ISO31000标准提供了风险管理的原则与实施指南
Theory
2011.726中国内部审计企业风险管理是一个复杂而抽象的实践过程，这方面的专业技术仅是组织开展日常工作的工具。就像一句隽语，即使是理解企业风险管理框架（ＥＲＭ）的人们，最后还是要理解那几个易于掌握的基本原则，其中一个原则就是风险管理是每个人工作的一部分。事实也是如此，如果不了解如何进行风险管理，那么在日常工作中就不可能始终关注工作中的风险，就不可能很好地履行职责。但问题在于，不是所有的ＥＲＭ专家都认可这些基本原则，即使认可也会有不同的理解。两个组织即使风险管理起点相同、原则相同、使用术语相同，也不会按照相同的方式实施ＥＲＭ。事实上，ＥＲＭ也没有要求两个组织使用同样的方法，因为风险管理实务在组织之间是存在差异的，有各种各样的风险管理方法。深谙风险管理复杂性并接受ＥＲＭ方法有效地控制风险的需要是风险管理新的推动力。这就是，全球经济衰退使许多包括金融服务行业在内的组织，暴露了自身风险管理的不足，而税收和政府财政压力也促使公共机构和非营利组织重新审视自身风险管理的实施情况。ＩＳＯ３１０００标准提供了风险管理的原则与实施指南◆ （英）尼尔·贝克◆ 夏青 编译一般来讲，如果一个组织打算尽可能地提升风险管理水平，就要运用风险管理最佳实践的模型，并将其作为基准点。确定风险管理模型是内部审计师对所在组织风险管理质量进行评价的第一步。现在，有许多风险管理模型可供考虑，如特恩布尔指南（ＴｈｅＴｕｒｎｂｕｌｌ Ｇｕｉｄａｎｃｅ）在英国就非常普遍地使用，ＣＯＳＯ指南也被广泛应用于美国和其他国家。但要建立一套国际风险管理标准却很困难。２００９年，日内瓦的国际标准化组织发布了ＩＳＯ３１０００标准（以下简称ＩＳＯ３１０００）：风险管理——原则与实施指南，提供了风险管理的原则和一般性指导方针，可适用于任何类型组织的风险管理。一、ＩＳＯ３１０００应用的广泛性澳大利亚和新西兰风险管理委员会主席格兰特·珀迪，参与了ＩＳＯ３１０００的编制并在其中发挥了重要作用。他说，这是第一个真正用于全球的标准，在过去的２０多年，风险和风险管理已经在许多标准和法律中有所强调，并且这些标准和法律大多相互关联，具有相似性，但不具有普遍性。ＩＳＯ３１０００基于简单原则，为风险管理提供了相应的框架，描述了风险管理流程的最佳实践以及流程所体现的特性，具有灵活性。 ＩＳＯ３１０００认为，一个组织进行风险管理的最佳方式是组织对于风险应该保持“结构化和持续性”的内部沟通，应该在内部环境和外部环境中识别风险，要考虑政治、社会的变化以及商业道德和战略等。ＩＳＯ３１０００提出，风险应该通过规范的、结构化的流程进行识别；应该有适当的技术，对每一种风险的可能性和后果进行分析；必须有一种方法，按重要性对风险进行排序，划分出风险管理的优先次序，做出比较合理的处置风险决策。同时，整个流程应得到复核和监控，其中包括对已识别风险所采取的行动跟进。风险管理流程是风险管理框架中的组成部分，为设计、实施、监督、复核和持续性改进整个组织的风险管理提供基础和组织安排。组织安排是指计划、各种责任关系、资源和活动。ＩＳＯ３１０００概述了风险管理最佳实务的特性，包括能够明确不确定性；是业务流程和决策的组成部分；依赖最有效并适合组织的信息；充分考虑人类和文化因素，使人们能够在现实世界中予以实施；是动态的、反复的以及 理论国际交流理论 Theory国际交流
272011.7中国内部审计适应变化的，并具有透明性和包容性，随着组织在风险管理方面的不断改进而进一步加强，创造和保护价值。当然，实现部分目标要比实现全部目标更容易些。二、ＩＳＯ３１０００对内部审计的作用ＩＳＯ３１０００为内部审计师提供的目标是清晰、明确的，其中，第２１００条：风险管理工作的性质要求内部审计机构应该通过应用系统的、规范的方法，评价并改善治理、风险管理和控制过程；第２１２０条：内部审计机构必须评估组织中风险管理的有效性，帮助组织不断改进风险管理。ＩＳＯ３１０００对内部审计机构、内部审计师在风险管理方面都提出了要求。２０１０年，ＩＩＡ将ＩＳＯ３１０００置于内部审计专业实务框架中，用以评价风险管理的适当性，并制定了相关指南。指南指出，内部审计机构能够对风险管理提供三种保证：主要风险管理流程要素适当，全部流程具有所必需的特性，组织变化和发展时风险管理能够随之改进。同时，ＩＳＯ３１０００可以作为模型的框架。ＩＩＡ指南的参与者、微软公司高级审计主管布莱恩·福斯特认为，对于内部审计师而言，无论能否推动风险管理工作的加强或者对风险管理的评价是否特别到位，ＩＳＯ３１０００都是一个非常有价值的工具，可用来衡量风险管理的履行、计划、执行和监督。三、ＩＳＯ３１０００的实用价值ＩＳＯ３１０００很接近或者说脱胎于澳大利亚和新西兰的ＡＳ／ＮＺＳ４３６０标准模型（以下简称ＡＳ／ＮＺＳ４３６０）。ＩＩＡ澳大利亚专业服务委员会副主席、毕马威会计师事务所（ＫＰＭＧ）董事麦克·帕金森认为，两个标准几乎完全相同。ＩＳＯ３１０００为评价组织流程控制体系提供了方式，并有助于内部审计师制订完整的审计方案，明确需覆盖的领域。正如帕金森所说，ＩＳＯ３１０００为内部审计师建立标准化模型提供了基础，为内部审计师开展风险管理流程的测试活动提供了基本原则，有助于内部审计师规划每项具体审计任务；同时，内部审计师不需要对每个事项进行测试或复核，重要的是识别最高的、优先级的风险，评价控制系统的适当性，评价控制系统设计是否针对经营管理活动中存在的风险。帕金森高度评价ＩＳＯ３１０００提供的风险确认和分析方法，认为可用来设计控制系统以及组织对风险管理实务的评估，且简单、易做，具有完全的独立性。由于组织的风险管理专家和内部审计师有很多共同目标，所以最好能通过一种共同的语言和方式加强合作。ＩＳＯ３１０００为风险管理确定了被广泛认可的规范词汇，意味着不仅是风险管理人员之间用同一种语言进行沟通，而且与内部审计师也能够进行良好的沟通和相互理解。帕金森认为，当ＩＳＯ３１０００提出具有吸引力的共同术语的同时，一些关键术语的定义与ＩＩＡ的定义却存在一定的差异，例如风险偏好、风险容忍度等。这意味着，当风险管理人员、内部审计师与管理层进行讨论时，一些同字不同意的词汇可能会导致混淆甚至争议。其实，内部审计师一般习惯使用客户的语言而不是审计语言，但对同字不同意的词汇的问题，内部审计师也很难解决。四、ＩＳＯ３１０００是着眼全局的风险管理标准ＩＩＡ澳大利亚分会发布基于ＩＳＯ３１０００的确认实务指南。安德鲁·麦克劳德认为，ＩＳＯ３１０００在合适的层面上建立了一个框架，不仅停留在纸笔上，具有可操作性。 ＩＳＯ３１０００提供的方法，有助于组织将其融入风险管理，使风险管理活动更加有效，风险管理方案和风险管理效果更具有可持续性。加拿大多伦多Ｒｉｓｋ Ｏｖｅｒｓｉｇｈｔ公司的首席方法论师提姆·里氏认为，ＩＳＯ３１０００是风险管理“简洁形式”的象征，但并不是内部审计师的“万能药”。内部审计机构仍然是主要的风险分析家和风险与控制的报告者，负责对大多数常规风险的控制进行评价。ＩＳＯ３１０００要求内部审计师对其自身为重要因素的某一流程进行评价，必然会对其独立性和客观性产生质疑。美国加州圣何塞市ＳＡＰ公司副总裁诺曼·马克将ＩＳＯ３１０００视为一个有价值的文件，但强调其局限性。他认为，ＩＳＯ３１０００没有讨论企业内是否需要开展风险管理，也没有讨论有关风险管理活动的设计，忽视对风险反应时间的要求以及与风险波动性相关的风险管理设计。这些“不足”会影响其使用以及内部审计师对某些方面的关注，如ＩＳＯ３１０００不强调内部审计师应具备充分的风险文化，却要求风险管理必须适应组织的文化。应该认识到，一个框架不会持续不断地提供现成的解决方案，ＩＳＯ３１０００的使用同样需要量体裁衣。（来源：ＩＩＡ《内部审计师》２０１１年４月刊，编译者单位：银联商务有限公司，邮政编码：２０１２０３，电子邮箱：ｘｉａｑｉｎｇ５１７＠１２６．ｃｏｍ）
ISO_FDIS_31000_风险管理最终发布版中文翻译稿
ISO_FDIS_31000_风险管理最终发布版中文翻译稿
ISO/FDIS31000Risk management — Principles and guidelines
Foreword前言
ISO (the International Organization for Standardization) is a worldwide federation of national standards bodies(ISO member bodies). The work of preparing International Standards is normally carried out through ISO technical
committees. Each member body interested in a subject for which a technical committee has been established has the right to be represented on that committee. International organizations, governmental andnot-governmental, in liaison with ISO, also take part in the work. ISO collaborates closely with theInternational Electrotechnical Commission (IEC) on all matters of electrotechnical standardization.
国际标准化组织（ISO）是各国标准化团体（ISO成员团体）组成的世界性的联合汇。制定国际标准工作通常由ISO的技术委员会完成。个成员团体若对某技术委员会确定的项目感爱好，均由权参加该委员会的工作。与ISO保持联系的各国际组织（官方的或非官方的）也可参加有关工作。ISO与国际电工委员会（IEC）在电工技术标准化方面保持紧密合作的关系。
风险管理风险评估技术
风险管理 风险评估技术》
Risk management —Risk Assessment Techniques
、任务来源
当前，风险管理活动的重要性正日益为人们所认识，并已成为很多组织的一项日常工
作。风险评估是风险管理活动的必要组成部分，其通过一种系统性和结构性的过程来进行 风险的识别、分析和评价。在此过程中，评估技术和方法的合理选取和正确应用，对风险
评估的顺利实施具有极其重要的作用。因此，通过标准化工作来反映当前风险评估技术选 择及应用的良好实践，为国内各类组织提供权威和有效的风险管理技术支持和实施指导，
成为近期全国风险管理标准化技术委员会的一项重要工作任务。
根据国家标准化管理委员会 2009年国家标准制、 修订计划，由中国标准化研究院负责 组织起草国家标准《风险管理 风险评估技术》，项目编号为 -T-469 ，计划 2010年完成报批。
本项任务由全国风险管理标准化技术委员会（SAC/TC310提出并归口。
二、标准编制过程
从 2008 年起，中国标准化研究院就开展了对相关国际标准的研究和跟踪工作， 并积极 参与了 IEC 31010《风险管理 风险评估技术》的讨论制定过程，为本标准的起草进行了良 好的前期准备。
2009年 6月，中国标准化研究院组织相关科研院校和企事业单位，成立了该标准的起
草工作组，确定了标准草稿的内容框架与制定原则， 并于 2009年 8月完成了 IEC 31010 FDIS
稿的翻译工作。起草小组在参考该国际标准相关内容的基础上，基于国内风险评估的实际
状况，在征集相关专家的意见后，提出了国家标准草案（工作组讨论稿） 。
2009年 9 月 10 日和 10月 22日，起草组召集工作组专家在京分别召开了两次标准讨
论会，对该讨论稿进行了广泛的商讨和咨询，充分交换了意见，并在会后依据专家意见对 草案进行了
进一步的修改完善。
2008年 11 月，工作组最终形成了国家标准征求意见稿，现拟向社会公开征求意见。
道路与桥梁工程中的工程风险管理规范要求
道路与桥梁工程中的工程风险管理规范要求
工程风险管理在道路与桥梁工程中扮演着至关重要的角色。它涉及到工程项目的规划、设计、施工和运营阶段，旨在降低工程项目中潜在的风险，并保障工程质量和安全。为了实现有效的风险管理，相应的规范要求也应得到充分认知和遵守。本文将探讨道路与桥梁工程中的工程风险管理规范要求。
一、工程风险管理的基本原则
在道路与桥梁工程中，工程风险管理的基本原则包括以下几点：风险识别、评估和控制；专门的风险管理机构和人员；风险管理的全过程和全方位覆盖；风险管理与其他管理活动的有机结合；基于风险管理的决策和控制。
首先，风险识别是工程风险管理的前提和基础。在项目启动阶段，必须对潜在的工程风险进行全面识别，并编制详尽的风险清单。
其次，对风险进行评估是为了判断风险的严重程度和优先级。评估过程应基于科学、可靠和实用的方法，以便对风险进行量化和排序。
最后，通过控制措施对风险进行防范和控制，确保工程项目的顺利进行。这包括制定相应的风险管理计划、实施监控和监测措施，及时调整工程计划和资源配置等。
二、国家标准和规范要求 为了保证道路与桥梁工程的质量和安全，许多国家都制定了相关的标准和规范，以规范工程风险管理的实施。以下是一些常见的国家标准和规范要求的概述：
1. ISO9001质量管理体系：该体系要求组织建立质量管理体系，包括风险管理。组织应对可能影响产品和服务质量的风险进行评估，并采取相应的控制措施。
2. ISO31000风险管理指南：该指南提供了一个通用的框架，供组织根据自身特点和需求进行风险管理。它包括风险管理的原则、过程和步骤，以及风险评估和风险控制的方法。
3. 桥梁工程设计规范：该规范要求在桥梁工程设计过程中充分考虑各种可能的工程风险，并在设计中采取相应的措施进行预防和控制。
4. 道路施工规范：该规范强调在道路施工过程中要对潜在的风险进行预测和评估，并制定相应的施工方案和控制措施，以确保施工质量和安全。
2015版9001转版练习与参考答案3(含出处)ok
1２０１５版新标准质量管理体系审核员转换练习(空卷)
一：单项选择题
1：在确定设计和开发的各个阶段及其控制时，组织应考虑下列哪些因素：（D）
A：顾客和其他相关方期望设计和开发过程的控制水平
B：顾客和使用者参与设计和开发过程的需求
C：产品和服务的设计和开发所需的内部和外部资源
D：A+B+C
2：组织对确定策划和运行QMS所需的来自外部的形成文件的信息进行适当的（D），并予以保护，防
止非预期更改
A：发放并使用B：保持可读性C：授权并修改D：标识与控制
3：组织在策划质量管理体系时，应确定、识别组织的经营风险和机遇，并制订应对风险的措施或方案，应
对风险的措施包括：（D）
A：寻求机遇承担风险B：采取措施消除风险C：明智决策延缓风险D：以上都是
4：组织的知识是指组织从其经验中获得的特定知识，是实现组织目标所使用的共享信息，其中内部来源的
知识可以是：（A）
A：从失败和成功项目得到的经验教训B：产品标准C：学术交流D：专业会议
5：ISO9001：2015标准关于适用时组织应保留与产品和服务有关要求的评审形成文件的信息中，下列哪项
内容标准没有明示要求保留：（A）――注：应该是Ａ，标准中原文要求有B+C。
A：产品和服务的工艺要求B：针对产品和服务的新要求C：评审结果D：B+C
6：ISO9001：2015标准条款中要求遵循法律法规是指：（C）
A：与产品有关的法律法规B：与服务有关的法律法规
C：与产品和服务有关的法律法规D：与QMS有关的法律法规
7：ISO9001：2015标准（C）条款要求确定QMS范围
A：1.2B：4.1C：4.3D：7.0
8：质量方针具备的特征包括：（D）
A：包括满足适用要求的承诺B：为制定质量目标提供框架
C：包括持续改进质量管理体系的承诺D：以上全部
9：ISO9001：2015标准要求组织策划QMS时应确定需要应对的风险和机遇，提出应对风险和机遇的措施，
并评价这些措施的（B）
Ａ：适用性Ｂ：有效性Ｃ：充分性Ｄ：效率
iso风险管理体系
iso风险管理体系
ISO风险管理体系，全称为ISO 31000风险管理体系，是国际标准化组织（ISO）发布的一项标准，旨在帮助组织建立和实施有效的风险管理系统。该标准于2009年发布，是全球范围内风险管理的国际公认标准。
ISO风险管理体系提供了一个系统化的方法，帮助组织识别、评估和处理各种风险，以确保组织的可持续性和成功。它强调风险管理是一种持续的、循环的过程，需要组织在不同的阶段进行风险识别、风险评估、风险处理和监控。
ISO风险管理体系的核心原则包括：
承诺和领导：组织的领导层需要承诺和提供支持，确保风险管理得到有效实施。
集成：风险管理应该与组织的各个部门和活动相集成，确保风险管理成为组织的一部分。
个性化：风险管理需要根据组织的特定需求和风险情况进行定制，确保适应性和有效性。
连续性：风险管理是一个连续的过程，需要不断监控和改进，以适应新的风险和变化的环境。
透明度：风险管理需要透明度和沟通，以确保各方的参与和理解。
ISO风险管理体系的实施包括以下步骤：
上下文建立：组织需要确定风险管理的上下文，包括内外部因素、利益相关方和组织目标等。
风险识别：组织需要识别可能影响其目标实现的各种风险，并进行分类和排序。
风险评估：组织需要评估已识别风险的概率和影响程度，以确定其优先级和处理方式。
风险处理：组织需要制定和实施适当的措施来处理已识别的风险，包括风险避免、减轻、转移和接受等。
监控和审查：组织需要监控已处理风险的效果，并定期审查和改进风险管理体系。
ISO风险管理体系的实施可以带来许多益处。首先，它可以帮助组织更好地了解和管理其风险，减少意外事件和损失的发生。其次，它可以提高组织的决策质量，使其更具竞争力。此外，它还可以增加组织与利益相关方的信任和声誉，提高组织的可持续性。
然而，实施ISO风险管理体系也面临一些挑战。首先，组织需要投入人力、物力和财力来建立和维护风险管理体系。其次，风险管理需要全员参与和合作，而这可能需要组织进行培训和教育。此外，风险管理还需要持续的监控和改进，以适应变化的环境和新的风险。 总之，ISO风险管理体系是一种有效的风险管理方法，可以帮助组织识别、评估和处理各种风险。它强调风险管理是一个连续的、循环的过程，需要组织的领导层承诺和支持。虽然实施ISO风险管理体系面临一些挑战，但它可以为组织带来许多益处，提高其可持续性和竞争力。因此，组织应考虑采用ISO风险管理体系来改进其风险管理能力。
内控评价标准
内控评价标准
内控评价标准通常是为了评估和确保组织内控制度的有效性、合规性和可靠性而制定的标准。这些标准可能根据不同国家、行业和组织而有所不同，但一般来说，它们涵盖以下几个方面：
1. COSO框架： COSO（Committee of Sponsoring Organizations of
the Treadway Commission）框架是一个被广泛接受的内部控制框架，其五个组成部分包括控制环境、风险评估、控制活动、信息与沟通和监督活动。组织可以参考COSO框架来建立内部控制评价标准。
2. 企业治理准则： 一些国家或地区可能有专门的企业治理准则，这些准则通常包括内部控制的要求，以确保企业有效运营、透明度和合规性。
3. ISO 31000 - 风险管理：原则与指南： ISO 31000是一项关于风险管理的国际标准，虽然它不直接涉及内部控制，但风险管理与内部控制密切相关。组织可以参考ISO 31000中的原则和指南来制定内部控制评价标准。
4. IFC（Internal Financial Control）： 在财务领域，一些内部控制评价标准可能与IFC有关，确保财务信息的准确性和合规性。
5. 法规和法律要求： 内控评价标准通常也要符合所在国家或地区的法规和法律要求，以确保组织的内部控制符合法规。
6. 行业标准： 某些行业可能会有特定的内部控制评价标准，以满足该行业的特殊需求和合规性要求。
在实施内部控制评价时，组织通常会结合以上标准，并根据自身的性质、规模和行业特点进行定制。同时，内部控制评价是一个动态过程，需要不断调整和改进，以适应组织的变化和外部环境的变化。
CCAA继续教育风险管理练习题及答案
第1章_风险管理概述
1: 下列标准中不属于风险管理标准的是（）：
AS/NZS 4260
ISO 31000:2009
ISO 31010:2009
ISO Guide 73:2009
2: 我国的GB/T24353-2009与ISO的哪一个标准相接近（）
ISO 31000:2009
ISO DIS 31000
ISO 31010:2009
ISO FDIS 31000
3: 我国的GB/T23694-2009与ISO的哪一个标准相接近（）
ISO Guide 73:2009
ISO 31000:2009
ISO Guide 73:2004 ISO 31010:2009
4: 组织实施风险管理可以有很多益处，但下列提法中不妥的是（）
提高组织实现目标的可能性
达成组织设定的经营目标
提高利益相关者的信心和信任
为决策和规划提供依据
5: 下列描述不正确的是（）
作为管理方法论，ISO31000:2009的原则和指南可以应用到认证的各个领域。
OHSAS18000:2008标准包含了风险管理在职业健康安全领域的应用。
ISO22000:2008标准包含了风险管理在食品安全领域的应用。
ISO31010:2009标准特别强调了风险管理的原则，并将其列为标准的正式内容。
6: 下列描述不正确的是（）
ISO31010:2009是风险评估技术标准
GB/T24353-2009是中国的风险管理标准
ISO31000:2009适用于人类社会的各种风险的管理 ISO31000不可用于第三方认证
7: 风险管理形成独立的理论体系起源于（）
20世纪30年代
20世纪50年代
20世纪70年代
20世纪90年代
8: 下列（）的成果对ISO31000:2009的形成有重大帮助
COSO委员会
美国国会
巴塞尔委员会
欧洲风险管理委员会
iso风险管理体系 2
iso风险管理体系
ISO风险管理体系（ISO 31000）是一个国际标准，旨在帮助组织高效地管理风险，以优化其业务运营和达到目标。该标准提供了一种框架，以识别、评估和应对组织可能面临的各种风险，并制定全面的风险管理计划。本文将详细介绍ISO风险管理体系的各个方面。
一、 管理风险的概念
ISO 31000将风险定义为：“未知事件或情况发生的概率和影响的组合”。在这个定义下，风险包括机会和威胁两种情况。机会风险指的是组织可能获得的优势或好处，而威胁风险指的是组织可能面临的损失或危险。
ISO 31000认为，风险是任何组织经营业务过程中必然要承担的一种风险。在这种情况下，组织需要进行风险管理，以最小化被损失的可能性并优化其业务运营。
风险管理的目的是对组织的风险进行评估、规划和控制，以充分利用机会，减轻威胁，保持组织的可持续性。
二、 风险管理框架
ISO 31000的风险管理框架由三个主要部分组成，如下所示：
1. 风险管理规划
风险管理规划是风险管理的第一步，用于确定风险管理的范围、目标和相关策略和程序。在此阶段，组织需要确定其风险管理团队，确定组织所面临的威胁和机会的类型和概率，并确定风险管理计划的时间表和预算。
2. 风险评估
在风险管理的第二个阶段中，组织需要在其特定上下文中识别、评估和分析风险。组织可以通过内部或外部识别风险、风险量化、风险分析和风险评估等方法来评估风险。评估到风险后，应在风险管理计划中考虑采取适当的风险应对措施。
3. 风险控制
在风险管理的第三个阶段中，组织需要开发和实施适当的风险管理策略和计划，以控制并降低风险。风险控制措施应该包括管理风险的程序和方法，以及组织所要求的所有相关合规性要求。在控制风险后，应定期评估风险管理计划以确保其有效性，并及时调整以适应不断变化的风险和环境。
三、 风险管理的利益
ISO 31000的风险管理体系为组织带来了以下几个优势：
2018版ISO31000《风险管理指南》综述与解析
Forum学术论坛 2018年7月165DOI:10.19699/ki.issn2096-0298.2018.20.1652018版ISO31000《风险管理指南》综述与解析
中国海洋石油集团有限公司 卢新瑞摘 要：本文介绍ISO31000最新版《风险管理指南》与原版本的主要变化，综述新标准的主要内容，探讨解析新理念，以期使组织管理更加标准和科学。关键词：风险管理 框架 战略 目标 绩效中图分类号：F239.45 文献标识码：A 文章编号：2096-0298(2018)07(b)-165-02
1 背景及变化自2009年发布全球第一版风险管理指南，时隔9年，国际标准组织(ISO)于2018年2月15日更新发布ISO31000《风险管理指南》这一关键标准(下称指南或标准)。新指南仍然定位于“任何 组织、任何类型、全生命周期、任何活动”，强调指南在风险管理领域的普遍适用性。新标准相对老标准变化主要体现在四个方面：(1)风险管理原则审查，这是其成功的关键标准；(2)从组织治理入手，强调高级管理层的领导以及风险管理的整合；(3)更加强化风险管理的迭代性质，提出在每一个流程环节，新的实践、知识和分析可以引发对流程要素、行动和控制的修正；(4)精简内容，更加注重支撑一个开放的系统模型，以适应多样化的需求和环境。2 主要内容新指南采用三轮圆形(如图1所示)呈现，三个圆形图分别表示风险管理的原则、框架和流程。该三轮圆形模式比第一版示意图形式(如图2所示)更能体现原则、框架和流程三部分之间的相互作用关系，也使指南内容的描述更清晰简洁、更易理解、更加注重和企业管理活动的融入与整合。新指南对每部分内容进行了较大修改。
图1 新标准风险管理原则、
框架和流程及相互关系图2 原标准风险管理原则、框架和流程及相互关系
其中，关于风险管理原则部分，第一版共有十一项，分别为：(1)创造价值；(2)组织流程的组成部分；(3)决策的一部分；(4)明确指出不确定性；(5)系统性、结构性和时效性；(6)最佳可用信息；(7)定制化；(8)考虑人员和文化因素；(9)透明度和包容性；(10)动态、持续的应对变化；(11)持续改进与强化。新版指南明确，风险管理原则最核心的内容为“价值创造和保护”，并在开篇就点出了风险管理工作的第一原则：与组织所有活动的整合。表明风险管理是与组织相关的所有活动的组成部分,不是一项独立于其他管理和业务活动的工作。其余八项原则为：(1)整合的。风险管理是组织所有活动的组成部分；(2)结构化和全面性。风险管理的结构化和全面性有助于获得一致和可比较的结果；(3)定制化。风险管理框架和流程是根据组织与其目标的外部和内部背景来制定的，并与其密切相关；(4)包容的。需要考虑利益相关方的适当和及时参与，融入他们的知识、观点和看法。这可以使相关方提高风险管理意识并智慧地管理风险；(5)动态的。随着组织内部和外部环境的变化，风险可能会出现、变化或消失。风险管理会以适当和及时的方式预测、监控、掌握和响应这些变化和事件；(6)最佳可用信息。风险管理的输入是基于历史和当前的信息以及未来预期。风险管理应明确考虑到与这些信息和期望相关的任何限制和不确定性。信息应及时、清晰地提供给相关的利益相关方；(7)人员与文化因素。人员行为和文化明显影响风险管理在不同层面和阶段的各个方面；(8)持续改进。通过学习和经验积累，不断提高风险管理水平。关于风险管理框架部分，目的是协助组织将风险管理纳入重要的活动和职能。风险管理的有效性取决于是否将其纳入组织治理和决策中。这需要利益相关方，特别是最高管理层的支持。此次更新的框架强化了领导层的职责和整合的重要性，核心是领导力与承诺，明确高级管理层和监督机构应确保风险管理融入组作者简介：卢新瑞(1980-)，男，汉族，大学，主要从事风险管理、内
号外：国际标准组织发布ISO31000《风险管理指南》标准，力挺风险管理和内部审计职能
号外：国际标准组织发布ISO31000《风险管理指南》标准，⼒挺风险管理和内
部审计职能
适逢中国春节除⼣当天，国际标准组织ISO发布了ISO31000《风险管理指南》标准2018版正式
⽂件，这是⾃其2009年发布的全球第⼀版风险管理指南之后，第⼀次对其⽂件进⾏的更新和升
级。
⾃去年ISO组织发布31000指南征求意见稿之后，承诺将在2018年2⽉份发布正式版⽂件，这次
总算是没有⾷⾔。关于2017年2⽉份的征求意见稿解读，请查看本公众号前期⽂章，《ISO31000 风险管理指南 2017送审版先睹为快》（点击查看）。本周我们为⼤家第⼀时间解读最新
的正式版风险管理标准⽂件。
⼀、ISO31000新标准概览
我在去年解读征求意见稿时，将新版风险管理标准中的框架图称为“三轮车”图，并⾸次对其进⾏
了汉化处理。这个“三轮车”图和2009年第⼀版的三个⽅框图相⽐可谓变化明显，此次正式版的发
布，沿⽤了征求意见稿中的“三轮车”图形展⽰⽅式，但内容上相⽐征求意见稿还是有所变动。
我们⾸先来看⼀下正式版的三轮车框架图。
⽤三个圆形图分别表⽰了新标准中的原则、框架和流程。
其中原则轮中，最核⼼的内容为“价值的创造和保护”，体现为⼋个原则：
整合的；
结构化和全⾯性；
定制化；
包容性；
动态的；
有效信息利⽤；
⼈员与⽂化因素；
持续改进。
框架轮中，最核⼼的为“领导⼒与承诺”，体现为五个步骤：
整合；设计；
实施；
评价；
改进。
流程轮中，包含了：
对范围、背景和标准的定义；
风险评估的经典流程-风险识别、风险分析、风险评价；
风险应对；
风险记录与报告；
沟通与咨询；
监控与评价。
这个三轮车图提炼了整个ISO31000风险管理标准的所有内容，标准的全⽂都是围绕着这个三轮
车图来展开论述的。
⼆、新标准与⽼标准的异同
按照ISO组织⾃⼰的论述，新标准和⽼标准的异同主要体现在四个⽅⾯：
1. 重新审阅了所有的风险管理原则，这是其是否能够取得成功的关键标准；
2. 重点强调了⾼级管理层的职责以及和各项管理活动的整合，从组织的治理着眼；