如何创建风险评估流程
如何设计一条风险评估流程：先商定评估标准和风险偏好再打分，把风险写成原因、事件与后果，对固有风险和剩余风险分别打分，并让风险接受走审批。
风险评估流程从一个触发点走到一项已应对、有责任人、有复评日期的风险：先商定标准，识别并描述，在控制措施前后各打一次分，然后选择应对方式。
简而言之
- 先定标准和风险偏好，再做识别——否则分数无法比较。
- 把风险写成原因、事件与后果，而不是一个名词。
- 固有风险与剩余风险分别打分，控制措施的贡献才看得见。
- 接受也是一种应对方式，需要一位有权承担该风险的审批人。
- 每一条记录最终都要有一位具名责任人和一个复评日期。
在任何人打分之前，先把标尺定下来
风险评估出问题是在打分之前，而不是在打分过程中。如果可能性和影响的标尺没有定义、风险偏好的阈值没有说明，两位评估人对同一项敞口会打出不同的分数，而且各自都站得住脚——于是风险登记册变成一堆无法排序的意见。先把标准商定下来是件不出彩的工作，而它正是让后续一切具备可比性的前提。
第二处失误出在风险陈述本身。“供应商失效”无法评估，因为它既没有说明什么会导致它，也没有说明它会带来什么，评估于是沦为对这个词到底指什么的争论。原因、事件与后果，是让一项风险变得可评估的最小结构——而把它写出来，会迫使多数登记册里那些含糊的条目要么变得具体，要么暴露出自己只是重复项。
下面的示例是一条风险评估流程，分布在五条泳道、五个阶段中。它先给固有风险打分，再把功劳记到控制措施头上；把剩余风险与风险偏好相对照；并把风险接受画成一个审批决策，而不是画成没人行动时自然发生的结果。
从触发点到进入监控的登记条目
一条分布在五条泳道上的风险评估流程。留意固有风险与剩余风险是分别打分的。
标准先行
先确定范围与目标，然后是评估标准与风险偏好。把这件事放在识别之前，才让两位评估人的分数具备可比性——而这一步最常被跳过，直接就去开工作坊了。
先识别，再好好描述
与团队一起识别、写入风险登记册、做一次合并而不是重复计数的去重检查，再写一段原因—事件—后果的描述。描述这一步之所以存在，是因为一册全是单词式风险的登记册根本无法评估。
在控制措施前后各打一次分
可能性与影响、一个固有风险分数、对现有控制措施设计与实际执行情况的评估，然后是剩余风险与风险偏好的对照。只对剩余状态打分，会掩盖有多少东西压在一项从没人验证过的控制措施上。
四种应对方式——而接受需要签字
降低、转移、规避或接受——其中接受要经过相应层级的审批。正是那道审批，区分了接受一项风险与无视一项风险；没有它，接受就只是默认发生的结果。
责任人与复评日期，然后进入监控
应对之后的再评估，若剩余风险仍然过高则回到前面；随后确定风险责任人和复评日期，条目才进入监控。两者缺一的条目，只在写下它的那一天是准确的，此后便悄悄失效。
运作方式
把标尺和风险偏好写下来
用具体的口径定义可能性和影响的各个等级——金额、停机时长、伤害、监管后果——并说明超过哪条界线的风险必须应对而不能接受。只留在制度文件里的标准，会被凭记忆近似套用，两位评估人从同样的事实得出不同分数，正是这么来的。
和实际做事的人一起识别
把识别做成一次有一线员工参与的集体活动，并辅以事件历史和审计历史。一个人在办公桌前完成的识别，会漏掉只有实操者才看得见的风险，而事后再仔细的打分，也补不回一项从未被写下来的风险。
强制使用原因—事件—后果的格式
把每一条都改写成“X 可能导致 Y，进而造成 Z”。这样做之后多数登记册都会变短，因为若干条目其实是同一项风险从不同角度的描述——而留下来的那些，变得可以评估了。
先给固有风险打分，再把功劳记给控制措施
把两个分数保持为两个独立的步骤。随后分别评价控制措施的设计和运行有效性，因为一项设计精良却没人执行的控制措施一文不值，而假定并非如此的登记册，乐观得让你看不出来。
定下风险接受的审批层级
写明在每个分数区间内谁可以接受风险，并要求把接受记录到具体的人名下。正是这一条规则，能防止登记册里塞满因为没人有时间应对而被默认接受的风险。
给每条记录一位责任人和一个复评触发条件
一位具名的风险责任人——而不是一个部门——以及条目上的复评日期，再加上事件触发条件：一次事故、一次供应商变更、一套新系统、一项审计发现。只做年度复审的登记册，描述的是去年。
应避免的错误
标尺尚未商定就开始打分
结果既无法排序也无法比较，而对某个分数的第一次认真质疑，就会击垮对整册登记册的信任。
把风险写成名词
“网络”和“供应商失效”是类别，不是风险。它们无法打分、无法应对，也无法归属责任人。
只打剩余风险的分
登记册看上去令人安心，却说不出哪些控制措施是承重的——而这恰恰是其中一项发生变化时最要紧的问题。
默认接受
没人应对、也没人签字的风险，是在无人决定的情况下被接受的。把接受做成一次审批。
创建你们自己的风险评估流程
把这个风险评估示例作为你们自己的图表打开，写入你们自己的标尺，并定下风险接受的审批层级。
相关指南
常见问题
风险评估流程包含哪些步骤？
确定范围与标准，识别风险，把每一项描述为原因、事件与后果，分析可能性与影响，把剩余状态与风险偏好相对照，选择应对方式，并指定责任人和复评日期。ISO 31000 把识别、分析和评价归入风险评估，应对则紧随其后。正是这个顺序让结果具备可比性：标准先于打分，描述先于分析，评价先于任何人提出控制措施。
固有风险与剩余风险有什么区别？
固有风险是尚未把现有控制措施计入之前的敞口；剩余风险是计入之后剩下的部分。两者都打分，控制措施才看得见——一项固有风险高、剩余风险低的风险，是被某个具体的东西压住的；如果那个东西是由一个人执行的一道人工检查，那么最好在他离职之前就知道。只记录剩余分数的登记册，回答不了哪些控制措施是承重的。
风险应对有哪四种方式？
降低（增加或加强控制措施）、转移（保险、合同条款、外包）、规避（停止或改变该项活动）以及接受（明知而承担）。接受是一个真实的选项，并且需要一位审批人：接受一项风险与无视一项风险的区别，在于有一位具备权限的具名人员，以及一份他做出该决定的记录。转移是被高估得最厉害的一种——保险转移的是财务后果，很少能转移运营或声誉上的后果。
风险应该多久复评一次？
按分数设定节奏，再加上事件触发条件。对分数较低的风险，每年一次是合理的基线，对接近风险偏好界线的风险则每季度一次；但触发条件更重要：一家新供应商、一次系统变更、一次事故、一项监管变化或一项审计发现，都应当把受影响的条目提前拉出来复评。只做计划性复评，意味着登记册在写下的那天是准确的，之后一整年都在漂移。
