من أين تأتي المخاطرWhere risks come from

من مصادر أربعة: أهداف استراتيجية، عمليات تشغيلية، تغييرات تنظيمية، وحوادث سابقة. السجل الذي يُبنى من ورشة واحدة يفوّت مصادر كاملة.Four sources: strategic objectives, operations, regulatory change, and past incidents. A register built from one workshop misses whole sources.

الوصف بصيغة سبب وحدث وأثرDescribe as cause, event, effect

«فقدان بيانات» ليس مخاطرة موصوفة. الوصف الجيد: بسبب غياب نسخة معزولة، قد نفقد بيانات العملاء، ما يؤثر على الالتزام والسمعة."Data loss" is not a described risk. A good description: because no isolated copy exists, we may lose customer data, affecting compliance and reputation.

التقييم بلا تعقيدAssess without complexity

أثر × احتمال بخمسة مستويات لكل منهما يكفي لبداية. النماذج المعقدة تُنتج أرقاماً يصعب الدفاع عنها وتُبطئ التحديث.Impact × likelihood with five levels each is enough to start. Complex models produce numbers hard to defend and slow to update.

مالك واحد لكل خطرOne owner per risk

الملكية الجماعية تعني لا ملكية. لكل خطر شخص مسؤول يعرف أنه مسؤول، وبدون ذلك لن يُنفَّذ أي إجراء علاجي.Collective ownership means no ownership. Each risk needs a named accountable person; without it no treatment gets executed.

المعالجة بأربعة خياراتFour treatment options

تجنّب، تقليل، نقل، أو قبول. كل خيار يحتاج قراراً موثقاً: من قرر، ومتى، ولماذا. القبول بلا توثيق يُصبح إهمالاً عند أول حادثة.Avoid, reduce, transfer or accept. Each option needs a documented decision: who decided, when and why. Undocumented acceptance becomes negligence at the first incident.

المتابعة والإيقاعFollow-up and cadence

مراجعة ربع سنوية: ما تغيّر في الأثر؟ هل نُفّذت المعالجة؟ ما المخاطر الجديدة؟ السجل الحي وثيقة تتغير، لا ملف يُؤرشف.Quarterly review: what changed in impact, was treatment executed, and what is new? A live register is a changing document, not an archived file.