在国际工程界，一般都以为会天上掉馅饼，实际上天上掉落的都是板砖和陷阱。

国际工程界大家熟知的著名的亏损案例有很多个，比如某公司沙特轻轨项目，比如某公司波兰公路项目，还比如某公司澳洲铁矿项目。出现亏损原因五花八门，然而究根问底，最本质的原因就是风险管理有短板。

中国走出去企业风险管理的短板在哪里？短板有很多，我个人认为最主要的是对风险管理方法论的懵懂无知。

目前国际上公认的成体系的风险管理方法论包括两大体系：一个是ISO31000，一个是COSO ERM。目前我看到的资料说来说去也没有把两者的区别到底是什么说清楚，我个人的理解就是：

ISO31000认为组织的风险主要来自于外部，所以管理的重点是组织外部的风险，而COSO认为企业的风险主要是自身管理水平不高导致的，所以其比较注重内控。

ISO31000最新版本是2018版，全称是 Risk Management—Guidelines（风险管理指南），请注意ISO31000是Guidelines（指南），不是Requirements（要求），因此ISO31000不能用于组织认证。

COSO ERM最新版本是2017版，COSO的全称是Committee of Sponsoring Organizations of the Treadway Commission；ERM的全称是Enterprise Risk Management Integrating；那么COSO ERM2017的全称是Committee of Sponsoring Organizations of the Treadway Commission；Enterprise Risk Management Integrating with Strategy and Performance。

总体上来说ISO更通俗易懂，更适合走出去企业，所以本文重点介绍ISO31000。

ISO 31000最重要的其实就是风险管理流程，如下图：

为了配合风险管理流程，ISO还专门编制了ISO/IEC 31010Risk management - Risk assessment（风险评估） techniques。ISO/IEC 31010最新版本是2019版。所以，为了做好风险管理除了熟知ISO31000,更要掌握ISO/IEC 31010。

不过要注意，上述流程中的Risk Treatment(风险应对)在HSSE风险管理中就变为了一个专用术语，Risk Control（风控），根据美国National Institute for Occupational Safety and Health (NIOSH)经典的风控层次理论，风控主要有5个层次（措施），如下图：

衷心希望我们不再有风险管理短板，衷心希望不再有亏损的国际项目。