مدیریت ریسک در کسب‌وکار اجاره اقامتگاه (ISO 31000)

مدیریت ریسک یعنی پیش از اتفاق افتادن بپرسید «چه چیزی می‌تواند اهداف من را به هم بزند؟»، آن را با احتمال و اثر بسنجید، بین گزینه‌های برخورد (حذف، کاهش، انتقال، پذیرش) انتخاب کنید و دوره‌ای بازنگری کنید. استاندارد بین‌المللی ISO 31000 همین را به یک فرایند مشخص تبدیل کرده است. برای اقامتگاه نتیجه‌ی عملی یک سند ساده است: ثبت ریسک که هر ریسک در آن صاحب، عدد و اقدام دارد.

این درس بعد از سناریوپردازی و تحلیل حساسیت می‌آید: آنجا بدترین آینده را عددی کردیم، اینجا آن را سازمان‌یافته مدیریت می‌کنیم. جزئیات فنی دو حوزه‌ی مرتبط جدا است و تکرار نمی‌شود: تجهیزات ایمنی و بیمه در ایمنی و بیمه‌ی اقامتگاه و رفتار هنگام حادثه در برنامه‌ی واکنش به حوادث. این درس چارچوب فکری است که مشخص می‌کند کدام ریسک اولویت دارد و چرا. آخرین بازبینی: ۲ آبان ۱۴۰۵. اعداد مثال‌ها فرضی و گردشده‌اند، نه آمار.

هدف‌های یادگیری این درس

پس از این درس باید بتوانید:

1. ریسک را طبق ISO 31000 تعریف کنید و فرقش با «خطر» و «مشکل» را بگویید.

2. شش عنصر فرایند ISO 31000 را روی اقامتگاه خودتان اجرا کنید.

3. با مقیاس ۱ تا ۵ احتمال و اثر، امتیاز ریسک بدهید و ماتریس بکشید.

4. برای هر ریسک یکی از گزینه‌های برخورد را با محاسبه‌ی هزینه و فایده انتخاب کنید.

5. یک ثبت ریسک با صاحب، شاخص هشدار و تاریخ بازنگری بسازید.

تعریف و ریشه‌ی علمی

ISO 31000 را سازمان بین‌المللی استانداردسازی منتشر کرده است؛ طبق صفحه‌ی مرکز ERM دانشگاه ایالتی کارولینای شمالی نخستین بار در ۲۰۰۹ منتشر و در ۲۰۱۸ بازنگری شد. ریشه‌ی آن استاندارد استرالیا و نیوزلند است: راهنمای «مدیریت ریسک گردشگری» APEC (۲۰۰۶/۲۰۰۷) می‌نویسد AS/NZS 4360 در ۱۹۹۵ منتشر شد و در ۱۹۹۹ و ۲۰۰۴ به‌روز شد؛ این استاندارد چارچوبی عمومی برای شناسایی، تحلیل، ارزیابی، برخورد و پایش ریسک بود تا سازمان‌ها زیان را کم و فرصت را زیاد کنند. نسخه‌ی ۲۰۱۸ بر یکپارچگی با مدیریت و نقش مدیران ارشد تأکید بیشتری گذاشت (توضیح ویکی‌پدیا؛ منبع بازشده‌ای برای این جزئیات نداشتیم). صفحه‌ی خود ISO برای ما باز نشد (۴۰۳)، پس متن استاندارد را نخوانده‌ایم. تعریف ریسک را از منبع رسمی دیگری تأیید کردیم: «کتاب نارنجی» دولت بریتانیا (بخش «اصول و مفاهیم»؛ سال دقیق نسخه را تأیید نکردیم) ریسک را «اثر عدم قطعیت بر اهداف» می‌نامد، آن را با سه جزء علت، رویداد و پیامد توصیف می‌کند و می‌گوید ریسک می‌تواند مثبت یا منفی باشد؛ یعنی فرصت هم ریسک است، نه فقط تهدید. همین کتاب چند اصل را بر می‌شمارد: مدیریت ریسک بخشی از حاکمیت و رهبری باشد، در همه‌ی فعالیت‌ها ادغام شود، بر بهترین اطلاعات موجود تکیه کند، فرایند ساختارمند داشته باشد و پیوسته بهتر شود، و «چه» و «چرا» را می‌گوید و «چگونه» را به هر سازمان وامی‌گذارد.

ریشه‌ی علمی کمی‌سازی ریسک به کاپلان و گاریک (۱۹۸۱، مجله‌ی Risk Analysis) برمی‌گردد: آن‌ها ریسک را با «سه‌گانه» تعریف کردند: چه چیزی ممکن است اشتباه شود؟ چقدر محتمل است؟ پیامدش چیست؟ (طبق صفحه‌ی مؤسسه‌ی علوم ریسک UCLA، آن مقاله می‌خواهد چارچوبی مفهومی و زبانی یکسان برای کمّی‌کردن ریسک بدهد؛ خود فرمول سه‌گانه در صفحه نبود و از دانش عمومی رشته می‌آید.) همین سه پرسش ستون فقرات ثبت ریسک شماست. راهنمای ایمنی و بهداشت بریتانیا (HSE) هم، با زبانی ساده برای کسب‌وکار کوچک، پنج گام را می‌گوید: خطرها را بیابید، ریسک را (احتمال و شدت آسیب) بسنجید، کنترل کنید، بنویسید و بازنگری کنید؛ و تأکید می‌کند هدف کاغذ نیست، کنترل واقعی ریسک است، و لازم نیست هر ریسک صفر شود بلکه باید تمام گام‌های «معقولاً عملی» برداشته شود، با سنجش ریسک در برابر هزینه، زمان و زحمت کنترل. (HSE ثبت مکتوب را فقط برای کارفرمای با پنج نفر یا بیشتر الزامی می‌کند؛ این قاعده‌ی بریتانیاست و ربطی به ایران ندارد، ولی منطق ثبت ریسک را نشان می‌دهد.) تعریف رقیب هم هست: در زبان روزمره ریسک یعنی «احتمال ضرر»؛ در ISO یعنی «انحراف از هدف» (که شامل سود غیرمنتظره هم می‌شود). ما در این درس بیشتر تهدیدها را می‌سنجیم ولی یادآوری می‌کنیم فرصت‌ها هم ریسک‌اند.

کاپلان و میکس (هاروارد بیزنس ریویو، ژوئن ۲۰۱۲) در مقاله‌ی «مدیریت ریسک؛ چارچوبی تازه» اشاره می‌کنند مدیریت ریسک اغلب به یک موضوع رعایت مقررات تقلیل داده می‌شود؛ ما از صفحه‌ی ناشر فقط همین خلاصه را دیدیم. نکته‌ی آموزشی: ثبت ریسکی که فقط برای بایگانی نوشته شود همان نتیجه را دارد. HSE هم در همین جهت می‌گوید کاغذبازی نباید جای هدف اصلی، یعنی کنترل واقعی ریسک، را بگیرد.

اشتها و تحمل ریسک: کتاب نارنجی می‌گوید هیئت مدیره ماهیت و میزان ریسک‌های اصلی‌ای را که حاضر است برای رسیدن به اهدافش بپذیرد تعیین و مرتب بازنگری می‌کند و ارزیابی ریسک یعنی مقایسه‌ی ریسک‌های تحلیل‌شده با همین اشتها. در اقامتگاه شما «هیئت مدیره» هستید. راهنمای APEC نمونه‌ی عملی از یک بیان تحمل در گردشگری می‌دهد، مثلاً اینکه هر حادثه‌ی قابل‌پیشگیری که به مرگ مهمان برسد «غیرقابل‌پذیرش» است.

فرایند ISO 31000 در شش عنصر

فرایند طبق منابع شش عنصر دارد: ارتباط و مشورت، دامنه و زمینه و معیارها، ارزیابی ریسک (شناسایی، تحلیل، ارزیابی)، برخورد با ریسک، پایش و بازنگری، و ثبت و گزارش. بعضی منابع «پایش» را از «برخورد» جدا می‌کنند؛ حلقه‌ای است و خطی نیست. برای اقامتگاه:

مثال اقامتگاهی: فرض کنید صاحب یک مجتمع سه‌واحدی هدف سال را این می‌گذارد: «اشغال ۶۰٪ با امتیاز مهمان بالای ۴٫۵ و بدون حادثه‌ی جدی». این هدف دامنه و معیار ریسک را می‌سازد: هر چیزی که این سه را تهدید کند ریسک است. تحمل (اشتها) را هم می‌نویسد: «زیان بالای ۱۰۰ میلیون در یک رویداد یا هر آسیب جانی غیرقابل‌پذیرش است.» بدون این گام، اولویت‌بندی سلیقه‌ای می‌شود.

خطای رایج: شروع از «ریسک‌هایی که اتفاقاً یادم آمد». هدف را بنویسید، سپس بپرسید چه چیزی آن را تهدید می‌کند.

شناسایی: ریسک‌ها را از کجا پیدا کنیم؟

چهار روش ساده و کاربردی: (۱) مرور فرایند مهمان از جست‌وجو تا خروج و پرسیدن «اینجا چه اشتباه می‌شود؟»؛ (۲) مرور حوادث و شکایت‌های گذشته‌ی خودتان و اقامتگاه‌های مشابه؛ (۳) گفت‌وگو با اجراکنندگان (نظافت، تعمیرات) که ریسک را از نزدیک می‌بینند؛ (۴) مرور دسته‌ها: ایمنی و سلامت، مالی، عملیاتی، حقوقی و مقررات، شهرت، فناوری، بیرونی. هر ریسک را به شکل جمله‌ی «علت ← رویداد ← پیامد» بنویسید، نه عنوان مبهم.

مثال اقامتگاهی: به‌جای «آتش‌سوزی» بنویسید: «به علت نشت گاز یا بخاری بی‌سرویس، آتش‌سوزی یا مسمومیت رخ می‌دهد و مهمان آسیب می‌بیند.» این جمله مشخص می‌کند اقدام روی علت (سرویس بخاری) است، پیامد (آسیب به مهمان) تعیین‌کننده‌ی اثر است و رویداد خودش ریسک نیست.

تحلیل: احتمال و اثر با مقیاس مشخص

مقیاس مبهم («کم، متوسط، زیاد») باعث می‌شود دو نفر برای یک ریسک عددهای متضاد بدهند. راه حل: مقیاس را با معیار عینی بنویسید.

مثال اقامتگاهی (فرضی): مقیاس‌های یک مجتمع کوچک:

امتیاز ریسک = احتمال × اثر (همان حاصل‌ضرب رایج در ثبت ریسک؛ بعضی روش‌ها به اثر وزن بیشتر می‌دهند). برای ۲۵ حالت ممکن، چهار بازه‌ی تصمیم بگذارید: ۱ تا ۴ پایین؛ ۵ تا ۹ متوسط؛ ۱۰ تا ۱۴ بالا؛ ۱۵ تا ۲۵ بحرانی.

راهنمای APEC برای گردشگری ساختار مشابهی نشان می‌دهد: پنج سطح پیامد از «ناچیز» (بدون اختلال و زیان مالی) تا «فاجعه‌بار» (ناتوانی در خدمت‌رسانی، زیان مالی شدید و لغو گسترده‌ی رزروها) و پنج سطح احتمال از «تقریباً حتمی» تا «نادر»، که در ماتریس به چهار رده‌ی بحرانی، بالا، متوسط و پایین می‌رسند؛ ردهٔ بالا یعنی توجه مدیر ارشد، متوسط یعنی مسئولیت مشخص و پایین یعنی رویه‌ی روتین. جدول ما بر اعداد اقامتگاه کوچک تنظیم شده و نمونه‌ی APEC فقط الگوی همین ساختار است. برای اولویت‌بندی، APEC ساده‌ترین دسته‌بندی را «باید انجام شود، بهتر است انجام شود، می‌شود انجام داد» می‌داند.

محدودیت ماتریس: کاکس (۲۰۰۸، Risk Analysis) نشان داد ماتریس‌ها قدرت تفکیک ضعیفی دارند، ممکن است ریسک کوچک‌تر را بالاتر رتبه بدهند و حتی بدتر از رتبه‌بندی تصادفی عمل کنند وقتی احتمال و شدت همبسته‌ی منفی‌اند، و ذهنی‌اند (ما فقط چکیده را در RePEc خواندیم). یک منبع رسمی بازشده هم همین هشدار را دارد: NIST در گزارش IR 8286B (به‌روزرسانی ۲۰۲۵، برای ریسک سایبری ولی منطقش عمومی است) می‌گوید نقشه‌ی گرمایی و محاسبه‌ی احتمال × اثر برای رساندن اطلاعات ریسک محدود است و رنگ‌ها فقط راهنمای سریع‌اند نه مرز سخت؛ ضمناً خانه‌ی قرمز می‌تواند یک فرصت بسیار محتمل و سودآور هم باشد. NIST پیشنهاد می‌کند ثبت ریسک را از بزرگ‌ترین «مقدار در معرض ریسک» (احتمال به درصد × اثر به پول) به کوچک‌ترین مرتب کنید و بعد با راهبرد کسب‌وکار اصلاحش کنید. پس چند قاعده‌ی دفاعی: (۱) مقیاس را عینی کنید؛ (۲) هر ریسکی با اثر ۵ را مستقل از امتیاز بررسی کنید؛ (۳) برای چند ریسک اول کمّی‌تر هم محاسبه کنید (بخش بعد).

ارزیابی: ماتریس ۵×۵ و ثبت ریسک

مثال اقامتگاهی: ثبت ریسک یک مجتمع (فرضی) — هشت ریسک، با احتمال (P)، اثر (I) و امتیاز:

ماتریس (شناسه‌ها در خانه‌ی مربوط):

ترتیب بررسی: R3 (اثر ۵ بدون توجه به امتیاز)، سپس R1 و R5 (۱۲)، سپس R2 (۹)، و بعد R4، R6، R8 (۸) و R7 (۶). توجه کنید که R3 با امتیاز ۱۰ پایین‌تر از R1 است ولی اولین اولویت است؛ این همان قاعده‌ی دفاعی در برابر ضعف ماتریس است. راهنمای APEC هم همین را می‌گوید: وقتی چند ریسک رده‌ی یکسان دارند، حفظ جان باید بر حفاظت از ملک و تأسیسات مقدم باشد؛ و ریسک‌هایی را که تصمیم گرفتید فعلاً درمانشان نکنید نیز مستند و پایش کنید، چون شرایط تغییر می‌کند.

ستون‌های لازم دیگر در ثبت واقعی: صاحب، اقدام، هزینه، تاریخ بازنگری، شاخص هشدار، و ریسک باقی‌مانده بعد از اقدام. دو منبع بازشده این را پشتیبانی می‌کنند: HSE می‌خواهد برای هر ریسک بنویسید چه کسی و چگونه آسیب می‌بیند، چه کنترلی هست، چه اقدام بیشتری لازم است، چه کسی انجامش می‌دهد و تا چه تاریخی؛ و الگوی ثبت ریسک NIST احتمال و اثر را «پیش از کنترل» و «پس از کنترل» جدا نگه می‌دارد و مقدار در معرض ریسک را برای هر دو حساب می‌کند.

برخورد با ریسک: شش گزینه و منطق انتخاب

سه منبع رسمی بازشده فهرست‌های هم‌پوشان می‌دهند. راهنمای APEC برای گردشگری: اجتناب، کم‌کردن احتمال، کم‌کردن پیامد (مثلاً طرح تخلیه، اسپرینکلر و نیروی آموزش‌دیده در هتل برای پیامد آتش)، انتقال (مثلاً بیمه، که باید پرسید حق‌بیمه‌اش مقدور و پوشش موجود است یا نه) و نگه‌داشتن ریسک، آن هم فقط اگر پیامدش را بشود بدون آسیب به شهرت و برداشت مهمان مدیریت کرد. کتاب نارنجی بریتانیا: اجتناب، حفظ آگاهانه، تغییر احتمال یا پیامد، تسهیم (مثلاً با قرارداد تجاری) و حتی گرفتن یا بیشتر کردن ریسک برای دنبال‌کردن یک فرصت. NIST چهار پاسخ پذیرش، انتقال، کاهش و اجتناب را تعریف می‌کند و دو نکته‌ی خوب دارد: پاسخ‌ها انحصاری نیستند و معمولاً ترکیب می‌شوند (کمربند ایمنی کاهش است و بیمه تسهیم)، و «نادیده گرفتن ریسک» گزینه نیست چون همان پذیرش منفعلانه است؛ حتی وقتی منابع نیست باید برنامه‌ای باشد و ریسک باقی‌مانده گزارش شود. همچنین NIST یادآوری می‌کند بخشی از پیامد، مثل از دست رفتن اعتماد مشتری، قابل انتقال نیست. در عمل میزبان با چهار دسته کار می‌کند:

قاعده‌ی تصمیم: هزینه‌ی کنترل نباید از زیان مورد انتظار کاهش‌یافته بیشتر باشد، مگر زیان کمرشکن باشد.

مثال اقامتگاهی (R1، رزرو تکراری): فرض کنید رخداد به‌طور متوسط ۳ بار در سال است و هر بار ۱۵ میلیون تومان (غرامت، هتل جایگزین، مرجوعی) هزینه دارد. زیان مورد انتظار = ۳ × ۱۵ = ۴۵ میلیون در سال. کنترل: هماهنگی تقویم و روال بستن تاریخ، با هزینه‌ی سالانه ۶ میلیون، فرکانس را به ۰٫۵ بار در سال می‌رساند. زیان باقی‌مانده ۰٫۵ × ۱۵ = ۷٫۵. کاهش ۴۵ − ۷٫۵ = ۳۷٫۵؛ خالص ۳۷٫۵ − ۶ = ۳۱٫۵ میلیون در سال. ریسک باقی‌مانده: P=۲ (حدود یک بار در ۲ سال)، I=۳، امتیاز ۶ (متوسط). جزئیات روش در جلوگیری از رزرو تکراری.

مثال اقامتگاهی (R3، آتش‌سوزی؛ انتقال): فرض کنید زیان یک آتش‌سوزی جدی ۲٬۰۰۰ میلیون و احتمال سالانه‌اش ۵٪ (۰٫۰۵) است: زیان مورد انتظار ۲٬۰۰۰ × ۰٫۰۵ = ۱۰۰ میلیون در سال. فرض کنید بیمه ۸۰٪ زیان را پوشش می‌دهد (۱٬۶۰۰) و حق‌بیمه‌ی سالانه ۱۰۰ میلیون است. زیان مورد انتظار منتقل‌شده ۱٬۶۰۰ × ۰٫۰۵ = ۸۰، کمتر از حق‌بیمه است. بیمه در میانگین به نفع شما نیست، ولی خرید آن منطقی است چون زیان ۲٬۰۰۰ میلیونی می‌تواند کسب‌وکار را از بین ببرد: بیمه برای «دُم» توزیع است نه برای میانگین. (در این مثال حق‌بیمه و پوشش فرضی‌اند؛ شرایط واقعی بیمه در ایران در ایمنی و بیمه با تأییدنشده‌های آن آمده است.) بیمه جای کاهش را نمی‌گیرد: سرویس بخاری و آشکارساز احتمال را پایین می‌آورد (ایمنی گاز و آتش در آشپزخانه).

خطای رایج: «انتقال» را با «حل» اشتباه گرفتن. بیمه پول می‌دهد، مهمانِ آسیب‌دیده یا شهرت خراب را برنمی‌گرداند.

پایش: شاخص‌های هشدار و بازنگری

ریسک ثابت نیست. هر ریسک مهم یک شاخص ریسک کلیدی (KRI) می‌خواهد: عددی که قبل از وقوع رویداد تغییر می‌کند. بازنگری ثبت: ماهانه برای ریسک‌های بالا، فصلی برای بقیه، و بعد از هر حادثه یا تغییر بزرگ (ملک تازه، کانال تازه).

مثال اقامتگاهی: KRI‌ها: برای R1 تعداد تداخل تقویم در ماه (هدف صفر؛ دو بار پشت سر هم یعنی بازنگری). برای R3 تعداد آشکارسازهای تست‌نشده بیش از ۳۰ روز (هدف صفر). برای R4 سهم بزرگ‌ترین کانال از رزروها (آستانه‌ی هشدار ۶۰٪؛ بیشتر از آن تنوع کانال را جدی بگیرید). برای R8 رزروهای ۳۰ روز آینده به نسبت سال قبل (اگر زیر ۷۰٪ بود، برنامه‌ی سناریوی بدبینانه را اجرا کنید).

مطالعه‌ی موردی (فرضی): از ثبت ریسک تا بودجه

فرض کنید بودجه‌ی سالانه‌ی ریسک فقط ۴۰ میلیون است. بدون ثبت، پول به هر اقدام که جلوی چشم است می‌رود. با ثبت:

1. اثر ۵ اول: R3. اقدام: سرویس بخاری و آبگرمکن و تست آشکارسازها، هزینه ۱۵ میلیون؛ احتمال از ۲ به ۱ (ریسک باقی‌مانده ۱ × ۵ = ۵).

2. بیشترین بازده: R1: ۶ میلیون هزینه، خالص ۳۱٫۵ میلیون در سال (حساب بالا).

3. R5 (مقررات): هزینه‌ی کم، ولی نتیجه‌ی بزرگ. اقدام: استعلام رسمی از مرجع (ساده‌ترین کنترل). منبع رسمی‌ای که وضعیت مجوز شما را تعیین کند ما نداریم؛ نقشه در مقررات اجاره کوتاه‌مدت در ایران آمده و تصمیم باید با استعلام از مرجع باشد. هزینه‌ی فرضی ۵ میلیون برای مشاوره.

4. R8 (تقاضا): ذخیره‌ی نقدی. از درس قبل: زیان شوک ۱۵۰ میلیون؛ این رقم از بودجه‌ی ریسک ۴۰ میلیونی نیست، از ذخیره‌ی تدریجی می‌آید (سالی ۵۰ میلیون در سه سال)، که «پذیرش آگاهانه» است.

5. بقیه: R2 با ودیعه و تضمین و مدرک وضعیت واحد (ادعای خسارت مهمان)، R6 با تعمیرات اضطراری و تأسیسات، R7 با مدیریت نظرات منفی، که هزینه‌شان عمدتاً زمان است.

جمع هزینه‌ی قطعی: ۱۵ + ۶ + ۵ = ۲۶ میلیون از ۴۰؛ ۱۴ میلیون باقی برای R2 و R6. ریسک‌های بحرانی ندارید و دو ریسک بالا به متوسط/پایین رسیده‌اند.

تمرین برای شما

1. هدف و تحمل: هدف سال و اشتهای ریسک اقامتگاهتان را در سه جمله بنویسید. راهنما: تحمل را عددی بگویید (حداکثر زیان در یک رویداد).

2. مقیاس: جدول احتمال و اثر را به اعداد کسب‌وکار خودتان تبدیل کنید. راهنما: بازه‌ی اثر بر اساس درآمد ماهانه‌تان باشد.

3. ثبت هشت‌ریسکی: هشت ریسک خودتان را با ساختار علت ← رویداد ← پیامد و امتیاز بنویسید. راهنما: بدیهی‌ها را هم بیاورید؛ ریسک اثر ۵ را علامت بزنید.

4. محاسبه: ریسکی با رخداد ۴ بار در سال و ۱۰ میلیون زیان هر بار، و کنترلی با هزینه‌ی ۱۸ میلیون که فرکانس را به ۱ می‌رساند. می‌صرفد؟ راهنما: زیان اولیه ۴ × ۱۰ = ۴۰؛ باقی‌مانده ۱ × ۱۰ = ۱۰؛ کاهش ۳۰؛ خالص ۳۰ − ۱۸ = ۱۲ میلیون، پس می‌صرفد.

5. شاخص هشدار: برای دو ریسک اول KRI و آستانه تعیین کنید.

جمع‌بندی درس

• ریسک = اثر عدم قطعیت بر اهداف؛ پس هدف را اول بنویسید.

• فرایند ISO 31000 حلقه‌ای است: زمینه، شناسایی، تحلیل، ارزیابی، برخورد، پایش، ثبت.

• ریسک را به‌صورت علت ← رویداد ← پیامد بنویسید و با مقیاس عینی امتیاز بدهید.

• ماتریس ساده است ولی ضعف دارد؛ ریسک‌های با اثر ۵ را جدا بررسی کنید و برای مهم‌ها محاسبه‌ی عددی انجام دهید.

• هزینه‌ی کنترل را با زیان مورد انتظار کاهش‌یافته مقایسه کنید؛ بیمه برای زیان‌های کمرشکن است.

• هر ریسک مهم صاحب، شاخص هشدار و تاریخ بازنگری می‌خواهد.

درس بعدی

برای تبدیل اهداف و شاخص‌ها به نظام مدیریتی، درس بعد کارت امتیازی متوازن (BSC) و OKR برای اقامتگاه است. نقشه‌ی کامل: مدیریت علمی کسب‌وکار اجاره اقامتگاه؛ نقشه راه.

شاه‌کلید در این مسیر

شاه‌کلید ماژول ثبت ریسک ندارد. چند کنترل ریسک‌های بالا را پشتیبانی می‌کند: تقویم واحد و رزروها (R1)، لیست سیاه مهمان و کارت مهمان، وظایف نگهداری (R3 و R6) و ثبت هزینه‌ها؛ اما ثبت ریسک را در اکسل یا یک سند ساده نگه دارید.

سؤال‌های پرتکرار

ISO 31000 گواهینامه دارد؟

منبع رسمی بازشده‌ای برای این پرسش نداریم؛ صفحه‌ی ISO باز نشد. منبع دست‌دوم (ویکی‌پدیا) می‌گوید ISO 31000 راهنما است و برای گواهینامه طراحی نشده؛ پیش از هر ادعای انطباق، از ISO یا نهاد صادرکننده‌ی گواهی بپرسید.

ریسک مثبت یعنی چه؟

در تعریف ISO اثر عدم قطعیت بر اهداف می‌تواند مثبت باشد؛ مثل افزایش ناگهانی تقاضا که اگر ظرفیت و نرخ آماده نباشد از دست می‌رود.

چقدر ریسک بنویسم؟

برای یک مجتمع کوچک ۸ تا ۱۵ ریسک. بیشتر شود، بازنگری انجام نمی‌شود.

بیمه همه‌ی ریسک‌ها را حل نمی‌کند؟

خیر؛ بیمه فقط بخش مالی زیان را (با شرایط و استثناها) منتقل می‌کند. شرایط بیمه‌ی ایران را از بیمه‌گر بپرسید.

منابع

• APEC Tourism Working Group (2006/2007). Tourism Risk Management: An Authoritative Guide to Managing Crises in Tourism — متن کامل PDF (ماتریس پیامد و احتمال، اولویت‌بندی، گزینه‌های برخورد، تاریخچه‌ی AS/NZS 4360).

• HM Treasury (UK) — The Orange Book: Management of Risk, Principles and Concepts (تعریف ریسک، اصول، اشتها، گزینه‌های برخورد).

• NIST (2025). NIST IR 8286B-upd1: Prioritizing Cybersecurity Risk for Enterprise Risk Management — متن کامل (ثبت ریسک، محدودیت نقشه‌ی گرمایی، چهار پاسخ به ریسک).

• HSE (بریتانیا) — Steps needed to manage risk (پنج گام ارزیابی ریسک برای کسب‌وکار کوچک).

• NC State Enterprise Risk Management Initiative — ISO's Risk Management Framework (ISO 31000:2018؛ سال‌ها و شش عنصر فرایند).

• Kaplan, S. & Garrick, B. J. (1981). On the Quantitative Definition of Risk. Risk Analysis, 1(1) — صفحه‌ی مؤسسه‌ی علوم ریسک UCLA.

• Cox, L. A. (2008). What's Wrong with Risk Matrices? Risk Analysis, 28(2), 497–512 — چکیده در RePEc.

• Kaplan, R. S. & Mikes, A. (2012). Managing Risks: A New Framework. Harvard Business Review, June 2012 — صفحه‌ی خلاصه‌ی ناشر.

• ISO 31000 — Wikipedia (فقط برای گواهینامه‌ناپذیری و تأکیدهای نسخه‌ی ۲۰۱۸؛ مرجع دست‌دوم و آخرین راهنما).

آنچه نتوانستیم تأیید کنیم

صفحه‌ی رسمی ISO (iso.org) برای ما باز نشد (۴۰۳)؛ متن استاندارد را نخوانده‌ایم و تعریف ریسک را از کتاب نارنجی بریتانیا گرفتیم که با همان واژه‌ها نوشته شده است. گواهینامه‌ناپذیری ISO 31000 و تفاوت‌های نسخه‌ی ۲۰۱۸ با ۲۰۰۹ فقط از ویکی‌پدیا آمده است. صفحه‌ی UCLA فرمول «سه‌گانه‌ی» کاپلان و گاریک را صریح نگفته بود؛ آن از دانش عمومی رشته است. مقاله‌ی کاکس را فقط در حد چکیده خواندیم (متن کامل باز نبود) و نتیجه‌ی آن را با هشدار NIST درباره‌ی نقشه‌های گرمایی همسو یافتیم، نه اینکه جایگزینش کنیم. از مقاله‌ی کاپلان و میکس فقط خلاصه‌ی ناشر خوانده شد. مقاله‌های PMC درباره‌ی ریسک عملیاتی کسب‌وکارهای کوچک گردشگری بررسی ربات داشتند و دور زده نشدند. جدول‌های APEC و NIST نمونه‌ی ساختاری‌اند و برای اقامتگاه ایرانی اعتبارسنجی تجربی نشده‌اند. شرایط واقعی بیمه‌ی اقامتگاه و مقررات مجوز در ایران را تأیید نکردیم؛ اعداد مثال‌ها فرضی‌اند.