风险管理的程序包括哪些：五步闭环流程

风险管理的程序包括哪些，按ISO31000:2018标准的定义，完整流程由环境设定、风险识别、风险分析、风险评价、风险应对、沟通监控六个环节组成，且不是一次走完就结束，而是需要持续循环的闭环。你在企业里落地时，通常把它压缩成"识别—评估—应对—监控"四步走，每一步都要有明确责任人、输出文档和复盘节点。这套程序适用于年营业收入5000万元以上、有合规审计要求的企业，年营收低于1000万元的微型团队直接用清单式排查即可，不必照搬完整流程。

核心就一句话：先找风险，再排优先级，然后出手控制，最后回头看效果。

风险识别：把潜在问题全部列出来

风险识别要覆盖战略、财务、运营、合规、市场五个维度，你可以用头脑风暴、检查表、流程图分解三种方法交叉验证。具体操作上，把企业最近三年发生过的损失事件翻出来，按业务环节重新走一遍流程，标注每个环节可能出问题的节点。识别阶段最容易遗漏的是间接风险，比如汇率波动、核心员工离职、供应链中断——某制造企业2023年因为没把上游芯片断供列入风险清单，导致产线停工47天，直接损失超过2000万元，事后复盘时才发现这个风险在采购流程里完全没有对应责任人。

风险分析与评价：判断要不要管、先管哪个

分析阶段要回答两个问题：这个风险发生的可能性有多大？一旦发生，影响金额或损失程度是多少？你用"可能性×影响程度"的二维矩阵打分，可能性从1（极低）到5（几乎必然），影响程度同样五级，两个分值相乘得到风险值，再按分值区间划分等级。评价阶段就是把风险值和企业预设的风险承受度比对，超过承受度的列入优先处理清单，低于承受度的接受并留档观察。打分时不要只由风控部门闭门完成，要拉业务部门一起评，一线对概率的判断通常比职能部门更贴近实际。

风险应对：四种策略按场景选

风险应对有四种基本策略：规避、降低、转移、接受。规避是直接停止导致风险的活动，比如放弃进入某个高风险市场；降低是通过控制措施减少发生概率或损失，比如加装消防系统、设置双人复核；转移是把风险转给第三方，典型做法是买财产险、签外包合同把操作责任转移出去；接受是自己承担损失，适用于风险值低、应对成本高于损失本身的情况。选择策略时要算一笔账：应对成本不能超过风险一旦发生的预期损失，否则不如直接接受并计提准备金。

四种策略不是二选一，同一风险可以组合使用。

监控与沟通：闭环最后一环

监控环节要定期复查已识别风险的状态变化，同时扫描新出现的风险。你可以每季度开一次风险评审会，对照上一次的清单逐项确认：控制措施有没有失效、风险值有没有变化、有没有新增风险点。沟通过程要贯穿始终，风险信息要及时传递给管理层和一线岗位，不能只锁在风控部门的文件夹里。ISO31000:2018特别强调记录与报告，每一步的识别依据、评分过程、应对决策都要留档，这样外部审计或监管检查时才能说清楚每个判断是怎么来的。

该流程的适用边界很明确：ISO31000是通用框架，不规定具体行业的阈值，金融、化工、医疗等强监管行业必须同时遵守本行业的专项规范，比如银行业要符合原银保监会发布的《商业银行操作风险管理办法》，化工企业要对接《危险化学品企业安全风险分级管控体系建设指南》，不能只用通用标准代替行业监管要求。

风险清单的更新频率建议不超过半年一次，超过半年没复盘的清单参考价值会大幅下降。