جمعہ کی رات ایک SaaS سروس کا اجرا (rollout) عمل میں آتا ہے۔ ہفتے کی صبح تک، صارفین لاگ ان کرنے سے قاصر ہوتے ہیں، سپورٹ کی درخواستوں کی قطار (queue) میں غیر معمولی اضافہ ہو جاتا ہے، اور وینڈر کا اسٹیٹس پیج جزوی تعطل (partial outage) کی نشاندہی کرتا ہے۔ پروجیکٹ اسپانسر سوال اٹھاتا ہے کہ رسک مینجمنٹ (خطرات کے انتظام) کے نظام نے اس مسئلے کی نشاندہی کیوں نہیں کی۔
رسک رجسٹر کو اپ ڈیٹ کرنے سے پہلے، آپ کو ایک زیادہ مشکل سوال کا جواب دینا ہوگا۔ کیا خطرے کا کوئی ایسا حقیقی اشارہ موجود تھا جس پر آپ عمل کر سکتے تھے، یا آپ محض ماضی کے واقعات کی روشنی میں دوسروں پر الزام تراشی کر رہے ہیں؟ یہ سبق ایک ایسا طریقہ کار وضع کرتا ہے جو گورننس کے تقاضوں کے مطابق ہو؛ اس کے ذریعے پہلے سے معلوم ہو سکنے والے اشاروں اور حقیقی غیر متوقع واقعات میں فرق کیا جا سکتا ہے، حاصل شدہ معلومات کی درجہ بندی کی جا سکتی ہے، اور یہ طے کیا جا سکتا ہے کہ AI (مصنوعی ذہانت) کہاں مددگار ثابت ہو سکتی ہے—بغیر اس کے کہ AI کو فیصلہ ساز کا اختیار سونپا جائے۔
شروعات کے لیے، اس واقعے کو کسی حتمی نتیجے کے طور پر نہیں بلکہ واقعات کے ایک سلسلے (ٹائم لائن) کے طور پر دیکھیں۔ یہ تعین کریں کہ اس وقت کون سی معلومات دستیاب تھیں، وہ کس کے پاس تھیں، اور ایک سمجھدار پروجیکٹ مینیجر ان معلومات کی بنیاد پر کیا اقدام کر سکتا تھا۔
ایک عام غلطی ہر برے نتیجے کو ‘قابلِ پیش گوئی’ (predictable) قرار دینا ہے۔ بظاہر یہ ذمہ داری کا احساس دلاتا ہے، لیکن اس کے نتیجے میں ٹیمیں کم اہمیت والے خطرات کی ضرورت سے زیادہ دستاویز سازی کرنے لگتی ہیں اور ان چند اہم اشاروں کو نظر انداز کر دیتی ہیں جو واقعی معنی رکھتے ہیں۔
سروس کی بندش (outage) کے دوران چار مختلف قسم کے بیانات اکثر آپس میں گڈ مڈ ہو جاتے ہیں، اور اگر آپ اصولوں کا اطلاق نہ کریں تو AI کے نتائج بھی انہیں ملا دیں گے۔
خطرہ (Risk): مستقبل کا ایک غیر یقینی واقعہ ہے جو اگر پیش آئے تو مقاصد پر اثر انداز ہوتا ہے۔ مثال: لانچ ویک اینڈ پر زیادہ ٹریفک (peak load) کے دوران وینڈر کی تصدیقی سروس (authentication service) کی ‘ریٹ لمٹس’ (rate limits) کا مسئلہ۔
مسئلہ (Issue): ایک موجودہ مشکل ہے جو پہلے ہی پیش آ چکی ہے۔ مثال: صارفین کو لاگ ان کے دوران ‘500 ایررز’ (500 errors) موصول ہو رہے ہیں۔
فرض کردہ بات (Assumption): کوئی ایسی چیز جسے آپ منصوبہ بندی کے لیے درست مان رہے ہیں، لیکن وہ غلط بھی ہو سکتی ہے۔ مثال: وینڈر سہ ماہی کے دوران اپنی موجودہ صلاحیت (capacity) کی سطح کو برقرار رکھے گا۔
انحصار (Dependency): کوئی بیرونی ڈیلیوریبل (deliverable) یا شرط جس کی آپ کے پروجیکٹ کو ضرورت ہے۔ مثال: وینڈر کا آپ کے ‘کٹ اوور’ (cutover) سے پہلے منصوبہ بند دیکھ بھال (maintenance) کا عمل مکمل کرنا۔
پیش گوئی کا سوال: غلط درجہ بندی کی کون سی قسم سروس کی بندش کے دوران ‘ایسکیلیشن’ (اعلیٰ حکام تک معاملہ پہنچانے) میں سب سے زیادہ تاخیر کا باعث بنتی ہے؟
اب ان لیبلز کے اطلاق کی مشق کریں، کیونکہ آپ کا گورننس کا عمل ترجیحات کے تعین سے قبل درست اور مستقل درجہ بندی پر منحصر ہے۔
ہر چیز کو بطور ‘رسک’ (risk) درج کر لینا ایک غلط رجحان ہے کیونکہ اس سے بظاہر متبادل راستے کھلے رہتے ہیں۔ اس کا نتیجہ یہ نکلتا ہے کہ حقیقی مسائل کی ذمہ داری نہیں لی جاتی اور نہ ہی انہیں حل کیا جاتا ہے، اور مفروضوں کی تصدیق بھی کبھی نہیں ہو پاتی۔
اگر آپ کے رسک مینجمنٹ کے عمل کو آڈٹ (audit) میں کامیاب ہونا ہے، تو آپ چیٹ تھریڈ میں موجود کسی غیر رسمی فہرست پر انحصار نہیں کر سکتے۔ آپ کو ایسی دستاویزات درکار ہیں جو مستقل سوچ اور فیصلوں کی تاریخ کو ظاہر کرتی ہوں۔
رسک ٹیکسونومی (Risk Taxonomy) زمرہ جات کا ایک منظم مجموعہ ہے جسے خطرات کی درجہ بندی کے لیے استعمال کیا جاتا ہے تاکہ مختلف پراجیکٹس میں رپورٹنگ کا انداز یکساں رہے۔ یہ اس مسئلے کو کم کرتی ہے جہاں ایک پراجیکٹ مینیجر ‘وینڈر رسک’ (vendor risk) لکھتا ہے اور دوسرا ‘تھرڈ پارٹی ریلائبلٹی’ (third-party reliability)، جس کی وجہ سے مجموعی رجحانات (trends) کا جائزہ لینا ناممکن ہو جاتا ہے۔
رسک رجسٹر (Risk Register) شناخت شدہ خطرات اور ان کے انتظامی ڈیٹا کی ایک باقاعدہ اور منظم فہرست ہوتی ہے۔ گورننس کے تحت عام طور پر مخصوص فیلڈز کی توقع کی جاتی ہے، جیسے کہ رسک آئی ڈی (Risk ID)، رسک اسٹیٹمنٹ (Risk Statement)، وجہ (Cause)، واقعہ (Event)، اثر (Impact)، امکان (Probability)، امپیکٹ اسکور (Impact Score)، ایکسپوزر (Exposure)، رسک اونر (Risk Owner)، جوابی حکمت عملی (Response Strategy)، جوابی اقدامات (Response Actions)، ہدف کی تاریخ (Target Date)، حیثیت (Status)، ٹریگرز (Triggers)، اور آخری نظرثانی (Last Reviewed)۔ آڈٹ ٹریل (audit trail) اس بات کو ظاہر کرتا ہے کہ کیا تبدیل ہوا، کب ہوا، اور اس کی منظوری کس نے دی۔
پیش گوئی پر مبنی سوال: رجسٹر کی کون سی فیلڈ غائب ہونے کی صورت میں یہ ثابت کرنا سب سے مشکل ہو جاتا ہے کہ آپ نے رسک کا انتظام (management) کیا تھا، نہ کہ صرف اسے ریکارڈ کیا تھا؟
اس بات کا موازنہ کریں کہ ایک غیر رسمی فہرست کیا ثابت نہیں کر سکتی اور ایک باقاعدہ (گورننس کے تحت) رجسٹر کیا ثابت کر سکتا ہے۔