נפרט את ארבעת הגישות ונביא דוגמאות מעולם ההייטק:
הימנעות מסיכון (Risk Avoidance)
המשמעות היא החלטה מודעת לא לעסוק בפעילות או בחשיפה שיוצרת את הסיכון מלכתחילה. בפשטות, להסיר את הסיכון על-ידי ויתור על מה שמזמן אותו. למשל, חברת תוכנה ששוקלת להיכנס לתחום פיננסי מאוד מוסדר עשויה לוותר על המהלך אם הסיכון הרגולטורי נראה גבוה מדי (דרישות רגולציה מחמירות שעלולות לשתק את החברה). דוגמה נוספת: סטארטאפ שמגלה במבדקי חדירה שמוצר הענן שלו פרוץ עלול להחליט להימנע משילוב פיצ’ר מסוים עד שיתוקן, כדי שלא לחשוף את המערכת להתקפה. הימנעות היא אסטרטגיה קיצונית יחסית – לא תמיד נרצה לזנוח הזדמנות עסקית בגלל סיכון – אך במקרים של סיכון בלתי נסבל או כזה שאינו שווה את התמורה, הימנעות יכולה להיות החלטה נבונה.
הפחתת סיכון (Risk Reduction/Mitigation)
כאן אנחנו מקבלים את הפעילות אך נוקטים צעדים להקטין את ההסתברות שהסיכון יתרחש או לצמצם את חומרת הנזק אם יתרחש. זו אסטרטגיה נפוצה מאוד, במיוחד בהייטק, כי לרוב לא נרצה לוותר על חדשנות אלא נעדיף לנהל את הסיכונים הנלווים. דוגמאות: כדי להפחית סיכון סייבר, חברה תשקיע בחומות אש, בהצפנת מידע, במערכי זיהוי פריצה ובתוכניות הדרכה לעובדים (להקטנת הסיכוי לפרצה בשל טעות אנוש). להפחתת סיכון כשל מוצר, אפשר לקבוע נהלי בקרת איכות ובדיקות מחמירות לפני שחרור גרסה ללקוח, וליישם תהליך CI/CD (אינטגרציה והפצה רציפה) שמזהה באגים מוקדם. גם פיזור פעילות יכול להיות הפחתת סיכון: למשל, לא להסתמך על ספק ענן אחד אלא לגבות נתונים בשירות ענן נוסף – כך שאם ספק אחד נופל, המערכת תמשיך לפעול (צמצום הנזק מהשבתה). הפחתה היא בעצם ניהול אקטיבי של הסיכון בתוך החברה באמצעות בקרות, נהלים, טכנולוגיות, או כל פעולה שמקטינה את פרופיל הסיכון לרמה סבירה.
העברת סיכון (Risk Transfer)
במקרה הזה, הסיכון אמנם קיים אבל הנטל הפיננסי שלו מועבר לצד שלישי. הכלי המוכר ביותר להעברת סיכון הוא ביטוח – החברה רוכשת פוליסה אצל מבטח שמתחייב לשלם את מרבית הנזק אם יתרחש אירוע מסוים. כך למשל, ניתן להעביר חלק ניכר מסיכון הסייבר לחברת ביטוח דרך רכישת ביטוח סייבר: אם תקרה מתקפת כופרה יקרה, הביטוח יכסה את עלות השיקום, התביעות וכו’. דוגמה נוספת: העברת סיכון דרך חוזה – חברה טכנולוגית יכולה, בחוזה עם ספק שירות, לקבוע סעיפי שיפוי (Indemnification) המחייבים את הספק לפצות אותה במקרה שנגרם נזק כתוצאה מכשל של הספק. למעשה, היא מגלגלת חלק מהסיכון אל הספק. באופן דומה, בעבודה עם לקוחות ניתן לעיתים להגביל אחריות חוזית כדי לצמצם את החשיפה לתביעות (גם זו צורה של העברת סיכון – ללקוח או לפחות הגבלת האחריות כלפיו). חשוב להבין: העברה אינה מבטלת את הסיכון עצמו, אלא רק מבטיחה שכאשר הוא יתממש, מישהו אחר ישתתף בנזק. לכן, העברה כמעט תמיד תלווה בעלות (פרמיית ביטוח, ויתור כספי כלשהו לספק, וכד’). החוכמה היא לזהות אילו סיכונים עדיף להעביר – לרוב כאלה שהנזק הפוטנציאלי שלהם גדול מכדי שהחברה תוכל לשאת בו לבדה, או סיכונים שקשה מאד להפחית מבפנים.
קבלת סיכון (Risk Acceptance)
אסטרטגיה זו משמעותה שהארגון מחליט לקבל על עצמו את הסיכון כמות שהוא, ולא להשקיע כרגע משאבים מיוחדים בהפחתה או העברה שלו. זה לא בהכרח "לא לעשות כלום" – ארגון שמקבל סיכון ימשיך לעקוב אחריו ובמידת הצורך יפעל אם הוא מתגבר – אך בשלב הנוכחי אין פעולה יזומה. קבלת סיכון הגיונית כאשר עלות הטיפול גבוהה מהתועלת, או כשהסיכון מוערך כנמוך מאוד. למשל, סטארטאפ קטן עשוי להחליט שלמרות שתמיד קיים סיכון של תביעה מצד עובד לשעבר, הוא לא ירכוש עדיין ביטוח אחריות מעבידים יקר, אלא יקבל את הסיכון כל עוד החברה קטנה (תוך תקווה ששום אירוע לא יתרחש בתקופה זו). חשוב לבצע קבלת סיכון באופן מודע ומושכל – לרשום פרוטוקול שמפרט מדוע התקבלה ההחלטה שהסיכון X הוא "נסבל" כרגע. כמו כן, יש לקבוע נקודת ביקורת: למשל, "אנו מקבלים את הסיכון הזה בשלב הנוכחי, אך נבחן אותו מחדש בעוד שנה או אם החברה תגדל מעל 50 עובדים". כך מבטיחים שסיכון שקיבלנו לא יישכח לנצח, אלא ייבחן מחדש בתדירות המתאימה.
בפועל, ארגון משתמש בכל ארבעת הסוגים בהתמודדות עם סל הסיכונים שלו. לכל סיכון אפשר וצריך להתאים את התגובה הנכונה על בסיס חומרתו, סבירותו, ותיאבון הסיכון הארגוני. למשל, סיכון רגולטורי קריטי יטופל אולי בשילוב של הפחתה (להתייעץ עם מומחי ציות ולהקים מנגנון מעקב רגולציה) והעברה (רכישת ביטוח אחריות מקצועית למקרה של קנס רגולטורי ותביעות). סיכון בינוני שאינו חורג מתיאבון הסיכון ייתכן שיתקבל כפי שהוא. כדאי גם לזכור שתגובות יכולות להשתלב: חלק מהסיכון מעבירים וחלק מפחיתים. גיוון כלי הניהול הוא חלק מאומנות ניהול הסיכונים. הדבר החשוב הוא שלכל סיכון משמעותי יהיה Owner – בעל אחריות בארגון שיודע איזו אסטרטגיה נבחרה לגביו, ומוודא שהיא מבוצעת.
אסטרטגיות הטיפול בסיכונים מתורגמות בסופו של דבר לתוכנית פעולה: משימות קונקרטיות, תאריכי יעד ואחראים, כדי להוציא לפועל את מה שהוחלט. אם בחרנו להפחית סיכון מסוים – יש לקבוע בדיוק אילו צעדי הפחתה ננקוט (למשל, "לפרוס עד סוף Q3 מערכת ניטור אנומליות ברשת"). אם החלטנו על העברה בביטוח – המשימה יכולה להיות "לקבל 3 הצעות מחברות ביטוח לביטוח סייבר עד סוף החודש". תוכנית הפעולה הזו משתלבת בתוכנית ניהול הסיכונים הכוללת של החברה, עליה נדבר במאמר הבא.