ISO 31000-2018 風(fēng)險(xiǎn)管理指南

ISO31000:2018ISO31000:2018PAGEPAGE10目錄前言介紹適用范圍規(guī)范性引用文件術(shù)語(yǔ)和定義概述領(lǐng)導(dǎo)力和承諾整合設(shè)計(jì)實(shí)施評(píng)價(jià)改進(jìn)6概述溝通和咨詢范圍、環(huán)境和準(zhǔn)則風(fēng)險(xiǎn)評(píng)估風(fēng)險(xiǎn)應(yīng)對(duì)監(jiān)督和審查記錄和報(bào)告參考書目介紹此文件供那些通過(guò)管理風(fēng)險(xiǎn)來(lái)制定決策、設(shè)定和實(shí)現(xiàn)目標(biāo)，以及通過(guò)提升績(jī)效來(lái)創(chuàng)造和保護(hù)組織價(jià)值的人員使用。各種類型和規(guī)模的組織都面臨著外部和內(nèi)部因素及影響，這些因素和影響使得組織實(shí)現(xiàn)其目標(biāo)面臨一定的不確定性。風(fēng)險(xiǎn)管理是反復(fù)優(yōu)化的，有助于組織制定戰(zhàn)略、實(shí)現(xiàn)目標(biāo)和做出明智的決策。管理風(fēng)險(xiǎn)是治理和領(lǐng)導(dǎo)力的一部分，對(duì)于組織在各個(gè)層面的管理至關(guān)重要。它有助于改進(jìn)管理體系。管理風(fēng)險(xiǎn)是組織所有活動(dòng)的一部分，包括與利益相關(guān)方的交流和溝通。管理風(fēng)險(xiǎn)考慮了組織的外部和內(nèi)部環(huán)境，包括人員行為和文化因素。1圖1-原則、框架和流程風(fēng)險(xiǎn)管理–指南適用范圍本文件提供了組織管理面臨的風(fēng)險(xiǎn)的指南。這些指南的應(yīng)用可以針對(duì)任何組織及其背景環(huán)境進(jìn)行定制。本文件提供了管理任何類型風(fēng)險(xiǎn)的通用方法，并非行業(yè)或某一領(lǐng)域特定的。該文件可用于組織的整個(gè)生命周期，可應(yīng)用于任何活動(dòng)，包括各層級(jí)決策。規(guī)范性引用文件本文檔中沒有規(guī)范性引用文件。術(shù)語(yǔ)和定義就本文件而言，下列術(shù)語(yǔ)和定義適用。ISOIECISOhttp：\h///obpIECElectropedia\h3.1風(fēng)險(xiǎn)不確定性對(duì)目標(biāo)的影響注1：影響是與預(yù)期的偏差。它可以是積極的、消極的或兩者兼而有之，并且可以鎖定、創(chuàng)造機(jī)遇或?qū)е峦{。注2：目標(biāo)可以有不同的方面和類別，并且可以在不同的層面應(yīng)用。注3：風(fēng)險(xiǎn)通常以風(fēng)險(xiǎn)源（3.4）、潛在事件（3.5）、后果（3.6）及其可能性（3.7）表示。3.2風(fēng)險(xiǎn)管理指導(dǎo)和控制組織風(fēng)險(xiǎn)（3.1）的協(xié)調(diào)活動(dòng)3.3利益相關(guān)方1：3.4風(fēng)險(xiǎn)源單獨(dú)或組合在一起可能會(huì)導(dǎo)致風(fēng)險(xiǎn)的要素（3.1）3.5事件一系列特殊狀況的發(fā)生或變化注1：（3.6）。注2：3：3.6后果事件（3.5）影響目標(biāo)的結(jié)果注1：后果可能是確定的或不確定的，可能對(duì)目標(biāo)產(chǎn)生正面或負(fù)面、直接或間接的影響。注2：后果可以定性或定量表示。注3：任何后果都可能通過(guò)連鎖和累積效應(yīng)升級(jí)。3.7可能性事情發(fā)生的幾率1：（3.2）（）注2：英文術(shù)語(yǔ)“可能性”在某些語(yǔ)言中沒有直接的同義詞；有時(shí)會(huì)使用術(shù)語(yǔ)“概率”來(lái)代替。然而，在英語(yǔ)中，“概率”通常被狹義地解釋為數(shù)學(xué)術(shù)語(yǔ)。因此，在風(fēng)險(xiǎn)管理術(shù)語(yǔ)中，“可能性”應(yīng)該與“概率”一詞在除英語(yǔ)以外的語(yǔ)言中，具有相同的廣義解釋。3.8控制保持和/或調(diào)整風(fēng)險(xiǎn)的措施（3.1）注1：控制包括但不限于保持和/或修改風(fēng)險(xiǎn)的任何流程、政策、設(shè)備、實(shí)踐或其他條件和/或行動(dòng)。注2：控制可能并不總是能發(fā)揮到預(yù)期或假定的調(diào)整效果。原則風(fēng)險(xiǎn)管理的目的是創(chuàng)造和保護(hù)價(jià)值。它提升了績(jī)效，鼓勵(lì)創(chuàng)新并支持目標(biāo)實(shí)現(xiàn)。2圖2-原則有效的風(fēng)險(xiǎn)管理需要圖2中的要素，可以進(jìn)一步解釋如下。a）整合的風(fēng)險(xiǎn)管理是所有組織活動(dòng)的組成部分。b）結(jié)構(gòu)化和全面性c）定制化需要考慮利益相關(guān)方的適當(dāng)和及時(shí)的參與，融入他們的知識(shí)、觀點(diǎn)和看法。這可以提高風(fēng)險(xiǎn)意識(shí)并明智的管理風(fēng)險(xiǎn)。動(dòng)態(tài)的隨著組織內(nèi)部和外部環(huán)境的變化，風(fēng)險(xiǎn)可能會(huì)出現(xiàn)、變化或消失。風(fēng)險(xiǎn)管理會(huì)以適當(dāng)和及時(shí)的方式預(yù)測(cè)、監(jiān)督、掌握和響應(yīng)這些變化和事件。風(fēng)險(xiǎn)管理的輸入是基于歷史和當(dāng)前的信息以及未來(lái)的預(yù)期。風(fēng)險(xiǎn)管理應(yīng)明確考慮到與這些信息和期望相關(guān)的任何限制和不確定性。信息應(yīng)及時(shí)、清晰地提供給相關(guān)的利益相關(guān)方。人員行為和文化明顯影響著各級(jí)和各階段風(fēng)險(xiǎn)管理的各個(gè)方面。h）持續(xù)改進(jìn)通過(guò)學(xué)習(xí)和經(jīng)驗(yàn)積累，不斷提高風(fēng)險(xiǎn)管理水平?？蚣芨攀鲲L(fēng)險(xiǎn)管理框架的目的是協(xié)助組織將風(fēng)險(xiǎn)管理納入重要的活動(dòng)和職能。風(fēng)險(xiǎn)管理的有效性取決于是否將其納入組織治理和決策中。這需要利益相關(guān)方，特別是最高管理層的支持。框架開發(fā)包括在整個(gè)組織內(nèi)整合、設(shè)計(jì)、實(shí)施、評(píng)價(jià)和改進(jìn)風(fēng)險(xiǎn)管理。圖3說(shuō)明了框架的要素。圖3-框架領(lǐng)導(dǎo)力和承諾在適當(dāng)?shù)那闆r下，高級(jí)管理層和監(jiān)督機(jī)構(gòu)應(yīng)確保風(fēng)險(xiǎn)管理融入組織所有活動(dòng)，并應(yīng)通過(guò)以下方式表現(xiàn)出領(lǐng)導(dǎo)力和承諾：最高管理層負(fù)責(zé)管理風(fēng)險(xiǎn)，而監(jiān)督機(jī)構(gòu)負(fù)責(zé)監(jiān)督風(fēng)險(xiǎn)管理。對(duì)監(jiān)督機(jī)構(gòu)的期望或是要求：整合整合風(fēng)險(xiǎn)管理依賴于對(duì)組織架構(gòu)和環(huán)境的理解。架構(gòu)因組織的目的、目標(biāo)和復(fù)雜程度而異。組織架構(gòu)中的每個(gè)部分都需要進(jìn)行風(fēng)險(xiǎn)管理。組織中的每個(gè)人都有責(zé)任管理風(fēng)險(xiǎn)。治理為組織如何處理內(nèi)外部關(guān)系，設(shè)置規(guī)則、流程和實(shí)踐以實(shí)現(xiàn)其目的提供了指引。管理架構(gòu)將治理的方向轉(zhuǎn)化為戰(zhàn)略和相關(guān)目標(biāo)，來(lái)實(shí)現(xiàn)組織理想水平的績(jī)效和永續(xù)經(jīng)營(yíng)。確定組織內(nèi)部的風(fēng)險(xiǎn)管理責(zé)任和監(jiān)督角色是組織治理的一部分。將風(fēng)險(xiǎn)管理整合到組織中是一個(gè)動(dòng)態(tài)和反復(fù)優(yōu)化的過(guò)程，應(yīng)該根據(jù)組織的需求和文化進(jìn)行定制。風(fēng)險(xiǎn)管理應(yīng)該成為組織目的、治理、領(lǐng)導(dǎo)力和承諾、戰(zhàn)略、目標(biāo)和運(yùn)營(yíng)的一部分，而不是相互分離。設(shè)計(jì)了解組織及其環(huán)境在設(shè)計(jì)風(fēng)險(xiǎn)管理框架時(shí)，組織應(yīng)該檢視并理解其內(nèi)部和外部環(huán)境。檢查組織的外部環(huán)境可能包括但不限于：檢查組織的內(nèi)部環(huán)境可能包括但不限于：（）明確風(fēng)險(xiǎn)管理承諾在適當(dāng)情況下，高級(jí)管理層和監(jiān)督機(jī)構(gòu)應(yīng)通過(guò)政策、聲明或其他形式清楚地表達(dá)組織的目標(biāo)和對(duì)風(fēng)險(xiǎn)管理的承諾，展示并闡明其對(duì)風(fēng)險(xiǎn)管理的持續(xù)承諾。承諾應(yīng)包括但不限于：組織對(duì)風(fēng)險(xiǎn)管理的承諾應(yīng)在適當(dāng)時(shí)傳達(dá)給內(nèi)部和利益相關(guān)方。分配組織角色、權(quán)限、職責(zé)在適當(dāng)情況下，高級(jí)管理層和監(jiān)督機(jī)構(gòu)應(yīng)確保在組織各級(jí)分配和傳達(dá)有關(guān)風(fēng)險(xiǎn)管理的權(quán)限和職責(zé)，并應(yīng)：（）。分配資源在適當(dāng)?shù)那闆r下，高級(jí)管理層和監(jiān)督機(jī)構(gòu)應(yīng)確保為風(fēng)險(xiǎn)管理分配適當(dāng)資源，其中可包括但不限于：PAGEPAGE12組織應(yīng)考慮現(xiàn)有資源的能力和局限。建立溝通和咨詢?yōu)橹С挚蚣芎痛龠M(jìn)風(fēng)險(xiǎn)管理的有效應(yīng)用，組織應(yīng)建立一個(gè)經(jīng)過(guò)批準(zhǔn)的溝通和咨詢方法。溝通涉及與目標(biāo)受眾共享信息。咨詢包括參與者期望對(duì)決策或其他活動(dòng)作出貢獻(xiàn)，以便更好決策的反饋信息。溝通和咨詢方法和內(nèi)容應(yīng)反映相關(guān)利益方的期望。溝通和咨詢應(yīng)該及時(shí)進(jìn)行，確保收集、整理、匯總和分享相關(guān)信息，提供反饋意見并改進(jìn)。實(shí)施組織應(yīng)通過(guò)以下方式實(shí)施風(fēng)險(xiǎn)管理框架：框架的成功實(shí)施需要利益相關(guān)方的參與和了解。這使組織能夠明確地應(yīng)對(duì)決策中的不確定性，同時(shí)確保在出現(xiàn)任何新的不確定性時(shí)可以將其考慮在內(nèi)。通過(guò)正確的設(shè)計(jì)和實(shí)施風(fēng)險(xiǎn)管理框架，可以確保風(fēng)險(xiǎn)管理流程是整個(gè)組織所有活動(dòng)（包括決策）的一部分，并將充分反映內(nèi)外部環(huán)境的變化。評(píng)價(jià)為了評(píng)估風(fēng)險(xiǎn)管理框架的有效性，組織應(yīng)該：ISO31000:2018ISO31000:2018PAGEPAGE13改進(jìn)適應(yīng)性組織應(yīng)持續(xù)監(jiān)控和調(diào)整風(fēng)險(xiǎn)管理框架，以解決內(nèi)外部的變化。這樣做，組織可以提升其價(jià)值。不斷改進(jìn)組織應(yīng)不斷改善風(fēng)險(xiǎn)管理框架的適用性、充分性和有效性，以及風(fēng)險(xiǎn)管理流程的整合方式。如果已經(jīng)確定了差距或改進(jìn)的機(jī)會(huì)，組織應(yīng)制定計(jì)劃和任務(wù)，并將其分配給負(fù)責(zé)實(shí)施的人員。這些改進(jìn)措施一旦實(shí)施，將有助于加強(qiáng)風(fēng)險(xiǎn)管理的作用。流程概述風(fēng)險(xiǎn)管理流程涉及系統(tǒng)地將政策、程序和實(shí)踐應(yīng)用于溝通和咨詢活動(dòng)，建立環(huán)境和評(píng)估、應(yīng)對(duì)、監(jiān)督、審查、記錄和報(bào)告風(fēng)險(xiǎn)。這個(gè)流程如圖4所示。圖4–流程風(fēng)險(xiǎn)管理流程應(yīng)成為管理和決策的一個(gè)組成部分，并融入組織的架構(gòu)、運(yùn)營(yíng)和流程中。它可以應(yīng)用于戰(zhàn)略、運(yùn)營(yíng)、計(jì)劃或項(xiàng)目層面。組織內(nèi)部可以有很多風(fēng)險(xiǎn)管理流程的應(yīng)用方式，這些應(yīng)用方式是為實(shí)現(xiàn)目標(biāo)而定制的，并適用于其所在的內(nèi)外部環(huán)境。在整個(gè)風(fēng)險(xiǎn)管理流程中，應(yīng)考慮人員行為和文化因素的動(dòng)態(tài)性和變化性。雖然風(fēng)險(xiǎn)管理流程通常表現(xiàn)為有一定的順序，但實(shí)際上不同流程步驟之間是可以反復(fù)交錯(cuò)使用的。溝通和咨詢溝通和咨詢的目的是協(xié)助利益相關(guān)方理解風(fēng)險(xiǎn)、明確作出決策的依據(jù)以及需要采取特定行動(dòng)的原因。溝通旨在促進(jìn)對(duì)風(fēng)險(xiǎn)的認(rèn)識(shí)和理解，而咨詢涉及獲取反饋和信息以支持決策。兩者之間的密切協(xié)調(diào)應(yīng)該促進(jìn)真實(shí)、及時(shí)、相關(guān)、準(zhǔn)確和可理解的信息交換，同時(shí)需要考慮信息的保密性和完整性，以及個(gè)人的隱私權(quán)。與適當(dāng)?shù)膬?nèi)外部利益相關(guān)方進(jìn)行溝通和咨詢，應(yīng)在風(fēng)險(xiǎn)管理流程的所有步驟內(nèi)和整個(gè)流程中進(jìn)行。溝通和咨詢的目的是：范圍、環(huán)境和準(zhǔn)則概述確定范圍、環(huán)境和準(zhǔn)則的目的是針對(duì)性的設(shè)置風(fēng)險(xiǎn)管理流程，實(shí)現(xiàn)有效的風(fēng)險(xiǎn)評(píng)估和恰當(dāng)?shù)娘L(fēng)險(xiǎn)應(yīng)對(duì)。范圍、環(huán)境和準(zhǔn)則涉及界定流程的范圍并理解內(nèi)外部環(huán)境。定義范圍組織應(yīng)該確定其風(fēng)險(xiǎn)管理活動(dòng)的范圍。由于風(fēng)險(xiǎn)管理流程可能適用于不同的層面（例如戰(zhàn)略、運(yùn)營(yíng)、計(jì)劃、項(xiàng)目或其他活動(dòng)），因此重要的是明確所考慮的范圍、相關(guān)目標(biāo)以及與組織目標(biāo)的一致性。在規(guī)劃時(shí)，考慮事項(xiàng)包括：外部和內(nèi)部環(huán)境外部和內(nèi)部環(huán)境是組織制定和實(shí)現(xiàn)其目標(biāo)的土壤。風(fēng)險(xiǎn)管理流程的環(huán)境應(yīng)根據(jù)對(duì)組織運(yùn)行的外部和內(nèi)部情況的理解來(lái)確定，并反映適用風(fēng)險(xiǎn)管理流程的具體活動(dòng)情況。了解環(huán)境很重要，因?yàn)椋航M織應(yīng)考慮5.4.1中提到的因素，建立風(fēng)險(xiǎn)管理流程的外部和內(nèi)部環(huán)境。定義風(fēng)險(xiǎn)準(zhǔn)則相對(duì)于目標(biāo)而言，組織應(yīng)該明確承擔(dān)風(fēng)險(xiǎn)的數(shù)量和類型。還應(yīng)該定義評(píng)估風(fēng)險(xiǎn)重要性水平和支持決策過(guò)程的準(zhǔn)則。風(fēng)險(xiǎn)準(zhǔn)則應(yīng)與風(fēng)險(xiǎn)管理框架相一致，并根據(jù)具體活動(dòng)的目的和范圍進(jìn)行針對(duì)性設(shè)計(jì)。風(fēng)險(xiǎn)準(zhǔn)則還應(yīng)反映組織的價(jià)值觀、目標(biāo)和資源，并與風(fēng)險(xiǎn)管理的政策和聲明保持一致。根據(jù)組織的義務(wù)和利益相關(guān)方的考慮來(lái)定義準(zhǔn)則。（）（）PAGEPAGE16概述風(fēng)險(xiǎn)評(píng)估是風(fēng)險(xiǎn)識(shí)別、風(fēng)險(xiǎn)分析和風(fēng)險(xiǎn)評(píng)價(jià)的整個(gè)過(guò)程。風(fēng)險(xiǎn)評(píng)估應(yīng)該借助利益相關(guān)方的知識(shí)和觀點(diǎn)，系統(tǒng)的、反復(fù)優(yōu)化并協(xié)作的開展。風(fēng)險(xiǎn)評(píng)估應(yīng)該使用最好的可用信息，并在必要時(shí)輔以進(jìn)一步的調(diào)查。風(fēng)險(xiǎn)識(shí)別風(fēng)險(xiǎn)識(shí)別的目的是發(fā)現(xiàn)、識(shí)別和描述可能有助于或妨礙組織實(shí)現(xiàn)目標(biāo)的風(fēng)險(xiǎn)。相關(guān)的、適當(dāng)?shù)暮妥钚碌男畔?duì)于識(shí)別風(fēng)險(xiǎn)很重要。組織可以使用一系列技術(shù)來(lái)識(shí)別可能影響一個(gè)或多個(gè)目標(biāo)的不確定性。應(yīng)考慮以下因素以及這些因素之間的關(guān)系：ISO31000:2018ISO31000:2018PAGEPAGE17組織應(yīng)識(shí)別風(fēng)險(xiǎn)，不管其來(lái)源是否在其控制之下。應(yīng)該考慮到可能有不止一種類型的表現(xiàn)形式，這可能會(huì)導(dǎo)致各種有形或無(wú)形的后果。風(fēng)險(xiǎn)分析根據(jù)分析目的、信息的可用性和可靠性以及資源的可用性，風(fēng)險(xiǎn)分析可以進(jìn)行粗細(xì)程度、復(fù)雜程度不等的分析。分析技術(shù)可以是定性或定量的，也可以是定性和定量相結(jié)合的方式，這取決于環(huán)境和預(yù)期用途。風(fēng)險(xiǎn)分析應(yīng)考慮以下因素：風(fēng)險(xiǎn)分析可能會(huì)受到意見分歧、偏見、風(fēng)險(xiǎn)認(rèn)知和判斷的影響。其他影響因素還包括所用信息的質(zhì)量、所做的假設(shè)和除外條件、對(duì)技術(shù)的任何限制以及執(zhí)行情況等。應(yīng)該考慮、記錄這些影響因素并傳達(dá)給決策者。高度不確定的事件可能難以量化，這在分析具有嚴(yán)重后果的事件時(shí)，可能是一個(gè)問題。在這種情況下，使用各種技術(shù)的組合通?？梢蕴峁└嗟膮⒖家庖?。風(fēng)險(xiǎn)分析的結(jié)果是風(fēng)險(xiǎn)評(píng)價(jià)的基礎(chǔ)，來(lái)決定風(fēng)險(xiǎn)是否需要應(yīng)對(duì)，以及如何使用最適合的風(fēng)險(xiǎn)應(yīng)對(duì)策略和方法。這些結(jié)果為未來(lái)進(jìn)行決策提供了依據(jù)和參考，并且涉及不同類型和水平的風(fēng)險(xiǎn)。風(fēng)險(xiǎn)評(píng)價(jià)風(fēng)險(xiǎn)評(píng)價(jià)的目的是支持決策。風(fēng)險(xiǎn)評(píng)價(jià)涉及將風(fēng)險(xiǎn)分析的結(jié)果與既定的風(fēng)險(xiǎn)準(zhǔn)則進(jìn)行比較，以確定需要采取何種應(yīng)對(duì)措施。這可能會(huì)決定：概述風(fēng)險(xiǎn)應(yīng)對(duì)的目的是選擇和實(shí)施應(yīng)對(duì)風(fēng)險(xiǎn)的方式。風(fēng)險(xiǎn)應(yīng)對(duì)涉及以下反復(fù)優(yōu)化過(guò)程：選擇風(fēng)險(xiǎn)應(yīng)對(duì)備選方案選擇最合適的風(fēng)險(xiǎn)應(yīng)對(duì)方案，涉及到為實(shí)現(xiàn)目標(biāo)實(shí)施此方案帶來(lái)的潛在收益，與實(shí)施成本或由此帶來(lái)的不利因素之間的權(quán)衡。在所有情況下，風(fēng)險(xiǎn)應(yīng)對(duì)選項(xiàng)不一定是相互排斥或完全適合的。應(yīng)對(duì)風(fēng)險(xiǎn)的方案可能涉及以下一項(xiàng)或多項(xiàng)：（）；選擇風(fēng)險(xiǎn)應(yīng)對(duì)的理由，不僅要單純的考慮成本，應(yīng)該考慮到組織的所有義務(wù)，自愿承諾和利益相關(guān)方的觀點(diǎn)。風(fēng)險(xiǎn)應(yīng)對(duì)備選方案的選擇應(yīng)根據(jù)組織的目標(biāo)、風(fēng)險(xiǎn)準(zhǔn)則和可用資源來(lái)進(jìn)行。在選擇風(fēng)險(xiǎn)應(yīng)對(duì)備選方案時(shí)，組織應(yīng)考慮價(jià)值觀、認(rèn)知和潛在涉及的利益相關(guān)方，以及與他們溝通和咨詢的最佳方式。盡管效果相同的方案，利益相關(guān)方也可能有所偏好。風(fēng)險(xiǎn)應(yīng)對(duì)還可能引入需要管理的新風(fēng)險(xiǎn)。如果沒有合適的應(yīng)對(duì)方案或應(yīng)對(duì)方案沒有充分改變風(fēng)險(xiǎn)，則應(yīng)記錄風(fēng)險(xiǎn)并持續(xù)進(jìn)行評(píng)估。準(zhǔn)備和實(shí)施風(fēng)險(xiǎn)應(yīng)對(duì)計(jì)劃風(fēng)險(xiǎn)應(yīng)對(duì)計(jì)劃的目的是明確選擇如何實(shí)施應(yīng)對(duì)方案，從而讓相關(guān)人員了解安排情況，并對(duì)照計(jì)劃進(jìn)行監(jiān)測(cè)。應(yīng)對(duì)計(jì)劃應(yīng)明確確定實(shí)施風(fēng)險(xiǎn)應(yīng)對(duì)方案的順序。應(yīng)對(duì)計(jì)劃應(yīng)與適當(dāng)?shù)睦嫦嚓P(guān)方咨詢，并納入組織的管理計(jì)劃和流程。應(yīng)對(duì)計(jì)劃中提供的信息應(yīng)包括：約束；監(jiān)督和審查監(jiān)督和審查的目的是保證和提升流程設(shè)計(jì)、實(shí)施和結(jié)果的質(zhì)量和有效性