כיצד מעריכים סיכון?
הדרך הנפוצה היא לשקלל שני פרמטרים עיקריים לכל אירוע סיכון:
- הסתברות התרחשות – מה הסיכוי או התדירות שהסיכון יתממש? (למשל: אחת לשנה, 5% סיכוי בשנה, או דירוג איכותי כמו "נמוך/בינוני/גבוה").
- עוצמת ההשפעה – אם הסיכון יתממש, כמה חמור הנזק לחברה? (למשל: נזק כספי של מיליון דולר, פגיעה קלה בתדמית מול פגיעה אנושה שתבריח לקוחות, או דירוג "זניח/בינוני/קריטי").
מטריצת סיכונים
נהוג למקם כל סיכון על מטריצת סיכונים תלת-או דו-ממדית, המכונה לעיתים "מפת חום" (Heat Map). ציר אחד מייצג את ההסתברות והשני את חומרת ההשפעה. כל סיכון מוצב בנקודה המתאימה – ובאמצעות קידוד צבע (למשל ירוק לסיכון נמוך, צהוב לבינוני, אדום לגבוה) מתקבלת תמונה ויזואלית של פרופיל הסיכונים. מפת החום הארגונית מאפשרת לזהות מייד מהם "האזורים האדומים" – אותם סיכונים בעלי הסתברות והשפעה גבוהות שדורשים תשומת לב וניהול מוקפד. למשל, יתכן ש"מתקפת סייבר רחבת היקף" תדורג באזור אדום (השפעה גבוהה מאוד, הסתברות בינונית) בעוד ש"שריפה במשרד" תהיה באזור צהוב (השפעה גבוהה אך הסתברות נמוכה) ו"אובדן מחשב נייד של עובד" באזור ירוק (השפעה נמוכה יחסית).
תיאבון הסיכון
בנוסף, יש לקחת בחשבון את תיאבון הסיכון של הארגון בעת ההערכה. תיאבון סיכון משמעו הרמה והסוג של סיכון שההנהלה מוכנה לקבל במסגרת השגת היעדים העסקיים. חברות סטארטאפ חדשניות, למשל, עשויות להיות בעלות תיאבון סיכון גבוה יותר בתחומים מסוימים (כמו סיכון שוק) מתוך רצון לצמוח מהר – אך אולי תיאבון נמוך לסיכוני ציות רגולטורי שעלולים "להרוג" את החברה. הגדרת תיאבון סיכון עוזרת לקבוע ספים: מעל איזה רף של סיכון לא נהיה מוכנים לעבור? אם סיכון מסוים מדורג מעבר לרמה המקובלת – זה אות ברור שצריך לטפל בו ללא דיחוי, לצמצם את הסיכון או להעבירו לאחרים (באמצעות ביטוח למשל). לעומת זאת, סיכונים מתחת לרף התיאבון עשויים להישאר כ"סיכונים מתקבלים" שנעקוב אחריהם אך לא נשקיע משאבים כבדים בהפחתתם.
חשוב לציין שהערכת סיכונים יכולה להיות איכותנית (qualitative) וכמותית (quantitative). ברוב חברות ההייטק, בשלב ראשון מסתפקים בהערכה איכותנית – דירוג מילולי או מספרי פשוט (למשל בסולם 1-5) של הסתברות והשפעה, מתוך דיון בין בעלי העניין. ככל שהארגון גדל ומתבגר, ניתן לשכלל את ההערכה ולנסות לכמת סיכונים משמעותיים: למשל, לבצע ניתוח תרחישים פיננסיים (Scenario Analysis) כדי לאמוד בדולרים את הנזק הצפוי מתקפת סייבר גדולה, או להשתמש במודלים סטטיסטיים עבור סיכוני שוק. גישות כמותיות כמו Value at Risk (VaR) נפוצות יותר בפיננסים, אך גם חברות טכנולוגיה יכולות להפיק תועלת מניתוח נתונים היסטוריים (כמו עלויות השבתה בשנה האחרונה) כדי לפרוט סיכון למונחי עלות.
סדר עדיפויות
בסופו של דבר, המטרה בשלב ההערכה היא לקבוע סדר עדיפויות. הארגון לא יכול לטפל בבת אחת בכל הסיכונים – משאביו מוגבלים – ולכן צריך למקד מאמצים היכן שתהיה התרומה הגדולה ביותר. לאחר דירוג כל סיכון, רצוי ליצור רשימת סיכונים (Risk Register) הכוללת את הסיכונים המרכזיים, דירוגם, ובעלי אחריות לניהול כל סיכון. רשימה זו תשמש אותנו בשלבים הבאים כאשר נחליט על דרכי הטיפול בכל סיכון וסיכון.