MedaGRC
هیچ سازمانی نمی‌تواند همه ریسک‌ها را حذف کند. حتی اگر بودجه نامحدود باشد، کنترل بیشتر همیشه به معنی تصمیم بهتر نیست. Risk Appetite یا اشتهای ریسک کمک می‌کند مدیریت مشخص کند برای رسیدن به اهداف، چه میزان و چه نوع ریسکی را حاضر است بپذیرد.
Risk Appetite یعنی چه؟
اشتهای ریسک بیانگر سطح و نوع ریسکی است که سازمان در مسیر تحقق اهداف خود مایل به پذیرش آن است. این مفهوم باید به تصمیم واقعی وصل شود؛ نه اینکه فقط در یک Policy نوشته شود.
Appetite، Tolerance و Capacity را قاطی نکنیم
| مفهوم | معنای ساده | نمونه |
|---|---|---|
| Risk Appetite | میزان ریسکی که سازمان مایل است بپذیرد | تحمل محدود برای اختلال سرویس غیرحیاتی |
| Risk Tolerance | دامنه انحراف قابل قبول پیرامون هدف | حداکثر زمان قطعی قابل تحمل برای یک خدمت |
| Risk Capacity | حدی که عبور از آن می‌تواند موجودیت یا توان سازمان را تهدید کند | زیان یا توقفی که سازمان عملاً توان جذب آن را ندارد |
Risk Appetite را چگونه قابل استفاده کنیم؟
به‌جای جمله‌های کلی مثل «سازمان ریسک امنیتی را نمی‌پذیرد»، آستانه‌های تصمیم بسازید. برای مثال، ریسک‌های باقیمانده سطح بحرانی در حوزه داده حساس نیازمند تصویب مدیریت ارشد باشند و برخی ریسک‌های پایین توسط Owner عملیاتی پذیرفته شوند.
سناریو: سرویس جدید با سرعت ورود به بازار
کسب‌وکار می‌خواهد سرویس جدیدی سریع راه‌اندازی شود. تیم امنیت چند ریسک متوسط پیدا کرده است. اگر Appetite روشن نباشد، بحث به تقابل «امنیت در برابر کسب‌وکار» تبدیل می‌شود. اگر حدود تصمیم از قبل مشخص باشند، مدیریت می‌تواند آگاهانه تعیین کند کدام ریسک با کنترل موقت پذیرفته شود و کدام مورد مانع Go-Live است.
اشتها برای همه حوزه‌ها یکسان نیست
سازمان ممکن است برای نوآوری محصول اشتهای ریسک بالاتری داشته باشد، اما برای افشای داده شخصی یا دسترسی ممتاز Appetite بسیار پایینی تعیین کند. به همین دلیل یک عدد واحد برای کل سازمان معمولاً کافی نیست.
Risk Appetite و MedaGRC
در مدل GRC، Appetite زمانی مفید است که ریسک باقیمانده به مسیر تصمیم متصل شود. مدیریت ریسک MedaGRC بستری برای نگهداری Owner، ارزیابی و پاسخ ریسک فراهم می‌کند تا تصمیم پذیرش صرفاً یک ایمیل گمشده نباشد.
سه سؤال برای بازبینی Appetite
- آیا آستانه‌ها به اهداف و خدمات واقعی وصل‌اند؟
- آیا مدیران می‌دانند چه سطحی از ریسک نیاز به Escalation دارد؟
- آیا رخدادها و تغییرات کسب‌وکار نشان می‌دهند Appetite باید بازبینی شود؟
سخن پایانی
Risk Appetite ابزار شجاعانه تصمیم‌گیری است؛ چون سازمان را مجبور می‌کند بگوید چه ریسکی را آگاهانه می‌پذیرد و چه ریسکی را نه. وقتی این مرز روشن باشد، مدیریت ریسک از مسابقه کم‌کردن عددها به گفت‌وگوی واقعی درباره اهداف تبدیل می‌شود.
