जोखिम प्रबंधन

परिचय

यह खंड जोखिम प्रबंधन के सिद्धांतों से परिचय कराता है। जोखिम प्रबंधन की शब्दावली ISO गाइड 73, "जोखिम प्रबंधन शब्दावली" में परिभाषित है।
आदर्श जोखिम प्रबंधन में, प्राथमिकता की प्रक्रिया अपनाई जाती है जिसके तहत सबसे बड़ी क्षति पहुंचाने वाली जोखिम की संभावना को सबसे पहले निपटाया जाता है और इसके बाद कम क्षति पहुंचाने वाले संभाव्य जोखिमों को अवरोही क्रम में निपटाया जाता है। व्यवहार में यह प्रक्रिया बहुत मुश्किल हो सकती है, एवं उच्च घटना किन्तु कम क्षति वाले जोखिमों बनाम बड़ी क्षति के साथ जोखिम किन्तु घटना की क्षीण संभावना के बीच संतुलन रखते हुए इसे अक्सर गलत ढंग से निपटाया जा सकता है।
अमूर्त जोखिम प्रबंधन एक नये प्रकार की जोखिम की पहचान करता है जिसमें घटना घटित होने की 100% संभावना होती है लेकिन पहचानने की अक्षमता के कारण संस्था द्वारा ऐसे जोखिम को नज़र अंदाज कर दिया जाता है। उदाहरणार्थ, जब किसी स्थिति में अधूरा ज्ञान लागू किया जाता है, तो ज्ञान का जोखिम उत्पन्न हो जाता है। संबंध का जोखिम तभी सामने उभर कर आता है जब अनुपयोगी सहयोग होता है। प्रक्रिया विनियोजन जोखिम एक समस्या बन जाती है जब अनुपयोगी परिचालन प्रक्रियाएं प्रयोग में लायी जाती हैं। ये जोखिम निपुण कारीगरों की उत्पादकता को प्रत्यक्ष रूप से कम कर देते हैं, लागत की प्रभावकारिता, लाभ, सेवा, गुणवत्ता, प्रतिष्ठा, ब्रांड मूल्य और आय की गुणवत्ता को भी कम कर देते हैं। अमूर्त जोखिम प्रबंधन जोखिम प्रबंधन को उत्पादकता कम करने वाले जोखिमों की पहचान उसकी कमी से अविलम्ब मूल्य (मान) स्थापित करने की अनुमति देता है।
संसाधनों के आवंटन में जोखिम प्रबंधन को कठिनाइयों का भी सामना करना पड़ता है। यह अवसर लागत का विचार है। जोखिम प्रबंधन में खर्च किये गए संसाधनों को अधिक लाभकारी कार्यक्रमों में खर्च किया जा सकता था। पुनः, आदर्श जोखिम प्रबंधन जोखिम के नकारात्मक असर को कम करते हुए खर्च को कम करता है।

प्रक्रिया

ISO 31000 मानक "जोखिम प्रबंधन - कार्यान्वयन के सिद्धांतों और दिशानिर्देश", के अनुसार जोखिम प्रबंधन की प्रक्रिया में निम्नलिखित विभिन्न चरण होते हैं :

मूल्यांकन

जोखिमों की एकबार पहचान हो जाने पर क्षमता, हानि की संभावित गंभीरता एवं घटित होने की संभावना के संबंध में उनका मूल्यांकन अवश्य किया जाना चाहिए। ये परिणाम मापने में या तो सरल हो सकते है, जैसे कि एक खोयी हुई इमारत के मूल्य की स्थिति में अथवा अप्रत्याशित घटना की संभावना की स्थिति में निश्चित रूप से जानना असंभव है। इसलिए, मूल्यांकन प्रक्रिया में जोखिम प्रबंधन योजना के कार्यान्वयन को उचित प्राथमिकता प्रदान करने के लिए सर्वश्रेष्ठ संभव शिक्षित अनुमान करना जोखिममय है।
जोखिम मूल्यांकन में मूलभूत कठिनाई घटना होने की दर का निर्धारण करना है क्योंकि अतीत की सभी प्रकार की घटनाओं के लिए सांख्यिकीय जानकारी उपलब्ध नहीं है। इसके अलावा, अभौतिक संपतियों (आस्तियों) के मामले में परिणाम की गंभीरता का मूल्यांकन अक्सर कठिन होता है। संपत्ति का मूल्यांकन एक दूसरा प्रश्न है जिस पर गौर करना जरुरी है। इस प्रकार, सर्वश्रेष्ठ शिक्षित विचार एवं उपलब्ध सांख्यिकी सूचना के प्राथमिक स्रोत हैं। फिर भी, जोखिम मूल्यांकन को संस्थाओं के प्रबंधन के लिए ऐसी सूचनाओं की प्रस्तुति करनी चाहिए ताकि प्राथमिक जोखिमों को आसानी से समझा जाए और जोखिम प्रबंधन के फैसलों को प्राथमिकता प्रदान की जा सके। इस प्रकार, जोखिमों को परिमाणित करने के कई सिद्धांत और प्रयास हैं। जोखिम के अनगणित अलग-अलग फार्मूले (सूत्र) मौजूद हैं, लेकिन जोखिम के परिमाण के मापांकन के लिए व्यापक रूप से स्वीकृत सूत्र है:
घटना की दर और घटना के प्रभाव का गुणनफल जोखिम के बराबर होता है
परवर्ती अनुसंधान से यह साफ़ जाहिर होता है कि जोखिम प्रबंधन के आर्थिक लाभ प्रयुक्त फार्मूले पर कम निर्भरशील होते हैं किन्तु वे आवृत्ति और जोखिम मूल्यांकन के तरीकों पर निर्भर करते है।
व्यवसाय में, जोखिम मूल्यांकन के निष्कर्षों को वित्तीय शब्दों में प्रस्तुत करने में सक्षम होना आवश्यक है। रॉबर्ट कोर्टनी जूनियर (Robert courteny Jr (IBM, 1970) ने जोखिम को आर्थिक शर्तों में प्रस्तुत करने का फार्मूला सुझाया. संयुक्त राज्य अमेरिका के सरकारी अभिकरणों के लिए कोर्टनी फार्मूले को आधिकारिक जोखिम विश्लेषण पद्धति के रूप में स्वीकृत किया गया। यह फार्मूला ALE की गणना (वार्षिक क्षति की अपेक्षा) करने का सुझाव देता है और अनुमानित क्षति मूल्य की तुलना सुरक्षा नियंत्रण कार्यान्वयन (लागत लाभ विश्लेषण) लागत से करता है।

जोखिम से बचाव

इसमें जोखिम वाली गतिविधि का निष्पादन नहीं करना शामिल होता है। इसका एक उदाहरण होगा किसी संपत्ति या व्यवसाय नहीं खरीदना ताकि इसकी देयता की जिम्मेदारी नहीं लेनी पड़े. दूसरा उदाहरण हो सकता है हवाई जहाज़ के अपहरण हो जाने के जोखिम से बचने के लिए उड़ान ही न भरना. सभी जोखिमों का जवाब बचाव में दिखाई देता है किन्तु जोखिमों से बचाव का अर्थ है संभावित लाभ को खो देना जिसे जोखिम उठाकर पाया जा सकता था। हानि उठाने के जोखिम से बचने के लिए किसी कारोबार में प्रवेश नहीं करने से लाभ प्राप्त करने की सम्भावना को दूर करता है।

खतरे की रोकथाम

खतरे की रोकथाम का तात्पर्य आपातकाल में जोखिमों की रोकथाम करना है। खतरे की रोकथाम का सर्वप्रथम और सबसे अधिक कारगर चरण खतरों का उन्मूलन है। यदि इसमें बहुत अधिक समय लगता है, इसकी लागत बहुत अधिक होती है, या अन्यथा अव्यावहारिक होता है, तो दूसरा चरण कमी लाना है।

जोखिम में कमी

इसमें ऐसी पद्धतियों का समावेश होता है जो हानि की उग्रता या हानि के घटित होने की सम्भावना की संगीनता को कम करता है अथवा ऐसा ही कुछ. उदाहरण के लिए, जल छिड़काव यन्त्र को आग से होने वाली क्षति के जोखिम को कम करने के लिए आग को बुझाने के लिए तैयार किया जाता है। यह पद्धति जल के नुकसान के द्वारा एक अधिक बड़े नुकसान का कारण बन सकती है और इसीलिए यह अनुकूल नहीं हो सकती है। हेलॉन अग्नि शमन प्रणाली जोखिम को कुछ कम कर सकती है लेकिन अधिक लागत इस योजना-नीति के लिए निषेधी हो सकती है।
आधुनिक सॉफ्टवेयर विकास पद्धातियां वृद्धि के आधार पर सॉफ्टवेयर विकसित कर एवं उसे प्रदान कर जोखिम कम करती हैं। प्रारंभिक पद्धतियों इस तथ्य से प्रभावित हुई कि उन्होंने विकास के केवल अंतिम चरण में ही सॉफ्टवेयर प्रदान किए। अतः आरंभिक चरणों में सामना की गई समस्याओं का तात्पर्य कीमती पुनर्निमाण था जिसमें अक्सर पूरी परियोजना ही जोखिम में पड़ जाती थी। पुनरावृत्ति में विकास कर, सॉफ्टवेर परियोजनाएं एक एकल पुनरावृत्ति में नष्ट किये गए प्रयास को सीमित कर सकती है।
यदि बाहरी स्रोत से सेवाएं प्राप्त करने वाला व्यक्ति (आउटसोर्सर) जोखिमों का प्रबंधन करने और उसे कम करने में ऊंची दक्षता प्रदर्शित कर सकता है तो बाहरी स्रोत से सेवाएं प्राप्त करने (आउटसोर्सिंग) का कार्य जोखिम में कमी का एक उदाहरण बन सकता है। इस स्थिति में कंपनियां केवल अपनी कुछ विभागीय जरूरतों को बाहरी स्रोतों (आउटसोर्स) को ठेके पर देती है। उदाहरण के लिए कोई कंपनी केवल अपने सॉफ्टवेयर विकास, हार्डवेयर सामानों के उत्पादन अथवा दूसरी कंपनी को ग्राहक सहायता की आवश्यकताओं को आउटसोर्स (अन्य स्रोतों को ठेके पर देना) कर सकती है, जबकि व्यवसाय प्रबंधन को स्वंय परिचालित करती है। इस प्रकार, कंपनी उत्पादन प्रक्रिया के बारे में अधिक चिंता कर, विकास दल का प्रबंधन कर, या कॉल सेंटर के लिए एक भौतिक स्थान ढूंढ़ कर व्यवसाय के विकास पर अपना ध्यान केन्द्रित कर सकती है।

जोखिम प्रतिधारण

इसमें नुकसान होने पर इसे स्वीकार करना शामिल होता है। सच्ची स्व-बीमा इस श्रेणी में आती है। जोखिम प्रतिधारण छोटे जोखिमों के लिए एक व्यवहार्य कार्यनीति है जहां जोखिम के विरुद्ध बीमा की लागत कुल नुकसान की तुलना में अधिक समय में ज्यादा हो सकती है। सभी जोखिमों को जिन्हें टाला अथवा स्थानान्तरित नहीं किया जा सकता उन्हें भूल से ही सही बने रहने दिया जाता है। इसमें वे जोखिम शामिल हैं जो इतने बड़े या विनाशकारी होते हैं कि उनके विरूद्ध बीमा नहीं किया जा सकता है क्योंकि किश्तों (प्रीमियम) की अदायगी ही असाध्य हो जाएगी. इसका एक उदाहरण युद्ध है क्योंकि अधिकांश संपत्ति और जोखिमें युद्ध के विरुद्ध बीमाकृत नहीं की जाती है, इसलिए युद्ध से होने वाली हानि बीमित व्यक्ति के द्वारा प्रतिधारित होती है। बीमाकृत राशि से ऊपर की किसी भी राशि की संभावित क्षति भी प्रतिधारित जोखिम होती है। इसे भी मान लिया जा सकता है कि अगर किसी बड़ी हानि कि सम्भावना कम से कम हो अथवा अधिक बड़ी बीमा व्याप्ति की लागत इतनी बड़ी राशि को सुरक्षा के घेरे में लेती हो तो यह संस्था के लक्ष्यों में अधिक बाधा डालेगी.

जोखिम का हस्तांतरण

पेशेवरों और विद्वानों दोनों की ही शब्दावली में बीमा अनुबंध का क्रय अक्सर "जोखिम का हस्तांतरण" कहा जाता है। हालांकि, तकनीकी तौर पर, कहने पर साधारणतया अनुबंध का क्रेता ही हस्तांतरित हानि के लिए कानूनी रूप से जिम्मेदार होता है, इसका अर्थ यह हुआ कि बीमा की सही -सही व्याख्या घटनोत्तर क्षतिपूरक व्यवस्था के रूप में की जा सकती है। उदाहरणार्थ, व्यक्तिगत आघातों के लिए बीमा पॉलिसी गाड़ी की दुर्घटना की जोखिम को बीमा कंपनी को हस्तांतरित नहीं करती है। पॉलिसी धारक के पास ही जोखिम बना रहता है अर्थात वह व्यक्ति जो दुर्घटना का शिकार होता है। बीमा पॉलिसी केवल यह प्रदान कराती है कि यदि किसी दुर्घटना (घटना) में पॉलिसी धारक भी शामिल होता है तो पॉलिसी धारक को कुछ क्षतिपूर्ति देय होती है, जो कष्ट/क्षति के आनुपातिक होती है।
जोखिम प्रबंधन के कुछ तरीके बहुविध श्रेणियों में आते हैं। जोखिम प्रतिधारण निकाय तकनीकी तौर पर एक वर्ग के लिए जोखिम धारण कर रहे हैं, लेकिन पूरे समूह में इसके विस्तार से समूह के सदस्यों के बीच हस्तांतरण शामिल हो जाता है। पारंपरिक बीमा से यह अलग है जिसमें किसी किश्त (प्रीमियम) का समूह के सदस्यों के बीच विनिमय नहीं होता है लेकिन हानियों का आकलन समूह के सभी सदस्यों के लिए किया जाता है।

जोखिम प्रबंधन की एक योजना बनाना

हर जोखिम को मापने के लिए उचित नियंत्रणों का चुनाव अथवा प्रत्युपाय करें। जोखिम को कम करने के लिए प्रबंधन के उपयुक्त स्तर अनुमोदन आवश्यक है। उदाहरण के लिए, संस्था की छवि से संबंधित जोखिम के पीछे उच्च स्तरीय प्रबंधन का निर्णय होना चाहिए जबकि कंप्यूटर वाइरस जोखिम के निर्णय का अधिकार सूचना प्रौद्योगिकी प्रबंधन के पास रहेगा.
जोखिम प्रबंधन के लिए जोखिम प्रबंधन योजना को प्रयोज्य (उचित) और प्रभावकारी सुरक्षा नियंत्रणों के प्रस्ताव पेश करने चाहिए। उदाहरण के लिए, एक विदित उच्च जोखिम वाले कंप्यूटर वाइरस के जोखिम को एंटी वाइरस सॉफ्टवेयर प्राप्त एवं कार्यान्वित कर कम किया जा सकता है। एक अच्छी जोखिम प्रबंधन परियोजना में कार्यान्वयन के नियंत्रण एवं उन कार्यों के लिए जिम्मेदार व्यक्तियों के लिए नियत कार्यक्रम होना चाहिए।
ISO/IEC 27001 के अनुसार जोखिम विश्लेषण के तुरंत बाद पूरा होने वाले चरण में जो पड़ाव आता है उसमें जोखिम उपचार योजना तैयार करना शामिल है, जिसे उन फैसलों के सम्बन्ध में दस्तावेज पेश करना चाहिए कि पहचान किए गए प्रत्येक जोखिम का प्रबंधन कैसे किया जाना चाहिए। अक्सर जोखिमों में कमी से तात्पर्य सुरक्षा नियंत्रणों का चुनाव करना है जिसे व्यावहारिकता के विवरण (स्टेटमेंट ऑफ़ एप्लिकेबिलीटी) में दस्तावेजित किया जाना चाहिए जो यह निर्धारित करता है कि किस ख़ास नियंत्रण का चुनाव उद्देश्यों के आधार पर और किस 
मानक के आधार पर किया गया है और क्यों.

क्रियान्वयन

क्रियान्वयन जोखिमों के प्रभाव को कम करने के लिए सभी सुनियोजित पद्धतियों का अनुपालन करें। उन जोखिमों के लिए बीमा पॉलिसियां खरीदें जिसे किसी बीमाधारक को हस्तांतरित करने का निर्णय लिया जा चुका है, उन सभी जोखिमों से बचें जिससे कंपनी के लक्ष्यों का त्याग किए बिना दूसरों को कम कर एवं शेष को बरकरार रख कर बचा जा सकता है।

सीमाएं

अगर जोखिमों का अनुचित मूल्यांकन किया गया है और अनुचित प्राथमिकता प्रदान की गई है, तो असंभावित नुकसानॉ के जोखिम से निपटने में समय की बर्बादी हो सकती है। असंभावित जोखिमों का आकलन और प्रबंधन में बहुत अधिक समय व्ययतीत करने से अधिक लाभप्रद ढंग से प्रयोग किये जा सकने वाले संसाधनॉ का दूसरे कामों में उपयोग हो सकता है। असम्भाव्य घटनाएं घटती ही हैं लेकिन यदि जोखिम के होने की सम्भावना भी असंभावित हो तो यही बेहतर होगा कि जोखिम को अपने साथ ही बरकरार रहने दिया जाए और वास्तव में हानि होने पर परिणाम के साथ निपटा जाए. गुणात्मक जोखिम का मूल्यांकन व्यक्तिपरक होता है और इसमें सामंजस्य का अभाव होता है। औपचारिक जोखिम के मूल्यांकन की प्रक्रिया का प्राथमिक औचित्य बैध और अधिकारी तंत्र प्रधान है।
जोखिम प्रबंधन की प्रक्रिया को अत्यधिक प्राथमिकता प्रदान करना किसी संस्था को परियोजना को पूर्ण करने नहीं देता है, या यहां तक कि प्रारंभ ही नहीं करने देता है। विशेष रूप से यह तब सच होता है जब तक कि जोखिम प्रबंधन की प्रक्रिया पूर्ण नहीं मानी जाने तक अन्य कार्य निलंबित कर दिया जाता है।
जोखिम और अनिश्चयता के बीच अंतर को भी ध्यान में रखना महत्वपूर्ण है। जोखिम को प्रभाव और सम्भाव्यता के गुणनफल से मापा जा सकता है।

जोखिम प्रबंधन के क्षेत्र

कंपनी वित्त के साथ लागू होने वाला, जोखिम प्रबंधन किसी फर्म के तुलन पत्र (बैलेंस शीट) में वित्तीय अथवा परिचालन सम्बन्धी जोखिम को मापने, देख-रेख (मॉनिटर) करने और नियंत्रित करने की तकनीक है। मूल्य को जोखिम में देखें.
द बासेल II की बनाई रूपरेखा जोखिमों को बाज़ार जोखिम (मूल्य जोखिम), ऋण संबंधी जोखिम और परिचालन संबंधी जोखिम में विभाजित करती है और इनमें से प्रत्येक घटक के लिए पूंजीगत आवश्यकताओं की गणना करने की पद्धति का भी विस्तृत विवरण देती है।

जोखिम प्रबंधन और व्यवसाय की निरंतरता

जोखिम प्रबंधन किसी संस्था के प्रति होने वाली खतरे की आशंका को कम करने के लिए लागत प्रभावी प्रस्तावों को सुव्यवस्थित ढंग से चुनने की केवल एक कार्यप्रणाली है। सभी जोखिमों की पूरी तरह उपेक्षा अथवा न्यूनीकरण केवल आर्थिक और व्यावहारिक सीमाओं के कारण नहीं की जा सकती है। इसलिए सभी संस्थाओं को कुछ स्तर तक अवशिष्ट जोखिमों को स्वीकार करना पड़ता है।
जबकि जोखिम प्रबंधन पूर्वक्रय अभिमुखी होता है, व्यापार निरंतरता योजना (BCP) का आविष्कार अनुभूत अवशिष्ट जोखिमों के परिणामों से निपटने के लिए किया गया था। BCP को सही स्थान में रखने की आवश्यकता उत्पन्न होती है क्योंकि पर्याप्त समय देने पर असंभावित घटनाएं भी हो सकती हैं। अक्सर जोखिम प्रबंधन और BCP को भूल से एक दूसरे के प्रतिद्वंद्वी अथवा अतिव्यापि कार्यप्रणालियों के रूप में देखा जाता है। वास्तव में ये प्रक्रियाएं एक दूसरे के साथ इतनी कसकर बंधी हुई होती है कि ऐसा अलगाव बनावटी लगता है। उदाहरण के लिए, जोखिम प्रबंधन की प्रक्रिया BCP के लिए (परिसंपत्तियां, प्रभाव आकलन, लागत मूल्यांकन इत्यादि) महत्वपूर्ण निवेशों की सृष्टि करती है। जोखिम प्रबंधन अवलोकित जोखिमों के लिए प्रयोज्य नियंत्रणों का प्रस्ताव भी देती है। इसलिए, जोखिम प्रबंधन कई ऐसे क्षेत्रों को शामिल करती हैं जो BCP प्रणाली के लिए महत्वपूर्ण होती हैं। हालांकि, BCP प्रक्रिया जोखिम प्रबंधन के पूर्वक्रय दृष्टिकोण से बाहर निकलकर इस पूर्वानुमान से आगे बढ़ जाती है कि किसी न किसी विन्दु पर दुर्घटना घटेगी.

जोखिम संचार

जोखिम संचार एक जटिल पार अनुशासनिक अकादमिक क्षेत्र है। जोखिम संचारकों के लिए यही एक समस्या है कि अभिप्रेत श्रोताओं/दर्शकों के पास कैसे पहुंचा जाए ताकि जोखिम को अन्य जोखिमों की तुलना में बोधगम्य और प्रासंगिक बनाया जाए, जोखिम से सम्बंधित दर्शकों के मूल्यों के प्रति उचित सम्मान कैसे दिया जाए, संचार के प्रति दर्शकों की प्रतिक्रिया का पूर्वानुमान कैसे किया जाय इत्यादि. जोखिम संचार के प्रमुख लक्ष्य है, सामूहिक और व्यक्तिगत निर्णय निर्धारण में सुधार. जोखिम संचार कुछ हद तक संकट संचार से संबंधित है।