סיכונים תפעוליים המדריך

מבוא - הגדרות

סיכון

סיכון הוא "הנזק הפוטנציאלי שעלול להיגרם כתוצאה מיישום תהליך נוכחי או אירוע עתידי" (מילון בבילון). או בהגדרה אחרת: "ההסתברות לנזק עתידי" (עפ"י ד. בירד ור. קוטרן מחברי הספר "מבוא לניתוח סיכונים" ISBN 0-86587-696-7).

ניתוח סיכונים (Risk Analysis)

אבחון הסיכונים הצפויים בפעילויות שונות תוך כדי שימוש בטכניקות שונות ליצירת פונקציות ניבוי הסתברויות שתסייענה בקבלת החלטות.

ניהול סיכונים (Risk Management)

מטרתו לבצע באופן מחזורי את התהליך של מציאת סיכונים, הערכת עוצמתם, תעדוף הטיפול בהם על פי העוצמה, הגדרת שיטת הטיפול בהם וההשקעה הנדרשת לשיטת טיפול זו, ובקרה על ביצוע פעילויות הטיפול. התהליך מתבצע ברציפות ובמחזוריות ונועד להפחית את השפעת הסיכונים על השגת יעדי הארגון או הפרויקט.

המונח ניהול סיכונים מתייחס לשלוש קבוצות של סיכונים:

 ·         סיכוני הפרויקט

 ·         סיכונים עסקיים

 ·         סיכונים תפעוליים

 

קיימת קבוצה נוספת של סיכונים בראשם סיכונים של איכות הסביבה (Environment) וסיכוני בטיחות (Safety). לסיכוני איכות הסביבה מוקדש תקן מיוחד בשם ISO18000 ולסיכוני בטיחות תקן ISO14000.

 

סיכוני הפרויקט

סיכון בתחום ניהול הפרויקטים מוגדר כנזק לפרויקט שנמדד במידת החריגה מלוחות הזמנים, העלויות או תכני הפרויקט. לפיכך, ההגדרה המותאמת לסיכון בפרויקט תהיה: האפשרות שתגרם חריגה משמעותית בלוחות הזמנים, בעלויות ובתכני הפרויקט, אם לא להפסקתו או כישלונו.

דוגמאות לסיכוני פרויקט:

 ·         אפיון חסר,

 ·         טכנולוגיה לא-מוכרת,

 ·         חוסר מומחה יישום,

 ·         כ"א לא מיומן,

 ·         ניהול לקוי,

 ·         חוסר בכלי פיתוח,

 ·         מתודולוגיה ונהלי עבודה לא מתאימים.

 

דיון נרחב בנושא סיכוני הפרויקט מצוי בקיט ניהול סיכונים בכרך נושאים תומכים.

סיכונים עסקיים

גורמים העשויים לשבש את פעילותו העסקית השוטפת של הארגון ואת יכולתו לקבל החלטות עסקיות נכונות. דוגמאות לסיכונים עסקיים:

 ·         פגיעה בהכנסות,

 ·         חוסר בקרה על הוצאות,

 ·         השקעות לא-מוגדרות,

 ·         חשיפה לתביעות,

 ·         תגובה איטית להתפתחויות בשוק,

 ·         אי-ניצול הזדמנויות עסקיות.

 

ניתוח סיכונים עסקיים משתלב בד"כ עם ניהול וניתוח תהליכים עסקיים BPM  (Business Process Management) וסיכונים תפעוליים (ראה בהמשך).

סיכונים תפעוליים

גורמים העשויים לשבש את פעילותן השוטפת של המערכות התפעוליות של הארגון, כגון:

 ·         שיבושים במערכות התשתית (כוח, מיזוג, מים, אינסטלציה, תחבורה וכו'),

 ·         מעידות ומעילות,

 ·         ליקויי אבטחת מידע,

 ·         שיבושים במערכות שיגור והפצה,

 ·         תקלות במערכות התקשורת והמחשוב,

 ·         בעיות כ"א וארגונומיה,

 ·         חומרים, כלים וכד'.

 

מטרה מרכזית של טיפול בסיכונים תפעוליים היא לוודא את רצף פעילותו העסקית של הארגון (Business continuity).

 

מחזור חיים של סיכון

ניהול סיכונים בארגון מתבצע במחזוריות הכוללת מספר שלבים:

 ·         איתור הסיכונים

 ·         ניתוח הסיכונים

 ·         הערכת הסיכונים

 ·         התמודדות עם הסיכונים

 ·         ניהול ובדיקת אפקטיביות

 ·         הערכה מחדש

 

תהליך ניהול הסיכונים עבור כל אחד מסוגי סיכונים שפורטו לעיל דומה ומתייחס לנקודות הבאות:

 ·         כיצד מאתרים סיכונים ומנסחים אותם בלשון ברורה ופשוטה? איך מבחינים בין סיכון, גורם סיכון והשפעת הסיכון?

 ·         כיצד להתמקד בסיכונים העיקריים? (לרוב, אין זה מעשי לטפל בכל הסיכונים בארגון)

 ·         איך מעריכים את חומרת הסיכונים ואת ההסתברות שאכן יתרחשו?

 ·         מתי סיכון מסוים הוא סימפטום של סיכון בסיסי או בעיה אחרת?

 ·         טיפול בסינדרום "מגדל קלפים"

 ·         מתי מומלץ לנקוט בפעולה מונעת (Preventive action) ולא לחכות להופעת הסיכון בפועל?

 ·         מתי ההיפך, לא כדאי להשקיע בפעולות מונעות ויש לנקוט באסטרטגיה של פעולה מתקנת (Corrective action), אם וכאשר הסיכון אכן מתגלה כממשי? אילו תוכניות מגירה כדאי, אם בכלל, להכין למקרה כזה?

 ·         מתי כדאי לשתף גורם חיצוני, גוף שלישי, בסיכון כמו חברת ביטוח?

 ·         איך לבדוק אפקטיביות של ההתמודדות עם הסיכון?

 ·         איך מזהים אשכול סיכונים (Risk Clusters),

 ·         אילו תלויות יש בין סיכונים וסיכונים סותרים?

 ·         כיצד בונים את עץ הסיכונים (FTA)?

איתור הסיכונים

תהליך איתור האיומים מתבצע בשיטת סיעור מוחות. לאחר מכן מבוצע ניתוח מובנה של אותם איומים בגישת Top-Down והתוצאות מתועדות בעץ ניתוח כשל  FTA (Fault Tree Analysis). יש הגורסים החלפת המילה Fault  ב- Risk ומכאן RTA במקום FTA.

הניתוח מתבצע בשיטה הבאה:

 ·         קביעת גורמי האיום

 ·         לכל גורם נקבעים גורמי משנה עד לזיהוי גורמי הכשל ברמה הנמוכה ביותר.

 ·         בין גורמי הכשל קיימים יחסים לוגיים של And ו- Or.

 ·         הניתוח מתואר בצורת תרשים עץ אירועים.

 

איור 1:  עץ אירועים בשיטת FTA

 

בתהליכים שזוהו כבעלי פוטנציאל גבוה לסיכון, בוצע ניתוח Bottom-Up, כאשר בכל שלב בתהליך זוהו סיכונים אפשריים בעזרת שיטת FMEA - Failure Mode and Effect Analysis. יש הגורסים החלפת המילה Failure  ב- Risk ומכאן RMEA במקום FMEA.

 

איור 2: ניתוח בשיטת FMEA

 

 ·         לאחר ניתוח האיום, מזוהים תהליכים קריטיים אשר משפיעים על אותם איומים.

 ·         עבור התהליכים העסקיים שאותרו מבוצע ניתוח מובנה של כל השלבים בתהליך והסיכונים הנובעים מהם (גישת Bottom-Up – ניתוח כשלים והשפעתם).

 ·         כלי זה משמש לניתוח תהליכי עבודה במטרה לזהות כשלים פוטנציאליים ולהעריך את השפעתם.

 ·         מתבצע ניתוח סיכונים ברמת מודול (Component) או שלב בתהליך, והערכת השפעתם ברמת המערכת או ברמת התהליך.

 ·         סיכום של סיכונים וההתמודדות מולם מתבצע בטופס מיוחד (ראה פרק תוצרים בהמשך).

 

בדרך זו מתאפשר זיהוי של הסיכונים המרכזיים בצורה אפקטיבית, תוך פרק זמן קצר, בעלות נמוכה יחסית לתועלת.

 

הערכת הסיכונים

שני גורמים מעורבים בהערכת סיכון:

 ·         חומרת הסיכון

 ·         הסתברות להתרחשות הסיכון

 

הערכת הסיכון מתבצעת גם לאחר ביצוע פעילות ההתמודדות, על מנת לבחון את אפקטיביות ההתמודדות.

חומרת הסיכון

חומרת הסיכון נקבעת לפי שיעור הנזק הפוטנציאלי שעלול להיגרם במידה והסיכון יתממש, כאשר את הנזק הפוטנציאלי ניתן לחלק לשני סוגים:

 ·         נזק תדמיתי

 ·         נזק כספי

 

במקצת מהארגונים לא ניתן לאחד בין שני סוגי הנזקים. באותם מקרים, להערכת חומרת הסיכון נבחר את הנזק הגבוה מבין השניים.

הסיכונים אשר חומרתם הינה גבוהה באופן קיצוני, יטופלו, גם אם ההסתברות להתרחשות הכשל הינה נמוכה. להלן דוגמא לטבלה להערכת חומרת הסיכון:

 

חומרה	תיאור הסיכון	נזק כספי	נזק תדמיתי
5		> 4,000$	נזק גבוה מאוד
4		8,001$ - 4,000$	נזק גבוה
3		200,001$ - 800,000$	נזק בינוני
2		50,001$ - 200,000$	נזק מתחת לבינוני
1		< 50,000$	נזק נמוך מאוד

טבלה 1: הערכת חומרת הסיכון

הסתברות להתרחשות הסיכון

הסתברות נקבעת לכל גורם סיכון שזוהה בניתוח FTA (ראה סעיף איתור סיכונים לעיל). הדיוק של הערכת ההסתברות תלוי בנתונים שקיימים בארגון או בספרות המקצועית, ובדרישות לדיוק ההערכה (לדוגמא, דרישות רגולציה). אם הדיוק בהערכה אינו אפשרי או אינו נדרש, ניתן להעריך את ההסתברות בקטגוריות לפי סקאלה  של 1 עד 5.

להלן טבלא להערכת הסתברות הסיכון:

 

הסתברות	הסתברות הכשל	תדירות בשגרה	וודאות להתרחשות במקרה חירום	קלות לביצוע פגיעה מכוונת
5	מאוד גבוהה. הכשל כמעט בלתי נמנע	פעם בחצי שנה	>90%	קל מאוד
4	גבוהה כשלים חוזרים	פעם בשנה	>70	קל
3	בינונית כשלים מקריים	פעם בשנתיים	>50	קלות בינונית
2	נמוכה יחסית מעט כשלים	פעם ב-5 שנים	>20	קשה
1	קלושה לא סביר שיקרה כשל	פעם ב-10 שנים או פחות	<20	קשה מאוד

טבלה 2: הערכת הסתברות הסיכון

חישוב רמת הסיכון

הערכת הסיכון מתבצעת על ידי בחינה של רמת הסיכון שלו (RPN – Risk Priority Number).

רמת הסיכון של גורם i מוגדרת כמכפלה של חומרת הסיכון Si וההסתברות להתרחשותו Pi.

תוחלת החומרה של הארגון/הפרויקט/המוצר תוגדר כסך המכפלות של רמות הסיכון שלו:

 

 

אם יש שני מצבי סיכון שונים, הנבדלים ביניהם בהסתברויות ובחומרות של כל תוצאה, שנוטל הסיכון יכול לבחור ביניהם – הרי הבחירה של המסתכן "צריכה" להיות באותו מצב שבו התוחלת נמוכה יותר.

הרחבה בנושא הסתברות

בניתוח FTA ניתן להעריך את ההסתברות של כל רמה בעץ על סמך הסתברות של הרמות הנמוכות כמוסבר להלן:

אופן חישוב הסתברות הסיכון על סמך הגורמים שלו

5		90%
4		70%
3		50%
2		20%
1		0%

 

המרת קטגוריות של ההסתברויות לאחוזים:

 ·         Pr(A or B)=Pr(A)+Pr(B)-Pr(A and B)

 ·         Pr(A and B)=Pr(A)* Pr(B) (עבור אירועים בלתי תלויים).

 

והמרה בחזרה לקטגוריות:

90%		5
70%		4
50%		3
20%		2
20%		1

 

על מנת שהחישוב יהיה נכון, יש להקפיד להגדיר את גורמי הסיכון בלתי תלויים אחד בשני (עד כמה שניתן).

במקרים בהם הערכת הסתברות של כל גורם סיכון מתבססת על הערכת מומחים, טעות מצטברת בהערכה עלולה לגרום לסטייה משמעותית בחישוב הסתברות כוללת של הסיכון. עבור מקרה זה יש לקבוע בקרות לאיכות ההערכה. אם מתקיים אחד מהתנאים הבאים, נדרש לבדוק שנית את נכונות הערכה של ההסתברויות:

 ·         אם ההסתברות של הסיכון הינה יותר מ-80%.

 ·         אם ההסתברות הכוללת של הסיכון לא תואמת את האינטואיציה המקצועית.

 

בבדיקה חוזרת של נכונות הערכה, מומלץ לבדוק:

 ·         האם  ההסתברויות של  כל הגורמים הוערכו נכון.

 ·         האם כל השערים הלוגיים בין גורמי הסיכון זוהו נכון.

 ·         האם זיהינו נכון את כל התלויות בין גורמי הסיכון (האם אירועים שנחשבו לבלתי תלויים הם אכן בלתי תלויים).

התמודדות עם הסיכונים

ההתמודדות עם הסיכונים המרכזיים כוללת:

 ·         פעולות מונעות Preventive Actions

פעולות שמטרתן להקטין מראש את רמת הסיכון (את הסבירות להתרחשות או את חומרת הסיכון, או שניהם). פעולות אלו יש לבצע בדרך כלל מוקדם ככל האפשר ובכל מקרה לפני התרחשות האירוע המתואר בסיכון.

 ·         תוכנית מגירה BCP

(Business Continuation Plan) תוכנית המשכיות עסקית. תהליך שארגון נדרש לעשות כדי להבטיח שפעילותו החיונית תמשיך תוך כדי ואחרי אסון.

 ·         פעולות מתקנות Corrective Actions

פעולות שיש לבצע לאחר התרחשות האירוע המתואר בסיכון כדי להתגבר על הקושי שנוצר.

 

ההתמודדות נבחנת לפי ההצלחה בהורדת רמת הסיכון, התשומות הנדרשות, הקושי ביישום וקריטריונים נוספים.

על הארגון לבנות תוכנית עבודה להתמודדות עם הסיכונים שתכלול:

 ·          לו"ז לביצוע פעילויות התמודדות

 ·         אחראים לביצוע

 ·         משאבים לביצוע פעילויות

 ·         אבני דרך בהן תתבצע בקרה על התקדמות הפעילויות השונות ועל האפקטיביות של אותן פעילויות.

ניהול ובדיקת אפקטיביות

ישנן מספר דרכים לסיוע בניהול תהליך הסיכונים ובדיקת האפקטיביות שלו.

מתודולוגיה

 ·         הגדרת מתודולוגיה לאינטגרציה בין הסיכונים לרוחב הארגון. המתודולוגיה  כוללת קביעת תלות או אי תלות בין הסיכונים השונים (טיפול בסיכונים אורתוגונליים, טיפול ב"סינדרום מגדל הקלפים").

 ·         קביעת מנגנון הסלמה להחלטות בנוגע לפעילויות לפי חשיבותן או דחיפותן וכתיבת נוהל בנושא .

כלי מעקב ממוכן

רצוי לשלב כלי למעקב אחר תוכניות ההתמודדות. בעזרת הכלי ימומשו הפונקציות הבאות:

 ·         איסוף נתוני הסיכונים וההתמודדות מולם.

 ·         ניתוח הנתונים  וגזירת דוחות לגבי סטאטוס ההתמודדות עם הסיכונים.

 

שילוב הכלי יכלול  הגדרת מתודולוגיה להזנת נתונים למערכת ולהזנת תוכניות ההתמודדות לכלי. כמו כן, יוגדר מנגנון דיווח לגבי סטאטוס ניהול הסיכונים ופעילויות ההתמודדות. תוגדר מטריצת מכותבים ותדירויות בה יפורטו סוגי דוחות השונים, דרגים בארגון ותדירויות משלוח עבור כל סוג דוח לכל דרג בארגון.

עריכת בקרה

יש לבצע בקרה על תוכנית ההתמודדות כדי לבחון את התקדמות הפעילות, אפקטיביות ההתמודדות, והאם יש צורך בשינוי תעדוף הפעילויות.

הבחינה תיעשה בהתאם לשינויים ברמת הסיכונים ודחיפות הטיפול בהם, כפי שיאותרו מעת לעת.  הבקרה תתבצע במספר נקודות זמן, לדוגמא ישיבות צוות לניהול סיכונים של הארגון, נקודות בקרה שהוגדרו לכל פעילות התמודדות, סיום כל פעילות התמודדות.

פונקצית ניהול סיכונים

מומלץ על הקמת פונקציה המסייעת בניהול סיכונים (RMO-Risk Manager Office), שתפקידה:

 ·         אינטגרציה של ניהול סיכונים לרוחב הארגון.

 ·         איסוף נתונים על התקדמות ביצוע תוכנית ההתמודדות ובדיקת איכותם.

 ·         טיוב הנתונים שנאספו.

 ·         תכנון והפקת דוחות סטאטוס ניהול סיכונים וסיוע בהבנת הדוחות.

 ·         סיוע בהגדרת פעילויות התמודדות.

 

תוצרים

סקר סיכונים תפעוליים

תבנית זו מהווה מסמך מסכם לתהליך של סקר סיכונים תפעוליים.

פרק מבוא

הפרק הראשון בתבנית הוא הקדמה ותיאור סביבת העבודה. פרק זה כולל את הנושאים הבאים:

 ·         מטרות הסקר

 ·         הסבר על המתודולוגיה שננקטה לניתוח הסיכונים

 ·         תיאור של שיטת העבודה המעשית: מקורות מידע, גורמים מעורבים, מבנה ארגוני של צוות העבודה וכד'

 ·         הסבר קצר על מבנה הדו"ח

 ·         הנושאים שטופלו בחלוקה לתחומים מקצועיים

 ·         רשימת הסיכונים העיקריים וההתמודדות מולם

 ·         צוות העבודה

 ·         תוכנית עבודה להמשך

פרקי פירוט

לאחר פרק זה, מוקצה פרק נפרד לכל תחום בארגון בו בוצע הסקר. מבנה הפרק הוא:

 ·         תיאור מילולי קצר של הנושאים שנותחו.

 ·         תיאור מפורט של כל איום/סיכון

 ·         נושאים שיטופלו בשלב הבא

 ·         תרשימי עץ ניתוח כשל (FTA)

 ·         טבלת סיכונים בעלי נזק פוטנציאלי קיצוני

 ·         טבלת ריכוז הסיכונים

טופס בקרה לסיכונים תפעוליים

בטופס זה מרכזים את הסיכונים שנמצאו ביחידה ארגונית או במערכת בשני פרקים.

 ·         פרק הקדמה המתאר את היחידה/מערכת בה נמצאו הסיכונים

 ·         פרק פירוט הסיכונים באמצעות טבלא. סרגל הטבלא מאפשר מעקב אחרי הסיכון עצמו ואופן ההתמודדות עימו. הסרגל כולל את השדות הבאים:

 ·         תיאור הסיכון, רמת הסיכון, תיאור הבקרות, והחלת הבקרות – גורם אחראי, לו"ז לסיום וסטטוס