四、風險管理過程

風險管理過程是組織管理的有機組成部分，嵌入在組織文化和實踐當中，貫穿于組織的經營過程。風險管理過程包括明確環境信息、風險評估、風險應對、監督和檢查。其中風險評估包括風險識別、風險分析和風險評價。溝通和記錄應貫穿于風險管理全過程。風險管理過程如圖5-1-1所示。

?

圖5-1-1 風險管理流程圖

（一）風險評估

風險評估包括風險識別、風險分析和風險評價三個步驟。風險識別是通過識別風險源、影響范圍、事件及其原因和潛在的后果等，生成一個全面的風險列表。

進行風險識別時要掌握相關的和最新的信息。除了識別可能發生的風險事件外，還要考慮其可能的原因和可能導致的后果。不論風險事件的風險源是否在組織的控制之下，或者原因是否已知，都應對其進行識別。此外，要關注已經發生的風險事件，特別是新近發生的風險事件。識別風險需要所有相關人員的參與。組織所采用的風險識別工具和技術應當適合于其目標、能力及其所處環境。

風險分析是根據風險類型、獲得的信息和風險評估結果的使用目的，對識別出的風險進行定性和定量的分析，為風險評價和風險應對提供支持。風險分析要考慮導致風險的原因和風險源、風險事件的正面和負面的后果及其發生的可能性、影響后果和可能性的因素、不同風險及其風險源的相互關系以及風險的其他特征，還要考慮現有的管理措施及其效果和效率。在風險分析中，應考慮組織的風險承受度及其對前提和假設的敏感性，并適時與決策者和其他利益相關者有效地溝通。另外，還要考慮可能存在的專家觀點中的分歧及數據和模型的局限性。根據風險分析的目的、獲得的信息數據和資源，風險分析可以是定性的、半定量的、定量的或以上方法的組合。一般情況下，首先采用定性分析，初步了解風險等級和揭示主要風險。適當時，進行更具體和定量的風險分析。后果和可能性可通過專家意見確定，或通過對事件或事件組合的結果建模確定，也可通過對實驗研究或可獲得的數據的推導確定。對后果的描述可表達為有形或無形的影響。在某些情況下，可能需要多個指標來確切描述不同時間、地點、類別或情形的后果。

風險評價是將風險分析的結果與組織的風險準則比較，或者在各種風險的分析結果之間進行比較，確定風險等級，以便做出風險應對的決策。如果該風險是新識別的風險，則應當制定相應的風險準則，以便評價該風險。風險評價的結果應滿足風險應對的需要，否則，應做進一步分析。

（二）風險應對

風險應對是選擇并執行一種或多種改變風險的措施，包括改變風險事件發生的可能性或后果的措施。風險應對決策應當考慮各種環境信息，包括內部和外部利益相關者的風險承受度，以及法律、法規和其他方面的要求等。

（三）監督和檢查

組織應當明確界定監督和檢查的責任。監督和檢查可能包括：監測事件，分析變化及其趨勢并從中吸取教訓；發現內部和外部環境信息的變化，包括風險本身的變化、可能導致的風險應對措施及其實施優先次序的改變；監督并記錄風險應對措施實施后的剩余風險，以便在適當時做進一步處理。適當時，對照風險應對計劃，檢查工作進度與計劃的偏差，保證風險應對措施的設計和執行有效；報告關于風險、風險應對計劃的進度和風險管理方針的遵循情況；實施風險管理績效評估。風險管理績效評估應被納入到組織的績效管理以及組織對內、對外的報告體系中。

監督和檢查活動包括常規檢查、監控已知的風險、定期或不定期檢查。定期或不定期檢查都應被列入風險應對計劃。

（四）溝通和記錄

組織在風險管理過程的每一個階段都應當與內部和外部利益相關者有效溝通，以保證實施風險管理的責任人和利益相關者能夠理解組織風險管理決策的依據，以及需要采取某些行動的原因；由于利益相關者的價值觀、訴求、假設、認知和關注點不同，其風險偏好也不同，并可能對決策有重要影響。因此，組織在決策過程中應當與利益相關者進行充分溝通，識別并記錄利益相關者的風險偏好。

在風險管理過程中，記錄是實施和改進整個風險管理過程的基礎。建立記錄應當考慮以下方面：出于管理的目的而重復使用信息的需要；進一步分析風險和調整風險應對措施的需要；風險管理活動的可追溯要求；溝通的需要；法律、法規和操作上對記錄的需要；組織本身持續學習的需要；建立和維護記錄所需的成本和工作量；獲取信息的方法、讀取信息的容易程度和儲存媒介；記錄保留期限；信息的敏感性
?