如何选择风险评估管理系统

  在评估篇中讲到了企业需要建立定期进行风险评估的机制和信息系统，使风险评估成为一项日常的管理行为。如何选择风险评估管理信息系统，系统选择过程中应该注意什么问题？这些将是本文重点阐述的内容。

  风险评估管理系统的定义，是支持企业定期对运营过程中已识别的风险进行定期评价、记录、跟踪的信息系统。其主要作用是帮助企业更好收集、记录各责任部门或责任人对正在运行业务的风险状况的评价，支持形成定期的风险管理报告（如风险热图、决策矩阵等），为管理层进行风险管理决策提供依据。

       ARIS风险评估管理系统模型

      风险管理系统选择应避免的误区。1）期望能够自动识别风险。风险评估管理系统本身不能自动识别企业运营过程中的风险，而是依据预先定义的风险类型、风险指标、风险评价计算模型，帮助收集、汇总、计算风险发生的可能性和重要程度。2）期望评价数据自动生成。由于风险评价本身具有一定的主观性和人为判断因素，因此不能奢望风险管理系统自动填写相关评价指标，风险评估管理系统的初始数据主要应来源于风险责任部门或负责人的输入。以上两个误区实际上不是对信息系统的过度神化，就是简单的认为风险管理依靠流程自动化就可以实现的错误认识。

  众所周知，无论发生在安然、世通、或是长期资本管理公司的风险丑闻，都不是由于信息系统故障或错误造成的，这些公司都有堪称世界领先的管理信息系统和风险管理技术，所以会发生如此重大的风险事件，主要还是缺乏一种健康的风险管理文化和企业自律机制，没有形成全员的风险管理意识。风险管理不能仅仅局限于财务会计部门、风险管理部门或审计部门，而是应该成为每个关键业务人员的自觉意识。基于上述认识，可以发现风险管理系统的作用不在于自动发现风险，而是在于通过系统实施推动企业从上到下形成全员风险管理的意识，形成定期评估与发现风险的管理机制。

  风险评估管理系统的选择标准。首先，风险评估的对象是企业的经营过程，因此，风险评估管理系统的重要选择标准之一就是，其维护的业务流程描述、组织结构信息、信息系统描述都应与企业的现状保持一致。而达到上述条件的唯一途径就是需要企业拥有一套业务建模系统，并能够持续地在该系统上进行业务模型与业务现实的一致性维护。任何寄希望于单独维护一套与风险管理相关的业务描述，都会为系统后期的运维造成不可估量的灾难后果。正如上期环境篇所述，企业的组织、流程、系统、数据就像一张庞大的蜘蛛网，如果没有一套统一的业务建模规范、统一的维护管理机制，就会造成各种诸如业务描述不一致、岗位命名不统一、部门相互隔阂、业务信息严重不对称等问题的发生。其次，风险评估管理系统应能够支持B/S架构，简单的说，就是能够让员工无论在哪个地方，都能够方便的通过互联网访问，这样才能够确保最大范围的支持全员参与。第三，风险评估管理系统应能够方便的发起问题管理流程，该项标准借鉴了IT服务管理中的问题管理概念，即要求在任何时点、任何环节、只要具有相关权限，风险责任人就可以对任意关注的潜在问题发起问题管理流程，并要求相关的负责人给予回复。只有建立起支持上述标准的系统平台，才能真正在企业形成一种健康地、积极的、全员参与的风险管理文化。提升企业应对风险的能力，提高市场竞争力。