三年前帮一个做跨境电商的朋友看他们的风险台账，A4纸装订了厚厚一本，78条，编号排到R-078。我问最近一次更新是什么时候，他翻了两页说，去年立项的时候写的。再往下看更离谱，78条里有12条指向同一个供应商的断供风险，只是换了三种措辞；还有3条写的是同一个海外仓的消防隐患，责任人栏统一填着"运营部"。

这本台账后来在真出事的时候一条都没用上。他们被卡住的是物流清关，而台账里"政策风险"那一栏写的是"密切关注相关法规变化"。说白了等于没写。

### 那些写进台账也等于没写的坑

我后来陆续接触过十几个团队的风险清单，反复出现的毛病就那么几种：

• 把风险当成纯粹的坏事。其实汇率波动、供应商集中，都是双向的，可能亏也可能赚，只登记负面那一半，决策时就会过度保守。
• 只写概率不写影响，或者只写影响不写概率。"发生概率低"配上一个能让公司现金流断裂的后果，和"概率中等"配上一个损失两万块的后果，排在同一张表里，权重却完全不同。
• 描述太笼统。"市场风险""人才流失风险"这种词，任何人看了都不知道该做什么。有效的写法得具体到"华东区前三大客户中任意一家停止续约"。
• 责任人写成部门名。部门不会半夜接电话，写"运营部"和写"待定"是一个效果。

有个做SaaS的团队让我印象很深，他们的风险清单只有11条，但每一条都写了触发条件、观察指标和第一响应人。比如"核心支付通道费率上调超过15%"这一条，后面跟着谁去谈、备选通道是哪两家、切换需要多久。这份东西看着不漂亮，但能用。

### 平均值是最容易骗人的东西

我见过太多团队用平均数做风险测算。平均交付周期30天，于是按30天排产。问题在于平均数把尾部抹平了。

真实数据往往是这样的：85%的订单20天交付，10%的订单45天，剩下5%的订单要90天以上。平均值算出来是30天左右，看着很健康。但那5%的长尾订单，恰好是定制化程度最高、金额最大的那批。你要是按30天给客户承诺，这5%的订单全部违约，赔偿金额可能吃掉全年利润。

我自己的做法是，任何关键指标至少看三个数：中位数、90分位、最差情况。这三个数摆在一起，风险轮廓才清楚。只看平均值，等于闭着眼睛开车还觉得自己在直线行驶。

还有一种更隐蔽的误区，把风险转嫁出去就当它消失了。外包给供应商、买份保险、写进合同让对方承担，这些动作确实转移了财务损失，但转移不了业务中断。供应商赔你钱，可你的产线还是停着，客户还是跑了。这笔账很多人不算。

说到底，风险管理的价值不在于那张表有多完整，而在于出事那天，有没有人能立刻翻到对应的那一页，知道下一步该干什么。清单可以短，但每一条都得能落地。写78条没人看的，不如写11条有人用的。