國際標準組織發(fā)布ISO31000《風險管理指南》標準
一、ISO31000新標準概覽
我在去年解讀征求意見稿時,將新版風險管理標準中的框架圖稱為“三輪車”圖,并首次對其進行了漢化處理。這個“三輪車”圖和2009年第一版的三個方框圖相比可謂變化明顯,此次正式版的發(fā)布,沿用了征求意見稿中的“三輪車”圖形展示方式,但內(nèi)容上相比征求意見稿還是有所變動。
我們首先來看一下正式版的三輪車框架圖。
用三個圓形圖分別表示了新標準中的原則、框架和流程。
其中原則輪中,最核心的內(nèi)容為“價值的創(chuàng)造和保護”,體現(xiàn)為八個原則:
整合的;
結(jié)構(gòu)化和全面性;
定制化;
包容性;
動態(tài)的;
有效信息利用;
人員與文化因素;
持續(xù)改進。
框架輪中,最核心的為“領導力與承諾”,體現(xiàn)為五個步驟:
整合;
設計;
實施;
評價;
改進。
流程輪中,包含了:
對范圍、背景和標準的定義;
風險評估的經(jīng)典流程-風險識別、風險分析、風險評價;
風險應對;
風險記錄與報告;
溝通與咨詢;
監(jiān)控與評價。
這個三輪車圖提煉了整個ISO31000風險管理標準的所有內(nèi)容,標準的全文都是圍繞著這個三輪車圖來展開論述的。
二、新標準與老標準的異同
按照ISO組織自己的論述,新標準和老標準的異同主要體現(xiàn)在四個方面:
重新審閱了所有的風險管理原則,這是其是否能夠取得成功的關鍵標準;
重點強調(diào)了高級管理層的職責以及和各項管理活動的整合,從組織的治理著眼;
更加強化了風險管理工作的迭代性質(zhì),提示了在每一個流程環(huán)節(jié),隨著新的實踐、知識和分析能力下對流程要素、方案和控制的修正;
對了滿足多樣化的需求,保持一個更加開放和包容的系統(tǒng),精簡了一部分內(nèi)容。
對于第4點而言,ISO組織一直宣稱,這次修訂風險管理標準的一大初衷是使風險管理標準更簡潔,更利于理解和運用,所以刪除了很多復雜的語句和句子。從篇幅上也能看得出來,新版風險管理標準比第一版共減少了7頁,縮減了將近三分之一。
那么在具體內(nèi)容上與上一版到底有什么變化?我們先來看一下第一版的框架圖。
比較來看,原則部分,由11項原則縮減為8項;
框架部分,強化了領導層的職責和整合的重要性;
流程部分,強調(diào)了對于范圍和標準的定義,以及對于記錄與報告的突出;
整體上看,新版“三輪車”示意圖比第一版示意圖更能體現(xiàn)原則、框架、流程三者之間的相互作用關系。
三、新標準劃重點
1、“價值”聚焦
我們曾多次在公眾號的前期文章中提及,風險管理工作要聚焦在組織的價值創(chuàng)造活動,支持或協(xié)助組織更好的進行價值創(chuàng)造和保護。COSO組織發(fā)布的新版企業(yè)風險管理框架也是將企業(yè)的風險管理工作聚焦到企業(yè)價值的創(chuàng)造、保護和實現(xiàn);同樣,“三道防線”理論(請參考風險管理世界公眾號前期文章),也強調(diào)第二道防線和第三道防線利益的一致性,都是聚焦于企業(yè)價值的創(chuàng)造最為最終目標。
本次ISO31000的修訂,將原則的核心定位為價值的創(chuàng)造和保護,可見國際主流的思想是趨于一致的,風險管理工作的定位就是為了更好的幫助企業(yè)創(chuàng)造價值。
2、“決策”為核
新版ISO風險管理標準數(shù)次在不同的章節(jié)中強調(diào)了風險管理對于決策支持的重要性,指出任何組織和個人無時無刻不在面臨做出決策的情況。如果說風險管理聚焦到了價值的創(chuàng)造和保護,那這個目標是組織通過做出一系列的決策而達到價值實現(xiàn)的。風險管理讓我們可以更好的管理不確定性,從而為更好的做出決策,應對不確定性提供支持。
這樣的觀點同樣在COSO新版風險管理框架中被強調(diào)和突出。在企業(yè)實踐界應該考慮如何加快構(gòu)建決策過程中的風險考量政策和程序。
3、“整合”為重
新版的標準中,原則輪和框架輪都將“整合”作為第一個要素,可見其重要性,ISO從其第一版文件中,就強調(diào)了風險管理工作不是一項孤立的管理活動,是和其他管理活動緊密結(jié)合的一項工作。但ISO組織顯然覺得這樣的提醒還不足夠,本次特意將其立意放在第一位來闡述,希望能夠?qū)ⅰ罢稀钡暮x傳遞的更加清晰和明確。
孤立的風險管理工作并無實際意義,按照ISO的建議,風險管理工作應該與組織的所有管理活動整合,成為任何管理經(jīng)營活動的一部分,包括但不限于:戰(zhàn)略和規(guī)劃、公司治理、人力資源、合規(guī)、質(zhì)量、健康與安全、業(yè)務連續(xù)性、危機管理與安全管理、組織抗風險能力,IT等等。
4、領導層擔當
在框架輪中,最核心的內(nèi)容為“領導力與承諾”,強化了對于領導層在風險管理工作中的角色和職責。按照ISO技術風險管理委員會現(xiàn)任主席Jason Brown所言:以前風險管理從業(yè)者往往處于組織管理的邊緣,這種強調(diào)將幫助他們證明風險管理是企業(yè)管理不可分割的一部分。
“領導力與承諾”的提法同樣出現(xiàn)在ISO9000質(zhì)量管理體系中,都是強調(diào)管理層對此項工作的重要責任。某行業(yè)的質(zhì)量管理認證體系中,更是將風險管理作為質(zhì)量體系認證是否通過的第一個KO項(一票否決項),可見管理界對風險管理工作的認識和重要性等級在快速提升。
四、誰將受益
1、最高管理層
如上分析內(nèi)容所述,新標準強調(diào)了對組織價值創(chuàng)造的貢獻,在公司治理層面突出了最高管理層對此項工作的職責,提供了明確的職責清單。并且有跡象顯示,企業(yè)風險管理的好壞有可能會成為未來檢驗企業(yè)管理能力和有效性的一項非常重要內(nèi)容。從內(nèi)外部環(huán)境來看,這些都將有助于推動高級管理層在更好的履行風險管理職能的同時,更加重視企業(yè)的風險管理工作。
2、以風險管理、內(nèi)控部門為首的第二道防線
以往的風險管理職能在定位上會有一定的灰色地帶,新標準突出了最高管理層的風險管理職責,推動職責的落實和實施,自然也就會帶動相關風險管理職能部門的上位,所以會對第二道防線的風險管理職能部門有一定推動作用。第二道防線的涵蓋范疇請參考公眾號前期文章:企業(yè)風險管理“三道防線”含義已變!(點擊打開)。
3、內(nèi)部審計部門為主的第三道防線
“風險導向”的內(nèi)部審計是近些年來內(nèi)部審計工作發(fā)展的主要方向之一,那么如何更好的幫助企業(yè)建立一套有效的風險管理體系也是內(nèi)部審計的職責所在。一個擁有良好風險管理能力的企業(yè)和一個較差風險管理能力的企業(yè),其審計風險的高低不言而喻。關于內(nèi)部審計職能在企業(yè)風險管理工作中的具體職責,請參加公眾號前期文章:如何準確定位內(nèi)部審計在企業(yè)風險管理工作中的職能?(點擊打開)。
其實,ISO組織早在2010年就和國際內(nèi)部審計協(xié)會IIA展開了合作,編制了基于ISO31000的內(nèi)部審計職能對于企業(yè)風險管理能力確認或保證的相關指導文件。新標準的發(fā)布在推動企業(yè)建立和完善企業(yè)風險管理體系的同時,也一定會推動以“風險為導向”的內(nèi)部審計工作的進一步發(fā)展。
五、一個被廣泛采納的國際標準
根據(jù)ISO風險管理技術委員會前主席Kevin Knight先生給我提供的統(tǒng)計信息,ISO31000自2009年發(fā)布以來,得到了全球各個國家的支持和響應。截至目前,已經(jīng)有57個國家采納了ISO31000風險管理標準并在此基礎上發(fā)布了其國家風險管理標準,如中國的GB/T24353,相信下一步國家標準委也會相應地修訂其標準。
隨著ISO31000的更新和發(fā)展,相信會有更多的國家重視風險管理工作,加入到ISO31000的大家庭中。正如ISO風險管理技術委員會現(xiàn)任主席Jason Brown先生所言,任何的組織都應該重視風險管理,更好的管理好本身面臨的風險以達成其目標,因為 “ failure to manage risks is inherently risking failure. ”
“ 風險管理的失敗即是承受著經(jīng)營失敗的風險。”