— 亨利·庞加莱，法国数学家

风险评估前提条件

风险评估的前提是先确定目标，我们说风险与目标是相互从属的。

没有目标，就没有风险；

不同的目标导致不同的风险；

当目标发生变化时，相应的风险也会随之变化。

但是风险评估程序，如果我们按照我之前修改过的风险的一般定义“影响目标实现的不确定性”来看，这里的目标是一个一般性陈述，并不具体指某个目标或一类目标。

对于企业来说，按照COSO的定义，风险是某一事件发生并影响企业战略和经营目标实现的可能性。这里的目标显然是企业的战略和经营目标。如果套用我们上面的一般定义，风险可以表述为影响企业战略和经营目标实现的不确定性。

前些年，我们在企业风险识别的时候，仅仅关注损失的可能性和不确定性，而忽视了与目标之间的关系，导致识别出的风险结构比较混乱，没有明确的主体概念。

在后期的工作中，我们进行风险评估的第一步就是明确目标。有的企业目标非常明确，有的企业目标比较模糊；有的企业目标是定性的，有的企业目标是定量的。另外，对于企业目标而言，其实是一个目标体系结构，大目标可以分解为次级目标和更低级别的小目标。

而风险就嵌套在这些不同层次的目标之中。

在制定目标的过程中是否存在风险？

当然有，而且这种风险对公司影响最大，因为涉及决策和判断，领导层很重视。可能我们这些目前履行风险管理职能的人接触得不多，但这部分是最应该充分评估的。

很多公司的风险管理部门觉得，通过自己的工作，很难改变现状，因为在制定目标和决策时，没有进行充分的风险评估，导致后期无论怎么努力，都无法弥补隐患。这也是为什么我一直强调，风险管理必须得到高层领导的重视，服务于决策。

如何描述风险

这看上去是个很简单的任务，但其实做好起来非常困难。如果大家对什么是风险还没有达成共识，那么描述风险就更加困难了。因此，一般企业进行风险管理的第一步就是统一风险语言。

比如明确什么是风险、如何描述风险、如何对风险进行分类、风险评估的标准……这些都是技术层面的东西，如果和组织工作结合起来，其实就是一件非常复杂的事情。

前几年，描述风险的典型方式是：

原因（驱动因素）+结果（影响）的方式，即…情况发生，导致…。

我们举一个例子来说明一下：

在当前的国际背景下，如果美俄开战，将导致油价波动，对中国一些能源企业的利润造成影响。

如果我们认为风险是对我们的目标产生不利影响的不确定性，那么我们的风险可以描述为：

美俄战争导致公司盈利下降；

如果我们将风险定义为影响目标的不确定性，那么风险可以描述为：

美俄战争导致公司盈利出现波动。

大家可以理解一下其中的区别，在金融行业我们习惯用波动的幅度来表示风险的大小，这就是第二种定义方法的体现。

风险评估的基本流程

风险评估的基本流程包括：

风险识别、风险分析、风险评估一般以从前到后的三个步骤来表达，但这三个步骤的顺序并不是固定的，我们可以根据情况的需要将这三个步骤重新组合。

正如最新版本所描述的，这是一个相互交织、不断迭代的过程。

此外，识别、分析和评估是常见的基本评估流程，也是风险管理工作的一部分，可以嵌入到任何存在风险或出现分析问题的管理环境中。

此前有专家认为，内部控制体系中也需要对风险进行识别、分析和评价，因此内部控制包含风险管理。

这是错误的，内部控制包括了风险评估的基本过程，但并不代表内部控制就包括了风险管理，内部控制中的“风险”和风险管理中的“风险”是不同的。

在基础流程中需要强调的是，风险分析需要进行风险关联性分析，这部分工作其实非常复杂，因为风险往往不是孤立的，而是相互交织在一起的。

我们用原因+结果的形式来描述风险，有可能这里的原因是上一步的结果，这里的结果又是下一步的原因。这是一个链式结构。仔细分析后，我们发现链与链之间的节点也是有关联的，形成了一个网状结构。进一步分析发现，网与网之间的节点是相连的，形成了一个三维空间结构。很多年前，我就被这个问题困扰过，发现只有神经网络才能描述这种交错的场景。

前段时间，有朋友在群里问我风险评估和风险评估上下文的关系，我给他写了一副对联：

上联：因果，因果；

第二行：因果，因果；

横幅广告：既是因，也是果

我不是开玩笑，我确实有这种感觉。后来，我思考了如何处理这种情况：

一是尽量保证平行关系中的风险划分在同一层级；

第二，将其分解到可管理的水平。

风险评估维度

我们最常使用的风险评估两个维度是发生概率和影响程度，通过数据分析、问卷调查、访谈、专家意见、研讨会、头脑风暴等多种方式得到两个维度的评估结果，并从风险事件的最低层级开始建立模型，计算出最终的风险评估结果。

不过，正如我在上一篇文章中提到过，除了金融领域和少数可量化的风险外，在一般类型的企业中，大多数管理风险评估结果的目的都是按照相对重要性进行排序，类似于层次分析法（AHP）中比较两项之间相对重要性的概念。

因为不管用什么手段，对于这种风险，你最后得出的35%、40%的概率几乎都是主观的，但大家为了显得更有参与性和仪式感，共同做出了一个决定。所以，最后的风险评估结果，以及在此基础上得出的重大风险、重要风险，都是按照相对重要性排序的。

其次，根据我们以往的经验，评估一个风险事件发生的可能性和影响，有很多问题需要明确，比如，概率的判断是原因发生的概率的判断，还是原因导致结果的概率的判断，还是不同情况下不同结果的概率的判断？

前几年我们在企业交流的时候，会列出一个事件，有时候会指出某种现状或情况可能会导致什么问题。有的公司领导不同意，认为我们在说问题、在批评他们风险评估程序，所以我们在所有描述现状的前面都加了一个“如果”，表示这不是现在的情况，而是未来可能出现的情况。

很多人都说不清楚，所以我就说了，大家只是猜测，谁也说不清楚，所以也没人去深究。想了想，我整理了一下逻辑：

风险事件=原因+结果，如果评估概率的话，应该是原因发生的概率P*结果（唯一性）发生的概率P。

如果原因是对当前情况的描述，则可能性P=1；如果结果发生的可能性是一定的，则结果P=1；但两者不能同时等于1，一定的情况并不构成风险。

如果结果不是唯一的，那么就需要用一个分布来表示和计算由于结果出现的概率不同而导致的不同结果。

5.风险地图（坐标图、雷达图、热点图）

我们经常用到的风险评估展示方式是风险地图，或者风险雷达图、风险热力图，这个是比较详细的一种：

我们之前讨论过风险的本质，虽然前几年就提出了风险的双重影响，但这几年所有的实践都没有跳出传统风险认知的范畴，讨论的风险还是集中在风险的负面影响上。从上图看，所谓的影响程度其实是指造成损失的严重程度，我们无法在这个图中区分出一个风险的正面影响和负面影响。

因此，如果我们想真正识别出那些有积极影响的风险，例如使用如下图所示的图表，可以让风险管理从业者真正拥有双面思维。这也是我将机会纳入风险管理范围的原因：

而且，风险评估结果仅仅是基于风险等级=概率*影响度，远远不能满足目前对风险的认知判断，例如两个事件，可能性=1，影响度=5，与可能性=5，影响度=1，虽然风险等级相同，但其特性却截然相反。

此外，还需根据组织的适应能力、风险影响的速度和持续时间、组织的恢复能力进行综合评估。

经历了疫情，感觉已经是上辈子的事情了，好久不见了！

我们在繁花似锦的四月向您问好！

放眼全球，世界充满跌宕起伏。供给侧改革三年、疫情再来三年，当中国经济从疫情中复苏，当全球产业供应链和政治经济格局不断演变重组，未来三年又将如何？周期告诉我们，全球体系的临界点正在不断逼近，未来三年将是真正的危机。

但我们要知道，危机并不可怕，我们应该化危机为朋友，通过智慧和系统把威胁转化为机遇，突破未知的迷雾，摆脱对不确定性的恐惧，内化风险管理思维，把风险从一种难以言喻的感觉，转化为感知和分析各种因素的艺术和科学，这些将是我们共同的主题。

始于2023年的TGW风险管理品牌，已进入第三个年头。TGW是长城的首字母，我们旨在打造行业首个“专业、扎实、充实”的风险管理课程体系。历届TGW培训班的成功举办，也让其成为行业领先的风险管理培训品牌，帮助企业理清业务、风控、合规的关系，在运营中形成风控文化与能力。

我们整个团队倾注了百倍的热情，整合大家关心的核心内容，持续迭代课程框架，并邀请行业顶尖专家老师授课，呈现了更加符合业务需求、解决大宗贸易同仁痛点的培训课程，全面提升风控各环节的认知思维，为大家的业务决策打下坚实的基础！

大宗商品生意有起有落，有曲折有波澜，大宗商品生意的知识和商品本身一样，具有持久价值的特性，让我们共同打造这一行业产生长期深远价值的历程，期待您的加入！

如果你觉得内容不错，

为了保证你能第一时间看到我们的推送