ISO 31000是一项国际指南性标准，为任何规模、任何行业的组织提供风险管理的原则、框架和流程。该标准将风险定义为“不确定性对目标的影响”；这种影响可能是负面的，也可能是正面的。根据国际标准化组织（ISO）的信息，现行版本为ISO 31000:2018，并已于2023年经复审确认继续有效。
该标准正在更新：根据ISO目录，第3版草案ISO/DIS 31000已于2026年11月3日注册为国际标准草案，目前处于向ISO成员征询意见的阶段；新版发布之前，2018版继续适用。风险评估所用的技术则在另一份文件——2019年发布的IEC 31010中加以说明。
简而言之：
- ISO 31000是指南而非要求；据ISO介绍，它不能用于认证。
- 流程包括沟通与咨询、范围与环境、风险评估、风险应对、监督与评审、记录与报告。
- IEC 31010将评估环节的技术分为10组，其中包括HAZOP、FMEA、蝴蝶结分析和风险矩阵。
什么是ISO 31000，可以据此获得认证吗？
ISO 31000由ISO风险管理技术委员会ISO/TC 262负责制定。根据其范围条款，该文件不针对特定行业，可在组织整个生命周期内用于任何活动，包括各层级的决策。标准将风险管理定义为在风险方面指导和控制组织的协调活动。
最常见的问题是认证。ISO目录页的回答很明确：ISO 31000提供良好实践指南，但不是可认证的风险管理标准。因此，所谓“ISO 31000证书”至多只能指个人培训证书；组织并不能依据该标准获得认证。
根据前言，取代2009版的2018版重新审视了作为成功关键标准的各项原则，突出了最高管理层的领导作用以及风险管理与治理的融合，并更加强调流程的迭代性。ISO宣传手册还指出，部分术语已移至单独的术语文件ISO Guide 73。
ISO 31000风险管理流程包括哪些步骤？
标准第6章描述了这一流程。根据目次，步骤如下：
| 步骤 | 内容 |
|---|---|
| 沟通与咨询 | 与相关方交换信息并听取意见 |
| 范围、环境与准则 | 界定范围、外部和内部环境、确定风险准则 |
| 风险评估（risk assessment） | 风险识别、风险分析、风险评价（risk evaluation） |
| 风险应对 | 选择应对方案，制定并实施应对计划 |
| 监督与评审 | 定期检查流程及其结果 |
| 记录与报告 | 记录结果并传达给相关人员 |
流程不能单独运转。第5章描述了承载流程的框架：领导与承诺、整合、设计（了解组织及其环境、分配角色和职权、配置资源）、实施、评价和改进。正因如此，“范围、环境与准则”这一步十分关键：如果事先没有界定哪些风险可以接受，后续的评价就会变成因人而异的主观判断。
关于术语需要注意：英文的risk assessment是涵盖识别、分析和评价的上位步骤，而risk evaluation只是其中最后一环。在内部文件中清楚区分这两个概念，有助于避免混淆，尤其是在翻译时。
IEC 31010包含哪些风险评估技术？
根据国际电工委员会（IEC）目录，IEC 31010:2019为在不确定条件下辅助决策的风险评估技术的选择和应用提供指导；它与ISO以双标识形式共同发布。2019年6月13日发布的第2版取代了2009年的第1版：技术的数量和适用范围有所扩大，ISO 31000中已涵盖的概念不再重复。文件共264页。
附录B按用途将技术归纳为10组；目次中这些组下共列出41个技术条目：
| 组别 | 技术示例 |
|---|---|
| 征集相关方和专家意见 | 头脑风暴、德尔菲法、名义小组法、结构化访谈、问卷调查 |
| 识别风险 | 检查表、FMEA/FMECA、HAZOP、情景分析、SWIFT |
| 确定风险来源与原因 | 石川图（鱼骨图）、危险学方法 |
| 分析控制措施 | 蝴蝶结分析、HACCP、LOPA |
| 了解后果与可能性 | 贝叶斯分析、业务影响分析、事件树、故障树、人因可靠性分析、马尔可夫分析、蒙特卡洛模拟 |
| 分析依赖与相互作用 | 因果图、交叉影响分析 |
| 给出风险度量 | 毒理学风险评估、风险价值（VaR）、条件风险价值 |
| 评价风险重要性 | ALARP/SFAIRP、F-N图、帕累托图、以可靠性为中心的维修、风险指数 |
| 在方案之间选择 | 成本效益分析、决策树、博弈论、多准则分析 |
| 记录与报告 | 风险登记册、后果/可能性矩阵（风险矩阵）、S曲线 |
一个值得注意的细节是：风险矩阵并不在分析技术之列，而是归在记录与报告组。换言之，矩阵不能替代分析，而是呈现分析结果的一种方式。
如何选择合适的风险评估技术？
IEC 31010第6章和第7章要求在选择技术之前先规划评估：明确目的和范围、了解环境、让相关方参与、考虑人员、组织和社会因素，并审查决策准则。随后是收集信息与建模、验证结果以及不确定性和敏感性分析。附录A中的表格说明了每种技术适用于ISO 31000流程的哪个步骤。
以下实用问题并非引自标准，而是供选择时参考的起点：
- 要回答什么问题？ 是发现新风险、估算已知风险的可能性，还是在两个方案之间做选择？
- 有没有数据？ 数值数据少时，基于专家意见的技术更合适；数据丰富时，概率模型更合适。
- 谁来参与？ HAZOP等技术需要多学科团队；若组建不了，结构化检查表更现实。
- 结果交给谁？ 面向董事会，风险登记册和矩阵更适用；面向工程部门，故障树或事件树更有用。
结论：ISO 31000是一套程序，还是一种管理语言？
ISO 31000并不给组织一张现成的表格，而是提供一种共同语言：如何讨论风险、由谁决策、流程如何循环。IEC 31010则补充了“如何衡量”这一面。在2018版仍然有效、第3版处于草案阶段之际，正是审视现有风险程序的好时机。实用的第一步，是把组织的风险准则写成书面文件，并为每项风险记录选用了哪种技术以及原因。实际案例请参阅危险分析与风险矩阵一文。
“ISO 31000风险管理”是Orient Global企业培训目录中的课程之一；详情请见培训页面。
#interimmanagement #forwarddeployedengineering #iso31000 #风险管理 #iec31010