风险识别与分析的技术与工具主要有哪些

以上介绍的风险识别与分析有多种方法,而在应用上述方法时,在业内有大量的技术与工具可供使用,既有咨询业常用的分析工具,也有某些行业所特有的分析工具。这些技术和工具有的可以用于定性分析,有的可以用于定量分析。以下我们列出几种常用的技术与工具供读者参考,并结合我们的实际案例对这些方法进行举例说明。值得说明的是,这些工具主要用于通用风险的识别与分析,而非某些专用风险领域(如某些金融业的信用风险量化工具、工程建筑的安全风险分析等),在实际应用中,应当根据实际需要结合这些专用风险的分析工具,以更为深入与高效地识别与评价风险。

(1)SIPOC(Supplier,供应者;Input,输入;Process,流程;Output,输出;Client,客户)是识别业务流程中关键风险点的分析方法。通过这种方法,我们可将业务流程分解为若干关键点,并明确其目标和涉及的人、财、物、流程等要素,以确保对该流程所涉及的风险进行全面梳理。

使用SIPOC模型进行风险分析时,我们需要明确的要素包括以下几点。

●　目的:为什么会存在这个过程?目的是什么?

●　供应者:该过程的提供方有哪些?

●　输入:该过程需要哪些人、财、物?

●　过程:每项输入由何人以何种方式通过何种流程处理?最终会发生什么变化?

●　输出:该过程将带来什么样的产品或服务?

●　客户:谁在使用这个过程的产品或者服务?

以项目合同签订流程为例,我们在综合使用了访谈、调查问卷等方式之后,使用SIPOC模型会得出以下信息:

我们可以继续询问下列问题:

●　目前签订的合同包括哪些类型?这些合同管理流程涉及哪些相关部门?其职责分工如何?

●　在具体业务中,对合同文本的选用是怎么控制的?

●　合同文本、合同条款是如何制定的,涉及哪些部门的哪些人员?

●　哪些业务使用格式合同?法务部对格式合同如何管理?多久更新一次格式合同?

●　如何管理合同文本、条款的更新,信息变更后如何实现信息在部门之间的有效流转?

●　在合同(纸质及电子的)的流转过程中,通过哪些措施来保证信息的一致性?

●　业务部门以及法务部在合同文本/条款的制定和选择过程中是如何分工的?

●　合同的签订和生效环节使用的是什么系统?这个系统在整个管理程序中起到什么作用?

●　信息系统在合同签订、执行过程中承担什么样的作用?如何保证信息系统数据准确完整?

●　对合同的签订以及审批(签章等)的授权管理工作是如何开展的?相关人员如何获得授权范围信息?如何保证合同的签订、生效与执行都由得到适当授权的人员进行?

进而识别下列风险点:

●　采购合同会签中的沟通风险;

●　未按流程审批的风险;

●　合同条款的法律风险;

●　合同条款违约责任不明风险;

●　合同审核风险;

●　合同未经适当授权审批风险;

●　合同签章管理风险;

●　合同文本选用风险;

●　合同修订信息传达不畅风险。

可以发现,SIPOC模型是一种组织系统模型和用于流程管理和改进的技术,亦是作为识别核心过程的首选方法。它能展示出一组跨越职能部门界限的活动,不论一个组织的规模有多大,SIPOC模型都可以用一个框架来勾勒其业务流程,有助于保持“全景”视角,因此我们推荐企业在梳理业务流程相关的风险中使用此工具。

(2)最差情景分析。情景分析(Scenario Analysis)是指通过分析未来可能发生的各种情景,以及各种情景可能产生的影响来分析风险的一种方法。换句话说,情景分析是类似“如果—怎样”的分析方法。未来总是不确定的,而情景分析使我们能够“预见”将来,对未来的不确定性有一个直观的认识。用情景分析法来进行风险识别与分析时,我们通常需要找到最差情景,可用来识别在特定环境中可能发生的事件并分析潜在的后果及此种最差情景的可能性,并可用来预计威胁和机遇可能发生的方式,以及如何将威胁和机遇用于各类长期风险及短期风险。

情景分析的结构可以是正式的,也可以是非正式的。在建立了团队和相关沟通渠道,同时确定了需要处理的问题和事件的背景之后,下一步就是确定可能出现变化的性质。这就要求对主要趋势、趋势变化的可能时机以及对未来的预见进行研究。需要分析的变化可能包括:

●　外部情况的变化(例如技术变化);

●　不久将要作出的决定,而这些决定可能会产生不同的后果;

●　利益相关者的需求以及需求可能的变化方式;

●　宏观环境的变化(如监管及人口统计等),有些变化是必然的,而有些是不确定的。

建议使用一系列的情景,关注每个情景参数的合理变化。为每个情景编写一个“故事”,讲述你如何从此时此地转向主题情景。这些故事可以包括那些能为情景带来附加值的合理细节。现在,这些情景可以用来测试或评估最初的问题。这项测试考虑到任何重要但可预测的因素(例如,使用模式),然后分析政策在这种新情景中的“成功”概率,并通过使用以模型假设为基础的“假定分析”来“预先测定”结果。当对每个情景的问题或建议进行评估时,显然需要进行修正,以使其更全面或风险更小。当情景正在发生变化时,也可能找出一些能够表明变化的先行指标,监测先行指标并作出反应,还可以为改变计划好的战略提供机会。

最差情景分析主要应用于将会极大影响企业目标达成的风险识别与评估。比如对于某家水泥生产企业,在目前国内水泥需求旺盛的前提下,如何保持并提升其产量是一个重要因素。我们通过初步调查发现,某地常常拉闸限电,因此会影响水泥的产量,因此我们开始情景假设:比如停电一天对企业的影响到底有多大?一周还是一个月?通过这种分析,结合风险发生可能性与风险发生影响的评价,我们可以去识别多长时间、多大范围的停电风险对公司是个重大风险,并且也可以发现公司目前是否已经具备了管理此种风险的能力。

在运用情景分析时,主要的难点涉及数据的有效性以及分析师和决策者开发现实情境的能力,这些难点对结果的分析具有修正作用。如果将情景分析作为一种决策工具,其危险在于所用情景可能缺乏充分的基础,数据可能具有随机性,同时可能无法发现那些不切实际的结果。

(3)因果图法,是风险识别的一种重要方法,因果图,又称为“鱼骨图”,或根本原因分析法,是从导致风险事件的因素出发,推断出风险发生的原因。

在实务中,导致风险事件的因素很多,通过对这些因素进行全面系统的观察和分析,可以找出其中的因果关系。这些因素通常可以概括为物、环境、人和管理四个方面,它们与风险事故的关系是复杂的,彼此之间也存在很多的关联。当我们分析发生事故的原因时,应当将各种原因进行归纳、分析,并用简明的文字和线条加以全面表示。如对于某制造行业的企业,能源成本居高不下严重影响了节能减排目标的达成,该企业通过发散性的讨论,绘制了以下因果图:

通过进一步的访谈与查阅资料,我们确认影响公司能源成本的主要因素如下:

●　高能耗生产环节缺乏持续深入研究与监督;

●　能源结构研究有待提高;

●　能源利用研究深度有待深化;

●　缺乏对能源质量成本的评估工作;

●　节能激励机制不够有力;

●　人员配备不足。

因果图可以按照以下步骤来绘制:

●　确定风险事件。因果图最右端的就是风险事件,通常要参考企业目标;

●　确定主要风险因素,如分析得到组织、人力,节能导向,专业研究与节能机制是能源成本高的四大风险因素的结论;

●　沿着各主要风险因素继续确定次要风险因素,可以继续深入到第三层、第四层;

●　分析各个要素对于风险事件的相关程度与重要性,并考虑公司目前是否对这些因素进行了恰当的管理,对那些既重要又疏于管理的,要进行清晰标识;

●　进一步分析这些重要因素之间的关联关系,并记录下它们之间是如何关联的,在分析过程中可能会发现其他的重要因素,也补充记录下来。

本质上,因果图是一种结构化的思维方式,主要有以下作用:

●　可用于事前预测事故及事故隐患,也可用于重大事故事后分析原因;

●　可用于建立重大风险的档案,并支持进一步的风险应对方案。

运用因果图会遇到的难点在于可能由于风险事件调查的不充分导致忽略重要因素,尤其是当第一层级的“支柱”如果有疏漏,会直接影响因果图的效果。另外,由于参与对象可能众多,会导致对风险因素的重要性程度认识不一,难以过滤出最重要的风险因素。

(4)失效模式和效应分析(Failure Mode and Effect Analysis,以下简称FMEA),是一种用来确定潜在失效模式及其原因的分析方法,主要应用在质量管理领域。1950年Gruman航空器公司提出失效模式与效应分析,并用于飞机主操纵系统失效分析,因其效用彰显并获得极大认同,随后便被美国太空总署、国防部及各军种在发展武器系统或安全程序时引用,渐渐推广至其他相关军需用品、电子设备、汽车产业等。当产品或事件具备高度的重要性,或者对安全性有显著的影响,需要利用FMEA来作为事前风险高低承受能力的评估时,分析预先应采取何种适当措施来有效管理风险。

在风险管理工作中,我们可以借鉴这一有效的质量管理分析工具,来尝试识别与分析重大风险事件发生的影响与原因。结合公司的重要发展目标,我们首先需要了解以下问题的答案,以识别哪些因素会导致公司失败,其可允许损失的最大值是多少。

●　公司目前关键的可依赖资源包括哪些?

——关键客户;

——关键人员;

——关键业务流程;

——关键设备/器材;

——关键系统;

——关键供应商/供应品;

——其他。

●　在缺乏这些关键可依赖资源的情况下,公司可以持续经营多长的时间?

——识别经营中断可能带来的影响及可允许的最大持续时间;

——识别公司可允许资源缺乏的最大时限,并不影响重要职能的运作。

●　公司可以在多短的时间内从损耗中恢复?

●　这时间会比可允许的最大时限短吗?

●　如果不是,需要采取什么行动以在更短的时间内恢复?

由此,我们可以分析出对于公司存在重大影响的风险因素是什么,对企业的冲击有多大。结合下图,我们可以通过梳理重大风险的失败树与根源树,了解风险发生的原因与类别、发生后的影响,了解风险事件,并讨论可以采取怎样的预防、准备、应对与恢复的措施。