战争和恐怖活动、经济萧条、公司管理不善及倒闭、行情变化不定：这些因素构成了当今脆弱的市场环境。如果说公司在过去没有把足够的注意力放在风险管理上，那么现在他们显然已经这么做了。

    那么，目前风险管理的最亮点在哪里？在于高层次的金融、战略及意外风险的管理。例如，大多数公司（特别是金融服务行业）的主管们都采用越来越复杂的计算机工具对金融风险进行监视和管理。

    但业务风险的日常管理却并未受到同样的重视，而这些风险却足以导致经营困难甚至破产。在公司努力实现目标的过程中，员工、流程及工具之间的互动通常都会伴随着这种风险。

    为缩小这一领域内理论与实践之间的差距，埃森哲公司（Accenture）对运营风险管理进行了跨行业的基准研究。入选为此项研究基准伙伴的公司须提供若干可用于提高风险管理效率的重要的原则、工具及方法。

    采用以下三条基本原则可以对业务风险进行有效的管理：培养对风险的预见能力；根据特定目标管理风险；营造"风险管理人人有责"的氛围。

培养对风险的预见能力

    一条显而易见的原则是：防止事态的发生，否则至少要在事态发生之前建立起应对的程序。但在涉及业务风险时，这一基本原则却非常容易被忽视。

    实际上，接受调查的一家公司的经理们认识到，他们在实践中常常全然忘记了风险管理。比如说，一个团队开展了一个工作项目－－－也许是发布一种新产品，也许是建立一个新的信息系统。每个星期一的上午，团队成员们都要开会讨论上一周的进展－－－出现的问题、采取的措施以及这些问题对预算及交货日期的影响。他们是否对风险进行了有效的管理？实际上并没有：他们管理的是难题或争议，而不是风险。

    事实上，大多数公司的确拥有明确、到位的程序，在业务层面上对风险进行识别和追踪。以下就是他们通常所采用的做法：

    根据标准分类或已知风险清单对可能的风险进行识别；为其可能性及严重性指定一个数值；指定具体负责管理各个风险的职位、部门或者人员。

    看上去很棒，对吧？但是，在实际工作中，这种方法常常不能取得显著成效。为什么呢？部分原因来自于日常工作的压力：人们常常习惯于灭火而不是防火。同时，这也是由于对运营风险的预期能力有自己的发展模式，和其他能力一样，这种能力也必须通过培养才能获得。

根据特定目标管理风险

    如果公司需要重点培养业务风险管理能力，就必须同时帮助其员工根据明确的对象或目标来考虑风险管理。在这一点上，传统的风险分类系统会在不知不觉中将公司引入歧途。

    目标不同，承担的风险相应地也就不同。在考虑目标时遵循风险第一的原则，公司就可以设立风险识别及解决程序，或对其现有程序加以改进，使风险具有更大的关联性和现实性。考虑一下以下三种常见的目标：

    执行目标：提供一个项目或程序；开发新产品以及服务。关系目标：与顾客、客户及业务伙伴保持有效的联系。机会目标：开发新业务、开辟新市场、扩张、与顾客或客户的未来前景。

    调查表明，在这三类目标中，项目执行阶段的风险管理最不成熟。这一发现有点让人吃惊，但在作为基准伙伴的一家投资银行的身上却得到了很好的证明。当然，这家公司拥有对某些金融风险（例如在净值交易方面）进行实时追踪的非常复杂的工具。但对项目执行构成威胁的因素却并不一定也是有形的。这些因素中既包括项目团队的情感及道德状态，也包括项目背后的业务前景的有效性，还包括对项目的内部运作进行追踪以保证采取正确措施的能力。

    市场上的许多工具可以对执行或项目风险进行分析及模拟。但是，这些工具常常会受到风险大小、隐秘程度及严重性等主观输入信息的限制。因此，如果对其过于依赖，那么这些风险工具所固有的主观性本身就是一种风险。

    为实现以关系为导向的目标，在相关风险的识别及管理的初期常常需要有关各方的参与。调查发现，一家大型软件公司所采用的做法极佳。对于影响较大的特殊项目，特别是那些与多个客户、公司雇员及零售商有关的特殊项目，该公司将召开一个为期数日的风险管理研讨会。表面上，其目的不过是要明确需要投入主要精力的领域，但其中所隐含的目的却是：克服拥有竞争方案甚至作为实际竞争对手的各方之间在合作初期的不信任感。

人人参与风险管理

    基准伙伴们常常提到的另一个问题是：除非问题失控，否则公司内部的人员总是倾向于隐瞒业务问题。这就是所谓的"捉迷藏"综合症。正如一个基准伙伴所说的那样，"出现风险时，如果我的工作是找到风险，而你认为你有责任隐瞒风险，那么我们手头的系统就会出现功能失常的问题。"

    但是，在将风险管理的责任指定给特定的人或团队之后却常常会出现这种问题。如果责任人提出疑问，人们是否会认为这意味着他或她无法独立解决这一问题？另一方面，如果管理层忽视风险，那么这种做法也不一定会起作用。例如，一个基准伙伴以项目监管表的形式来识别对公司特别重要的项目。但在实际操作过程中，上述项目的负责人都不希望自己的项目被选中，因为他们认为这种"荣誉"不过意味着更多的工作和争论。

    教训：仅仅依靠领导层的各种报告和监督是不够的。公司还必须营造一种氛围，使大家都有能力、有责任对风险进行管理。接受调查的一家公司的首席审计官说得好："我认为我的责任始终都是让我自己变得越来越不重要。"

    这一步的关键在于努力求得平衡。如果公司的领导人并不热衷于参与重要项目，那么我们建议公司重新定义项目清单，使领导名列其中。领导的参与并不是意味着更多的工作，而是表明项目的重要性，为项目带来更多的资源和技能。这种做法可以表明，公司始终支持员工努力掌握风险管理的主动权。

    上述变化强调的是营造风险管理工作氛围的重要性，而不是要像学校老师在期末考试时那样对工作进行监督。

    扩大风险管理意识的方法之一是"注意"。对业务风险实施了有效管理的公司都将严格和警觉融入其过程、机制及工具之中。

    例如，一位受访者表示，他的项目之所以实现了有效的风险管理，是因为"我们的监督员的要求很简单，就是在每周一的上午一上班就必须把风险记录交给他。"听起来直截了当吧？当然，但此项调查的结果表明，违规违纪者要比遵规守纪者更欢迎这种做法。公司需要建立各种机制和程序，以确保员工无需也无处隐藏风险。

    这样，问题的关键就在于公司的企业文化，实际情况也基本如此。基准调查的参与者们也都承认了这一点。对公司文化的简单分析表明，在参与调查的公司中，运作风险管理方面的现有水平与公司希望达到的水准之间的差距主要在于受文化影响的各个方面，如知识的获取与共享、学习与培训、以及不断的改进等等。

    如今，公司必须向公司上下－－－每一个雇员，每一个职能部门，以及每一个层次－－－灌输风险管理的责任意识。在员工履行其职责以及在增强和维护公司的HTH时，公司还必须在领导力、流程和资源等方面支持他们。

原文经许可摘自埃森哲公司2003年1月出版的Outlook第15卷第1期。该公司2003年登记版权。苏勇译。

本文根据埃森哲公司对业务风险管理实践所做基准调查的结论编写。两位作者分别担任该调查的项目部经理及研究部经理。

Mark Q. Smith是Accenture Financial Services公司业务部的合伙人，并担任该部门的全球质量经理。Craig Mindrum在芝加哥DePaul大学教授机构变动及伦理学。作为一位战略管理顾问，他与埃森哲公司在劳动力行为、机构变动以及技术对人类行为的影响等方面展开了密切合作。