ICS 03.100.01 CCS
中华人民共和国国家标准
GB/T 24353—2022/ISO 31000:2018
代替GB/T24353—2009
风险管理 指南Risk management——Guidelines
(ISO 31000:2018,IDT)
2022-10-12实施
2022-10-12发布
国家市场监督管理总局发布
国家标准化管理委员会
风险管理 指南
1 范围
本文件为组织管理其所面临的风险提供指南，组织可根据其具体环境，有针对性地应用。本文件为管理各种类型的风险提供了一种通用方法，而非仅针对某些特定行业或领域。本文件适用于组织全生命周期的任何活动，包括所有层级的决策制定。
2 规范性引用文件
本文件没有规范性引用文件。
3 术语和定义
下列术语和定义适用于本文件。3.1
风险 risk
不确定性对目标的影响。
注1∶影响是指偏离预期，偏离可以是正面的和/或负面的，可能带来机会和威胁。注2∶目标可有不同维度和类型，可应用在不同层级。
注3∶通常风险可以用风险源、潜在事件及其后果和可能性来描述。3.2
风险管理 risk management
指导和控制组织与风险（3.1）相关的协调活动。3.3
利益相关者 stakeholder；interested party
可以影响、被影响或自认为会被某一决策或活动影响的个人或组织。注∶"interested party"可用来替代英文对应词"stakeholder"。3.4
风险源 risk source
可能单独或共同引发风险（3.1）的要素。3.5
事件 event
某些特定情形的产生或变化。
注1∶一个事件可包括一个或多个情形，并且可由多个原因导致。
注2∶事件可能是预期会发生但没发生的事情，也可能是预期不会发生但却发生的事情。注3∶某事件有可能是风险源。3.6
后果 consequence
某事件（3.5）对目标影响的结果。
注1∶后果可以是确定的，也可以是不确定的；对目标的影响可以是正面的，也可以是负面的；可以是直接的，也可以是间接的。
注2后果可以定性或定量表述。
注3∶任何后果都可能通过连锁反应和累积效应升级。3.7
可能性 likelihood 某件事发生的概率。
注1∶在风险管理术语中，无论是以客观的或主观的、定性或定量的方式来定义、度量或确定，还是用一般词汇或数
学术语来描述（如概率，或一定时间内的频率），“可能性”都用来表示某件事发生的概率。
注2∶“可能性（likelihood）”这一英语词汇在一些语言中没有直接与之对应的词汇，因此经常用“概率（probability）”
这个词代替。不过，在英语中，“概率”常常被狭义地理解为一个数学词汇。因此，在风险管理术语中，“可能性”有着与许多语言中使用的“概率”一词相同的解释，而不局限于英语中“概率”一词的意义。3.8
控制 control
保持和（或）改变风险（3.1）的措施。
注1∶控制包括但不限于保持和/或改变风险的任何流程、策略、措施、操作或其他反动。注2∶控制并非总能取得预期的改变效果。
4 原则
"理能够改善绩效，鼓励创新、支持组织目标的实现。风险管理的目的是创造和保护价值
风险
目的和价值。
管理提供指导，现达了风险管理的意图、
图2列出的这些原则为有效和高效的风险
这些原则是风险管理的基础过在确立组织风险管理楼架和过程时以其考虑。这些原则有助于组织管理不确定性对目标的影响
针织改进
茶
人和
结构化
文化因素和全国性
创造和保护价值
*可用
定制化信息
动态性
包容性
图2 原则
有效的风险管理需要满足图2中列举的原则，其进一步解释如下。a） 整合
风险管理是组织所有活动的有机组成部分。
注∶将风险管理的原则、框架和过程融入组织其他管理活动及其制度办法，有助于推动风险管理的落实。b）结构化和全面性
采用结构化和全面性的方法开展风险管理，有助于获得一致的和可比较的结果。c） 定制化
组织根据自身目标所对应的内外部环境，定制设计风险管理框架和过程。d） 包容性
利益相关者适当、及时的参与，可以使他们的知识、观点和认知得到充分考虑。这样有助于提高组织的风险意识，并促进风险管理信息的充分沟通。e） 动态性
随着组织内外部环境的变化，组织面临的风险可能会出现、变化或消失。风险管理以适当、及时的方式预测、发现、确认和应对这些变化和事件。f） 最佳可用信息
风险管理的信息输入是基于历史信息、当前信息和未来预期的。在风险管理过程中宜明确考虑与这些信息和预期相关的限制条件和不确定性。信息宜及时、清晰，并且是有关的利益相关者可获得的。g） 人和文化因素
人的行为和文化在各个层级和阶段显著影响着风险管理的各个方面。h）持续改进
通过不断学习和实践，持续改进风险管理。
5 框架5.1 概述
风险管理框架的目的是协助组织将风险管理纳入重要的活动和职能中。风险管理的有效性取决于其与组织治理及决策制定的整合情况。这需要利益相关者尤其是最高管理层的支持。
框架制定包含在整个组织中整合、设计、实施、评价和改进风险管理。图3列举了风险管理框架的要素。