企业风险管理办公室是为企业培养专门的风险管控人才，为企业建立和完善预警系统而设立的。

随着2010年年底国家人力资源和社会劳动保障部、财政部、工商总局、银监会、证监会等相关部委组织发布相关《企业内部控制和风险管理相关配套指引文件》，标志着我国专门风险管理制度的统一建设的开端，在中国大中型企业当中，国家会进一步参与到企业相关风险的把控当中。

对应成立相关风险管理专职部门，为企业培养专门的风险管控人才，满足企业对此类专职人才缺口的需求和相关国家要求的“内部控制报告”“风险管理报告”的编制，为企业建立和完善相关的预警系统。

如果说发展战略是保障企业正确的发展方向的话，那么风险与内控则是保障企业在前行的道路上不摔跟头。随着市场经济各项建设渐趋完备，对企业风险与内控的要求也在逐步加强，市场竞争环境的日益复杂化，客观上也要求企业及其决策者能够关注企业的风险。

无论是中航油新加坡投资衍生品事件还是最近的三鹿事件，都给中国的企业家们敲响了警钟，企业走得慢一些自然会面临被竞争对手超越的问题，但是如果不关注风险控制的话则可能面临企业生存的问题。

来自于外部环境的压力要求企业必须关注风险管理与内部控制建设

· 美国政府于2002年7月颁布的《上市公司会计改革和投资者保护法》，对上市公司进一步完善公司法人治理和财务报告等内部控制制度提出了更高的要求。美国《萨班斯法案》对赴美上市公司内控提出近乎苛刻的要求；

· 2006年，中国公布了《新会计准则》，同时新《公司法》、《证券法》和《物权法》等重要法律的修改。所有这些外部环境的变化，都要求公司强化法人治理结构，高度关注企业风险，加强内部控制。从法人治理结构层面的内控环境营造到公司各级规章制度中的内控功能都需要进一步加强和完善，规范公司的经营行为；

· 2008年，财政部授权公布了《企业内部控制基础规范》，首先要求上市公司在2009年7月1日前，必须建立企业内部控制体系，并对内部控制建设的状况出具报告；对内部控制的要求逐步在国有企业及其它类型企业中逐步推进。企业内部控制建设正在从可有可无变成不得不建。

企业风险管理与内部控制在企业管理中发挥着重要的作用

· 合乎监管要求：通过系统的内部控制建设，满足国内、国外各种内部控制立法的要求；

· 抓住机会：通过全面识别、考虑企业面临的不确定因素，促使企业识别并积极地把握机会；

· 识别和管理企业的多重风险：企业都面临影响自身不同组成部分的一系列风险，企业风险管理有助于有效地应对交互影响，以及整合式地应对多重风险；

· 抑减经营意外和损失：企业识别潜在事项和实施应对的能力得以增强，抑减了意外情况以及伴随而来的成本或损失；

· 改善资本配置：获取强有力的风险信息，以使管理层能够有效地评估总体资本需求，并改进资本配置。

中国企业常见风险与控制问题举例

· 风险管理意识：风险管理意识淡薄，片面追求发展速度，制定不切实际的目标或盲目扩展投资，使企业承受无谓的风险；

· 公司治理：公司治理结构不规范，不能有效制衡管理层的强大权力，董事会没有或者不能负起监督管理层的责任；

· 管控模式：企业管控模式不合理，无法有效控制企业风险，组织结构设计不合理，不能建立有效的内控和相互制衡的机制；

· 风险管理组织：缺乏包含决策、管理和具体执行层在内的完整的风险管理组织。内部审计限于财务报表审计和经济责任审计，缺乏对风险管理情况的检查和监督；

· 风险管理体制：缺乏系统的风险管理体制，没有将风险管理的手段和内控程序融入到管理与业务的制度与流程中，无法识别影响企业达标的风险，进而无法对风险进行监控及管理。

风险管理的定义

风险管理当中包括了对风险的量度、评估和应变策略。理想的风险管理，是一连串排好优先次序的过程，使当中的可以引致最大损失及最可能发生的事情优先处理、而相对风险较低的事情则押后处理。

现实情况里，优化的过程往往很难决定，因为风险和发生的可能性通常并不一致，所以要权衡两者的比重，以便作出最合适的决定。

风险管理亦要面对有效资源运用的难题。这牵涉到机会成本(opportunity cost)的因素。把资源用于风险管理，可能使能运用于有回报活动的资源减低；而理想的风险管理，正希望能够花最少的资源去去尽可能化解最大的危机。

“风险管理”曾经在1990年代西方商业界前往中国进行投资的行政人员必修科目。当年不少MBA课程都额外加入“风险管理”的环节。

风险管理（risk management）

在降低风险的收益与成本之间进行权衡并决定采取何种措施的过程。

确定减少的成本收益权衡方案（trade-off）和决定采取的行动计划（包括决定不采取任何行动）的过程成为风险管理。

首先，风险管理必须识别风险。风险识别是确定何种风险可能会对企业产生影响，最重要的是量化不确定性的程度和每个风险可能造成损失的程度。

其次，风险管理要着眼于风险控制，公司通常采用积极的措施来控制风险。通过降低其损失发生的概率，缩小其损失程度来达到控制目的。控制风险的最有效方法就是制定切实可行的应急方案，编制多个备选的方案，最大限度地对企业所面临的风险做好充分的准备。当风险发生后，按照预先的方案实施，可将损失控制在最低限度。

再次，风险管理要学会规避风险。在既定目标不变的情况下，改变方案的实施路径，从根本上消除特定的风险因素。例如设立现代激励机制、培训方案、做好人才备份工作等等，可以降低知识员工流失的风险。

风险管理是指通过风险识别、风险估计、风险驾驭、风险监控等一系列活动来防范风险的管理工作。

人力资源管理中的风险管理是指在招聘、工作分析、职业计划、绩效考评、工作评估、薪金管理、福利/激励、员工培训、员工管理等各个环节中进行风险管理，防范人力资源管理中的风险发生。

风险分类：

招聘风险、绩效考评风险、工作评估风险、薪金管理风险、员工培训风险、员工管理风险等等。

风险识别：

要想防范风险，首先要进行风险识别。识别风险就是主动的去寻找风险。比如员工管理中，技术骨干离职风险可能会由以下几个方面产生：

1、待遇：他是否对他的待遇满意?

2、工作成就感：他是否有工作成就感?

3、自我发展：他是否在工作中提高了自己的能力?

4、人际关系：他在公司是否有良好的人际关系?

5、公平感：他是否感到公司对他与别人是公平的?

6、地位：他是否认为他在公司的地位与他对公司的贡献成正比?

7、信心：他是否对公司的发展和个人在公司的发展充满了信心?

8、沟通：他是否有机会与大家沟通、交流?

9、关心：他是否能得到公司和员工的关心?

10、认同：他是否认同企业的管理方式、企业文化、发展战略?

11、其他：他是否有可能因为结婚、出国留学、继续深造等原因离职?

风险评估:

风险评估是对风险可能造成的灾害进行分析。主要通过以下几个步骤进行评估：

1、根据风险识别的条目有针对性的进行调研;

2、根据调研结果和经验，预测发生的可能性，并用百分比表示发生可能性的程度;

3、根据程度排定优先队列。

对于现代企业来说，风险管理就是通过风险的识别、预测和衡量、选择有效的手段，以尽可能降低成本，有计划地处理风险，以获得企业安全生产的经济保障。这就要求企业在生产经营过程中，应对可能发生的风险进行识别，预测各种风险发生后对资源及生产经营造成的消极影响，使生产能够持续进行。可见，风险的识别、风险的预测和风险的处理是企业风险管理的主要步骤。

风险的识别是风险管理的首要环节。只有在全面了解各种风险的基础上，才能够预测危险可能造成的危害，从而选择处理风险的有效手段。

风险识别方法很多，常见的方法有：

2.1.1◆生产流程分析法

生产流程分析法是对企业整个生产经营过程进行全面分析，对其中各个环节逐项分析可能遭遇的风险，找出各种潜在的风险因素。生产流程分析法可分为风险列举法和流程图法。

1.风险列举法指风险管理部门根据本企业的生产流程，列举出各个生产环节的所有风险。

2.流程图法指企业风险管理部门将整个企业生产过程一切环节系统化、顺序化，制成流程图，从而便于发现企业面临的风险。

2.1.2◆财务表格分析法

财务表格分析法是通过对企业的资产负债表、损益表、营业报告书及其他有关资料进行分析，从而识别和发现企业现有的财产、责任等面临的风险。

2.1.3保险调查法

采用保险调查法进行风险识别可以利用两种形式：

通过保险险种一览表，企业可以根据保险公司或者专门保险刊物的保险险种一览表，选择适合本企业需要的险种。这种方法仅仅对可保风险进行识别，对不可保风险则无能为力。

委托保险人或者保险咨询服务机构对本企业的风险管理进行调查设计，找出各种财产和责任存在的风险。

风险预测实际上就是估算、衡量风险，由风险管理人运用科学的方法，对其掌握的统计资料、风险信息及风险的性质进行系统分析和研究，进而确定各项风险的频度和强度，为选择适当的风险处理方法提供依据。风险的预测一般包括以下两个方面：

2.2.1预测风险的概率：通过资料积累和观察，发现造成损失的规律性。一个简单的例子：一个时期一万栋房屋中有十栋发生火灾，则风险发生的概率是1/1000。由此对概率高的风险进行重点防范。

2.2.2预测风险的强度：假设风险发生，导致企业的直接损失和间接损失。对于容易造成直接损失并且损失规模和程度大的风险应重点防范。

风险的处理常见的方法有：

2.3.1避免风险：消极躲避风险。比如避免火灾可将房屋出售，避免航空事故可改用陆路运输等。因为存在以下问题，所以一般不采用。

可能会带来另外的风险。比如航空运输改用陆路运输，虽然避免了航空事故，但是却面临着陆路运输工具事故的风险。

会影响企业经营目标的实现。比如为避免生产事故而停止生产，则企业的收益目标无法实现。

2.3.2预防风险：采取措施消除或者减少风险发生的因素。例如为了防止水灾导致仓库进水，采取增加防洪门、加高防洪堤等，可大大减少因水灾导致的损失。

2.3.3自保风险：企业自己承担风险。途径有：

小额损失纳入生产经营成本，损失发生时用企业的收益补偿。

针对发生的频率和强度都大的风险建立意外损失基金，损失发生时用它补偿。带来的问题是挤占了企业的资金，降低了资金使用的效率。

对于较大的企业，建立专业的自保公司。

2.3.4转移风险：在危险发生前，通过采取出售、转让、保险等方法，将风险转移出去。

风险管理是一门新兴的管理学科。

风险管理从1930年代开始萌芽。风险管理最早起源于美国，在1930年代，由于受到1929－1933年的世界性经济危机的影响，美国约有40%左右的银行和企业破产，经济倒退了约20年。美国企业为应对经营上的危机，许多大中型企业都在内部设立了保险管理部门，负责安排企业的各种保险项目。可见，当时的风险管理主要依赖保险手段。

1938年以后，美国企业对风险管理开始采用科学的方法，并逐步积累了丰富的经验。1950年代风险管理发展成为一门学科，风险管理一词才形成。

1970年代以后逐渐掀起了全球性的风险管理运动。1970年代以后，随着企业面临的风险复杂多样和风险费用的增加，法国从美国引进了风险管理并在法国国内传播开来。与法国同时，日本也开始了风险管理研究。

近20年来，美国、英国、法国、德国、日本等国家先后建立起全国性和地区性的风险管理协会。1983年在美国召开的风险和保险管理协会年会上，世界各国专家学者云集纽约，共同讨论并通过了“101条风险管理准则”，它标志着风险管理的发展已进入了一个新的发展阶段。

1986年，由欧洲11个国家共同成立的“欧洲风险研究会”将风险研究扩大到国际交流范围。1986年10月，风险管理国际学术讨论会在新加坡召开，风险管理已经由环大西洋地区向亚洲太平洋地区发展。

中国对于风险管理的研究开始于1980年代。一些学者将风险管理和安全系统工程理论引入中国，在少数企业试用中感觉比较满意。中国大部分企业缺乏对风险管理的认识，也没有建立专门的风险管理机构。作为一门学科，风险管理学在中国仍旧处于起步阶段。

进入到上世纪90年代，随着资产证券化在国际上兴起，风险证券化也被引入到风险管理的研究领域中。而最为成功的例子是瑞士再保险公司发行的巨灾债券，和由美国芝加哥期货交易所发行的PCS期权。

风险管理主要分为两类：

经营管理型风险管理，主要研究政治、经济、社会变革等所有企业面临的风险的管理。

保险型风险管理，主要以可保风险作为风险管理的对象，将保险管理放在核心地位，将安全管理作为补充手段。

对风险管理研究的方法采用定性分析方法和定量分析方法。

定性分析方法是通过对风险进行调查研究，做出逻辑判断的过程。定量分析方法一般采用系统论方法，将若干相互作用、相互依赖的风险因素组成一个系统，抽象成理论模型，运用概率论和数理统计等数学工具定量计算出最优的风险管理方案的方法。

纯粹风险说以美国为代表。纯粹风险说将企业风险管理的对象放在企业静态风险的管理上，将风险的转嫁与保险密切联系起来。该学说认为风险管理的基本职能是将对威胁企业的纯粹风险的确认和分析，并通过分析在风险自保和进行保险之间选择最小成本获得最大保障的风险管理决策方案。该学说是保险型风险管理的理论基础。

企业全部风险说以德国和英国为代表，该学说将企业风险管理的对象设定为企业的全部风险，包括了企业的静态风险（纯粹风险）和动态风险（投机风险），认为企业的风险管理不仅要把纯粹风险的不利性减小到最小，也要把投机风险的收益性达到最大。该学说认为风险管理的中心内容是与企业倒闭有关的风险的科学管理。企业全部风险说是经营管理型风险管理的理论基础。

在20世纪七八十年代，因为事故和其它发生的风险导致了许多组织的破产，这一现象引起了一些跨国公司和大型联合企业股东的极大关注，为强化自己的社会关注力和最大地降低事故和其它事件的损失，这些企业开始引入了“损失控制”的理念，将管理的重点慢慢地从预防伤害转向预防和控制损失。从那时候，风险管理得到了世界上更大的关注，并逐步地得到的发展。

钻石体系就是在这一背景之下产生的，她由国际风险控制协会联盟创造人弗兰克.伯德先生首创，其早期设计的目的仅仅是为了协助企业控制损失，降低事故，她是一个公共性的系统。但随着国际社会及企业对风险管理需求的不断增加以及对钻石体系表现出的日益增长的兴趣与关注，使得国际风险控制协会不得不升级了它的安健环质量保护体系以满足市场要求并符合国际标准，经过美国、南非、澳大利亚等联盟成员7次修编，钻石体系已被证实为一个随时可用的现成架构，是一个涵盖了所有职业安全、健康、环境、质量及社会等元素风险，符合ISO9001、ISO14001及OHSAS 18001/ AS/NZS 4801标准要求的整合系统。她是世界上最好的安健环质量综合风险管理体系之一。

2004年，钻石体系由国际风险控制协会联盟成员安瑞祺国际风险管理顾问公司引进中国，并为诸多如南方电网公司等国内大型国有企业所采纳。

钻石体系强调“以人为本”的思想，它结合安全行为科学，通过行为干预技术，改善员工风险行为，无限度地提升商业机构底线的质和量，改善机构生产能力及员工士气，并最终为商业机构带来世界级的职业安全、健康、环境、质量及风险管理的成果。

钻石体系的设计具有较强的可塑性，它贴近企业操作实践，具备兼容企业与当地行业特殊要求的能力，诸多国际及跨国公司在钻石体系上的成功运用充分说明它是一套科学的、完备的管理系统。

钻石体系由12个元素组成，这些元素代表好的管理实践，并与一些国际标准如ISO 14001、 ISO 9001:2000、OHSAS – 18001、英国标准8800及其他国际标准如AS/NZS4801相兼容。

软件项目风险管理是软件项目管理的重要内容。在进行软件项目风险管理时，要辩识风险，评估它们出现的概率及产生的影响，然后建立一个规划来管理风险。风险管理的主要目标是预防风险。

软件项目风险是指在软件开发过程中遇到的预算和进度等方面的问题以及这些问题对软件项目的影响。软件项目风险会影响项目计划的实现，如果项目风险变成现实，就有可能影响项目的进度，增加项目的成本，甚至使软件项目不能实现。如果对项目进行风险管理，就可以最大限度的减少风险的发生。但是，目前国内的软件企业不太关心软件项目的风险管理，结果造成软件项目经常性的延期、超过预算，甚至失败。成功的项目管理一般都对项目风险进行了良好的管理。因此任何一个系统开发项目都应将风险管理作为软件项目管理的重要内容。

在项目风险管理中，存在多种风险管理方法与工具，软件项目管理只有找出最适合自己的方法与工具并应用到风险管理中，才能尽量减少软件项目风险，促进项目的成功。

软件项目的风险管理是软件项目管理的重要内容。在进行软件项目风险管理时，要辩识风险，评估它们出现的概率及产生的影响，然后建立一个规划来管理风险。风险管理的主要目标是预防风险。本文探讨了风险管理的主要内容和方法，介绍了风险管理的经典理论，比较了几种主流的风险管理策略和模型。

软件项目的风险无非体现在以下四个方面：需求、技术、成本和进度。IT项目开发中常见的风险有如下几类：

ü 需求风险

①需求已经成为项目基准,但需求还在继续变化;②需求定义欠佳,而进一步的定义会扩展项目范畴;③添加额外的需求;④产品定义含混的部分比预期需要更多的时间;⑤在做需求中客户参与不够;⑥缺少有效的需求变化管理过程。

ü 计划编制风险

ü 组织和管理风险

①仅由管理层或市场人员进行技术决策,导致计划进度缓慢,计划时间延长;②低效的项目组结构降低生产率;③管理层审查 决策的周期比预期的时间长;④预算削减,打乱项目计划;⑤管理层作出了打击项目组织积极性的决定;⑥缺乏必要的规范,导至工作失误与重复工作;⑦非技术的第三方的工作(预算批准、设备采购批准、法律方面的审查、安全保证等)时间比预期的延长。

ü 人员风险

①作为先决条件的任务(如培训及其他项目)不能按时完成;②开发人员和管理层之间关系不佳,导致决策缓慢,影响全局;③缺乏激励措施,士气低下,降低了生产能力;④某些人员需要更多的时间适应还不熟悉的软件工具和环境;⑤项目后期加入新的开发人员,需进行培训并逐渐与现有成员沟通,从而使现有成员的工作效率降低;⑥由于项目组成员之间发生冲突,导致沟通不畅、设计欠佳、接口出现错误和额外的重复工作;⑦不适应工作的成员没有调离项目组,影响了项目组其他成员的积极性;⑧没有找到项目急需的具有特定技能的人。

ü 开发环境风险

①设施未及时到位;②设施虽到位,但不配套,如没有电话、网线、办公用品等;③设施拥挤、杂乱或者破损;④开发工具未及时到位;⑤开发工具不如期望的那样有效,开发人员需要时间创建工作环境或者切换新的工具;⑥新的开发工具的学习期比预期的长,内容繁多。

ü 客户风险

①客户对于最后交付的产品不满意,要求重新设计和重做;②客户的意见未被采纳,造成产品最终无法满足用?的审核 决策周期比预期的要长;④客户没有或不能参与规划、原型和规格阶段的审核,导致需求不稳定和产品生产周期的变更;⑤客户答复的时间(如回答或澄清与需求相关问题的时间)比预期长;⑥客户提供的组件质量欠佳,导致额外的测试、设计和集成工作,以及额外的客户关系管理工作。

ü 产品风险

①矫正质量低下的不可接受的产品,需要比预期更多的测试、设计和实现工作;②开发额外的不需要的功能(镀金),延长了计划进度;③严格要求与现有系统兼容,需要进行比预期更多的测试、设计和实现工作;④要求与其他系统或不受本项目组控制的系统相连,导致无法预料的设计、实现和测试工作;⑤在不熟悉或未经检验的软件和硬件环境中运行所产生的未预料到的问题;⑥开发一种全新的模块将比预期花费更长的时间;⑦依赖正在开发中的技术将延长计划进度。

ü 设计和实现风险

①设计质量低下,导致重复设计;②一些必要的功能无法使用现有的代码和库实现,开发人员必须使用新的库或者自行开发新的功能;③代码和库质量低下,导致需要进行额外的测试,修正错误,或重新制作;④过高估计了增强型工具对计划进度的节省量;⑤分别开发的模块无法有效集成,需要重新设计或制作。

ü 过程风险

①大量的纸面工作导致进程比预期的慢;②前期的质量保证行为不真实,导致后期的重复工作;③太不正规(缺乏对软件开发策略和标准的遵循),导致沟通不足,质量欠佳,甚至需重新开发;④过于正规(教条地坚持软件开发策略和标准),导致过多耗时于无用的工作;⑤向管理层撰写进程报告占用开发人员的时间比预期的多;⑥风险管理粗心,导致未能发现重大的项目风险。

在进行了风险辨识后，我们就要进行风险估算，风险估算从以下几个方面评估风险清单中的每一个风险：

(1)建立一个尺度，以反映风险发生的可能性；

(2)描述风险的后果；

(3)估算风险对项目及产品的影响；

(4)标注风险预测的整体精确度，以免产生误解。

对辨识出的风险进行进一步的确认后分析风险，即假设某一风险出现后，分析是否有其他风险出现，或是假设这一风险不出现，分析它将会产生什么情况，然后确定主要风险出现最坏情况后，如何将此风险的影响降低到最小，同时确定主要风险出现的个数及时间。进行风险分析时，最重要的是量化不确定性的程度和每个风险可能造成损失的程度。为了实现这点，必须考虑风险的不同类型。识别风险的一个方法是建立风险清单，清单上列举出在任何时候可能碰到的风险最重要的是要对清单的内容随时进行维护，更新风险清单，并向所有的成员公开，应鼓励项目团队的每个成员勇于发现问题并提出警告。建立风险清单的一个办法是将风险输入缺陷追踪系统中，建立风险追踪工具，缺失追踪系统一般能将风险项目标示为已解决或尚待处理状态，也能指定解决问题的项目团队成员，并安排处理顺序。风险清单给项目管理提供了一种简单的风险预测技术，下表事一个风险清单的例子：

在风险清单中，风险的概率值可以由项目组成员个别估算??通过先做个别估算而后求出一个有代表性的值来完成。对风险产生的影响可以对影响评估的因素进行分析。

一旦完成了风险清单的内容，就要根据概率进行排序，高发生率、高影响的风险放在上方，依次类推。项目管理者对排序进行研究，并划分重要和次重要的风险，对次重要的风险再进行一次评估并排序。对重要的风险要进行管理。从管理的角度来考虑，风险的影响及概率是起着不同作用的，一个具有高影响且发生概率很低的风险因素不应该花太多的管理时间，而高影响且发生率从中到高的风险以及低影响且高概率的风险，应该首先列入管理考虑之中。

在这里，我们需要强调的是如何评估风险的影响，如果风险真的发生了，它所产生的后果会对三个因素产生影响：风险的性质、范围及时间。风险的性质是指当风险发生时可能产生的问题。风险的范围是指风险的严重性及其整体分布情况。风险的时间是指主要考虑何时能够感到风险及持续多长时间。可以利用风险清单进行分析，并在项目进展过程中迭代使用。项目组应该定期复查风险清单，评估每一个风险，以确定新的情况是否引起风险的概率及影响发生改变。这个活动可能会添加新的风险，删除一些不再有影响的风险，并改变风险的相对位置。

在风险评估过程中，我们可以采取以下的步骤：

(1)定义项目的风险参考水平值。要使风险评估发生作用，就要定义一个风险参考水平值，对于大多数项目而言，通过对性能、成本、支持及进度等因素的分析，可以找出风险的参考水平值，对于性能下降、成本超支、支持困难或进度延迟（或者这四种的组合）等情况，超过这一参考水平值项目就会被终止。

(2)建立每一组（风险、风险发生的概率、风险产生的影响）与每一个参考水平值的关系。

(3)预测一组临界点以定义项目终止区域，该区域由一条曲线或不确定区域界定。

(4)预测什么样的风险组合会影响参考水平值。

风险驾驭包括对策指定、风险缓解、风险监控、风险跟踪等内容。

所有风险分析活动都只有一个目的——辅助项目组建立处理风险的策略。如果软件项目组对于风险采取主动的方法，则避免永远是最好的策略。这可以通过建立一个风险缓解计划来达到即制定对策。

对不同的风险项要建立不同的风险驾驭和监控的策略比。如对于开发人员离职的风险项目开始时应作好人员流动的准备采取一些措施确保人员一旦离开时项目仍能继续；制定文档标准并建立一种机制保证文档及时产生；对每个关键性技术岗位要培养后备人员。对于技术风险，可以采用的策略有，对采用的关键技术进行分析，避免软件在生命周期中很快落后；在项目开发过程中保持对风险因素相关信息的收集工作，减少对合作公司的依赖尤其是对延续性强的项目应该尽可能地吸收合作公司的技术并变为自己的技术，避免因为可能发生的与合作公司合作的终止带来的影响和风险降低投入成本。

一个有效的策略必须考虑风险避免、风险监控和风险管理及意外事件计划这样三个问题。风险的策略管理可以包含在软件项目计划中，或者风险管理步骤也可以组成一个独立的风险缓解、监控和管理计划（RMMM计划）。RMMM计划将所有风险分析工作文档化，并且由项目管理者作为整个项目计划的一部分来使用，RMMM计划的大纲主要包括：主要风险，风险管理者，项目风险清单，风险缓解的一般策略、特定步骤，监控的因素和方法，意外事件和特殊考虑的风险管理等。一旦建立了RMMM计划，我们就开始了风险缓解及监控，风险缓解是一种避免问题的活动，风险监控则是跟踪项目的活动。它有三个主要目的：评估一个被预测的风险是否真的发生了；保证为风险而定义的缓解步骤被正确地实施；收集能够用于未来的风险分析信息。

软件开发是高风险的活动。如果项目采取积极风险管理的方式，就可以避免或降低许多风险，而这些风险如果没有处理好，就可能使项目陷入瘫痪中。因此在软件项目管理中还要进行风险跟踪。对辨识后的风险在系统开发过程中进行跟踪管理，确定还会有哪些变化，以便及时修正计划。具体内容包括：

(1)实施对重要风险的跟踪；

(2)每月对风险进行一次跟踪；

(3)风险跟踪应与项目管理中的整体跟踪管理相一致；

(4)风险项目应随着时间的不同而相应地变化。

通过风险跟踪，进一步对风险进行管理，从而保证项目计划的如期完成。

书 名: 风险管理

作　者：郭延安

出版社： 清华大学出版社

出版时间： 2010年02月

ISBN: 9787302218487

开本： 16开

定价: 29.00 元

《风险管理(清华版)》适合作为普通高校尤其是高职院校金融、经济专业学生的风险管理课程的教科书，也可供工商企业或金融机构从业人员、相关研究人员使用。在世界经济一体化形势下，现代经济越来越依赖于金融业的发展，风险管理也就成为工商企业和金融机构的核心竞争力之一。《风险管理(清华版)》以系统介绍金融风险管理的基本理论与基本技能为主要内容，详细介绍了商业银行风险的特征、来源、传播及其种类，风险管理的文化、组织架构，风险管理的流程以及巴塞尔体系，商业银行风险管理的技术标准等，并对信用风险、操作风险、市场风险、流动性风险、国家风险、法律风险及声誉风险等具体风险形式的识别、评估及控制方法进行了重点介绍。

第一章 商业银行风险概述

第二章 风险管理基础

第三章 信用风险管理

第四章 操作风险管理

第五章 市场风险管理

第六章 流动性风险管理

第七章 国家风险管理

第八章 法律风险管理

第九章 声誉风险管理

第十章 商业银行风险管理技术

参考文献

……

书 名: 风险管理（第4辑）

作　者：中国金融风险经理论坛组委会编

出版社： 企业管理出版社

出版时间： 2010-5-1

ISBN: 9787802555259

开本： 16开

定价: 180.00元

《风险管理》秉承中国金鼬风险经理论坛的一贯精神和原则，扩展和延伸风险管理技术交缔平台，进一步促进中国风险经理之间的交流和现代风险管理理念，制度和技术方法在中国的广泛传播。

卷首语

沙龙研讨

主题风险

国际研究

风险图书

英文目录

作者: 〔美〕科罗赫

译者: 曾刚

出版社: 中国财政经济出版社

出版年: 2005-01-01

页数: 570

定价: 80.0

装帧: 平装

ISBN: 9787500576303

本书全面囊括市场风险、信用风险与操作风险，综合的VaR分析框架，降低风险的对冲策略，作者将风险管理的整个领域融为一体，从政策、方法论到数据、技术框架，介绍了综合性的风险管理、监管环境、资本分配、实际的度量问题以及未来的思考等。本书涵盖了投资对冲策略，将创新性衍生品、信用风险以及证券化技术等内容化为一部无所不包的、易于接受的参考指南。

米歇尔·科罗赫，博士，加拿大帝国商业银行风险管理部高级副总裁、全球分析师，负责市场及信用风险分析。在学术期刊上著述颇多，现任《衍生品》以及《银行与金融》杂志的副编辑，还是《风格》的编委会成员。

丹·加莱博士，希伯来大学金融管理教授，SigmaP.C.M股东。加莱博士为芝加哥期权交易所以及美国股票交易所提供咨询服务，并在领先杂志上发表了大量文章。他是芝加哥期权交易所首届Pomeranze奖获得者，该奖用于表彰期权研究方面的卓越成果。

罗伯特·马克，博士，加拿大帝国商业银行高级执行副总裁、首席风险官，直接向银行的主席和CEO汇报。马克博士是加拿大帝国商业银行高级执行团队成员，1998年被任命为全球风险师协会财务风险管理者。

前言

绪论

序言

第1章 风险管理体系的必要性

1.导言

2.历史演进

3.监管环境

4.学术背景与技术变迁

5.会计体系与风险管理体系

6.最近的金融危机所带来的教训

7.风险敞口的分类

8.非金融机构的风险管理体系

第2章 管制方面的新动向的公司环境

1.导言

2.30人小组（G-30）的政策建议

3.1988年巴塞尔协议

4.“1996年修正案”或“1998年巴塞尔协议”

5.2000巴塞尔协议

第3章 银行风险管理程序的设计和管理

1.导言

2.风险管理的组织：3支柱框架

3.数据和技术性设施

4.风险授权和风险控制

5.建立资产负债缺口的风险限额和流动性管理

6.结语：通往成功的步骤

第4章 新巴塞尔协议对金融风险的资本要求

1.导言

2.标准化方法

3.内部建模方法

4.标准化模型和内部模型方法的劫持和反对意见：一个新的建议——“预留方法”

5.根据标准经方法和内部建模方法计算出的资本要求比较

第5章 测度市场风险：VaR方法

1.导言

2.测度风险：一个历史视角

3.在险价值的界定

4.在险价值的计算

5.在险价值的计算

附录：债券的持续期和凸性

第6章 测度市场风险：VaR方法的扩展以及模型检验

第7章 信用评级体系

第8章 衡量信用风险的信用转移方法

第9章 用于衡量信用风险的或有求偿法

第10章 其他方法——衡量信用风险的实际的和简化形式的方法

第11章 对各行业开发的信用模型的比较以及相关测试问题

第12章 信用风险的套期

第13章 管理操作风险

第14章 资本分配与业绩评估

第15章 模型风险

第16章 非银行机构的风险管理

第17章 未来的风险管理

信息化是一个管理理念上的改变，而不仅仅是一个n’项目。不少企业高层管理人员尚未认识到这一点。项目实施的过程中仅由技术主管负责，缺少管理人员和业务人员的积极参与，项目经理由技术部门的领导担任。

管理观念的转变还体现在信息化系统实施过程对企业原有的管理思想的调整上。信息化不仅仅是用一个系统或买一套软件，更重要的是带来了整套先进的管理思想。只有深刻理解、全面消化吸收了新的管理思想，并结合企业实际情况加以运用，才能充分发挥系统带来的效益。因此，在实施过程中企业管理人员和业务人员转变管理思想是一个必不可少的痛苦过程。顺利转变管理思想，在某种意义上是信息化成功推行的最关键的因素。

在信息化的过程中，自然地要对企业的业务流程进行重组。系统的成熟、先进的业务流程模板值得借鉴。但是业务流程的重组牵涉到人员的变动、权力的重新分配、组织机构的改变，会触动某些人的既得利益，形成很大的阻力。没有充分的思想准备和物质准备，往往由于可能造成企业不愿或不能承担的损失，会迫使领导者半途止步，保留原有低效但运作平稳的流程。实施信息化系统不是一个简单的更新软件系统的事情，而是对企业的重新定位以及业务重组的事情。高层管理的实际支持与参与是根本保障。有些企业简单地把信息化的职权与责任移交给技术部门，而在实施过程中这些被赋予的权责往往很难得到落实。一把手的参与和支持是项目成功的重要因素之一。另外，不正视企业的特殊环境，以满足软件要求而进行业务流程重组，难免“削足适履”，因小失大。

包括软件的技术风险和软件的选择风险。由于信息技术发展的速度非常快，不确定性的因素大量存在，而人们对这些不确定性的认识和控制的能力又非常有限，许多经过认真论证的很好的研究项目，最后出现大大出乎预料之外的或者失败的结果的情形并非偶然的。此外，由于信息技术的基本载体与人们日常生活经验直觉的信息载体的差异，人们对信息技术的变化和当中的一些错误都不是很容易感知的。

实施队伍对于信息管理系统的成功实施至关重要，通常要由项目经理、流程指导顾问、技术支持顾问、项目组核心成员构成。项目实施小组要由具有丰富信息化系统项目实施和企业流程管理经验的咨询人员和企业内部的管理人员、业务人员以及技术人员一起组成。经常发生的情况是各方人员不到位，实施小组完全由计算机专业背景的技术人员组成，然而业务部门往往是决定项目正常运作的关键，缺少业务部门的积极参与与沟通将使项目的实施隐藏巨大的风险。

信息化项目投资弹性大并且经费的估计比较软性，资金的风险也需要特殊考虑。另外外部环境的变化也会对资金的需求产生一些预定计划之外的风险。信息化实施过程中需要投入较大的成本，实际资金支出往往远远超出当初的预算。咨询、维护、调整、升级等许多意想不到的开支往往使成本急剧增加，因此应有很好的成本控制计划。软件使用许可证的一次性费用约为几百万元人民币甚至过千万，每年的软件支持维护费在几十万元，一些品牌软件系统的维护费用是按照发达国家的人工和服务费标准收取的。支持系统运行的硬件投入和人员费用也是很大的。很多企业在支出过大而效益又不明显的情况下，只能后悔或放弃一些信息化的项目。

系统安全措施包括：操作系统授权、网络设备权限、应用系统功能权限、数据访问权限、病毒的预防、非法入侵的监督、数据更改的追踪、数据的安全备份与存档、主机房的安全管理规章、系统管理员的监督，等等。

目前，普遍存在着不重视系统安全的现象，诸如用户口令泄密、超级用户授权过多等。缺乏安全意识的直接后果是系统在安全设计上出现漏洞和缺陷，它将导致系统的瘫痪。对系统软件过多的更改可能会影响程序和数据的一致性和完整性，也给将来的软件版本升级增加了难度和成本。

智力密集型项目的时间安排弹性比较大，在实施信息化的过程中，进行项目管理、控制项目进度、确保整个实施过程能够按照预计的时问表进行，对项目的成败至关重要。人们在项目在一开始就没有能够制定明确的、可行的实施计划，在实施过程中不能按时实现里程碑性的目标，使领导人员和实施人员丧失信心，原定的目标发生变化，最终导致项目半途而废。

企业中原先各自分离的部门开发的一些信息系统在集成时会发生很多接口上的问题，要深入了解各独立模块之间的内部机制，将其有机地集成并非一件易事。数据库的共享需要数据的规范和利益各方的协调，如果考虑不周，很难将系统集成起来。软件版本需要经常性更新以积极运用日新月异的技术水平和容纳先进的管理思想，但各个软件商的发展方向、策略和版本更换步调不一致，它们之间的合作很松散，许多软件商在激烈的竞争中被淘汰，将来产品更新时新软件商未必能顾及与企业先前曾经合作的伙伴的软件产品的接口问题，因而会造成软件组合无法更新换代。业务流程在发展，对系统的要求不能一成不变，这最终导致企业不得不摈弃原有软件系统。因此选用信息化软件时最好不要同时选用多个厂家的产品组合。

一方面，如果系统的普适性较差，会使得系统对专业技术人员的依赖性太强，骨干人员的流失会造成系统的不稳定或无效。即便软件商或其他机构有一些服务的承诺，也时常会有令人很不愉快的事情发生。另一方面，一个不可忽视的情况是，由于信息化的过程弱化了一些不再重要的业务流程的骨干人员的作用，在不预先进行适当的考虑和统筹安排的情况下，这会挫伤他们的积极性并且可能直接影响到企业的长期发展。

系统的选择是一项十分复杂的工作。每个实施信息化的企业必须开发或选用一套大型的软件系统。软件系统的实现方案有三种，即自行开发、购买现成产品和租赁。

至于选择自行开发还是购买现成软件包；如果选择购买现成软件包，又应当如何挑选软件，这些抉择直接影响实施的时问、成本、风险及其对业务流程的影响程度。

(1)一部分核心业务部门的人的观念中，信息系统只是一个电脑系统，信息化的实施是信息系统部门的事情，跟其他部门关系不大；或者认为rI’部门是系统实施的责任人，在流程设计和实施上完全依赖rI’部门，他们要求怎么做就怎么做，出了问题就直接找rI’部门，自己反而成为了系统的操作员或奴隶。而rI’部门的人对业务流程的理解往往不够全面深入，很可能造成一些技术上可行，但业务上荒唐的错误。

(2)系统设计本身的错误或者新的情况变化后，系统没有及时作出适当的调整。

(3)有的人总认为系统是万能的，盲目相信系统，没有认真分析数据和信息，以至于发生一些明显的重大的错误。再好的系统也是帮助决策的，信息技术永远是一种支撑的手段。保持批评性的态度，结合经验和直觉进行必要的分析和检验是有益的也是必要的。

信息化软件有一个本土化和对具体企业的适应要求。一些国外的著名软件供应商的系统软件功能强大，性能稳定，包括了一些标准的通用模块和比较方便的调整接口。

但是，一般的供应商的兴趣和特定的企业用户需求之间的差距总是存在并且有时是很明显的。同时，服务支持系统及费用通常也是很需要考虑的因素。

最近的研究表明，企业在信息化的过程中同时也要注意兼顾原有的业务发展和管理经验，对信息系统进行有创意的改进。比如制造业企业的许多生产流15程的标准是很独特的，管理软件使用不当常常造成生产上的严重损失。企业信息化要强调以应用为主导，从应用人手，吸收国内外先进的生产管理理念，以改善国内企业管理经营者的基本工作条件。

以企业取得的实际效果为目标，才是企业信息化的正确道路。信息化建设不要追求技术水平如何高，而是要解泱企业的实际问题，让企业真正见效益，否则就没有生命力。信息化过程中的资金、人员、设备的投入都要以提高企业竞争力和企业效益为依归。实施企业信息化首先应该管理先行，要站在企业管理的角度建立模型，进行业务流程的优化。