ماتریس ریسک چیست؟ آموزش طراحی، محاسبه و کاربرد آن در حسابرسی داخلی
ماتریس ریسک ابزاری برای پاسخ به یک پرسش مهم مدیریتی است: کدام تهدید باید زودتر بررسی شود و برای مهار آن چه اقدامی لازم است؟ وقتی سازمان با ده‌ها ریسک مالی، عملیاتی یا قانونی روبه‌رو است، اتکا به برداشت شخصی مدیران می‌تواند اولویت‌ها را مخدوش کند. این ماتریس با کنار هم قرار دادن احتمال وقوع و شدت پیامد، جایگاه نسبی هر ریسک را نشان می‌دهد. شناخت اجزا و کاربرد حسابرسی این ابزار، تصمیم‌گیری کنترلی را دقیق‌تر می‌کند.
ماتریس ریسک چیست و چه کاربردی دارد؟
ماتریس ریسک جدولی معمولاً دوبعدی است که یک محور آن احتمال وقوع رویداد و محور دیگر شدت اثر آن را نمایش می‌دهد. محل تلاقی دو محور، سطح اولیه ریسک را مشخص می‌کند. با آن تهدیدها را اولویت‌بندی و منابع کنترلی را تخصیص می‌دهند. ماتریس جایگزین بررسی تخصصی نیست، اما مقایسه ریسک‌ها را آسان می‌کند.
پیش از ترسیم این جدول، باید روشن باشد مدیریت ریسک چیست؟ مدیریت ریسک فرایند شناسایی عدم‌قطعیت‌ها، ارزیابی پیامد، انتخاب پاسخ و پایش نتیجه است. ماتریس یکی از ابزارهای مرحله ارزیابی این فرایند به شمار می‌رود.
ماتریس ریسک چه نقشی در مدیریت و اولویت‌بندی ریسک‌ها دارد؟
فرض کنید یک شرکت هم‌زمان با احتمال قطع سامانه فروش و تأخیر در دریافت یک گزارش اداری مواجه است. اگر قطع سامانه زیان مالی جدی ایجاد کند، حتی با احتمال وقوع کمتر، ممکن است به اقدام سریع‌تری نیاز داشته باشد. ماتریس تفاوت این دو وضعیت را آشکار می‌کند و به مدیر اجازه می‌دهد دلیل اولویت‌گذاری را مستند کند. خروجی باید همراه با مسئول پیگیری و موعد بازبینی باشد.
اجزای ماتریس ریسک و نحوه محاسبه سطح ریسک
برای امتیازدهی معتبر باید مقیاس‌ها پیش از ارزیابی تعریف شوند. عبارت‌های «زیاد» و «کم» بدون معیار مشخص به ارزیابی‌های ناسازگار می‌انجامند. تعداد سطوح و مرزهای آن باید با فعالیت سازمان سازگار باشد.
احتمال وقوع و شدت اثر ریسک
احتمال وقوع بیان می‌کند یک رویداد در بازه زمانی مشخص تا چه اندازه محتمل است. برای نمونه، می‌توان امتیاز ۱ را به «بسیار بعید» و امتیاز ۵ را به «بسیار محتمل» اختصاص داد. داده حوادث گذشته و نظر کارشناسان به این برآورد اعتبار می‌دهد.
شدت اثر، پیامد وقوع رویداد را می‌سنجد. این پیامد ممکن است زیان مالی، توقف عملیات، نقض تعهد قانونی یا آسیب به اعتبار سازمان باشد. باید دامنه زیان یا مدت توقف مرتبط با هر سطح روشن باشد.
محاسبه امتیاز ریسک و تفسیر سطوح رنگی
در روش متداول، امتیاز ریسک = احتمال وقوع × شدت اثر است. اگر احتمال ۴ و اثر ۳ باشد، امتیاز به ۱۲ می‌رسد. در ماتریس ۵×۵ دامنه امتیازها ۱ تا ۲۵ است، اگرچه همه اعداد این بازه قابل حصول نیستند.
رنگ‌های سبز، زرد، نارنجی و قرمز برای تفکیک اولویت‌ها کاربرد دارند. آستانه رنگ‌ها عمومی نیست و باید براساس شرایط سازمان تعیین شود.
آموزش طراحی ماتریس ریسک ۵×۵ با مثال عملی
برای طراحی ماتریس، ابتدا دامنه را مشخص کنید. در فرایند پرداخت، رویدادهای پرخطر همان فرایند را با علت و پیامدشان ثبت کنید.
مراحل شناسایی، ارزیابی و اولویت‌بندی ریسک‌ها
۱. دامنه و افق زمانی را تعیین کنید. برای مثال، ریسک‌های پرداخت طی دوازده ماه آینده بررسی شوند.
۲. رویدادهای ریسکی را تعریف کنید. «پرداخت تکراری فاکتور» از «مشکل مالی» دقیق‌تر است.
۳. مقیاس احتمال و اثر را تنظیم کنید. برای هر امتیاز تعریف مشخص بنویسید.
۴. امتیاز ریسک ذاتی را ثبت کنید. در این مرحله فرض کنید کنترل‌های مشخص مورد ارزیابی هنوز اعمال نشده‌اند.
۵. کنترل‌ها را بسنجید و ریسک باقیمانده را تعیین کنید. اثر کنترل باید با شواهد سنجیده شود.
۶. اقدام و مسئول را مشخص کنید. اقدام، موعد و شاخص پایش تعیین کنید.
نمونه جدول ماتریس ریسک و محاسبه امتیاز
در جدول آموزشی زیر، ستون‌ها اثر و سطرها احتمال‌اند.
|
احتمال \ اثر |
۱ |
۲ |
۳ |
۴ |
۵ |
|
۵ |
۵ |
۱۰ |
۱۵ |
۲۰ |
۲۵ |
|
۴ |
۴ |
۸ |
۱۲ |
۱۶ |
۲۰ |
|
۳ |
۳ |
۶ |
۹ |
۱۲ |
۱۵ |
|
۲ |
۲ |
۴ |
۶ |
۸ |
۱۰ |
|
۱ |
۱ |
۲ |
۳ |
۴ |
۵ |
برای همین مثال می‌توان امتیازهای ۱ تا ۴ را کم، ۵ تا ۹ را متوسط، ۱۰ تا ۱۶ را زیاد و ۱۷ تا ۲۵ را بحرانی نام‌گذاری کرد. این مرزها فرضی‌اند.
فرض کنید احتمال پرداخت تکراری ۴ و شدت اثر آن ۴ ارزیابی شده است. امتیاز ۱۶ نشان می‌دهد موضوع در سطح زیاد قرار دارد. پس از اجرای کنترل خودکار شناسایی فاکتور تکراری، اگر شواهد کاهش احتمال به ۲ را تأیید کنند، امتیاز باقیمانده به ۸ می‌رسد. اثر همچنان ۴ است، زیرا کنترل یادشده بیشتر احتمال وقوع را کاهش می‌دهد تا زیان هر رخداد را.
ماتریس ریسک در حسابرسی داخلی چه کاربردی دارد؟
ماتریس ریسک در حسابرسی داخلی به تیم حسابرسی کمک می‌کند حوزه‌هایی را که بیشترین تهدید را برای تحقق اهداف سازمان دارند شناسایی کند. برای نمونه، ضعف کنترل دسترسی به سامانه مالی می‌تواند اولویت بالایی بگیرد. امتیاز باید همراه با سابقه تخلف و کیفیت شواهد تفسیر شود.
تفاوت ریسک ذاتی و ریسک باقیمانده در ارزیابی حسابرسی
ریسک ذاتی، سطح ریسک پیش از لحاظ کردن اثر کنترل‌های مرتبط است. ریسک باقیمانده، خطری است که پس از درنظرگرفتن کنترل‌ها باقی می‌ماند. اختلاف آن‌ها اثر کنترل‌ها را نشان می‌دهد.
برای مثال، دسترسی نامحدود کاربران به اطلاعات پرداخت می‌تواند ریسک ذاتی بالایی ایجاد کند. محدودسازی دسترسی و ثبت رویدادها احتمال سوءاستفاده را کاهش می‌دهد. حسابرس نباید صرف وجود دستورالعمل یا نرم‌افزار، اثربخشی کنترل را قطعی بداند. آزمون اجرای واقعی کنترل برای برآورد ریسک باقیمانده ضروری است.
نقش ماتریس ریسک در تعیین اولویت رسیدگی‌های حسابرسی
شناخت مراحل حسابرسی داخلی به درک بهتر نقش ماتریس ریسک در برنامه‌ریزی و اجرای رسیدگی‌های حسابرسی کمک می‌کند. در این فرایند، حسابرسان با ارزیابی احتمال وقوع و شدت پیامد ریسک‌ها، حوزه‌های حساس سازمان را شناسایی می‌کنند و منابع محدود حسابرسی را به بخش‌هایی اختصاص می‌دهند که نیاز بیشتری به بررسی دارند.
برای کاربرد عملی، می‌توان واحدها و فرایندها را در فهرست موضوعات قابل حسابرسی ثبت کرد و برای هرکدام ریسک‌های اصلی، کنترل‌های کلیدی و امتیاز باقیمانده را نوشت. مدیریت حسابرسی سپس رسیدگی‌ها را براساس سطح ریسک و اهمیت هر حوزه زمان‌بندی می‌کند. البته امتیاز بالا به‌خودی‌خود به معنای ضرورت آغاز فوری حسابرسی نیست، زیرا الزامات قانونی، اهداف سازمان و درخواست هیئت‌مدیره نیز در تعیین اولویت‌ها نقش دارند.
کاربرد ماتریس ریسک در مدیریت ریسک‌های مالی و مالیاتی
اشتباه در شناسایی درآمد یا تأخیر مالیاتی پیامدهای متفاوتی دارد. ماتریس به مدیر مالی کمک می‌کند احتمال هر رویداد و هزینه احتمالی آن را در یک چارچوب بررسی کند. موضوعاتی که در دوره مدیریت راهبردی مالیات مطرح می‌شوند نیز زمانی به تصمیم اجرایی نزدیک می‌شوند که برای تعهدات مالیاتی، مسئول کنترل و روش پایش تعیین شود.
نمونه ارزیابی ریسک مالیاتی و معاملات اشخاص وابسته
برای ارزیابی معاملات اشخاص وابسته، ابتدا باید دانست قیمت گذاری انتقالی چیست و چرا مستندسازی مبنای قیمت‌گذاری اهمیت دارد. قیمت‌گذاری انتقالی به تعیین قیمت معاملات بین اشخاص وابسته مربوط است و در معاملات مشمول مقررات مرتبط، نبود مستندات کافی می‌تواند ریسک اختلاف مالیاتی ایجاد کند.
فرض کنید واحد مالی احتمال ایراد به مستندات یک معامله را ۳ و شدت اثر احتمالی را ۵ در نظر گرفته است. امتیاز ۱۵ نشان‌دهنده اولویت زیاد در مدل نمونه است. تکمیل مستندات و بازبینی قراردادها پاسخ مناسبی است. مقررات همان معامله بر رنگ جدول تقدم دارند.
اشتباهات رایج در طراحی و تفسیر ماتریس ریسک
رایج‌ترین خطا، یکسان دانستن امتیاز ریسک با میزان واقعی خسارت است. دو رویداد با امتیاز ۱۰ ممکن است ویژگی‌های کاملاً متفاوتی داشته باشند: یکی با احتمال ۲ و اثر ۵، دیگری با احتمال ۵ و اثر ۲. مدیری که به عدد نهایی اکتفا می‌کند ممکن است تهدید کم‌احتمال اما فاجعه‌بار را نادیده بگیرد.
تعیین آستانه پذیرش ریسک و اولویت اقدامات کنترلی
پیش از تصمیم‌گیری باید سطح تاب‌آوری ریسک مشخص باشد. این سطح بیانگر میزان انحراف قابل‌تحمل از حدود تعیین‌شده برای یک هدف یا شاخص است. این مفهوم با اشتهای ریسک، یعنی مقدار و نوع ریسکی که سازمان مایل به پذیرش آن است، ارتباط دارد اما با آن یکسان نیست.
برای نمونه، سازمان ممکن است تأخیر اندک در یک فرایند پشتیبانی را بپذیرد، اما نقض الزامات قانونی را حتی با امتیاز متوسط نیازمند اقدام فوری بداند. در مباحث تصمیم‌گیری دوره MBA نیز چنین تمایزی برای تشخیص اولویت اقدام مدیریتی اهمیت دارد. انتخاب پاسخ می‌تواند کاهش، اجتناب، انتقال یا پذیرش آگاهانه ریسک باشد.
محدودیت امتیازدهی عددی و ضرورت بازبینی ریسک‌ها
امتیازدهی ترتیبی، دقت عددی قطعی ایجاد نمی‌کند. ضرب امتیازهای ۱ تا ۵ بیشتر ابزار دسته‌بندی است و نباید با محاسبه احتمال آماری یا زیان مورد انتظار اشتباه گرفته شود. داده ناکافی نیز قابلیت اتکا را کاهش می‌دهد.
با تغییر فناوری، قوانین، حجم معاملات یا کنترل‌های داخلی، رتبه ریسک ممکن است جابه‌جا شود. بهتر است هنگام تغییر مهم فرایند و در دوره‌های بازنگری مصوب، امتیازها با شواهد تازه اصلاح شوند. ماتریس ریسک وقتی ارزش اجرایی دارد که کنار هر تهدید، تصمیم، مسئول اقدام و وضعیت پیگیری ثبت شده باشد.
جمع‌بندی
ارزش واقعی ماتریس ریسک زمانی مشخص می‌شود که نتایج ارزیابی به تصمیم‌های اجرایی منجر شوند. سازمانی که ریسک‌های خود را شناسایی کرده، اما برای کنترل آن‌ها برنامه مشخصی ندارد، همچنان در معرض پیامدهای پیش‌بینی‌نشده قرار می‌گیرد. بنابراین، مدیران باید پس از ارزیابی، مشخص کنند کدام تهدیدها به اقدام فوری نیاز دارند، چه منابعی باید اختصاص یابد و مسئولیت پیگیری بر عهده چه کسی است.
در نهایت، موفقیت در مدیریت ریسک به تعداد ریسک‌های شناسایی‌شده وابسته نیست، بلکه به کیفیت تصمیم‌ها و اثربخشی اقدامات کنترلی بستگی دارد. معیار اصلی، کاهش آسیب‌پذیری سازمان و حفظ توان دستیابی به اهداف مالی و عملیاتی است.
سؤالات متداول
آیا می‌توان ماتریس ریسک را در اکسل طراحی کرد؟
بله، اکسل امکان ثبت ریسک‌ها، محاسبه خودکار امتیازها و نمایش سطوح خطر با رنگ‌بندی شرطی را فراهم می‌کند.
آیا همه واحدهای سازمان باید از یک ماتریس ریسک مشترک استفاده کنند؟
بهتر است چارچوب ارزیابی یکپارچه باشد، اما معیارهای شدت اثر و احتمال وقوع متناسب با فعالیت و شرایط هر واحد تنظیم شوند.
چه کسی مسئول تأیید ماتریس ریسک در سازمان است؟
این مسئولیت معمولاً بر عهده مدیریت ارشد یا کمیته ریسک است و ساختار حاکمیتی سازمان، مرجع تأیید را مشخص می‌کند.