第三章 风险评估与管理：风险识别、分析、评价与处置策略
在业务连续性管理体系中，风险评估是承上启下的核心环节。它帮助我们回答三个关键问题：“可能发生什么坏事？”、“发生的可能性有多大？”以及“如果发生了，影响有多严重？”。本章将系统讲解从风险识别到风险处置的全流程策略，并结合实战案例与可视化工具，帮助您建立一套可落地的风险评估方法论。
3.1 风险识别：发现潜在威胁
风险识别是风险评估的起点，目标是全面、无遗漏地找出可能对业务连续性造成破坏的内部与外部威胁。常用的识别方法包括：
📋 头脑风暴法
组织跨部门专家会议，利用集体智慧发散思考，适合识别未知风险。
📂 检查表法
基于历史事件与行业标准（如ISO 22301）预制的风险清单，逐项核对。
🗺️ 流程图分析法
绘制业务流程图，识别每个节点的单点故障与依赖关系。
🔍 SWOT分析
从优势、劣势、机会、威胁四个维度扫描组织环境。
实战案例：某电商平台在“双十一”大促前，通过流程图分析法发现其支付网关存在单点依赖——所有交易均需经过一台老旧服务器。该风险被成功识别并列入整改清单。
3.2 风险分析：量化可能性与影响
风险分析的核心是对已识别风险进行定性或定量评估，确定其发生的可能性与影响程度。常用工具包括：
| 分析方法 | 描述 | 适用场景 |
|---|---|---|
| 定性分析 | 使用“高/中/低”等级描述可能性与影响，依赖专家判断 | 资源有限、数据不足的初期评估 |
| 半定量分析 | 为等级赋值（如高=5，中=3，低=1），计算风险指数 | 需要排序优先级的中型企业 |
| 定量分析 | 使用货币价值、概率统计等数据建模（如年预期损失ALE） | 金融、保险等数据密集型行业 |
实战案例：某银行对“核心数据库宕机”风险进行定量分析：历史数据显示平均每3年发生1次（概率33%），每次造成直接损失约500万元，年预期损失（ALE）= 500万 × 33% ≈ 165万元。该数据直接支撑了后续的灾备投资决策。
3.3 风险评价：确定优先级与可接受水平
风险评价是将分析结果与风险准则（如组织风险偏好、监管要求）进行比较，确定哪些风险需要优先处置，哪些风险可以接受。核心步骤包括：
- 设定风险阈值：例如，将“极高风险”（可能性高+影响高）定义为不可接受。
- 排序与分级：根据风险指数（可能性×影响）从高到低排列。
- 制定处置决策：对每个风险做出“处置/接受/转移/规避”的选择。
实战案例：某制造企业将“关键供应商破产”评为极高风险（可能性中×影响极高），但考虑到更换供应商成本过高，最终决策为“接受风险”，同时建立备用供应商清单作为缓解措施。
3.4 风险处置策略：选择应对措施
针对评价后的风险，组织可选择以下四种标准处置策略，或组合使用：
| 策略 | 定义 | 典型措施 | 适用场景 |
|---|---|---|---|
| 规避 | 通过改变计划或流程，彻底消除风险 | 停止高风险业务、更换供应商 | 风险极高且无法有效控制 |
| 转移 | 将风险后果转嫁给第三方 | 购买保险、外包、签订免责协议 | 风险发生概率低但影响大 |
| 缓解 | 降低风险的可能性或影响 | 冗余设计、备份、员工培训 | 风险可被有效降低至可接受水平 |
| 接受 | 不采取主动措施，承担风险后果 | 建立应急基金、制定应急预案 | 风险在可接受范围内或处置成本过高 |
实战案例：某云服务商针对“数据中心电力中断”风险，采用缓解+转移组合策略：部署UPS与柴油发电机（缓解），同时购买业务中断保险（转移），将风险降至可接受水平。
3.5 实战演练：编制风险评估报告
以下是一个简化的风险评估报告模板，涵盖本章所有核心要素。您可以直接套用到实际项目中：
📄 风险评估报告（节选）
| 风险编号 | 风险描述 | 可能性 | 影响 | 风险指数 | 评价等级 | 处置策略 |
|---|---|---|---|---|---|---|
| R-001 | 核心数据库单点故障 | 中 (3) | 极高 (5) | 15 | 极高 | 缓解：主备切换+异地灾备 |
| R-002 | 关键人员离职 | 高 (4) | 中 (3) | 12 | 高 | 缓解：知识库+AB角制度 |
| R-003 | 办公大楼火灾 | 低 (1) | 极高 (5) | 5 | 中 | 转移：财产保险+消防演练 |
| R-004 | 软件版本过时 | 中 (3) | 低 (2) | 6 | 低 | 接受：制定升级计划 |
关键提示：风险评估不是一次性工作。当业务环境、技术架构或监管要求发生变化时，应重新启动评估流程，确保风险清单始终反映最新态势。
📌 本章核心要点
- 风险识别是基础，需综合运用多种方法确保全面性。
- 风险分析将模糊的威胁转化为可比较的量化或半量化数据。
- 风险评价连接分析与决策，确定处置优先级。
- 风险处置有四种标准策略：规避、转移、缓解、接受，可组合使用。
- 所有评估结果应文档化，并定期复审更新。