本来是一个充满欢乐回忆的旅程，结果成为家庭的悲剧。看到新闻的那一刻，除了挽惜无言，也真的不知道还能做什么。

相信这样的结局不是所有人希望看到的，站在营业者的角度，究竟这是一场不能避免的意外，还是可以规避的风险？

这一则事件让我想起古人的一句话：居安思危，还有医生常爱说的一句话——预防胜于治疗。

过去众多文章中，曾经分享过企业如何培养员工有创意思维，让企业可以永续进步。规避风险，其实也是企业可以设定时间表作定期审核。今天分享国际质量认证ISO所提倡的风险管理。

风险管理在ISO的规范第6条有说明，企业须落实应对风险和机会的行动（Actions To Address Risks And Opportunities）。

在国际认证的标准中这是一项新要求，要求企业需要实施一个流程来确定和评估适用的风险，并且如何在其质量管理体系内对其进行管理。

应对风险的行动，主要针对“预防”这个目标，当然也包含可能可以将风险转变成为机会。普遍解释规范的要求，就是企业有责任采取一些行动使得企业可以预防或规避风险，以便企业可以不因风险产生导致企业陷入危机，这个风险涵盖内部与外部的风险（Internal and External risk）。

外部和内部的风险，来自于评估外部和内部针对客观证据来预测未来可能会产生的问题，也包括相关方的相关需求和期望，这些预测问题、需求与期望都可能是风险的来源。举一个例子：

酒店是提供客户住宿的服务业者，要让顾客满意就需要满足顾客种种期望与需求，万一这些期望与需求无法被满足，那么顾客就会不满意甚至不再回到酒店消费。

风险可转为机会

种种的顾客需求与期望，就成了企业第一环节风险考虑。为什么称为风险而不是机会？像这样的风险，其实其规范的方法就是转变成为机会，也就是说，只要满足了这些期望与需求，那就是酒店的机会，这个机会将会带来许多满意的顾客继续在酒店消费达到酒店经营的目标。

有一种风险，例如安全，这个不是可以被转换成为机会，只能尽可能一一列出有什么因素将会导致风险产生，将这些因素一一解决，不能解决的也尽可能做点什么降低风险产生的时候所造成对企业的影响。

例如，企业资金周转就是一项内部风险，会导致资金周转问题的就是收入减少，不要让风险产生就是收入必须达到某个标准，还加上企业有一定的储备金以便应急。

当然，所有客观证据显示的预测风险、包括设定的各种作业程序并不代表是有相同级别的风险。由于这个原因，与流程、系统、产品和/或服务相关的故障或不合格的后果（冲击）对所有企业来说都是不同的。

在决定如何规划和控制各种作业流程以便达到控制风险时，企业需要考虑与之相关的风险类型和级别。建议可以根据不同级别的风险与后果（冲击）做一个九方格（或更多方格，只要企业可以解释这个风险或冲击）以便判断这些风险对于企业而言是高或低风险。

以下提供各位读者参考：

在确定相关风险类型与级别后，企业便可以采取一些相对应的计划或方法来应对风险和实现机遇。以下提供几项应对风险和机遇做为参考：

●规避风险

●为了抓住机会而冒险

●消除风险源

●改变发生机率或后果

●分担风险

●通过各种考虑决定保留风险

●透过SWOT 分析作为其业务战略的一部分，以确定外部风险和机会以及解决这些风险和机会的行动计划。

每年自我评估一次

至于这个风险管理是否应该撰写作业程序？建议是“应该”。

作业程序将编制入册相关风险和机会管理框架以及其中的活动，其中包含方法、风险偏好、培训和报告方法。

在多变的社会，风险或机遇无处不在，无论企业是否导入国际认证指标，建议企业内部也可以自我进行风险评估，至少一年一次。

虽然，这个风险评估未必能将100%的风险都归纳在内做管理，但若能将99%的风险都进行评估与管理，那么不管对内对外，针对企业而言也可以说是处于“一切都在掌握中”的状态。