風險為本與隻揪
審計和監管行業大都採取「風險為本」的工作模式，但即使是業內人士，都未必能理解什麼是真正的風險為本。最常見的誤解（堅唔明）甚至曲解（堅扮唔明）就是認定但凡有風險的事情，都必需不惜代價去規避，總之不能有半點差錯。這思維站在道德高地，大義凜然，但離地。
我曾以「隻揪」做例子，和同事分享我心目中的風險為本是什麼回事，今天也想和讀者分享一下：
萬一咁唔好彩要同人隻揪，就只能做兩件事。第一就是不能畀對方擊中要害，必需要做到這點，才談得上第二件事：擊中對方要害。但知易行難，我當然想保護要害，問題係怕痛、怕瘀、驚畀人打到邊度都「唔好」兼「唔好睇」，結果對方想踢我patpat，我就搵雙手去擋，雙眼和喉嚨暴露晒，跟住畀人KO。
假設雙方實力相若，隻揪的決勝關鍵，在於誰有勇氣嚴格執行風險為本策略。一個人只有雙拳兩腿，若要成功防守，仲要有力反攻，絕不能怕痛，浪費寶貴資源（手腳）去保護例如patpat這類低風險部位。更不能怕瘀（包括身體及心靈上的瘀）。被擊中會痛是必然，搵手掩住是枉然，只會暴露要害任人打！同理，任何機構都不應把寶貴的資源花在低風險、唔傷身的地方，更不應在低風險位置出事後，為了心裏好過，就濫用寶貴資源去防範同類事情。
從隻揪例子可見，風險為本的理論易懂，要執行得好，膽識重要，但更加需要勇氣。大膽的人唔識驚，但有勇氣的人能透過理性認知，即使好驚都會去做對的事。培養勇氣，就要深刻理解為何現今社會必需採用風險為本的模式。風險為本其實是廿多年前產物，背景是企業結構和商業流程越來越複雜，根本無可能用傳統的審計模式進行全面檢查。業界提倡一個較高效率的模式：綜合評估各部門的（i）固有風險和（ii）風險管理的質素，然後按評估結果把極有限的資源進行分配。例如一間金融機構的某個部門，其固有風險屬高，而且風險管理質素屬差，那就要特別放多些資源去「招呼」這部門了。相反，固有風險屬低而且風險管理質素好的部門，就唯有睇少啲。必需明白一點，風險為本模式的重中之重就是「資源有限、必有取捨」。因此，「什麼風險都要規避防衛」是完全破壞了風險為本的原意。
隻揪對住嘅係「對手」，但公司對住嘅係「上級」，有什麼不同？做上級（包括我）最鍾意同下屬講「唔好漏波」。這就像我中學時參加跳遠比賽，體育老師叫我「跳遠啲」一樣，是好有鼓勵性的廢話。但在職場尤其是官場，「唔好漏波」這四個字好重，本來提醒下屬是好事，但過猶不及便會削弱他們的專業判斷能力。我自愧曾經害人無數，做上級時扮勁，扮塞錢落下屬個袋，隨便舉例話「咁咁咁咪唔合格囉」、「咁咁咁就要查清楚喇」，結果同事把這些「隨口噏」的例子視作指令，集中做我提過的例子，以及從這些例子聯想得到的其他事項。人的集中力有限，我耗盡他們的集中力，他們當然無能力兼顧一些更重要的風險位置，所以錯在我，不在他們。
最後，我用自身經驗作出以下建議：
1. 做上級的，請不要扮運籌帷幄，請不要隨便舉例，請給予空間，讓下屬按實際情況做專業判斷。
2. 做下屬的，請記住上級都係人，都會隨口噏，千萬唔好當秘笈；請不要妄想跟足指示就無事，出事前你以為「老細要死，唔通唔畀佢死」，出事後你嘅罪名就係「睇住你老細死，你都唔出聲」。
歡迎轉載，請註明出處 #貼地風管
Search