风险管理原则与实施指南

1、风险管理原则与实行指南范围本标准供给了风险管理的原则和通用的实行指南。本标准合用于组织的全生命周期及其各阶段，也合用于组织的各样活动，包括流程管理、职能行为、项目管理以及与产品、服务、财产、运作和决议等相关的各项活动。本标准提2规范性引用文件以下文件中的条款经过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后全部的改正单（不包含勘误的内容）或校订版均不合用于本标准，但是激励依据本标准完成协议的各方研究能否可使用这些文件的最新版本。凡是不注日期的引用文件，术语和定义GB/T23694确立的术语和定义合用于本标准。风险管理原则为有效管理风险，组织在实行风险管理时，可依据以下原则：a)控

2、制损失，创办价值以控制损失、创办价值为目标的风险管理，有助于组织实现目标、获得详尽可见的成绩和改良各方面的业绩，包含人员健康和安全、合规经营、信誉程度、社会认同、环境保护、财务绩效、产质量量、营运效率和企业治理等方面。b)融入组织管理过程编写版word风险管理不是独立于组织主要活动和各项管理过程的独自的活动，而是组织管理过程不能够缺乏的重要构成部分。c)支持决议过程组织的全部决议都应试虑风险细风险管理。风险管理旨在将风险控制在组织可接受的范围内，有助于判断风险应付能否充分、有效,有助于决定行动优先顺序并选择可行的行动方案，进而帮助决议者做出合理的决议。d)应用系统的、构造化的方法系统的、构造化

3、的方法有助于风险管理效率的提高，并产生一致、可比、可靠的结果。e）以信息为基础风险管理过程要以有效的信息为基础。这些信息可经过经验、反应、察看、展望和专家判断等多种渠道获得，但使用时要考虑数据、模型和专家建议的限制性。f）环境依靠风险取决于组织所处的内部和外面环境以及组织所担当的风险。需要特别指出的是，风险管理受人文因素的影响。g）宽泛参加、充分交流组织的利益相关者之间的交流，特别是决议者在风险管理中适合、实时的参与，有助于保证风险管理的针对性和有效性。利益相关者的宽泛参加有助于其看法在风险管理过程中获得表现，其利益诉编写版word求在决定组织的风险偏好时获得充分考虑。利益相关者的宽泛参加要成

4、立在对其权益和责任明确认同的基础上。利益相关者之间需要进行连续、双向和实时的交流，特别是在重要风险事件细风险管理有效性等方面需要实时交流。h）连续改良风险管理是适应环境变化的动向过程，其各步骤之间形成一个信息反应的闭环。跟着内部和外面事件的发生、组织环境和知识的改变以及监察和检查的履行，有些风险可能会发生变化，一些新的风险可能会出现，另一些风险则可能消逝。所以，组织应连续不停地对各样变化保持敏感并做出适合反应。组织经过绩效测量、检查和调整等手段，使风险获得连续改良。风险管理过程5.1概括风险管理过程是组织管理的有机构成部分，嵌入在组织文化和实践中间，贯穿于组织的经营过程。风险管理过程由5.2到

5、5.5所描绘的活动构成，即明确环境信息、风险评估、风险应付、监察和检查，如图1所示。此中，风险评估包含风险鉴识、风险分析细风险谈论等三个步骤。交流和记录，应贯串于风险管理过程的各项活动中，5.6将对其进行详尽说明。编写版word5.2明确环境信息5.3风险谈论5.5监5.32风险鉴识督和检风险分析查风险评定5.4风险应付图1风险管理过程5.2明确环境信息概括经过明确环境信息，组织可明确其风险管理的目标，确立与组织相关的内部和外面参数，并设定风险管理的范围和相关风险准则。外面环境信息外面环境信息是组织在实现目标过程中所面对的外面环境的历史、此刻和未来的各样相关信息。为保证在制定风险准则时能充分考

6、虑外面利益相关者的目标和关注点，组织需要认识外面环境信息。外面环境信息以组织所处的整体环境为基础，包含法律和看守要求、利益相关者的诉乞降与详尽风险管理过程相关的其余方面的信息编写版word等。外面环境信息包含但不限于：国际、国内、地域及当地的政治、经济、文化、法律、法例、技术、金融以及自然环境和竞争环境；影响组织目标实现的外面重点因素及其历史和变化趋向；外面利益相关者及其诉求、价值观、风险承受度；外面利益相关者与组织的关系等。内部环境信息内部环境信息是组织在实现目标过程中所面对的内在环境的历史、此刻和未来的各样相关信息。风险管理过程要与组织的文化、经营过程和构造相适应，包含组织内影响其风险管理

7、的任何事物。组织需明确内部环境信息，因为：风险可能会影响组织战略、平时经营或项目营运等各个方面，进而进一步会影响组织的价值、信誉和许诺等；风险管理在组织的特定目标和管理条件下进行；详尽活动的目标和相关准则应放到组织整体目标的环境中考虑；内部环境信息可包含：组织的目标、目标以及经营战略；资源和知识方面的能力（如资本、时间、人力、过程、系统和技术）;编写版word信息系统、信息流和决议过程（包含正式的和非正式的）;内部利益相关者及其诉求，价值观、风险承受度；采纳的标准和模型；组织构造（包含治理构造、任何和责任等）、管理过程和举措；与风险管理实行过程相关的环境信息等。此中，风险管理过程的环境信息依据

8、组织的需要而改变，它包含但不限于：所张开的风险管理工作的范围和目标，以及所需要的资源；风险管理过程的职责；应履行的风险管理活动的深度和广度；风险管理活动与组织其余活动之间的关系；风险评估的方法和使用的数据；风险管理绩效的谈论方法；需要制定的决议；风险准则等。确立风险准则风险准则是组织用于谈论风险重要程度的标准。所以，风险准则需表现组织的风险承受度，应反应组织的价值观、目标和资源。有些风险准则直接或间接反映了法律和法例要求或其余需要组织依据的要求。风险准则应该与组织的风险管理目标一致。详尽的风险准则应尽可能在风险管理过程开始时制定，并连续不停编写版word地检查和圆满。确立风险准则时要考虑以下因

9、素：可能发生的结果的性质、种类以及结果的胸怀；可能性的胸怀；可能性和结果的时限；风险的胸怀方法；风险等级确实定；利益相关者可接受的风险或可赞成的风险等级；多种风险的组合的影响。经过对以上因素及其余相关因素的关注，将有助于保证组织所采纳的风险管理方法适合于组织现状及其所面对的风险。5.3风险评估概括风险评估包含风险鉴识、风险分析细风险谈论三个步骤。风险鉴识风险鉴识是经过鉴识风险源、影响范围、事件及其原由和暗藏的结果等，生存一个全面的风险列表。鉴识风险不只要考虑相关事件可能带来的损失，也要考虑此中包含的机会。进行风险鉴识时要掌握相关的和最新的信息，必需时，需包含合用的背景信编写版word息。除了鉴

10、识可能发生的风险事件外，还要考虑其可能的原由和可能致使的结果，包含全部重要的原由和结果。无论风险事件的风险源能否在组织的控制之下，或其原由能否已知，都应付其进行鉴识。其余，要关注已经发生的风险事件，特别是新近发生的风险事件。鉴识风险需要全部相关人员的参加。组织所采纳的风险鉴识工具和技术应该适合于其目标、能力及其所处环境。风险分析风险分析依据风险种类、获得的信息细风险评估结果的使用目的，对鉴识出的风险进行定性和定量的分析，为风险谈论细风险应付供给支持。风险分析要考虑致使风险的原由细风险源、事件的正面和负面的结果及其发生的可能性、影响结果和可能性的因素、不一样样风险及其风险源的互相关系以及风险的其

11、余特色，还要考虑现有的管理举措及其见效和效率。在风险分析中，应试虑组织的风险承受度及其对前提和假定的敏感性，并适时与决议者和其余利益相关者有效地交流。其余，还要考虑可能存在的专家看法中的分歧及数据和模型的限制性。依据风险分析的目的、获得的信息数据和资源，风险分析能够是定性的、半定量的、定量的或以上方法的组合。一般情况下，第一采纳定性分析，初步认识风险等级和揭示主要风险。合合时，进行更详尽的定量的风险分析。结果和可能性可经过专家建议确立，或经过对事件或事件组合的结果建模确定，也可经过对实验研究或可获得的数据的推导确立。对结果的描绘可表达为有形或无形的影响，在某些情况下，可能需要多个指标来确实描绘

12、不一样样时间、地址、编写版word种类或情况的结果。风险谈论风险谈论是将风险分析的结果与组织的风险准则比较，或许在各样风险的分析结果之间进行比较，确立风险等级，以及做出风险应付的决议。假如风险是新识其余风险，则应该制定相应的风险准则，以便谈论该风险。风险谈论的结果应知足风险应付的需要，不然，应作进一步分析。有时，根据已经制定的风险准则，风险谈论使组织做出保持现有的风险应付举措，不采纳其余新的举措的决定。5.4风险应付概括风险应付是选择并履行一种或多种改变风险的举措，包含改变风险事件发生的可能性或结果的举措。风险应付决议应该考虑各样环境信息，包含内部和外面利益相关者的风险承受度，以及法律、法例和

13、其余方面的要求等。风险应付举措的制定和评估可能是一个递进的过程。对于风险应付举措，应评估其节余风险能否能够承受。假如节余风险不能够承受，应调整或制定新的风险应付举措，并评估新的风险应付举措的见效，直到节余风险可能承受。履行风险应付举措会惹起组织风险的改变，需要追踪、监察风险应付的见效和组织的相关环境信息，并对变化的风险进行评估，必需时从头制定风险应付举措。可能的风险应付举措之间不用然互相排挤。一个风险应付举措也不用然在所有条件下都适合。风险应付举措可包含以下各项：编写版word决定停止或退出可能致使风险的活动以闪避风险；增添风险或担当新的风险以追求机会；除去拥有负面影响的风险源；改变风险事件发

14、生的可能性的大小及其散布的性质；改变风险事件发生的可能结果；转移风险；分担风险；保存风险等。风险应付举措选择适合的风险应付举措时需考虑好多方面，比方：法律、法例、社会责任和环境保护等方面的要求；风险应付举措的实行成本与利润（有些风险可能需要组织考虑采纳经济上看起来不合理的风险应付决议，比方可能带来严重的负面结果但发生可能性低的风险事件）；选择几种应付举措，将其独自或组合使用；利益相关者的诉乞降价值观，对风险的认知和承受度以及对某一些风险应付举措的偏好。风险应付举措的实行过程中可能会失灵或无效。所以，要把监察作为风险应对举措的实行计划的有机构成部分，以保证应付举措连续有效。编写版word风险应付

15、举措可能惹起次生风险，对次生风险也需要评估、应付、监察和检查。在原有的风险应付计划中要加入这些次生风险的内容，而不该将其作为新风险而独立对待。为此需要鉴识并检查原有风险与次生风险之间的联系。当风险应对举措影响到组织内部其余领域的风险或影响到其余利益相关者时，要评估这些影响，并与相关利益相关者交流，必需时调整风险应付举措。决议者和其余利益相关者应该清楚在采纳风险应付举措后的节余风险的性质和程度。制定风险应付计划在选择了风险应付举措今后，需要制定相应的风险应付计划。风险应付计划中应该包含以下信息：预期的利润；绩效指标及其核查方法；风险管理责任人及实行风险应付举措的人员安排；风险应付举措波及的详尽业

16、务和管理活动；选择多种可能的风险应付举措时，实行风险应付举措的优先序次；报告和监察、检查的要求；与适合的利益相关者的交流安排；资源需要，包含应急系统的资源需求；履行时间等；风险应付计划要与组织的管理过程整合。编写版word5.5监察和检查组织应明确界定监察和检查的责任。监察和检查可能包含：监测事件，分析变化及其趋向并从中汲取教训；发现内部和外面环境信息的变化，包含风险自己的变化，可能致使的风险应付举措及其实行优先序次的改变；监察并记录风险应付举措实行后的节余风险，以便在合合时做进一步处理；合用时，比较风险应付计划，检查工作进度与计划的误差，保证风险应对举措的设计和履行有效；报告对于风险、风险应

17、付计划的进度细风险管理目标的依据情况；实行风险管理绩效评估。风险管理绩效评估应被归入到组织的绩效管理以及组织对内、对外的报告体系之中。监察和检查活动包含常例检查、监控已知的风险、按期或不按期检查。按期或不按期检查都应被列入风险应付计划。合合时，监察和检查的结果应该有记录并对内或对外报告。5.6交流和记录交流编写版word组织在风险管理过程的每一个阶段都应该与内部和外面利益相关者有效沟通，以保证明行风险管理的责任人和利益相关者能够理解组织风险管理决议的依据，以及需要采纳某些行动的原由。因为利益相关者的价值观、诉求、假定、认知和关注点不一样样，其风险偏好也不一样样，并可能对决议有重要影响。所以，组

18、织在决议过程中应该与利益相关者进行充分交流，鉴识并记录利益相关者的风险偏好。记录在风险管理过程中，记录是实行和改良整个风险管理过程的基础。成立记录应该考虑以下方面：出于管理的目的而重复使用信息的需要；进一步分析风险和调整风险应付举措的需要；风险管理活动的可追忆要求；交流的需要；法律、法例和操作上对记录的需要；组织自己连续学习的需要；成立和保护记录所需的成本和工作量；获守信息的方法、读守信息的简单程度和积蓄媒介；记录保存限时；信息的敏感性。编写版word风险管理的实行6.1概括组织实行风险管理过程（见第5章）需要一个风险管理系统，包含相关目标、组织构造、工作程序、资源配置、信息交流系统以及相关的

19、技术手段等基础设备，以便将风险管理嵌入到组织的各个层次和活动之中。经过在组织的不一样样层次和特定环境内实行风险管理过程，风险管理系统帮助组织有效地管理风险。组织的风险管理系统可能由在各层次和特定环境内实行风险管理过程的子系统构成，如内部控制系统等。风险管理系统应该保证风险管理过程中的风险信息的充分交流，而且在相关的组织层次范围内作为决讲和问责的依据使用。组织要在检查的基础上，做出怎样改良风险管理系统、目标细风险应付计划的决议，进而指引组织的风险管理细风险管理文化的改良。风险管理系统的因素主要包含：风险管理目标；适合的制度和程序，使风险管理嵌入到组织的全部活动和过程中；与组织构造相关的职责，以及

20、相关的与组织的绩效指标一致的风险管理绩效指标；资源分派；与全部利益相关者交流风险管理的系统；技术手段、方法、工具等。6.2风险管理目标编写版word风险管理目标应明确以下事项：组织的风险管理理念；组织的最高管理者对风险管理的许诺；组织的风险管理目标；组织的风险偏好；风险管理目标与组织的目标及其余目标之间的关系；风险管理的职责分派；管理风险的程序和方法；风险管理的资源配置；丈量和报告风险管理绩效的方式；成立风险管理系统的计划；连续改良的许诺。6.3风险管理工作程序组织应该设计适合的制度和行为规范，成立风险管理工作程序，特别是整个组织层面的风险管理计划，以保证风险管理嵌入到组织的全部活动和过程之中，特别是组织的战略规划、营运过程以及改