一幅完整的风险管理图像

  由于人类风险管理的积累还较薄弱，特别是成功的风险管理理论对风险管理实践的指导还很难令人满意。风险管理究竟应如何搞？风险管理都有哪些内容？风险管理与组织的其他管理、活动到底是什么关系？诸如此类的许多问题困扰着许多组织及其负责人，也似乎很难得到一个相对一致的、令人满意的说法。
        正式基于以上的背景，“一幅完整的风险管理图像”以ISO 三个风险管理国际标准为主要依据，在总结我国企业实施《中央企业全面风险管理指引》、《企业内部控制基本规范》、《COSO企业风险管理——整合框架》的基础上提出，并经风险管理的培训、咨询实践得到完善。这“一幅完整的风险管理图像”实现了理论、实践的一致性、自洽性，将帮助组织实施风险管理的完整性、连贯性，从而实现风险管理的有效性。

● “一幅完整的风险管理图像”的构成
☆ 核心内容：是一幅完整的风险管理图像的主体，包括：十一项风险管理原则、风险管理框架、风险管理过程三项内容，是ISO 31000:2009《风险管理——原则与指南》的主要内容。
☆ 完善内容：是一幅完整的风险管理图像的补充、完善内容，包括：风险管理术语、风险评估技术、风险管理“嵌入性”、组织的“风险地图”、风险管理的“十七项帮助”。
① 风险管理术语：以ISO 指南73：2009 《风险管理——术语》标准为基础，统一、规范风险管理领域中的用语。
② 风险评估技术：以ISO/IEC 31010:2009 《风险管理——风险评估技术》为基础，用于“风险管理过程”中的“风险评估”过程，满足组织对风险评估技术方法的使用要求。
③ 风险管理的“嵌入性”：实现风险管理有效性的唯一途径是实现风险管理的“嵌入性”，这是对实施风险管理最基本的认识。
④ 风险地图：集中体现组织自身的特点、状况，正是有了“风险地图”，才使得“一幅完整的风险管理图像”是组织自己的风险管理图像。
⑤ 风险管理的“十七项帮助”：风险管理的最终目的是风险管理有效，一幅完整的风险管理图像中必须具有对风险管理有效性评价的内容。“风险管理的十七项帮助”体现了这一要求。

● “两个建立”
        在“一幅完整的风险管理图像”中，有两项重要内容——“风险管理框架”、“风险地图”。为使“一幅完整的风险管理图像”具有企业自身的特点，企业应将“风险管理框架”、“风险地图”建立起来，以用于企业风险管理的实践。

★ 风险管理的完整性

风险管理的完整性：是以“十一项风险管理原则”为指导，建立一个“风险管理框架”，在这个框架下实施一个“风险管理过程”。
企业风险管理的“整体”有效性取决于实施风险管理的“完整性”。
        如果一个组织对自己风险管理的“有效性”和“充分性”不满意，则应该审视自己风险管理的“完整性”，对如下问题做出回答：学习和理解“十一项风险管理原则”了吗？建立“风险管理框架”了吗？是在这个框架下实施一个“风险管理过程”了吗？
        鉴于“风险”所具有众多 、特殊的性质，相对其他对象的管理，极大增大了组织管理风险的难度，这使得组织管理风险不可能是局部的组织（如某一职能部门）、不可能是单一的过程（如“风险评估”），而一定是建立在“一幅完整风险管理图像”之下的“完整”的风险管理。近几年风险管理培训、咨询的实践看，组织没有一幅完整的风险管理图像，缺乏风险管理的“完整性”是风险管理有效性不高的最重要原因，有些企业在某一方面已投入了很大的资源（如在“风险评估”方面），但由于缺乏“完整性”而竟使得组织风险管理的整体有效性不高，领导不满意，风险管理没有新意。

★ 管理风险的“连贯性”

 管理风险的连贯性：是按照ISO 31000：2009标准所提出“风险管理过程”的过程构成、过程顺序、过程内容、输入和输出关系实施对特定风险的管理。
        企业风险管理的“过程”有效性取决于实施管理风险的“连贯性”。
        如果在实施风险管理的过程中不明确“连贯性”、或失去“连贯性”（这是目前大多数企业真实的情况），则风险管理过程的有效性将显现不出来，尽管组织对风险管理过程的某一过程很重视，投入了很大的资源。例如，许多组织在风险管理中，都十分重视“风险评估”（可能做的也不尽人意），有的可能在该阶段已将风险“量化”到相当的程度（说明该阶段已“实施的很好” ），但由于没有“连贯性”的概念，不知在“风险评估”过程之前有极为重要的“建立环境”过程（作为“风险评估”过程的输入），在“风险评估”过程之后有“风险应对”过程（“风险评估”过程的输出要满足“风险应对”过程的输入要求），从而导致“实施很好”的“风险评估”过程似乎对组织的整体风险管理没有起到应有的作用。究其原因，一是没有“建立环境”过程的正确输入，风险评估“实施的很好”不是真实的很好，“风险评估”不符合组织的内、外部环境；二是没有建立“风险应对”与“风险评估”的过程联系，对经过风险评估的风险，没有选择和决策相应的“风险应对”方式。组织没有实施风险“控制”和“风险应对”，风险管理的有效性怎么会显示出来呢。