如何做好企業里的風險識別工作

對于企業來說，如果不能識別風險，就不能控制風險。如果風險不受控，那么事故的發生就會表現出非常強的隨機性和必然性，而不是帶有偶然性。風險管理是安全管理的基礎工作，如果我們在這一方面存在欠缺的話，就不可能系統的分析出企業到底存在哪些風險。有做過Hazop項目的人應當很清楚，如果我們沒有運用Hazop分析工具，憑借隱患排查是很難排查出工藝、系統中的缺陷的，如果我們不清楚系統的缺陷，不能采取有效的控制措施的話，是難以預防工藝安全事故的。此外，我們還知道工作安全分析方法（JHA）能夠分析出作業活動中存在的風險。通過對作業活動的合理拆分，找出作業過程中可能出現的傷害，進而采取措施來控制傷害事故的發生。但是，有多少人參與了Hazop分析項目，Hazop主席是否能夠引領分析團隊找出系統中的問題。我們在做JHA分析，是否識別出了企業現實、可能涉及到的各種作業活動，作業步驟。如果回答是否定的或者不確定的話，那么，至少我們在風險識別、分析上還是存在差距或者可改善空間的。

風險識別是指依據公司目標，搜集公司內、外部導致風險產生的原因，明確風險類別、涉及的歸屬部門，將風險進行描述，并預評估。風險識別是企業內部控制的延伸，它既是風險管理過程的起點，同時又為評估風險發生后可能造成的影響、制定應對措施等提供必要的指導。

二、風險分類 

風險分類是識別風險的依據，也是明確風險歸屬、評價風險的基礎。企業的日常業務種類繁多，與此相關的風險因素也難以全面界定與識別，但不同種類的業務，其風險產生的原因是相似的，可以將其歸類。企業在進行風險分類時，應結合內、外部信息，從兩個角度結合進行：（1）經營活動的重要性（2）風險自身的性質。

根據經營活動的重要性，國內主要采用國資委的分類方法，即將風險分為：運營風險、法律風險、財務風險、市場風險、戰略風險五類。

根據風險自身的性質，可以將其分為固有風險、剩余風險和識別風險三類。固有風險是假設企業未進行管控情況下的風險，它體現了風險的重要性；剩余風險是結合目前的管控措施之后，企業剩余的風險，它體現了企業目前的管理現狀以及需要后續強化的環節；識別風險是指在風險識別過程中采取了有效的識別工具，但仍識別不出而造成的風險。

由標準（1）得到的分類結果雖然有助于完善風險識別過程，但它實際上體現了目前或未來企業某項風險管理工作的朝向，并引導企業內部資源在各部門的配置；標準（2）則明確了企業風險識別的重點。其中“識別風險”雖然本身并不屬于企業，但它從側面體現了內部控制環節的優劣與“剩余風險”的大小。因為如果某項重大風險已經存在卻不能識別，則說明企業的內部控制存在較大缺陷，從而剩余風險較高。當然，對于已經識別出的風險，只需關注“固有風險”與“剩余風險”即可。

在風險識別中，企業應重點關注剩余風險較高的風險。這是因為：一方面，剩余風險較高說明管控措施需進一步強化，體現了內部控制環節的薄弱。另一方面，剩余風險較大時，可能企業的管控比較有效，但是風險的累積效應較大，如果不進一步加強內部控制，未來風險發生時會帶來嚴重的后果?？傊?，內部控制措施的健全與否決定了剩余風險的大小，剩余風險高則體現了內部控制措施的次優化。

三、風險識別的方法 

風險識別過程實際是降低“識別風險”的過程，但由于風險的多樣性，企業不能窮盡所有風險，而且風險識別在很大程度上是一種主觀判斷，所以，為使重要的風險不被遺漏，并將“識別風險”將至最低，需要采用適當的方法，在充分梳理企業重要風險的同時，盡可能多地挖掘潛在風險。由于企業的員工對企業的運營等情況最為熟悉，所以讓他們作為主要的風險識別人員參與到風險識別的工作中。在識別風險時，主要運用以下幾種實際工作中常用的方法：

1、問詢法 

主要包括調查問卷法、專家訪談法等。前者主要取決于被詢問者的知識水平、接受能力以及對該項工作的態度，因為這會直接影響問卷填寫的效果與有效問卷的數量。后者則主要取決于咨詢專家對內控的了解以及與被訪談人員的互動。

2、實地考察法 

該方法是指通過對廠房等實物資產的實地觀察，根據資產的表面現象、運行等情況發現存在問題的環節。通過該方法了解的企業信息比較直觀，但不深入，難以有效的挖掘風險。

3、數據/經驗分析法 

是指通過企業累積的經營活動的相關經驗、對企業財務報表、檔案、文書等書面材料以相關數據的分析，來發現企業目前存在的問題，將其列示為風險。該方法可以保證風險識別工作結果的客觀性，但由于主要是利用歷史的數據進行分析，而企業面臨的經營環境是不斷變化的，風險產生的條件也會與以往有較大差別，所以用該方法得出的結論難以保證較高的時效性。

4、流程分析法（DMAIC） 

該方法是指在與企業充分溝通的基礎上，充分了解企業的業務流程，并將流程逐層分解為若干環節，發現存在不足的環節以及造成不足的因素，將該因素作為風險。

作為流程分析法的一種，DMAIC 分為Define（界定）、Measure（量測）、Analyze（分析）、Improve（改進）、Control（控制）五個步驟，它是以6σ為標準，用閉循環的形式對已有流程進行質量改善。通過對目標及影響目標因素的界定、量測現有內控措施的完備性、分析影響問題的負面因素、分析問題與影響因素的關系、確定改進的出發點，企業便可以明確目前管理措施與6σ標準之間的差距，確定風險的性質及其存在的源頭，識別出有效的風險點。

四、結論 

內部控制與風險管理有著密切的關系，控制是管理的環節之一，風險管理也應建立在企業內部控制的基礎上。風險管理的本質是規避風險或者將企業潛在的價值損失轉化為現實的價值增值，企業為了實現這一過程，首先應識別出導致價值減損的潛在風險點。而只有在理解對風險分類的基礎上，結合管理現狀發現內部控制的盲點判斷剩余風險的程度，才會在識別的過程中不致于遺漏重要的風險，所以，風險的識別過程也就是將“識別風險”降低至最低的過程。