风险评估包括哪些步骤,应当由谁来实施

风险评估是指对各个风险以及风险之间的关系进行识别、分析与评价的过程。风险评估是风险管理决策与应对的基础,只有通过全面、深入的风险评估,才能形成针对性的风险应对方案,因此,风险评估活动往往都要确定是否需要采取进一步行动。风险评估的一般程序包括:建立风险评估的基础、企业目标的设置与分解、风险识别、风险分析、风险评价、确定风险管理基本策略。

根据国务院国资委的《全面风险管理指引》的建议:“风险评估应由企业组织有关职能部门和业务单位实施,也可聘请有资质、信誉好、风险管理专业能力强的中介机构协助实施。”其背后其实隐藏了两个重要的风险评估中的参与对象,即“风险所有人”与“风险专家”。

风险所有人是指针对某个关键风险,为企业在人员、流程和系统等方面能够实施有效的风险管理措施提供合理保证的人员,其关键职责在于对该风险的直接监督与上报。举例说明:

某石化行业的企业:我们识别了“缺乏对HSE相关法律、法规的识别和合规性评审”的风险点,并确定了其风险所有人为HSE部门经理,而不是其下属的具体操作人员,因为HSE部门经理是该风险的直接监督人,并应该在发现问题时及时向高级管理层汇报。

某制造行业的企业:我们识别了“现金流不足”的风险点,并确定了其首席财务官为风险所有人,而不是财务部经理,因为这个风险的覆盖面较广,包括了现金预算管理、资金流入管理(业务回款、股东增资、资产处置、贷款等)、资金流出(业务支付、贷款到期、资产购买等)、关联公司调拨等多个方面,其形成的原因和影响广泛,而财务部作为一个资金综合管理的牵头部门,很多情况下无法对其他部门的风险进行监督,更无法对“现金流管理相关的人员、流程和系统等方面能够实施有效的风险管理措施提供合理保证”。

风险专家是可以为风险管理措施的有效设计和实施提供合理建议的人员,因此包括当前风险管理措施的执行人、具有行业经验或类似风险管理经验的人员。风险专家可以分为狭义与广义两种。狭义的风险专家是指协助风险所有人监督和管理风险,往往也被称为“风险相关人员”。如以上第二例提到的财务部经理就是一位“现金流不足”的风险专家,因为他可能主要负责现金预算管理、贷款管理等,并且对于整体现金流不足可能造成的原因与影响有所认识。广义的风险专家更可以定义为“对风险的影响和成因有深刻经验的人员”,如该公司的首席财务官,虽然“现金流不足”没有参与现金流管理,但其过去是该公司的财务经理,因此对于“现金流不足”这个风险的成因、影响均有比较深入的理解。

在开展风险评估中,对于每一类关键风险,要求风险所有人与多名风险专家共同参与,因为每位风险专家通常只在某方面的风险评估或风险应对有丰富经验,所以风险所有人通常需要借鉴多位风险专家的意见。从另一角度考虑,风险所有人加上风险专家就构成了企业的风险管理体系架构的“微循环”,在将来的风险应对计划的实施与监督、风险评估的持续更新等工作就有了着力点。

通过以上分析,不难发现,如果风险不同,其参与评估的人员就会不同,因此对于某些公司层面的重大的风险点,高级管理层通常作为风险所有人参与,而部门经理和部分关键岗位人员,甚至董事会成员都可能作为风险专家参与;对于流程层面、部门层面的风险点,通常部门经理为风险所有人,而公司高管和部分关键岗位人员可能作为风险专家参与。在具体的实践中,由于许多企业从未开展过风险评估工作,因此常常由各相关部门成立一个临时工作组,在外部咨询顾问的带领下,共同协助业务部门的各风险所有人和风险专家开展工作,从而让咨询顾问的一些先进理念、方法论能够落地生根。