下载掌阅APP，畅读海量书库
立即打开
风险管理的思想古已有之。远古时代居住在岩洞里的原始人类就懂得用火恫吓猛兽或抵御猛兽的袭击。可以这样说，人类的发展历史，就是一部人类与各种各样的风险做斗争的历史，人类在其发展历程中的每一次进步，都意味着在认识和控制风险方面的又一次跃进。但作为一门系统的管理科学，风险管理（Risk Management）的概念是美国宾夕法尼亚大学所罗门·许布纳（S. S. Huebuer）博士于1930年在美国管理协会的一次保险研讨会上首次提出的。20世纪80年代以来，风险管理成为世界各国普遍重视的管理策略。国外有学者甚至认为，20世纪是保险业的世纪，21世纪将是风险管理的世纪。这里，我们援引1996年彼得·伯恩斯坦（Peter L. Bernstein）在《与上帝抗争：风险的非凡经历》一书中的论述来引入对风险管理各种定义的阐述。彼得·伯恩斯坦在该书中写道
：
“一个具有革命意义的看法是，对风险的掌握程度是划分现代和过去时代的分水岭。所谓对风险的掌握就是说未来不再更多地依赖上帝的安排，人类在自然面前不再是被动的。在人们发现跨越这个分水岭的道路之前，未来只是过去的镜子，或者只是属于那些垄断了对未来事件进行预测的圣贤和占卜者的黑暗领地。”
“风险管理有助于我们在非常广阔的领域里进行决策，从分配财富到保护公共健康，从战争到家庭计划安排，从支付保费到系安全带，从种植玉米到玉米片的市场营销。”
风险无处不在且永远都在运动变化中，风险管理的含义也非常宽泛且处于变革发展过程中。在保险与风险管理领域，专家学者们从各自不同的角度来定义风险管理。
美国风险管理领域的权威C.小阿瑟·威廉斯教授在其早期的《风险管理与保险》（第六版）教材中指出，风险管理是通过对风险的识别、估计和控制，以最少费用支出将风险所导致的种种不利后果减少到最低限度的一种科学管理方法
。这一定义的特色首先在于它揭示了风险管理的实质是以最经济合理的方式消除风险导致的各种灾害性后果；其次，它指出了风险管理是包括风险识别、风险衡量、风险控制等内容的一整套系统而科学的管理方法，并将风险管理纳入了现代科学管理系统，使之成为一门新兴的管理科学，而不是将风险管理仅仅视为处置风险的一种技术；最后，威廉斯在其最新版本的《风险管理与保险》（第八版）教材中强调了现代风险管理的业务范围在扩展、职能在创新，强调风险管理由传统的纯粹风险管理向纯粹风险与动态风险（例如财务风险）整合性管理变革。
美国另一学者格林在《风险与保险》一书中认为：“风险管理是管理阶层处理企业可能面临的特定风险的一种方法和技术；风险管理的对象是纯粹风险而非投机性风险。”该定义的特点在于将风险管理的范围集中于处置企业所面临的特定风险即纯粹风险，并将风险管理视为一门技术和一种方法。很显然，将风险管理的范围仅仅局限于企业面临的纯粹风险，是不能反映现代风险管理业务范围和职能的最新发展的。
英国特许保险学会（CII）教材从广义上界定了风险管理：从广义上说，风险管理是为了减少不确定事件的影响，通过组织、计划、安排、控制各种业务活动和资源，以消除各种不确定事件的不利影响。
美国风险管理与保险学者斯科特·哈瑞顿（Scott E. Harrington）在其出版的《风险管理与保险》一书中，着重从管理过程的角度来认识风险管理，包括识别风险、衡量潜在的损失频率和损失程度、开发并选择能实现企业价值最大化的风险管理方法、实施所选定的风险管理方法并进行持续地监测。而且他非常强调的风险管理的理念和方法，正被广泛地应用于诸如价格风险等动态风险的管理控制中。
中国台湾保险界的权威人士袁宗蔚在其《保险学——危险与保险》一书中，将风险管理定义为：风险管理是在对风险的不确定性及可能性等因素进行考察、预测、搜集分析的基础上制定出的包括识别风险、衡量风险、积极管理风险、有效处置风险及妥善处理风险所导致的损失等内容的一整套系统而科学的管理方法。
综上所述，本书对风险管理的定义如下：风险管理是指为实现一定的管理目标和策略，在全面系统及动态风险分析的基础上，对各种风险管理方法进行选择和组合，制定并监督实施风险管理总体方案的决策体系、方法与过程的总称。
对风险管理概念的理解，应强调以下几点：
（1）风险管理是一门新兴的管理学科，而不仅仅是一种管理技术。作为一门管理学科，风险管理同其他管理学科日益趋同，体现为计划、组织、指挥和协调各类组织的有关活动的管理过程，并强调以合理的风险管理费用支出将组织面临的各类不确定性风险控制在可接受的限度。
（2）风险管理过程不仅强调具体的组织框架、风险管理工具与方法的广泛运用，而且非常强调风险管理决策框架和整体思维框架的至关重要性。具体而言，现代风险管理的发展，强调秉承整体风险管理的理念，综合运用多种风险管理工具与方法，以最小的风险成本实现组织价值最大化的目标。
（3）明确风险管理应遵循不同的经营目标和策略。显然，不同的组织和机构，其经营环境和管理目标不同，风险管理的组织框架和具体的风险管理方法也会有所差异。风险管理以减少各种组织面临的不确定性、实现相应的管理目标为宗旨。
（4）强调系统、全面和动态的风险分析在整个风险管理决策框架和方法中的基础性作用。更进一步地讲，风险分析既包括通过完善客观概率统计方法去提高风险识别与衡量的能力，也包括提升风险管理者主观认知风险和衡量评价风险的能力。
（5）风险管理不应仅仅关注纯粹风险或静态风险，而且应当积极介入投机风险或动态风险的管理。现代风险管理的业务范围不仅仅停留在自然灾害和意外事件的管理，而且日益关注诸如市场价格波动之类的财务风险管理。伴随着全球经济的集中度和关联度的提高、金融服务的一体化和自由化进程加快及新技术、新材料的广泛使用，各类组织面临的不确定性增加。相应地，风险管理的业务范围也越来越宽泛，适用的领域越来越广，全面、整体的风险管理也将受到日益广泛的重视。
（6）风险管理的主体是各类组织，包括个人、家庭、企业的风险管理，也包括政府公共部门、非营利性的社会团体的风险管理。当然，不同的风险管理主体，其管理目标会有所差异，风险管理的决策框架和实施的风险管理方法也会有差异。
作为一门系统的管理科学，风险管理最早产生于美国。1921年，美国著名经济学家富兰克·H.奈特（Frank Hyneman Knight）在其经典著作《风险、不确定性和利润》一书中，将不能度量的不确定性和可以度量的风险进行了区分，认为“意外”是普遍存在的，并警告人们不要过分依赖以往发生事故的概率来对未来做出推断。1931年，美国管理协会保险部开始率先倡导风险管理，并通过举办学术会议和研讨班的形式集中研究风险管理和保险问题。1932年，美国纽约几家大公司组织成立了纽约保险经纪人协会，该协会定期讨论有关风险管理与保险的理论和实践问题，后来逐渐发展成为全美范围的“美国保险管理协会”，并进而发展为“风险和保险管理协会”，极大地推动了现代风险管理的兴起和发展。
究竟是学者们加速了风险管理的发展，还是商业实践激发了学者们的灵感，这一问题仍存有一定的争执。然而，毫无疑问的是，1955—1964年期间，诞生了现代的、学术性的、职业化的风险管理。1955年，加勒赫尔（Gallagher）明确提出“专业的保险管理者也应是专业风险管理人员”；1956年《哈佛商业评论》发表了加勒赫尔的论文《风险管理：成本控制的一个新阶段》，将风险管理引入实践阶段。20世纪60年代初，多伦多的一位保险经理巴罗（Barlow）在比较了自有资本损失、保费支出、损失控制成本及预收管理成本总额之后，发展了风险成本的理念，使风险管理的思想不仅仅局限于保险领域，开始缓慢向外拓展。1973年，著名的日内瓦协会即保险经济学研究国际学会（International Association for the Study of Insurance Economics）成立，开始了对风险管理、保险和经济学的综合研究，为促进风险管理原则的发展提供了重要的科学基础。1974年，瑞典的哈密尔顿（Hamilton）创立了风险管理周期模型，描述了风险管理过程——从风险评估、风险控制到制定相关措施和检验实施效果，并对各环节之间的相互作用进行检查，提升了风险管理系统的发展。1975年，“美国保险管理协会”正式更名为“风险和保险管理协会”（Risk and Insurance Management Society, RIMS），这是风险管理发展进程中的一个大事件。该协会通过广泛的教育计划和风险管理咨询服务，推进了风险管理在美国及世界其他地区的快速发展。
需要指出的是，风险管理在20世纪50—70年代的发展，很大程度上还得益于同一时期美国一些大公司发生的重大损失使公司高层决策者开始认识到风险管理的重要性。其中一次是1953年8月12日通用汽车公司在密歇根州的一个汽车变速箱厂因火灾损失了5 000万美元，成为美国历史上损失最为严重的15起重大火灾之一。这场大火与20世纪50年代其他一些偶发事件一起，推动了美国风险管理活动的兴起。之后，1979年3月美国三里岛核电站的爆炸事故，1984年12月3日美国联合碳化物公司在印度的一家农药厂发生的毒气泄漏事故，以及1986年苏联切尔诺贝利核电站发生的核泄漏事故等一系列事件，大大推动了风险管理在世界范围内的发展。
20世纪80年代风险管理发展的显著特点是风险管理思维方式的进一步提升和风险管理在全球范围的推进。
1980年，风险分析协会（The Society for Risk Analysis, SRA）在美国华盛顿成立。风险分析协会旨在系统、综合地反映公共政策、风险管理理论及环境风险管理的进展。到1999年，该协会的22 000多个会员活跃在欧洲和日本。由于风险分析协会的努力，风险评估、风险管理等术语频繁出现在北美和欧洲议会的讨论中，从而将风险管理扩展至更广泛的决策议程。
1983年，在美国风险和保险管理协会年会上，世界各国专家云集美国纽约，共同讨论并通过了“101条风险管理准则”，对风险管理的一般准则、技术与方法、管理等达成了基本共识，以用于指导各国风险管理的实践。“101条风险管理准则”共分12部分，包括：风险管理一般准则；风险识别与衡量；风险控制；风险财务处理；索赔管理；职工福利；退休年金；国际风险管理；行政事务处理；保险单条款安排技巧；交流；管理哲学。“101条风险管理准则”的通过，标志着风险管理发展达到了一个新的水平。
1986年，英国风险管理学会（Institute of Risk Management, IRM）在伦敦成立。该协会设立了一套风险管理学会会员的国际资格认证考试，这是一个着眼于风险管理全方位的长期性教育计划。而同年在新加坡召开的风险管理国际研讨会表明，风险管理已由大西洋区域向太平洋区域发展，成为由北美到欧洲再到亚太地区的全球性风险管理运动。
总体上来看，20世纪80年代风险管理思维发展的一个重要的特征，是强调风险管理不应该仅仅关注技术与财务风险，而且应当充分关注风险的人文层面。传统风险管理的思维方式受到严重挑战，开始向客观风险管理与主观风险管理并重的方向融合发展，财务风险管理与灾害风险管理也逐渐趋于融合。
长期以来，风险管理关注的对象主要是那些可能带来损失的风险。在20世纪90年代以前，风险管理的理论、方法和实践基本上是围绕纯粹风险展开的，而对诸如价格波动风险之类的动态风险则很少问津。究其原因，主要是因为大多数现代风险管理形式是从保险购买实践中发展而来的，保险一直作为传统风险管理的主要手段。长期以来，风险管理的发展就深深地打上了保险的烙印。研究风险管理的人大多来自保险界，具有实用意义的风险管理手段也通常是针对纯粹风险的，这在一定程度上限制了风险管理的发展。
进入20世纪70年代后，由于布雷顿森林体系崩溃带来了汇率风险，原油价格攀升引发了产品价格风险，金融自由化浪潮下衍生性金融商品的滥用及金融服务一体化进程带来了金融风险和金融危机，所有这些变化均导致了20世纪80年代对财务风险管理需求的爆发性增长。然而，尽管财务风险管理应该被认为是风险管理的一个重要组成部分，但20世纪80年代以来财务风险管理的发展并没有引起风险管理和保险学界的充分重视。究其原因主要有：一是因为与财务风险管理有关的部门主要是商业银行、投资银行等，并不是保险公司；二是人们思维定式的惯性，仍然认为风险管理和保险所应解决的问题主要是纯粹风险的管理。直至1998年美国风险与保险学会的年会上，财务风险管理才引起了保险学界和业界的充分重视。美国风险管理与保险学会时任主席斯蒂芬·阿瑟（Stephen P. D′Arcy）在大会的演说中特别指出：风险管理与保险的研究应该从对纯粹风险的研究转向对投资风险的研究，从对人身和财产风险管理的研究转向对财务风险管理的研究。由此，财务风险管理和金融风险管理才有了长足的发展，并成立了全球性的风险专业协会。首席风险执行官（Chief Risk Officer, CRO）在北美的一些公司（主要是金融行业）中出现并受到重视。首席风险执行官负责对公司面临的所有风险进行识别和度量以及对风险资本进行有效利用。
20世纪90年代以来，保险业自身的创新变革打破了保险市场与资本市场的界限，金融混业经营的趋势加速发展。而在混业经营背景下，风险分析和风险控制显得尤为必要。因此，财务再保险、新的财务风险评估方法如在险价值（Value-at-Risk, VAR）的广泛运用，使财务风险管理进入了更高的平台。
20世纪90年代，风险管理发展的另一个显著特征是整合性风险管理的思维和决策体系逐步从后台步入前台，成为21世纪最具前景的发展领域。整合性风险管理框架受到广泛重视，使风险管理越出传统的金融和保险领域，成为企业经营管理、跨国公司经营管理的核心管理哲学，其重要性将会随着经济全球化的深化而越来越明显。
1999年，《巴塞尔新资本协议》形成了全面风险管理理论发展的一个推动力，《巴塞尔新资本协议》将市场风险和操作风险纳入资本约束的范围，提出了资本充足率、监管部门监督检查和市场纪律三大监管支柱，蕴含了全面风险管理的理念。进入21世纪，尤其以2001年美国遭受“9·11”恐怖袭击、2002年安然公司倒闭等重大事件为标志，使众多企业意识到风险是多元的、复杂的，必须采用综合的管理手段。全面风险管理的概念获得广泛认同。2001年，北美非寿险精算师协会（Casualty Acturial Society, CAS）明确提出了全面风险管理（Enterprise-wide Risk Management or Enterprise Risk Management, ERM）的概念，并对这种基于系统观点的风险管理思想进行了较为深入的研究。CAS对ERM的定义为：ERM是一个对各种来源的风险进行评价、控制、研发、融资、监测的系统过程，任何行业和企业都可以通过这一过程提升股东短期或长期的价值。随后，在内部控制领域具有权威影响的COSO委员会
，于2004年9月发布了《企业风险管理——整合框架》报告“EnterpriseRisk Management——Integrated Framework”。COSO的风险管理整合框架中的风险管理概念、内容、框架构成了现代全面风险管理理论的核心。ERM框架定义全面风险管理、阐述原则、模式、标准，为企业和其他类型组织评价和加强全面风险管理提供了基础，并引入了风险偏好、风险容忍度、风险度量等概念和方法，为衡量企业风险管理的有效性提供指导。ERM框架对全面风险管理的定义下得比较宽泛，可以运用于不同组织、不同行业和不同领域。定义的重心直接落在特定组织目标的实现上，为评价全面风险管理的有效性打下了基础。全面风险管理模式可概括为“全球的风险管理体系、全面的风险管理范围、全员的风险管理文化、全程的风险管理过程、全新的风险管理方法、全额的风险计量”。全面风险管理过程应用于企业内部的每个层次和部门，考虑组织内所有层面的活动，从企业总体的活动（如战略计划和资源分配）到业务部门的活动（如市场部、人力资源部），再到业务流程（如生产过程和新客户信用复核），因此全面风险管理是当今企业为完善风险管理而提出的一种要求。全面风险管理框架有三个维度，第一是风险管理目标维度。风险管理目标和组织的风险要求紧密联系，决定着组织经营活动中对风险的容忍度。整体框架所界定的目标有四类：战略目标、经营目标、报告目标和监管目标。这种分类可以把重心放在全面风险管理的不同侧面，不同类型的目标互相重叠，一种特定的目标可能会落入不止一个类别，不同类别的目标对应组织的不同需要。第二是风险管理要素维度。全面风险管理包括八个方面的要素，即内部环境、目标设定、风险识别、风险评估、风险对策、控制活动、信息和交流、监控，这几个要素来自管理层经营企业的方式，并和管理流程整合在一起。八个因素相互独立、相互联系又相互制约，共同构成了全面风险管理这一有机体系。第三是企业组织层级维度。企业的各个层级包括组织的高级管理层、各职能部门、各条业务线及下属各子公司，组织里的每个人对全面风险管理都负有责任。全面风险管理框架三个维度的关系是：全面风险管理的八个要素都是为组织的四个目标服务的；组织各个层级都要坚持同样的四个目标；每个层级都必须从以上八个方面进行风险管理，该框架适合各种类型的企业或机构的风险管理。
2006年，国际风险管理会议将“将全面风险管理整合到企业实践中去”作为其主题，表明全面风险管理在企业实践中的重要地位已经引起了学术界和企业界的高度重视。之后的研究都是在全面风险管理理念的基础上进一步的细化和深入。
作为一门新兴的管理科学，风险管理的目标究竟是什么？风险管理的早期倡导者詹姆斯·克瑞斯提（James Cristy）认为：“风险管理是企业或组织通过控制意外损失事故风险，以保障企业或组织盈利。”美国著名风险管理专家赫利克斯·科罗曼（Helix Kloman）认为：“风险管理的目标是保存组织生存的能力，并对客户提供产品和服务，从而保护公司的人力与物力，保障企业的综合盈利能力。”美国斯科特·哈瑞顿（Scott E. Harrington）认为：“风险管理的总体目标是通过风险成本最小化实现企业价值最大化。”如何理解不同专家学者在描述风险管理目标上的差异？我们需要以一种动态的、发展的眼光来审视风险管理的目标。伴随风险管理的理念、方法及业务范围的发展变化，风险管理的目标也会相应地做出调整。具体可以从以下三个方面来把握风险管理的目标：
通过风险成本最小化实现企业价值最大化是风险管理的总体目标。简而言之，由于风险存在而导致企业价值的减少，构成了风险成本。纯粹风险成本包括：①期望损失成本；②损失控制成本；③损失融资成本；④内部风险抑制成本；⑤残余不确定性成本。通过全面系统的风险管理，可以减少企业的风险成本，也就是减少企业的现金流出或增加企业的现金流入，稳定企业的净现金流量，从而实现企业价值的最大化。简而言之，就是通过风险成本最小化实现企业价值的最大化。
通过加强损失控制、事先安排损失融资方式及组织内部积极采取措施抑制风险等风险管理的手段，有效地减少风险损失发生的频率及损失程度，减轻经济主体对潜在损失的烦恼和忧虑，从而优化资源配置，这是风险管理的损失前目标。
通过实施有效的损失融资安排及其他的风险管理方法，保证企业和组织在遭遇不确定风险损失时能够及时得到补偿，从而维持生存，或是保持企业的正常经营，实现企业的稳定收益，这是风险管理的损失后目标。
为实现风险管理的目标，我们应遵循以下风险管理的基本原则：
首先，必须全面周详地了解各种风险损失发生的频率、损失的严重程度、风险因素以及因风险出现而引起的其他连锁反应，这是实施风险管理的重要基础。其中，损失发生的频率和损失发生的严重程度会直接影响人们对损失危害后果的估计，从而最终决定着风险管理方法的选择及其效果的优劣。其次，应全面周详地安排风险管理计划，选择风险管理的方法。局部的乃至细微的疏忽，往往会给全局带来严重不利的影响，甚至会影响风险管理目标的实现。最后，应当全面周详地实施风险管理计划，并不断根据实际情形进行调整，这是实现风险管理目标的可靠保证和必备前提。所以，全面周详原则是风险管理的基本原则。
风险管理方法的选择必须遵循量力而行的原则。风险管理作为一种处置风险、控制风险的科学管理方法，为人们与风险损失的斗争提供了一种系统的武器。但并不是说任何企业、单位与个人都能轻而易举地实施风险管理，达到处置风险、减少损失的目标。相反，在实施风险管理过程中，各实施主体应根据量力而行的原则，综合采用多种风险管理方法来控制风险、转移风险损失的财务后果。如果确认某种风险是无法消除和防止的，就应该估计损失的程度，事先安排有效的损失融资方式，尽量降低该损失对企业正常生产经营活动或对个人、家庭生活水平的影响。如果风险发生后会导致巨大的经济损失，引起企业停产、破产或使个人、家庭发生严重的经济困难，这种已超过主体自身财力所能承担的风险，就应当采取保险方式来处置。所以，在风险管理中应注重量力而行的原则。
风险管理的重要性不仅在于提供了一套系统科学的处置风险方法，而且在于它强调以最少的成本、最少的费用支出获得最大的风险管理效益。成本效益比较原则是风险管理应遵循的另一重要原则，尤其是在风险管理实务中，这往往成为优先考虑的因素。因而，在实施风险管理实践过程中，如何合理、有效地选择最佳风险管理方法，应围绕以最少的费用支出获得最大的风险管理效益这一中心，无论是自留风险、保险，还是损失控制，都是在成本约束条件下选择最佳方案。上述方法无论是单独使用还是综合使用，都必须进行费用与效益的比较。只有实现以最少费用获得最大风险管理效益之后，我们才能够说是真正实现了风险管理的宗旨和目标。如果风险的处置与控制是以付出高昂的费用成本为代价，就不能真正体现风险管理作为现代科学管理方法的优越性。
界定风险管理的基本职能并不是一件容易的事情。风险管理的理念和方法在不断创新，其职能也在不断拓展。传统风险管理的基本职能集中于处置“可保险的风险”上。到20世纪80年代，风险管理的职能逐步扩大，拓展到处置一些诸如价格变动风险的动态风险领域。20世纪90年代以后，整合性风险管理理念和系统方法的提出，进一步将风险管理的基本职能拓展至投资决策管理、金融风险管理等领域。
就一般意义上来说，风险管理的基本职能可描述为“最大限度地减少组织面临的不确定性”。具体而言，风险管理的基本职能可以分解为以下几方面：
（1）帮助经济组织全面系统地识别和估计风险；
（2）实施损失控制和内部风险抑制计划；
（3）安排各类保险计划，构成经济组织最基本、最核心的风险管理职责；
（4）安排各类非保险损失融资计划，如自留风险和专业自保计划；
（5）设计和协调员工福利计划；
（6）提供风险管理的教育培训计划；
（7）提供索赔管理与法律诉讼服务。
整合性风险管理理念和方法的发展，进一步拓展了风险管理的基本职能，包括：
（1）货币保值；
（2）资本预算；
（3）公共关系；
（4）游说政府；
（5）公司并购。
可以这样说，现代风险管理的发展，已经使得风险管理发展成为企业管理中一个具有相对独立职能的管理领域。在围绕企业的经营和发展目标方面，风险管理和企业的经营管理、战略管理一样具有十分重要的意义，且三者之间相互融合、紧密联系（如图1-1所示）。
图1-1 经济组织的三个核心职能
不论什么类型的风险，其管理过程一般都包括以下几个关键步骤：
（1）确立风险管理目标；
（2）识别各种可能减少企业价值（导致损失）的重大风险；
（3）衡量潜在损失可能发生的频率和程度；
（4）开发并选择适当的风险管理方法，其目的是增加股东的企业价值；
（5）制定并实施所选定的风险管理方案；
（6）持续地对经济组织的风险管理方案和风险管理战略的实施情况和适用性进行监督、评估与反馈。
确立风险管理目标是风险管理程序的第一步，是风险管理决策行为的重要基础和首要前提。风险管理目标应该是具体可行的，并融入到企业的战略管理、运营管理过过程中。正如前面所述，企业风险管理的总体目标是通过风险成本最小化实现企业价值的最大化。这是就一般意义而言的。事实上，对不同的企业而言，风险管理的具体目标可能各不相同，但都强调风险管理目标与企业的经营管理目标、战略发展目标相协调。当然，由于个人、家庭、非营利性社会团体及政府公共部门的风险管理目标各有不同，其风险管理决策和采用的风险管理方法也就略有差异。
风险识别是指对各类潜在的和现实的风险因素进行全面、系统地信息搜集并认知风险的方法与过程。将风险进行归类和细分，如物质性风险、人身风险、金融风险、财务风险、财产与责任风险、收入波动风险等，对于把握风险的性质及其危害，具有重要的指导意义。在风险感知的基础上，进一步分析各类风险事故的致损原因，准确区分相关风险因素，如自然、社会、心理及行为等，对于风险损失的控制、风险事故发生后实施经济补偿均是必不可少的决策环节。
风险问题的复杂性，要求风险识别应当是全面系统和动态调查的过程，既需要对业已认知的各类风险运用新的方法与技术进行准确识别，更要关注一些潜在的、新兴的、可能带来某些灾害性后果的新风险，增强识别和认知程度；既要探寻自然灾害风险的运动轨迹，继续增强风险识别的科学性，更应高度关注人为风险及其危害后果。受多种复杂因素的共同作用，现代人因行为和心理方面的扭曲、压抑所导致的心理失常、精神失范，将有可能对社会带来某些灾难性后果，这是未来社会应当高度重视的风险源。从某种意义上说，人的行为失范对社会带来的负面影响甚至可能远远大于一般自然灾害的危害程度。问题的症结正是在于我们对这类风险源的诱因知之甚少。这从一个侧面说明对风险的认知和定性分析具有重要价值。
风险识别的方法有很多，并且随着人类认知风险能力的增强、科学技术的发展创新以及经验的不断积累，识别风险的方法将得到改进并趋于完善。在宏观领域中，决策分析、投入产出分析、统计预测分析、幕景分析、神经网络模型分析等具有重要的风险识别功能；在微观领域中，生产流程图法、损失清单分析法、保险调查法、财务分析法等均是企业常用的风险识别方法。而随着医疗技术进步与各种医疗检测手段的综合运用，对各类疾病风险的识别和检测，亦达到相当完善的水平，如心理与行为测评法、心理分析和心理疗法在识别人类自身的各种潜在行为风险时，发挥着越来越重要的作用。
经过全面系统的风险识别之后，就进入了风险衡量阶段。风险识别与风险衡量经常被统称为风险分析。风险衡量就是运用概率论和数理统计方法对潜在损失风险发生的频率、损失的范围与程度进行估计和衡量。损失频率是指一定时期内损失可能发生的次数；损失程度是指每次损失可能发生的规模，即损失金额的大小。
风险衡量在风险管理中的重要意义体现在两个方面：一方面有助于估计和衡量风险程度，降低损失后果的不确定状态；另一方面，有利于把握风险损失波动情况及其变化幅度，为选择风险管理方法和进行风险管理决策提供科学依据。
具体而言，风险衡量的内容应包括三个方面：首先，风险衡量要估计风险事故在一定时间内发生的频率大小，估计不同概率水平下的损失后果；其次，风险衡量要估计和衡量不同经济组织面临的平均风险损失及总损失金额的大小；最后，风险衡量要分析、估计每一次具体的风险损失偏离平均损失的程度，这对风险管理决策取向具有关键意义。
在确立风险管理目标和系统分析风险的基础上，根据风险管理的基本原则，开发并选择适当的风险管理方法，为风险管理决策提供可比较的方案，这是风险管理程序的一个重要组成部分。风险管理方法大致可以分为三类：损失控制、损失融资和内部风险抑制，如图1-2所示。
图1-2 主要的风险管理方法
1．损失控制
所谓损失控制，是指有意识地采取行动降低损失发生的频率或减少损失的程度。通常把主要是为了降低损失发生频率的行为称为损失预防手段，而把主要是为了减少损失程度的行为称为损失抑制手段。一般来说，损失预防是防患于未然，其行为作用于损失事故发生之前；损失抑制是“亡羊补牢”，其行为作用于损失事故发生过程中或损失事故发生之后。损失预防的一个常见例子是对飞机进行定期检查，以防止飞机机械故障的发生，从而降低了飞机坠毁的频率，但对飞机一旦坠毁的损失程度却无能为力。损失抑制的一个常见例子是安装热感或者烟感的喷淋系统，从而减少火灾事故的损失程度。但是，需要说明的是，许多损失控制手段会同时影响损失频率和损失程度，所以往往无法将它们严格归于损失预防还是损失抑制手段。举个例子，在汽车中安装安全气囊在大多数情况下可以降低车祸中伤害的严重程度，但同时也可能影响到车祸伤害发生的频率。车祸伤害事故是增加还是减少，取决于由于安全气囊的保护使得虽然发生了车祸事故却没有造成伤害的次数，是否超过了由于安全气囊在不恰当时间打开或打开太猛而造成的伤害事故的次数，以及由于安全气囊的保护作用而使司机麻痹大意造成的车祸事故与伤害的次数。
损失控制的一种极端情况就是避免风险。避免风险就是当风险损失发生的可能性很大或损失程度很严重时，可以主动放弃有可能产生风险损失的某项计划或某一事物。例如，航空公司考虑到天气恶劣而取消某次航班，就避免了该航班发生空难事故的风险。当然，我们也应该清楚地知道，避免风险的方法虽然将风险损失的概率控制到为零，但同时也丧失了风险行为可能带来的收益。
有必要着重指出的是，在整个风险管理决策框架中，风险控制
最为重要，它是积极主动的风险管理思维观，充分体现了人的主观能动作用，提升了人在整个风险管理框架中的关键性作用。人是风险事故的主要承受者，也是为数不少的风险事故的重要风险源。只有重视人的作用，提升人对生命价值的深切关怀，才能从根源上、从根本上关注人类所处的风险社会，并寻求其解决的办法。因而在众多风险控制工具中，安全教育的重要性，无疑远远高于一般的、具体有形的安全工程及技术和方法。如果风险控制的这一决策思路能够上升到管理哲学和决策思维的层面，是我们提升风险控制质量和水平的关键点。
2．损失融资
较之于损失控制方法，损失融资方法是一种消极的措施。所谓损失融资方法，是指一旦风险事故发生，通过预先的损失融资安排，提供及时有效的经济补偿，使经济组织的生产经营迅速恢复到正常水平成为可能。一般而言，损失融资方法包括：自留风险、购买保险、套期保值交易及其他合约化风险转移手段。
（1）自留风险。它是指经济组织自己承担了部分或全部的风险损失。自留风险是风险管理中一种重要的损失融资方法。自留风险包括主动的、有意识的、有计划的自留与被动的、无意识的、无计划的自留两大类。前者是在全面的风险识别和准确的风险衡量基础上，认为对某些损失后果采取自行承担，将比转移给外部机构更经济合理，从而主动选择了自留风险，以便更好地实现股东价值的最大化；后者往往是在没有意识到风险存在或低估了风险损失的程度或无法将风险转移出去时，只能由经济组织自行承担风险损失的财务后果了。
企业自留风险的损失融资安排包括：①动用企业的库存现金、银行存款或其他流动资产来补偿经济损失，然后在较短时期内摊入企业生产成本或营业成本；②建立意外损失补偿基金；③向外借入资金，如应急贷款或特别贷款；④发行新股；⑤成立专业自保公司，为企业内部的风险损失进行自我保险。需要指出的是，在企业遭受重大风险损失后，向外举债和增发新股的难度都会比较大，或者是成本比较高。
（2）购买保险。保险是一种风险转移机制，是风险管理中普遍采用的一种损失融资方法。经济主体通过购买保险的方式，以确定的保险费支出获得了保险人对不确定的风险损失进行补偿的承诺。保险人通过集中大量同质性风险单位，收取保险费并建立保险基金，将少数被保险人的风险损失在众多的投保人中进行分摊，从而实现了风险分散、损失分摊的职能。
（3）套期保值交易。它是一种很重要的损失融资方法。诸如远期合约、期货合约、期权合约以及互换合约等金融衍生产品已经广泛应用于多种类型风险的管理中，特别是价格风险的管理。可以利用这些合约来对某些风险进行对冲，也就是对冲由于利率、价格、汇率变动而带来的损失。这里我们举一个简单的例子来说明套期保值交易如何对冲价格风险。在生产过程中要使用石油的公司会因为石油价格的意外上涨而遭受损失，而生产石油的公司则会因为石油价格的意外下跌而遭受损失。于是，这两类公司可以使用远期合约来进行套期保值。在远期合约中，生产石油的公司必须在未来某个约定的交货日以一个事先约定的价格（称作远期价格）向使用石油的公司提供约定数量的石油，而不管当时市场上石油的实际价格是高还是低。由于在签订合约时，远期价格就已经商定妥了，所以使用石油的公司与生产石油的公司都可以通过远期合约来降低价格风险。
（4）其他合约化风险转移手段。经济主体可以通过签订合约的方式来转移财产或经营活动的风险。例如，出租人可通过财产租赁合同将财产风险转移给承租人，建筑商可通过分包合同将风险较大的工程项目转移给专业施工队，医院可以通过签订免责协议将手术风险转移给患者及其家属等。与避免风险不同的是，在通过签订合约转移风险的情况下，风险本身依然存在，只不过是通过合约将损失的财务或法律责任转移给其他经济主体了。
值得一提的是，随着金融、保险创新的不断深化，近年来出现了一些新的损失融资方法，如巨灾证券化、有限风险保险、财务再保险等，有力地推进了新形势下损失融资方法的创新和发展，开辟了风险管理的新路径。
3．内部风险抑制
目前被广泛采用的内部风险抑制方式有：①分散化；②增加信息投资。分散化是指经济组织通过将经营活动分散的方式来从组织内部降低风险，也就是人们常说的“不把所有的鸡蛋放在一个篮子里”。需要注意的是，公司股东采取投资组合来分散风险的做法，会对公司购买保险以及使用对冲手段的决策产生重要的影响。增加信息投资的目的是提高损失期望估计的准确程度。增加信息投资所带来的对企业未来现金流更精确的估计或预测，可以减少实际现金流相对于期望现金流的变动。
这方面的例子很多，如增加信息投资来提高对纯粹风险损失发生频率和损失程度估计的准确性，为降低产品价格风险而对不同产品潜在需求情况进行的市场调研，以及对未来商品价格或利率进行预测等。
风险管理决策是指根据风险管理的目标和基本原则，在全面、系统的风险分析基础上，科学地选择风险管理方法及其组合，从而制定出风险管理的总体方案和管理重点。风险管理决策是风险管理程序的重要组成部分。
选择什么样的风险管理工具和方法，必须以风险管理的目标和基本原则为基本出发点。立足于这一决策基点，需要在风险分析的基础上，进一步做出购买保险决策，安排自留风险决策，尤其需要充分考虑在实施全面风险控制的前提下，保险决策与自留风险决策的科学、合理的组合，以体现风险管理决策的价值。通过各种风险管理方法的最佳组合，以最小的风险成本实现企业价值的最大化。
风险管理方案的实施是指将风险管理的各项任务付诸实施，并在各职能部门分配，具体实施购买保险计划、风险控制计划（包括损失控制计划与企业内部风险抑制计划）、自留风险计划等。风险管理的格言是：损失前的预防胜过损失后的补偿。因而，风险管理方案的实施阶段，应当充分发挥损失前风险控制工具的重要作用，通过积极的风险防范措施，启动预警系统，尽可能消除隐患。在损失发生后，尽快启动抢救机制和救助机制，将损失的后果和人员伤亡减少到最低限度。由于风险的不确定性和复杂性，风险管理方案在实施过程中，应注意体现综合配套和灵活调整的管理原则，这对于提升风险管理的绩效具有非常重要的意义。
在风险管理方案的实施过程中，需要根据风险管理目标和实施的具体情况，不断地调整原有风险管理方案，使之更加符合预定的风险管理目标和实际情形。风险管理方案实施效果的监督与评估贯穿于风险管理的全过程，需要对风险管理方法的选择、风险管理决策过程、风险管理实施程序等进行系统的评估，并不断地调整风险管理方案及其实施程序。由于风险管理过程的复杂性，强化对风险管理各个环节进行动态监督与评估，不断运用反馈机制对风险管理方案进行调整，使之与风险管理的每一个具体目标都更加接近，这对于风险管理总体目标的实现、提升风险管理决策水平、提高风险管理绩效等，均具有非常重要的意义。