风险管理原则与实施指南

风险管理原则与实施指南1范围本标准提供了风险管理的原则和通用的实施指南。本标准适用于组织的全生命周期及其各阶段，也适用于组织的各种活动，包括流程管理、职能行为、项目管理以及与产品、服务、资产、运作和决策等有关的各项活动。本标准提2规范性引用文件下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，3术语和定义GB/T23694确定的术语和定义适用于本标准。4风险管理原则为有效管理风险，组织在实施风险管理时，可遵循下列原则：a)控制损失，创造价值以控制损失、创造价值为目标的风险管理，有助于组织实现目标、取得具体可见的成绩和改善各方面的业绩，包括人员健康和安全、合规经营、信用程度、社会认可、环境保护、财务绩效、产品质量、运营效率和公司治理等方面。b)融入组织管理过程风险管理不是独立于组织主要活动和各项管理过程的单独的活动，而是组织管理过程不可缺少的重要组成部分。c)支持决策过程组织的所有决策都应考虑风险和风险管理。风险管理旨在将风险控制在组织可接受的范围内，有助于判断风险应对是否充分、有效,有助于决定行动优先顺序并选择可行的行动方案，从而帮助决策者做出合理的决策。d)应用系统的、结构化的方法系统的、结构化的方法有助于风险管理效率的提升，并产生一致、可比、可靠的结果。e）以信息为基础风险管理过程要以有效的信息为基础。这些信息可通过经验、反馈、观察、预测和专家判断等多种渠道获取，但使用时要考虑数据、模型和专家意见的局限性。f）环境依赖风险取决于组织所处的内部和外部环境以及组织所承担的风险。需要特别指出的是，风险管理受人文因素的影响。g）广泛参与、充分沟通组织的利益相关者之间的沟通，尤其是决策者在风险管理中适当、及时的参与，有助于保证风险管理的针对性和有效性。利益相关者的广泛参与有助于其观点在风险管理过程中得到体现，其利益诉求在决定组织的风险偏好时得到充分考虑。利益相关者的广泛参与要建立在对其权利和责任明确认可的基础上。利益相关者之间需要进行持续、双向和及时的沟通，尤其是在重大风险事件和风险管理有效性等方面需要及时沟通。h）持续改进风险管理是适应环境变化的动态过程，其各步骤之间形成一个信息反馈的闭环。随着内部和外部事件的发生、组织环境和知识的改变以及监督和检查的执行，有些风险可能会发生变化，一些新的风险可能会出现，另一些风险则可能消失。因此，组织应持续不断地对各种变化保持敏感并做出恰当反应。组织通过绩效测量、检查和调整等手段，使风险得到持续改进。5风险管理过程5.1概述风险管理过程是组织管理的有机组成部分，嵌入在组织文化和实践当中，贯穿于组织的经营过程。风险管理过程由5.2到5.5所描述的活动组成，即明确环境信息、风险评估、风险应对、监督和检查，如图1所示。其中，风险评估包括风险识别、风险分析和风险评价等三个步骤。沟通和记录，应贯穿于风险管理过程的各项活动中，5.6将对其进行详细说明。图1??风险管理过程5.2明确环境信息通过明确环境信息，组织可明确其风险管理的目标，确定与组织相关的内部和外部参数，并设定风险管理的范围和有关风险准则。外部环境信息是组织在实现目标过程中所面临的外部环境的历史、现在和未来的各种相关信息。5.2明确环境信息5.3风险评价5.32风险识别5.4风险应对5.5监督和检查为保证在制定风险准则时能充分考虑外部利益相关者的目标和关注点，组织需要了解外部环境信息。外部环境信息以组织所处的整体环境为基础，包括法律和监管要求、利益相关者的诉求和与具体风险管理过程相关的其他方面的信息等。外部环境信息包括但不限于：——国际、国内、地区及当地的政治、经济、文化、法律、法规、技术、金融以及自然环境和竞争环境；——影响组织目标实现的外部关键因素及其历史和变化趋势；——外部利益相关者及其诉求、价值观、风险承受度；——外部利益相关者与组织的关系等。内部环境信息是组织在实现目标过程中所面临的内在环境的历史、现在和未来的各种相关信息。风险管理过程要与组织的文化、经营过程和结构相适应，包括组织内影响其风险管理的任何事物。组织需明确内部环境信息，因为：——风险可能会影响组织战略、日常经营或项目运营等各个方面，从而进一步会影响组织的价值、信用和承诺等；——风险管理在组织的特定目标和管理条件下进行；——具体活动的目标和有关准则应放到组织整体目标的环境中考虑；内部环境信息可包括：——组织的方针、目标以及经营战略；——资源和知识方面的能力（如资金、时间、人力、过程、系统和技术）;——信息系统、信息流和决策过程（包括正式的和非正式的）;——内部利益相关者及其诉求，价值观、风险承受度；——采用的标准和模型；——组织结构（包括治理结构、任何和责任等）、管理过程和措施；——与风险管理实施过程有关的环境信息等。其中，风险管理过程的环境信息根据组织的需要而改变，它包括但不限于：——所开展的风险管理工作的范围和目标，以及所需要的资源；——风险管理过程的职责；——应执行的风险管理活动的深度和广度；——风险管理活动与组织其他活动之间的关系；——风险评估的方法和使用的数据；——风险管理绩效的评价方法；——需要制定的决策；——风险准则等。5.2.4?确定风险准则风险准则是组织用于评价风险重要程度的标准。因此，风险准则需体现组织的风险承受度，应反映组织的价值观、目标和资源。有些风险准则直接或间接反映了法律和法规要求或其他需要组织遵循的要求。风险准则应当与组织的风险管理方针一致。具体的风险准则应尽可能在风险管理过程开始时制定，并持续不断地检查和完善。确定风险准则时要考虑以下因素：——可能发生的后果的性质、类型以及后果的度量；——可能性的度量；——可能性和后果的时限；——风险的度量方法；——风险等级的确定；——利益相关者可接受的风险或可容许的风险等级；——多种风险的组合的影响。通过对以上因素及其他相关因素的关注，将有助于保证组织所采取的风险管理方法适合于组织现状及其所面临的风险。5.3风险评估风险评估包括风险识别、风险分析和风险评价三个步骤。风险识别是通过识别风险源、影响范围、事件及其原因和潜在的后果等，生存一个全面的风险列表。识别风险不仅要考虑有关事件可能带来的损失，也要考虑其中蕴含的机会。进行风险识别时要掌握相关的和最新的信息，必要时，需包括适用的背景信息。除了识别可能发生的风险事件外，还要考虑其可能的原因和可能导致的后果，包括所有重要的原因和后果。不论风险事件的风险源是否在组织的控制之下，或其原因是否已知，都应对其进行识别。此外，要关注已经发生的风险事件，特别是新近发生的风险事件。识别风险需要所有相关人员的参与。组织所采取的风险识别工具和技术应当适合于其目标、能力及其所处环境。风险分析根据风险类型、获得的信息和风险评估结果的使用目的，对识别出的风险进行定性和定量的分析，为风险评价和风险应对提供支持。风险分析要考虑导致风险的原因和风险源、事件的正面和负面的后果及其发生的可能性、影响后果和可能性的因素、不同风险及其风险源的相互关系以及风险的其他特性，还要考虑现有的管理措施及其效果和效率。在风险分析中，应考虑组织的风险承受度及其对前提和假设的敏感性，并适时与决策者和其他利益相关者有效地沟通。另外，还要考虑可能存在的专家观点中的分歧及数据和模型的局限性。根据风险分析的目的、获得的信息数据和资源，风险分析可以是定性的、半定量的、定量的或以上方法的组合。一般情况下，首先采取定性分析，初步了解风险等级和揭示主要风险。适当时，进行更具体的定量的风险分析。后果和可能性可通过专家意见确定，或通过对事件或事件组合的结果建模确定，也可通过对实验研究或可获得的数据的推导确定。对后果的描述可表达为有形或无形的影响，在某些情况下，可能需要多个指标来确切描述不同时间、地点、类别或情形的后果。风险评价是将风险分析的结果与组织的风险准则比较，或者在各种风险的分析结果之间进行比较，确定风险等级，以及做出风险应对的决策。如果风险是新识别的风险，则应当制定相应的风险准则，以便评价该风险。风险评价的结果应满足风险应对的需要，否则，应作进一步分析。有时，根据已经制定的风险准则，风险评价使组织做出维持现有的风险应对措施，不采取其他新的措施的决定。5.4风险应对风险应对是选择并执行一种或多种改变风险的措施，包括改变风险事件发生的可能性或后果的措施。风险应对决策应当考虑各种环境信息，包括内部和外部利益相关者的风险承受度，以及法律、法规和其他方面的要求等。风险应对措施的制订和评估可能是一个递进的过程。对于风险应对措施，应评估其剩余风险是否可以承受。如果剩余风险不可承受，应调整或制定新的风险应对措施，并评估新的风险应对措施的效果，直到剩余风险可能承受。执行风险应对措施会引起组织风险的改变，需要跟踪、监督风险应对的效果和组织的有关环境信息，并对变化的风险进行评估，必要时重新制定风险应对措施。可能的风险应对措施之间不一定相互排斥。一个风险应对措施也不一定在所有条件下都适合。风险应对措施可包括下列各项：——决定停止或退出可能导致风险的活动以规避风险；——增加风险或承担新的风险以寻求机会；——消除具有负面影响的风险源；——改变风险事件发生的可能性的大小及其分布的性质；——改变风险事件发生的可能后果；——转移风险；——分担风险；——保留风险等。选择适当的风险应对措施时需考虑很多方面，比如：——法律、法规、社会责任和环境保护等方面的要求；——风险应对措施的实施成本与收益（有些风险可能需要组织考虑采取经济上看起来不合理的风险应对决策，例如可能带来严重的负面后果但发生可能性低的风险事件）；——选择几种应对措施，将其单独或组合使用；——利益相关者的诉求和价值观，对风险的认知和承受度以及对某一些风险应对措施的偏好。风险应对措施的实施过程中可能会失灵或无效。因此，要把监督作为风险应对措施的实施计划的有机组成部分，以保证应对措施持续有效。风险应对措施可能引起次生风险，对次生风险也需要评估、应对、监督和检查。在原有的风险应对计划中要加入这些次生风险的内容，而不应将其作为新风险而独立对待。为此需要识别并检查原有风险与次生风险之间的联系。当风险应对措施影响到组织内部其他领域的风险或影响到其他利益相关者时，要评估这些影响，并与有关利益相关者沟通，必要时调整风险应对措施。决策者和其他利益相关者应当清楚在采取风险应对措施后的剩余风险的性质和程度。在选择了风险应对措施之后，需要制定相应的风险应对计划。风险应对计划中应当包括以下信息：——预期的收益；——绩效指标及其考核方法；——风险管理责任人及实施风险应对措施的人员安排；——风险应对措施涉及的具体业务和管理活动；——选择多种可能的风险应对措施时，实施风险应对措施的优先次序；——报告和监督、检查的要求；——与适当的利益相关者的沟通安排；——资源需要，包括应急机制的资源需求；——执行时间等；风险应对计划要与组织的管理过程整合。5.5监督和检查组织应明确界定监督和检查的责任。监督和检查可能包括：——监测事件，分析变化及其趋势并从中吸取教训；——发现内部和外部环境信息的变化，包括风险本身的变化，可能导致的风险应对措施及其实施优先次序的改变；——监督并记录风险应对措施实施后的剩余风险，以便在适当时做进一步处理；——适用时，对照风险应对计划，检查工作进度与计划的偏差，保证风险应对措施的设计和执行有效；——报告关于风险、风险应对计划的进度和风险管理方针的遵循情况；——实施风险管理绩效评估。风险管理绩效评估应被纳入到组织的绩效管理以及组织对内、对外的报告体系之中。监督和检查活动包括常规检查、监控已知的风险、定期或不定期检查。定期或不定期检查都应被列入风险应对计划。适当时，监督和检查的结果应当有记录并对内或对外报告。5.6沟通和记录5.6.1沟通组织在风险管理过程的每一个阶段都应当与内部和外部利益相关者有效沟通，以保证实施风险管理的责任人和利益相关