如何做好战略风险评估？

如今关于公司治理的领导思想基本上一致认为，董事会的重要职责之一就是理解公司战略及相关风险，并保证管理层的风险管理措施是适宜的。战略风险评估是评估公司所面临的重大风险的系统而持续的过程。进行初步评估对于高管和董事会来说是一项极具价值的活动。

通常，战略风险评估是由管理层依据董事的投入与验证来执行的。在这个过程中，将风险评估与公司战略和战略执行程序直接联系起来是非常重要的。评估的精确形式以及产生的战略风险文件，取决于公司风险管理程序的成熟程度。

以下战略评估七大步骤，反映了风险的动态性，构成了一个在公司内部持续不断循环，或者是封闭循环的过程。同时也显示出战略风险评估师一个持续的过程，而并非一次性事件。在其执行过程中允许加以修改和定制，以适应公司的成熟程度和能力。

第一步：深刻理解公司战略

理解公司战略及其关键构成部分，重点是识别与核心战略相关的具体的风险。这一步骤所需要的信息大部分可以在公司和业务部门的计划、战略总结以及管理层和董事会的资料中取得。在步骤的最后，董事会和管理层应该对公司战略的关键构成元素以及它们与回报驱动战略（RDS）框架的联系有深入清晰的理解。

例如，公司战略中涉及合作的部分的关键行为需要在评估中考虑并鉴别。这些合作包括合资企业、离岸外包、业务外包或者其他联盟形式。一家公司可能有多种合作安排，其中有些相对风险较低，例如经营餐厅，但是其他的，比如信息技术外包，也许承担着很高的风险。据此，关键的问题在于哪个合作者、采用何种合作方式对于执行战略来说是最为重要的，这些就是我们要努力去识别的。

第二步：收集战略风险相关的观点与数据

这一步骤的目的是从管理层和董事会处，收集与核心商业战略相关的主要战略风险的观点和数据。做这一步有许多方法，例如行政访谈、调查以及焦点团队反馈。进行这一步时，公司文化应予以考虑。有的公司对调查能够很好地接受，而有的则不能。如果管理者分布很广，个人面谈可能难以实施，因而远程会议或者电话访问就成了不错的选择。包括业务部门领导的管理层的主要成员都应该被要求参与。获得董事会成员，特别是审计委员会成员和公司的内部及外部审计人员的想法也是十分有用的。

在进行以上评估的过程中我们发现，比起简单地问个人什么是战略风险这样的开放式问题，提供重点框架或者范围会使得访谈更为有效。战略风险管理（SRM）框架（见上图）在这里非常有用。SRM的组成部分与RDS框架的原理相对应。讨论与问题将从与步骤一中的战略分类相联系的SRM框架里有风险的部分中产生。

参与者也应当被鼓励去识别他们认为会抑制公司完成战略、实现商业目的能力的外部风险。这些外部风险包括系统风险、新兴风险领域或如管制等其他外部风险。参与者也可对他们所识别出来的风险可能的严重程度或是影响力进行评级。

第三步：初步制订战略风险概要

利用前两步中收集到的信息可以准备一份初步的战略风险概要文件，该文件的格式和复杂程度应该依公司的风险管理成熟度和能力而定。由于这个信息的作用是激发执行层面和董事层面的讨论与理解，过于细节或大量的数据可能会适得其反。

许多公司都发现图形演示十分有助益，比如用色彩来表示不同层次风险的热点地图。还可以基本清单为起点，随着风险管理程序的逐渐成熟，增加细节并提高复杂程度。

就潜在层面的问题或者与某个风险区域或类型相关的影响进行交流也是很有用的。传统的方法是可能性和影响力分析。然而最近，那些高影响力及低可能性的风险引起人们很大关注, 例如那些因其极低的可能性而经常被轻视的系统性风险。为了应对这种风险，一些公司正在增添新的维度，例如风险来袭的速度或者公司对风险的防备。此外，战略风险概要的细节和复杂程度应该反映公司风险管理程序的成熟程度。

第四步：验证并最终确定文件

初步的战略风险文件必须通过主要参与者的验证，确保其反映了他们关于最重要的战略风险的看法。哪些参与者涉及和验证战略风险文件的确切过程应取决于企业文化。有的公司公布初步文件以取得反馈，有的进行跟进访谈，还有的采取小组展示与讨论的方式。这一验证过程可以包括所有利益相关者或者只包括其中一部分。可能的风险文件报告格式也可以进行公布，从而获取关于不同格式的观点看法。但是需要记住的是，让足够的参与者来验证这份文件以及突出风险，对于整个评估过程来说是极为重要的。

第五步：制定战略风险管理行动计划

战略风险一经识别，高层管理者和董事就会很快询问关于减轻和监控风险的计划，因此我们建议公司将建立并实施初步行动计划，当作评估的核心部分，而不是作为一个次要的独立的行为。此外，将要采取的具体行动取决于公司风险管理实践的成熟程度。

根据我们在德保罗大学战略风险管理实验室的工作以及多种研究显示，许多公司正以渐进的步骤进行风险管理，而不是直接驶向理想的最终状态。因此，公司可以利用战略风险成熟度诊断和战略风险管理路线指南作为工具，来让这一步骤变得便易。具体的措施取决于公司的具体情况，通常包括以下措施：

减少识别出的部分风险的减灾活动和策略；

决定风险是增是减的风险监管活动，包括平衡计分卡和战略地图等工具；

将战略风险管理工具整合于战略执行过程中定期更新战略风险文件的程序；

各种形式的报告活动；

针对识别新的或正在出现的风险的程序。

这一步骤为提高整个公司内，不同风险和控制部门之间信息及风险的共享，创造了新的机会。这份行动计划是整个公司所需要采取的措施，而非一个风险或控制部门。这种企业范围的焦点是建立全公司风险管理文化的另一个步骤。

第六步：沟通战略风险概况和战略风险管理行动计划

在评估的阶段，公司应该有确定的战略风险概况和初步行动来应对已识别的战略风险。沟通并建立关于风险的共通认识，是战略管理中被普遍认可的主要做法。事实上，“信息与沟通”是企业风险管理八大核心构成之一。

这一步骤要求管理层实现与全公司的深入交流，来表达公司关于其战略风险的看法以及执行相关行动计划的重要性。沟通必须上及董事，因为这是一个需要他们注意与互动的主题。

沟通过程为建立或加强公司风险文化创造了机会。公司重要风险的信息应该在整个公司内部分享。员工应该在公司风险活动、政策和总体指导等方面实现信息沟通。特别地，公司不同风险控制部门和业务部门之间，应该沟通并做到信息共享。需要强调的是，成功的交流是一项反复过程，并需要持续注意和加强。

第七步：实施战略风险管理行动计划

战略风险评估程序的真正价值在于公司最后采取的行动。这些行动的目的是建立公司持续性战略风险管理程序并“画完这个圆”。如上所述，风险的动态性要求持续的过程来监控和管理。行动计划应该能够让这种过程得以实施和加强。

公司应当考虑如何报告和更新行动状态，包括向董事会报告。当其战略风险管理程序持续不断成熟，公司就应当考虑下一阶段需增加的步骤，以提升其整个风险管理程序。

财务总监和管理团队应帮助公司董事会和高管建立公司风险管理程序，这样他们便能够专注于战略风险，并根据对风险的持续性评估来统一ERM和GRC措施。战略风险评估能够为战略管理与治理奠定基础，可以阐明并定义通往发展风险管理能力，即风险如何被评估、监控和管理的道路。