一、ISO31000新標準概覽

我在去年解讀征求意見稿時，將新版風險管理標準中的框架圖稱為“三輪車”圖，并首次對其進行了漢化處理。這個“三輪車”圖和2009年第一版的三個方框圖相比可謂變化明顯，此次正式版的發(fā)布，沿用了征求意見稿中的“三輪車”圖形展示方式，但內容上相比征求意見稿還是有所變動。

我們首先來看一下正式版的三輪車框架圖。

用三個圓形圖分別表示了新標準中的原則、框架和流程。

其中原則輪中，最核心的內容為“價值的創(chuàng)造和保護”，體現(xiàn)為八個原則：

• 整合的；

• 結構化和全面性；

• 定制化；

• 包容性；

• 動態(tài)的；

• 有效信息利用；

• 人員與文化因素；

• 持續(xù)改進。

框架輪中，最核心的為“領導力與承諾”，體現(xiàn)為五個步驟：

• 整合；

• 設計；

• 實施；

• 評價；

• 改進。

流程輪中，包含了：

• 對范圍、背景和標準的定義；

• 風險評估的經典流程-風險識別、風險分析、風險評價；

• 風險應對；

• 風險記錄與報告；

• 溝通與咨詢；

• 監(jiān)控與評價。
  

這個三輪車圖提煉了整個ISO31000風險管理標準的所有內容，標準的全文都是圍繞著這個三輪車圖來展開論述的。

二、新標準與老標準的異同

按照ISO組織自己的論述，新標準和老標準的異同主要體現(xiàn)在四個方面：

1. 重新審閱了所有的風險管理原則，這是其是否能夠取得成功的關鍵標準；

2. 重點強調了高級管理層的職責以及和各項管理活動的整合，從組織的治理著眼；

3. 更加強化了風險管理工作的迭代性質，提示了在每一個流程環(huán)節(jié)，隨著新的實踐、知識和分析能力下對流程要素、方案和控制的修正；

4. 對了滿足多樣化的需求，保持一個更加開放和包容的系統(tǒng)，精簡了一部分內容。

對于第4點而言，ISO組織一直宣稱，這次修訂風險管理標準的一大初衷是使風險管理標準更簡潔，更利于理解和運用，所以刪除了很多復雜的語句和句子。從篇幅上也能看得出來，新版風險管理標準比第一版共減少了7頁，縮減了將近三分之一。

那么在具體內容上與上一版到底有什么變化？我們先來看一下第一版的框架圖。

比較來看，原則部分，由11項原則縮減為8項；

框架部分，強化了領導層的職責和整合的重要性；

流程部分，強調了對于范圍和標準的定義，以及對于記錄與報告的突出；

整體上看，新版“三輪車”示意圖比第一版示意圖更能體現(xiàn)原則、框架、流程三者之間的相互作用關系。

三、新標準劃重點

1、“價值”聚焦

我們曾多次在公眾號的前期文章中提及，風險管理工作要聚焦在組織的價值創(chuàng)造活動，支持或協(xié)助組織更好的進行價值創(chuàng)造和保護。COSO組織發(fā)布的新版企業(yè)風險管理框架也是將企業(yè)的風險管理工作聚焦到企業(yè)價值的創(chuàng)造、保護和實現(xiàn)；同樣，“三道防線”理論（請參考風險管理世界公眾號前期文章），也強調第二道防線和第三道防線利益的一致性，都是聚焦于企業(yè)價值的創(chuàng)造最為最終目標。

本次ISO31000的修訂，將原則的核心定位為價值的創(chuàng)造和保護，可見國際主流的思想是趨于一致的，風險管理工作的定位就是為了更好的幫助企業(yè)創(chuàng)造價值。

2、“決策”為核

新版ISO風險管理標準數(shù)次在不同的章節(jié)中強調了風險管理對于決策支持的重要性，指出任何組織和個人無時無刻不在面臨做出決策的情況。如果說風險管理聚焦到了價值的創(chuàng)造和保護，那這個目標是組織通過做出一系列的決策而達到價值實現(xiàn)的。風險管理讓我們可以更好的管理不確定性，從而為更好的做出決策，應對不確定性提供支持。

這樣的觀點同樣在COSO新版風險管理框架中被強調和突出。在企業(yè)實踐界應該考慮如何加快構建決策過程中的風險考量政策和程序。

3、“整合”為重

新版的標準中，原則輪和框架輪都將“整合”作為第一個要素，可見其重要性，ISO從其第一版文件中，就強調了風險管理工作不是一項孤立的管理活動，是和其他管理活動緊密結合的一項工作。但ISO組織顯然覺得這樣的提醒還不足夠，本次特意將其立意放在第一位來闡述，希望能夠將“整合”的含義傳遞的更加清晰和明確。

孤立的風險管理工作并無實際意義，按照ISO的建議，風險管理工作應該與組織的所有管理活動整合，成為任何管理經營活動的一部分，包括但不限于：戰(zhàn)略和規(guī)劃、公司治理、人力資源、合規(guī)、質量、健康與安全、業(yè)務連續(xù)性、危機管理與安全管理、組織抗風險能力，IT等等。

4、領導層擔當

在框架輪中，最核心的內容為“領導力與承諾”，強化了對于領導層在風險管理工作中的角色和職責。按照ISO技術風險管理委員會現(xiàn)任主席Jason Brown所言：以前風險管理從業(yè)者往往處于組織管理的邊緣，這種強調將幫助他們證明風險管理是企業(yè)管理不可分割的一部分。

“領導力與承諾”的提法同樣出現(xiàn)在ISO9000質量管理體系中，都是強調管理層對此項工作的重要責任。某行業(yè)的質量管理認證體系中，更是將風險管理作為質量體系認證是否通過的第一個KO項（一票否決項），可見管理界對風險管理工作的認識和重要性等級在快速提升。

四、誰將受益

1、最高管理層

如上分析內容所述，新標準強調了對組織價值創(chuàng)造的貢獻，在公司治理層面突出了最高管理層對此項工作的職責，提供了明確的職責清單。并且有跡象顯示，企業(yè)風險管理的好壞有可能會成為未來檢驗企業(yè)管理能力和有效性的一項非常重要內容。從內外部環(huán)境來看，這些都將有助于推動高級管理層在更好的履行風險管理職能的同時，更加重視企業(yè)的風險管理工作。

2、以風險管理、內控部門為首的第二道防線

以往的風險管理職能在定位上會有一定的灰色地帶，新標準突出了最高管理層的風險管理職責，推動職責的落實和實施，自然也就會帶動相關風險管理職能部門的上位，所以會對第二道防線的風險管理職能部門有一定推動作用。第二道防線的涵蓋范疇請參考公眾號前期文章：企業(yè)風險管理“三道防線”含義已變！（點擊打開）。

3、內部審計部門為主的第三道防線

“風險導向”的內部審計是近些年來內部審計工作發(fā)展的主要方向之一，那么如何更好的幫助企業(yè)建立一套有效的風險管理體系也是內部審計的職責所在。一個擁有良好風險管理能力的企業(yè)和一個較差風險管理能力的企業(yè)，其審計風險的高低不言而喻。關于內部審計職能在企業(yè)風險管理工作中的具體職責，請參加公眾號前期文章：如何準確定位內部審計在企業(yè)風險管理工作中的職能？（點擊打開）。

其實，ISO組織早在2010年就和國際內部審計協(xié)會IIA展開了合作，編制了基于ISO31000的內部審計職能對于企業(yè)風險管理能力確認或保證的相關指導文件。新標準的發(fā)布在推動企業(yè)建立和完善企業(yè)風險管理體系的同時，也一定會推動以“風險為導向”的內部審計工作的進一步發(fā)展。

五、一個被廣泛采納的國際標準

根據(jù)ISO風險管理技術委員會前主席Kevin Knight先生給我提供的統(tǒng)計信息，ISO31000自2009年發(fā)布以來，得到了全球各個國家的支持和響應。截至目前，已經有57個國家采納了ISO31000風險管理標準并在此基礎上發(fā)布了其國家風險管理標準，如中國的GB/T24353，相信下一步國家標準委也會相應地修訂其標準。

隨著ISO31000的更新和發(fā)展，相信會有更多的國家重視風險管理工作，加入到ISO31000的大家庭中。正如ISO風險管理技術委員會現(xiàn)任主席Jason Brown先生所言，任何的組織都應該重視風險管理，更好的管理好本身面臨的風險以達成其目標，因為 “ failure to manage risks is inherently risking failure. ” 
“ 風險管理的失敗即是承受著經營失敗的風險。”