风险管理框架与过程40p

LOGO风险管理框架与

风险管理的过程

风险管理框架与

风险管理的过程

第四章通常意义上的理解边界、基础要素、结构的集合1.1什么是“框架（framework)”？31.风险管理框架的含义1.2风险管理框架提供在组织内设计、实施、监测、评审和持续改进风险管理的基础和组织安排的要素集合。4基础包括风险管理的：方针目标指令和承诺等;组织安排包括风险管理的：计划关系职责资源过程和活动1.3风险管理框架的内容5风险管理框架自身并不构成一个单独的"风险管理体系”；框架追求的结果是将风险管理嵌入到组织整体的管理体系之中；更为有效的方式是在组织现有的体系过程中，整合应用框架内的风险管理要素；1.4风险管理框架的含义61.5"框架”在风险管理中的角色7指令和承诺风险管理框架的设计理解组织和其状况建立风险管理方针责任融入组织的过程资源建立内部沟通和报告机制建立外部沟通和报告机制框架的持续改进实施风险管理实施风险管理框架实施风险管理过程框架的监测和评审1.6框架各要素及其关系（PDCA)2.1概述管理层的行为组织"权力”方面的保证目的在于支持：在组织内部引入风险管理保持风险管理的持续有效性2.指令与承诺

92.2指令与承诺的主要内容主要内容合规性职责权限的分配资源的配置对风险管理收益的沟通风险管理方针的制定(统一方向)风险管理方针VS组织文化;风险管理绩效指标VS组织的其他指标;风险管理目标VS组织的其他目标和战略;设计的内容涉及:风险管理方针责任与组织过程的融合资源内外部沟通与报告机制3.风险管理框架的设计11基本的方法论：与组织过程的融合风险管理过程应是组织过程中的一部分;融合的要求：以紧密相关的、有效的、有效率的方式将风险管理嵌入至组织所有的实践和过程融合的载体：《风险管理计划》12.风险管理框架的设计

与风险管理的实施4.1风险管理过程的组成4风险管理的过程13

与利益相关者沟通和协商在风险管理过程的每一个阶段都应当与内部和外部利益相关者有效沟通和协商。与利益相关者的沟通协商是重要的,由于他们基于对风险的感知,做出了对风险的判断。这些感知可以由于利益相关者的价值观、需求、臆断、概念和关注点的不同而变化。由于利益相关者的观点会对决策产生重大影响,因此他们的感知以被识别、记录、以及在决策过程中考虑。4.2沟通和协商14（1)总则通过明确环境，组织明确其目标，界定风险管理应该考虑的外部和内部参数，并设置风险管理过程的范围和风险准则。尽管许多此类参数与风险管理框架设计时所考虑的参数类似，但在明确风险管理过程的状况时，这些参数需要细致地，特别是与特定风险管理过程联系起来考虑。4.3明确环境15（2)明确外部环境外部环境是组织在实现目标过程中所面临的外界环境的历史、现在和未来的各种相关信息。为保证在制定风险准则时能充分考虑外部利益相关者的目标和关注点，组织需要了解外部环境。外部环境以组织所处的整体环境为基础，包括法律和监管要求、利益相关者的诉求和与具体风险管理过程相关的其他方面的信息等。16外部环境信息包括但不限于：——国际、国内、地区及当地的政治、经济、

文化、法律、法规、技术、金融以及自然

环境和竞争环境;——影响组织目标实现的外部关键因素及其历

史和变化趋势;——外部利益相关者及其诉求、价值观、风险

承受度;外部利益相关者与组织的关系等。17（3)明确内部环境内部环境是组织在实现目标过程中所面临的内在环境的历史、现在和未来的各种相关信息。风险管理过程要与组织的文化、经营过程和结构相适应，包括组织内影响其风险管理的任何事物。18理解内部环境是必要的，可包括，但不仅限于：——治理、组织结构、作用和责任；——方针、目标，为实现方针和目标制定的战略；——基于资源和知识理解的能力（如：资金、时间、人员、过程、系统和技术)；——与内部利益相关方的关系，内部利益相关者的观点和价值观；——组织的文化；——信息系统、信息流和决策过程；——组织所采用的标准、指南和模式；——合同关系的形式与范围。194.4确定风险准则（1)风险准则riskcriteria

评价风险重要程度的依据。风险准则需体现组织的风险承受度，应反映组织的价值观、目标和资源。有些风险准则直接或间接反映了法律和法规要求或其他需要组织遵循的要求。风险准则应当与组织的风险管理方针一致。具体的风险准则应尽可能在风险管理过程开始时制定，并持续不断地检查和完善。20风险评估过程包括：风险识别、风险分析、风险评价；风险评估有助于决策者对风险及其原因、后果和可能性有更充分的理解。为以下决策提供信息：

（1)是否应该开展某些活动；

（2)如何充分利用时机；

（3)是否需要应对风险；

（4)选择不同风险的应对策略；

（5)确定风险应对策略的优先次序；

（6)选择最适合的风险应对策略，将风险的不利影响控

制在可以接受的水平。4.5风险评估21风险识别的含义

发现、列举和描述风险要素的过程。风险识别是通过识别风险源、影响范围、事件及其原因和潜在的后果等,生成一个全面的风险列表。

（1)风险识别

22

进行风险识别时要掌握相关的和最新的信息,必要时,需包括适用的背景信息。除了识別可能发生的风险事件外,还要考虑其可能的原因和可能导致的后果,包括所有重要的原因和后果。不论风险事件的风险源是否在组织控制之下,或其原因是否已知,都应对其进行识别。此外,要关注已经发生的风险事件,特别是新近发生的风险事件识别风险需要所有相关人员的参与。组织所采用的风险识别工具和技术应当适合于其目标、能力及其所处环境。风险识别的过程23基于证据的方法，例如检查表法以及对历史数据的审查；系统性的团队方法，例如一个专家团队可以借助于一套结构化的提示或问题来系统地识别风险；归纳推理技术，例如危险与可操作性分析（HAZOP)等。组织可利用各种支持性的技术来提高风险识别工作的准确性和完整性，包括头脑风暴法及德尔菲法等。风险识别的方法

24

风险分析的含义

系统地运用相关信息来确认风险的来源,并对风险进行估计。

风险分析的方法

根据风险分析的目的、获得的信息数据和资源,风险分析可以是定性的、半定量的、定量的或以上方法的组合。一般情况下,首先采用定性分析,初步了解风险等级和揭示主要风险。适当时,进行更具体和定量的风险分析。（2)风险分析25风险评价的含义

将评价后风险与给定的风险准则对比，来决定风险严重性的过程。与组织确定的风险准则进行对照，以决定风险的水平并确定控制风险的优先顺序。经过风险评价，确定该风险是可承受还是需进行处理或对未来的行动进行决策。决策包括：——某个风险是否需要应对;——风险的应对优先次序;——是否应开展某项应对活动;——应该采取哪种途径。（3)风险评价

26常见的方法是将风险划分为三个等级段。

基于“最低合理可行”原则（AsLowAsreasonablePracticable，简称ALARP)。（1)上段是指无论活动能带来什么利益，风险等级

都是无法容忍的，必须不惜代价进行风险处理；（2)中段是指要考虑实施风险应对的成本与收益，

并权衡机遇与潜在结果；（3)下段是指风险等级微不足道，或者风险很小，

无需采取风险处理措施。风险评价的结果274.6常用风险评估技术ISO/IEC31010《风险管理

风险评估技术》标准,给出了对于风险评估的每一步,各类技术的适用性被描述为非常适用、适用或者不适用的不同类型。

2829

工具及技术

风险评估过程风险识别风险分析风险评价后果可能性风险等级头脑风暴法

SAAAAA结构化/半结构化访谈SAAAAA德尔菲法SAAAAA情景分析SAAAAA风险矩阵SASASASAA

FMEASANANANANAHAZOPSASANANASA……

31种技术SA表示：非常适用A表示：适用NA表示：不适用

常用风险评估技术介绍从ISO/IEC31010《风险管理

风险评估技术》标准选择3个常用的方法:情景分析FMEA风险矩阵30情景分析（ScenarioAnalysis)是指通过分析未来可能发生的各种情景，以及各种情景可能产生的影响来分析风险的一类方法。换句话说，情景分析是类似“如果-怎样”的分析方法。未来总是不确定的，而情景分析使我们能够“预见”将来，对未来的不确定性有一个直观的认识。（1)情景分析

31（2)失效模式和效应分析（FailureModeandEffectAnalysis，简称FMEA)是用来识别组件或系统未能达到其设计意图的方法。FMEA用于识别：

系统各部分所有潜在的失效模式（失效模式是被观察到的是失误或操作不当)；这些故障对系统的影响、故障原因、如何避免故障及/或减弱故障对系统的影响。32a.将系统分成组件或步骤;b.对于列出的各组件或步骤，确认：1)各部分出现明显故障的方式是什么？2)造成这些失效模式的具体机制？3)故障可能产生的影响？4)失败是无害的还是有破坏性的？5)故障如何检测？失效模式和效应分析过程33（3)风险矩阵风险矩阵（RiskMatrix)是一种将定性或半定量的后果分级与产生一定水平的风险或风险等级的可能性相结合的方式。矩阵格式及适用的定义取决于使用背景，关键是要在这种情况下使用合适的设计。34风险矩阵35风险处理方案/措施可以包括以下内容:a.通过决定不开展或停止产生风险的活动，来规避风险；

b.为寻求机会，接受或提高风险；

c.消除风险源；d.改变可能性；e.改变后果；f.与另一方或多方共担风险（包括合约和风险融资)；g.通过有事实依据的决策，保留风险。4.7风险处理36作为风险管理过程的组成部分，定期对风险与控制进行监测和评审，以确认：

（1)有关风险的假定仍然有效；

（2)风险评估所依据的假定，包括内外部环境，仍然有效；

（3)正在实现预期结果；

（4)风险评估的结果符合实际经验；

（5)风险评估技术被正确使用；

（6)风险处理（应对)有效。4.8监测和评审37监测和评审可能包括：——监测事件，分析变化及其趋势并从中吸取教训;——发现内部和外部环境信息的变化，包括风险本身的变化、可能导致的风险应对措施及其实施优先次序的改变;——监测并记录风险处理方案实施后的剩余风险，以便在适当时做进一步处理;——适用时，对照风险处理计划，检查工作进度与计划的偏差，保证风险处理计划的设计和执行有效;监测和评审的内容38——报告关于风险、风险处理计划的进度和风险管理方针的遵循情况;——实施风险管理绩效评估．风险管理绩效评估应被纳入到组织的绩效管理以及组织对内、对外的报告体系之中。监测和评审活动包括常规检查、监控已知的风险、定期或不定期检查。定期或不定期检查都应被列入风险应对计划。39风险管理活动宜可追溯。