風險管理意義的再認識

風險管理是一個需要普遍關注的問題。推進創新創業尤其應關注風險問題。新創企業能否存活和成功，已運行的企業能否持續發展，總是充滿著挑戰和不確定性。而風險的本質正是指事物演變發展的不確定性，反映的是結果偏離預期所生成的效果，可能是正面的也可能是負面的，甚或兩者都有，進而形成或產生機遇和挑戰。機遇的存在是一些主體愿意承擔風險的動因所在。這里的主體可以是個人、企業和機構等，我們把其統稱為組織。設想看護馬匹的事情，雖然已經付出了很大努力，但很多因素仍然會導致馬匹丟失的結果，這當然不是當事人愿意看到的。盡管如此，斷言是福是禍卻卻不是個簡單問題，誠所謂“塞翁失馬焉知禍福？”不難理解，大千世界存在著各種類型、各種層面的風險，為了應對風險并實現降低風險和控制風險的目標，需要對風險概念及風險管理有深刻的認識。2018年即將再版出爐的ISO國際標準《風險管理指南》（Risk Management - Guidelines，ISO/FDIS31000：2017（E））為風險管理的利益相關者，包括個人、企業、機構等各類組織和平臺奉獻了寶貴的標準資料。其中的利益相關者是指這樣的主體，他們能夠影響決策的制定和行動的開展，或者受到決策及行動的影響，甚或感覺到會被決策和行動所影響。

理解和認識風險，當然是最重要的一步。針對這個問題，《風險管理指南》明確提出了必須全面關注相關聯的四個要點：風險源是什么，潛在事件是什么，這些事件的后果怎樣，其發生的可能性如何？

其中，風險源是具有導致潛在風險的單個要素或若干要素的組合；事件由一系列特殊活動的出現或發生的變化所導致，可以有多種原因和多種結果，既可以產生預期到了而沒有發生也可能是實際發生了卻沒有預料到的后果。特別地，事件本身也可能是風險源；后果是事件影響目標的效果，可以是通過層疊和累積過程形成的，或直接或間接地影響到目標，可以定量表達也可以定性刻畫；可能性意指后果發生的幾率，可以通過主觀或客觀的方式定義、測量或確定。

在對風險有所認識后，下一個重要內容當然是理解和認識風險管理的問題。風險管理最關鍵的內容是指導和控制組織應對和處置風險的協調活動。涉及到的風險控制手段包括有保持和改變風險水平的各種措施，如流程、政策、設備、演練或其他能夠改變風險狀態的條件或行動。需要意識到的是，控制手段并不總能發揮出預想的效果。努力了，可能并不成功，但不努力，就沒有任何希望。

風險管理的根本目的是創造價值、保護和保持價值，而且要助于改進性能、鼓勵創新和支撐預期目標的實現。創新創業當然是一種對價值的追求，為實現目標取得成功，風險意識和風險管理的意識是不可缺少的。風險管理具有非常強的綜合性特征，需要明確原則，建立框架，執行流程。可以說，風險管理原則、風險管理框架和風險管理流程，少了哪一個都不行。

風險管理原則

風險管理當然是有成本的，需要投入。對于風險管理的不同主體，其面對的風險不同，預期要達到的目標也不同。但目的是一樣的，都要創造價值和保護價值。開展風險管理的結果必須要有效果有效率，必須有助于闡明組織和機構的意圖和目的。在一些原則問題上需要取得共識，至少如下的八個要點是需要堅持的。

整體性原則：風險管理應是組織活動不可分割的一個部分，應整合到組織活動的各個方面；

結構化與全面性原則：結構化和全面性的方法能導致前后可比較的一致性結果；

可定制化原則：風險管理的框架和流程應是可以定制的，要與組織所處的外部和內部環境以及相關的目標相適應；

包容性原則：利益相關者恰當和及時的參與，使得來自多方面的知識、觀點及看法得到考慮，有助于提高對風險管理的認識，實現明智的風險管理；

動態化原則：事物不是一成不變的，隨著組織外部和內部環境因素的變化，風險的狀態也可能變化。風險管理應以適當和及時的方式預見到、察覺到、意識到這些變化并作出應對；

最好信息可用化原則：風險管理的輸入應建立在歷史和當前信息以及對未來預見的基礎之上，所以必須考慮相伴于這些信息和預見能力的局限性和不確定性。對于利益相關者，信息需要及時、清晰和可獲得；

人文因素優先原則：人的行為和文化因素會顯著地在各個階段、各個層面影響到風險管理的效果，這一點必須給予高度重視；

持續改進原則：風險管理需要通過學習和經驗積累持續加以改進。

堅持上述原則對進行風險管理具有指導意義，也為設計風險管理框架和建立風險管理流程奠定了基礎。而上述原則的缺失和不完全，必然會影響到組織的風險管理成效。

風險管理框架

風險管理從內容結構上看，必須建立關聯性很強的板塊框架，其目的是幫助把風險管理融入組織的所有行動和功能中。風險管理的效果將依賴風險管理框架與組織的包括決策在內的治理及所有相關活動相融合的程度，這又需要得到來自利益相關者，尤其是高層管理者的支持。

風險管理框架的建立應包括整合、設計、實施、評價及改進跨越整個組織的風險管理工作。組織應評價其現有的風險管理實踐和流程，評價存在的漏洞并在將要建立的框架內解決這些漏洞問題。框架的構成內容以及這些內容打磨成一體而形成的工作方式應根據組織的需要進行定制。顯然，領導的作用和來自組織高層的承諾是有效的風險管理框架得以建立的重要保障。

風險管理流程

風險管理流程涉及到政策，規程和慣例的系統性應用。同樣也應成為管理和決策過程中不可分割的一個部分，應融合入組織的結構、運營和活動進程中，可以用于戰略、運營、規劃或項目的層面。雖然風險管理流程常常描述成具有一定順序的步驟，但在實踐上它需要反復執行。

從大的步驟上看，主要有三步，既一，確定和闡明范圍、環境及設定風險準則；二，風險評估和三，風險處置。范圍不適當，環境不清楚，標準不明確，就不可能把風險管理做到位，就不可能取得好的效果。endprint

風險評估可以進一步細分成風險識別、風險分析和風險評價。

風險識別的目的是尋找，確認，描述可能有助于或妨礙組織取得其目標的風險。風險分析的目的是理解風險特性和特征，有時還要包含風險的水平。要詳細考慮不確定性，風險源，后果，可能性，事件，情景，控制及其效果。風險分析的細致及形式化程度可以不同，要由分析的目的，信息的可用性和可靠性及資源的配置情況來決定。分析技術可以是定性的，半定量的，定量的或其組合，依賴于所處條件和預期用途。

進行風險評估旨在實施風險處置，其目的是選擇和實施解決風險問題的方案。風險處置方案可以很多，粗線條地說可以包括去除風險源、改變可能性、改變后果、分散風險（例如，通過合同或購買保險）等，它們不一定是互相排斥的，也不一定在所有情形都是適用的。風險處置還可能引入新的需要應對的風險，這一點也必須得到足夠重視。

一個好的風險管理流程必須把溝通和協商貫穿其中。溝通旨在加強對風險的意識和理解，而協商涉及到獲取反饋信息以支撐決策。在風險管理流程的所有環節里，都可能需要與適當的外部和內部的利益相關者進行溝通和協商。

一個好的風險管理流程還依賴把監督和審查做到位。監督和審查應出現在風險管理流程的所有步驟中。監督和審查包括計劃，收集和分析信息，記錄結果并作出反饋。監督和審查的結果應整合到組織的性能管理，評測及活動報告中。

執行風險管理流程的另一個不可或缺的內容是對風險管理流程及其結果建立文檔并通過適當的機制提交報告。記錄和報告能增強與利益相關者的對話質量，支持高層管理和監督機構履行他們的職責。

創辦企業，當然希望成功，希望能長期茁壯成長，希望能成為百年老店。在技術發展如此快速的情況下，要實現這些目標必須面對各式各樣的不確定性。大數據、虛擬現實、人工智能、無人汽車、物聯網、互聯網金融、3D打印等，太多令人向往、讓人沖動、給人激情的概念和技術輪番登場，的確蘊含著機遇，但同時也充滿著挑戰。以創辦企業和發展企業的方式擁抱這些概念，一定不要忘記非技術的因素。技術和社會需要相互適應，也必然會相互改造和相互促進。以無人汽車為例，技術的飛速進步是毋庸置疑的，但也仍有提升和完善的空間。非技術的因素，比如法規環境的配套建設，或許是應跟進的重要工程。正因為如此，社會更應向已經為發展無人汽車技術和市場作出巨大投入的企業表達敬意。

企業在發展過程中作出重大決策時，如果沒有充分加入風險管理的要素，必然是有缺陷的。我們考察過一個企業集團，5年的發展使其總資產達到1000億，而已經安排下去的未來5年內的發展投資額超過了3000億。我們相信這個企業的實力和其計劃安排的合理性，這種進取性強的發展安排預期會對社會的發展做出更大的貢獻。但對于創新創業這盤全社會參與和關注的大棋來說，增強風險意識，注重風險管理也是需要得到尊重的態度。

強調風險意識不是保守，加強風險管理釋放出的是正能量，它將從一開始就注入穩健的基因，有助于各類參與主體獲益止損，更加健康地發展。

2018年，風險管理的理念和做法隨著ISO標準《風險管理指南》的發布必將更加深入人心！endprint