工程施工企业在建立ISO 37001反贿赂管理体系时，风险与机遇评价是核心环节。但很多企业把这张表写得又长又空，评审依据和评分标准含糊，措施也没有落到责任和时限，审核时难以提供有效证据。本文结合工程施工项目的实际，说明怎么避免把风险评价写成一张空表。
风险评价不是列几个词就算完成，要能回答为什么这个风险存在、怎么判断等级、采取什么控制措施、谁来负责验证。把这几层做实，风险表才有说服力。
工程施工项目涉及招标、分包、采购、付款等多个环节，每类风险的评价依据和措施都不相同。把风险表做细的关键是让每条都对应具体业务场景，而不是把不同环节的风险笼统归成一张通用表。
避免写成空表的关键，是让每一条风险都有合规依据、可判断的评分、具体的控制责任和更新验证机制，做到有据可查、有人负责、能持续更新。
一张风险表是否扎实，可以从下面几个维度判断。
| 判断项 | 常见做法 | 容易出问题的做法 | 怎么判断 |
|---|---|---|---|
| 风险源识别 | 风险与业务环节和合规义务对应 | 只列通用风险没有业务场景 | 能说出发生在哪个环节、依据哪条义务 |
| 评分准则 | 明确可能性和影响的分值标准 | 凭感觉打分无法复现 | 同样情况打分结果一致 |
| 控制措施 | 措施具体并有责任和时限 | 措施笼统如加强管理 | 谁做、做什么、何时完成都清晰 |
| 更新验证 | 定期评审并记录验证结果 | 一年只更新一次且无验证 | 有评审记录和新措施证据 |
按这几个维度自查，风险表就不会流于形式。
工程施工企业的风险源要落到招标评审、分包选择、物资采购、结算付款、公关往来等具体环节，并对照相关法规和企业内控要求说明为什么存在风险。
每一条风险都要能指认它来自哪个业务过程、不符合哪项合规要求，而不是泛泛写一句供应商贿赂风险。
评分要建立清晰口径，比如按发生可能性和影响程度分别打分，再得到等级。工程企业要明确每一档分值的含义，避免两张表打出来差异很大。
评价准则最好写成文字并让评卷人使用同一口径，这样审核时能复现评分过程，措施也有针对重点。
每项风险要有对应的控制措施，写上具体动作、责任岗位、完成时限和验证人。比如对于结算付款风险，措施可以是双人复核加按月抽查，责任到财务和采购。
措施不能写加强管理、提高意识这类空话，要能落到可执行、可验证的具体动作，审核时才能拿出证据。
风险不是一次评价就结束，要定期评审并记录验证结果。工程企业项目周期长，新项目进场往往带来新风险，需要及时补充更新。
每次评审要有日期、参与人、结论和修改项，验证措施是否到位，形成持续闭环，避免风险表停留在初次填写的状态。
重点覆盖高风险环节和核心业务，按对合规和运营的影响排序，具体范围以标准要求和实际为准。
按企业实际设置，常见用高中低或更多档，关键是准则清晰可复现，具体以程序要求为准。
涉及新的高风险环节通常应及时补充评价和更新清单，体现持续识别，具体视项目情况而定。
通常由合规或监督岗位复核验证，并留下验证记录，责任要明确到岗位，以程序要求为准。
风险与机遇评价是ISO 37001体系的落地关键。只要把风险源、评分准则、控制责任和更新验证做实，风险表就不会是一张空表，审核时也有据可查。
同创云长期做ISO体系认证咨询与审核辅导，可帮助工程施工企业把风险评价做得可执行、可验证。可参考ISO 27001认证的适用性声明怎么写才能覆盖真实业务风险与ISO 14001认证对合规义务评价有哪些具体要求，更多问答见体系认证常见问题栏目。具体审核安排，以认证机构及国家认监委（CNCA）官方最新通知为准。
本文由同创云体系认证研究中心整理，内容参考相关管理体系标准与认证认可通用规则；具体政策以认证机构和监管部门官方最新通知为准。