《网络安全设备公司风险管理评估_参考.docx》由会员分享，可在线阅读，更多相关《网络安全设备公司风险管理评估_参考.docx（57页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、泓域/网络安全设备公司风险管理评估网络安全设备公司风险管理评估目录一、 风险管理的目标2二、 风险成本的影响7三、 什么是风险成本7四、 风险成本的构成11五、 巨灾风险的现状和发展趋势15六、 巨灾的定义及特点16七、 巨灾风险保险与再保险18八、 主观风险源20九、 客观风险源21十、 在运用风险清单的过程中，还需要配合以其他辅助方法作为补充，才能识别出风险清单中没有包括的一个企业的特殊风险。风险识别的辅助方法有很多，常用的有财务报表分析法、流程图法、事故树法、现场检查法和风险形势估计法等。在实践中，这些方法也都不是面面俱到，各种方法是相互补充的。24十一、 风险清单是指一些由专业人员设计
2、好的标准的表格和问卷，上面非常全面地列出了一个企业可能面临的风险。这些清单都很长，因为它们试图将所有可能的损失暴露全部囊括在内，清单中的项目包括修理或重置资产的成本，伴随资产损毁的收入损失以及承担法律责任的可能性等。使用者对照清单上的每一项都要回答：“我们公司会面临这样的风险吗？”在回答这些问题的过程中，风险管理者逐渐构建出本公司的风险框架。33十二、 公司概况35公司合并资产负债表主要数据36公司合并利润表主要数据36十三、 产业环境分析37十四、 发展现状37十五、 必要性分析39十六、 经济效益分析40营业收入、税金及附加和增值税估算表40综合总成本费用估算表42利润及利润分配表43项目
3、投资现金流量表45借款还本付息计划表48十七、 投资方案分析49建设投资估算表51建设期利息估算表52流动资金估算表53总投资及构成一览表54项目投资计划与资金筹措一览表55一、 风险管理的目标1.营利公司的总体目标对于营利公司来说，我们已经通过实例说明了，风险会减少企业价值，那么，对风险进行管理就是要尽量减缓这种减少。事实上，企业价值是企业管理中一个核心的问题，当今财务理论的基本理念就是“价值最大化”，风险管理的目标和企业目标是一致的，也是要使得企业价值最大化。如果将风险成本定义为企业价值的减少，则风险成本最小化和企业价值最大化就是等价的。风险管理通过使得风险成本最小化来实现企业价值最大化，
4、我们将风险成本最小化看做是营利公司风险管理的总体目标。具体地，它通过对以下两个方面的影响而实现：（1）净现金流的期望值风险管理措施要增加公司未来预期现金流入及减少公司未来预期现金流出，使之达到一个平衡点。（2）未来净现金流的变动风险管理者应在边际成本等于边际收益的条件下控制未来净现金流的变动，而降低未来净现金流变动的收益常以股东要求得到的风险补偿来体现，因为在期望净现金流定的情况下，由于未来净现金流的波动而引起的公司股票价格的下跌使得投资者在购买股票时要求得到更高的期望投资回报。由于风险成本之间的替代作用，这两方面又不是独立的，二者之间也存在一个平衡。2.非营利公司和政府机构的目标对于营利公司
5、来说，其价值最大化的目标源于营利公司的股东要求企业价值最大化，而非营利公司和政府机构不存在股东，它们的风险管理目标是什么呢？虽然它们没有股东，但并不意味着其运作就没有约束，非营利公司有来自捐款者的约束，政府有来自纳税人的约束，它们要向这些委托人提供价值最大化的产品或服务。0如果将风险成本看做非营利公司和政府由于风险而导致的行为价值的减少，那么它们的风险管理目标就是实现这些委托人的风险成本最小化。在这个总体目标下，非营利公司在日常决策中的一些准则可能会和营利公司有所不同。例如，非营利公司会更看重巨大损失对客户造成的负面作用，因此，对于巨额损失的管理可能就会付出更多的成本。又如，政府通过贷款或税收
6、筹措资金的能力显然比营利公司强，因此，在选择损失融资措施时就可以得出不同的结果。再有，非营利公司和政府机构一般不缴纳收入所得税，这也会对决策的具体选择产生影响。3.个人和社会的目标个人的追求是基于自身效用函数的个人财富最大化，而在前面个人面临交通风险的例子中我们看到，风险的成本减少了个人财富，因此，如果把风险成本定义为由于风险而造成的个人财富的减少，那么个人风险管理的目标也是风险成本最小化。所谓社会的风险，也就是个人风险和企业风险的总和。综合起来看，当所有的个人和企业所采取的损失控制、损失融资和内部风险抑制等手段的边际成本等于社会总期望损失成本、残余不确定性成本以及无形成本2的边际减少时，就达
7、到了一种有效风险水平，此时能够实现全社会总风险水平最小化，这就是社会风险管理的目标。4.企业目标和社会目标之间的冲突前面我们说明了企业风险管理和社会风险管理的目标，我们当然希望企业在进行风，险管理的过程中，也会同时达到社会风险管理的目标。那么，这二者的目标是一致的吗？也就是说，企业实现了风险成本最小化的同时是否也实现了社会风险成本最小化？这里所谈论的风险管理的风险成本最小化的目标，实际上是价值最大化这个目标的实现方式，只不过强调风险成本最小化比强调价值最大化更具体、更形象。上面这个问题的关键之处就在于，企业风险管理的目标是为了实现股东的价值最大化，而社会风险管理的目标是社会全体成员的一个平衡的
8、价值最大化。企业只有当股东价值受到威胁时，才有动机进行风险管理，例如，如果公司的员工明显感觉到要面对安全隐患，那么公司为了吸引雇员就必须支付更高的薪水，这时公司就会有动机改进安全条件，从而节省薪水方面的支出，同时还可以节省由于伤害的发生而必须支付的法律赔偿。但股东的价值和公司其他主要利益人的价值并不总是一致的，甚至是背道而驰。因此，一个健全的社会制度会对企业有所规范，使得那些企业价值和社会价值冲突的方面会在规范下达到一定的平衡，换句话说，这些规范使得企业在进行决策时，不仅考虑私人成本，而且还要考虑社会成本。当私人成本和社会成本相等时，企业风险最小化的风险管理决策就能同时实现社会总风险成本最小化
9、。什么时候私人成本低于社会成本呢？为了简要说明这一点，我们可以举一个例子。假定一个社会不存在员工赔偿法，也没有法律责任体系可以使员工在遭受了公司伤害后要求赔偿，同时，个人又低估了伤害风险，那么，员工伤害对于企业来说就不是风险，以股东价值最大化为运作目标的企业可能就不会考虑这一未来的不确定事件可能对员工造成的伤害，这就可能使得员工在岗位上受到伤害的风险大大增加。这种情况就是私人成本和社会成本不相等造成的。如果一个社会中存在必要的法规可以保证私人成本基本上和社会成本相等，那么使企业价值最大化的决策就会有助于实现社会总风险成本最小化的目标。二、 风险成本的影响风险对企业价值的影响体现在风险成本对公司
10、未来期望净现金流及其变动的影响上。我们再来看前面割草机的例子。由于责任风险的存在，公司不管怎么做都会面临风险成本。首先，保险费、其他损失融资成本、损失控制成本、内部风险抑制成本和风险管理部门费用都会增加公司未来预期的现金流出。一方面，这些风险成本中的绝大部分，甚至是所有的因素都可能使得割草机公司提高这种新产品的价格，而价格的提高势必导致需求减少。另一方面，在一定的价格水平下，伤害风险可能会使得商店里的销售员不那么热心地向消费者推荐这一产品，这又会减少公司未来预期的现金流入。两方面的结果使公司未来净现金流减少，企业价值降低。其次，残余不确定性导致了公司未来净现金流的变动，这也同样降低了企业价值。
11、三、 什么是风险成本我们先来讨论为什么说风险是有成本的。风险有的时候指的是损失的期望值，有的时候指的是现金流相对于期望值的变动。下面的两个例子说明了这两者会对处于风险之中的企业和个人造成什么样的影响。第一个例子是关于企业风险的。假设某公司正在研制一种家用小型割草机，这种割草机上的一个部件容易松动，一旦脱落，很可能击中使用者。因此，这种割草机给公司带来产品责任赔偿的可能性较高。也就是说，这家公司面临产品责任风险。那么这一风险对这家公司有什么影响呢？我们说，它可能会带来一些成本。首先，如果公司将这些风险自留，不采取任何措施来改变现状，则一旦发生了由部件脱落造成的人身伤害事故，公司就必须应付法律诉讼
12、并进行赔偿，这会增加企业的期望损失成本。其次，如果事先采取一定的损失控制手段，例如在产品研制阶段增加投入并进行安全性测试，就可以减少法律诉讼以及伤害赔偿的期望成本，但损失控制措施本身的成本也很高。最后，如果公司购买责任保险以转移这种风险，那么虽然最终可能发生的法律诉讼以及伤害赔偿的成本将会由保险公司负担，但保险本身是有成本的，保险费中除了包括风险损失的期望值以外，还包括保险公司日常管理的开支以及保险公司期望达到的合理，的资本回报。而且，如果存在没有被保险覆盖的风险，如免赔的损失或超过责任保险范，围的损失，就会造成公司在未来任一给定时期内的成本不确定。再来看一个个人风险的例子。假设一个人在开车上
13、班途中可能遭遇交通事故，也就是说，他面临交通事故的风险。第一，他可以对此不加任何处理，也就是将风险自留。自留风险使他可能要自己承担身体上的伤害以及汽车损坏导致的损失，还可能由于对别人也造成了伤害而面对法律诉讼。第二，这个人如果想要控制一下风险，例如通过减少开车的次数来降低风险事故发生的可能性，则虽然可以降低风险自留时的损失，但这就意味着有更大的可能要么待在家里，要么使用其他的交通工具，例如自行车或公交车，而这些交通工具一是不如自己开车方便，另外也都不是百分之百安全。第三，这个人可能会从提高预防能力着手，比如更加小心地驾车，这就可能使得花费在整个路程上的时间更长，或者这种注意力的更加集中使得他在
14、开车时不能思考其他的事情。这些都是成本。第四，他还可以买保险，比如汽车保险和人身安全保险。而购买保险的保险费中除了包括用来支付损失金额的一部分以外，也会包括保险公司日常管理的开支以及保险公司期望达到的合理的资本回报。而且即使投了保，也有可能发生实际损失大于保险金额的情况，这增加了未来的不确定性。第五，事故还会给这个人造成无法用保险解决的间接损失，比如说在修理汽车的过程中以及向保险公司索赔的过程中损失的时间。由上面这两个例子可以看出，风险是有成本的。我们将由于风险的存在和风险事故发生后，人们所必须支出的费用和预期经济利益的减少称为风险成本。风险成本的概念无论对于上面两个例子中的纯粹风险，还是对于
15、投机风险都是适用的。比如，对一个在生产过程中需要使用石油的制造商来说，会面临石油价格变动的风险，当石油价格变动时，产品价格通常不会立刻得到调整，因此，短期内石油价格的上涨会导致公司利润减少，石油价格下跌会导致公司利润增加。与纯粹风险的期望损失成本相对应，这个制造商使用石油也是有期望损失成本的，所不同的是，这里的期望损失成本主要指间接损失成本0，如石油价格的大幅上涨如果造成了生产缩减，或不得不使用替代能源维持生产，或被迫削减一些有利润的投资项目，那么就会导致间接损失成本的发生。这个制造商可以使用石油期货来降低价格变动的风险，但期货合约有交易成本。他还可以对原先的生产流程加以改造，以便使用其他能源
16、作为补充，这也就意味着要在损失控制方面增加支出。公司还可以通过分散经营以降低公司利润对石油价格变动的敏感度，或者通过信息投资以获取对石油价格更好的预测，这些也都是有成本的。四、 风险成本的构成风险成本可以分为有形成本和无形成本。1.有形成本有形成本指的是管理风险所花费的经济资源，包括：（1）期望损失成本企业所面临的一类主要风险就是纯粹风险，而将纯粹风险中的一些可保风险进行投保是风险管理中的常见做法，保险费中的纯保费部分就是期望损失成本，包括直接损失和间接损失的期望成本。我们在第一章中已经讨论过，企业纯粹风险导致的直接损失包括对损毁财产进行修理或重置的成本，对遭受伤害的员工进行赔偿的成本，对法律
17、诉讼进行辩护和赔偿的成本以及雇员死亡、生病的福利费用支付。间接损失包括由于直接损失使得生产缩减或中断从而导致的正常利润的减少和额外费用的增多，当损失较大时带来的更高融资成本、放弃的投资机会以及损失巨大时与公司重组和破产清算有关的法律费用和其他成本。在前文所述的割草机公司的例子中，直接损失的期望成本包括法律责任诉讼的辩护和赔偿成本。该例子的间接损失的期望成本包括：由于法律责任问题导致销售减少而带来的利润损失的期望成本；由于对产品进行回收而带来的期望成本；如果发生了巨大的责任损失，使得公司内部资金紧张并增加了公司借债或发行新股的成本，以及由此使得公司放弃了一些投资机会而导致的利润损失的期望成本。对
18、于投机风险，期望损失成本主要指间接损失成本，如上文的在生产中需要使用石油的制造商的例子。（2）损失融资成本损失融资成本是指损失融资措施的交易成本，包括专用基金和自保成本、保险费中的附加保费以及套期保值和其他合约化风险转移手段的交易成本。我们在第十二章将会详细讨论，风险自留时资金的来源渠道包括将损失摊入营业成本、专用基金、自保、应急贷款和特别贷款，其中，专用基金和自保都是事先提留资金备付，而其他三种方式都是待损失发生后再筹措资金，因此，这里的损失融资成本中只包括专用基金和自保的成本。专用基金和自保成本是指这些资金中扣除期望损失成本之外的部分，投资于这些资金而需要支付的税费及为了维持这些资金而使公
19、司无法对其他项目进行投资而造成的机会成本。套期保值和其他合约化风险转移手段的成本指的是这些交易的合同在拟定、协商和实施过程中的交易成本。这一项成本中不包括风险自留中的将损失摊人营业成本、应急贷款和特别贷款，是因为这些措施的成本在风险损失发生前无法确定，我们将之归为第（5）类。（3）损失控制成本管理风险的积极的做法之一就是事先采取各种措施预防和控制风险损失，与此相关的成本称为损失控制成本，如事先购置用于预防和减损的设备以及对各种风险因素定期检测等，以及其维护费、咨询费等，具体包括计划费用、资本支出和折旧费、安全人员费（培训费、薪金、津贴、服装费等）以及增加的机会成本。对上述生产割草机的公司来说，
20、在正式生产该产品前进行的安全测试成本就是一种损失控制成本。（4）内部风险抑制成本除自留以外的其他损失融资措施和某些类型的损失控制措施都可以降低损失的不确定性，即使得损失成本更易预见，而内部风险抑制的措施，即分散化和信息投资也同样具有这样的效果。内部风险抑制成本包括分散化的交易成本及管理这些分散行为相关的成本、对数据等信息进行收集和分析的成本。（5）残余不确定性成本实施了保险、套期保值、其他合约化风险转移合同、损失控制以及内部风险抑制措施之后，损失的不确定性通常并不能完全消除，也就是说，还可能发生这些措施没有覆盖的风险损失，这些风险损失的成本被公司主动或被动地进行了自留，我们将其称为残余不确定性
21、成本。对风险规避型的个人和投资者来说，不确定性带来的损失往往是代价很高的，例如，它会影响投资者在购买公司股票时要求得到的回报数额。（6）风险管理部门费用风险管理部门的支出主要指人员薪资与行政费用。2.无形成本风险成本中的无形成本主要指由于不确定性的存在，使得风险管理人员或企业决策者对此忧虑，如生产成本价格的波动会使得制造商深感忧虑，当然，忧虑的程度取决于多种因素，如不确定性的程度、潜在损失的大小、人们对损失的承受能力以及有关的心理因素。这种忧虑容易造成公司资源分配不当。首先，企业可能会放弃一些本来非常愿意从事的活动，例如，某一产品虽然有较丰厚的利润和广阔的市场，但企业考虑到潜在的责任风险而不生
22、产，这可能导致一些资源的浪费。其次，对于一些带有风险的活动，企业可能会减少从事的程度。最后，这种忧虑还可能造成一些投资的短期化行为。五、 巨灾风险的现状和发展趋势（一）巨灾风险的现状联合国国际减灾十年委员会于1994年在日本横滨召开的世界减灾大会上发表的灾情报告指出，世界上发生的大灾在过去20年间增加了数倍。根据新界定的大灾标准判断（财产损失超过该国国民收入的1%，受灾人口超过该国总人口的1%，死亡人数超过100人），1963年至1992年的30年中，全球共发生大灾1531起，受灾人口达30亿，因灾害死亡人数360万人，直接经济损失超过3400亿美元。20世纪90年代以来，灾情有增无减，全球由
23、于自然灾害而造成的保险损失居高不下。（二）巨灾风险的发展趋势近年来，年度巨灾风险损失呈上升趋势。导致这种趋势的原因很多，社会的经济发展以及人类对高风险区的开发利用都是重要的影响因素。诸如1992年美国佛罗里达州的Andrew飓风，1999年欧洲冬季的暴风雪以及2002年夏季欧洲的洪水等，这些损失上百亿美元的巨灾。六、 巨灾的定义及特点（一）巨灾的界定巨灾通常是指洪水、地震、飓风、火灾、暴风雨等破坏力强大的自然灾害即狭义的巨灾概念。2001年的“9.11”事件，更将“恐怖主义巨灾”这一新名词摆在了人类面前。此外，巨灾还包括航空、航海、宇航业等的重大事故。美国保险业界对巨灾有如下的定义：造成超过5
24、00万美元的财物损失且同时影响到多位保险人与被保险人，它通常是指突发的、无法预料的、无法避免的而且严重的灾害事故。0这个概念似乎更倾向于广义的巨灾概念一包括了以上列举的各种灾难。（二）巨灾风险的特点1.客观性巨灾风险是一种不以人们主观意志为转移的客观存在。人们可以采取以降低损失频率和损失幅度为目的的控制型措施进行风险管理，也可以将风险转移到保险公司或资本市场，但巨灾风险是不可能从根本上消除的。而且，对于某些灾害来说，例如水灾，一味地想要控制它，采取大量的工程性措施进行围堵是没有太多效果的，从长期来看，对付灾害的科学的做法只能是“和平共处”。2.损失巨大如果把巨灾造成的损失与普通灾害事故加以比较
25、，可以看出，虽然普通灾害事故发生的频率高，但每一次事故造成的损失较小；而巨灾发生的频率虽然低，但其一旦发生就会造成巨大损失。如一次火灾事故可以烧毁一幢建筑物或数幢建筑物，从而造成几万、几十万甚至上百万的损失，但一次大地震、大洪水则可导致一个大范围内的众多建筑被破坏，从而造成数亿、数十亿甚至更多的损失。例如，1993年美国西部洪水造成的经济损失高达120亿美元，1995年，日本的阪神大地震造成的损失估计高达1200亿美元。3.不确定性程度高由于巨灾发生概率小，发生机理复杂，可供研究的历史资料少，因此，人类对巨灾风险的认识与评估尚在探索之中。4.不完全满足可保风险的条件完全可保风险的特征包括损失的
26、可预测性，以及足够多的同类或相似的承灾体，而且这些承灾体不会因大的灾难全部或大部分受损，这是由保费厘定的基础一大数定理决定的。对于这两个条件，严重的地震、洪水和风暴潮等巨灾都没有满足。首先，数据的不完备以及发生机制的复杂性使得人类对某些巨灾的发生频率估计还处于研究阶段。其次，巨灾往往造成同类或相似承灾体的大面积损失，而且较为严重。这就使得对巨灾风险的管理不能单纯依靠商业保险。七、 巨灾风险保险与再保险传统观点认为，对付巨灾风险最好的办法无过于进行再保险。关于这一点，许多学者都通过建立模型给予了严格的证明。但实际上的情况又是如何呢？一般而言，一次巨灾发生以后，对于保险公司而言，一般都有正反两方面
27、的效果。负面效果就是它要支付更多的损失赔偿，但同时巨灾的发生也有助于提高人们的风险防范意识。因此一旦例如洪水、地震、飓风这样的巨灾发生以后，投保的人数也会大为增加，保险公司就可以相应提高保费，并获得更高的收入。但奇怪的是，现实的情况正好与此相反。一旦一次巨灾发生以后，保险公司非但不积极提供这方面的保险，反而往往会把这个风险列为除外责任，对它的投保也加上一系列非常严格的限制。最典型的一个例子莫过于“9.11”事件以后，许多美国保险公司不仅不趁此机会销售“恐怖袭击保险”，反而纷纷在保单中把“恐怖主义”列为除外责任，不予保险。而且即便保险，也要加上非常严格的限制。随着承保损失的增加，再保险的比例逐渐
28、下降。而且在实际中，再保险的保费也是远远高于期望损失。通过许多保险公司的做法，我们可以发现，与理论的预测正好相反，现实中的保险公司对于那些巨灾损失，往往不是通过再保险的方式将其转移出去，而是把它自留下来。由此可见，在现实世界中，再保险并没有像理论预测的那样发挥其应有的作用，甚至它的表现还让人感到非常失望。比如，一旦一次巨灾发生以后，许多再保险公司往往不是在考虑积极进入该行业，而是在考虑是否应该部分或全部退出该行业。另外一些评级机构，如Moody也纷纷调低对再保险公司的信用评级。也就是说，在这个问题上，现实与理论之间存在着巨大的差距，这也被称为“再保险之谜”。造成这一现象的原因主要有：（1）资本
29、市场的缺陷由于资本市场是不完善的，巨灾风险发生以后，保险公司不可能一下子就从资本市场筹措到大量的资金以进行赔付。这就要求保险公司拥有大量的流动性很强的资产以应付突然出现的赔付，但一系列因素（如会计、税收、被收购的风险等）却使得保险公司不愿意这样做。（2）再保险公司拥有市场势力当前的再保险市场由几家公司垄断经营（例如瑞士再保险公司、慕尼黑再保险公司等）。一个市场如果被几家公司垄断，它们往往就会采取少承保、提高保费的做法，以获取更高的利润。此外，再保险市场存在着严重的信息不对称，从而引发出道德风险与逆向选择问题；再保险公司内部在公司治理结构方面也存在代理问题等。由于再保险公司以及再保险市场的一些缺
30、陷，使得采用再保险来应付巨灾风险往往并不会达到最优的结果。八、 主观风险源风险是客观存在的，但人类对风险的认识却并不完全都是客观的，换句话说，由于我们所掌握的信息有限，或者风险管理者对风险的理解、估算的能力有限，实践中对风险的认识往往掺杂了主观的判断，而当主观判断和客观实际有差别时，就可能给面临风险的组织带来不确定性。这种不确定不是由它本来面临的客观风险造成的，而是由进行风险管理的人员造成的，我们将这种风险的来源称为认知环境。来自客观风险源和主观风险源的不确定可以分别被称为随机不确定和模糊不确定。随机不确定是自然界本身所具有的、一种统计意义上的不确定，是由大量的经历或试验所揭示出的一种性质。它
31、是指那些有明确的定义，但不一定出现的事件中所包含的不确定。例如投币试验就是一个典型的随机不确定的例子，我们无法确定未来一次投币的结果是正面还是反面，但有一点是肯定的，即其正、反面出现的概率皆为0.5。由此可知，随机不确定不是由于人们对事件不了解，而是由于事件结果所固有的狭义的不唯所造成的，即虽然结果是正还是反不能唯一确定，但结果的概率分布唯一确定。又如“一个县在某一年的水灾受灾面积占当年播种面积的比例大于10%”这个事件是有明确定义的，但在未来的任何一年里，谁都无法预料它是否一定发生，而只能给出一个概率值，表示其在未来任何一年里发生的概率是多少。因此，我们用概率论来处理随机不确定。模糊不确定是
32、一种广义的结果不唯一，这里，不仅结果的取值不唯一，而且各种可能取值的概率也不能确定，即不能确定结果概率分布函数中的参数或函数形式本身。这种不确定是由于我们对系统的动态发展机制缺乏深刻的认识而造成的。由于我们对风险的认识决定了我们的行为，当我们对风险的认识和实际有差别时，事先的决策就可能是错误的，这就会带来新的损失。九、 客观风险源1.自然环境自然环境是最基本的风险源，地震、干旱和过度降水都可能导致损失，当然，它也可能是机遇的来源，例如，睛朗的天气就可能使旅游业收入增长。2.人为环境自然环境复杂多变，但随着对大自然的不断探索，人们已经掌握了很多规律，一些自然现象可以准确预测，还有一些自然现象可以
33、在概率的意义上预测，而人为环境由于有人的因素在起作用，其规律摸索起来就较为困难，在分析风险的来源时，可以将人为环境进一步细分如下：（1）社会环境社会环境是指人们的道德信仰、价值观、行为方式、社会结构和制度。当人们的道德信仰和价值观受到冲击时，就可能发生一些意想不到的事件，这些事件可能会影响到企业的生产和销售。此外，不同国家和地区的社会环境可能有很大差别。当一个公司要拓展国际业务时，就会面临社会环境带来的风险。例如，美国人和日本人在价值观和行为方式上有很大的差别，许多美国的商业经理在开始要进入日本市场时都觉得日本社会独特的价值观和道德标准给他们的业务带来了很大的不确定性。（2）政治环境政治环境主
34、要通过政府的政策对一个企业产生影响，如货币政策、财政政策等。在一个国家，政治环境可能是非常重要的风险源，尤其是国家领导人更换时，原来的很多政策就可能发生改变，从而对某些特定的企业产生重大影响。如减少对地方政府的资助、制定严格的有害废料处理条例等。政策的变化有时也会使企业受益，如我国的西部开发政策和东北发展战略，都会给这些地区的一些企业带来新的机遇。在国际领域，政治环境非常复杂，一些政府是民主政府，也有一些政府可能会对商业活动抱有敌意，外资可能被当地政府充公没收，税收政策也可能突然发生变化。跨国公司在识别风险时，都要考虑东道国的政治环境，风险经理要了解东道国政府是如何上台的、权力是如何交接的以及
35、政治管理中的参与者和政治组织机构是怎样一种状况。（3）经济环境企业的很多风险，尤其是市场价格风险，都和经济环境密不可分。虽然从一定程度上来说，经济环境可以直接从政治环境中延伸出来，但经济全球化、金融一体化也导致了经济环境中出现了一些前所未有的新变化。政府对经济环境有影响，但政府并不能完全控制经济环境。（4）法律环境在企业经营中，相当一部分不确定性来自司法系统。对于我国这样处于转型期的国家，法律也在随着市场情况的变化而进行调整，这些标准的变化很难事先预测。从整个国际环境的角度来看，各种不同法律体系的存在对企业提出了重大挑战，如果是跨国公司，那么就会面临非常复杂的法律风险，对于产品责任法、汽车责任
36、法、合同法和环境保护法这些与企业经营管理密切相关的法律，各国之间的条款可能有很大差别。（5）操作环境操作环境是指企业的运作和程序。对雇员进行提拔、雇佣和解雇的制度可能产生法律责任，生产过程可能使雇员面临人身风险，企业的活动可能危害环境，根据相应的环境保护法受到惩罚。操作环境也可能带来收益，因为操作环境是一个企业所提供的产品和服务的直接来源。十、 在运用风险清单的过程中，还需要配合以其他辅助方法作为补充，才能识别出风险清单中没有包括的一个企业的特殊风险。风险识别的辅助方法有很多，常用的有财务报表分析法、流程图法、事故树法、现场检查法和风险形势估计法等。在实践中，这些方法也都不是面面俱到，各种方法
37、是相互补充的。（一）财务报表分析法财务报表是企业一定期间内经济活动及其经济效果的综合反映，它记载了企业的大量经济活动情况，包括企业的建筑物、机器设备、产品种类、产品成本以及其他资产项目。财务报表还可以反映出企业内各部门之间的相互关系，企业对供货方、消费者的依赖程度，企业财务计划与财务状况，企业过去处理风险的财务开支以及过去曾发生的风险损失规模等。财务报表法是由克里德尔于1962年提出的。这种方法的优点是，首先，因为任何企业的经营活动最终涉及的不是现金就是财产，所以对这些项目进行研究会非常可靠和客观；其次，财务报表很容易得到，不像现场调查法或流程图法那样需要花费大量的时间实地采集资料和绘制特别的
38、图表；再次，应用财务报表法进行风险识别的结果也是用财务术语的形式表达的，企业中其他管理人员和银行家等外部人员易于接受；最后，虽然财务报表法在初期只是用来识别纯粹风险，但实际上因为财务报表中也包含投机风险的信息，所以这种方法也可以用来识别企业的金融风险。企业重要的财务报表有资产负债表、损益表、财务状况变动表等。通过资产负债表，我们可以得到损失暴露的信息，损益表中体现了公司业务盈亏风险的来源，财务状况变动表则反映了现金流量的风险。应用财务报表识别风险，关键是从损失暴露入手，先找出损失暴露，再设想可能对这些损失暴露有影响的风险源。以企业的建筑物为例，企业所拥有的建筑物通常在资产负债表中予以注明，出租
39、的建筑物以附注的形式注明，未来建筑物的购置在预算和战略计划中注明。明确了这些现有的和未来将有的建筑物之后，就能考虑与它们相联系的潜在损失，包括一旦发生损毁后的修理费用、内置的存货和设备的价值、建筑物无法使用时的收入损失以及雇员或客户在建筑物内受到伤害后导致的损失。如果是出租的建筑物，还要考虑它被损坏时对租赁合同的处置以及替代设施的成本。按照这样一种思维方式，利用财务报表就能够识别出企业面临的财产风险、责任风险和人力资本风险。（二）流程图法流程图法是指根据生产过程或管理流程来识别风险的方法。应用这种方法时，首先要将企业的生产运营过程按照各阶段的顺序绘制成图。流程图的类型有很多，按流程的内容划分，
40、可分为内部流程图和外部流程图；按流程的表现形式划分，可分为实物流程图和价值流程图。1.内部流程图与外部流程图只包含生产制造过程的流程图称为内部流程图，包含供货与销售环节的流程图称为外部流程图。2.实物流程图与价值流程图实物流程图反映的是某种产品从原材料供应到成品完成的生产全过程，除了像上述流程图那样将各个生产环节按照顺序用带箭头的连线连接起来以外，每个环节（如车间A、仓库B）中还标出产品名称，连线上则标出流动产品的数量。从实物流程图中可以明显看出各个生产环节之间的依赖关系。例如，车间A的产品供给车间C和D，车间C生产出的材料又供给车间E等。由于连线上标出了产品流动的数量，如果某个生产环节出现问
41、题，其他环节所受的影响就很容易推断出来。价值流程图和实物流程图非常相似，所不同的是，在实物流程图中，各环节中以及环节之间的连线上标出的是物品的名称和数量，而价值流程图标出的是物品的价值。3.流程图的分析流程图绘制完毕后，就要对其进行静态与动态分析。所谓静态分析，就是对图中的每一个环节逐一调查，找出潜在的风险，并分析风险可能造成的损失后果。例如对图5.1进行分析时，就要思考这些问题：“1号仓库和2号仓库面临火灾风险吗？面临水灾风险吗？”“着色车间的颜料和溶剂目前怎样放置？采取了适当的措施以防这些原料失火吗？地板是否干净，有没有可能导致工人摔倒？”“是否有某种危险对半成品库构成威胁？”“成品仓库有
42、没有防火设施？成品有没有可能被水浸泡？”类似于这样的问题都是针对单独某个生产销售环节的，而动态分析则着眼于各个环节之间的关系，以找出那些关键环节。例如，时尚制衣公司的主料和辅料在加工清洁后都要汇集到半成品库，然后再开始缝制，那么半成品库就是整个生产流程中一个非常关键的环节，一旦发生重大事故，公司将可能面临不能按合同如期交货而形成的产品责任风险。再如，公司有七成的原料来自供应商甲，一旦该供应商不能按期供货，就可能导致公司的连带营业中断。又如，时尚制衣公司的产品90%外销美国，那么，影响美国拒绝或减少购买中国成衣的因素，也是连带营业中断风险的来源。 由此可以看出，流程图法的思路是，依据供货、生产和
43、销售的程序，将公司的运作分成一个一个的环节，再逐一分析这些环节和环节之间的关系。这样更有助于识别关键环节，并可进行初步的风险评估。流程图法的优点在于清晰、形象，基本上能够揭示出所有生产运营环节中的风险，而且对于营业中断和连带营业中断风险的识别极为有效。但流程图只强调事故的结果，并不关注损失的原因，因此，要想分析风险因素，就要和其他方法配合使用。（三）事故树分析法事故树分析是美国贝尔电话实验室于1962年首先提出的。它最早被应用于空间项目，之后，这种方法得到迅速发展，并不断改进。事故树是一种树状图，由节点和连线组成，节点表示某一具体环节，连线表示这些环节之间的关系，这些都和流程图相似，但不同的是
44、，流程图关注的是风险的结果，而事故树关注的是事故的原因。它是一种逻辑分析过程，遵循逻辑演绎的分析原则，从某一事故的结果开始，分析各种可能引起事故的原因。事故树法既可以进行定量分析，也可以进行定性分析，既可以求出事故发生的概率，也可以识别系统的风险因素。同时，事故树简单、形象，逻辑性强，应用广泛。（四）现场检查与交流法有的时候，用上面这些方法仍然难以识别出全部的风险，所以风险经理到现场实地检查各个部门的运作是十分重要的，这是风险经理必须做的事情。通过直接观察企业的各种设施及进行的各项操作，风险经理能够深入了解企业的活动和行为方式。在进行现场检查前要做好充足的准备，对所要调查的部门及其风险暴露做一
45、个大致的了解，准备好现场调查表，对所调查的每一个项目进行填写。如果对某一个项目不是第一次调查，则要找出上次填过的表格进行对照。再次检查时就要重点检查减压阀是否修好了。现场检查的优点非常明显，风险经理可以借此获得第一手资料。同时，在实践中，虽然这是风险经理最直接发现风险的方法，但风险经理毕竟不可能时刻在生产经营的第一线，最了解企业运作的是一线人员，他们不一定都有非常敏锐的风险意识，但风险经理却可以从他们的介绍中觉察到风险。这样，在现场检查之余，和其他部门的交流就显得极为重要，而与各部门管理人员建立和维持良好的关系也有助于管理的促进。这种交流既可以是口头的经常性报告，也可以是书面的定期报告。一套完
46、善的交流制度是现场调查的有效补充，风险经理通过这种交流不仅可以认识到现场调查时没有发觉的风险隐患，还能随时掌握在两次现场调查之间出现的新风险。现场检查方法最大缺点就是需要花费大量的时间，成本较高。（五）风险形势估计法以上各种方法主要针对已经存在的生产流程或操作环节，而对于拟建设的项目，可以应用风险形势估计法。1.资料的收集资料和数据的完备性直接决定着风险识别的成功与否，尤其对于拟筹建的项目，因为项目运作以后的各种情况在当前来说都是预想的，因此，那些将要成为事实的信息就更为重要，风险管理者要从这些信息中发现风险的迹象。这些资料包括项目本身的情况、项目的环境以及二者之间的关系，具体包括：（1）项目
47、产品或服务的说明书项目完成之后，要向市场或社会提供产品或服务。项目产品或服务的性质涉及多种不确定性，这些不确定性在很大程度上决定了项目将会面临什么风险。例如，对于一个加工皮革的项目，用什么样的原料、工艺和设备，技术人员和工人的层次，产品的销路是否可以预知，销路如何等，这些信息在项目产品或服务的说明中都有记载。一般而言，在所有其他风险因素相同的情况下，需要成熟技术的产品面临的风险将会比需要创新和发明的产品少。（2）项目的前提、假设和制约因素项目的建议书、可行性研究报告、设计或其他文件一般都是建立在一些假设、前提和预测的基础上，但这些前提和假设在项目实施期间也有可能并不成立，因此，项目的前提和假设
48、之中就隐藏着风险。任何一个项目都处于一定的环境之中，受到一些内部和外部因素的制约。这些制约因素中，有的是项目活动主体无法控制的，例如法律、法规和其他规章等。例如，对于某个收费公路项目，政府规划部门规定了公路线路，要求施工时不得破坏沿线自然环境，收费标准必须报批，投资者的资本金必须超过项目预算的40%，雨季不能施工等。这些无法控制的制约因素中也隐藏着风险。为了找出项目的所有前提、假设和制约因素，应当对项目的一些管理计划进行审查。例如，范围管理计划中的范围说明书能够揭示出项目的成本和进度目标是否定得太高，审查其中的工作分解结构，可以发现不易注意到的机会或危险。又如，对人力资源与沟通管理计划进行审查，可以发现哪些人员对项目的顺利进展有重大影响。再如，项目采购与合同管理计划中有关于采取何种计价形式的合同的说明，采用不同形式的合同，项目管理者将要承担的风险也不同。一般情况下，成本加酬金合同有利于承包商，不利于项目业主，但如果预测表明项目所在地的经济不景气将继续下去，则由于人工、材料等价格的下降，成本加酬金合同就会给业主项目管理者带来机会。（3