی روان و منطبق با فضای نهادی ایران بازآفرینی شود. با این حال، هر اثر علمی ممکن است از کاستی خالی نباشد. اگر نکته یا پیشنهادی برای بهبود این اثر داشتید، خوشحال و سپاسگزار خواهم بود از طریق ایمیل m.rostaminoroozabad@yahoo.com با من در میان بگذارید تا در چاپ‌های بعدی مورد توجه قرار گیرد. در پایان، از مدیرمسئول محترم انتشارات، جناب آقای دکتر نیلچی، و نیز کانون کارگزاران بورس و اوراق بهادار برای همراهی حرفه‌ای و حمایت در انتشار این اثر صمیمانه سپاسگزارم. @EnterpriseRiskManagement

#ریسک_سیاسی در روزهایی که فضای سیاسی منطقه و تنش میان ایران و آمریکا در مرکز توجه قرار گرفته، یک پرسش طبیعی برای بسیاری از افراد (چه فعالان بازارهای مالی و چه مردم عادی) شکل می‌گیرد: واقعاً سطح ریسک سیاسی چقدر بالاست؟ پاسخ این پرسش، برخلاف تصور رایج، الزاماً در مرور مداوم اخبار و تحلیل‌های رسانه‌ای پیدا نمی‌شود. تجربه نشان داده است که در چنین مقاطعی، اخبار بیش از آنکه «اطلاع» بدهند، «اضطراب» تولید می‌کنند؛ آن هم با روایت‌هایی که گاه یکدیگر را به‌طور کامل نقض می‌کنند. در مدیریت ریسک، ما یاد گرفته‌ایم که برای برآورد ریسک‌های کلان، به‌ویژه ریسک سیاسی، به جای تفسیر روایت‌ها، به رفتار بازارها نگاه کنیم. بازارها نه موضع سیاسی دارند، نه ملاحظات رسانه‌ای. منظور این است که آن‌ها ریسک را با پول واقعی قیمت‌گذاری می‌کنند و دقیقاً به همین دلیل، قیمت‌های جهانی کامودیتی‌ها یکی از شفاف‌ترین آینه‌های ریسک سیاسی در شرایط فعلی هستند. وقتی تنش ژئوپلیتیک برای بازیگران بزرگ اقتصادی «جدی» می‌شود، این جدیت خیلی زود در قیمت کامودیتی‌ها مانند نفت، طلا، هزینه‌های حمل‌ونقل و بیمه‌های مرتبط با ریسک‌های جنگی منعکس می‌شود. این واکنش‌ها حاصل تحلیل هزاران بازیگر حرفه‌ای است که سرمایه‌های بزرگ خود را در معرض ریسک قرار داده‌اند، نه برداشت‌های احساسی یا تیترهای لحظه‌ای. به زبان ساده‌تر: ریسک سیاسی قبل از آنکه در خبرها افشا شود، در قیمت‌ها خودش را نشان می‌دهد. برای کسی که می‌خواهد با نگاهی حرفه‌ای و آرام وضعیت را درک کند، یک توصیۀ ساده وجود دارد: کمتر درگیر اخبار متناقض شوید، و بیشتر به سیگنال‌هایی توجه کنید که بازارهای جهانی ارسال می‌کنند. این رویکرد، نه خوش‌بینانه است و نه بدبینانه؛ صرفاً واقع‌گرایانه است و دقیقاً همان چیزی است که مدیریت ریسک از ما انتظار دارد. @EnterpriseRiskManagement

❌ کارگاه آموزشی حاکمیت، مدیریت ریسک و انطباق (GRC) ✔️ در دنیای پرشتاب امروز، موفقیت سازمان‌ها وابسته به بهره‌گیری یکپارچه از حاکمیت، مدیریت ریسک و انطباق (GRC) است. این چارچوب ضمن کاهش خطا و بحران، شفافیت و اعتماد ذی‌نفعان را افزایش می‌دهد. ✔️ این کارگاه آموزشی بر اساس استانداردهای COSO ERM، ISO 31000 و ISO 37301 طراحی شده و ابزارهای عملی مانند ثبت ریسک و نقشه‌ راه ۹۰ روزه ارائه می‌کند تا شرکت‌کنندگان بتوانند بلافاصله در سازمان خود اجرا کنند. ⚠️ برخی از سرفصل‌های این کارگاه آموزشی عبارتند از: ⬅️ مقدمه و تعاریف GRC ⬅️ مروری بر هزینه‌های نمایندگی و ضرورت حاکمیت شرکتی ⬅️ مدل سه خط دفاعی (IIA 2020) و چهار خط دفاعی ⬅️ الزامات سازمان بورس و آیین‌نامۀ جدید حاکمیت شرکتی ⬅️ مرور نمونه ساختارهای سازمانی شرکت‌های پذیرفته‌شده در بورس ⬅️ نقشۀ ریسک و داشبورد ریسک ⬅️ اشتهای ریسک و Risk Appetite Statement (RAS) ⬅️ منشور کمیتۀ مدیریت ریسک (نمونۀ سازمان بورس + نسخۀ پیشنهادی) ⬅️ نظام‌نامۀ ریسک و نحوۀ تدوین آن ⬅️ گزارش‌دهی به هیئت‌مدیره (Board Risk Pack) ⬅️ و.... 💠 لینک ثبت‌نام: 🌐 https://ifc.ir/9341 🇮🇷🇮🇷🇮🇷مـهـارت، سـرمایه‌گـذاری کـنید

لطفا در این نظرسنجی مشارکت نمایید.

مدیریت ریسک؛ ستون گمشدهٔ تدوین استراتژی در ماه‌های اخیر، بارها در کانال دربارهٔ نقش مدیریت ریسک سازمانی در تدوین و اجرای استراتژی صحبت کرده‌ام، از تعریف بنیادین ERM و سؤالات کلیدی هیئت‌مدیره، تا چالش‌های پیاده‌سازی و اهمیت قرار گرفتن ریسک در قلب تصمیم‌سازی استراتژیک. این مجموعه پست‌ها یک پیام روشن را آشکار می‌کنند: مدیریت ریسک نه مرحله‌ای بعد از استراتژی، بلکه بخشی از خود فرایند استراتژی است. اما هنوز در بسیاری از سازمان‌ها این سوءبرداشت ریشه‌دار وجود دارد که مشاور استراتژی فقط «مسیر» ارائه می‌کند و تحلیل ریسک بر عهدۀ دیگران است. این نگاه، در ادبیات جهانی جایی ندارد. نه در COSO، نه در ISO و نه در تجربۀ شرکت‌های بزرگ دنیا. در سطح بین‌المللی، هیچ استراتژی معتبری بدون تحلیل ریسک تصویب نمی‌شود. در ایران، بی‌توجهی به این اصل، هزینه‌های بزرگی ایجاد کرده است: استراتژی‌هایی که روی کاغذ جذاب‌اند، اما به‌محض ورود به واقعیت، زیر فشار ریسک‌های نادیده‌گرفته‌شده فرو می‌ریزند و سازمان مجبور می‌شود ماه‌ها زمان و میلیاردها تومان منابع را صرف جبران تصمیم‌های اشتباه کند. لذا: استراتژی بدون تحلیل ریسک، تصمیم نیست؛ یک فرضیهٔ پرهزینه است. پست‌هایی که در ادامه لینک شده، مجموعه‌ای از شواهد و نمونه‌های آموزشی هستند که نشان می‌دهند چرا مدیریت ریسک باید در همان نقطۀ طراحی استراتژی حضور داشته باشد، نه بعد از شکست آن. برای سازمان‌هایی که به‌دنبال حکمرانی حرفه‌ای، تصمیم‌گیری دقیق و اجرای بی‌نقص هستند، مرور این مجموعه ضروری است: https://t.me/EnterpriseRiskManagement/171 https://t.me/EnterpriseRiskManagement/465 https://t.me/EnterpriseRiskManagement/484 https://t.me/EnterpriseRiskManagement/558 https://t.me/EnterpriseRiskManagement/573 https://t.me/EnterpriseRiskManagement/572 https://t.me/EnterpriseRiskManagement/626 https://t.me/EnterpriseRiskManagement/627 https://t.me/EnterpriseRiskManagement/628 https://t.me/EnterpriseRiskManagement/685 @EnterpriseRiskManagement

خلاصهٔ مقالهٔ «A Framework for Board Oversight of Enterprise Risk» 👆 مقالهٔ منتشرشده توسط Risk Governance Institute یکی از معتبرترین اسناد دربارۀ این است که هیئت‌مدیره چگونه باید بر مدیریت ریسک سازمانی (ERM) نظارت کند و چه مسئولیت‌هایی را نمی‌تواند به مدیرعامل واگذار کند. این خلاصه، مهم‌ترین محورها را برای استفادهٔ حرفه‌ای و آموزشی ارائه می‌کند و شامل موارد زیر است: 1- ریسک باید در سطح «کل سازمان» دیده شود: مقاله تأکید می‌کند که وظیفۀ هیئت‌مدیره نظارت بر ریسک‌هایی است که می‌توانند: اهداف کلان سازمان را تهدید کنند، استراتژی را بی‌اثر کنند، یا به بحران‌های سیستمی منجر شوند. تمرکز صرف بر ریسک‌های عملیاتی یا گزارش‌های دوره‌ای کافی نیست. 2- «اشتهای ریسک» مسئولیت مستقیم هیئت‌مدیره است: بدون تعیین Risk Appetite، مدیریت ریسک تبدیل به تولید گزارش می‌شود، نه ابزار تصمیم‌گیری. هیئت‌مدیره باید مشخص کند: چه مقدار ریسک پذیرفتنی است؟ چه سطحی غیرقابل قبول است؟ چه زمانی مدیریت باید تصمیم را متوقف کند؟ 3- ورود ریسک به تصمیم‌گیری استراتژیک: مقاله تأکید دارد که ERM نباید یک فرآیند اداری یا گزارشی باشد. باید در سه نقطه حضور مؤثر داشته باشد: هنگام تدوین استراتژی، پیش از تصویب آن، و هنگام پایش تحقق اهداف. اگر ریسک در این نقاط نباشد، هیئت‌مدیره تصویری ناقص از آینده دریافت می‌کند. 4- ساختار حکمرانی ریسک باید شفاف باشد: در مقاله یک مدل پیشنهادی ارائه شده برای: نقش هیئت‌مدیره، نقش کمیتهٔ مدیریت ریسک، رابطۀ هیئت‌مدیره با CRO، انواع گزارش‌هایی که باید دریافت شود. هدف این است: ریسک نباید در لایه‌های مدیریت گم شود؛ باید به هیئت‌مدیره برسد. 5- سؤال‌های کلیدی که هیئت‌مدیره باید بپرسد: مقاله یک مجموعه سؤال‌های استاندارد ارائه می‌دهد، از جمله: مهم‌ترین ریسک‌های تهدیدکنندۀ اهداف ما چیست؟ چه ریسک‌هایی می‌توانند استراتژی ما را متوقف کنند؟ آیا ریسک‌های نوظهور پایش می‌شوند؟ آیا فرهنگ ریسک عملیاتی است یا صرفاً نمایشی؟ گزارش‌های ریسک چه تصویری از آینده ارائه می‌دهند؟ هیئت‌مدیره‌ای که این سؤال‌ها را نپرسد، نقش نظارتی خود را عملی نکرده است. 6- ارزیابی سالانهٔ بلوغ مدیریت ریسک: در پایان مقاله تأکید می‌شود که هیئت‌مدیره باید هر سال عملکرد ERM را با معیارهای مشخص ارزیابی کند. این ارزیابی باید: دوره‌ای، مستند و نتیجه‌محور باشد نه تشریفاتی. جمع‌بندی: این مقاله یک پیام کلیدی دارد: نظارت هیئت‌مدیره بر ریسک، بخشی از هستهٔ حکمرانی است؛ نه یک مرحلهٔ تشریفاتی. اگر اشتهای ریسک تعیین نشود، اگر ریسک در استراتژی ادغام نشود، و اگر ساختار گزارش‌دهی شفاف نباشد، مدیریت ریسک در سازمان فقط «ظاهر» خواهد داشت، نه «کارکرد». @EnterpriseRiskManagement

یک روش ساده‌تر و مؤثرتر برای ارزیابی ریسک درس‌هایی از یک Thought Paper مهم از مرکز ERM دانشگاه NC State (خلاصه و تحلیل از: A Simpler Way to Assess Risks? نوشتهٔ Bonnie Hancock) در بسیاری از سازمان‌ها، ارزیابی ریسک به مدل مشهور احتمال × اثر خلاصه می‌شود. فرایندی که قرار است «علمی» و «دقیق» باشد اما در عمل اغلب تبدیل می‌شود به انبوهی از عددهای ۳ از ۵؛ یعنی همان نقطه‌ای که ذهن مدیران وقتی مطمئن نیستند به آن پناه می‌برد. نتیجه؟ ریسک‌ها به‌جای تفکیک، در یک تودهٔ یکنواخت جمع می‌شوند. فاصلهٔ ریسک ۵ و ۱۵ ممکن است فقط یک واحد باشد. این همان جایی است که مدیریت ریسک از «تصمیم‌سازی» تبدیل می‌شود به «مستندسازی». مقالهٔ NC State یک پیشنهاد عملی و هوشمندانه دارد که من به‌عنوان کسی که سال‌ها با شرکت‌های ایرانی کار کرده‌ام، همیشه از آن دفاع کرده‌ام: Forced Ranking یا رتبه‌بندی اجباری ریسک‌ها. چرا رتبه‌بندی اجباری کار می‌کند؟ نویسنده می‌گوید به‌جای اینکه مدیران ۴۰ ریسک را تک‌تک از ۱ تا ۵ امتیاز بدهند، از آنها بخواهید فقط ۱۰ ریسک مهم را انتخاب و رتبه‌بندی کنند: - ریسک اول: ۱۰ امتیاز - ریسک دوم: ۹ امتیاز … … … - ریسک دهم: ۱ امتیاز در مرحلهٔ بعد امتیازها جمع می‌شود و فهرست نهایی ریسک‌های سازمان شکل می‌گیرد. مزایای کلیدی این روش: ۱- سرعت بالا: مدیران بدون نیاز به بحث‌های بی‌پایان امتیازی، ۱۰ ریسک را انتخاب می‌کنند. ۲- شفافیت واقع: اختلاف‌نظرها «صاف» نمی‌شود و به چشم می‌آید. ۳- جداسازی معنادار ریسک‌ها: فاصلهٔ ریسک‌ها به‌جای ۸،۹،۱۰ تبدیل می‌شود به ۲۳، ۳۴، ۵۵، ۶۱. ۴- شروع گفتگوهای جدی مدیریت: چرا برخی مدیران یک ریسک را ۳ و برخی ۸ می‌دانند؟ چه دانشی مخفی مانده؟ این روش دقیقاً چیزی است که در سازمان‌های ایرانی بیش از هرچیز نیاز داریم: ساده‌سازیِ هوشمند، نه ساده‌سازیِ سطحی. مثال واقعی مقاله (و چرا مهم است) در مثال مقاله، ۹ مدیر ارشد ۲۳ ریسک را رتبه‌بندی می‌کنند. نتایج نشان می‌دهد: سه ریسک اصلاً توسط حتی یک مدیر هم وارد لیست ۱۰تایی نشده‌اند. در رویکرد سنتی «احتمال × اثر» این تفاوت‌ها در میانگین‌ها محو می‌شد. اما اینجا اختلاف‌نظرها «قابل دیدن» و «قابل بحث» می‌شوند. پیام این مقاله برای مدیران و متخصصان ایرانی سال‌ها در پروژه‌های متعدد دیده‌ام که سازمان‌ها درگیر «زیباشناسیِ ماتریس ریسک» هستند، ولی تصمیم واقعی جایی اتفاق می‌افتد که بتوانیم: - ریسک‌های مهم را جدا کنیم - اختلاف‌نظر مدیران را ببینیم - گفتگوی واقعی دربارهٔ ریسک شکل دهیم روش NC State یک ابزار ساده اما قدرتمند است برای حرکت از «فرم» به «فهم». این مقاله یک یادآوری جدی است: گاهی ساده‌ترین روش‌ها قوی‌ترین اثر را دارند، اگر بخشی از یک رویکرد بالغ در مدیریت ریسک باشند. @EnterpriseRiskManagement

تست

⚠️ 🛎️ سامانۀ مدیریت ریسک، خریدنی نیست؛ ساختنی است: حقیقتی که خیلی‌ها ترجیح می‌دهند نبینند مدتی است در مجامع عمومی شرکت‌های ایرانی، یک جمله تکراری می‌شنوم: «برنامهٔ سال آیندهٔ ما خرید سامانه مدیریت ریسک است.» این جمله، ساده به‌نظر می‌رسد؛ اما پشتش یک برداشت اشتباه عمیق از مدیریت ریسک قرار دارد. در هیچ‌جای دنیا، از بانک‌های بزرگ گرفته تا شرکت‌های انرژی، بیمه، حمل‌ونقل یا فناوری، هیچ‌کس «سامانهٔ مدیریت ریسک» نمی‌خرد. اصلاً چیزی به این اسم وجود خارجی ندارد. آنچه وجود دارد، مدیریت ریسک است: فرایند، نقش، مدل تصمیم‌گیری، شاخص، گزارش‌گری، تحلیل، حاکمیت، فرهنگ، و ارتباطات. و تنها پس از اینکه این‌ها شکل گرفت، یک GRC platform یا Risk toolset به‌عنوان پشتیبان انتخاب می‌شود. اما در ایران یک «چیز» را به نام «سامانه مدیریت ریسک» می‌فروشند که معمولاً ترکیبی است از: ❌ چند فرم ❌ چند نمودار ❌ چند جدول ❌ یک صفحه داشبورد و مدیرعامل فکر می‌کند: «مدیریت ریسک را خریده‌ام.» این در دنیا شوخی محسوب می‌شود. واقعیت ساده‌تر از آن چیزی است که تصور می‌شود: سامانه نتیجه است، نه نقطۀ شروع. سامانه چیزی را خودکار می‌کند که قبلاً وجود داشته باشد. اگر فرایند، نقش، فرهنگ و داده‌ای نیست، سامانه فقط «ظاهر دیجیتال» یک خلا است. با این حال، در مجمع عمومی مدیرعامل با اعتماد‌به‌نفس می‌گوید: «برای سال آینده سامانهٔ مدیریت ریسک می‌خریم.» و عجیب‌تر اینکه نه ناظر مجمع، نه حسابرس مستقل، و نه حتی بخشی از هیئت‌مدیره می‌پرسد: «سامانه قرار است روی چه چیزی بنشیند؟ فرایندش کجاست؟ مدل تصمیم‌گیری‌اش چیست؟ این سامانه قرار است کدام ریسک را بشناسد که خودمان هنوز تعریفش نکرده‌ایم؟» جمع‌بندی: اگر شرکتی فکر می‌کند «سامانهٔ مدیریت ریسک» می‌خرد و مشکلش حل می‌شود، واقعیت این است که هنوز برای استقرار واقعی مدیریت ریسک آماده نیست. چون کسی که مدیریت ریسک را بشناسد، می‌داند ابزار نمی‌خرد؛ ابتدا توانایی می‌سازد، بعد ابزار انتخاب می‌کند. در دنیا، چیزی که خریدنی باشد نامش Risk Management System نیست؛ نامش GRC platform یا Risk toolset است. و حتی آن هم، بدون فرایند درست، ارزش چندانی ندارد. مدیریت ریسک با نرم‌افزار شروع نمی‌شود؛ با بلوغ فکری، انضباط فرایندی و شفافیت تصمیم‌گیری شروع می‌شود. @EnterpriseRiskManagement