一、风险定义引述

作为最早的风险管理标准，澳大利亚/新西兰标准联合技术委员会在1995年发布了AS/NZS 4360，定义风险为“对目标产生影响的某种情况发生的可能性”（The chance^[] of something happening that will have an impact on objectives）。AS/NZS 4360在1999年和2004年做了两次更新，但关于“风险”的定义未改变。在1999年更新时，紧随风险定义增加了“（风险）用后果和可能性来衡量”（It is measured in terms of consequences and likelihood）。2004年的更新版中，备注“风险是根据事件后果及其可能性的组合来衡量的”（Risk is measured in terms of a combination of the consequences of an event and their likelihood）以及“风险可能会产生积极或消极的影响”（Risk may have a positive or negative impact）。AS/NZS 4360对风险的中性认识直接影响了ISO31000。

此前，ISO使用ISO Guide73:2002《风险管理术语》（Risk management-Vocabulary）中风险的定义——“某一事件发生的可能性及其结果”（Combination of the probability of an event and its consequence），并注释“‘风险’通常仅用于有可能会产生负面后果的情况”（The term “risk” is generally used only when there is at least the possibility of negative consequences）”。鉴于AS/NZS 4360的影响力，ISO在2005年成立国际专家工作组，着手将澳大利亚和新西兰的经验转化为国际通行标准。ISO Guide73:2009将风险定义为“不确定性对目标的影响”（effect of uncertainty on objectives），ISO31000-2009《风险管理原则与实施指南》中的“风险”用的就是这个定义，中国的GB/T 23694-2013《风险管理术语》使用翻译法等同采用ISO Guide73:2009。采用GB/T 23694确立的术语和定义的中国版GB/T 24353《风险管理原则与实施指南》（目前仍是2009版），也就沿用了“不确定性对目标的影响”这一风险定义。ISO对风险的定义，开启了用“不确定性”来描述风险的时代，但并没有统一对风险的认识，即使是在ISO组织内部，其发布的各种现行的国际标准中，对风险的定义千差万别，有人整理后发现至少有40种以上的定义。

COSO有两个代表作，一个是《企业内部控制框架》（Internal Control——Integrated Framework，简称COSO-IC），1992年版没有定义风险，在2013年发布了更新版^[]，定义风险是“事项发生并给目标实现带来负面影响的可能性”（The possibility that an event will occur and adversely affect the achievement of objectives）。后来COSO逐渐意识到IC框架过于注重财务方面，没有从企业全局与战略高度来关注风险，在2004年颁布了《企业风险管理—整合框架》（Enterprise Risk Management-Integrated Framework，简称COSO-ERM），延续COSO-IC的风险定义，同时提出了机会的概念——“事项发生并给目标实现带来正面影响的可能性”。COSO-ERM在2017年有了更新版，定义风险是“事项发生并影响战略和商业目标的可能性”（The possibility that events will occur and affect the achievement of strategy and business objectives），虽然是中性的表述，但增加了“组织通常关注带来负面结果的风险”（Organizations commonly focus on those risks that may result in a negative outcome）。

除ISO、COSO外，近年来，一些有影响的组织相继发布了有关标准，其中对风险的定义也值得我们去探究，见表1示。

表1  相关组织对“风险”定义的标准汇总

从AS/NZS 4360以降，众多的国际组织在与目标的关联中来定义风险，而ISO和COSO共同的趋势是对风险的定义越来越中性，带来了风险是负面的还是包含了正面（机会）的两面性的讨论，ISO甚至在2015年发布更新的ISO9000:2015《质量管理体系基础和术语》（Quality management systems - Fundamentals and vocabulary）中将“目标”删除，定义风险为“不确定性的影响”，明确指出“影响是指偏离预期，可以是正面的或负面的”。风险管理实务中要求识别出风险表现为机会和威胁的两个方面时，实操层面往往一筹莫展。

与上述共同趋势并行的，是各类国际组织对风险的定义同样也存在较大差异。按照ISO的理解，在不确定性作用之下，与目标产生了偏差或波动即为风险。但本文认为这里的偏差或波动描述的是风险的作用过程（即effect），而不是风险本身。COSO用可能性（欧盟风险管理协会、OHSAS 18001等则采用可能性与影响程度组合）来定义风险（事实上，可能性也是不确定性之一种，是可用概率来度量的不确定性），本文认为这对应的是风险认知史上比较早期和相对比较传统的方式，在不确定性日益成为时代底色的背景下，这两个属性很难满足我们对风险的深度分析需要。此外，在金融行业，风险被定义为与既定目标（期望值）的偏差（deviation），这是将风险等同于风险的作用结果，因为偏差值是受风险影响的结果，而不是风险本身。

二、风险本质辨析

从上文引介的各种表述中，本文抽取其中的关键词来进一步辨析，来认识风险的本质。

（一）风险与不确定性

按照普遍认为的“风险”一词起源于人类对海洋的探索活动这一说法，“险”因为“风”的无法预测而产生。在本体论层面上，“风”有不确定性，加之在科学形成之前，人类尚不能准确认识和把握自然现象的规律，从而形成主体对客体状态的不确定性的认知，被称作“风险”的事件是随机的，可能发生也可能不发生。但人类一直在追寻确定性，从霍布斯之问（“社会秩序如何可能”）以降，社会学各大理论流派都在孜孜以求，甚至牛顿、拉普拉斯、爱因斯坦等物理学家也穷其一生寻找确定性，直到量子力学出现，人们才认识到，确定性是相对的，世界是建立在不确定性之上的。

“不确定性”表达一种不确定的状态或性质，代表主体对客体发展状态的不肯定的认知，原因可能是本体层面的（客体发展本就处于不稳定态），有可能是主体知识水平与认识能力有限，或皆有之。随着大数定律被发现，揭示了某类随机事件发生可能性的客观规律，概率被用来衡量这一可能性，代表着主体追求对客体确定性状态的认知有了数学的计量工具，再加上风险造成损失的严重程度，直接促进了商业化的保险业的发展。无论是前科学阶段对风险的全然无知，还是用概率和影响程度来衡量风险，都不能掩盖风险在本质上就是一种不确定性。我们也看到，21世纪以来，ISO将不确定性重新带入人们的视野。

（二）风险与目标

从一般意义上讲，主体所追求的客体的确定性是作为主体设定的目标而存在的，目标是客体及其关联要素的一种客观存在状态，但却与主体及其认知有关，不同的主体或同一主体在不同情境条件下对客体的认知是有差异的。自然界的风雨雷电在人类出现以前甚至在出现航海贸易以前，虽然只是作为一种自然现象而引起人类的关注，还未被认知为自然风险，但是人类关注它们的根本原因，也是由于其对人类所追求的“目标”产生了不利影响。风险与目标关联，在特定领域的风险称谓上表现得更为突出，比如公共安全风险、合规风险、社会稳定风险等等，本身就是自带目标的风险表述，公共安全、合规、社会稳定就是主体所期望的确定性。不管是在一般意义上还是在特定领域，风险都是与目标相关联的，没有目标就无所谓风险。同时，制定目标的决策过程也存在风险，也有可能造成事后无法弥补决策失误的局面，故此ISO的风险管理标准中，风险管理框架的核心是“领导力与承诺”，强调主要领导者在组织的风险管理中的角色。

以股票投资为例，假如设定投资目标为一年内每股盈利5元，如果将不确定性理解为股价的下跌（纯粹是风险），其对投资目标只会有不利影响（不可能达到预期的每股盈利5元），但仍有盈利的可能（只是每股盈利少于5元）。如果将不确定性理解为股价波动（风险与机会并存），则到投资期末盈亏相抵后，有实现每股预期盈利5元（甚至大于5元）的可能，但也可能每股盈利低于5元或不亏不盈或亏损。设想一下，如果不设定投资目标，投资期末只要每股有盈利，我们该如何来理解投资风险及其程度？

（三）风险是否有两面性

在确定了“风险在本质上就是一种不确定性”的基础上，风险是否有两面性的问题，实质上是讨论风险仅是负面的还是风险也包含了正面的，特别是ISO将风险定义为中性化的“不确定性对目标的影响”之后，这一争论广泛地出现了。

从风险的概念起源来看，谈论风险时人们首先想到的还是损失的情形，而不会首先联想到“机会/机遇”。“机会/机遇”是人类创造出来用以描述不确定性带来正面影响的词语。从企业管理实践来看，如果说风险也有正面性，那么企业“机会/机遇”导向的发展战略是否也可以称作为“风险导向”的战略？显然这一说法很难得到认可。当“风险”本身成为追逐的“目标”（比如极限运动或探险、看跌期权或做空机制）时，风险会产生正面性，但这是人们调转了目标（体系）后，将风险变成了机会/机遇，不能因此就认为在同一个目标（体系）下，风险又是机会，它与风险具有正面性是两个不同面向的议题。即使如此，人们仍然是不希望出现影响其目标实现的风险（即不确定性的负面影响），这种情形可以被描述为“爱冒险，但不愿出风险”。

既然我们认为风险是负面的，是否可以认为“风险等于危险或威胁”？危险描述的是风险的一种情境状态，即损失的确定性增大后产生一种紧迫性态势，威胁既可以作为名词也可以作为动词，描述风险的负面影响使主体持续处于一种危险的情境中，它们的共同性是将会造成主体纯粹性的损失或伤害；危险或威胁的对立面是“安全”，一种有序的确定性。危险或威胁本质上是风险，是风险的一种特定状态，可以纳入风险考量的大范畴，即不确定性的正面影响称之为机会，而与机会反向的不确定性的影响称之为危险或威胁。我们可以在职业健康安全管理、生产安全管理领域的有关规定、标准中进一步看到这方面的差异。

至此，本文尝试界定“风险”为“影响目标实现的不确定性”，其包容性和延展性在于：

（1）不同于风险的作用方式、过程或结果，它界定了“风险”的本质是一种与目标关联的不确定性，因此它在主体—客体间建立起了联系，能够兼容风险的客体性和主观认知性、主体建构性。我们看到，2019年中国财政部颁行的《企业会计应用指引第700号——风险管理》，引入不确定性来定义企业风险为“对企业的战略与经营目标实现产生影响的不确定性”。

（2）这是一个显中性色彩的表述，能够契合国际上对风险日益中性化的定义趋势，但在中文语境中，“影响目标实现”通常就被理解为阻碍目标实现，即不确定性对目标实现产生了不利或者说负面的影响。如果要鲜明地传达出不确定性的负面性，也可以将“风险”表述为“对目标产生不利影响的不确定性”。

（3）由于不确定性对目标既可能带来机会，也可能带来负面影响（危险），在现实世界中，我们面对的是机会（或机遇）与风险相伴随的局面，风险管理就是要分析和评估并“管理”（时下流行用“治理”）不确定性，对机会加以利用从而创造价值，对风险予以防控以保护价值，这也是ISO31000-2018《风险管理  原则与实施指南》提出的风险管理“原则”——价值创造与保护。

三、从不确定性来认识和把握风险的时代意义

（一）不确定性日益成为时代显著特征

后现代社会学将不确定性视作现代社会的整体性特征。比如，社会学家齐格蒙特·鲍曼认为，现代社会的流动性不断增强，推动着现代社会从传统的“静态社会”（solid society）向“流动社会”（liquid society）转变，前者代表整合与统一，后者则暗含着不确定性与不可控。尤其是伴随着新冠疫情在全球范围的流行，导致成千上万人失去了生命，就对人类生存造成的威胁而言，虽还不足以与人类历史上曾经发生过的传染病相比，但是疫情对人类思想造成的冲击却是不容小觑。人们不再眷顾20世纪两次世界大战的教训和在此基础上建立起来的全球经济共同体及其基础上的思想和价值，民族主义和反全球化思潮扑面而来。也正是在疫情期间，英国正式脱欧，“黑命贵”（Black Lives Matter）反种族歧视运动发展，美国苦心经营阿富汗20年后匆匆撤离，似乎退回到门罗主义时代，乌克兰危机再次爆发……如此等等，这个世界似乎又回到了19世纪现代民族国家急剧扩张的时代，将民族国家的利益视作至高无上。当前的世界形势，用政治学者福山的说法，“几乎所有权威的信息来源都遭到质疑，并受到可疑的、来路不明的事实的挑战”，“民主制度面临全面困境的直接产物是，无法就最基本的事实达成一致，美国、英国及世界各国无不如此”。因而有人说，“变化，是这个世界永恒不变的主题。未来，唯一确定的，就是不确定性”。

（二）新兴技术似乎越来越难驾驭

18世纪蒸汽机开启了人类第一次工业革命，19世纪电力应用推动了第二次工业革命，从20世纪四五十年代开始，以原子能技术、航天技术、电子计算机技术的应用为代表（还包括人工合成材料、分子生物学和遗传工程等高新技术），促成了冠以“科技”的第三次科技革命。从哥白尼“日心说”到牛顿力学直至第三次科技革命中的相对论和量子理论，几个世纪以来，人类的思想和理性总是试图去把握技术，认为科学与技术之间或许只差那么一小步。由此，人们乐观地认为21世纪还会有新的科学产生。但事实上是没有，换言之，相对论和量子力学至少到目前而言还是现代科学的最终基础。在第四次科技革命的智能化时代，人工智能、物联网、生命科技的发展远远超越这个时代的思想和理性，科学日益被技术主宰，科学研究者很难在整体上把握技术的发展方向，人类自信地认为仍然可以扮演“造物主”角色，实现人类的永生。新兴技术的发展似乎在以一种脱缰野马的具象脱离人类的控制，成为这个时代不确定性的最本质根源^[]。

当前，随着各种流动性因素的增加和流动性的增强，经济社会发展中的各种不确定性日益累积，似乎有随时向风险转变的可能，从个体到群体，从作为主体的人到客观存在的环境，莫不如是^[]。党的十九届五中全会公报中强调，“发展环境面临深刻变化，国际环境日趋复杂，不稳定性不确定性明显增加”，以往的“风险”的提法被“不确定性”取代。在这个充满不确定性的世界中，所有的知识乃至人的生存状态都建立在“流沙”之上。传统的社会学研究从“确定性”出发再回归到“确定性”，以维持社会秩序及其良性运行为旨归，虽然对不确定性有所关注，但主旨仍是站在寻找确定性的立场上去防范和消解不确定性。在传统社会的静态（solid）结构被打破、确定性越来越难以捕捉的背景下，人类需要克服对确定性追求的天性，从“在不确定性中寻找确定性”转向“在不确定性中认识和把握不确定性”，实现对不确定性的被动地接受到主动地把握，为此我们需要进行观念转变、研究范式转型和研究方法整合与创新。

四、对风险做不确定性研究的基本路径

（一）从确定性思维转向不确定性思维

从“风险”之名来研究风险，主旨是防范，但事实上防范工作本身会带来新的风险。诚如贝克在《风险社会》中所阐述的，“风险”是由人的理性决策和行动导致的（即风险来源于决策）。从不确定性的本质来研究风险则更进一步提醒我们，要修正确定性观念，贯以动态思维，引导事物朝着符合预期的方向发展。从不确定性来理解风险的现实意义在于，风险评估不是“一评了事”，风险管理不是“一劳永逸”，风险防范和不确定性的消解是过程而不是某个确定的结果。

当现实需要我们从不确定性的本质和与目标相联系的角度来理解风险时，风险评估需要做一系列的思维转换，比如说如何描述风险，“原因+结果”的描述方式是否还适用或者说具体表述是否需要做出改变；在目标（准确地讲是目标体系）多维的情况下，如何做到风险识别的穷尽性和排他性，或者换言之，在社会稳定风险评估这类自带目标的评估中，如何避免泛化地理解风险，从而精准地识别社会稳定风险因素；仅用可能性（概率）和影响程度两个维度（本质上是衡量确定性思维的参数）来评估风险（不确定性）是否合适，毕竟不确定性在是否发生、何时发生、是否影响、影响方向（正向、负向）、影响程度、持续时间、影响的（强度、烈度、速度）等方面都有不确定性而且还相互交织，只要任何一方面存在不确定性就会导致风险存在，由此衍生出，现在所用的“风险等级”概念是否应替换为“不确定性程度”？唯如此，我们才可能从不确定性的治理角度（而不仅是风险防范）深刻地理解城市治理中“韧性城市”建设背后的逻辑。

（二）建立“不确定性”研究的基本范式

按照“范式”创用者托马斯·库恩的观点，科学不是按照进化的方式发展的，而是通过一系列革命的方式实现的质变过程，这个过程就是“范式”的转变，“一个共同体成员所共享的信仰、价值观、技术等集合”的转变。社会学家乔治·瑞泽尔摒弃了库恩关于范式的非此即彼的思维，认为社会科学不同范式之间有继承性或包容性^[]。虽然此处借用了有固定化色彩的“范式”概念，但是想要传达的却是一种开放性思维：（1）不确定性研究的范式要有行动者分析，在社会学意义上，行动者（人和各类组织）是产生不确定性的“始作俑者”，也是风险的承担者，风险的不确定性研究首先要结合行动者及其设定的“目标”，在主客体联结中展开对行动者的分析。（2）不确定性研究的范式要有“大”结构观，世界是普遍联系的，不确定性也处于相互联系之中，事物在关系网络中所处的相对位置是基本确定的，不确定性研究要深入关系网络，把握相关性，不能拘泥于某一国、某一地、某一域的范围，要直面当今时代的大问题，它既是背景也是趋势。（3）不确定性研究的范式要有“大”历史观，每个当下都是历史，历史也具有动态性，同时，当下的“果”在历史上有很多的“因”（直接的、间接的，宏观的、微观的等），不确定性研究既要把握住当下，更要穿过历史的走廊，尽可能去还原当时历史条件下的“因”，并以此为线索探求事物发展的未来走向。

（三）推动“不确定性”研究方法的整合与创新

在宏观层面而言，社会（学）研究方法有定性与定量之分，定量研究方法（比如盈亏平衡分析、敏感性分析、概率分析等）适合对不确定性做定量测量，但也要对定量研究方法保持足够的警惕——流行的大数据分析也很难帮助我们更深刻地洞察世界，在不确定性中划出确定性，“即时更新的、看似精确的数据并没能帮助人们看清疫情的走势，反而可能会扭曲事实”。定性研究则在了解和把握不确定性行为及其背后的主观意义方面具有优势。从这个角度讲，定性研究的具体方法在不确定性研究中大有作为的空间。两类方法相辅相成，在不确定性研究中要加以整合运用。由于现有的研究方法也多是在确定性思维下建立起来的，对于它们能否适用于或者在多大程度上能够分析不确定性，可能也有不确定性，有必要引入新的视角，探寻新的研究方法，进行研究方法的持续创新和突破。比如行动者网络理论，作为对传统社会学的颠覆，由“人”和“非人”（如生物、技术、观念、组织、思想等）作为行动者联结成“网络”（一种描述连接的方式），通过问题化（problematization）、权益化（interessement）、招募（enrolment）、动员（mobilization）的转译（translation）过程，消解传统的主体—客体、自然—社会二分法，为人们解释知识与社会的复杂联系提供了新的方法进路。在如何“问题化”方面，还要发挥社会学的想象力，也可以“把自己作为方法”，与研究对象保持适度的“距离”，注入反思性思维，把个人经验转化为可以检验的问题，思考这个问题或者现象存在的历史背景，在历史中去追溯过去与现在的连接。

在这个充满了不确定性的社会中，人类追求确定性（哪怕是相对确定性）的努力仍将持续。本文在辨析了风险本质的基础上，对不确定性的研究做了初步的思考，并不是要否定这一努力，而是针对目前风险评估乃至风险管理实务中的某些欠缺，所提出的不确定性研究的基本范式和研究方法的思考，也是想极力来弥补上述缺失，或许通过风险研究理论界、风险管理实务界的共同行动，前述范式和方法能发展成为不确定性研究的特有理论与方法。鉴于研究功力所限，本文不仅在哲学思考和实务方面各自都存在不足，而且在这两者的结合方面做得也还不够，仅希望能够抛砖引玉，大家一起来思考和推动不确定性的社会学理论研究，为风险管理实务界提供理论和方法指引。