企航顧問ISO31000全面風(fēng)險(xiǎn)管理服務(wù)

2022/06/07

在企業(yè)管理的各個(gè)環(huán)節(jié)和經(jīng)營過程中，企業(yè)會(huì)面臨各種各樣的風(fēng)險(xiǎn)，包括戰(zhàn)略風(fēng)險(xiǎn)、財(cái)務(wù)風(fēng)險(xiǎn)、市場(chǎng)風(fēng)險(xiǎn)、運(yùn)營風(fēng)險(xiǎn)、法律風(fēng)險(xiǎn)等。為了管理風(fēng)險(xiǎn)，企業(yè)需要在識(shí)別風(fēng)險(xiǎn)的基礎(chǔ)上，對(duì)風(fēng)險(xiǎn)加以分析及評(píng)定，并根據(jù)它們的風(fēng)險(xiǎn)程度高低制定并執(zhí)行相應(yīng)不同的應(yīng)對(duì)控制方案。

ISO 31000提供了一種普遍適用的風(fēng)險(xiǎn)管理總體框架和管理風(fēng)險(xiǎn)的指導(dǎo)方針，可以定制給任何組織及其環(huán)境，供那些在組織中通過管理風(fēng)險(xiǎn)、做出決策、確定和實(shí)現(xiàn)目標(biāo)以及提高績效來創(chuàng)造和保持價(jià)值的人使用。ISO 31000可以在組織的整個(gè)生命周期中使用，并且可以應(yīng)用于任何活動(dòng)，包括所有級(jí)別的決策。ISO 31000還提供了一種管理任何類型風(fēng)險(xiǎn)的通用方法，而不是行業(yè)或部門特定的風(fēng)險(xiǎn)。

封面.jpg

一、ISO 31000總體框架

ISO31000:2018總體框架形似一個(gè)“三輪車”，三個(gè)輪子分別表示風(fēng)險(xiǎn)管理的原則、框架和流程。

【圖1】ISO31000的三輪框架.png

原則輪中，最核心的內(nèi)容為“價(jià)值的創(chuàng)造和保護(hù)Value Creation and Protection”，體現(xiàn)為八個(gè)原則：

1、整合的 Integrated；
2、結(jié)構(gòu)化和全面性 Structured and Comprehensive；
3、定制化 Customized；
4、包容性 Inclusive；
5、動(dòng)態(tài)的 Dynamic；
6、有效信息利用 Best Available Information；
7、人員與文化因素 Human and Cultural Factors；
8、持續(xù)改進(jìn) Continual Improvement。

框架輪中，最核心的為“領(lǐng)導(dǎo)力與承諾Leadership and Commitment”，體現(xiàn)為五個(gè)步驟：

1、整合 Integration；
2、設(shè)計(jì) Design；
3、實(shí)施 Implementation；
4、評(píng)價(jià) Evaluation；
5、改進(jìn) Improvement。

流程輪中，包含了：

1、對(duì)范圍、背景和標(biāo)準(zhǔn)的定義 Scope、Context、Criteria；
2、風(fēng)險(xiǎn)評(píng)估的經(jīng)典流程-風(fēng)險(xiǎn)識(shí)別、風(fēng)險(xiǎn)分析、風(fēng)險(xiǎn)評(píng)價(jià) Risk Assessment：Risk Identification、Risk Analysis、Risk Evaluation；
3、風(fēng)險(xiǎn)應(yīng)對(duì) Risk Treatment；
4、風(fēng)險(xiǎn)記錄與報(bào)告 Recording & Reporting；
5、溝通與咨詢 Communication & Consultation；
6、監(jiān)控與評(píng)價(jià) Monitoring & Review。

這個(gè)三輪車圖提煉了整個(gè)ISO31000風(fēng)險(xiǎn)管理標(biāo)準(zhǔn)的所有內(nèi)容，標(biāo)準(zhǔn)的全文都是圍繞著這個(gè)三輪車圖來展開論述的。

ISO31000風(fēng)險(xiǎn)管理標(biāo)準(zhǔn)的發(fā)展歷史：

1、2002年1月，ISO發(fā)布ISO/IEC GUIDE 73:2002《風(fēng)險(xiǎn)管理詞匯標(biāo)準(zhǔn)使用指南 Risk management — Vocabulary — Guidelines for use in standards》

2、2009年11月，ISO/TC262（國際標(biāo)準(zhǔn)化組織風(fēng)險(xiǎn)管理技術(shù)委員會(huì)）發(fā)布ISO 31000:2009《風(fēng)險(xiǎn)管理原則和指南Risk management — Principles and guidelines》

3、2018年2月，ISO/TC262發(fā)布ISO 31000:2018《風(fēng)險(xiǎn)管理指南Risk management — Guidelines》

ISO 31000風(fēng)險(xiǎn)管理系列標(biāo)準(zhǔn)：

1、ISO GUIDE 73:2009《風(fēng)險(xiǎn)管理詞匯 Risk management — Vocabulary》

2、ISO/IEC 31010:2019《風(fēng)險(xiǎn)管理風(fēng)險(xiǎn)評(píng)估技術(shù)Risk management — Risk assessment techniques》

3、ISO/TR 31004:2013《風(fēng)險(xiǎn)管理 ISO 31000實(shí)施指南 Risk management — Guidance for the implementation of ISO 31000》

4、ISO 31022:2020《風(fēng)險(xiǎn)管理法律風(fēng)險(xiǎn)管理指南 Risk management — Guidelines for the management of legal risk》

……

二、ISO 31000風(fēng)險(xiǎn)管理原則

風(fēng)險(xiǎn)管理的目的是創(chuàng)造和保護(hù)價(jià)值。管理風(fēng)險(xiǎn)能夠提升績效、鼓勵(lì)創(chuàng)新并為組織目標(biāo)的實(shí)現(xiàn)提供支持?；趧?chuàng)造和保護(hù)價(jià)值的目的，ISO 31000建立了高效并且有效地實(shí)施風(fēng)險(xiǎn)管理的八項(xiàng)原則。風(fēng)險(xiǎn)管理原則是管理風(fēng)險(xiǎn)的基礎(chǔ)，組織在建立風(fēng)險(xiǎn)管理框架和流程時(shí)應(yīng)當(dāng)加以考慮。具體的風(fēng)險(xiǎn)管理原則及其釋義如下：

【圖2：原則】.png

1、整合的（Integrated）：風(fēng)險(xiǎn)管理是組織所有活動(dòng)的組成部分；

2、結(jié)構(gòu)化和全面性（Structured and Comprehensive）：結(jié)構(gòu)化和全面性的風(fēng)險(xiǎn)管理方法有助于獲得一致和可比較的結(jié)果；

3、定制化（Customized）：風(fēng)險(xiǎn)管理框架和流程是定制化的，以適應(yīng)與組織目標(biāo)相關(guān)的外部和內(nèi)部環(huán)境；

4、包容性（Inclusive）：利益相關(guān)方的適當(dāng)、及時(shí)參與能夠使他們的知識(shí)、觀點(diǎn)和看法得到考慮，這可以使相關(guān)方提高風(fēng)險(xiǎn)管理意識(shí)并明智地管理風(fēng)險(xiǎn)；

5、動(dòng)態(tài)的（Dynamic）：隨著組織內(nèi)部和外部環(huán)境的變化，風(fēng)險(xiǎn)可能會(huì)出現(xiàn)、變化或消失。風(fēng)險(xiǎn)管理應(yīng)當(dāng)以適當(dāng)和及時(shí)的方式預(yù)測(cè)、監(jiān)控、確認(rèn)和響應(yīng)這些變化和事件；

6、有效信息利用（Best Available Information）：風(fēng)險(xiǎn)管理的輸入是基于歷史的和當(dāng)前的信息，以及對(duì)未來的期望。風(fēng)險(xiǎn)管理明確地考慮與此類信息和期望相關(guān)的任何約束和不確定性。信息應(yīng)及時(shí)、清晰、可供相關(guān)利益相關(guān)方使用；

7、人員與文化因素（Human and Cultural Factors）：人類行為和文化在每個(gè)層面和階段都顯著地影響著風(fēng)險(xiǎn)管理的各個(gè)方面；

8、持續(xù)改進(jìn)（Continual Improvement）：通過學(xué)習(xí)和經(jīng)驗(yàn)積累，不斷提高風(fēng)險(xiǎn)管理水平。

三、ISO 31000風(fēng)險(xiǎn)管理框架

風(fēng)險(xiǎn)管理框架的目的是幫助組織將風(fēng)險(xiǎn)管理整合到重要的活動(dòng)和職能中。風(fēng)險(xiǎn)管理的有效性取決于它是否被納入組織治理和決策中，這需要來自利益相關(guān)方尤其是高層管理人員的支持。ISO 31000:2018的框架強(qiáng)化了領(lǐng)導(dǎo)層的職責(zé)和整合的重要性，核心是領(lǐng)導(dǎo)力與承諾，明確高級(jí)管理層和監(jiān)督機(jī)構(gòu)應(yīng)確保風(fēng)險(xiǎn)管理融入組織所有活動(dòng)。

【圖3：框架】.png

框架開發(fā)包括整合、設(shè)計(jì)、實(shí)施、評(píng)價(jià)和改進(jìn)整個(gè)組織的風(fēng)險(xiǎn)管理。組織應(yīng)評(píng)價(jià)其現(xiàn)有的風(fēng)險(xiǎn)管理實(shí)踐和流程，評(píng)價(jià)任何差距并解決框架內(nèi)的這些差距?？蚣艿慕M成部分和它們共同工作的方式應(yīng)該根據(jù)組織的需要進(jìn)行定制。

1、整合（Integration）：風(fēng)險(xiǎn)管理應(yīng)該是組織目標(biāo)、治理、領(lǐng)導(dǎo)力和承諾、戰(zhàn)略、目標(biāo)和運(yùn)營的一部分，而不是相互分離。組織結(jié)構(gòu)的每一個(gè)部分和每一個(gè)層級(jí)都要進(jìn)行風(fēng)險(xiǎn)管理，組織中的每個(gè)人都有管理風(fēng)險(xiǎn)的責(zé)任，而合理確定組織內(nèi)的風(fēng)險(xiǎn)管理責(zé)任和監(jiān)督職責(zé)是組織治理的組成部分。將風(fēng)險(xiǎn)管理整合到組織中是一個(gè)動(dòng)態(tài)的、迭代的過程，并且應(yīng)該根據(jù)組織的需要和文化進(jìn)行定制。

2、設(shè)計(jì)（Design）：在設(shè)計(jì)風(fēng)險(xiǎn)管理框架時(shí)，組織首先應(yīng)調(diào)查和理解其外部和內(nèi)部環(huán)境；其次，最高管理層和監(jiān)督機(jī)構(gòu)以聲明或其他形式，明確地傳達(dá)組織目標(biāo)和風(fēng)險(xiǎn)管理承諾；第三，最高管理層和監(jiān)督機(jī)構(gòu)應(yīng)確保在組織所有層級(jí)分配風(fēng)險(xiǎn)管理角色，并明確其職責(zé)和權(quán)限；第四，最高管理層和監(jiān)督機(jī)構(gòu)應(yīng)確保為風(fēng)險(xiǎn)管理分配適當(dāng)?shù)馁Y源；最后，組織應(yīng)建立溝通和咨詢渠道，以支持風(fēng)險(xiǎn)管理框架并促進(jìn)風(fēng)險(xiǎn)管理的有效應(yīng)用。溝通包括與目標(biāo)受眾分享信息，咨詢包括參與者期望對(duì)組織決策和其他活動(dòng)作出貢獻(xiàn)，以便更好地為決策反饋信息。溝通和咨詢應(yīng)當(dāng)及時(shí)進(jìn)行，確保相關(guān)信息的收集、整理、匯總和適當(dāng)共享，以及提供反饋并進(jìn)行改進(jìn)。溝通和咨詢的方法和內(nèi)容應(yīng)反映利益相關(guān)方的期望。

3、實(shí)施（Implementation）：風(fēng)險(xiǎn)管理的成功實(shí)施需要利益相關(guān)者的參與和理解。組織在實(shí)施風(fēng)險(xiǎn)管理框架過程中應(yīng)該：

——制定適當(dāng)?shù)挠?jì)劃，包括時(shí)間安排和資源配置；

——識(shí)別組織在何處、何時(shí)以及如何作出不同類型的決策；

——在必要時(shí)修改適用的決策程序；

——確保組織管理風(fēng)險(xiǎn)的安排被清楚地理解和實(shí)踐。

適當(dāng)?shù)卦O(shè)計(jì)和實(shí)施風(fēng)險(xiǎn)管理框架，將確保風(fēng)險(xiǎn)管理過程是整個(gè)組織中所有活動(dòng)（包括決策制定）的一部分，并且將充分考慮到外部和內(nèi)部環(huán)境的變化。

4、評(píng)價(jià)（Evaluation）：為了評(píng)估風(fēng)險(xiǎn)管理框架的有效性，組織應(yīng)根據(jù)目標(biāo)、實(shí)施計(jì)劃、指標(biāo)和預(yù)期行為，定期衡量風(fēng)險(xiǎn)管理框架的績效，以確定它是否仍然能支持組織目標(biāo)的實(shí)現(xiàn)。

5、改進(jìn)（Improvement）：組織應(yīng)持續(xù)監(jiān)測(cè)和調(diào)整風(fēng)險(xiǎn)管理框架，以應(yīng)對(duì)外部和內(nèi)部變化。如此，組織可以提高其價(jià)值。在此基礎(chǔ)上，組織應(yīng)不斷改進(jìn)風(fēng)險(xiǎn)管理框架的適用性、充分性和有效性，以及風(fēng)險(xiǎn)管理流程的整合方式。當(dāng)發(fā)現(xiàn)相關(guān)的差距或改進(jìn)機(jī)會(huì)時(shí)，組織應(yīng)制定計(jì)劃和任務(wù)，并將其分配給負(fù)責(zé)實(shí)施的人員。一經(jīng)實(shí)施，這些改進(jìn)應(yīng)該有助于加強(qiáng)風(fēng)險(xiǎn)管理的作用。

四、ISO 31000風(fēng)險(xiǎn)管理流程

風(fēng)險(xiǎn)管理流程涉及到系統(tǒng)的應(yīng)用政策、程序和實(shí)踐，通過溝通和咨詢活動(dòng)，建立環(huán)境和評(píng)估、處理、監(jiān)控、審查、記錄和報(bào)告風(fēng)險(xiǎn)。風(fēng)險(xiǎn)管理流程應(yīng)當(dāng)是管理和決策制定的組成部分，并融入到組織的結(jié)構(gòu)、運(yùn)營和流程中。它可以應(yīng)用于戰(zhàn)略、業(yè)務(wù)、計(jì)劃或項(xiàng)目層面。雖然風(fēng)險(xiǎn)管理流程通常是按順序呈現(xiàn)的，但實(shí)際上它經(jīng)常是循環(huán)往復(fù)地進(jìn)行。

【圖4：流程】.png

1、溝通與咨詢（Communication & Consultation）：溝通和咨詢的目的是為了幫助利益相關(guān)方理解風(fēng)險(xiǎn)、明確決策的基礎(chǔ)以及需要采取特定行動(dòng)的原因。溝通旨在提高對(duì)風(fēng)險(xiǎn)的認(rèn)識(shí)和理解，而咨詢涉及到獲得反饋和信息以支持決策。兩者之間的密切協(xié)調(diào)應(yīng)促成真實(shí)、及時(shí)、相關(guān)、準(zhǔn)確和可理解的信息交流，同時(shí)考慮到信息的保密性和完整性以及個(gè)人的隱私權(quán)。在風(fēng)險(xiǎn)管理流程的所有步驟以及整個(gè)過程中，應(yīng)與適當(dāng)?shù)耐獠亢蛢?nèi)部利益相關(guān)方進(jìn)行溝通和咨詢。

2、范圍、環(huán)境和標(biāo)準(zhǔn)（Scope、Context、Criteria）：確定范圍、環(huán)境和標(biāo)準(zhǔn)的目的是有針對(duì)性地設(shè)置風(fēng)險(xiǎn)管理流程，從而有效地評(píng)估風(fēng)險(xiǎn)和恰當(dāng)?shù)貞?yīng)對(duì)風(fēng)險(xiǎn)。

1）、首先，組織應(yīng)確定其風(fēng)險(xiǎn)管理活動(dòng)的范圍。由于風(fēng)險(xiǎn)管理過程可以在不同層級(jí)（例如，戰(zhàn)略、運(yùn)行、方案、項(xiàng)目或其他活動(dòng)）應(yīng)用，因此必須明確所考慮的范圍、要考慮的相關(guān)目標(biāo)以及它們與組織目標(biāo)的一致性。
2）、其次，建立風(fēng)險(xiǎn)管理流程的外部和內(nèi)部環(huán)境。內(nèi)外部環(huán)境是組織制定和實(shí)現(xiàn)目標(biāo)的基礎(chǔ)，風(fēng)險(xiǎn)管理流程的背景應(yīng)該建立在對(duì)組織運(yùn)營的內(nèi)外部環(huán)境的理解之上，并應(yīng)反映風(fēng)險(xiǎn)管理流程中適用活動(dòng)的具體環(huán)境。
3）、第三，定義風(fēng)險(xiǎn)標(biāo)準(zhǔn)。組織應(yīng)明確與目標(biāo)相關(guān)的風(fēng)險(xiǎn)的數(shù)量和類型，還應(yīng)該定義評(píng)估風(fēng)險(xiǎn)重要性和支持決策過程的標(biāo)準(zhǔn)。風(fēng)險(xiǎn)標(biāo)準(zhǔn)應(yīng)與風(fēng)險(xiǎn)管理框架保持一致，并根據(jù)相應(yīng)活動(dòng)的具體目的和范圍進(jìn)行定制。風(fēng)險(xiǎn)標(biāo)準(zhǔn)應(yīng)反映組織的價(jià)值觀、目標(biāo)和資源，并與風(fēng)險(xiǎn)管理的政策和聲明保持一致。標(biāo)準(zhǔn)的定義還應(yīng)該考慮到組織的義務(wù)和利益相關(guān)方的觀點(diǎn)。

3、風(fēng)險(xiǎn)評(píng)估（Risk Assessment）：風(fēng)險(xiǎn)評(píng)估是風(fēng)險(xiǎn)識(shí)別、風(fēng)險(xiǎn)分析和風(fēng)險(xiǎn)評(píng)估的整個(gè)過程。風(fēng)險(xiǎn)識(shí)別的目的是發(fā)現(xiàn)、識(shí)別和描述可能有助于或妨礙組織實(shí)現(xiàn)目標(biāo)的風(fēng)險(xiǎn)。風(fēng)險(xiǎn)分析的目的是理解包括適當(dāng)?shù)娘L(fēng)險(xiǎn)水平在內(nèi)的風(fēng)險(xiǎn)性質(zhì)及其特征。風(fēng)險(xiǎn)分析涉及對(duì)不確定性、風(fēng)險(xiǎn)來源、后果、可能性、事件、場(chǎng)景、控制及其有效性的詳細(xì)考慮。風(fēng)險(xiǎn)評(píng)估的目的是支持決策。風(fēng)險(xiǎn)評(píng)估涉及將風(fēng)險(xiǎn)分析的結(jié)果與已確定的風(fēng)險(xiǎn)標(biāo)準(zhǔn)進(jìn)行比較，以確定需要采取哪些額外行動(dòng)。

4、風(fēng)險(xiǎn)應(yīng)對(duì)（Risk Treatment）：風(fēng)險(xiǎn)應(yīng)對(duì)的目的是選擇和實(shí)施應(yīng)對(duì)風(fēng)險(xiǎn)的方案。風(fēng)險(xiǎn)應(yīng)對(duì)涉及以下迭代過程∶制定和選擇風(fēng)險(xiǎn)應(yīng)對(duì)方案——風(fēng)險(xiǎn)應(yīng)對(duì)方案的規(guī)劃和實(shí)施——評(píng)估應(yīng)對(duì)的有效性——決定剩余風(fēng)險(xiǎn)是否可接受——如果不能接受，采取進(jìn)一步的應(yīng)對(duì)。

5、監(jiān)督與審查（Monitoring & Review）：監(jiān)督和審查的目的是保證和提高流程設(shè)計(jì)、實(shí)施和結(jié)果的質(zhì)量和有效性。對(duì)風(fēng)險(xiǎn)管理過程及其結(jié)果的持續(xù)監(jiān)控和定期審查應(yīng)是風(fēng)險(xiǎn)管理流程中計(jì)劃的一部分，其職責(zé)應(yīng)明確界定。流程的所有階段均應(yīng)被監(jiān)督和審查。監(jiān)督和審查包括計(jì)劃、收集和分析信息、記錄結(jié)果并提供反饋。監(jiān)督和審查的結(jié)果應(yīng)納入整個(gè)組織的績效管理、計(jì)量和報(bào)告活動(dòng)。

6、記錄與報(bào)告（Recording & Reporting）：組織應(yīng)通過適當(dāng)?shù)臋C(jī)制來記錄和報(bào)告風(fēng)險(xiǎn)管理的流程和結(jié)果。記錄和報(bào)告旨在∶在整個(gè)組織內(nèi)傳達(dá)風(fēng)險(xiǎn)管理活動(dòng)和成果；為決策提供信息；改進(jìn)風(fēng)險(xiǎn)管理活動(dòng)；協(xié)助與利益相關(guān)方的互動(dòng)，包括對(duì)風(fēng)險(xiǎn)管理活動(dòng)負(fù)責(zé)的人。

五、ISO 31000的收益

1、最高管理層

ISO 31000:2018強(qiáng)調(diào)了對(duì)組織價(jià)值創(chuàng)造的貢獻(xiàn)，在公司治理層面突出了最高管理層對(duì)此項(xiàng)工作的職責(zé)，提供了明確的職責(zé)清單。并且有跡象顯示，企業(yè)風(fēng)險(xiǎn)管理的好壞有可能會(huì)成為未來檢驗(yàn)企業(yè)管理能力和有效性的一項(xiàng)非常重要內(nèi)容。從內(nèi)外部環(huán)境來看，這些都將有助于推動(dòng)高級(jí)管理層在更好的履行風(fēng)險(xiǎn)管理職能的同時(shí)，更加重視企業(yè)的風(fēng)險(xiǎn)管理工作。

2、以風(fēng)險(xiǎn)管理、內(nèi)控部門為首的第二道防線

以往的風(fēng)險(xiǎn)管理職能在定位上會(huì)有一定的灰色地帶，ISO 31000:2018突出了最高管理層的風(fēng)險(xiǎn)管理職責(zé)，推動(dòng)職責(zé)的落實(shí)和實(shí)施，自然也就會(huì)帶動(dòng)相關(guān)風(fēng)險(xiǎn)管理職能部門的上位，所以會(huì)對(duì)第二道防線的風(fēng)險(xiǎn)管理職能部門有一定推動(dòng)作用。

3、內(nèi)部審計(jì)部門為主的第三道防線

“風(fēng)險(xiǎn)導(dǎo)向”的內(nèi)部審計(jì)是近些年來內(nèi)部審計(jì)工作發(fā)展的主要方向之一，那么如何更好的幫助企業(yè)建立一套有效的風(fēng)險(xiǎn)管理體系也是內(nèi)部審計(jì)的職責(zé)所在。一個(gè)擁有良好風(fēng)險(xiǎn)管理能力的企業(yè)和一個(gè)較差風(fēng)險(xiǎn)管理能力的企業(yè)，其審計(jì)風(fēng)險(xiǎn)的高低不言而喻。

六、ISO 31000的適用范圍

ISO 31000為風(fēng)險(xiǎn)管理提供了一個(gè)綱領(lǐng)性的文件，也是任何組織、任何類型、全壽命周期、任何活動(dòng)都應(yīng)該遵循的風(fēng)險(xiǎn)管理工作指南。

ISO 31000明確提出了風(fēng)險(xiǎn)管理的基本原則、風(fēng)險(xiǎn)管理的框架和風(fēng)險(xiǎn)管理過程，但是ISO 31000是風(fēng)險(xiǎn)管理指南，不是風(fēng)險(xiǎn)管理體系要求或指南，企業(yè)并不能通過對(duì)風(fēng)險(xiǎn)管理指南和系列標(biāo)準(zhǔn)的學(xué)習(xí)指導(dǎo)如何搭建全面風(fēng)險(xiǎn)管理體系，尤其是如何進(jìn)行全面風(fēng)險(xiǎn)的識(shí)別、分析和評(píng)價(jià)。

七、企航顧問風(fēng)險(xiǎn)管理案例

一、企航顧問提供的風(fēng)險(xiǎn)管理的服務(wù)項(xiàng)目