危机与安全咨询 — Control Risks

2023 年秋天在 Control Risks 上海办公室的 Crisis and Security Consulting 团队实习。12 周，四个正式项目，半打客户备忘，一场桌面推演。直接汇报给一位在区域安全咨询做了十多年的资深顾问。

这份工作的真实面貌

从外面看，风险咨询像地缘政治。从里面看，它更像翻译。客户问「我们在新疆的二级供应商还留着是不是安全？」——他们想要的其实是两样东西：一份给审计委员会的可辩护答案，以及一个是不是该撤的判断。

我的工作是两样都给。可辩护答案写进交付物里；走还是不走的判断在电话里讲。

风险这一行教给你的另一件事——大概第三天就会教——是 一份 memo 和一篇新闻报道是两种不同的东西。记者的工作是找出什么是真的。风险顾问的工作是把与决策相关的那一部分浮出来——这是一个更小、更怪的子集。一个国家关于「真」的大多数事情都是不可行动的。手艺活就在于挑出那个是的子集，并且不夸张地把它说出来。

参与过的几个项目

伊藤忠太仓仓库安全评估。 给一家日本商社做的现场评估，他们关心的主要不是周界——是内部威胁与运营连续性。我们做了完整的现场踏勘、建了一份针对物流仓库环境的威胁分类、把缓释方案矩阵对齐到这份分类，然后把整份报告的 Executive Summary 压到了一页——因为高管确实不会读到第二页。这个项目里最有用的一次对话，是和夜班主管聊的那半个小时——他知道那家驻场保安公司的评估里没抓到的东西。

香港加密货币公司监管研究。 梳理 2022 年之后的牌照制度——SFC 的 Type 1 和 Type 7、AMLO 的要求、《证券及期货条例》下的跨境影响——以及这些对一个正在决定要不要 onshore / offshore / 再等等的客户意味着什么。这件事 70% 是「考古」——回去翻 SFC 的咨询文件、FSTB 的立场说明、HKMA 通函，去搞清楚这些规则真正想做什么，而不只是字面上写了什么。

Foxconn 与某商场安全事件研究。 中英文双语的桌面研究——为客户提供事件 context。每次桌面研究都会撞到一面墙，撞到的时候就触发公司的本地网络做主要访谈。我写了其中四个。两个走死了，一个非常有用，一个太有用——我们和资深团队一起讨论：什么可以负责任地写进交付物里。

CIFF 危机管理工作坊。 协助一场和企业客户做的情景式桌面推演的设计和交付。场景是一个模拟的供应链冲击，带 PR、监管、运营三层连锁后果。我是初级角色——做记录和计时——但这三天是整个实习里最有价值的：看一位资深顾问如何「引导而不主导」，看客户团队在压力下露出来的缝合线，看复盘对话怎么提取教训而不指责任何人。

新客户拓展备忘 ——公司背景、与我们 service line 的战略契合度、接触切入点。Memo 这种文体本身的要求就很紧：每份半页。我写了大概十几份。

关于「风险」与「不确定性」

实习里我带走的最有用的一个区分是这个：风险 和 不确定性 是两件事，一份好 memo 拒绝把它们混在一起。

能给出概率的时候——哪怕粗、哪怕区间很宽——你写的是 risk assessment。在未来 18 个月内，发生此类监管行动的概率是 5–15%。

不能给的时候——因为情况真的新，或者底层驱动是非稳态的——你写的是 judgment。我们对此没有有信心的概率。决策相关的问题是 X。我们的判断是 Y，上限和下限分别如下。会改变我们看法的是这些信号。

两者都有用，但它们不是同一样东西。大部分糟糕的 memo 把这两者混起来——通常是给一个 judgment 配上虚假的精度，把一个观点伪装成一份分析。离开上海的时候，我对这种动作的耳朵更灵了，也更不喜欢它了。

带走的东西

对「exposure」这个词更灵的耳朵。SFC Type 1 和 Type 7 之间的差别这种工作知识。一份资深顾问的 memo 风格清单，至今还在偷他们的写法。还有一个信念：交付物就是写作本身——分析是为了把写作写对，反过来不成立。