在上一讲中，我们讲到在确认了风险事件后，要对这些事件进行风险评估并采取相应的管理策略。
风险评估就是考虑潜在事件对企业目标实现的影响程度。管理者从两个角度来评估事件：一是发生的可能性；二是影响程度。如上所述，不管是有利的事件，还是不利的事件，都需要单个或分类地进行审视。
1.内在风险与剩余风险
管理者在评估风险时，既评估内在风险，也评估剩余风险。内在风险指管理者不采取相应的风险管理措施情况下的风险。
表1
内在风险的评估
| 运营目标 | n 制造部门新聘合格员工200名 n 人工成本占产品成本的比率维持现有水平（约20%） | |
| 衡量指标 | n 合格的新员工数 n 产品成本中人工成本比率 | |
| 风险承受度 | n 合格的新员工数180—200名 n 产品成本中人工成本的比例为20%—22% | |
| 风险 | 内在风险评估 | |
| 可能性 | 影响程度 | |
| 合格员工招聘不足 | 40% | 员工招聘数短缺25%，24个岗位的需求无法满足 |
| 学历要求过高，人员结构失衡 | 50% | 高学历人员比例提高30%，人工成本占产品总成本比率提高3% |
剩余风险指管理者采取对策后的风险。评估风险时首先评估的是内在风险，当风险管理策略确定后，再考虑剩余风险。假设某中药制造与销售厂商，计划期药品出口的收入约为100万美元，如果汇率风险发生变化，势必会影响外汇收益。该事件的内在风险和剩余风险如表2.
表2
剩余风险的评估
| 运营目标 | 药品出口收入US$100万 | ||||
| 衡量指标 | 汇率变动率 | ||||
| 风险 | 汇率变动对经营性外汇收益的不利影响 | ||||
| 风险承受度 | ±US$50000 | ||||
| 风险 | 内在风险评估 | 风险反应 | 剩余风险评估 | ||
| 可能性 | 影响 | 可能性 | 影响 | ||
| 汇率90天内向浮动1% | 80% | 10000 | 无 | 80% | 10000 |
| 汇率90天内向浮动2% | 30% | 50000 | 运用汇率套期或其他衍生金融工具控制影响 | 5% | 10000 |
| 汇率90天内向浮动3% | 5% | 100000 | 运用汇率套期或其他衍生金融工具控制影响 | 1% | 20000 |
发生可能性较小、对目标实现的影响不大的事件，管理者并不需要花费太多的时间进行考虑。发生可能性大、影响严重的事件，管理者需慎重应对。在这两个极端之间，往往需要管理者理性、谨慎的分析和判断。
风险评估的时间跨度应当与企业相关战略与目标的时间跨度相一致。由于一般企业的战略与目标大都侧重于短期或中期，管理者自然更多关注这一时间范围的风险。但企业的战略方向及目标的某些方面会涉及到更长时期，所以，管理者也不应忽视更长时期内的重大风险因素。
管理者通常使用一些绩效指标来衡量目标的实现程度，相应地，在考虑风险对某一特定目标的潜在影响时，也应使用一致的指标。例如，某企业用客户满意度指标、投诉率等衡量对客户服务的水平，在评估风险对服务目标的影响时，如公司网站出现事故而造成客户不能登录，也应使用相同的指标。
2.风险评估技术
对风险的评估技术包括定性技术和定量技术。
当风险无法定量，或者定量分析的数据可靠性太弱，或者数据采集成本大于收益时，管理者一般会使用定性分析方法对风险进行评估。
企业对风险进行定性分析时，可以采用与事件确认相同的方式，如召开小型研讨会、面谈等。这种风险的自我评估流程可以获取参与者对未来事件发生的可能性与影响程度的认识与估计。
定量分析更为精确，适用于较为复杂的情况，是对定性分析的补充。定量分析耗时费力，也更为严格，有时需要使用复杂的数学模型。定量分析技术是否适用取决于数据和假设的质量。常用的定量分析技术有：标杆法、概率模型、非概率模型等。
标杆法：指管理者将衡量指标与本公司其他部门、竞争对手或行业平均、行业内最优秀公司的指标值进行比较，以评估某一或某类事件发生的可能性和影响程度。
概率模型包括：风险定价法，现金流量法、损失分布法等。
非概率模型包括：敏感性分析、图景分析、压力测试等。
3.风险评估与事件之间的关联性
如果事件之间互不相关，则可单独进行风险评估。但如上所述，事件之间有时相互关联，某一事件的发生可能会触发另一事件。就风险评估来说，某一单独事件，风险可能不大，但各个关联事件发生后的总体影响或后果可能重大。例如，某一企业在海外建厂、雇用当地的经理、对这一分部的报告系统尚未进行测试、因而对其业绩评估也就缺乏坚实的基础。从单个事件看，风险都不大；但从总体上看，则可能会产生重大的误报风险或虚假的财务报告。
如果某类风险会影响到企业的多个业务单元，管理者一般会从业务单元层次分析与评估风险，然后再从公司总体层面上加以考虑。
事件的性质或者相互之间是否存在关联会影响到具体风险评估技术的采用。例如，对于影响非常重大的事件，管理者可能使用压力测试技术；而对于多个事件的关联影响和总体后果，管理者可能会觉得模拟分析或图景分析更加适用。
4.风险评估的结果描述
对事件发生的可能性及影响程度进行定性或定量评估后，可以采用风险图、数量表等方式将其描述出来，以利于管理者针对不同的风险类型采用不同的风险管理策略。
例如，某公司对以下9项事件发生的可能性和影响程度进行了定性评估，风险①发生的可能性为“低”，风险发生后对目标的影响程度为“极低”；……；风险⑨发生的可能性为“极低”，对目标的影响程度为“高”……。绘制风险图如图1.
可能性↑
| 极高 | ⑥ | ||||
| 高 | ② | ⑧ | |||
| 中等 | ⑤ | ③ | |||
| 低 | ① | ④ | ⑦ | ||
| 极低 | ⑨ |
极低 低 中等 高 极高 影响程度
图1
通过图1可以直观地看出各类风险的大小，从而确定风险管理的优先顺序和策略。对风险①公司可以采用风险接受的策略，即不再增加相应的管理措施；对风险⑥、⑧应给予高度重视，可以采用风险规避或风险转移策略；对其他风险可以通过优化控制流程等管理方式来减少或控制风险。
风险反应
所谓风险反应，就是在对风险从单独或关联角度、业务层次和公司总体层次进行评估后，根据各类风险的大小而采取的相应的管理策略。
管理者会采用整体风险或组合风险的观点，根据风险的评估结果，通过成本与收益分析确定相应的风险管理策略，将公司剩余风险控制在可承受范围内并与公司风险偏好相一致。
1.风险反应的类型
企业的风险对策大致有四种类型：
风险回避。企业现有的活动会带来风险，管理策略之一就是回避这种风险。例如，IT企业考虑到软件外包业务的激烈竞争而不参与；再如，企业剥离并出售既有的风险较大的业务或分部等。
风险减少。这一风险管理策略是为了减少风险发生的可能性或后果，或两者兼而有之。例如，企业从事的某项研发活动存在较大风险，公司管理者不是不搞研发，而是对研发投入设计一个上限（如一年最多投入1000万元人民币等），并通过完善研发流程来提高研发的效率与效果，通过设限和完善内部流程来降低风险。再如，根据公司各业务单元的风险分布，调整战略，重新分配资源等。
风险分散。通过转移或共享风险来减少风险发生的可能性或后果。例如，公司的某种设备比较关键，可以通过购买相应的财产险等来减少风险；为降低汇率变动对公司出口收益的影响，可以采用相应的套期管理办法；对某些重大的加工或制造业务可以采用分包经营策略；与其他厂商成立合资公司共同经营或战略合作关系，等等。
风险接受。不采取相应的对策，一切顺其自然。比如，公司有一批使用多年、尚未进行处理的电脑，其市场价值已经较小（仅值几万元），存放在公司的一个仓库中。公司如果雇一员工专门履行保管责任，则得不偿失。对于存在的失窃风险，公司接受而不采用相应的对策。
上述企业风险管理的四种策略都是根据企业的风险偏好或风险承受度来制定的。风险回避策略指采用其他的任何风险管理方式，都不能使风险降低到企业可接受的水平上。风险减少和风险分散管理策略就是通过这些策略的实施，使剩余风险与公司的风险偏好或者说风险承受度保持一致。风险接受意味着内在风险已在公司的风险可承受范围之内。
某些风险的管理策略比较容易确定，例如，对于一些市场价值较小、非主要存货的失窃的管理等；而对于另一些风险来说，相应的管理策略的确定比较困难，例如研发风险、新产品推出时间、价格方面的风险管理等。
2.评估风险管理策略
对同类的风险，可以有不同的风险管理策略。比如，对于出口企业来说，汇率变动对其影响较大，企业可以采用套期、利率互换、或者在合同中约定固定汇率等方式来管理风险。同样，对不同的风险，也可以采用相同的管理策略。比如运用风险分散策略（如购买各种保险、与其他公司建立战略合作关系）等来降低或管理经营风险、财产风险或财务风险等。
因此，我们需要根据风险的性质与大小，选择不同的风险管理策略：
首先考虑风险管理策略实施后对风险可能性与后果的影响，确保这种风险管理策略与企业的风险承受度相一致；
对风险管理策略进行成本与收益分析。风险管理策略的成本包括直接成本，间接成本，有时还需要包括机会成本。风险管理策略收益的计算往往比较困难。例如，对员工培训的投入，肯定有收益，但收益有多大？常常难以量化。在许多情况下，风险管理策略的收益是结合相关目标的实现来进行评估的。
在处理特定风险时不能忽略潜在的一些机遇。事件有有利事件和不利事件，风险管理策略的目的也不能仅为了降低已确认的风险。企业管理者可以根据实现情况，采取一些创新的管理策略。比如，汽车保险公司对于某些事故高发的路口，可以提供资金来改善交通信号灯，以此减少事故发生的频率，减少事故赔付。
3.选择管理策略
在对风险管理的各种策略进行评估后，管理者需要确定某一风险管理策略或策略组合，以使风险发生的可能性与后果在公司可承受的范围内。仍续前例见表3.
表3
目标、事件、风险评估与风险反应
| 运营目标 | n 制造部门新聘合格员工200名 n 人工成本占产品成本的比率维持现有水平（约20%） | ||||
| 衡量指标 | n 合格的新员工数 n 产品成本中人工成本比率 | ||||
| 风险承受度 | n 合格的新员工数180—200名 n 产品成本中人工成本的比例为20%—22% | ||||
| 风险 | 内在风险评估 | 风险反应 | 剩余风险评估 | ||
| 可能性 | 影响 | 可能性 | 影响 | ||
| 合格员工招聘不足 | 40% | 员工招聘数短缺25%，24个岗位的需求无法满足 | 与第三方签订合同，招聘员工 | 20% | 员工招聘数短缺10%，9个岗位的需求无法满足 |
| 学历要求过高，人员结构失衡 | 50% | 高学历人员比例提高30%，人工成本占产品总成本的比例将提高3% | 重新审视招聘，每年修订职位说明 | 20% | 高学历人员比例提高10%，人工成本占产品总成本的比例将提高1% |
| 与风险承受度的一致 | 预计风险管理策略实施后，公司的该类风险控制将被控制在可承受范围内 | ||||
需要注意的是，风险管理策略并不需要将风险降低到最低。风险管理的真正含义是当某一风险管理策略实施后的剩余风险高于公司的风险承受度时，公司的管理者需要重新审视相应的管理策略，修正管理策略以使剩余风险与公司的风险承受度相一致。在某些情况下，重新考虑公司的风险偏好与风险承受度。
当一个企业的风险管理策略确定后，下一步就是考虑如何实施，这构成我们下一讲的内容。
4.组合风险
企业的风险应当从公司整体（组合风险）角度来加以考虑。管理者一般是先对各业务单元风险、部门风险或职能风险进行分析，然后再从整体上看公司的剩余风险是否与公司的风险偏好相一致，是否能够保证公司目标的实现。
从各个单元来看，其剩余风险可能在单元的风险承受范围内，但各单元的剩余风险相加，可能超过公司整体的风险偏好，这时就需要追加采用相应的风险管理策略，或改变原先确定的风险管理策略。相反，各单元之间的风险也可能互相抵消，或者一个单元的风险较高而另一单元的风险较低。当公司整体风险在公司的风险偏好范围内时，不需要再采用另外的风险管理策略。
