风险评估与应急预案工具包——实战落地的完整方法论

本质价值：识别风险只是第一步，评估风险优先级、制定应对策略、建立应急预案才是风险管理的完整闭环。这一章提供可直接使用的工具和模板，让风险管理从理论走向实践。

一、风险评估矩阵（Risk Assessment Matrix）——找到最危险的那个

为什么需要风险评估？

企业面临的风险数以百计，但资源有限。风险评估的目的是识别出那些发生概率高、影响程度大的风险，优先投入资源。

风险评估二维模型

横轴：发生概率（Probability）

• 极低（1分）：几乎不可能发生，<1%
• 低（2分）：不太可能发生，1-10%
• 中（3分）：可能发生，10-50%
• 高（4分）：很可能发生，50-80%
• 极高（5分）：几乎确定发生，>80%

纵轴：影响程度（Impact）

• 极低（1分）：可忽略，损失<1万元
• 低（2分）：轻微影响，损失1-10万元
• 中（3分）：中等影响，损失10-50万元
• 高（4分）：严重影响，损失50-200万元
• 极高（5分）：灾难性影响，损失>200万元或人员伤亡

风险等级计算：

风险等级 = 发生概率 × 影响程度

风险分级：

• 1-4分：低风险（绿色）- 监控即可
• 5-9分：中风险（黄色）- 制定预防措施
• 10-15分：高风险（橙色）- 优先处理
• 16-25分：极高风险（红色）- 立即行动

实战案例：某服务中心风险评估

步骤1：列出所有风险

某新能源服务中心识别出的20个主要风险点。

步骤2：评分

步骤3：优先级排序

根据风险等级，该服务中心的风险优先级为：

🔴 极高优先级（立即行动）：

• 无（本案例中没有16分以上的极高风险）

🟠 高优先级（优先处理）：

1. 关键人员流失（12分）
2. 高压电事故（10分）

🟡 中优先级（制定预防措施）：

1. 应收账款坏账（9分）
2. 客户满意度下降（9分）
3. 数据泄露（8分）
4. 返修率上升（8分）
5. 库存积压（6分）
6. 试车事故（5分）

🟢 低优先级（监控即可）：

1. 设备故障（4分）
2. 供应链中断（3分）

步骤4：制定行动计划

针对高优先级风险，制定具体行动计划：

风险1：关键人员流失（12分）

• 降低发生概率：
  • 建立薪酬市场对标机制（每半年1次）
  • 核心人才保留计划（见Day 66-3）
  • 季度沟通会（了解员工诉求）
  • 预期降至：3 → 2
• 降低影响程度：
  • 建立知识管理体系（文档化）
  • 培养第二梯队（双通道）
  • 建立技术专家池（外部资源）
  • 预期降至：4 → 2
• 目标风险等级：2 × 2 = 4分（低风险）

风险2：高压电事故（10分）

• 降低发生概率：
  • 强制双人作业制度
  • 三重断电验证流程
  • 智能防护装备
  • 月度安全演练
  • 预期降至：2 → 1
• 降低影响程度（这类事故影响无法降低，只能预防）：
  • CPR急救培训（全员）
  • 应急救援设备配置
  • 保险保障（500万责任险）
  • 影响仍为：5
• 目标风险等级：1 × 5 = 5分（中风险，但可接受）

你的风险评估作业

请立即完成（30分钟内）：

1. 列出你的Top 10风险：写在一张A4纸上
2. 评分：给每个风险打分（发生概率1-5分，影响程度1-5分）
3. 计算风险等级：概率 × 影响
4. 排序：找出你的Top 3高风险
5. 制定行动计划：针对Top 3，写出具体措施

评估表模板：

二、风险应对策略（Risk Response Strategy）——四种武器

策略1：规避（Avoid）——不做

适用场景：风险太大，收益太小，不值得冒险。

案例：

某服务中心接到一个大客户的合作邀约：为其100辆车队提供维修服务，年度合同额300万元。

但经过风险评估发现：

• 对方要求账期180天（6个月）
• 对方公司财务状况不佳，负债率高
• 300万应收将占用全部现金流
• 如果对方破产，服务中心也会破产

决策：规避风险，拒绝合作。

虽然损失了300万营收，但避免了可能的致命风险。

规避策略的判断标准：

• 风险等级 > 收益
• 无法控制或降低风险
• 有替代方案

策略2：减轻（Mitigate）——做，但降低风险

适用场景：业务必须做，但可以通过措施降低风险。

案例：

某服务中心需要开展高压电池维修业务（这是新能源售后的核心业务，不能不做）。

风险：高压电事故，可能致命。

减轻措施：

• 降低发生概率：
  • 技师分级认证（只有Level 3才能操作）
  • 强制双人作业
  • 三重断电验证
  • 智能防护装备
  • 月度安全演练
• 降低影响程度：
  • 全员CPR培训
  • 应急救援设备
  • 责任保险（500万）

结果：将风险从"极高"降至"可接受"水平。

这是最常用的风险应对策略。

策略3：转移（Transfer）——让别人承担

适用场景：风险可以通过合同、保险等方式转移给第三方。

常见转移方式：

1. 保险：
   • 责任险：转移事故赔偿风险
   • 财产险：转移财产损失风险
   • 雇主责任险：转移工伤赔偿风险
2. 外包：
   • 将高风险业务外包给专业公司
   • 如：危险废弃物处理外包给有资质的公司
3. 合同条款：
   • 免责条款（在法律允许范围内）
   • 责任上限条款
   • 争议解决条款

案例：

某服务中心的钣喷业务（喷漆）涉及危险化学品管理，环保要求高，风险大。

风险转移方案：

• 将钣喷业务外包给专业钣喷中心
• 自己只做维修业务
• 通过合作协议明确责任划分

结果：

• 消除了环保合规风险
• 降低了危化品管理风险
• 虽然毛利下降，但风险大幅降低

注意：

• 风险转移不等于风险消失
• 转移是有成本的（保险费、外包费）
• 某些风险无法转移（如声誉风险）

策略4：接受（Accept）——做，并接受后果

适用场景：

• 风险很小，可以接受
• 降低风险的成本 > 风险本身的损失
• 无法规避、减轻或转移

分为两种：

1. 主动接受（准备应急预案）

案例：设备故障风险

• 发生概率：低（2分）
• 影响程度：低（2分）
• 风险等级：4分（低风险）

应对：

• 不专门投入资源预防
• 但准备好应急预案：
  • 备用设备清单
  • 设备租赁渠道
  • 外部维修服务商联系方式
• 一旦发生，启动应急预案

2. 被动接受（什么都不做）

只适用于极低风险，且影响可忽略的情况。

案例：员工日常感冒请假

• 影响极小
• 无法预防
• 被动接受即可

策略选择决策树

开始
  |
  ├─ 能否不做这个业务？
  │   └─ 是 → 规避（Avoid）
  │
  └─ 否 → 能否降低风险？
      |
      ├─ 是 → 减轻（Mitigate）
      │
      └─ 否 → 能否转移风险？
          |
          ├─ 是 → 转移（Transfer）
          │
          └─ 否 → 接受（Accept）

多数情况下，最佳策略是组合使用：

案例：高压电维修业务

• 减轻：技师认证、双人作业、防护装备（降低发生概率）
• 转移：购买责任保险（转移赔偿风险）
• 接受：接受剩余的小概率风险

三、应急预案（Emergency Response Plan）——危机时刻的救命稻草

为什么需要应急预案？

研究表明（哈佛商学院，2021）：

• 有应急预案的企业，危机损失平均降低60%
• 无应急预案的企业，70%在危机中做出错误决策
• 危机发生后的第1小时是黄金窗口期

应急预案的本质：

• 不是预测所有可能的危机
• 而是在危机发生时，知道该做什么、谁来做、怎么做

应急预案的六大要素

1. 危机分级（Emergency Levels）

2. 组织架构（Emergency Organization）

应急指挥部：

• 总指挥：总经理（Ⅰ、Ⅱ级）或运营经理（Ⅲ、Ⅳ级）
• 副总指挥：技术总监、行政总监
• 成员：各部门负责人

应急小组：

• 现场处置组：负责现场控制、人员疏散
• 医疗救援组：负责伤员救治、医院对接
• 对外联络组：负责报警、媒体应对、家属沟通
• 后勤保障组：负责物资调配、资金准备
• 调查组：负责事故调查、原因分析

24小时应急联系人：

• 总指挥手机：XXX
• 副总指挥手机：XXX
• 应急办公室：XXX

3. 响应流程（Response Procedure）

标准响应流程（所有危机通用）：

第1步：报告（0-5分钟）

• 发现人立即报告
• 报告对象：现场负责人 + 总指挥
• 报告内容：时间、地点、事件、人员、初步判断

第2步：启动（5-15分钟）

• 总指挥判断危机级别
• 启动相应级别应急预案
• 召集应急小组成员

第3步：控制（15分钟-1小时）

• 现场处置组控制现场
• 医疗救援组救治伤员
• 对外联络组报警/报告
• 后勤保障组提供支援

第4步：报告（1-2小时）

• Ⅲ级以上事件：报告监管部门
• Ⅱ级以上事件：报告集团总部
• Ⅰ级事件：报告政府应急部门

第5步：调查（24小时内）

• 调查组进场
• 固定证据、询问人员
• 初步分析原因

第6步：复盘（3天内）

• 完整调查报告
• 根因分析
• 改善措施
• 责任认定

4. 应急资源（Emergency Resources）

物资储备清单：

• 医疗急救包（创可贴、纱布、消毒液、AED除颤仪）
• 消防器材（灭火器、消防沙、防烟面罩）
• 应急照明（手电筒、应急灯）
• 通讯设备（对讲机、扩音器）
• 警戒设备（警戒线、警示牌）

外部资源清单：

• 急救电话：120
• 火警电话：119
• 报警电话：110
• 最近医院：XXX医院，地址XXX，距离XXkm，联系人XXX
• 安监部门：XXX，联系人XXX
• 保险公司：XXX，理赔专员XXX
• 法律顾问：XXX律所，律师XXX

资金准备：

• 应急资金账户：至少50万元
• 授权人：总经理、财务总监
• 可在1小时内调用

5. 沟通策略（Communication Strategy）

内部沟通：

• 及时、准确、统一口径
• 安抚员工情绪
• 强调配合调查

外部沟通：

对监管部门：

• 主动报告，不隐瞒
• 配合调查
• 提供完整资料

对媒体：

• 指定新闻发言人（只有发言人可以对外发声）
• 24小时内发布官方声明
• 不回避、不推责、不猜测
• 表达歉意、说明措施

对家属：

• 第一时间通知
• 专人对接
• 承担合理责任
• 提供人文关怀

对客户：

• 主动通知受影响客户
• 说明情况、表达歉意
• 提供补救方案

6. 培训演练（Training & Drill）

培训计划：

• 新员工：入职时培训应急知识
• 在职员工：每季度复训
• 应急小组：每月培训

演练计划：

• 桌面演练：每季度1次（模拟推演）
• 实战演练：每半年1次（实地演练）
• 演练场景：高压电事故、火灾、客户群体事件

演练要点：

• 模拟真实场景
• 全员参与
• 计时考核
• 演练后复盘改进

应急预案模板：高压电事故

【应急预案名称】 高压电触电事故应急预案

【适用范围】 所有涉及高压电池维修的场景

【危机级别】 Ⅱ级（橙色）或Ⅰ级（红色），取决于伤情

【应急流程】

1. 触电发生（0-1分钟）

❌ 禁止动作：

• 不得直接用手触碰触电者
• 不得用金属工具触碰触电者
• 不得用水灭火

✅ 正确动作：

• 监护人立即切断电源（拉下维修开关）
• 如无法切断，用绝缘救援钩将触电者与电源分离
• 大声呼救
• 启动秒表计时

2. 紧急救治（1-5分钟）

• 检查触电者意识：呼叫、拍肩
• 检查呼吸和心跳

如果有意识：

• 让其平躺
• 检查烧伤部位
• 等待120

如果无意识、有呼吸：

• 将其置于复苏体位（侧卧）
• 保持呼吸道畅通
• 等待120

如果无意识、无呼吸、无心跳：

• 立即开始CPR心肺复苏
• 30次胸外按压 + 2次人工呼吸
• 持续CPR直到：
  • 患者恢复呼吸心跳
  • 或120到达
  • 或医生宣布死亡

3. 报警求助（1分钟内）

• 对外联络组：
  • 拨打120："XXX地址，高压电触电，1人昏迷，正在CPR"
  • 拨打110：报告事故
  • 通知最近医院急诊科：提前准备
• 报告总指挥：
  • 时间、地点、伤者情况
  • 已采取的措施

4. 现场保护（5分钟内）

• 现场处置组：
  • 设置警戒线
  • 疏散无关人员
  • 保护现场证据
  • 拍照记录

5. 后续处理（1-24小时）

• 医疗救援组：
  • 跟随120至医院
  • 全力配合救治
  • 通知家属
• 对外联络组：
  • 1小时内报告安监局
  • 通知保险公司
  • 准备对外声明
• 调查组：
  • 24小时内完成初步调查
  • 分析原因
  • 提出改善措施

【应急物资】

• 绝缘救援钩（2把）
• AED自动除颤仪（1台）
• 急救箱（1个）
• 对讲机（2台）
• 应急电话清单（张贴在显眼位置）

【演练要求】

• 每季度1次桌面推演
• 每半年1次实战演练
• 全员必须会CPR

四、风险管理的PDCA循环——持续改进

风险管理不是一次性工作，而是持续循环的过程。

Plan（计划）

1. 识别风险：列出所有潜在风险
2. 评估风险：使用风险矩阵评分
3. 制定策略：规避/减轻/转移/接受
4. 编制预案：针对高风险编制应急预案

Do（执行）

1. 实施措施：落实风险应对措施
2. 培训演练：应急预案培训和演练
3. 资源准备：应急物资、资金、人员

Check（检查）

1. 定期审查：每季度审查风险清单
2. 监控指标：跟踪风险预警指标
3. 演练复盘：每次演练后总结改进
4. 事故分析：每次事故后根因分析

Act（行动）

1. 更新预案：根据检查结果更新预案
2. 完善措施：加强薄弱环节
3. 持续改进：将经验固化到流程中

本章金句

"风险管理的本质，是在不确定性中寻找确定性。"

"最好的应急预案，是永远不需要用到它。"

"风险评估不是为了消除所有风险，而是确保你知道自己在冒什么险。"

"应急预案的价值，不在于预测危机，而在于危机来临时不慌乱。"

下一页：我们将完成66天培训的总结与行动计划，帮助你将所学转化为实践。