前两篇我们介绍了风险管理流程的前三个环节：

1、风险管理第一步，收集风险信息

2、风险管理基本流程：风险识别，建立风险数据库

3、风险管理基本流程：风险分析，27种风险分析技术

本篇我们来介绍如何评价风险，风险评价是风险评估工作的最后一步，就是对通过识别、分析后的风险按照不同的属性进行风险排序，评估出真正需要注意的风险，为后续的风险应对及资源配置提供输入。

我们最熟悉的风险评价维度有两个：发生可能性和影响程度。

发生可能性：估计这个风险发生的概率有多大？

估计这个发生概率需要明确时间范围，不能说这个风险未来一定会发生，所以概率就会非常高，而未来三年发生的概率几乎不存在。

因为和后续的应对方案关联，也涉及风险应对资源的优先性排序，一般我们会限定在某一个时间范围，比如说估计一下这个风险在未来三个月发生的概率、或者未来一年发生的概率有多大。

定好时间刻度可以很好的衡量管理风险的紧迫性，这也是风险评估一个维度。

这里可以参考一个时间管理方法，重要-紧急四象限法：

影响程度：这个风险一旦发生会产生多大的影响？

这个影响是可以有多种体现方式的，比如可以单纯是财务上的影响、也可以是非财务的各领域KPI等。

比较风险和风险之间的大小，一般使用风险水平的高低不同来区分，而风险水平的计算公式为：

风险水平=发生可能性 * 影响程度

根据我们对发生可能性和影响程度两个维度不同的重视程度，还可以分别给发生可能性及影响程度赋予不同的权重，来得出同一风险的不同风险水平。

企业在评估多项风险时，应根据对风险发生可能性的高低和对目标的影响程度的评估，绘制风险坐标图，对各项风险进行比较，初步确定对各项风险的管理优先顺序和策略。

《中央企业全面风险管理指引》 第二十四条

有些具备条件的企业或风险类型可以用比较精确的方法对其进行量化评价，比如金融企业，对于信用风险、市场风险等都有大量的数据支撑，可以比较精确的计算出其风险水平的结果。

但有些企业或风险类型不具备精确量化的基础，所以可以采用头脑风暴法、专家意见法、层次分析法等，使用定性和定量相结合的方式确定风险水平。

央企指引附录中的风险图谱示例：

风险水平的高低决定了风险的排序以及风险应对的策略。

但在今天企业经营环境越来越不确定的时代，传统的可能性-影响程度的两个评价维度已经越来越不能全面刻画风险的主要特征。

几个方面的例子：

一、COSO 2017新版企业风险管理框架

在新版的企业风险管理框架中，一共有20个原则，其中第12个原则提到，在对风险进行排序时，除了可能性和影响程度之外，还应该考虑另外五个方面的影响因素：

1、主体的风险适应性能力；

2、风险相互叠加的复杂性；

3、主体能动性；

4、风险影响的持续性；

5、主体韧性和复原力。

二、ISO新兴风险管理标准

ISO风险管理标准委员会正在制定的新兴风险管理国际标准中，将风险评估的维度从原来的两个扩展了对新兴风险可能适用的若干维度，原因就是由于之前的可能性和影响程度已经不足以评估一个新环境中产生的风险。

三、一个企业案例

在2021年我们翻译引进的《企业风险管理-全球最佳实践与案例精选》（后附链接）中，有一个国际企业案例中提到建立了风险评价监控室，其中也加入了除可能性和影响程度之外多个评价维度。

四、如何评价正面风险？

我们一直以来都默认了风险评价两个维度中影响程度的维度为损失影响，比如可能带来多少的财务损失，这对于传统风险的评估当然是可以的。

我之前有很多篇文章论述风险的两面性，这是近几年全球风险管理领域发展的共识。

风险，既有导致损失的负面影响，还有可能赢利的正面影响，这是由不确定性的内核导致的。所以，如果我们承认有一些风险是可以被利用的，甚至是可以加量承担的，那我们就不能一味的评估风险的负面影响，而应该评估其有可能出现的正面影响。

我绘制了如下的双向风险评估图，供大家在工作中参考借鉴。