ISO31000風險管理標準

《ISO31000風險管理標準》是一項國際標準文件。

風險管理——原則與實施指導準則
1、適用范圍
        本標準制定了風險管理的原則與通用的實施指導準則。本標準適用于任何公共、私有或社會企業、協會、團體或個人。因此，這一標準是通用的，而不局限于特定行業或部門。為便于陳述，本標準將所有不同的對象都稱之為“組織”。
        本標準應用于組織的整個生命過程，以及一系列廣泛的活動、流程、職能、項目、產品、服務、資產、業務和決策。雖然本標準提供了通用的指導準則，但并不建議所有組織實行統一的風險管理。風險管理的設計和實施取決于特定組織的不同需要、組織特定的目標、范圍、組織結構、產品、服務項目、業務流程和具體操作。
        本標準將協調與統一現有的和未來的風險管理標準。本標準提供了一個通用的處理具體風險/或部門的方法，但并不是取代那些標準。
2、規范性引用
        本標準將引用以下文件。若引用的文件標有日期，只有引用的版本適用。
        ISO / IEC導則73 ，風險管理——詞匯
3 術語和定義
        本文采用ISO / IEC導則73給出的術語和定義。
4 風險管理的原則
        為達到最大的效益，組織的風險管理應遵循以下原則：
         a ）風險管理創造價值。
         風險管理有助于目標的實現和改進，例如，人類健康和安全、法律和法規、公眾認同、環境保護、財務、產品質量、業務效率、公司治理和聲譽。
         b ）風險管理是組織進程中不可分割的組成部分。
        風險管理是管理職責中的一部分，同所有項目、變更管理流程一樣是組織進程中不可分割的一部分。風險管理不是與組織主要活動和組織進程分離的獨立活動。
         c ）風險管理是決策的一部分。
        風險管理有助于決策者作出明智的選擇。風險管理有助于確立優選方案以及對各備選方案的判斷。最后，風險管理有助于決策者確定風險的可接受程度以及風險處理的合理性與有效性。
        d ）風險管理明確地將不確定性表達出來。
風險管理可以處理決策中的不確定性、不確定性因素，以及這些不確定性如何表達。
        e ）風險管理應系統化、結構化、及時化。
系統、及時、結構化的風險管理方法有助于提高效率和可持續發展，增加可靠性。
        f ）風險管理依賴于信息的有效程度。
        風險管理所需的信息來源于如經驗、反饋、觀察、預測和專家的判斷等。但是，決策者應考慮到數據或模型的局限性以及專家之間產生分歧的可能性。
        g ）風險管理應適應組織。
        風險管理應符合組織的外部、內部環境和風險狀況。
        h ）風險管理應考慮人力和文化因素。
        風險管理應考慮外部和內部人員的能力、觀點和傾向，這些因素可以促進或阻礙組織目標的實現。
        i ）風險管理應該是透明的、包容的。
        風險管理應包括利益相關者，尤其組織的各級決策者，以確保風險管理工作的相關性并及時更新。允許利益相關者對風險管理提出自己的觀點，在風險標準的確定中應考慮他們的意見。
        j ）風險管理應該是動態的、反復的以及適應變化的。
        由于內部和外部事件的不斷發生、背景和知識的不斷改變、監控和審查的出現、新風險的發生，以及其它一些影響因素的變化或消失。因此，組織應保持風險管理的敏感性并及時響應變革。
        k ）風險管理應不斷改善和加強。
        組織應當制定和實施戰略，來完善組織各方面的風險管理。附件A “加強風險管理屬性”提供了進一步的信息。
5 風險管理框架