风险评估的顺序是自上而下还是自下而上

推行全面风险管理是一个长期并艰巨的工作,企业在具体项目开展过程中往往进度比预期的要慢,项目难度也比想象中大,更有不少企业由于不知从何入手而处于观望的状态,因此,如何高效地推进全面风险管理工作便成了企业当前重要而紧急的任务。从国内外开展全面风险管理的经验来看,企业通常可选用“自上而下”或“自下而上”的方法来进行风险识别、风险评估及管理,以下在探讨这两种方法的优缺点,并分析企业采用何种方法比较合适。

(1)选择自下而上的方法。自下而上的方法(Bottomƽup Approach)一般包括以下步骤:

●　全面开展工作,由各业务部门对其所涉及的工作流程中各个环节可能存在的风险加以识别和评估;

●　由于风险的影响往往会跨越数个职能部门,因此业务部门需要就已经识别的相关风险进行沟通,修正风险评估结果;

●　根据风险的重要性进行排序;

●　高级管理层和董事会对于重要风险领域进行讨论和分析,并确定需要优先关注的高风险;

●　在业务部门的协助下,由高级管理层确定风险应对措施。

当然,步骤一至步骤五有时需要循环往复,才能最终确定风险管理策略。自下而上的方法可以较为全面地识别风险,并通过收集多方对风险的理解来确保对风险事件全面的确认,其优点在于:提高了员工的主动性和风险意识,利用企业执行层对风险较为直接和深入的理解,降低了未被发现的重要风险的可能性。

这种方法也存在以下缺点:

●　员工对企业战略目标认知不足,风险点不一定与企业战略目标对应;

●　领导参与一般比较晚,当领导对风险的意见与前期调研结果不一致时,可能造成前期工作的浪费;

●　识别的风险点太多(可高达500个或以上的风险点),增加后续工作量,尤其在首次开展风险管理项目时管理难度很大;

●　业务部门各自为政,因此可能会对于风险管理的原则和方法有不同的理解,造成重复劳动、增加企业成本、缺乏风险管理经验的及时分享、对评估结果有较大分歧等情况,从而最终导致识别出的风险不能反映企业真正面对的危险,也无法有效管理风险。

(2)选择自上而下的方法。自上而下的方法(Topƽdown Approach)一般包括以下步骤:

●　以研讨会的方式,由高级管理层和董事会根据企业战略目标识别出关键风险(通常为10～20个);

●　根据关键风险点的重要和紧急程度,选取若干作为示范性风险(通常为3～5个);

●　在高级管理层的参与下,由业务部门对示范性风险进行深入研究,充分分析风险的成因、特性和发生后的结果,并制定风险应对措施;

●　在前一阶段工作的基础上,继续选取其他关键风险点进行深入研究。

可见,自上而下的方法是一种“集中优势兵力,各个击破”的方法,它可以较为快速地认定重大风险并制定应对策略。因为高级管理层和董事会的积极参与,大大降低了自下而上方法初期所需的人力财力的投入,给企业一个“缓冲区”,再一步一步把项目扩大;更为重要的是,高级管理层贯穿始终的参与,使风险管理项目围绕着企业战略逐步开展。从公司开展全面风险管理的实践看,领导的高度重视和大力支持,是建设好这一管理工程的根本保证。另外,自上而下的方法容易培养出一批熟悉项目管理和项目进展的企业内部人员,便于在全面推广时统一工作方法、促进知识共享。

自上而下的方法,由于重要风险的识别主要依赖于为数不多的高级管理层,因此存在识别风险不够全面的缺点。如对于某些治理结构不完善、权力集中于极少数管理者的企业,其识别的风险将取决于这些管理者的个人风险偏好,可能与企业实际发展相背离。对于规模庞大的国企集团,领导的不重视,或者只“身入”而不“深入”,可能造成整个项目形式化,无法给企业带来真正的价值。

(3)究竟如何选择?

自上而下的方法还是自下而上的方法都不尽完美,只有根据企业自身的特点进行选择,才能扬长避短。通过分析两种方法的优缺点,企业应考虑以下几项因素:

●　企业的法人治理机构、风险管理和内部控制的基础;

●　企业文化的建设;

●　企业高级管理层对业务的熟悉程度;

●　企业的规模;

●　企业具备的项目资源,包括项目预算、项目参与人员以及项目持续时间。

对于国内大多数企业来说,与西方发达国家企业相比,其风险管理还处于试探性的初级阶段,员工对公司战略的认同和理解也有待加强,因此我们建议在现阶段应当采用自上而下的方式,以相对较小的成本专注于同战略相关的重要风险,并较快地积累风险管理经验,为全面风险管理的持续推进打好基础。