2018版ISO31000《風(fēng)險(xiǎn)管理指南》綜述與解析

盧新瑞

摘 要：本文介紹ISO31000最新版《風(fēng)險(xiǎn)管理指南》與原版本的主要變化，綜述新標(biāo)準(zhǔn)的主要內(nèi)容，探討解析新理念，以期使組織管理更加標(biāo)準(zhǔn)和科學(xué)。

關(guān)鍵詞：風(fēng)險(xiǎn)管理 框架 戰(zhàn)略 目標(biāo) 績(jī)效

中圖分類號(hào)：F239.45 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：2096-0298（2018）07（b）-165-02

1 背景及變化

自2009年發(fā)布全球第一版風(fēng)險(xiǎn)管理指南，時(shí)隔9年，國(guó)際標(biāo)準(zhǔn)組織（ISO）于2018年2月15日更新發(fā)布ISO31000《風(fēng)險(xiǎn)管理指南》這一關(guān)鍵標(biāo)準(zhǔn)（下稱指南或標(biāo)準(zhǔn)）。

新指南仍然定位于“任何 組織、任何類型、全生命周期、任何活動(dòng)”，強(qiáng)調(diào)指南在風(fēng)險(xiǎn)管理領(lǐng)域的普遍適用性。新標(biāo)準(zhǔn)相對(duì)老標(biāo)準(zhǔn)變化主要體現(xiàn)在四個(gè)方面：（1）風(fēng)險(xiǎn)管理原則審查，這是其成功的關(guān)鍵標(biāo)準(zhǔn)；（2）從組織治理入手，強(qiáng)調(diào)高級(jí)管理層的領(lǐng)導(dǎo)以及風(fēng)險(xiǎn)管理的整合；（3）更加強(qiáng)化風(fēng)險(xiǎn)管理的迭代性質(zhì)，提出在每一個(gè)流程環(huán)節(jié)，新的實(shí)踐、知識(shí)和分析可以引發(fā)對(duì)流程要素、行動(dòng)和控制的修正；（4）精簡(jiǎn)內(nèi)容，更加注重支撐一個(gè)開放的系統(tǒng)模型，以適應(yīng)多樣化的需求和環(huán)境。

2 主要內(nèi)容

新指南采用三輪圓形（如圖1所示）呈現(xiàn)，三個(gè)圓形圖分別表示風(fēng)險(xiǎn)管理的原則、框架和流程。該三輪圓形模式比第一版示意圖形式（如圖2所示）更能體現(xiàn)原則、框架和流程三部分之間的相互作用關(guān)系，也使指南內(nèi)容的描述更清晰簡(jiǎn)潔、更易理解、更加注重和企業(yè)管理活動(dòng)的融入與整合。新指南對(duì)每部分內(nèi)容進(jìn)行了較大修改。

其中，關(guān)于風(fēng)險(xiǎn)管理原則部分，第一版共有十一項(xiàng)，分別為：（1）創(chuàng)造價(jià)值；（2）組織流程的組成部分；（3）決策的一部分；（4）明確指出不確定性；（5）系統(tǒng)性、結(jié)構(gòu)性和時(shí)效性；（6）最佳可用信息；（7）定制化；（8）考慮人員和文化因素；（9）透明度和包容性；（10）動(dòng)態(tài)、持續(xù)的應(yīng)對(duì)變化；（11）持續(xù)改進(jìn)與強(qiáng)化。

新版指南明確，風(fēng)險(xiǎn)管理原則最核心的內(nèi)容為“價(jià)值創(chuàng)造和保護(hù)”，并在開篇就點(diǎn)出了風(fēng)險(xiǎn)管理工作的第一原則：與組織所有活動(dòng)的整合。表明風(fēng)險(xiǎn)管理是與組織相關(guān)的所有活動(dòng)的組成部分，不是一項(xiàng)獨(dú)立于其他管理和業(yè)務(wù)活動(dòng)的工作。其余八項(xiàng)原則為：（1）整合的。風(fēng)險(xiǎn)管理是組織所有活動(dòng)的組成部分；（2）結(jié)構(gòu)化和全面性。風(fēng)險(xiǎn)管理的結(jié)構(gòu)化和全面性有助于獲得一致和可比較的結(jié)果；（3）定制化。風(fēng)險(xiǎn)管理框架和流程是根據(jù)組織與其目標(biāo)的外部和內(nèi)部背景來制定的，并與其密切相關(guān)；（4）包容的。需要考慮利益相關(guān)方的適當(dāng)和及時(shí)參與，融入他們的知識(shí)、觀點(diǎn)和看法。這可以使相關(guān)方提高風(fēng)險(xiǎn)管理意識(shí)并智慧地管理風(fēng)險(xiǎn)；（5）動(dòng)態(tài)的。隨著組織內(nèi)部和外部環(huán)境的變化，風(fēng)險(xiǎn)可能會(huì)出現(xiàn)、變化或消失。風(fēng)險(xiǎn)管理會(huì)以適當(dāng)和及時(shí)的方式預(yù)測(cè)、監(jiān)控、掌握和響應(yīng)這些變化和事件；（6）最佳可用信息。風(fēng)險(xiǎn)管理的輸入是基于歷史和當(dāng)前的信息以及未來預(yù)期。風(fēng)險(xiǎn)管理應(yīng)明確考慮到與這些信息和期望相關(guān)的任何限制和不確定性。信息應(yīng)及時(shí)、清晰地提供給相關(guān)的利益相關(guān)方；（7）人員與文化因素。人員行為和文化明顯影響風(fēng)險(xiǎn)管理在不同層面和階段的各個(gè)方面；（8）持續(xù)改進(jìn)。通過學(xué)習(xí)和經(jīng)驗(yàn)積累，不斷提高風(fēng)險(xiǎn)管理水平。

關(guān)于風(fēng)險(xiǎn)管理框架部分，目的是協(xié)助組織將風(fēng)險(xiǎn)管理納入重要的活動(dòng)和職能。風(fēng)險(xiǎn)管理的有效性取決于是否將其納入組織治理和決策中。這需要利益相關(guān)方，特別是最高管理層的支持。此次更新的框架強(qiáng)化了領(lǐng)導(dǎo)層的職責(zé)和整合的重要性，核心是領(lǐng)導(dǎo)力與承諾，明確高級(jí)管理層和監(jiān)督機(jī)構(gòu)應(yīng)確保風(fēng)險(xiǎn)管理融入組織所有活動(dòng)。體現(xiàn)為五個(gè)步驟：整合、設(shè)計(jì)、實(shí)施、評(píng)價(jià)、改進(jìn)，并前后有序。

風(fēng)險(xiǎn)管理整合是一個(gè)動(dòng)態(tài)和反復(fù)優(yōu)化的過程，應(yīng)該根據(jù)組織的需求和文化進(jìn)行定制。風(fēng)險(xiǎn)管理應(yīng)該成為組織目的、治理、領(lǐng)導(dǎo)力和承諾、戰(zhàn)略、目標(biāo)和運(yùn)營(yíng)的一部分。設(shè)計(jì)風(fēng)險(xiǎn)管理框架時(shí)，高級(jí)管理層和監(jiān)督機(jī)構(gòu)應(yīng)通過政策、聲明或其他形式在組織內(nèi)部和向利益相關(guān)方明確表達(dá)組織的目標(biāo)以及對(duì)風(fēng)險(xiǎn)管理的持續(xù)承諾，確保分配和傳達(dá)有關(guān)風(fēng)險(xiǎn)管理的權(quán)限和職責(zé)，分配適當(dāng)?shù)馁Y源，建立溝通和咨詢方式以支持框架和促進(jìn)風(fēng)險(xiǎn)管理的有效應(yīng)用。

風(fēng)險(xiǎn)管理流程部分，強(qiáng)調(diào)了范圍與標(biāo)準(zhǔn)，突出了記錄和報(bào)告，包含范圍、背景和標(biāo)準(zhǔn)，風(fēng)險(xiǎn)評(píng)估的經(jīng)典流程—風(fēng)險(xiǎn)識(shí)別、風(fēng)險(xiǎn)分析、風(fēng)險(xiǎn)評(píng)價(jià)，風(fēng)險(xiǎn)應(yīng)對(duì)，風(fēng)險(xiǎn)記錄與報(bào)告，溝通與咨詢，監(jiān)控與審查。以上六大要素貫穿于整個(gè)風(fēng)險(xiǎn)管理過程。

該三輪圓形圖提煉了整個(gè)ISO31000風(fēng)險(xiǎn)管理指南的所有內(nèi)容，指南的全文都圍繞著這個(gè)三輪圓形圖來展開論述。

3 探討及理念

3.1 整合

原則部分和框架部分都將“整合”作為第一個(gè)要素，其重要性可見一斑。風(fēng)險(xiǎn)管理，不是一項(xiàng)獨(dú)立于其他管理和業(yè)務(wù)活動(dòng)的工作，而是與包括和利益相關(guān)方互動(dòng)在內(nèi)的其他管理活動(dòng)緊密融合的一項(xiàng)工作，應(yīng)力戒探索實(shí)踐中通常出現(xiàn)的“形式主義”。新版指南希望能夠?qū)ⅰ罢稀钡乃枷雮鬟f的更加清晰和明確，促使人們?nèi)フ腺Y源，形成合力，解決風(fēng)險(xiǎn)問題。此處整合的概念與2006年6月國(guó)務(wù)院國(guó)資委發(fā)布的《中央企業(yè)全面風(fēng)險(xiǎn)管理指引》中全面風(fēng)險(xiǎn)管理有異曲同工之妙。COSO最新版風(fēng)險(xiǎn)管理框架出臺(tái)后，也將其征求意見稿中的“協(xié)調(diào)一致”改為“整合”，并強(qiáng)調(diào)風(fēng)險(xiǎn)管理對(duì)于戰(zhàn)略計(jì)劃和嵌入整個(gè)組織的重要性。

ISO風(fēng)險(xiǎn)管理技術(shù)委員會(huì)主席Jason Brown解釋，ISO31000提供了一個(gè)風(fēng)險(xiǎn)管理框架，支持所有活動(dòng)，包括組織內(nèi)各個(gè)層次的決策。ISO31000框架及其流程應(yīng)與管理系統(tǒng)集成，以確保組織所有領(lǐng)域管理控制的一致性和有效性。孤立的風(fēng)險(xiǎn)管理工作并無實(shí)際意義，應(yīng)該與組織的所有管理活動(dòng)整合，成為任何管理經(jīng)營(yíng)活動(dòng)的一部分，包括但不限于：戰(zhàn)略和規(guī)劃、公司治理、人力資源、合規(guī)、質(zhì)量、健康與安全、業(yè)務(wù)連續(xù)性、危機(jī)管理與安全管理、組織抗風(fēng)險(xiǎn)能力，IT等。

3.2 領(lǐng)導(dǎo)力

風(fēng)險(xiǎn)管理框架最核心的內(nèi)容為“領(lǐng)導(dǎo)力與承諾”，強(qiáng)化了領(lǐng)導(dǎo)層在風(fēng)險(xiǎn)管理工作中的角色。按照ISO風(fēng)險(xiǎn)管理技術(shù)委員會(huì)主席Jason Brown所言，修訂版重點(diǎn)在于與組織的整合，領(lǐng)導(dǎo)者的角色及其責(zé)任，這將有助于強(qiáng)化風(fēng)險(xiǎn)管理是組織管理不可分割的一部分。

指南明確，風(fēng)險(xiǎn)管理是組織治理和領(lǐng)導(dǎo)力的一部分，對(duì)于組織在各個(gè)層面的管理至關(guān)重要，這也表明風(fēng)險(xiǎn)管理工作應(yīng)自上而下傳導(dǎo)。COSO新版框架在解釋風(fēng)險(xiǎn)管理的定義是一種文化、能力和實(shí)踐的具體內(nèi)容時(shí)，也同樣提供了同樣的觀點(diǎn)。

3.3 弱化不確定性

與2009版指南對(duì)照，可以看出國(guó)際標(biāo)準(zhǔn)組織針對(duì)風(fēng)險(xiǎn)管理原則也在不斷深入、擴(kuò)展。但需要關(guān)注的是，新版指南弱化了不確定性，并在風(fēng)險(xiǎn)管理原則中刪除“明確指明不確定性”的內(nèi)容。而“不確定性”是區(qū)分風(fēng)險(xiǎn)管理與其他管理工作的重要特征，并且老版指南和新版指南均使用的風(fēng)險(xiǎn)定義“不確定性對(duì)目標(biāo)的影響”中關(guān)鍵要素之一就是不確定性。

3.4 宏觀定位

系統(tǒng)來看，新指南比上一版更加簡(jiǎn)化，更加著重宏觀層面，沒有給出任何實(shí)施細(xì)則和操作步驟，可以看出，其定位在于試圖解決思想意識(shí)和頂層設(shè)計(jì)問題。

新標(biāo)準(zhǔn)的發(fā)布在推動(dòng)企業(yè)建立和完善企業(yè)風(fēng)險(xiǎn)管理體系的同時(shí)，也一定會(huì)推動(dòng)以“風(fēng)險(xiǎn)為導(dǎo)向”的內(nèi)部審計(jì)工作的進(jìn)一步發(fā)展。

4 結(jié)語

當(dāng)今社會(huì)風(fēng)云變幻，組織發(fā)展總會(huì)需要承擔(dān)這樣或那樣的風(fēng)險(xiǎn)，正如ISO31000專家組主席凱文？奈特所講，最大的風(fēng)險(xiǎn)是不承擔(dān)任何風(fēng)險(xiǎn)，不承擔(dān)風(fēng)險(xiǎn)也就失去了明天。但應(yīng)該承擔(dān)什么樣的風(fēng)險(xiǎn)，承擔(dān)多大程度的風(fēng)險(xiǎn)，是組織發(fā)展需要深入研究的課題。組織應(yīng)該更加重視風(fēng)險(xiǎn)管理，最新發(fā)布的ISO31000《風(fēng)險(xiǎn)管理指南》或許能使組織管理更加標(biāo)準(zhǔn)和科學(xué)。

參考文獻(xiàn)

[1] The Committee of Sponsoring Organizations of the Treadway Commission（COSO），2017，“Enterprise Risk Management Integrating with Strategy and Performance Executive Summary”，COSO.

[2] The Committee of Sponsoring Organizations of the Treadway Commission（COSO）， 2017，“Enterprise Risk Management Integrating with Strategy and Performance Frequently Asked Questions”，COSO.

[3] The International Organization for Standardization（ISO），2018，“ISO31000：2018，Risk Management Guidelines”，ISO.