风险概况图解-雷泽佳译

附录D：风险概况图解风险概况简介风险概况提供实体特定层次（例如，整体实体层次、业务单位层次、职能层次）或业务模式的某一方面（例如，产品、服务、地域）所承担风险的综合看法。这些风险概况汇集了企业风险管理中的几个重要考虑因素，即绩效目标、对不同绩效水平的总体风险量的评估、风险偏好和容忍度。风险概况用于帮助组织评估备选战略，并支持识别和评估风险的过程。风险与绩效之间的这种关系很少是恒定的。绩效的变化并不总是导致相应的风险变化，因此，在许多典型的企业风险管理方法中使用的单点图解并不总是有用的。更完整的图解显示了与不同绩效水平相关的风险总量，其中风险被显示为潜在结果的连续带。组织沿着这个连续带平衡风险量和预期绩效。附录举例说明了如何制定和应用风险概况，以支持组织应用框架的原则。制定风险概况在制定风险概况时，组织必须了解：战略或相关业务目标。绩效目标和可接受的绩效波动。实体的风险容量和风险偏好。实现战略和业务目标的风险严重程度。本附录所述风险概况使组织能够评价：风险与绩效之间的关系，注意既定战略或业务目标的风险量通常不是静态的，并且会随着绩效水平的不同而变化。对既定战略或业务目标的风险评估所依据的假设。进行评估的信心水平和未知风险的可能性。在制定战略、业务目标、绩效目标或风险应对措施时，可能需要采取纠正措施。为了制定风险概况，组织要确定战略或业务目标的绩效水平与预期风险量之间的关系。在风险图上，绩效沿x轴绘制，风险沿y轴绘制（图D.1）。由此产生的线条通常被称为“风险曲线”或“风险概况”。通过考虑实现业务目标或战略所对应的感知风险量来绘制每个数据点。随着绩效的变化，组织识别风险量如何变化。风险可能因执行和业务环境的变化而变化。定量和定性方法都可以用于绘制点。如果组织在战略或业务目标方面有足够的数据，就可使用定量方法，如概率建模或回归分析。当缺少可用数据或业务目标不太重要时，组织可能更倾向于使用定性方法，例如进行访谈、引导式研讨会或标杆分析。示例D.1描述一个实体如何绘制其风险概况。示例D.1:制定风险概况一所大学的战略是成为该地区研究生的首选院校。为了支持这一战略，它决定了一个业务目标，即开发新课程以满足新的需求。该大学为这个业务目标识别了以下五个风险：未能对课程产生足够的兴趣和认识，以促进学生申请的增长，这可能会影响大学的声誉。在学术自由和新课程之间产生实际或感知的利益冲突。未能吸引和留住教授和管理新课程所需的额外教师。未能获得额外的政府资金来管理新课程。为支持新课程而发生预算外的费用。此外，大学还识别这个新目标给其他目标带来了潜在的风险，如边缘生可能影响大学的品牌。大学根据学生入学人数来衡量绩效。它评估了在不同的学生入学水平上实现业务目标变化的风险的严重程度。也就是说，点与x轴之间的距离表示所识别的五种风险的影响，如右图所示。对于每个水平入学率，大学考虑以下因素：在不同的绩效水平上，某些风险可能如何升级？例如，由于可能需要更多的教师，在更高的招生水平上吸引教师的风险可能会增加。风险严重程度如何变化，在不同绩效水平下，哪些支持性假设可能会发生变化？例如，政府资金的假设可能取决于达到既定的入学水平。学生入学人数的每一次增加是否有有新风险或新兴风险吗？例如，超过一定水平的入学率是否会产生与容纳学生所需的物理空间相关的新风险？是否有一些风险在某些绩效水平上不再适用？例如，在一定的入学水平之上，对未能对大学课程产生足够兴趣和认识的担忧是否变得越来越无关紧要？在编写这份概况时，该校采用了定量和定性相结合的方法。定量方法包括数据建模（评审历史上学生入学人数和与新课程启动的相关性、平均运营事件数、每个学生的收入和损失）。定性方法包括评审校园健康和安全要求，预测收入和政府拨款，与关键利益相关方进行访谈和研讨会。下图所示的风险概况说明：如果因为新课程而只有100名新生入学，则承担很大的风险（绩效不佳的风险）。风险在600名新生入学时达到最低点，从绩效角度来看，这可能不代表最佳的学生人数。任何超过600名新生入学人数都代表了风险的递增。该大学已经确定最多可接收1100名新生。在确定了风险量如何变化，并了解支持变化的驱动因素和假设之后，组织就可以确定其期望的绩效目标。为了设定该目标，组织根据实体的风险偏好、资源和能力对业务目标进行评价。在上述案例中，大学最终决定将设定设定一个绩效目标，即争取吸引700名新生。上面的风险概况说明了这一目标以及大学在追求目标过程中愿意承担的风险量。风险、战略和目标设定融入风险偏好组织利用风险概况可以概述其与提议战略或业务目标有关的风险偏好。在图D.2中，风险偏好绘制为平行于x轴（绩效）的水平线。该线的梯度表明，在给定时间点，风险偏好对于所有绩效水平保持不变。y轴（风险）使用与实体风险偏好声明中提到的风险偏好相同的度量或表达。例如，y轴可以是风险收益、风险价值或其他指标。曲线从交叉点（A点）开始，继续高于风险偏好线以上的部分，表明绩效水平超过了实体的偏好，风险对实体具有破坏性。组织还可能希望在风险承受力之上再加一条平行线，以表明风险容量，如图D.3所示。利用风险概况考虑备选战略组织可以制定潜在风险的概况，作为考虑备选战略的一部分。对于每一个战略，组织可以编制一份反映预期风险类型和数量的风险概况。这些风险概况通过强调不同战略的预期风险的差异来支持战略选择过程。图D.4说明了如何比较概况。备选方案A显示出更平坦的曲线，表明随着绩效的增加，该实体面临的增量风险较小。也就是说，风险曲线和风险偏好的交点更靠右，表明在实体超过风险偏好之前有更大的机会取得绩效。在成熟、稳定的市场中运营的成熟实体，或与期望较低风险状况的利益相关方合作，可能会寻求类似于备选A的战略。相反，初创企业或风险资本家等承担风险的实体可能会探索更典型的备选方案B的战略。在这种情况下，实体会寻求更激进的绩效，以换取承担更大的风险。定量和定性技术用于制定潜在风险的概况，可能是随后用于支持风险识别和评估过程的相同工具。这包括有足够数据的定量分析和建模。如果没有数据，可以采用更多定性技术。在建立业务目标和设定绩效目标时考虑风险一旦组织选择了一个战略，它就会进行类似的分析以确定业务目标。面临备选目标的组织寻求了解潜在业务目标曲线的形状和高度。首先，组织为其业务目标设定绩效目标。绩效目标的确定与风险偏好和所选战略有关。在风险概况中，目标展示了期望绩效和相应风险量（见图D.5）。此外，它还说明了可接受的风险量与风险偏好之间的距离。实体越激进，绩效目标和风险曲线的交点（A点）与绩效目标和风险偏好的交点（B点）之间的距离就越小。 利用风险概况展示可接受的绩效波动接下来，组织将确定目标两边可接受的绩效波动。图中由与绩效目标平行的左右两条虚线表示。落后和超出的波动设定是为了反映实体的风险偏好。并不要求左右波动与绩效目标等距离。波动的设定越接近绩效目标，风险偏好就越低，风险偏好就越低。然而，通过设置接近绩效的波动，管理层考虑了管理变异性所需的额外资源的权衡。识别绩效中的风险组织识别并评估业务目标和所选战略的风险。作为选择过程的一部分，已识别的任何潜在风险为识别和评估执行中的风险提供了一个起点。该过程产生了每个业务目标和总体战略的实际风险的风险概况——其中一个确认了预期风险，另一个表明了附加风险。由于多种原因，可能会发现附加风险。组织可能在选择业务目标后完成了更严格的分析，或者可能获得了更多的信息，使其对风险概况的理解更有信心，或者由于业务环境发生了变化，确定需要更新预期风险清单。风险识别过程的输出（即风险宇宙）构成了组织能够构建更可靠风险概况的基础。利用风险状况评估风险对识别并列入风险概况中的风险进行评估，以了解其对实现实体战略或业务目标的严重程度。管理层对风险严重程度的评估可以可以针对不同的目的关注风险概况的不同点。确认绩效是在可接受的绩效波动范围内。确认风险在风险偏好范围内。比较曲线各点的风险严重程度。评估曲线中的中断点，在该中断点，风险量已大大超过实体的风险偏好，并影响其绩效或战略或业务目标的实现。图D.6中的风险概况描述了假设时间范围内的风险量。为了将时间纳入风险概况，管理层必须参照一个时间段来定义绩效目标。在评估曲线与x轴的距离时，管理层考虑了已知（现有、新兴和新风险）和未知风险的总量。根据业务目标的类型、组织的经验和知识以及可用数据，可以用不同的置信度来估计未知风险的数量。当未知风险的个数和总量可能很大时（例如开发新技术），风险曲线和X轴之间的距离通常会更大，表示风险更大。对于拥有大量绩效数据、知识和经验的更成熟的环境中的业务目标，未知的风险量可能被认为要小得多，因此风险曲线和X轴之间的距离会更小。曲线与x轴的距离也说明了多重风险如何影响同一业务目标。组织可以选择对风险曲线的不同点使用不同的评估方法。当关注可接受的绩效波动时，风险数据分析可能是一种合适的方法。当查看曲线的极端部分时，情景分析研讨会可能证明在确定曲线的高度和形状方面更有效。与考虑备选战略和识别风险一样，管理层使用定量和定性方法或两者结合来评估风险并制定风险概况。当风险不适合量化或获取足够的量化数据既不可行也不经济时，定性评估是有用的。例如，假如一家声誉良好的科技公司正在考虑推出一款目前尚未商业化的新产品。在制定启动新产品研发的风险概况时，管理层依靠自己的业务知识和工程师的专业技能来确定曲线的高度和形状。对于更容易量化的风险，或需要更大粒度或精度的风险，概率建模方法是合适的（例如，计算风险价值或风险现金流）。例如，当同一家科技公司评估在外国维持运营的风险时，它在绘制曲线时采用建模方法，以确定足以概括其外汇风险敞口严重程度的点。利用风险状况进行风险排序组织如何对风险进行排序会影响某一战略或业务目标的风险状况。以下是如何将排序准则（见原则14）纳入风险概况的示例：适应性影响着风险曲线的高度和形状，反映组织可以改变和沿着曲线移动的相对容易程度。风险的复杂性通常会使风险曲线向上移动，以反映更大的风险。速度可能会影响到绩效中可接受的波动与目标的距离。(注意，风险的速度也反映了第三维的时间，因此没有反映在风险曲线上)。持续性，在风险曲线上没有显示，因为它与第三个维度有关，可能反映在绩效的可接受波动范围缩小上，因为实体承认对绩效的持续影响。恢复力，即恢复到可接受的绩效波动所需的时间，被视为持久性的一部分。实体如何恢复将形成可接受的业绩波动之外的风险曲线，以及实体可以沿着曲线移动的相对容易程度。许多组织选择将严重程度作为优先排序准则。例如，考虑图D.7中的风险概况。如果要求一个组织将风险概况A中的风险与风险概况B中的风险进行比较，那么它很可能会选择风险概况A的#3风险作为最重要的风险，因为它的绝对严重程度（以风险为中心的观点）。但是，如果该组织从业务目标的角度来看待风险概况A，就会发现该实体仍然完全在其对特定绩效目标的风险偏好范围之内。事实上，风险概况A和B对其各自的绩效目标都有相同的风险严重程度。因此，一个风险的严重程度（例如，如风险概况A中的风险#3）不应成为相对于其他风险进行优先排序的唯一依据。利用风险状况考虑风险应对措施一旦组织制定了风险概况，就可以确定是否需要额外的风险应对措施。风险曲线的高度和形状可能会受到所选风险应对措施的影响（见原则15）：接受。不采取进一步的措施来影响风险的严重程度，风险状况保持不变。当实体的绩效和相应的风险低于风险偏好线，并在表明绩效可接受的波动范围内时，这种应对措施是适当的。规避。采取措施消除风险，这可能意味着停止一条生产线、拒绝向新的地理市场扩张或出售一个部门。选择规避意味着组织无法确定将风险影响降至可接受严重程度的应对措施。消除风险通常会将曲线向下和/或向左移动，以使目标绩效位于风险曲线和风险偏好的交叉点的左侧。追求。采取的措施是接受更多的风险，以实现更高的绩效。这可能涉及采取更积极的增长战略扩大运营或开发新产品和服务。当选择利用风险时，管理层了解在不超过目标剩余风险的情况下实现预期绩效所需的任何变化的性质和程度。在这里，风险曲线可能不会改变，但目标可能被设定得更高，因此将目标设定在风险曲线的不同点上。减少。采取措施降低风险的严重程度。这涉及将剩余风险降低到目标剩余风险状况和风险偏好的无数日常业务决策。风险应对的目的是改变曲线的高度和形状，或曲线的适用部分，以保持在实体的风险偏好范围内。或者，对于已经在风险偏好之内的风险，减少应对可能涉及通过部署额外的资源来减少绩效波动。风险的有效降低将使受风险应对影响的部分的风险曲线变平。分担。采取措施，通过转移或分担一部分风险来降低风险的严重程度。常见的技术包括外包给专业服务供方、购买保险产品以及参与对冲交易。与减少应对一样，分享风险可以降低剩余风险，与风险偏好保持一致。风险曲线的一个部分可能会发生变化，尽管整个风险曲线可能与未分担风险的曲线相似。评审业务目标。鉴于已识别风险的严重程度和可接受的绩效波动，组织选择评审并可能修改业务目标。当其他类别的风险应对不代表实体的预期行动方案时，可能会发生这种情况。评审战略。鉴于已识别风险的严重程度和实体的风险偏好，组织选择评审并可能修订战略。与评审业务目标类似，当其他类别的风险应对措施不能代表实体的预期行动方案时，可能会发生这种情况。对战略的修订或采用新的战略也需要制定新的风险概况。图D.8显示了在进行风险应对（如签订保险协议）后，风险状况如何变化。例如，果农可能会为洪水或风暴购买与天气相关的保险，因为洪水或风暴会导致他们的产量下降到一定的最低水平以下。对于保险覆盖的结果，生产水平的风险曲线趋于平缓。建立组合观在选择了风险应对措施后，管理层制定了剩余风险的综合观（即风险应对措施后的评估和实施）。这种综合观形成了实体范围内对实体所面临的风险的组合观。虽然组合观代表了该层面的风险观，但管理层可以选择通过各种角度来描述该风险观。图D.9和D.10说明了查看风险状况的两种选项。第一个（图D.9）说明了与战略和实体目标相关的风险状况。第二个（图D.10）说明了与实体层面目标的组合观有关的风险状况。组织可以根据绩效的表达方式和关注对象来选择如何描述组合。例如，首席财务官可能专注于描述与财务绩效相关的风险严重程度的观点。首席运营官可以专注于描述与运营绩效相关的风险严重性的观点。首席人力资源官可能会专注于描述与文化和资源分配相关的风险严重程度的观点。然而，每一种观点都基于对业务风险目标的共同理解。通过组合观，组织识别出严重的实体层面风险。图D.9说明组合观。在准备组合观时，组织还可以选择开发一个风险概况，为组合观提供额外的背景。图D.10说明了两个实体级目标的风险概况。第一张图说明了实现实体目标1的风险（在目前的绩效水平下）是如何在风险偏好和风险容量范围内的（如图D.9中的绿色所示）。第二张图说明实现实体目标2的风险是如何高于风险偏好的，尽管仍在风险容量之内（图D.9中为红色）。这两个角度反映在图D.9中。组织通常会使用定性和定量技术来制定这个观点。定性技术包括情景分析和标杆测试。定量技术包括回归建模和其他统计分析方法，以确定对组合观突然或重大变化的敏感性。这些变化可以表示为风险曲线或梯度的移动。分析还可以确定曲线上的某一点，在该点，变化会对实体的绩效造成破坏。例如，利用实体目标1，组织确定某一特定指数的下降超过25%代表了一个破坏性的变化，实体超出其风险偏好并影响战略的实现。这表示在曲线梯度明显变陡的点（点A）。此外，该组织确定，如果实体超过其风险容量并威胁到实体的生存能力，那么下降50%将影响绩效。这表示风险曲线与风险容量线（B点）相交的地方。通过使用压力测试、情景分析或其他分析活动，组织可以