在上一講中，我們講到在確認了風險事件后，要對這些事件進行風險評估并采取相應的管理策略。
風險評估就是考慮潛在事件對企業目標實現的影響程度。管理者從兩個角度來評估事件：一是發生的可能性；二是影響程度。如上所述，不管是有利的事件，還是不利的事件，都需要單個或分類地進行審視。
1.內在風險與剩余風險
管理者在評估風險時，既評估內在風險，也評估剩余風險。內在風險指管理者不采取相應的風險管理措施情況下的風險。
表1
內在風險的評估
| 運營目標 | n 制造部門新聘合格員工200名 n 人工成本占產品成本的比率維持現有水平（約20%） | |
| 衡量指標 | n 合格的新員工數 n 產品成本中人工成本比率 | |
| 風險承受度 | n 合格的新員工數180—200名 n 產品成本中人工成本的比例為20%—22% | |
| 風險 | 內在風險評估 | |
| 可能性 | 影響程度 | |
| 合格員工招聘不足 | 40% | 員工招聘數短缺25%，24個崗位的需求無法滿足 |
| 學歷要求過高，人員結構失衡 | 50% | 高學歷人員比例提高30%，人工成本占產品總成本比率提高3% |
剩余風險指管理者采取對策后的風險。評估風險時首先評估的是內在風險，當風險管理策略確定后，再考慮剩余風險。假設某中藥制造與銷售廠商，計劃期藥品出口的收入約為100萬美元，如果匯率風險發生變化，勢必會影響外匯收益。該事件的內在風險和剩余風險如表2.
表2
剩余風險的評估
| 運營目標 | 藥品出口收入US$100萬 | ||||
| 衡量指標 | 匯率變動率 | ||||
| 風險 | 匯率變動對經營性外匯收益的不利影響 | ||||
| 風險承受度 | ±US$50000 | ||||
| 風險 | 內在風險評估 | 風險反應 | 剩余風險評估 | ||
| 可能性 | 影響 | 可能性 | 影響 | ||
| 匯率90天內向浮動1% | 80% | 10000 | 無 | 80% | 10000 |
| 匯率90天內向浮動2% | 30% | 50000 | 運用匯率套期或其他衍生金融工具控制影響 | 5% | 10000 |
| 匯率90天內向浮動3% | 5% | 100000 | 運用匯率套期或其他衍生金融工具控制影響 | 1% | 20000 |
發生可能性較小、對目標實現的影響不大的事件，管理者并不需要花費太多的時間進行考慮。發生可能性大、影響嚴重的事件，管理者需慎重應對。在這兩個極端之間，往往需要管理者理性、謹慎的分析和判斷。
風險評估的時間跨度應當與企業相關戰略與目標的時間跨度相一致。由于一般企業的戰略與目標大都側重于短期或中期，管理者自然更多關注這一時間范圍的風險。但企業的戰略方向及目標的某些方面會涉及到更長時期，所以，管理者也不應忽視更長時期內的重大風險因素。
管理者通常使用一些績效指標來衡量目標的實現程度，相應地，在考慮風險對某一特定目標的潛在影響時，也應使用一致的指標。例如，某企業用客戶滿意度指標、投訴率等衡量對客戶服務的水平，在評估風險對服務目標的影響時，如公司網站出現事故而造成客戶不能登錄，也應使用相同的指標。
2.風險評估技術
對風險的評估技術包括定性技術和定量技術。
當風險無法定量，或者定量分析的數據可靠性太弱，或者數據采集成本大于收益時，管理者一般會使用定性分析方法對風險進行評估。
企業對風險進行定性分析時，可以采用與事件確認相同的方式，如召開小型研討會、面談等。這種風險的自我評估流程可以獲取參與者對未來事件發生的可能性與影響程度的認識與估計。
定量分析更為精確，適用于較為復雜的情況，是對定性分析的補充。定量分析耗時費力，也更為嚴格，有時需要使用復雜的數學模型。定量分析技術是否適用取決于數據和假設的質量。常用的定量分析技術有：標桿法、概率模型、非概率模型等。
標桿法：指管理者將衡量指標與本公司其他部門、競爭對手或行業平均、行業內最優秀公司的指標值進行比較，以評估某一或某類事件發生的可能性和影響程度。
概率模型包括：風險定價法，現金流量法、損失分布法等。
非概率模型包括：敏感性分析、圖景分析、壓力測試等。
3.風險評估與事件之間的關聯性
如果事件之間互不相關，則可單獨進行風險評估。但如上所述，事件之間有時相互關聯，某一事件的發生可能會觸發另一事件。就風險評估來說，某一單獨事件，風險可能不大，但各個關聯事件發生后的總體影響或后果可能重大。例如，某一企業在海外建廠、雇用當地的經理、對這一分部的報告系統尚未進行測試、因而對其業績評估也就缺乏堅實的基礎。從單個事件看，風險都不大；但從總體上看，則可能會產生重大的誤報風險或虛假的財務報告。
如果某類風險會影響到企業的多個業務單元，管理者一般會從業務單元層次分析與評估風險，然后再從公司總體層面上加以考慮。
事件的性質或者相互之間是否存在關聯會影響到具體風險評估技術的采用。例如，對于影響非常重大的事件，管理者可能使用壓力測試技術；而對于多個事件的關聯影響和總體后果，管理者可能會覺得模擬分析或圖景分析更加適用。
4.風險評估的結果描述
對事件發生的可能性及影響程度進行定性或定量評估后，可以采用風險圖、數量表等方式將其描述出來，以利于管理者針對不同的風險類型采用不同的風險管理策略。
例如，某公司對以下9項事件發生的可能性和影響程度進行了定性評估，風險①發生的可能性為“低”，風險發生后對目標的影響程度為“極低”；……；風險⑨發生的可能性為“極低”，對目標的影響程度為“高”……。繪制風險圖如圖1.
可能性↑
| 極高 | ⑥ | ||||
| 高 | ② | ⑧ | |||
| 中等 | ⑤ | ③ | |||
| 低 | ① | ④ | ⑦ | ||
| 極低 | ⑨ |
極低 低 中等 高 極高 影響程度
圖1
通過圖1可以直觀地看出各類風險的大小，從而確定風險管理的優先順序和策略。對風險①公司可以采用風險接受的策略，即不再增加相應的管理措施；對風險⑥、⑧應給予高度重視，可以采用風險規避或風險轉移策略；對其他風險可以通過優化控制流程等管理方式來減少或控制風險。
風險反應
所謂風險反應，就是在對風險從單獨或關聯角度、業務層次和公司總體層次進行評估后，根據各類風險的大小而采取的相應的管理策略。
管理者會采用整體風險或組合風險的觀點，根據風險的評估結果，通過成本與收益分析確定相應的風險管理策略，將公司剩余風險控制在可承受范圍內并與公司風險偏好相一致。
1.風險反應的類型
企業的風險對策大致有四種類型：
風險回避。企業現有的活動會帶來風險，管理策略之一就是回避這種風險。例如，IT企業考慮到軟件外包業務的激烈競爭而不參與；再如，企業剝離并出售既有的風險較大的業務或分部等。
風險減少。這一風險管理策略是為了減少風險發生的可能性或后果，或兩者兼而有之。例如，企業從事的某項研發活動存在較大風險，公司管理者不是不搞研發，而是對研發投入設計一個上限（如一年最多投入1000萬元人民幣等），并通過完善研發流程來提高研發的效率與效果，通過設限和完善內部流程來降低風險。再如，根據公司各業務單元的風險分布，調整戰略，重新分配資源等。
風險分散。通過轉移或共享風險來減少風險發生的可能性或后果。例如，公司的某種設備比較關鍵，可以通過購買相應的財產險等來減少風險；為降低匯率變動對公司出口收益的影響，可以采用相應的套期管理辦法；對某些重大的加工或制造業務可以采用分包經營策略；與其他廠商成立合資公司共同經營或戰略合作關系，等等。
風險接受。不采取相應的對策，一切順其自然。比如，公司有一批使用多年、尚未進行處理的電腦，其市場價值已經較小（僅值幾萬元），存放在公司的一個倉庫中。公司如果雇一員工專門履行保管責任，則得不償失。對于存在的失竊風險，公司接受而不采用相應的對策。
上述企業風險管理的四種策略都是根據企業的風險偏好或風險承受度來制定的。風險回避策略指采用其他的任何風險管理方式，都不能使風險降低到企業可接受的水平上。風險減少和風險分散管理策略就是通過這些策略的實施，使剩余風險與公司的風險偏好或者說風險承受度保持一致。風險接受意味著內在風險已在公司的風險可承受范圍之內。
某些風險的管理策略比較容易確定，例如，對于一些市場價值較小、非主要存貨的失竊的管理等；而對于另一些風險來說，相應的管理策略的確定比較困難，例如研發風險、新產品推出時間、價格方面的風險管理等。
2.評估風險管理策略
對同類的風險，可以有不同的風險管理策略。比如，對于出口企業來說，匯率變動對其影響較大，企業可以采用套期、利率互換、或者在合同中約定固定匯率等方式來管理風險。同樣，對不同的風險，也可以采用相同的管理策略。比如運用風險分散策略（如購買各種保險、與其他公司建立戰略合作關系）等來降低或管理經營風險、財產風險或財務風險等。
因此，我們需要根據風險的性質與大小，選擇不同的風險管理策略：
首先考慮風險管理策略實施后對風險可能性與后果的影響，確保這種風險管理策略與企業的風險承受度相一致；
對風險管理策略進行成本與收益分析。風險管理策略的成本包括直接成本，間接成本，有時還需要包括機會成本。風險管理策略收益的計算往往比較困難。例如，對員工培訓的投入，肯定有收益，但收益有多大？常常難以量化。在許多情況下，風險管理策略的收益是結合相關目標的實現來進行評估的。
在處理特定風險時不能忽略潛在的一些機遇。事件有有利事件和不利事件，風險管理策略的目的也不能僅為了降低已確認的風險。企業管理者可以根據實現情況，采取一些創新的管理策略。比如，汽車保險公司對于某些事故高發的路口，可以提供資金來改善交通信號燈，以此減少事故發生的頻率，減少事故賠付。
3.選擇管理策略
在對風險管理的各種策略進行評估后，管理者需要確定某一風險管理策略或策略組合，以使風險發生的可能性與后果在公司可承受的范圍內。仍續前例見表3.
表3
目標、事件、風險評估與風險反應
| 運營目標 | n 制造部門新聘合格員工200名 n 人工成本占產品成本的比率維持現有水平（約20%） | ||||
| 衡量指標 | n 合格的新員工數 n 產品成本中人工成本比率 | ||||
| 風險承受度 | n 合格的新員工數180—200名 n 產品成本中人工成本的比例為20%—22% | ||||
| 風險 | 內在風險評估 | 風險反應 | 剩余風險評估 | ||
| 可能性 | 影響 | 可能性 | 影響 | ||
| 合格員工招聘不足 | 40% | 員工招聘數短缺25%，24個崗位的需求無法滿足 | 與第三方簽訂合同，招聘員工 | 20% | 員工招聘數短缺10%，9個崗位的需求無法滿足 |
| 學歷要求過高，人員結構失衡 | 50% | 高學歷人員比例提高30%，人工成本占產品總成本的比例將提高3% | 重新審視招聘，每年修訂職位說明 | 20% | 高學歷人員比例提高10%，人工成本占產品總成本的比例將提高1% |
| 與風險承受度的一致 | 預計風險管理策略實施后，公司的該類風險控制將被控制在可承受范圍內 | ||||
需要注意的是，風險管理策略并不需要將風險降低到最低。風險管理的真正含義是當某一風險管理策略實施后的剩余風險高于公司的風險承受度時，公司的管理者需要重新審視相應的管理策略，修正管理策略以使剩余風險與公司的風險承受度相一致。在某些情況下，重新考慮公司的風險偏好與風險承受度。
當一個企業的風險管理策略確定后，下一步就是考慮如何實施，這構成我們下一講的內容。
4.組合風險
企業的風險應當從公司整體（組合風險）角度來加以考慮。管理者一般是先對各業務單元風險、部門風險或職能風險進行分析，然后再從整體上看公司的剩余風險是否與公司的風險偏好相一致，是否能夠保證公司目標的實現。
從各個單元來看，其剩余風險可能在單元的風險承受范圍內，但各單元的剩余風險相加，可能超過公司整體的風險偏好，這時就需要追加采用相應的風險管理策略，或改變原先確定的風險管理策略。相反，各單元之間的風險也可能互相抵消，或者一個單元的風險較高而另一單元的風險較低。當公司整體風險在公司的風險偏好范圍內時，不需要再采用另外的風險管理策略。
