在一个企业持续加大对系统、控制和自动化投入的时代，有一个关键变量却始终被低估——人类行为。
Dr. Jenny Tan，新加坡风险管理学会（Institute of Risk Management, Singapore）主席，同时也是一位在风险、审计、运营与人力资源等多个领域拥有CXO经验的转型领导者，一直在推动一种根本性的转变：不再将人类行为视为“软性因素”，而是作为一种可衡量、可管理的风险来源——这正是她所推进的人类风险管理（Human Risk Management, HRM）。
在本次访谈中，她深入解析了如何真正将人类风险管理嵌入组织体系、为何内部审计必须超越合规导向，以及企业转型为何常常在无声中失败。
重新定义风险：从流程走向人类行为
问：你倡导“人类风险管理”，但在实际操作中，如何将其嵌入企业的风险框架？在流程或决策层面，具体发生了哪些变化？
答：要推行人类风险管理（HRM），首先必须获得董事会和高级管理层的支持。
传统的企业风险管理（ERM）主要关注战略、运营、财务、技术以及合规风险，这些大多是以流程为驱动的。而HRM则直接从人类行为出发来衡量风险，这意味着它处在一个不同的层级。
在我看来，HRM应该位于最顶层——由治理结构与企业文化驱动，并影响所有ERM组成部分。
为了实现这一点，企业需要具备衡量行为的工具。每位员工都可以拥有一个个人风险评分，该评分基于其与流程和系统的互动方式生成。
这些评分可以在多个方面发挥作用：塑造治理行为、优化岗位匹配、定制个性化安全培训，甚至作为内部威胁的前瞻性指标。
重要的是，HRM并不需要对现有流程进行彻底重构，真正的转变在于如何解读这些流程——明确衡量什么，以及为什么衡量。
与此同时，沟通至关重要。员工需要清楚了解被衡量的内容、数据的使用方式，以及个人风险评分的保密性。缺乏信任，这一体系将无法运作。
将内部审计重新定义为业务合作伙伴
问：你将内部审计从传统的控制职能转型升级。哪些具体改变让审计对业务更具价值？
答：我从两个方面推动这一转型。
在内部，我首先改变审计团队的思维模式，然后提升其技能体系。在外部，我努力改变业务部门对内部审计的认知——从“监管者”转变为“合作伙伴”。
其中一个关键是持续沟通。通过研讨会、焦点小组和路演，我澄清了一个常见误解：内部审计的KPI并不是发现越多问题越好。
实际上，我们的KPI与业务反馈挂钩——衡量我们为业务创造了多少价值，同时完成既定审计计划。
KPI会驱动行为。如果设定错误，就会产生错误的结果。
值得注意的是，我们的审计方法论并未改变，但方式发生了变化。我们更加注重主动倾听，站在被审计方的角度思考，并采用更具咨询性的沟通方式。
没有人喜欢被指出错误。但当人们感受到支持而非评判时，对话就会改变——从抵触转向合作，而真正的影响也正是在这一过程中产生。
与此同时，诚信依然不可妥协。职业道德准则没有改变，改变的是在坚持原则的同时如何进行沟通。
为什么转型会失败——即使战略清晰
问：在推动风险、审计与运营转型时，这些项目通常在哪些环节出现问题？又如何确保在规模化推进中持续落地？
答：大多数转型失败并不是因为战略，而是执行问题——而且原因往往是可预见的。
首先，人员流动会打断既有节奏。新加入的人带来了不同的信念、习惯和责任感，原本的共识很容易被打破。
其次，资金成为摩擦点。转型需要资源，而成本由谁承担往往会导致进展停滞。
第三，也是最关键的一点——人们会优先关注自己的KPI。如果转型目标没有体现在绩效考核中，就不会被优先执行。
因此，共同责任至关重要。企业需要的是“我们的KPI”，而不是“你的KPI”和“我的KPI”。
此外，“高层基调”依然关键。如果领导层释放出相互矛盾的信号，即使是无意的，转型也会沦为普通项目，而不是真正的变革。
当人类风险在真实决策中浮现
问：能否分享一个“人类风险”实际出现的案例？它与传统方法有何不同？
答：一个典型案例是AI工具的早期应用。
当ChatGPT等工具刚出现时，我们迅速建议制定AI使用政策。但在随后的治理审查中，我们发现员工已经在组织监管之外尝试使用外部工具。
这被称为“影子AI（Shadow AI）”。
从传统风险视角来看，可能会侧重于强化政策执行。但从人类风险的角度，我们会问：为什么员工会这样做？
答案很简单——好奇心以及对效率的追求。
因此，管理层并没有单纯限制行为，而是引入了企业批准的AI工具，让员工可以在安全环境中使用。
这种方式承认并引导行为，而不是压制它。
这正是区别所在：人类风险管理不仅是控制行为，更是围绕行为进行设计。
超越DEI：真正推动改变的因素
问：作为ISACA Singapore首位女性主席以及SheLeadsTech创始人，你观察到哪些结构性障碍？什么才真正有效？
答：最大的挑战之一是，多元化与包容性（DEI）常被视为“锦上添花”，而非结构性优先事项。
缺乏制度支持，这类举措难以持续。
即便在结构性障碍较少的组织中，也未必能看到更多女性走上领导岗位。信心、文化与自我认知都在其中发挥作用。
真正的改变需要双向努力。
企业必须真正相信多元化能够提升绩效与文化，而不仅仅是表面形象。同时，个人也需要走出舒适区，主动为自身成长负责。
没有单一解决方案。进步是渐进的。但平台，尤其是非营利组织与行业社区，在推动影响力与发展动能方面发挥着重要作用。
总结：大多数企业仍未衡量的风险
数十年来，企业不断投入于风险管理体系建设——从框架到控制，再到合规机制，旨在降低不确定性。
然而，最不可预测的变量却始终未被充分衡量：人类行为。
Dr. Jenny Tan的实践清晰地表明，风险管理的下一阶段，并不是增加更多控制措施，而是理解人们在这些系统中的真实行为，并据此进行设计。
因为最终，风险并不会出现在电子表格中。
它体现在每一个决策之中。
而那些能够有效识别、衡量并管理这一层面的企业，不仅能够降低风险，还将以更快的速度前进，更灵活地适应变化，并比依赖单一流程的组织拥有更清晰的运营能力。
Read the English article here.
