《供应链风险管理》.pptx

供应链风险管理供应链风险管理CIPS采购与供应高级文凭采购与供应高级文凭 Advanced Diplomain Procurement and Supply不确定性不确定性的来源的来源易变性是指某一可测量因素可能是一系列可能值中的某一个值的情形。因为某一情形可能演化或发展出许多可能的方式，所以就产生了不确定性。模糊性含义的不确定性。由于关于某一情形的信息存在多种解释方法，所以产生了不确定性。风险事件风险事件打击打击（Shocks）对组织造成创伤和瓦解的无法预知的事件。危机危机（Crises）预示要造成对组织及其利益相关者、声誉有重大损害或损失的重大事件。灾难灾难（Disasters）对组织或供应链赖以生存的基础设施造成重大损害，从而使其运营严重中断的重大自然或人为事件。风险与回报计算风险与回报计算 最理想的商业机会是低风险、高回报的但这些机会通常是不容易获得的。高风险、低回报的项目不可能有吸引力。低风险、低回报的项目可能比较适合处于稳定环境中的非常稳定的、官僚式的组织。公司能够影响回报的水平和/或风险水平。风险偏好风险偏好 公司风险偏好公司风险偏好是指从战略层级上判断得出的合理风险总量。授权的风险偏好授权的风险偏好是指同意的公司风险偏好（就组织不同组成部分的风险水平达成一致），它沿着组织结构一级一级传导下去。项目风险偏好项目风险偏好项目的风险偏好也落在组织日常政策和决策范围之外。未得到控制的风险的结果未得到控制的风险的结果 风险管理的益处风险管理的益处避免风险事件、打击和危机等因素引起的成本或将这些因素最小化。避免没有成功实施风险减轻措施所引起的成本或将其最小化。避免生产和收入流的中断。通过减轻供应链的脆弱性，保障供应安全保护市场份额。提高企业和供应链弹性。保护组织关键人力资源。使组织吸引并挽留高素质的员工、供应商和风险伙伴。帮助管理层客观地判断哪些风险值得应对以及哪些应该加以规避。提高制订战略、政策和决策的水平。促进组织和供应链的合作。提高利益相关者的信心和满意度。风险识别风险识别 风险顾问对出版的学术研究结果和报告的追踪。环境扫描与公司评估（STEEPLE和SWOT分析）。范围扫描。监测同类组织中的风险事件。市场情报收集和管理信息系统。关键事件调查。情境分析。过程审计。对健康和安全、质量、维护等进行定期检查和检验。研究项目计划、供应链等，发现可辨认的脆弱性。开展正式的风险评估。征求关键利益相关者和行业专家的意见。聘用第三方风险审计和风险管理顾问。思维导图思维导图-钱荒来袭钱荒来袭思维导图思维导图-十四堂人生创意课十四堂人生创意课思维导图思维导图-绘制规则绘制规则石川图（鱼骨图、因果分析图）石川图（鱼骨图、因果分析图）A、填写鱼头（按为什么不好的方式描述），画出主骨；、填写鱼头（按为什么不好的方式描述），画出主骨；B、画出大骨，填写大要因；、画出大骨，填写大要因；C、画出中骨、小骨，填写中小、画出中骨、小骨，填写中小要因；要因；D、用特殊符号标识重要因素。要点：绘图时，应保、用特殊符号标识重要因素。要点：绘图时，应保证大骨与主骨成证大骨与主骨成60度夹角，中骨与主骨平行。度夹角，中骨与主骨平行。风险来源风险来源 供供应链图应链图析析1供应链图析供应链图析2风险的主要类别风险的主要类别 战略风险战略风险产生于组织的愿景和方向，以及组织在某一行业、市场和/或地理区域的定位。运营风险运营风险产生于组织追求战略时所依靠的职能的、运营的和行政的程序。它们主要与组织的生产或服务交付运营有关。财务风险财务风险从内部来说，产生于企业财务结构；从外部来说，产生于与其他组织的财务交易。合规性风险合规性风险产生于确保遵守法律、法规和政策框架的需要；以及组织或其供应链的不合规或不合法活动曝光引起的可能损失，包括信誉的、运营的和财务的处罚。其他一些风险类别其他一些风险类别 市场风险市场风险属于战略风险，产生于外部供应市场中的因素或变化。技术风险技术风险由于技术活力和技术陈旧、系统或设备故障、数据讹误或偷窃、新技术“初期困难”、系统的不兼容性（例如，当买方与供应商系统需要整合的时候）等引起的战略风险和运营风险。供应风险供应风险既是战略风险，又是运营风险，产生的原因包括：供应市场不稳定性和资源稀缺性、供应商故障、供应链破坏、供应链和物流的长度和复杂性，等等。信誉风险信誉风险分为财务风险和/或合规性风险两大类，产生的原因包括：组织或其供应链所做出的不道德的、没有社会责任感的或破坏环境的活动。一些关键的战略风险一些关键的战略风险 一般运营风险的例子一般运营风险的例子 内部风险的例子内部风险的例子 人员个性因素。文化价值观和行为准则。团组动力学。人的差错和不成熟。企业管理。恶意的活动。技术、设备或系统崩溃。安全风险。缺乏内部控制。工作场所危险。雇员关系欠佳。关键人才和知识的流失。外部环境外部环境 它既是威胁，也是机会。它是组织所需资源的供应源。它包含了对组织活动试图施加影响或有权施加影响的利益相关者。STEEPLE框架框架 衰退风险的应对措施衰退风险的应对措施 波特的五力模型波特的五力模型桑德斯的全面环境因素模型桑德斯的全面环境因素模型 风险评估风险评估风险=可能性（概率）*影响（负面的后果）风险可能性（风险可能性（Risk likelihood）是指在假定风险性质和当前风险管理做法的情况下发生的概率。风险影响（风险影响（Risk impact）是给组织造成的可能损失或成本，或者对组织完成其目标的能力可能的影响水平。风险评估栅格风险评估栅格 定性的风险矩阵定性的风险矩阵 风险分析矩阵风险分析矩阵 对可能性和影响进行评分对可能性和影响进行评分 情形分析情形分析 利用头脑风暴法或团组研讨会，以激发对企业或供应链、行业或市场、或更广外部环境中问题和可能性的识别描述或计算机模拟某情形中的关键变量改变所选变量并观察对其他变量和对总体结果的影响创建最优的、最可能的和最坏的情形来测量影响。概率分布概率分布 正态分布的需求函数正态分布的需求函数正态分布的例题正态分布的例题决策树分析决策树分析A、B、C三人决斗，每人有三人决斗，每人有2颗子弹，每次发一枪。颗子弹，每次发一枪。A、B、C的命中概率分别为的命中概率分别为0.3、0.8、1.0。三人依次发射，两轮后对决结束。三人依次发射，两轮后对决结束。每次可以选择向对手发射，也可以放空枪。每次可以选择向对手发射，也可以放空枪。射中即死。射中即死。问在这场博弈中问在这场博弈中A的最优策略。的最优策略。故事模型故事模型B（80%）A：30%C（100%）分析分析过过程程的行动选择集合的行动选择集合（）对空发射，（）射，（）射（）对空发射，（）射，（）射如对空发射，如对空发射，有有80%的可能杀死（必然射，因为一定选择射击，则的可能杀死（必然射，因为一定选择射击，则必死）；然后有必死）；然后有30%可能杀死（仅，；必射）；如可能杀死（仅，；必射）；如未能杀死，则向射击（存活概率未能杀死，则向射击（存活概率0.2)。对局结束。存活概。对局结束。存活概率为率为0.8*(0.3+0.7*0.2)0.352。如未射死，则射杀，然后要么成功射杀，要么被如未射死，则射杀，然后要么成功射杀，要么被射杀；存活概率为射杀；存活概率为0.2*0.3=0.06。总体存活概率。总体存活概率41.2%。概率树工具概率树工具射空射空射死射死0.8未射死未射死0.2射死射死0.3未射死未射死0.7射射A不中不中0.2射死射死0.3未射死未射死0.7射不中射不中0对空发射：对空发射：存活概率为0.8(0.3+0.70.2)+0.20.3=41.2%A可以采取的行可以采取的行动动向向C发射：发射：存活概率为0.30.2(0.70.2+0.3)+0.741.2%=31.48%向向B发射：发射：存活概率为0.741.2%=28.84%再说再说三个三个枪手枪手A A和和B B似乎达成了某种默契似乎达成了某种默契：在：在C C被干掉之前，他们相互不是敌人。被干掉之前，他们相互不是敌人。这不难理解，毕竟人总要优先考虑对付最大的威胁，同时这个威这不难理解，毕竟人总要优先考虑对付最大的威胁，同时这个威胁还为他们找到了共同利益，联手打倒这个人，他们的生存机会都上胁还为他们找到了共同利益，联手打倒这个人，他们的生存机会都上升。而且，从悲观的角度看，他们恐怕也活不到需要相互拼个你死我升。而且，从悲观的角度看，他们恐怕也活不到需要相互拼个你死我活的时候。活的时候。但这个但这个“同盟同盟”也是很不牢固的，两个人都在时时权衡利弊，一也是很不牢固的，两个人都在时时权衡利弊，一旦背叛的好处大于默契的好处，他们马上就会翻脸。旦背叛的好处大于默契的好处，他们马上就会翻脸。在这个在这个“同盟同盟”里，最忠诚的是里，最忠诚的是B B 只要只要C C不死，他就不会背不死，他就不会背叛；叛；A A就要滑头多了，在前面轮流开枪的例子中，就要滑头多了，在前面轮流开枪的例子中，他不朝他不朝C C开枪，从同开枪，从同盟者的角度说，就是没有履行义务盟者的角度说，就是没有履行义务，而把盟友送上危险的境地，这不，而把盟友送上危险的境地，这不是因为道德水平不同，而是处境不同。是因为道德水平不同，而是处境不同。是是C C的头号目标的头号目标，这个敌人一定要向他开枪的，完全没有回旋，这个敌人一定要向他开枪的，完全没有回旋的余地；而的余地；而A A不同，他随时愿意牺牲换取下次自己的先手之利。不同，他随时愿意牺牲换取下次自己的先手之利。除了压力较小之外，而且还有一个动力驱使除了压力较小之外，而且还有一个动力驱使A A背叛，那就是一旦背叛，那就是一旦干掉干掉C C后，的机会比他要大，他至少要保持先下手，才可能一争高后，的机会比他要大，他至少要保持先下手，才可能一争高下。下。风险价值（风险价值（VaR）确定公司估算损失的时间范围。选择所要求的可信度。利用历史市场数据，结合前面市场状况的评估，建立可能的投资回报的概率分布。计算VaR估算值。风险登记簿的目的或好处风险登记簿的目的或好处 将有关已识别风险的所有分析和决策，集中到一个调节的、集中的（但可访问的）数据存储器中。提供一个模板文档，使风险信息得以系统性地记录下来，并且是用标准的格式，以便于分析与使用。在组织上下建立风险可视度，包括当前风险状态和暴露的直接可视性。明确风险监督和管理的职责。提供一个风险监督、管理和检查活动的框架。为分配风险监督、管理和检查所需的资源提供基础，并且为风险管理的商业论证奠定基础。促进（或者充当一个工具）关键内部、外部利益相关者对于风险问题的沟通。向项目发起人、合同经理和其他被委任的风险责任人提供一个文档化的框架，根据这一框架，生成风险状态报告。风险登记簿模板风险登记簿模板识别每个风险的唯一参考号或代码数字风险类型和性质的说明风险被第一次识别出来的日期风险责任人。风险事件发生的概率。风险事件如果发生所造成的影响、成本或后果。为了减小概率或减少影响，或者兼而有之，明确的可能应对措施或减轻措施。选择的风险减轻措施及其效果（如果有的话）。定期更新每个风险的状态信息。一线经理一线经理的的职责制订和/或实施组织已制定的风险政策和程序。落实遵守风险减轻的规章和计划。加强风险意识文化。报告风险事件。收集有关危险、脆弱性和风险的信息。采购和供应职能的作用采购和供应职能的作用 监督、识别和评估供应链、供应商和供应市场风险。开展供应商资格预审和评估，将供应商风险降至最低。签订合同，利用合同条款将商务和供应风险降至最低。以一种将财务、项目、运营和信誉风险降至最低的方式，管理合同、供应商和供应商绩效。为战略决策风险评估提供信息和专长。给跨职能项目团队提供信息和专长。管理组织外部开支的商务和财务风险。管理采购合同和其他供应结构及关系中内在的风险。公共领域的风险管理角色公共领域的风险管理角色英国公共部门机构的活动受到许多有影响力的团体的监督和指导。英国财政部。英国国家审计办公室。审计委员会。公共会计委员会（PAC）。政府采购办公室（OGC）。风险管理周期风险管理周期 风险管理战略风险管理战略（4个个T）容忍容忍（或接受）风险（Tolerate）如果评估后风险的可能性或影响可以忽略不计（或者没有可行的方法来降低风险），那么当下就不需要或者没有理由采取进一步的措施。转移转移（或者分散）风险（Transfer）例如通过购买保险，或者不要把所有鸡蛋放在同一个篮子里；或者利用合同条款，确保风险事件成本由供应链伙伴承担或分担。终结终结（或者避免）风险（Terminate）如果与某一具体项目或决策有关的风险太大，并且不可能减轻的话，组织可以考虑不投资或不参与到这项活动或机会中。处理处理（减轻、最小化或控制）风险（Treat）采取积极的步骤对风险进行控制，将风险可能性或潜在影响减少或最小化，或者同时将二者减少或最小化。控制的运用控制的运用 预防性控制（预防性控制（Preventative controls）目的是限定负面结果发生的概率。指导性控制（指导性控制（Directive controls）目的是确保达到预期的结果。探测性控制（探测性控制（Detective controls）目的是确定何时发生了没预料到的风险事件。纠正性控制（纠正性控制（Corrective controls）目的是：一旦发生没预料到的结果，就着手减轻其后果。质量保证体系质量保证体系风险自评估风险自评估外部风险报告外部风险报告 法规要求外部利益相关者的期望。组织自己的治理、企业社会责任（CSR）和风险管理政策。有计划的、自愿的披露所带来的信誉和其他好处。ISO31000：风险管理管理风险管理创造并保护价值。风险管理是组织流程不可分割的一个组成部分。风险管理是决策的组成部分。风险管理明确地解决不确定性问题。风险管理是系统的、结构化的和及时的。风险管理建立在最好的可利用信息的基础之上。风险管理是因具体情况而异的。风险管理将人的因素和文化因素考虑在内。风险管理是透明和包容的。风险管理是动态的、重复的并对变化有所响应的。风险管理促进持续改进和提高。ISO31000原原则总结 保持一个有效的保持一个有效的SMS 安全管理政策；目标和指标；以及计划安全管理结构安全管理能力安全计划：风险识别与评估；制定控制措施法律和法规要求文件、数据和信息系统与控制运营控制措施；应急计划和程序；安全响应程序。监督和测量安全绩效审计并评估SMS，寻求持续改进。风险战略过程风险战略过程 战略性的风险计划框架战略性的风险计划框架第一部分：介绍和目的第二部分：目标、原则和实施第三部分：风险识别第四部分：风险分析与评估第五部分：风险处理第六部分：风险检查与汇报对于那些涉及整个组织，或者风险严重程度超过指定阈值的问题和活动，考虑相应的风险管理政策。评审并同意组织中的风险管理过程，包括风险意识培训。对于新出现的战略和运营风险，向董事会报告；对于较低水平（“焦点”）的风险，向有关职能的直线经理汇报。检查并更新风险登记簿，并且在某一给定的时点对组织面临的所有风险进行回顾。支持风险管理，确保在组织范围内共享最佳实践。风险管理委员会风险管理委员会的的职责文化网络文化网络 创建希望的风险文化创建希望的风险文化高级管理层、领导人和有影响的人对新价值观的一致表述和模式化。在讨论新思想和行为的必要性时与员工沟通、对其教育和并让其参与，从而改变潜在的价值观和信仰。将想要的态度和行为植入政策、程序、规定、系统、员工沟通、管理风格之中。利用人力资源管理机制来强化变革。为风险管理配备资源为风险管理配备资源 信息资源。人力资源。基础设施。技术资源。时间资源。物质资源。财务资源。让供应商参与让供应商参与完全参与完全参与在供应网络的所有接触点，鼓励风险意识。跨职能合作跨职能合作开发一个整合的、以过程为中心的方法，用以跨内、外部价值链的风险识别和管理。供应链的协作与贡献供应链的协作与贡献：收集有关供应市场风险因素的信息收集供应商关于买方系统和流程所产生的风险因素的反馈通过谈妥的协议、规格和合同条款，合作努力将风险最小化供应商早期参与新产品和服务开发保护、激励和奖励供应商分担风险的意愿促进供应链的信息流通对供应商在质量、道德和公司责任问题上的合规和勤奋进行保护、激励和管理。欺诈的两个主要类别欺诈的两个主要类别 挪用挪用组织现金或资产。故意虚假陈述故意虚假陈述企业的财务状况，以误导股东、税务部门或司法当局。判断欺诈有四个先决条件判断欺诈有四个先决条件 犯罪者必须有一个动机：即他之所以需要资金或者感到有权诈取组织的理由。必须具有值得偷窃的资产。必须有机会：来挪移资产，并从中获益（例如通过卖掉这些资产）。在内部控制或欺诈风险管理中一定存在不足。欺诈的不同类别欺诈的不同类别网络欺诈电话欺诈被用于欺诈盗用公司身份小的欺诈竞争者欺诈欺诈的示例欺诈的示例 欺诈预防措施欺诈预防措施通过制定严谨的政策和对政策进行广泛地宣贯，使所有人清楚欺诈的定义和后果。建立应对欺诈的管理流程，包括管理证据的方式。尽可能减少零余现金报销，鼓励使用受到良好控制和管理的公司信用卡或采购卡。应用开支分析技术，以便达到清晰的可视性，跟踪并监督开支情况。贿赂和贪污方面的法律贿赂和贪污方面的法律英国贿赂法案2010包括：贿赂（Bribery）受贿 向国外公共官员行贿 商业组织未能阻止行贿 执行尽职调查、记录保持和内部怀疑报告措施。不得做出任何可能侵害这类事件调查的事情，或者，如果有侵害这类事件调查的事情发生，要进行披露。向有关当局（重大有组织犯罪机构：SOCA）披露任何有关洗钱活动的见闻或嫌疑。洗钱的识别与预防洗钱的识别与预防洗钱洗钱渠道渠道1.现金走私；现金走私；2.将大额现金分散存入银行；将大额现金分散存入银行；3.向现金流量高的行业投资；向现金流量高的行业投资；4.购置流动性较强的商品；购置流动性较强的商品；5.匿名存款或购买不记名有价金融证券；匿名存款或购买不记名有价金融证券；6.制造显失公平的进出口贸易；制造显失公平的进出口贸易；7.注册皮包公司，虚拟贸易；注册皮包公司，虚拟贸易；8.设立外资公司；设立外资公司；9.利用地下钱庄和民间借贷转移犯罪收；利用地下钱庄和民间借贷转移犯罪收；10.购买保险；购买保险；11.实施复杂的金融交易；实施复杂的金融交易；12.在离岸金融中心设立匿名账户；在离岸金融中心设立匿名账户；13.利用银行保密法洗钱。利用银行保密法洗钱。规范道德行为规范道德行为 在“管理”岗位上工作，负责保管属于企业股东的资金和资产可能控制着非常大量的组织资金有许多机会为了个人收益进行资金欺诈或滥用系统、权力或信息在企业内担任受信任的职位在其与供应链伙伴和其他利益相关者打交道的过程中，对组织的立场、可靠性和信誉负责。负责拟定和管理商业合同与关系的个人：道德的起源道德的起源假装不知道有尽假装不知道有尽头CIPS 职业道德准道德准则 会员不得为私利使用授权。会员有责任维护采购职业与本学会的信誉（尊严与声誉），在自己所服务的组织之内与之外妥当行事。可能影响或被他人视为影响会员在履行其职责时公正性的任何个人利益，都应当申报。会员必须尊重信息的保密性，决不出于个人私利而使用所收到的信息。在履行职责的过程中所提供的情报应当真实而公平。会员应当避免可能妨碍公平竞争的任何安排。除了价值很小的物品之外，不得接受任何商业礼物。只能接受适度的款待。会员不得接受可能、或可能被认为会对商业决策产生影响的款待。中国受贿罪中国受贿罪涉嫌下列情形之一的，应予立案：1个人受贿数额在5千元千元以上的；2个人受贿数额不满5千元，但具有下列情形之一的：（1）因受贿行为而使国家或者社会利益遭受重大损失的；（2）故意刁难、要挟有关单位、个人，造成恶劣影响的；（3）强行索取财物的。由一位级别较高的执行官控制。在关键岗位上缺乏足够的控制。缺乏来自外部审计员的独立审查。缺乏内部控制。董事不了解股东和其他关键利益相关者的观点和利益。董事的利益与公司战略目标不一致。董事向利益相关者提供的质量信息不准确。组织治理中的风险与问题组织治理中的风险与问题联合准合准则财务报告董事会应该在年度报表和其他报告（例如中期报告或管理报告）中对公司状况和前景做出平衡的和可理解的评估。内部控制应该维持一个良好的控制体系，并且董事会应该每年检查一次有效性，并向股东报告他们的完成情况。审计关于财务报告和内部控制原则的应用，应该与公司审计员有正式的、清楚的约定。合规情况公司必须在其报表中反映，他们是如何运用了这些原则，从而让股东评估他们运用的效果。审计审计是对资料作出证据搜集及分析，以评估企业财务状况是对资料作出证据搜集及分析，以评估企业财务状况萨班斯班斯-奥克斯利法案奥克斯利法案（Sarbanes-Oxley Act）内部控制必须确保任何有关财务效益的信息材料都通报首席执行官员（CEO）和首席财务官（CFO），CEO和CFO返过来要向投资者证明，控制是符合法规要求的，而且财务报告清楚地呈现了公司的状况。由独立董事审计委员会批准的一名独立审计员须为这样的报表作证。为了保护经济效益和可持续性，还要求审计委员会对控制进行监督，并建立财务风险管理和评估政策（包括有关可持续性的风险）。合同失败风险合同失败风险潜在供应商和/或已签约供应商的生产能力和生产率当前合同和其他客户所占用的供应商生产能力百分比突发需求的可能性（造成生产能力负荷过大）供应商交付前置期以及进度是否存在“时差”或弹性影响供应链或个别供应商的供应风险，以及风险管理和应急计划的效果 规格、合同条款和买方期望的准确性和清晰性供应链质量保证的脆弱性（特别是当公差很小的时候）进度安排与预测的准确性合同双方与利益相关者之间共享信息的质量、可靠性和透明度成本管理；影响成本的内、外部因素；双方议定的价格安排是怎么样的项目和合同管理的有效性。法律风险法律风险合同制订得不合理以及签约流程不完善合同制订得不合理以及签约流程不完善。没有得到很好控制的没有得到很好控制的“条款之战条款之战”，这样大家就不清楚，哪套标准条款（是供应商的，还是买方的）适用于合同，或者所采用的一套标准条款对另一方很不公平。合同管理和变更控制不到位合同管理和变更控制不到位。缺乏足够的知识产权保护缺乏足够的知识产权保护。合同履行过程中产生的伤害、经济损失、财产损害或法律赔偿等一类问题所造成的损失责任问题责任问题。与供应商的商业或合同争端引起的成本和关系损失商业或合同争端引起的成本和关系损失。谈判风险谈判风险即使买方成功“赢得”谈判（获得了直接的、基于任务的价格或交易目标），这一谈判过程日后也会对供应商的承诺、买方作为一个好客户的状态或信誉以及长期的买方与供应商关系等造成危害性的后果。在采用零和或“非赢即输”方法的情况下，遭受谈判失败的风险。做出不可接受的或不可行的让步的风险。走入死胡同的风险。如果谈判风险是“非赢即输”的，还会导致与另一方的敌对关系。谈判团队内部的冲突或有分歧的战术削弱了谈判地位。道德和信誉风险。合规风险。合合规风险规风险“合规风险”指的是：银行因未能遵循法律法规、监管要求、规则、自律性组织制定的有关准则、已及适用于银行自身业务活动的行为准则，而可能遭受法律制裁或监管处罚、重大财务损失或声誉损失的风险。财务风险财务风险 内部财务风险 在确定或谈判合同价格的时候缺少价格或成本的分析缺乏合同生命周期内的预算或成本控制与管理，导致成本超支和利润的丧失财务控制和采购程序或支付程序的设计缺陷或者执行不力，导致财务欺诈的风险由于签约中的漏洞或者合同不履行招致的财务罚款对合同或项目的投资资金巨大，投资评估却不充分，缺乏全生命期成本计算，或者贷款的资金成本过高缺乏流动性：没有留出足够的可利用现金来支付短期债务没有根据信用表现和财务实力进行合理的信用评级，使得获得信用和/或贷款资金出现困难或代价过高。财务风险财务风险 外部财务风险 宏观经济因素。供应商的财务实力、稳定性和总体的“健康状况”。管理汇率风险管理汇率风险 通过让供应商用买方国家货币报价，买方能够把风险转移给供应商。如果波动不是那么剧烈，就有可能估算支付时适用的汇率，并据此协商价格。双方协商一致在合同签订时付款，不用等到日后的交付时再付，这是有可能做到的。另一个方法是利用现有货币管理工具，例如外汇期货合同，进口商可以借此回避风险。如果汇率风险很大，买方可能不得不考虑暂时从从其他的稳定货币市场进行采购。财务信息财务信息的来源的来源他们公布的财务报告和报表：资产负债表、损益表和现金流量表。市场和供应商的二手数据。信用评级公司。与其他使用相同供应商的买方形成的人际网。邀请供应商的财务执行官向采购和财务经理介绍其当前和预测的财务状况。损益表损益表资产负债表资产负债表单位：百万单位：百万在合同签订之前，尽职调查以搞清楚供应商财务稳定性和效益。在合同生命期内监测财务比率和指标。设定财务标杆，在合同中规定如果没有达到标杆的标准，供应商应尽早通知。要求对于关键应急因素进行监督和通知。提示或及早按供应商发票付款，并鼓励一级供应商对更低级别的供应商也这么做。用如下方式帮助关键的供应商，例如资金贷款或资产借款、分期付款、财务管理建议或其他供应商发展措施。供应商财务困难的减轻措施供应商财务困难的减轻措施“合适的合适的质量量”符合用途（符合用途（Fitness for purpose or use）即产品达到所设计的和所期望的功能的程度；更一般地讲，就是满足客户需求的程度。与要求或规格的一致性与要求或规格的一致性即产品符合规格所设定的特色、特性、性能和标准。相对卓越性（相对卓越性（Comparative excellence）与竞争标杆（其他产品）、最佳实践或卓越标准相比，产品的优点有哪些。质量损失成本质量损失成本内部损失成本内部损失成本 生产或检验过程中发现的缺陷产品的损失或返工无法修理、使用或出售的缺陷产品的废弃已返工或修理的产品的再次检验产品以更低的售价“降级”出售，引起销售收入的损失由于追加存储并重复工作，持有应急存货（以应对废弃品和延迟）所引发的浪费调查故障起因（故障分析）所需的各种活动的时间和成本。外部损失成本外部损失成本 为了收集和/或处理退回的产品所发生的“逆向物流”成本维修或更换有缺陷产品的成本或对不适当的服务进行重做的成本客户根据担保或保证要求赔偿的成本。处理投诉、处理退款等的管理成本。丧失客户忠诚度和未来销售额的成本。对声誉带来的损害。质量管理质量管理组织的客户们相信该组织有能力提供满足客户需求与期望的产品与服务；通过改进过程控制和减少浪费，一贯地和有效地实现组织的质量目标；通过清晰的期望与过程要求，提高员工的能力、培训和道德水准；一旦取得质量效果，能够继续保持：坚持学习与良好实践，使之不会因为缺乏归档、实施和一贯性而中断。质量管理体系（QMS）旨在：SERVQUAL“服服务差距差距”模型模型供应风险供应风险 买方在供应商评估、评价和选择流程方面不完善。买方和供应商在合同与绩效管理方面的流程不完善。未预料到的需求水平。未预料到的环境因素导致的材料短缺或价格波动。没有很好管理合同执行问题。过分“精益”的供应链。对供应品和存货的物理安全规定不详细。天灾或人祸。市场风险，例如工业罢工、财务不稳定性。大宗商品风险，例如政治动乱对原油或天然气价格造成的影响。运输风险，包括天气、堵车或政治动乱所引起的延迟、运输路线中断。缺乏对识别出的风险吸取经验教训和持续改进。安全风险识别和评估模板安全风险识别和评估模板 供应链关系风险供应链关系风险独家供应源搜寻（独家供应源搜寻（Sole sourcing）安排）安排和单供应源搜寻单供应源搜寻（single sourcing）安排）安排。外包安排外包安排。长期伙伴关系长期伙伴关系。供应商分级供应商分级。供应商转换供应商转换或投机性采购。供应风险减轻措施供应风险减轻措施 供应商评估与选择。供应链管理。需求和库存管理。物流管理。合同拟定与管理。保险。外包的正面和负面风险外包的正面和负面风险 外包风险的管理外包风险的管理外包决策需要以清晰的目标和可测量的收益为基础，并进行严密的成本收益分析。由于外包关系是一种长期合作伙伴关系，因此需要严格选择供应商。严格的供应商签约过程，这样风险、成本和责任得以公平地、清晰地分配，而且清晰地界定预期的服务水平。清晰的和协商一致的服务水平、标准和关键绩效指标。对服务交付和质量进行连贯的和严格的监督。持续的合同和供应商管理，确保遵守合同、发展关系、建设性地解决争端。合同评审，从合同执行过程中汲取教训。长期供应关系长期供应关系长期供应关系长期供应关系 网络攻击与数据偷窃网络攻击与数据偷窃黑客（Hacking）是指对数据系统的非授权访问，常常是通过绕过安全系统实现的。病毒（Viruses）和其他形式的恶意软件旨在利用系统脆弱性和滥用数据的恶意程序。网络钓鱼（Phishing）常常是在电子邮件中，通过伪装成受信任的实体，试图骗取有关信息。新技术的实施新技术的实施目标对于变更，是否存在足够的理由和商业论证？人员我们是否能够促使全体职员和组织文化很好地应对变更？关系我们是否能够处理好新系统实施过程中产生的关系变化？技术在组织内部，我们是否拥有足够的专长，或者是否能从外部获取足够的知识？财务是否对项目做过财务评估？权力新系统是否将一个部门或个人的权力转移到了另外一个部门或个人呢？信息风险信息风险来自知识产权的非授权访问和敏感经济数据的组织知识资产风险。与组织共享资源的其他各方滥用数据导致的组织知识资产和经济优势等方面的风险。数据完整性和安全方面的风险。系统故障与相关的数据丢失。对法律和合同规定的遵守风险。由于缺乏变更控制规程，使数据的完整性和价值面临着风险。管理信息系统、外部网、合同数据库和其他有关系统的设计和实施存在风险和没有效率。关键人员的流动，以及他们的知识产权和/或知识的流失通过某些职能外包给外部供应商导致的组织知识、信息和能力的丧失。风险减轻措施风险减轻措施 在系统设计阶段进行风险识别与评估。针对新系统的系统测试与转换安排。硬件、软件和外围设备的预防性维护、维修、更新和替换。保证所有买方的和供应商的信息系统都经受了强大的访问控制。有效和安全使用信息系统的规定和规程。存储数据的备份规程。系统维护、应急计划和备份系统。数据库管理。对合同变更、变化、版本和更新等的规程与控制。内部控制、检查和平衡，防止数据或资金的滥用与欺诈。保护知识产权。在合同执行过程中交流的商业敏感数据的机密性。根据有关法律的要求对员工进行培训。对增值的知识和信息等进行归档。一个典型的一个典型的IA项目的步骤项目的步骤 系统风险评估系统风险评估识别要保护的信息资产、脆弱性和各种威胁；已识别风险的概率和影响分析。制定风险管理计划制定风险管理计划提出应对措施来应对已识别风险。风险管理计划的协议、实施、测试和评估协议、实施、测试和评估常常借助于系统审计来完成。要连续地收集和检查绩效数据，这样可以根据绩效缺口或新出现的风险，按需要持续地修订风险管理计划。符合道德的供应源搜寻符合道德的供应源搜寻在采购中促进公平、公开、透明的竞争。利用供应源搜寻政策来促进积极的社会与经济目标。符合道德要求生产的输入品的规格与采购。在供应链所有层次上，以促进合乎道德的贸易、环境责任和的劳动标准的方式，选择、管理和发展供应商。承诺促进供应链中工作条件的改善。承诺支持供应商可持续的利润获取，确保公平的价格沿着供应链返回到供应商那里。坚持有关机构的道德框架和行为准则。承诺遵守关于消费者、供应商和工人保护的所有相关法律、法规。不道德行为会导致与受到不善对待的利益相关者关系恶化。由不道德行为引起的利益相关者关系不和，也会丧失在绩效、创新、合作和协同效应等方面的机会、价值和利润。对职工和供应商的不平等待遇会使组织难于吸引、挽留并激励他们去提供优质服务和承诺。不道德行为会招致更加严格的法规、媒体和压力集团的监督，这加大了信誉风险和合规风险。不道德行为的曝光会危害到信誉。违法行为会引起额外的合规和法律风险。组织为什么应该负起社会责任？组织为什么应该负起社会责任？CSR和道德和道德风险概概览“三重底三重底线”（Triple Bottom Line）经济可持续性（利润）盈利性，可持续的经济绩效及其对社会的效益（如就业、货物和服务的可获得性、纳税、社区投资、等等）环境的可持续性（地球）可持续的环境措施，要么有益于自然环境，要么对自然环境的不良影响最小化。社会可持续性（人）即对劳动力和企业运作所处的社会都是公平的和有益的商业实践。环境威胁环境威胁 大气排放物。水排放。固体废弃物。拥有（或者获取）环境遭到损害的资产，例如土地。生产、使用和/或运输有毒的或危险的材料。消费化石燃料或者由化石燃料生成的能源。消费稀缺的或不可再生的资源，或者以一种快于再生速度的速度消费可再生资源对大自然的危害。环境风险的控制措施环境风险的控制措施 环境审计。制订环境目标和政策。发展环境管理体系。任命可持续性领头者，建立跨职能可持续性委员会和其他机制。作为项目计划的一部分，开展环境影响研究。对资产和产品组合进行生命周期评估。为以下几项制订相应的环境标准和模板。对于关键利益相关者（包括供应商）的教育、培训、参与和发展计划。对组织整体，采用环境绩效测量。对解决已识别环境问题的措施进行计划、实施和控制。社会可持续性社会可持续性问题人和劳工权利人和劳工权利根除童工和奴隶；工人结社和代表的权利；劳动条件的改善（工作时间和健康与安全）；支付公平的工资。让小企业、本地的和多样的（妇女拥有的或少数民族开办的）供应商有机会拿到合同有机会拿到合同，否则他们由于以下一些因素会处于一种不利的地位缺乏有竞争力的定价（由于没有规模经济）；生产能力和生产率低下；无法获得与合同有关的信息；缺乏处理大型招投标流程复杂性和成本的资源。环境法规环境法规直接法规：执行立法，发布许可。环境（或者“污染者缴纳”）税。补偿或交易机制。自愿的或协商的协议，是企业共同同意的。教育和建议。ISO14001：环境管理体系境管理体系标准准一份环境政策陈述。识别出可能对环境产生重大影响的所有组织活动、产品和服务内容。建立EMS绩效目标和指标。实施EMS以确保实现这些目标和指标。建立相应的程序，对照环境政策和法律与法规框架定期审计和检查环境绩效。当发现偏离EMS的时候，采取纠正和预防措施。高级管理层定期对EMS进行检查。ILO的目的目标 ISO26000社会社会责任任公司信誉公司信誉正面的信誉正面的信誉可能是如下几项的关键来源：独特性，它将组织与其竞争者区分开来。对组织及其产品的支持与信任。在面对变化、危机和问题时表现出来的稳定性和恢复弹性。利益相关者口口相传的正面的宣传和公共关系。在人力和供应市场上树立正面的品牌。在金融市场上树立正面品牌。在商业环境内的关系影响力。减轻上述所有领域产生的风险。公司信誉公司信誉负面的信誉负面的信誉或信誉损害信誉损害，则是风险的来源。它能：损害对组织及其产品和品牌的支持与信任。产生负面的期望。招致来自压力集团、监管者和媒体的苛刻甚至是敌对的审查。损害组织与其关键利益相关者的关系。信誉管理信誉管理 形成与表述清晰的核心价值观和原则。确保公司社会责任和道德价值观和政策在组织内部及整个供应链得到清晰地宣传与管理。对信誉和品牌进行监督与测量。健全的风险评估与管理系统。健全的风险管理实践。与利益相关者进行积极主动的沟通，理解他们对特定问题的期望、认知和敏感度。制订并定期更新危机管理计划。在危机（重大的风险事件）开始发展的时候，与内部的和外部的利益相关者迅速地、谨慎地和有效地进行沟通。危机管理过程危机管理过程避免危机避免危机。做好管理危机的准备做好管理危机的准备。发现危机发现危机。遏制危机遏制危机。解决危机解决危机。从危机中获利从危机中获利。项目的关键特点项目的关键特点 重要性。绩效。有限定日期的生命周期。互相依赖性。唯一性。资源。冲突。项目利益相关者项目利益相关者项目所有人。项目发起人。项目支持者。项目委员会或指导委员会。项目经理。专业经理，例如控制大型项目有关方面工作的经理。项目团队和团队负责人。客户、受益人、用户、承包商和其他利益相关者（包括更广泛的社区。真实的生活真实的生活真实的生活真实的生活 小组成员小组成员小组成员小组成员项目发包商项目发包商项目发包