风险重新评估是指在特定场景下，对已识别的风险进行再次识别、分析和评价，以应对内外部环境变化或风险状态改变的动态管理过程。其核心目标是确保风险评估结果持续符合当前实际情况，为风险应对决策提供准确依据。以下是具体的操作框架和步骤：


一、明确重新评估的触发条件
并非所有情况都需要立即重新评估，先判断是否满足以下场景：
1. 内外部环境重大变化
- 内部：战略调整、组织架构重组、核心业务流程变更、新技术引入、重大项目启动或终止、关键人员变动等；
- 外部：法律法规更新、政策调整、市场格局变化（如竞争对手动作、供应链断裂）、自然灾害/公共卫生事件等突发外部冲击、行业标准升级等。
2. 风险状态显著改变
- 已识别风险的发生可能性或影响程度明显上升/下降；
- 原有风险应对措施失效（如控制环节出现漏洞、风险事件实际发生且超出预期）；
- 出现新的未知风险（如新技术带来的 cybersecurity 风险、新业务模式引发的合规风险）。
3. 定期评估要求
- 按内部制度或外部监管规定（如ISO31000、金融行业合规要求），定期（如季度、年度）开展重新评估；
- 重大项目阶段性节点（如项目启动、中期验收、收尾）触发的专项评估。


二、重新评估的核心流程
1. 成立评估小组，明确目标与范围
- 组建跨部门团队：涵盖业务部门、风险管理部、合规部、技术部等相关方，确保视角全面；
- 明确评估目标：是针对单一风险（如供应链风险）的专项重评，还是全领域风险的全面重评；
- 界定评估范围：聚焦变化涉及的业务板块、流程或区域，避免无边界扩张（如仅评估新政策影响的合规领域）。

2. 收集更新后的风险信息
- 内部信息：近半年的风险事件记录、内部控制审计报告、业务绩效数据、员工反馈、流程变更文档等；
- 外部信息：最新法规条文、行业风险预警报告、竞争对手动态、宏观经济数据、供应商/客户信用变化等；
- 历史评估数据：对比上一次风险评估的结果、应对措施执行情况、风险趋势变化。

3. 风险识别：全面梳理新旧风险
- 采用多种方法识别风险：
- 头脑风暴：组织跨部门讨论，挖掘潜在风险；
- 情景分析：模拟极端场景（如供应链中断、合规处罚），推导关联风险；
- SWOT分析：结合内外部变化，分析优势/劣势带来的风险；
- 风险清单更新：对原有风险清单进行筛选（删除已消失的风险）、补充（新增风险）、修正（调整风险描述）。

4. 风险分析：重新量化/定性风险等级
- 定性分析：评估风险发生的可能性（如极低/低/中/高/极高）和影响程度（如轻微/一般/严重/重大/灾难性），结合风险矩阵确定初步等级；
- 定量分析：对关键风险（如财务风险、运营风险）使用数据模型计算，如用概率分布估算损失金额、用RPN（风险优先数）量化风险优先级；
- 重点关注：原有风险的等级变化（如“低风险”是否升级为“高风险”）、新风险的潜在影响范围。

5. 风险评价：确定风险优先级
- 对比组织的风险容忍度和风险偏好，重新划分风险层级：
- 高优先级风险：需立即采取应对措施；
- 中优先级风险：持续监控并制定应对计划；
- 低优先级风险：可接受或通过日常管理控制；
- 形成风险排序清单，明确各风险的责任部门。

6. 风险应对策略调整
- 针对重新评估的结果，优化或制定新的应对措施：
- 高风险：采取规避（如终止高风险业务）、转移（如购买保险、外包）、减轻（如增加控制环节）等策略；
- 中风险：完善现有控制流程，加强监控；
- 低风险：保持现有应对措施，定期复查；
- 确保应对措施可落地、可执行，明确责任人、时间节点和资源需求。

7. 记录与沟通，形成评估报告
- 完整记录重新评估的过程、数据、结论和应对方案；
- 向管理层、相关部门提交正式报告，重点说明风险变化原因、优先级调整和应对建议；
- 对相关部门开展培训，确保风险应对措施被准确理解和执行。

8. 持续监控与迭代
- 建立风险监控机制，跟踪风险应对措施的执行效果；
- 定期（如每月）复盘风险状态，若再次出现触发条件，及时启动下一轮重新评估。


三、关键注意事项
1. 避免形式主义：聚焦实际变化，不盲目照搬旧流程，重点分析风险变化的根本原因；
2. 跨部门协作：风险往往涉及多个环节，需业务部门深度参与，避免风险管理部门“闭门造车”；
3. 工具支撑：借助风险管理系统（如GRC平台）、数据 analytics 工具，提升评估效率和准确性；
4. 合规性要求：确保重新评估符合行业监管规定（如金融、医疗行业的强制风险评估要求），留存评估记录以备审计。

通过以上流程，风险重新评估可实现从“静态评估”到“动态管理”的转变，确保组织始终对风险保持敏锐感知，有效支撑决策和业务可持续发展。