企业风险管理

　　导语：企业风险管理是一个倍受关注的焦点问题，企业能否在存在各种不确定性因素影响的环境中有序、有效地运转，在很大程度上取决于企业风险管理的有效性。在企业风险管理中，如何把握好风险评估、风险应对及其效率效果评价是非常重要的，这也恰是本文的初衷。

　　企业风险管理

　　一、风险的定义、分类和风险评估的定义

　　企业风险管理的目标就是对风险进行管理。但是在风险管理过程中，当进行风险识别时，最常见的一个错误就是把不是风险的事物误认为是风险。很显然，如果风险管理过程的这一早先步骤失败了，接下来的步骤就会注定要失败，风险管理也就不可能产生效果。因此，确保风险识别这一步骤能够识别出真正的风险是至关重要的。下文分别对风险管理中的风险评估，风险应对和企业风险管理的效率做阐述。

　　1.风险和不确定性

　　很多人在理解风险时，往往会把风险(risk)和不确定性(uncertainty)相混淆。事实上，风险与不确定性并不相同，那么它们之间的联系何在呢?关键是要认识到，风险的定义只能与目标相联系。风险的最简单的定义是“起作用的不确定性”，它之所以起作用，是因为它能够影响一个或多个目标。风险并不是存在于真空中，因此我们需要定义什么“处于风险之中”(at risk)，也就是说，如果风险发生的话，什么目标将会受到影响。因此，风险的一个更加完整的定义是“能够影响一个或多个目标的不确定性”。这个定义使我们认识到，有些不确定性与目标并不相关，它们应该被排除在风险管理过程之外。

　　风险与目标之间的联系也可以帮助我们识别不同级别的风险，它们是基于组织中存在的不同层次的目标。从风险的概念“能够影响目标的不确定性”来看，我们可以提出另外一个问题――会产生什么样的影响?有些不确定性的发生会使得我们达到目标更加困难(即威胁)，而有些不确定性事件的发生则会帮助我们达到目标(即机会)。当我们进行风险识别时，不仅要看到不确定性的负面影响，也需要看到不确定性的正面影响。有效的风险管理要求识别出真正的风险，即“能够对一个或多个目标产生正面或负面影响的不确定性”。

　　2.风险的分类　　(1)根据风险的效应划分，可以把风险分为：

　　①系统风险：在同一体位阶段观察时，风险效应无法抵消的风险或不可分散的风险。

　　②非系统风险：在同一体位阶段观察时，风险效应能够抵消的风险或可分散的风险。

　　(2)根据风险暴露体性质划分，可以把风险分为：

　　①实质资产风险：不动产与非财务性动产可能遭受的风险，表现为毁损或贬值。

　　②财务资产风险：财务性资产可能遭受的风险，如利率波动或股票跌价。

　　③责任暴露风险：因法律上的侵权或违约导致第三人蒙受损失。

　　④人力资源风险：如公司员工因伤病死亡导致公司生产力衰退或其他非安全的风险。

　　3.全面风险管理

　　全面风险管理是指用系统的、动态的方法进行风险控制，以减少业务过程中的不确定性。它不仅使各层次的管理者建立风险意识，重视风险问题，防范于未然，而且在各个阶段、各个方面实施有效的风险控制，形成一个前后连贯的管理过程。也即全面组织有效措施对项目全过程的全部风险实施全方位管理。

　　4.风险评估定义

　　风险评估，是指及时识别、科学分析影响企业内部控制目标实现的各种不确定因素并采取应对策略的过程。在实际操作中，可以把企业风险评估过程分为风险识别、风险分析和风险评价三个步骤。风险辨识是识别企业面临的风险，并将风险归类;风险分析是将识别出的风险放进统一的模型中进行分析处理，进一步作出定性和定量的分析，包括风险对企业目标实现的可能影响、这些风险物化的多重情境分析和统计特性、可能的影响因素和方式;风险评价是评价风险对企业目标的影响，企业影响最大的风险将成为企业风险管理的重点。

　　二、企业进行风险评估的

　　许多研究表明企业的生命周期的长短与企业对风险的把握呈高度正相关性。国外统计资料表明：在正常年份宣布破产的企业数量约占企业总数的1%。日本学术振兴会特别研究员清水刚通过研究发现，1896年到1982年的10次总资产排名前100家的上市公司中，企业平均寿命为25年。1983年壳牌石油公司的一项调查发现，1970年名列《财富》杂志500家大企业排行榜的公司，有三分之一已经销声匿迹。

　　由上述不难发现，企业有必要而且必须有较强的风险管理能力才能生存、发展和壮大。在当前的激烈竞争中，风险管理水平的高低直接影响着企业的生死存亡，是否具备全面风险管理能力是现代企业的核心竞争力强弱的表征之一。要推行全面风险管理，第一步应从风险评估着手，因为风险评估是风险管理的起始阶段。

　　三、风险评估程序

　　风险评估一般应当按照目标设定、风险识别、风险分析、风险应对等程序进行。目标设定是风险识别、风险分析和风险应对的前提。企业应当按照战略目标，设定相关的经营目标、财务报告目标、合规性目标与资产安全完整目标，并根据设定的目标合理确定企业整体风险承受能力和具体业务层次上的可接受的风险水平。

　　四、企业风险识别的有关方法

　　在评估风险的过程中要注意选择合适的评估技术，评估风险事件发生的可能性和频繁度，风险事件的潜在影响及其成本的高低，最后绘制一张风险图。评估风险事件的方法有很多，但不同方法共同的目标都是找出组织信息资产面临的'风险及其影响，以及目前安全水平与组织安全需求之间的差距。

　　1.基于知识的分析方法

　　组织可以采用基于知识的分析方法来找出目前的安全状况和基线安全标准之间的差距。基于知识的分析方法又称作经验方法，它牵涉到对来自类似组织(包括规模、商务目标和市场等)的“最佳惯例”的重用，适合一般性的信息安全社团，组织不需要付出很多精力、时间和资源，只要通过多种途径采集相关信息，识别组织的风险所在和当前的安全措施，与特定的标准或最佳惯例进行比较，从中找出不符合的地方，并按照标准或最佳惯例的推荐选择安全措施，最终达到消减和控制风险的目的。

　　2.基于模型的分析方法

　　2001年1月，由希腊、德国、英国、挪威等国的多家商业公司和研究机构共同组织开发了一个名为CORAS的项目，即Platform for Risk Analysis of Security Critical Systems。该项目的目的是开发一个基于面向对象建模特别是UML 技术的风险评估框架，它的评估对象是对安全要求很高的一般性的系统，特别是IT 系统的安全。CORAS考虑到技术、人员,以及所有与组织安全相关的方面，通过CORAS风险评估，组织可以定义、获取并维护IT 系统的保密性、完整性、可用性、抗抵赖性、可追溯性、真实性和可靠性。与传统的定性和定量分析类似，CORAS风险评估沿用了识别风险、分析风险、评价并处理风险这样的过程，但其度量风险的方法则完全不同，所有的分析过程都是基于面向对象的模型来进行的。CORAS的优点在于：提高了对安全相关特性描述的精确性，改善了分析结果的质量;图形化的建模机制便于沟通，减少了理解上的偏差;加强了不同评估方法互操作的效率等等。

　　3.定量分析

　　进行详细风险分析时，除了可以使用基于知识的评估方法外，最传统的还是定量和定性分析的方法。定量分析方法的思想很明确：对构成风险的各个要素和潜在损失的水平赋予数值或货币金额，当度量风险的所有要素(资产价值、威胁频率、弱点利用程度、安全措施的效率和成本等)都被赋值，风险评估的整个过程和结果就都可以被量化了。简单说，定量分析就是试图从数字上对安全风险进行分析评估的一种方法。定量风险分析中有几个重要的概念：

　　暴露因子(Exposure Factor，EF)――特定威胁对特定资产造成损失的百分比，或者说损失的程度。

　　单一损失期望(Single Loss Expectancy，SLE)――或者称作SOC(Single Occurrence Costs)，即特定威胁可能造成的潜在损失总量。

　　年度发生率(Annualized Rate of Occurrence，ARO)――即威胁在一年内估计会发生的频率。

　　年度损失期望(Annualized Loss Expectancy，ALE)――或者称作EAC(Estimated Annual Cost)，表示特定资产在一年内遭受损失的预期值。

　　理论上讲，通过定量分析可以对安全风险进行准确的分级，但这有个前提，那就是可供参考的数据指标是准确的，事实上，在信息系统日益复杂多变的今天，定量分析所依据的数据的可靠性是很难保证的，再加上数据统计缺乏长期性，计算过程又极易出错，这就给分析的细化带来了很大困难，所以，目前的信息安全风险分析，采用定量分析或者纯定量分析方法的已经比较少了。

　　4.定性分析

　　定性分析方法是目前采用最为广泛的一种方法，它带有很强的主观性，往往需要凭借分析者的经验和直觉，或者业界的标准和惯例，为风险管理诸要素(资产价值，威胁的可能性，弱点被利用的容易度，现有控制措施的效力等)的大小或高低程度定性分级，例如“高”、“中”、“低”三级。定性分析的操作方法可以多种多样，包括小组讨论(例如Delphi方法)、检查列表Checklist)、问卷(Questionnaire)、人员访谈(Interview)、调查(Survey)等。定性分析操作起来相对容易，但也可能因为操作者经验和直觉的偏差而使分析结果失准。

　　与定量分析相比较，定性分析的准确性稍好但精确性不够，定量分析则相反;定性分析没有定量分析那样繁多的计算负担，但却要求分析者具备一定的经验和能力;定量分析依赖大量的统计数据，而定性分析没有这方面的要求;定性分析较为主观，定量分析基于客观;此外，定量分析的结果很直观，容易理解，而定性分析的结果则很难有统一的解释。组织可以根据具体的情况来选择定性或定量的分析方法。

　　五、风险应对

　　在评估了相关的风险之后，管理当局就要确定如何应对。应对包括风险回避、降低、分担和承受。在考虑应对的过程中，管理当局评估对风险的可能性和影响的效果，以及成本效益，选择能够使剩余风险处于期望的风险容限以内的应对。管理当局识别所有可能存在的机会，从主体范围或组合的角度去认识风险，以确定总体剩余风险是否在主体的风险容量之内。

　　风险应对可以分为以下几种类型：　　回避(avoidance)风险，或称避免风险即指退出会产生风险的活动。风险回避可能包括退出一条产品线、拒绝向一个新的地区市场拓展，或者卖掉一个分部。

　　降低(reduction)风险，或称控制风险即指采取措施降低风险的可能性或影响，或者同时降低两者。它几乎涉及各种日常的经营决策。

　　分担(sharing)风险，或称分散与转移风险即指通过转移来降低风险的可能性或影响，或者分担一部分风险。常见的技术包括购买保险产品、从事避险交易(hedging transactions)或外包一项业务活动。

　　承受(acceptance)风险，或称正面承担风险即指不采取任何措施去干预风险的可能性或影响。

　　在采取任何应对之前，必须对可能的应对方案进行评价。分析固有风险和评价应对的木的在于使剩余风险水平与主体的风险容限相协调。

　　六、风险应对效率评价

　　要对风险应对的效率效果进行评价，这是对管理当局所做出应对的综合效果的一种检测手段。主要方法是评估成本与效益。资源的稀缺性决定了资源总是有约束的，因而主体必须考虑备选风险应对方案的相关成本与效益。企业风险管理要求从整个主体范围或组合的角度去考虑风险。综合权衡之下，采取最为有效的策略，即投入产出最优化方案去应对企业的风险。