风险管理.

风险管理是组织系统性应对可能影响其目标、资产或利益相关方的不确定性的学科。它通常遵循一个循环：确立背景、识别风险、分析可能性与影响、对照标准进行评价、决定处置方式（接受、缓解、转移、规避），并随时间监控残余暴露。

成熟的项目会与公认的框架保持一致。ISO 31000:2018 提供适用于任何风险的原则与通用流程。NIST 的风险管理框架——NIST SP 800-37 修订版 2（2018 年 12 月）——定义了七个步骤：准备、分类、选择、实施、评估、授权与监控，其中准备步骤是在修订版 2 中新增的，用于在任何系统工作开始之前确立组织背景。COSO ERM（2017）从企业与战略角度看待风险，而 FAIR 模型则支持以货币金额进行定量损失分析，而非红/黄/绿的热力图。

一个关键区分是固有风险（控制之前）与残余风险（处置之后剩余的部分），后者必须低于组织所声明的风险偏好与容忍度。有效的风险管理在控制成本与潜在损失之间取得平衡，将决策与责任人记录在风险登记册中，并融入项目、供应商与运营决策——为合规义务、内部审计与董事会汇报提供支撑，而非独立运作于孤岛之中。

flowchart LR
  A[Establish context] --> B[Identify risks]
  B --> C[Analyze<br/>likelihood x impact]
  C --> D[Evaluate vs<br/>risk appetite]
  D --> E{Treat}
  E -->|accept| F[Residual risk]
  E -->|mitigate| F
  E -->|transfer| F
  E -->|avoid| F
  F --> G[Monitor & review]
  G -->|new or changed risk| B