每家企业面临的风险都多得无法同时应对:火灾和洪水、网络攻击、供应商失灵、诉讼、关键人员流失、监管变化。风险图谱是一种简单而有条理的方法,用来决定哪些风险应当优先关注,以及每一种风险应如何处理,包括哪些应当投保。
什么是风险图谱
风险图谱通常由两部分组成。风险登记册是一张表格,列出每项风险及其成因、后果、责任人、现有控制措施和计划行动。热力图是一个网格,按可能性和影响程度标示每项风险,使最严重的风险一目了然。二者共同支撑 ISO 31000:2018 所述的风险评估步骤,该标准将评估分为识别、分析和评价。
第 1 步:确定范围和标准
确定您要绘制图谱的对象(整个公司、一个场所、一个项目)以及时间范围。然后用通俗的语言定义评分量表。常见做法是可能性分五个等级(罕见至几乎确定),影响也分五个等级(轻微至严重)。用管理者能理解的单位来描述影响:损失金额、停工天数、受伤人数、监管后果、声誉损害。
第 2 步:识别风险
使用多个来源,以减少盲点:
- 与部门负责人和一线员工进行访谈和研讨;
- 您自己的损失记录和保险索赔;
- 合同、租约和客户要求;
- 行业事故报告和监管机构的指引;
- 按类别编制的清单:财产、责任、人员、运营、技术、财务、战略、法律与合规。
把每项风险写成成因、事件和后果,例如“缺少离线备份(成因)导致勒索软件加密订单系统(事件),发货停止一周(后果)”。措辞准确,风险就更容易打分和处理。
第 3 步:分析和打分
对每项风险,结合现有的控制措施估计可能性和影响。许多公司同时记录固有风险(控制措施之前)和剩余风险(控制措施之后),这显示出企业对每项控制措施的依赖程度。将分数相乘或合并得出评级,但应把它当作指南,而不是精确的度量。
第 4 步:绘制热力图
把每项风险放到网格上。位于高可能性、高影响角落的风险是首要优先事项。低可能性、高影响的风险,例如重大火灾、飓风或大额责任判决,往往位于另一个区域,尽管很少发生,也值得关注;这些通常是最适合投保的风险。
第 5 步:决定处理方式
| 选项 | 含义 | 示例 |
|---|---|---|
| 规避 | 停止产生风险的活动 | 拒绝责任无上限的合同 |
| 降低 | 通过控制措施降低可能性或影响 | 喷淋系统、驾驶人培训、多因素认证 |
| 转移或分担 | 将财务影响转移给另一方 | 保险、赔偿条款、外包 |
| 自留 | 明知而接受风险并为其预留预算 | 免赔额、自行承担小额损失 |
每项风险都需要指定一名责任人和行动期限。没有责任人,登记册就会变成一份没人阅读的文件。
第 6 步:将图谱与保险联系起来
把登记册与您现有的保单进行对照。典型的发现包括:财产价值没有更新、营业中断限额与现实的停工时间不符、缺少网络保险、合同要求更高的责任限额,或者运输中的货物没有任何保单承保。准备充分的风险图谱也有助于核保人了解您的业务,从而争取更好的条件。
热力图的局限
热力图易于阅读,但也有弱点。分数是主观的,顺序量表可能掩盖同一格中各项风险之间的巨大差异,相关联的风险还可能合并成比网格所示大得多的事件。请用针对最大风险敞口的情景分析来补充风险图谱,并在有数据或模型时使用损失数据或模型。
让它持续更新
至少每年复查一次登记册,并在重大变化之后复查:新的营业地点、产品、收购或严重事件。如需更全面的治理方法,请参阅我们对ISO 31000 和 COSO ERM 等风险管理标准的概述。当您准备为决定转移的风险投保时,请通过 Polis Re 申请报价。