风险管理原则和指南.docx

风险管理-原则和指南1范围本国际标准提供了风险管理的原则和通用性指南本国际标准可用于任何公共、私有或公有企业、协会，团体或个体因此，本国际标准不针对任何特 定行业或部门注：为方便起见，本国际标准涉及的所有不同的用户以通用术语“组织”称谓本国际标准可用于整个组织的生命周期及广泛的活动，包括战略和决策、运营、过程、职能、项目、 产品、服务和资产本国际标准可以应用于任何类型的风险，无论其性质及是否有积极或消极的后果尽管本国际标准提供了风险管理的通用性指南，但不意针对组织促进风险管理的统一性风险管理计 划和框架的设计和实施需要考虑到特定组织的不同需求、特定目标，状况、结构、运营、过程、职能、项 目、产品、服务、或资产以及展开的具体实践意在运用本国际标准来协调现有和将来标准的风险管理过程本标准提供了一个支持其他标准处理特 定风险和行业风险的通用方法，而不是取代这些标准本国际标准不意针对认证意图2术语和定义下列术语和定义适用本标准2.1风险 risk不确定性对目标的影响注1：影响是与期待的偏差——积极和/或消极注2：目标可以有不同方面（如财务、健康安全、以及环境目标），可以体现在不同的层次（如战略、 组织范围、项目、产品和过程）。

注3：风险通常以潜在事件（2.19）和后果（2.20），或它们的组合来描述注4：风险通常以事件（包括环境的变化）后果和发生可能性（2.21）的组合来表达注5：不确定性是指，与事件和其后果或可能性的理解或知识相关的信息的缺陷的状态，或不完整[ISO 导则 73:2009,定义 1.1]2.2 风险管理 risk management 针对风险指挥和控制组织的协调活动[ISO 导则 73:2009, 定义 2.1]2.3 风险管理框架 risk management framework 提供在组织内设计、实施、监测（2.28）、评审和持续改进风险管理（2.2）的基本原则和组织安排的要素集合 注1：基本原则包括管理风险的方针、目标、指令和承诺注2：组织安排包括计划、关系、责任、资源、过程和活动 注3：风险管理框架被嵌入到组织的整个战略和运营的方针和实践中[ISO 导则 73:2009, 定义 2.1.1]2.4 风险管理方针 risk management policy 一个组织对风险管理的意图和方向的陈述[ISO 导则73:2009, 定义 2.1.2]2.5 风险态度 risk attitude 组织评价、最终追踪、保留、消除或规避风险的方法。

[ISO 导则 73:2009, 定义 3.7.1.1]2.6 风险管理计划 risk management plan 在风险管理框架内规定用于风险管理的方法、管理要素、资源的方案注1：管理要素一般包括程序、惯例、职责分配、活动顺序和时间安排 注2：风险管理计划可应用于特定的产品、过程和项目、组织的部分或整体[ISO 导则 73:2009, 定义2.1.3]2.7 风险所有者 risk owner具有风险管理权限和责任的个人或实体[ISO 导则 73:2009, 定义 3.5.1.4]2.8 风险管理过程 risk management process管理方针、程序和惯例对沟通、协商、确定状况、以及识别、分析、评价、处理、监测和评审风险活 动的系统应用[ISO 导则 73:2009, 定义 3.1]2.9 确定状况 establishing the context界定外部和内部参数，以便在管理风险和设置风险管理方针的范围及风险准则时，予以考虑[ISO 导则 73:2009, 定义 3.3.1]2.10 外部状况 external context组织寻求实现其目标的外部环境注：外部环境可包括：—— 文化、社会、政治、法律法规、财政金融、技术、经济、自然和竞争环境，无论国际、国家、区 域或地方—— 对组织目标具有影响的主要驱动和趋势。

—— 与外部利益相关方的关系和其感受和价值观[ISO 导则 73:2009,定义 3.3.1.1]2.11 内部状况 internal context组织寻求实现其目标的内部环境注：内部状况可包括：—— 治理、组织结构、作用和责任；—— 方针、目标、以及实现它们的战略；—— 以资源和知识来理解的能力（如资本、时间、人员、过程、系统和技术）；—— 信息系统、信息流和决策过程（正式和非正式的）；—— 与内部利益相关方的关系、以及他们的感受和价值观；—— 组织的文化；—— 标准、指南和组织采用的模式；—— 合同关系的形式和范围[ISO 导则 73:2009,定义 3.3.1.2]2.12 沟通和协商 communication and consultation组织针对风险管理，提供、共享或获取信息，与利益相关方进行对话的持续和反复的过程注1：信息涉及风险管理的存在、性质、形式、可能性、严重程度、评定、可接受性、处理注2：协商是组织与它的利益相关方，在做出决策或确定某一问题的方向前，针对问题双向有事实依据的沟通的过程协商是：—— 通过影响力而非权力对决策施加影响；—— 作为决策的输入，而非加入决策。

[ISO 导则 73:2009, 定义 3.2.1]2.13 利益相关方 stakeholder可以影响、被影响、或者觉得自己会被决策或活动影响的个人或组织注：决策者可以是利益相关者[ISO 导则 73:2009, 定义 3.2.1.1]2.14 风险评价 risk assessment风险识别（2.15）、风险分析（2.21）和风险评定（2.24）的整个过程[ISO 导则 73:2009, 定义 3.4.1]2.15 风险识别 risk identification发现、认识、描述风险的过程注1：风险识别包括风险源（2.16）、事件（2.17）、它们的起因及潜在后果的确定注2：风险识别会涉及历史数据、技术分析、有事实依据的和专家的观点、以及利益相关方的需求[ISO 导则 73:2009, 定义 3.5.1]2.16 风险源 risk source单独地或以结合的形式具有产生风险的内在可能性的因素注：一个风险源可以是有形的或者无形的[ISO 导则 73:2009,定义 3.5.1.1]2.17 事件 event特殊系列环境的产生或变化注1：.一个事件可以是一个或多个事变，会有多种原因注2：事件可以由一些不发生的事情构成。

注3：事件有时被称作“事件（incident）”或“事故（accident）”注 4：.没有后果的事件可以被称作“ nearmiss”、“incident”、“near hit” 、 “close call”[ISO 导则 73:2009, 定义 3.5.1.2]2.18 后果 consequence事件对目标的影响结果注1：一个事件可以产生一系列的后果注2：后果可以是确定或不确定的，以及对目标具有积极或消极的影响注3：后果可以被定性或定量地表述注4：初步的后果通过连锁效应可以逐步升级[ISO 导则 73:2009, 定义 3.6.1.3]2.19 可能性 likelihood某事发生的机会注1：在风险管理术语学中，“可能性”是指事情发生的机会，不论是明确的、测量的，还是客观或 主观地、定性或定量地确定的，以及一般性或精确地描述（如在一定时段内的可能性和频率）注2：英文“likelihood”在一些语言中没有直接对应的等同词，而同义词"probability”经常被使 用然而，在英文中，“probab il ity ”通常被狭义地理解为数学术语因此，在风险管理术语学中， "likelihood”以它在许多非英语国家语言中的“probability”所具有的同样的广泛理解来使用。

[ISO 导则 73:2009, 定义 3.6.1.1]2.20风险状况 risk profile 任何系列风险（2.1）的描述 注：该系列风险可包含与整个组织、组织的部分或者其他特定部分相关联的风险[ISO Guide 73:2009, definition 3.8.2.5]2.21风险分析 risk analysis 理解风险（2.1）的性质和确定风险程度（2.23）的过程注1：风险分析为风险评定和风险处理决策提供了基础 注2：风险分析包括风险估测[ISO 导则 73:2009,定义 3.6.1]2.22风险准则 risk criteria评价风险重要性的依据注1：.风险准则基于组织的目标和内外部状况 注2：风险准则可出自于标准、法律、方针和其他要求[ISO 导则 73:2009,定义 3.3.1.3]2.23风险程度 risk level 以后果和可能性的组合表达的风险的量或组合结果[ISO 导则 73:2009,定义 3.6.1.8]2.24风险评定 risk evaluation 将风险分析的结果与风险准则进行比较，以确定风险和（或）其量是否可接受或可容许 注：风险评定有助于有关风险处理的决策。

[ISO 导则 73:2009,定义 3.7.1]2.25风险处理 risk treatment修正风险的过程注1：风险处理可包括：—— 通过决定不启动或停止产生风险的活动而避免风险—— 为了追求机会采取或增加风险—— 消除风险源—— 改变可能性—— 改变后果—— 与其他方面共同分担风险(包括合同、风险融资)—— 通过有事实依据的决策保留风险注2：对消极后果的风险处理有时可以称为“风险减缓(risk mitigation)”、“风险消除(risk eliminate)”、"风险预防(risk prevention) ”和"风险减小(risk reduction)”注3：风险处理可以产生新的风险或修正已存在的风险[ISO 导则 73:2009, 定义 3.8.1]2.26 控制措施 control修正风险的措施注1：控制措施包括任何过程、方针、手段、惯例或其他修正风险的措施注2：控制措施可能不总是产生预期或设想的修正效果[ISO 导则 73:2009, 定义 3.8.1.1]2.27 残留风险 residual risk风险处理后余留下的风险注1：残留风险可包括未识别的风险注2：残留风险也可被认作“保留的风险(retain risk)。

[ISO 导则 73:2009,定义3.8.1.6]2.28 监测 monitoring不断检查、监督、严格观察或确定状态，以识别所要求或期待的绩效水平的变化注：监测可应用于风险管理框架、风险管理过程、风险或控制措施[ISO 导则 73:2009, 定义 3.8.2.1]2.29 评审 review 为达到所建立的目标，确定有关事务的适宜性、充分性和有效性所采取的活动注：评审可应用于风险管理框架、风险管理过程、风险或控制措施[ISO 导则73:2009, 定义3.8.2.2]3原则 为了风险管理有效，组织宜在各个层次遵循以下原则a） 风险管理创造和保护价值风险管理有助于目标明确的实现和绩效的改进，例如，在人员的健康安全、治安、法律法符合性、公 众接受性、环境保护、产品质量、项目管理、运营效率、治理和声誉方面b） 风险管理是整合在所有组织过程中的部分 风险管理不是与组织的主要活动。