“對大多數(shù)公司而言，董事會傾注注意力和時間的重心是理解戰(zhàn)略及關聯(lián)風險并提供指導，以及對高管實施戰(zhàn)略和風險管理兩方面的業(yè)績進行監(jiān)管。”由美國全國公司董事協(xié)會(NACD)出版的《加強美國上市公司監(jiān)管的關鍵議定原則》中如是表示。

　　如今關于公司治理的領導思想基本上一致認為，董事會的重要職責之一就是理解公司戰(zhàn)略及相關風險，并保證管理層的風險管理措施是適宜的。戰(zhàn)略風險評估是評估公司所面臨的重大風險的系統(tǒng)而持續(xù)的過程。進行初步評估對于高管和董事會來說是一項極具價值的活動。

　　通常，戰(zhàn)略風險評估是由管理層依據(jù)董事的投入與驗證來執(zhí)行的。在這個過程中，將風險評估與公司戰(zhàn)略和戰(zhàn)略執(zhí)行程序直接聯(lián)系起來是非常重要的。評估的精確形式以及產(chǎn)生的戰(zhàn)略風險文件，取決于公司風險管理程序的成熟程度。

　　以下戰(zhàn)略評估七大步驟，反映了風險的動態(tài)性，構成了一個在公司內(nèi)部持續(xù)不斷循環(huán)，或者是封閉循環(huán)的過程。同時也顯示出戰(zhàn)略風險評估師一個持續(xù)的過程，而并非一次性事件。在其執(zhí)行過程中允許加以修改和定制，以適應公司的成熟程度和能力。

　　第一步：深刻理解公司戰(zhàn)略

　　理解公司戰(zhàn)略及其關鍵構成部分，重點是識別與核心戰(zhàn)略相關的具體的風險。這一步驟所需要的信息大部分可以在公司和業(yè)務部門的計劃、戰(zhàn)略總結(jié)以及管理層和董事會的資料中取得。在步驟的最后，董事會和管理層應該對公司戰(zhàn)略的關鍵構成元素以及它們與回報驅(qū)動戰(zhàn)略(RDS)框架的聯(lián)系有深入清晰的理解。

　　例如，公司戰(zhàn)略中涉及合作的部分的關鍵行為需要在評估中考慮并鑒別。這些合作包括合資企業(yè)、離岸外包、業(yè)務外包或者其他聯(lián)盟形式。一家公司可能有多種合作安排，其中有些相對風險較低，例如經(jīng)營餐廳，但是其他的，比如信息技術外包，也許承擔著很高的風險。據(jù)此，關鍵的問題在于哪個合作者、采用何種合作方式對于執(zhí)行戰(zhàn)略來說是最為重要的，這些就是我們要努力去識別的。

　　第二步：收集戰(zhàn)略風險相關的觀點與數(shù)據(jù)

　　這一步驟的目的是從管理層和董事會處，收集與核心商業(yè)戰(zhàn)略相關的主要戰(zhàn)略風險的觀點和數(shù)據(jù)。做這一步有許多方法，例如行政訪談、調(diào)查以及焦點團隊反饋。進行這一步時，公司文化應予以考慮。有的公司對調(diào)查能夠很好地接受，而有的則不能。如果管理者分布很廣，個人面談可能難以實施，因而遠程會議或者電話訪問就成了不錯的選擇。包括業(yè)務部門領導的管理層的主要成員都應該被要求參與。獲得董事會成員，特別是審計委員會成員和公司的內(nèi)部及外部審計人員的想法也是十分有用的。

　　在進行以上評估的過程中我們發(fā)現(xiàn)，比起簡單地問個人什么是戰(zhàn)略風險這樣的開放式問題，提供重點框架或者范圍會使得訪談更為有效。戰(zhàn)略風險管理(SRM)框架在這里非常有用。SRM的組成部分與RDS框架的原理相對應。討論與問題將從與步驟一中的戰(zhàn)略分類相聯(lián)系的SRM框架里有風險的部分中產(chǎn)生。

　　參與者也應當被鼓勵去識別他們認為會抑制公司完成戰(zhàn)略、實現(xiàn)商業(yè)目的能力的外部風險。這些外部風險包括系統(tǒng)風險、新興風險領域或如管制等其他外部風險。參與者也可對他們所識別出來的風險可能的嚴重程度或是影響力進行評級。

　　第三步：初步制訂戰(zhàn)略風險概要

　　利用前兩步中收集到的信息可以準備一份初步的戰(zhàn)略風險概要文件，該文件的格式和復雜程度應該依公司的風險管理成熟度和能力而定。由于這個信息的作用是激發(fā)執(zhí)行層面和董事層面的討論與理解，過于細節(jié)或大量的數(shù)據(jù)可能會適得其反。

　　許多公司都發(fā)現(xiàn)圖形演示十分有助益，比如用色彩來表示不同層次風險的熱點地圖。還可以基本清單為起點，隨著風險管理程序的逐漸成熟，增加細節(jié)并提高復雜程度。

　　就潛在層面的問題或者與某個風險區(qū)域或類型相關的影響進行交流也是很有用的。傳統(tǒng)的方法是可能性和影響力分析。然而最近，那些高影響力及低可能性的風險引起人們很大關注， 例如那些因其極低的可能性而經(jīng)常被輕視的系統(tǒng)性風險。為了應對這種風險，一些公司正在增添新的維度，例如風險來襲的速度或者公司對風險的防備。此外，戰(zhàn)略風險概要的細節(jié)和復雜程度應該反映公司風險管理程序的成熟程度。

　　第四步：驗證并最終確定文件

　　初步的戰(zhàn)略風險文件必須通過主要參與者的驗證，確保其反映了他們關于最重要的戰(zhàn)略風險的看法。哪些參與者涉及和驗證戰(zhàn)略風險文件的確切過程應取決于企業(yè)文化。有的公司公布初步文件以取得反饋，有的進行跟進訪談，還有的采取小組展示與討論的方式。這一驗證過程可以包括所有利益相關者或者只包括其中一部分。可能的風險文件報告格式也可以進行公布，從而獲取關于不同格式的觀點看法。但是需要記住的是，讓足夠的參與者來驗證這份文件以及突出風險，對于整個評估過程來說是極為重要的。

　　第五步：制定戰(zhàn)略風險管理行動計劃

　　戰(zhàn)略風險一經(jīng)識別，高層管理者和董事就會很快詢問關于減輕和監(jiān)控風險的計劃，因此我們建議公司將建立并實施初步行動計劃，當作評估的核心部分，而不是作為一個次要的獨立的行為。此外，將要采取的具體行動取決于公司風險管理實踐的成熟程度。

　　根據(jù)我們在德保羅大學戰(zhàn)略風險管理實驗室的工作以及多種研究顯示，許多公司正以漸進的步驟進行風險管理，而不是直接駛向理想的最終狀態(tài)。因此，公司可以利用戰(zhàn)略風險成熟度診斷和戰(zhàn)略風險管理路線指南作為工具，來讓這一步驟變得便易。具體的措施取決于公司的具體情況，通常包括以下措施：

　　1.減少識別出的部分風險的減災活動和策略；

　　2.決定風險是增是減的風險監(jiān)管活動，包括平衡計分卡和戰(zhàn)略地圖等工具；

　　3.將戰(zhàn)略風險管理工具整合于戰(zhàn)略執(zhí)行過程中定期更新戰(zhàn)略風險文件的程序；

　　4.各種形式的報告活動；

　　5.針對識別新的或正在出現(xiàn)的風險的程序。

　　這一步驟為提高整個公司內(nèi)，不同風險和控制部門之間信息及風險的共享，創(chuàng)造了新的機會。這份行動計劃是整個公司所需要采取的措施，而非一個風險或控制部門。這種企業(yè)范圍的焦點是建立全公司風險管理文化的另一個步驟。

　　第六步：溝通戰(zhàn)略風險概況和戰(zhàn)略風險管理行動計劃

　　在評估的階段，公司應該有確定的戰(zhàn)略風險概況和初步行動來應對已識別的戰(zhàn)略風險。溝通并建立關于風險的共通認識，是戰(zhàn)略管理中被普遍認可的主要做法。事實上，“信息與溝通”是企業(yè)風險管理八大核心構成之一。

　　這一步驟要求管理層實現(xiàn)與全公司的深入交流，來表達公司關于其戰(zhàn)略風險的看法以及執(zhí)行相關行動計劃的重要性。溝通必須上及董事，因為這是一個需要他們注意與互動的主題。

　　溝通過程為建立或加強公司風險文化創(chuàng)造了機會。公司重要風險的信息應該在整個公司內(nèi)部分享。員工應該在公司風險活動、政策和總體指導等方面實現(xiàn)信息溝通。特別地，公司不同風險控制部門和業(yè)務部門之間，應該溝通并做到信息共享。需要強調(diào)的是，成功的交流是一項反復過程，并需要持續(xù)注意和加強。

　　第七步：實施戰(zhàn)略風險管理行動計劃

　　戰(zhàn)略風險評估程序的真正價值在于公司最后采取的行動。這些行動的目的是建立公司持續(xù)性戰(zhàn)略風險管理程序并“畫完這個圓”。如上所述，風險的動態(tài)性要求持續(xù)的過程來監(jiān)控和管理。行動計劃應該能夠讓這種過程得以實施和加強。

　　公司應當考慮如何報告和更新行動狀態(tài)，包括向董事會報告。當其戰(zhàn)略風險管理程序持續(xù)不斷成熟，公司就應當考慮下一階段需增加的步驟，以提升其整個風險管理程序。

　　財務總監(jiān)和管理團隊應幫助公司董事會和高管建立公司風險管理程序，這樣他們便能夠?qū)Ｗ⒂趹?zhàn)略風險，并根據(jù)對風險的持續(xù)性評估來統(tǒng)一ERM和GRC措施。戰(zhàn)略風險評估能夠為戰(zhàn)略管理與治理奠定基礎，可以闡明并定義通往發(fā)展風險管理能力，即風險如何被評估、監(jiān)控和管理的道路。