风险评估怎么做？
风险评估，是识别风险事件、判断发生概率和影响程度，并据此确定控制优先级和应对策略的过程。它的重点不是列出所有可能问题，而是判断哪些风险最可能影响目标、哪些控制措施最值得优先投入。
- 核心对象：风险事件、发生概率、影响程度、现有控制、剩余风险和应对优先级
- 核心动作：识别风险、评分分级、判断控制缺口、确定应对动作、设置复核频率
- 核心证据：风险清单、评分依据、风险矩阵、控制措施、预警指标和复核记录
风险评估解决的是有限资源先控制哪些风险
风险评估不是把风险写得越多越好，而是用统一标准判断风险的概率、影响和控制缺口。评估结果要能帮助团队决定先处理什么、谁负责处理、何时复核。
什么时候需要做风险评估？
风险事件影响目标达成
当某类事件可能影响安全、合规、成本、交付、客户或声誉时，需要进入风险评估。
不同部门判断不一致
如果有人认为风险很高、有人认为可以忽略，就需要统一概率、影响和控制标准。
控制资源有限
当无法同时处理所有风险时，需要用优先级决定先投放哪些控制措施。
风险评估的 5 个步骤
列出风险事件
把风险写成具体事件，例如“关键供应商延迟交付”，而不是只写“供应链风险”。
判断发生概率
结合历史数据、外部环境、流程薄弱点和人员经验判断发生可能性。
评估影响程度
从安全、合规、财务、客户、交付和声誉等维度判断影响范围。
放入风险矩阵
用概率和影响形成分级，识别高风险、重点监控风险和可接受风险。
制定应对和复核
明确规避、降低、转移或接受策略，并设置责任人、预警指标和复核频率。
风险评估适合哪些场景？
合规和内控检查
适合识别制度缺口、流程违规、职责不清和监督不足。
项目和运营管理
适合判断进度、成本、质量、安全和外部依赖风险。
金融和授信风控
适合分析客户信用、资金用途、还款来源、抵质押和行业波动。
风险评估常见误区
把风险写成模糊标签
“市场风险”“管理风险”太宽，无法直接分配责任和控制动作。
只看概率不看影响
低概率但高影响的事件也可能需要预案，不能只按发生频次排序。
评估后没有复核
风险会随环境、流程和控制措施变化，评估结果需要定期更新。
风险评估应沉淀哪些材料？
风险事件清单
记录风险描述、触发原因、责任部门、影响对象和现有控制。
风险矩阵和评分依据
记录概率、影响、控制有效性、风险等级和排序理由。
应对与复核清单
记录控制措施、责任人、预警指标、完成时间和复核频率。
常见问题
风险评估第一步应该做什么？
第一步是把风险写成具体事件，说明可能发生什么、影响谁、由什么触发，而不是只写一个宽泛类别。
风险概率和影响怎么判断？
概率可以参考历史发生频率、流程薄弱点和外部变化；影响要看安全、合规、财务、客户、交付和声誉等维度。
风险矩阵有什么用？
风险矩阵把概率和影响放在同一张图里，帮助团队区分优先控制、持续监控和可以接受的风险。
所有高风险都必须立刻处理吗？
不一定。还要看现有控制是否有效、资源是否可用、风险是否正在暴露，以及延后处理的代价。
风险评估多久复核一次？
重大项目、监管变化、流程调整或风险事件发生后应立即复核；稳定场景也应按月、季度或关键节点复核。
风险评估最容易模板化的说法是什么？
最容易模板化的是“加强风险管理”。合格表达应说明风险事件、概率影响、控制缺口、优先级、责任人和复核频率。
延伸学习路径
如果要把这个知识点用于组织学习或岗位能力建设，可以继续查看以下学习路径，按阶段理解主题、应用材料和成果要求。
