iso31000風險管理原則指南(參考版)
2025-04-15 00:21本頁面
【正文】 關(guān)于記錄的建立的決定宜考慮： —— 組織持續(xù)學習的需求；—— 出于管理意圖，重新使用信息益處；—— 涉及建立和保持記錄的成本和工作量；—— 對記錄的法律法規(guī)和運行需求；—— 獲取的方法、檢索的難易和儲存媒介；—— 保存期限；—— 信息的敏感性。 記錄風險管理過程風險管理活動宜可追溯?？蓪⒔Y(jié)果融入組織整體績效管理、測量和外部和內(nèi)部報告活動中。組織的監(jiān)測和評審過程宜包含風險管理過程的所有方面，目的是：—— 確保控制措施在設計和運行上有效和有效率；—— 獲得進一步改進風險評價的信息；—— 從事件（包括“nearmiss）、變化、趨勢、成功和失敗中分析和吸取教訓；—— 探測內(nèi)外部狀況的變化，包括風險準則的變化和會需要修正風險處理和優(yōu)先的風險自身；—— 識別出現(xiàn)的風險。可以定期或不定期。殘留風險宜形成文件并進行監(jiān)測、評審，適當時，進一步處理。處理計劃宜組織管理過程整合并與適當?shù)睦嫦嚓P(guān)方討論。將要實施的風險處理方案。兩種風險的聯(lián)系宜確定和保持。風險處理也可引入需要評價、處理、監(jiān)測和評審的次級風險。重要風險會是風險處理措施的故障或失效。風險處理計劃宜清晰確定每個風險處理宜實施的優(yōu)先順序。如果風險處理方案可以影響組織別處的風險或與利益相關(guān)方關(guān)聯(lián)的風險，這宜包含在決策中。組織一般可以從綜合方案的采用獲益。 選擇風險處理方案選擇最合適的風險處理方案包括，針對以法律法規(guī)和諸如社會責任和自然環(huán)境保護的其他要求所獲得的利益，平衡成本和實施的工作量。方案可以包括以下內(nèi)容:a）通過決定不開展或停止產(chǎn)生風險的活動，來規(guī)避風險； b）為尋求機會，接受或提高風險； c）消除風險源；d）改變可能性；e）改變后果；f）與另一方或多方共擔風險（包括合約和風險融資）；g）通過有事實依據(jù)的決策，保留風險。風險處理包括了一個循環(huán)過程：—— 評價風險處理；—— 確定殘留風險程度是否可容許；—— 如果不可容許，產(chǎn)生新的風險處理； —— 評價該處理的有效性。 總則風險處理包括選擇一種或幾種修正風險的方案，以及實施那些方案。通過組織的風險態(tài)度和已建立的風險準則，對此決策施加影響。在某些情況下，風險評定可導致對決策的進一步分析。 決策宜考慮更為寬泛風險含義，包括考慮風險獲益組織外的團體對風險的容忍性?；谶@種比較，處理需求可予以考慮。在某些情況下，一個以上的數(shù)值或描述，需要界定對于不同時間、地點、團體或狀況的后果和其可能性。 后果和其可能性可以通過模擬一個或一系列事件的結(jié)果，或由實驗研究或可用數(shù)據(jù)推斷確定。依據(jù)環(huán)境條件，分析可以定性的、半定量或定量的，也可以是組合的方式。 風險程度的確定和其前提和假設的敏感性的信心，宜在風險分析中予以考慮，并有效溝通給決策者以及適當?shù)睦嫦嚓P(guān)方。考慮不同風險和其源的相互依賴也是重要的。 后果和可能性的表述方式，以及它們組合確定風險程度的方式，宜反映風險類型、可獲得的信息、以及運用風險評價輸出的意圖?，F(xiàn)存的控制措施和其效果和效率也宜被考慮在內(nèi)。通過確定后果和其可能性、以及其他風險特性，來進行風險分析。 風險分析包括考慮風險的致因和來源，以及所帶來的正面和負面的后果及這些后果發(fā)生的可能性。風險分析也可以為必須做出選擇及選擇涉及不同類型和程度的風險的決策，提供輸入。 風險分析涉及開展風險的理解。具有適當知識的人員宜參與到識別風險中。在識別風險時，相關(guān)和最新的信息是重要的。也要識別什么可能發(fā)生，考慮表明什么后果可以出現(xiàn)的可能致因和場景是必要的。風險識別宜包括考查特定后果直接影響，包括聯(lián)鎖和累積影響。綜合識別是非常重要的，因為此階段沒有識別的風險將不會包含在進一步的分析中。此步驟的目的是產(chǎn)生一個基于哪些可能產(chǎn)生、增強、阻礙、加快或推遲目標實現(xiàn)的事件的風險的綜合表格。注：ISO/IEC 31010 提供了風險評價技術(shù)指南。風險準則宜與組織風險管理方針一致（），在風險管理過程開始時予以確定，并予以持續(xù)評審。該準則宜反映組織的價值觀、目標和資源。它可以包括，但不僅限于：—— 確定風險管理活動的目標；—— 確定風險管理過程的職責；—— 確定所要開展的風險管理活動的范圍以及深度、廣度，包括具體的內(nèi)涵和外延；—— 以時間和地點，界定活動、過程、職能、項目、產(chǎn)品、服務或資產(chǎn)；—— 界定組織特定項目、過程或活動與其他項目、過程或活動之間的關(guān)系；—— 確定風險評價的方法；—— 確定評價風險管理的績效和有效性的方法；—— 識別和規(guī)定所必須要做出的決策；—— 確定所需的范圍或框架性研究，它們的程度和目標，以及此種研究所需資源。所需的資源、職責、權(quán)限和要保存的記錄也宜予以規(guī)定。宜確立組織活動的目標、策略、范圍和參數(shù)，或風險管理過程應用到的組織的那些部分。內(nèi)部狀況宜明確，因為：a）風險管理是在組織的目標狀況下進行；b）具體項目、過程或活動的目標和準則，宜依據(jù)組織的整體目標予以考慮；c）一些組織未能意識到實現(xiàn)它們戰(zhàn)略、項目或經(jīng)營目標的機會，這影響了持續(xù)的組織承諾、信譽、誠信和價值觀。風險管理過程宜與組織的文化、過程、結(jié)構(gòu)和戰(zhàn)略相一致。外部狀況可以包括，但不局限于：—— 社會、文化、政治、法律法規(guī)、金融、技術(shù)、經(jīng)濟、自然和競爭環(huán)境，無論國際、國內(nèi)、區(qū)域，還是本地的；—— 影響組織目標的主要動力和趨勢；—— 與外部利益相關(guān)方的關(guān)系，外部利益相關(guān)方的觀點和價值觀。為了確保在建立風險準則時，目標和外部利益相關(guān)方的關(guān)注點被予以考慮，理解外部狀況是重要的。盡管許多此類參數(shù)與風險管理框架設計時所考慮的參數(shù)類似（），但在明確風險管理過程的狀況時，這些參數(shù)需要細致地，特別是與特定風險管理過程聯(lián)系起來考慮。溝通和協(xié)商宜提供真實的、相關(guān)的、準確的、便于理解的交流信息，同時宜考慮到保密和個人誠實因素。這些感知可以由于利益相關(guān)方的價值觀、需求、臆斷、概念和關(guān)注點的不同而變化。協(xié)商團隊方法可以：—— 適當?shù)貛椭鞔_狀況；—— 確保利益相關(guān)方的利益被理解和考慮；—— 幫助確保風險充分地被識別；—— 將不同領域的專業(yè)知識一并用于分析風險；—— 確保在界定風險準則和評定風險時，不同的觀點被恰當?shù)乜紤]；—— 確保認同和支持處理計劃；—— 加強在風險管理過程中的變更管理；—— 制定一個恰當?shù)膬?nèi)部和外部溝通和協(xié)商計劃。該計劃宜針對與風險本身、風險成因、風險后果（如果掌握）以及處理風險措施相關(guān)的問題。圖表3風險管理過程 溝通和協(xié)商與內(nèi)、外部利益相關(guān)方溝通和協(xié)商宜在風險管理過程所有階段進行。風險管理過程如圖3。 過程 總則風險管理過程宜是：—— 整合到管理中的的一部分；—— 嵌入文化和實踐之中；—— 針對組織的經(jīng)營過程制作。這些決策宜致使組織的風險管理和風險管理文化的改進
公司管理相關(guān)推薦
鄂ICP備17016276號-1