ورشة عمل لإدارة المخاطر

ما ورشة عمل إدارة المخاطر في الكريبتو؟

ورشة عمل إدارة المخاطر اجتماع منظم يحدد فيه فريق مختص بالكريبتو أو مجموعة مستثمرين أو DAO أو فريق تطوير أو لجنة خزانة أو وحدة عمليات المخاطر ويحللها ويرتبها حسب الأولوية ويحد منها قبل أن تتحول إلى خسائر جسيمة.

قد تركز ورشة إدارة المخاطر في العملات المشفرة على مخاطر التداول أو العقود الذكية أو الحفظ أو الجسور أو DeFi أو المدققين أو الامتثال أو العمليات أو الأمن السيبراني أو السيولة أو السوق.

ليس الهدف إزالة جميع المخاطر، لأن أنشطة الكريبتو تنطوي دائماً على قدر من عدم اليقين.

بل الهدف فهم المخاطر بوضوح كافٍ لاتخاذ قرارات أفضل.

توضح صفحة معيار ISO 31000 لإدارة المخاطر أن إدارة المخاطر توفر مبادئ وإطاراً وعملية لإدارة المخاطر في المؤسسات بمختلف أحجامها وأنشطتها وقطاعاتها.

تفيد هذه الفكرة العامة في الكريبتو لأن المشروع الواحد قد يجمع بين هندسة البرمجيات والتمويل وإدارة الخزانة والحوكمة والأمن السيبراني ودعم المستخدمين والتعرض التنظيمي ونشاط السوق العامة.

تساعد ورشة العمل الفعالة الأشخاص في الأدوار المختلفة على تبادل المعلومات بدلاً من التعامل مع المخاطر باعتبارها مسؤولية قسم واحد.

تكتسب ورشة إدارة المخاطر أهمية لمستخدمي الكريبتو لأن الأصول الرقمية قد تتحرك بسرعة، والمعاملات قد تكون غير قابلة للعكس، والضوابط الضعيفة قد تحول الأخطاء الصغيرة إلى خسائر كبيرة.

تعريف مبسط لورشة عمل إدارة المخاطر

ورشة عمل إدارة المخاطر جلسة تخطيط يرسم فيها المشاركون ما قد يحدث من أخطاء، ويقدرون احتمال كل خطر وحجم الضرر الذي قد يسببه، ثم يقررون الضوابط أو الإجراءات التي تحد منه.

قد تشمل الورشة في شركة كريبتو المؤسسين والمطورين ومهندسي الأمن والمتداولين وموظفي الامتثال والمخولين بالتوقيع على أموال الخزانة ودعم العملاء والمستشارين القانونيين ومديري المنتجات.

وقد تشمل الورشة في DAO المندوبين والمخولين بالتوقيع متعدد الأطراف ومساهمي المخاطر ومهندسي البروتوكول وممثلي المجتمع ومديري الخزانة.

وقد تركز ورشة فريق التداول على تحديد حجم الصفقة وأوامر وقف الخسارة ومخاطر التصفية ومخاطر الطرف المقابل والوصول إلى المنصة ومفاتيح API وتقلب السوق.

وقد تركز ورشة بروتوكول DeFi على مخاطر Oracle وأخطاء العقود الذكية وهجمات الحوكمة واستنزاف السيولة وسلاسل التصفية وإجراءات الإيقاف الطارئ.

توفر الورشة تصوراً مشتركاً للمخاطر.

كما تنتج خطة عمل عملية.

تنتهي الورشة الجيدة بتحديد المسؤولين والمواعيد النهائية والضوابط ومراجعات المتابعة، لا بمجرد اتفاق عام على أهمية المخاطر.

أهمية ورش إدارة المخاطر في الكريبتو

تكتسب ورش إدارة المخاطر أهميتها لأن مخاطر الكريبتو متعددة الطبقات.

قد يظن المستخدم أنه يتعرض لمخاطر السعر وحدها، لكنه قد يواجه أيضاً مخاطر المحفظة والعقود الذكية والسيولة والجسور وOracle والتنظيم والتصيد الاحتيالي.

وقد يعتقد المشروع أن أكبر مخاطره هو وجود خلل في العقد، بينما تكمن نقطة الضعف الفعلية في التحكم بمفتاح المسؤول أو صلاحيات الترقية أو ثغرات المراقبة أو أمان API أو تركّز الخزانة أو غموض الاستجابة للحوادث.

تحذر إرشادات FINRA بشأن مخاطر الأصول المشفرة من أن الأصول المشفرة محفوفة بالمخاطر، وغالباً ما تتسم بتقلب شديد، وقد تفتقر إلى وسائل مهمة لحماية المستثمرين.

كما تسلط مواد CFTC بشأن مخاطر الأصول الرقمية الضوء على الاحتيال والتقلب ومخاطر السوق في أسواق العملات الافتراضية.

تدفع الورشة الفرق إلى التمهل والسؤال عن مصادر الخسائر المحتملة قبل تعريض المستخدمين أو رأس المال أو سمعة البروتوكول للخطر.

ويكتسب ذلك أهمية خاصة لأن إخفاقات الكريبتو غالباً ما تحدث بوتيرة أسرع من الإخفاقات المالية التقليدية.

تحول الورشة المفيدة المخاطر المجردة إلى قرارات محددة بشأن الحدود والضوابط والمراقبة والمساءلة والإجراءات الطارئة.

الأهداف الأساسية لورشة عمل إدارة المخاطر

الهدف الأول هو تحديد المخاطر التي قد يتجاهلها الفريق.

والثاني هو ترتيب تلك المخاطر وفق احتمال وقوعها وتأثيرها.

والثالث هو تحديد المخاطر التي ينبغي قبولها أو تقليلها أو نقلها أو مراقبتها أو تجنبها.

والرابع هو إسناد المسؤولية عن الاستجابة لكل خطر.

والخامس هو إعداد وثائق يمكن مراجعتها لاحقاً.

والسادس هو توحيد فهم أصحاب المصلحة التقنيين والماليين والقانونيين والتشغيليين والمجتمعيين للمخاطر.

والسابع هو الاستعداد للحوادث قبل بدء حالة الذعر.

تكون الورشة أكثر فائدة في الكريبتو عندما تربط مناقشة المخاطر بضوابط فعلية، مثل سياسات التوقيع متعدد الأطراف وحدود السحب وأنظمة التنبيه والتدقيقات وقواطع الدوائر ومراجعات الوصول وخطط التواصل مع المستخدمين.

آلية عمل ورشة إدارة المخاطر

تبدأ ورشة إدارة المخاطر عادةً بتحديد النطاق.

يقرر الفريق ما إذا كانت الورشة ستغطي منتجاً واحداً أو خزانة واحدة أو ترقية بروتوكول واحدة أو استراتيجية تداول واحدة أو إطلاقاً واحداً أو المؤسسة بأكملها.

ثم يسرد المشاركون الأصول والأنظمة والمستخدمين والأموال والعقود والمفاتيح والموردين والعمليات التي تحتاج إلى حماية.

بعد ذلك، تحدد المجموعة التهديدات وسيناريوهات الإخفاق.

ثم يُقيّم كل خطر وفق احتمال وقوعه وتأثيره.

وتناقش المجموعة الضوابط القائمة وما إذا كانت كافية.

ثم تختار المجموعة إجراءات لمعالجة أهم المخاطر.

ينبغي أن تتضمن المخرجات النهائية سجل المخاطر وقائمة الإجراءات وقائمة المسؤولين عن الضوابط وتاريخ المراجعة وآلية التصعيد.

تحديد المخاطر

يعني تحديد المخاطر البحث عن الأحداث التي قد تضر بالمشروع أو المستخدمين أو الخزانة أو البروتوكول أو الاستراتيجية.

قد تنشأ المخاطر في الكريبتو عن تحركات السوق والأخطاء البرمجية وهجمات الحوكمة واختراق مفتاح المسؤول ونقص السيولة وإخفاق الجسور والتلاعب بـ Oracle والتصيد الاحتيالي وإساءة استخدام الصلاحيات الداخلية والتوقف عن العمل والتغيرات التنظيمية وأخطاء واجهة المستخدم.

توضح إرشادات NIST لتقييم المخاطر SP 800-30 أن تقييم المخاطر يوفر للقادة معلومات تساعدهم على تحديد الإجراءات المناسبة للتعامل مع المخاطر المكتشفة.

تنطبق الفكرة نفسها على فرق الكريبتو، إذ لا يستطيع القادة اتخاذ قرارات جيدة إذا كانت الصورة الحقيقية للمخاطر غير واضحة.

ينبغي أن يشمل تحديد المخاطر السيناريوهات الواضحة وغير المريحة على حد سواء.

ينبغي للورشة أن تسأل عما سيحدث إذا اختُرق حساب الموقّع الرئيسي، أو أوقف جسر، أو فقد أصل مستقر ارتباطه بالسعر المرجعي، أو فشلت ترقية عقد، أو غادر موظف رئيسي، أو اختفى مصدر رئيسي للسيولة.

تدعو أفضل الورش المشاركين إلى تحدي الافتراضات دون خوف.

المخاطر الخفية عادةً أخطر من المخاطر التي تُناقش علناً.

تحليل المخاطر

يعني تحليل المخاطر تقدير مدى خطورة كل خطر.

ينظر الفريق عادةً إلى الاحتمال والتأثير والسرعة وقابلية الاكتشاف وقوة الضوابط.

يسأل الاحتمال عن مدى ترجيح وقوع الخطر.

ويسأل التأثير عن مدى جسامة الضرر الذي قد ينتج عنه.

وتقيس السرعة مدى سرعة وقوع الخسارة بعد ظهور الخطر.

وتقيس قابلية الاكتشاف ما إذا كان الفريق سيلاحظ المشكلة مبكراً.

أما قوة الضوابط فتقيس ما إذا كانت وسائل الحماية القائمة ستعمل فعلاً في ظروف الضغط.

ينبغي لفرق الكريبتو عدم ترتيب المخاطر وفق معدل تكرارها وحده، إذ قد تدمر الأحداث النادرة الخزانة أو البروتوكول أو السمعة.

تقييم المخاطر

يعني تقييم المخاطر تحديد المخاطر التي تتطلب اتخاذ إجراء أولاً.

قد تستخدم الورشة نموذجاً بسيطاً للتصنيف إلى مرتفع ومتوسط ومنخفض.

وقد تستخدم أيضاً درجة رقمية، مثل حاصل ضرب الاحتمال في التأثير.

ينبغي عادةً إيلاء أكبر قدر من الاهتمام للمخاطر عالية التأثير التي تفتقر إلى ضوابط قوية.

وقد لا تتطلب المخاطر منخفضة التأثير ذات الضوابط القوية سوى المراقبة.

قد تُقبل بعض المخاطر لأن تقليلها مكلف جداً أو لأنه سيحول دون إطلاق المنتج تماماً.

وقد تكون مخاطر أخرى غير مقبولة لأن إخفاقاً واحداً قد يضر المستخدمين ضرراً دائماً.

يساعد تقييم المخاطر الفرق على توجيه الوقت والمال المحدودين إلى المجالات الأهم.

معالجة المخاطر

تعني معالجة المخاطر اختيار الإجراء المناسب لكل خطر.

يمكن للفريق تجنب الخطر بالامتناع عن النشاط.

ويمكنه تقليله بإضافة ضوابط.

ويمكنه نقل جزء منه عبر التأمين أو الاتفاقيات القانونية أو ترتيبات الحفظ لدى أطراف خارجية عند الاقتضاء.

كما يمكنه قبول الخطر إذا كان مفهوماً وضمن حدود التحمل.

ويمكنه مراقبته إذا كان من المحتمل أن يتغير بمرور الوقت.

قد تشمل معالجة المخاطر في الكريبتو تدقيق العقود الذكية ومكافآت اكتشاف الأخطاء وقواعد التوقيع متعدد الأطراف والأقفال الزمنية وحدود السحب ووسائل حماية Oracle وسقوف السيولة ومراجعات التحكم في الوصول ومحاكاة المعاملات وتدريبات الحوادث والإفصاحات العامة.

ينبغي أن توضح خطة المعالجة المسؤول عن الإجراء والموعد المحدد لإنجازه.

سجل المخاطر

سجل المخاطر هو الوثيقة الرئيسية التي تنتجها ورش إدارة المخاطر في كثير من الأحيان.

يسرد المخاطر وأسبابها وآثارها ودرجاتها والضوابط القائمة والمعالجات المخطط لها والمسؤولين والمواعيد النهائية وحالة المراجعة.

قد يتضمن سجل مخاطر الكريبتو بنوداً عن اختراق المفتاح الخاص وثغرات العقود الذكية والتلاعب بـ Oracle وأزمات السيولة وهجمات الحوكمة وتعطل الموردين وحملات التصيد الاحتيالي وانهيار السوق وإخفاق الجسور والإشعارات التنظيمية والهندسة الاجتماعية.

ينبغي أن يكون سجل المخاطر عملياً لا شكلياً.

فإذا لم يحدّثه أحد، سرعان ما يصبح قديماً.

وإذا لم يتول أحد مسؤولية المخاطر، فلن يغير السجل السلوك.

وإذا كان نظام التصنيف معقداً جداً، فقد تتجنب الفرق استخدامه.

يكون سجل المخاطر الجيد واضحاً بما يكفي ليستفيد منه القادة والمهندسون ومديرو الخزانة والمدققون.

ورشة مخاطر سوق العملات المشفرة

تركز ورشة مخاطر سوق العملات المشفرة على تقلب الأسعار والسيولة والرافعة المالية والارتباطات وأوامر وقف الخسارة ومخاطر التصفية وتركّز المحفظة.

قد يراجع المشاركون حالات التراجع التاريخية وسيناريوهات الضغط والمراكز المفتوحة والتعرض للأصول المستقرة وقواعد الضمانات وسيولة الخروج.

يفيد هذا النوع من الورش مكاتب التداول وفرق الخزانة وصناع السوق والصناديق وDAOs التي تحتفظ بمراكز كبيرة من التوكنات.

قد تسأل المجموعة عن مقدار ما ستخسره الخزانة إذا انخفض أصل رئيسي بنسبة 30% أو 50% أو 80%.

وقد تسأل أيضاً عما إذا كان الفريق يستطيع الخروج من المراكز دون تحريك السوق.

ينبغي أن تشمل ورش مخاطر السوق الرسوم والانزلاق السعري ومعدلات التمويل وتكاليف الاقتراض وظروف السيولة خلال عطلة نهاية الأسبوع.

ينبغي أن تشمل مخرجات الورشة حدود المراكز وقواعد إعادة التوازن وسياسات وقف الخسارة وهوامش السيولة ومحفزات التصعيد.

الفريق الذي لا يستطيع شرح مخاطره الهبوطية لا يدير مخاطر السوق بوضوح.

ورشة مخاطر حفظ العملات المشفرة

تركز ورشة مخاطر الحفظ على حماية المفاتيح الخاصة وعبارات الاسترداد والمحافظ وأجهزة التوقيع وإجراءات الاستعادة وأصول الخزانة.

هذه الورشة ضرورية لأن التحكم في المفاتيح الخاصة يعني غالباً التحكم في الأموال.

ينبغي للمجموعة حصر كل محفظة ومفتاح يمكنه نقل الأصول أو تغيير العقود أو الموافقة على إجراءات مهمة.

ينبغي تحديد من يستطيع التوقيع والاستعادة وتغيير الموقّعين والاطلاع على مواد النسخ الاحتياطي الحساسة.

كما ينبغي التحقق مما إذا كانت عتبات التوقيع متعدد الأطراف مناسبة لقيمة الأصول التي تتحكم بها.

ينبغي أن تناقش الورشة حفظ محافظ الأجهزة والأمن المادي وإلغاء صلاحيات الوصول والاستبدال الطارئ للموقّعين والتدريب على التصيد الاحتيالي والتحقق من المعاملات.

ينبغي اختبار ضوابط الحفظ الخاصة بالخزائن الكبيرة عبر التدريبات، لا الاكتفاء بتدوينها في السياسات.

مخاطر الحفظ من أهم الموضوعات في أي ورشة لإدارة مخاطر الكريبتو.

ورشة مخاطر العقود الذكية

تركز ورشة مخاطر العقود الذكية على التعليمات البرمجية والبنية وصلاحيات الترقية ومخاطر التبعيات وتصميم Oracle والاستغلالات الاقتصادية والضوابط الطارئة.

يوفر قائمة OWASP لأهم 10 مخاطر في العقود الذكية لعام 2026 إطاراً توعوياً مفيداً بشأن ثغرات العقود الذكية ومخاوفها الأمنية.

ينبغي أن تراجع الورشة قابلية العقود للترقية ومن يتحكم في الترقيات وما إذا كان هناك قفل زمني وما إذا كان المستخدمون يستطيعون الخروج قبل إجراء تغييرات خطرة.

كما ينبغي التحقق مما إذا كانت وظائف المسؤول قوية أكثر من اللازم أو موثقة بشكل سيئ.

ينبغي للمطورين تحديد الاستدعاءات الخارجية والتبعيات على Oracle والأدوار ذات الصلاحيات ورسائل الجسور وافتراضات التوكنات وأنماط إعادة الدخول وما شابهها عند الاقتضاء.

ينبغي للفريق مناقشة حالة التدقيق وتغطية مكافآت اكتشاف الأخطاء واختبارات التغطية والمراقبة وحدود التراجع عن التغييرات.

لا ينبغي لورشة العقود الذكية افتراض أن التدقيق يزيل كل المخاطر.

بل ينبغي اعتبار التدقيق أحد الضوابط ضمن عملية أمنية أشمل.

ورشة مخاطر DeFi

تركز ورشة مخاطر DeFi على المخاطر المالية والتقنية الخاصة بالبروتوكول.

قد تشمل الموضوعات معاملات الضمانات وحدود التصفية وتأخر تحديث Oracle وعمق السيولة وحوافز التوكنات وتركّز المجمعات والتحكم في الحوكمة والاعتماد على بروتوكولات خارجية.

ينبغي أن تسأل الورشة عما يحدث إذا تحركت أسعار الضمانات بسرعة تفوق قدرة عمليات التصفية على العمل.

كما ينبغي أن تسأل عما يحدث إذا تأخر Oracle أو تعرض للتلاعب أو أصبح غير متاح.

وينبغي أن تسأل عما إذا كان بإمكان مزودي السيولة السحب في الوقت نفسه دون الإضرار بالنظام.

كما ينبغي أن تسأل عما إذا كانت توكنات المكافآت تحقق عائداً قصير الأجل لكنها تخلق ضغط بيع طويل الأجل.

وينبغي أيضاً دراسة مخاطر قابلية التركيب، إذ قد يعتمد بروتوكول على أصول بروتوكول آخر أو بيانات أسعاره أو سيولته.

ينبغي لورش مخاطر DeFi أن تجمع بين النمذجة الاقتصادية وأمن العقود الذكية.

فقد يكون البروتوكول سليماً من الناحية التقنية، لكنه يفشل اقتصادياً.

ورشة مخاطر الجسور والمخاطر عبر السلاسل

تركز ورشة مخاطر الجسور على الأنظمة التي تنقل الأصول أو الرسائل بين الشبكات.

قد تشمل مخاطر الجسور اختراق المدققين وانتحال الرسائل وأخطاء العقود الذكية ونقص السيولة وتأخر النهائية ومشكلات إعادة التشغيل ومخاطر إعادة تنظيم الشبكة والتعرض لمفاتيح المسؤول.

ينبغي للورشة حصر كل جسر يستخدمه المشروع وكل أصل منقول عبر جسر يحتفظ به المستخدمون أو الخزانة.

ينبغي تحديد ما إذا كان الجسر أصلياً أو تابعاً لجهة خارجية أو قائماً على السيولة أو المدققين أو إثباتات التحقق.

كما ينبغي أن تسأل المجموعة عما يحدث إذا توقفت عمليات السحب عبر الجسر أو فقد الجسر الثقة.

غالباً ما يتعامل المستخدمون مع الأصول المنقولة عبر الجسور باعتبارها توكنات عادية، لكن قيمتها تعتمد على آلية الجسر التي تدعمها.

ينبغي تحديد سقف للتعرض لمخاطر الجسور ومراقبته والتواصل بشأنه بوضوح.

لا ينبغي تقييم سهولة الاستخدام عبر السلاسل دون دراسة سيناريوهات الإخفاق عبرها.

ورشة مخاطر الأمن السيبراني

تركز ورشة مخاطر الأمن السيبراني على التصيد الاحتيالي والبرمجيات الخبيثة والوصول إلى السحابة ومفاتيح API ومسارات CI/CD وأجهزة الموظفين والهندسة الاجتماعية والمراقبة والاستجابة للحوادث.

صُمم إطار الأمن السيبراني 2.0 الصادر عن NIST لمساعدة المؤسسات على فهم مخاطر الأمن السيبراني وتقليلها وإدارتها.

تحتاج فرق الكريبتو إلى ورش للأمن السيبراني لأن المهاجمين يستهدفون غالباً الأنظمة المحيطة بالبلوكتشين لا البلوكتشين نفسه.

قد يخترق المهاجم حساب مطور أو لوحة تحكم سحابية أو تبعية برمجية أو واجهة محفظة أو إعداد DNS أو مفتاح API أو حساباً على وسائل التواصل الاجتماعي.

ينبغي أن تحدد الورشة الحسابات ذات الصلاحيات المرتفعة وأسرار بيئة الإنتاج وصلاحيات النشر وإمكانية وصول الموردين والثغرات في المراقبة.

كما ينبغي مراجعة قدرة الموظفين على اكتشاف التصيد الاحتيالي وسرعة الإبلاغ عن الحوادث.

ينبغي إدراج أمن API لأن المحافظ ولوحات المعلومات وأنظمة التداول وأدوات الامتثال تعتمد غالباً على واجهات API.

يمثل دليل OWASP لأهم 10 مخاطر في أمن API لعام 2023 مرجعاً مفيداً لمخاطر التفويض والمصادقة والتعرض عبر API.

ورشة مخاطر الامتثال

تركز ورشة مخاطر الامتثال على المخاطر القانونية والتنظيمية ومخاطر إعداد التقارير والعقوبات والضرائب وحماية المستهلك ونزاهة السوق.

يفيد هذا النوع من الورش الفرق التي تقدم خدمات الحفظ أو التداول أو الأصول المرمزة أو المدفوعات أو الإقراض أو خدمات Staking أو منتجات الأصول الحقيقية.

ينبغي للمجموعة تحديد الولايات القضائية المعنية والأنشطة التي قد تستدعي التسجيل أو تقديم التقارير ومسارات المستخدمين الأكثر عرضة قانونياً.

كما ينبغي حصر إجراءات التحقق من العقوبات وضوابط الأنشطة المشبوهة وإفصاحات المستخدمين والتقارير الضريبية والتعامل مع الخصوصية والاحتفاظ بالسجلات.

مخاطر الامتثال ليست مسألة تخص القسم القانوني وحده، لأن تصميم المنتج قد ينشئ المخاطر القانونية أو يقللها.

قد تؤدي ميزة تبدو ملائمة إلى تعرض تنظيمي إذا غيرت الحفظ أو قابلية النقل أو العائد أو أهلية المستخدم.

ينبغي أن تنتج ورش الامتثال قرارات واضحة بشأن المنتج، لا مذكرات قانونية فحسب.

ينبغي لفرق الكريبتو إعادة النظر في مخاطر الامتثال باستمرار لأن القواعد وأولويات الإنفاذ قد تتغير.

ورشة المخاطر التشغيلية

تنشأ المخاطر التشغيلية عن إخفاق العمليات أو الأشخاص أو الأنظمة أو الموردين أو الضوابط الداخلية.

قد تشمل المخاطر التشغيلية في الكريبتو إدخال عناوين محافظ خاطئة أو اختيار شبكة غير صحيحة أو عدم توفر الموقّع أو فشل عمليات النشر أو عدم دقة لوحات المعلومات أو تعطل الموردين أو ضعف أدلة الإجراءات أو سوء دعم العملاء أو غموض مسارات التصعيد.

ينبغي للورشة تتبع سير العمل المهم من البداية إلى النهاية.

على سبيل المثال، قد تشمل عملية تحويل أموال الخزانة إنشاء الطلب والموافقة ومحاكاة المعاملة والتحقق من العنوان والتوقيع متعدد الأطراف وبث المعاملة ومراقبتها والمحاسبة والتواصل مع المستخدمين.

قد تفشل كل خطوة.

ينبغي للورشة تحديد الخطوة التي قد يؤدي الخطأ فيها إلى أكبر ضرر والضابط الذي يمكنه اكتشافه.

غالباً ما تبدو المخاطر التشغيلية عادية إلى أن تصبح مكلفة.

تجعل الورش الجيدة الإجراءات الروتينية أكثر أماناً قبل بدء الأزمة.

ورشة مخاطر الخزانة

تركز ورشة مخاطر الخزانة على كيفية حفظ أموال خزانة الكريبتو وتنويعها وإنفاقها والتحوط لها ومراقبتها.

غالباً ما تحتفظ DAOs والمؤسسات والشركات الناشئة وفرق البروتوكولات بتوكنات متقلبة وأصول مستقرة وتخصيصات تخضع للاستحقاق ومراكز سيولة واحتياطيات تشغيلية.

ينبغي أن تسأل الورشة عن المدة التي تستطيع فيها الخزانة تمويل العمليات خلال سوق هابطة.

وينبغي أن تسأل عما إذا كان جزء كبير جداً من الخزانة محتفظاً به في أصل واحد.

كما ينبغي أن تسأل عما إذا كانت الأصول المستقرة تنطوي على مخاطر الجهة المُصدرة أو فقدان الارتباط أو الحفظ.

وينبغي أن تسأل عما إذا كانت سياسات الإنفاق واضحة وما إذا كان بالإمكان استبدال الموقّعين بأمان.

ينبغي أن تشمل ورش الخزانة تخطيط مدة التمويل والسيولة المطلوبة وقواعد التنويع وعتبات الموافقة وإجراءات الإنفاق الطارئ.

قد تبدو الخزانة كبيرة خلال السوق الصاعدة، لكنها تصبح هشة خلال تراجع حاد.

ورشة الاستجابة للحوادث

تُعِد ورشة الاستجابة للحوادث الفريق للتعامل مع أحداث مثل الاختراقات وإخفاقات Oracle وتوقف الجسور وأخطاء العقود واختراق المفاتيح وهجمات التصيد وأزمات السيولة وحالات الطوارئ المتعلقة بالتواصل العام.

ينبغي أن تحدد الورشة صاحب القرار أثناء الحادث.

وينبغي أن تحدد من يستطيع إيقاف العقود مؤقتاً والتواصل مع المدققين وإخطار المستخدمين والتنسيق مع الموقّعين ونشر التحديثات وحفظ الأدلة.

كما ينبغي أن تحدد المعلومات التي يمكن مشاركتها علناً وموعد ذلك.

غالباً ما تقع حوادث الكريبتو علناً لأن النشاط على السلسلة مرئي.

قد تزيد الاستجابة البطيئة أو المشوشة الضرر الذي يلحق بالمستخدمين والسمعة.

ينبغي للفرق إجراء تمارين محاكاة مكتبية قبل وقوع الحوادث الحقيقية.

التمرين المكتبي سيناريو تدريبي يراجع فيه المشاركون القرارات والاتصالات وخطوات التصعيد.

المشاركون في الورشة

ينبغي أن تضم ورشة إدارة المخاطر أشخاصاً يفهمون النظام من زوايا مختلفة.

يفهم المطورون التعليمات البرمجية والبنية.

ويفهم مهندسو الأمن مسارات الهجوم وثغرات الضوابط.

ويفهم مديرو الخزانة الأموال والسيولة والموافقات.

ويسهم المختصون القانونيون ومختصو الامتثال بفهم التعرض التنظيمي.

ويفهم موظفو العمليات الإجراءات اليومية والإخفاقات المؤثرة في المستخدمين.

ويفهم ممثلو المجتمع أو الحوكمة توقعات المستخدمين ومخاطر السمعة.

قد تفوّت الورشة التي تضم المديرين التنفيذيين فقط تفاصيل تقنية، بينما قد تفوّت الورشة التي تضم المهندسين فقط المخاطر القانونية والسوقية ومخاطر المستخدمين.

مدخلات الورشة

تجعل المدخلات الجيدة الورشة أكثر فائدة.

قد تشمل المدخلات مخططات البنية وجرد المحافظ وعناوين العقود الذكية وجداول الأدوار والصلاحيات وتقارير التدقيق وسجل الحوادث وتقارير الخزانة وسياسات التداول وقوائم الموردين وخرائط API وشكاوى المستخدمين والمذكرات التنظيمية ولوحات المراقبة.

قد تشمل مدخلات بروتوكول DeFi مخططات Oracle ومحاكاة التصفية وبيانات السيولة ومعايير الحوكمة وضوابط ترقية العقود.

وقد تشمل مدخلات فريق التداول تقارير التعرض وحدود الرافعة المالية وسجل وقف الخسائر وبيانات التراجع وقوائم الأطراف المقابلة.

وقد تشمل مدخلات عمليات الحفظ إجراءات إدارة المفاتيح وقوائم الموقّعين وخطط الاستعادة وسجلات الوصول.

من دون مدخلات، تتحول الورشة إلى نقاش قائم على الآراء.

أما المدخلات الجيدة فتتيح للمجموعة التركيز على الأدلة والقرارات.

تجمع أفضل الورش بين البيانات وحكم الخبراء.

مخرجات الورشة

يكون سجل المخاطر عادةً المخرج الرئيسي.

وقد تشمل المخرجات الأخرى خريطة حرارية للمخاطر وخطة عمل وقائمة تحقق للضوابط وتحديثات الاستجابة للحوادث وتغييرات السياسات ومتطلبات المراقبة ومهام مراجعة الأدوار وأولويات التدقيق وتوصيات الحوكمة.

ينبغي أن يكون لكل إجراء مسؤول وموعد نهائي.

ينبغي أن تكون للمخاطر العالية مسارات تصعيد.

وينبغي تحديد مواعيد مراجعة المخاطر المتوسطة.

كما ينبغي تدوين سبب قبول المخاطر المقبولة.

ينبغي اختبار الضوابط بعد إضافتها.

لا تكون الورشة ذات قيمة إلا إذا غيرت السلوك بعد انتهائها.

الخريطة الحرارية للمخاطر

الخريطة الحرارية للمخاطر جدول مرئي يصنف المخاطر وفق احتمال وقوعها وتأثيرها.

تظهر المخاطر ذات الاحتمال والتأثير المرتفعين في المنطقة الأكثر إلحاحاً.

وتظهر المخاطر ذات الاحتمال والتأثير المنخفضين في المنطقة الأقل إلحاحاً.

تستخدم فرق الكريبتو الخرائط الحرارية لتحديد أولويات الاهتمام بسرعة.

لكن ينبغي ألا تحل الخريطة الحرارية محل التحليل الأعمق.

فقد يكون احتمال بعض المخاطر منخفضاً، لكنها تهدد بقاء المشروع، مثل استغلال جسر أو اختراق مفتاح الخزانة.

وقد تستدعي هذه المخاطر ضوابط قوية حتى إن كان احتمال وقوعها منخفضاً.

تستخدم الورشة الجيدة الخرائط الحرارية أداةً للنقاش، لا إجابة نهائية.

تخطيط السيناريوهات

تخطيط السيناريوهات أسلوب في الورش يدرس ما قد يحدث في ظروف ضغط محددة.

قد يختبر فريق كريبتو سيناريو انهيار السوق أو فقدان أصل مستقر ارتباطه بالسعر المرجعي أو استغلال جسر أو اختراق مفتاح خاص أو حدوث خلل في عقد ذكي.

ينبغي للمجموعة مراجعة الاكتشاف واتخاذ القرار وتأثير المستخدمين واحتياجات السيولة والتواصل والتعافي خطوة بخطوة.

يفيد تخطيط السيناريوهات لأن مخاطر الكريبتو غالباً ما تتفاعل فيما بينها.

قد يؤدي انهيار السوق في الوقت نفسه إلى تصفيات وسحب السيولة وضغط على Oracle وذعر المستخدمين وشائعات على وسائل التواصل الاجتماعي.

وقد يستلزم اختراق مفتاح إيقاف العقود مؤقتاً وتجميد الجسور وتدوير المحافظ والإشعارات القانونية والتحديثات العامة.

تساعد السيناريوهات الفرق على اكتشاف الروابط التي قد لا تكشفها قوائم التحقق المعتادة.

تكون أفضل السيناريوهات واقعية بما يكفي لإنتاج قرارات مفيدة.

الشهية للمخاطر

الشهية للمخاطر هي مقدار المخاطر وأنواعها التي يقبل الفريق تحملها لتحقيق أهدافه.

قد تكون شهية الخزانة المحافظة منخفضة تجاه تركّز التوكنات والتعرض للجسور.

وقد يقبل بروتوكول DeFi جديد قدراً أكبر من المخاطر التقنية أثناء الاختبار، لكنه يقبل مخاطر أقل بعد إتاحة أموال المستخدمين.

وقد يقبل مكتب التداول مخاطر السوق ويرفض مخاطر الطرف المقابل.

وقد تقبل DAO الحوكمة المفتوحة، لكنها ترفض صلاحيات إدارية طارئة غير محدودة.

ينبغي توضيح الشهية للمخاطر لأن الفرق غالباً ما تختلف دون أن تدرك ذلك.

قد يعطي أحد الأشخاص الأولوية للسرعة، بينما يعطي آخر الأولوية للأمان.

تساعد الورشة على تحويل هذه القيم إلى حدود وضوابط محددة.

القدرة على تحمل المخاطر

القدرة على تحمل المخاطر هي الحد القابل للقياس الذي يترجم الشهية للمخاطر إلى قواعد عملية.

على سبيل المثال، قد تقرر الخزانة ألا تحتفظ بأكثر من 20% من أصولها في توكن متقلب واحد.

وقد يقرر البروتوكول ألا يحتفظ أي عقد غير مدقق بأكثر من قيمة محددة قبل إجراء مراجعة إضافية.

وقد يقرر فريق التداول ألا تتجاوز المخاطرة في أي صفقة منفردة 1% من حقوق ملكية الحساب.

وقد تنص سياسة الجسر على أن التعرض الذي يتجاوز حداً معيناً يتطلب مراجعة يدوية.

تجعل القدرة على تحمل المخاطر قرارات الورشة قابلة للقياس.

فمن دون حدود، تصبح الشهية للمخاطر مجرد شعار.

ينبغي لفرق الكريبتو تحديد حدود التحمل قبل أن تؤثر عواطف السوق في القرارات.

الضوابط وإجراءات التخفيف

الضوابط وسائل حماية تقلل المخاطر.

قد تشمل ضوابط الكريبتو محافظ التوقيع متعدد الأطراف والأقفال الزمنية وحدود الإنفاق والتحكم في الوصول القائم على الأدوار ومحافظ الأجهزة ومحاكاة المعاملات والتدقيقات ومكافآت اكتشاف الأخطاء وتنبيهات المراقبة وقواطع الدوائر وحدود المعدلات وتأخير السحب وسقوف Oracle ووظائف الإيقاف الطارئ.

ينبغي أن تتناسب الضوابط مع المخاطر.

يتطلب خلل العقد الذكي مراجعة هندسية واختبارات.

وتتطلب مخاطر سرقة الخزانة ضوابط لإدارة المفاتيح وسياسات للموافقة.

وتتطلب مخاطر انهيار السوق تخطيطاً للسيولة وحدوداً للتعرض.

وتتطلب مخاطر التصيد الاحتيالي التدريب والدفاعات التقنية وإجراءات موافقة أكثر صرامة.

ينبغي اختبار الضوابط أيضاً، لأن الضابط الذي لا يستطيع أحد استخدامه تحت الضغط قد لا يكون ضابطاً فعلياً.

ورشة إدارة المخاطر لإطلاق التوكنات

تراجع ورشة إطلاق التوكن المخاطر قبل أن يصبح التوكن قابلاً للتداول أو التحويل أو المطالبة به.

ينبغي للفريق دراسة توزيع التوكنات والاستحقاق والسيولة وترتيبات صناعة السوق وصلاحيات العقود الذكية وأهلية إيردروب وضوابط المطلعين وإفصاحات المستخدمين وأمن موقع المطالبة.

كما ينبغي مراجعة ما سيحدث إذا انتحل موقع الويب جهة رسمية أو احتوى عقد المطالبة على خلل أو كانت السيولة محدودة أو اختُرقت حسابات وسائل التواصل الاجتماعي.

قد تجذب عمليات إطلاق التوكنات التصيد الاحتيالي وانتحال الهوية ونشاط البوتات وارتباك المستخدمين.

يمكن للورشة تقليل مخاطر الإطلاق عبر إعداد قوائم تحقق وخطط مراقبة وقوالب تواصل وإجراءات طارئة.

ينبغي للفريق التحقق من الروابط الرسمية وعناوين العقود وصلاحيات الموقّعين قبل الإطلاق.

كما ينبغي إعداد ردود دعم للأخطاء الشائعة التي يرتكبها المستخدمون.

إطلاق التوكن حدث أمني بقدر ما هو حدث تسويقي.

ورشة إدارة المخاطر لمنظمات DAO

تركز ورشة إدارة المخاطر في DAO على الحوكمة والخزانة والتفويض وتنفيذ المقترحات وصلاحيات التوقيع متعدد الأطراف والمنح وهجمات التصويت والتواصل مع المجتمع.

ينبغي للمجموعة تحديد من يستطيع تقديم المقترحات أو التصويت أو التنفيذ أو الاعتراض أو الإيقاف المؤقت أو ترقية مكونات البروتوكول.

كما ينبغي مراجعة ما إذا كان تركّز التوكنات يخلق خطر السيطرة على الحوكمة.

ينبغي أن تدرس ورش DAO مدة تمويل الخزانة وموافقات الإنفاق وتغير الموقّعين والمساءلة عن المنح والتقارير العامة.

كما ينبغي مناقشة ما إذا كانت الأدوار الطارئة محددة بوضوح.

قد تكون DAO شفافة ومع ذلك غير آمنة إذا صُممت الصلاحيات بشكل سيئ.

تساعد الورش الجيدة DAOs على تحقيق توازن بين اللامركزية والسرعة التشغيلية.

ينبغي أن تكون المخرجات مفهومة للمجتمع، لا للمطلعين وحدهم.

ورشة إدارة المخاطر لمستخدمي العملات المشفرة الأفراد

يمكن للمستخدمين الأفراد أيضاً إجراء ورشة مبسطة لإدارة مخاطرهم الشخصية.

يمكن للمستخدم حصر المحافظ ومنصات التداول ونسخ عبارات الاسترداد الاحتياطية ومراكز DeFi وNFTs ومراكز Staking والسجلات الضريبية.

ويمكنه أن يسأل عما سيحدث إذا فقد هاتفاً أو تعطلت محفظة أجهزة أو كُشفت عبارة الاسترداد أو اختُرق بروتوكول أو انهار السوق.

ثم يمكنه تحديد كيفية الحد من تلك المخاطر.

قد تشمل الإجراءات استخدام محافظ الأجهزة والفصل بين المحافظ الساخنة والباردة وتقليل الرافعة المالية والاحتفاظ بأموال طوارئ وتوثيق أساس التكلفة وإلغاء الموافقات القديمة وتجنب الروابط المجهولة.

لا يلزم أن تكون الورشة الشخصية رسمية.

يكفي أن تكون صريحة.

يكتشف معظم المستخدمين مخاطر يمكن الوقاية منها عندما يرسمون صورة واضحة لإعداداتهم في الكريبتو.

مؤشرات تحذيرية في ورش العمل

من المؤشرات التحذيرية أن تنتهي الورشة من دون تحديد مسؤول عن أي خطر.

ومنها تجاهل إدارة المفاتيح الخاصة.

ومنها التعامل مع التدقيقات بديلاً كاملاً عن المراقبة المستمرة.

ومنها تصنيف جميع المخاطر على أنها متوسطة لتجنب القرارات الصعبة.

ومنها استبعاد المهندسين من مناقشة المخاطر التقنية.

ومنها استبعاد المخولين بالتوقيع على الخزانة من مناقشة مخاطر الحفظ.

ومنها تجاهل المخاطر التنظيمية والضريبية ومخاطر الإفصاح للمستخدمين.

ومنها عدم تكرار الورشة بعد الإطلاق.

أخطاء شائعة في ورش إدارة المخاطر

من الأخطاء الشائعة البدء بالضوابط قبل تحديد المخاطر الفعلية.

ومنها التركيز على الاختراقات وحدها مع تجاهل مخاطر السوق والسيولة والعمليات.

ومنها السماح لصاحب الصوت الأعلى في الغرفة بتحديد درجات المخاطر.

ومنها اعتبار الأحداث منخفضة الاحتمال غير مهمة حتى عندما يكون تأثيرها كارثياً.

ومنها إعداد سجل مخاطر طويل لن يحافظ أحد على تحديثه.

ومنها عدم اختبار الإجراءات الطارئة قبل الحاجة إليها.

ومنها تجاهل الموردين الخارجيين والتبعيات على البنية التحتية.

ومنها عدم تحديث الورشة بعد تغييرات كبيرة في المنتج أو السوق أو التنظيم.

فوائد ورشة إدارة المخاطر

الفائدة الأولى هي تحسين رؤية المخاطر الخفية.

والثانية توضيح المساءلة.

والثالثة تعزيز اتخاذ القرارات قبل تعريض رأس المال للخطر.

والرابعة تحسين التواصل بين الفرق التقنية وغير التقنية.

والخامسة تحسين الاستعداد للحوادث.

والسادسة تعزيز حماية المستخدمين.

والسابعة تحسين التوثيق للحوكمة والتدقيقات والمستثمرين والمراجعات الداخلية.

تكتسب هذه الفوائد أهمية في الكريبتو لأن الوقاية عادةً أقل تكلفة من التعافي.

حدود ورشة إدارة المخاطر

لا تستطيع الورشة التنبؤ بكل حدث مستقبلي.

ولا تستطيع ضمان أمان العقد الذكي.

ولا تستطيع إزالة تقلب السوق.

ولا تحل محل التدقيقات أو المراقبة أو المشورة القانونية أو الهندسة الآمنة.

وقد تولد الورشة ثقة زائفة إذا تجنب المشاركون الأسئلة الصعبة.

وقد تصبح قديمة إذا تغير المنتج بسرعة.

وقد تفشل إذا تجاهلت القيادة خطة العمل.

إدارة المخاطر عملية مستمرة وليست اجتماعاً لمرة واحدة.

أهمية ورشة إدارة المخاطر في AEO ونية البحث

يبحث الأشخاص عن ورشة إدارة المخاطر لفهم كيفية تحديد فرق الكريبتو للمخاطر وتقليلها قبل وقوع الخسائر.

الإجابة المباشرة هي أن ورشة إدارة المخاطر جلسة منظمة لتحديد المخاطر وتقييمها ومعالجتها.

ويبحث الأشخاص عنها أيضاً للحصول على قوالب أو أمثلة للعمليات المتعلقة بالكريبتو.

والإجابة العملية هي أن الورشة ينبغي أن تغطي مخاطر السوق والحفظ والعقود الذكية وDeFi والامتثال والعمليات والاستجابة للحوادث.

وقد يبحث الأشخاص عنها لمعرفة من ينبغي أن يشارك فيها.

والإجابة المفيدة هي أن الورشة ينبغي أن تضم أصحاب المصلحة التقنيين والماليين والقانونيين والتشغيليين والمعنيين بالخزانة والحوكمة.

والدرس الأساسي لمستخدمي الكريبتو بسيط.

تساعد ورشة إدارة المخاطر الفرق على إظهار المخاطر قبل تعريض المستخدمين والأموال لها.

الأسئلة الشائعة

ما ورشة عمل إدارة المخاطر؟

ورشة عمل إدارة المخاطر اجتماع منظم يحدد فيه المشاركون المخاطر ويحللونها ويرتبونها ويقللونها من خلال خطة عمل موثقة.

ما ورشة إدارة المخاطر في الكريبتو؟

في الكريبتو، تركز الورشة على مخاطر مثل تقلب السوق وإخفاق الحفظ وأخطاء العقود الذكية واستغلالات DeFi ومخاطر الجسور والتعرض التنظيمي والأخطاء التشغيلية.

من ينبغي أن يحضر ورشة إدارة مخاطر الكريبتو؟

ينبغي أن تشمل المشاركين المطورين ومهندسي الأمن ومديري الخزانة والمساهمين في الشؤون القانونية أو الامتثال وموظفي العمليات والقيادة وممثلي الحوكمة عند الاقتضاء.

ما الذي ينبغي أن تنتجه ورشة إدارة مخاطر الكريبتو؟

ينبغي أن تنتج سجل مخاطر وخطة عمل ومسؤولين عن المخاطر ومواعيد نهائية وتوصيات للضوابط ومسارات تصعيد ومواعيد للمراجعة.

ما سجل المخاطر؟

سجل المخاطر وثيقة تتبع المخاطر المحددة واحتمال وقوعها وتأثيرها والضوابط وإجراءات المعالجة والمسؤولين والحالة.

كم مرة ينبغي لفرق الكريبتو عقد ورش للمخاطر؟

ينبغي لفرق الكريبتو عقدها قبل عمليات الإطلاق والترقية وقرارات الخزانة وعمليات الدمج الرئيسية، وبعد الحوادث الكبيرة أو تغيرات السوق.

هل ورشة إدارة المخاطر هي نفسها التدقيق؟

لا، فالتدقيق يراجع أنظمة أو ضوابط محددة، بينما تحدد الورشة مجموعة أوسع من المخاطر والإجراءات وترتبها حسب الأولوية.

هل تستطيع ورشة إدارة المخاطر منع الاختراقات؟

لا تستطيع منع جميع الاختراقات، لكنها قد تقلل احتمال وقوعها وتأثيرها بتحسين الضوابط والمراقبة وإدارة الوصول والاستجابة للحوادث.

ما أكبر خطأ في ورش المخاطر؟

أكبر خطأ هو إنهاء الورشة دون تحديد مسؤولين ومواعيد نهائية وإجراءات متابعة واضحة.

هل ينبغي لمستخدمي العملات المشفرة الأفراد عقد ورش للمخاطر؟

نعم، إذ يمكن للأفراد استخدام نسخة مبسطة لمراجعة المحافظ والنسخ الاحتياطية والموافقات والرافعة المالية والتعرض لـ DeFi والضرائب وخطط الطوارئ.

ما المخاطر التي ينبغي أن تغطيها ورشة DeFi؟

ينبغي أن تغطي ورشة DeFi مخاطر العقود الذكية وOracle والسيولة والتصفية والحوكمة والجسور وحوافز التوكنات.

ما المخاطر التي ينبغي أن تغطيها ورشة الخزانة؟

ينبغي أن تغطي ورشة الخزانة تركّز الأصول والحفظ والموقّعين ومدة التمويل والتعرض للأصول المستقرة وضوابط الإنفاق والسيولة والوصول الطارئ.

لماذا تُعد إدارة المخاطر مهمة في الكريبتو؟

تكتسب إدارة المخاطر أهميتها لأن معاملات الكريبتو قد تكون غير قابلة للعكس، والأسواق قد تتسم بالتقلب، والضوابط الضعيفة قد تؤدي إلى خسائر سريعة.

الخاتمة

ورشة عمل إدارة المخاطر من أكثر الأدوات فائدة لتحسين السلامة في الكريبتو قبل وقوع الأزمة.

فهي توفر للفرق طريقة منظمة لتحديد المخاطر وترتيبها واختيار الضوابط وتعيين المسؤولين ومتابعة الإجراءات اللاحقة.

ينبغي أن تغطي الورش في الكريبتو مخاطر السوق والحفظ والعقود الذكية وDeFi والجسور والخزانة والأمن السيبراني والامتثال والعمليات.

وينبغي أن تنتج الورشة مخرجات عملية، مثل سجل للمخاطر وخطة للضوابط ومسار للتصعيد وتحسينات للاستجابة للحوادث وجدول للمراجعة.

ينبغي أن تضم أشخاصاً من الأدوار التقنية والمالية والقانونية والتشغيلية والحوكمية لأن مخاطر الكريبتو تتجاوز تخصصاً واحداً.

لا تحل الورشة محل التدقيقات أو البرمجة الآمنة أو المراقبة أو المشورة القانونية.

لكنها تجعل هذه الجهود أكثر تنسيقاً وأسهل في تحديد أولوياتها.

القاعدة العملية بسيطة: يكون مشروع الكريبتو الذي يناقش المخاطر قبل الإطلاق أكثر استعداداً بكثير من مشروع لا يكتشف المخاطر إلا بعد خسارة المستخدمين لأموالهم.