我和一位朋友就芝加哥任命首席恢复官（Chief Resilience Officer）一事展开了讨论，这一职位的工作关注的是城市能否快速从经济环境或健康冲击中恢复过来的能力。这也不禁引发了我的另一个思考，冲击与风险有什么不同？创业公司和投资者又该如何消化，如何为各种风险做好计划呢？
冲击是风险的一种，以低概率、高强度和高能量为特征。概率和强度从字面意思上就很好理解，那能量是什么意思呢？能量是某种高强度事件发生的速度。例如，对于一家初创企业（或者任何一家公司）来说，网络安全漏洞是一种高强度的事件，发生的速度会特别快。初创企业信任瞬间崩溃，客户会立即寻求新的解决方案。下图是我对初创企业风险以及冲击的看法：
企业发展阶段“正常”适当的风险
企业家和投资者大部分时间都用来思考上图左上象限内低能量、低强度以及高可能性的风险。这些往往是初创企业各个适当阶段会遇到的风险，包括了一个初创企业可能会产生差错的一切内容：
以上这些风险中的每一个风险都有可能会影响到一家初创企业的发展，加到一起则会让一家初创企业走向末路。但是，并不是哪一个风险出现之后就立即会成为初创企业的丧钟。虽然一些早期阶段初创企业的风险（例如，找到 PMF）确实会最终击败一家初创企业，但也是初创企业面临了好几年的风险，并且有许多会成功的克服这些风险。
本质软弱的初创企业模式：
右上角内是高能量、高强度、高可能性的风险，这些风险创造了一种本质上非常软弱的初创企业模式。那些触犯道德底线，毫无原则的商业模式显然是属于这一类。如果你是通过作弊手段来击败竞争对手，实现盈利，那你就不用指望公司能实现可持续发展。"The Ugly Unethical Underside of Silicon Valley"这篇《财富》杂志文章介绍了初创企业的一种来回博弈的状态，他们一方面试图从无到有做出一番事业，另一方面又小心翼翼，避免发生像 Theranos、Zenefits，甚至 Rothenberg 基金那样明显的道德违规行为。我承认在这其中是存在一个灰色地带，但事实上，我们大多数人在看到的时候都会知道这是一种不道德的商业模式或者实践结果。
没有相对应的收入和收入增长但却有着极高的烧钱率是我所看到的另外一种本质软弱的初创企业模式。多高的烧钱率算太高？对于后期阶段的初创企业来说，40% 法则是一个不错的标准。对于收入在 300 万美元到 1000 万美元之间的初创企业来说，如果一个月的烧钱额高于 50 万美元，就会感到比较紧张，除非公司年增长幅度能达到 150%-200%（2.5-3 倍）甚至更多。对于那些收入不到 300 万美元的公司来说，每月烧钱额高于 30 万美元，就会感到很紧张，除非公司增长幅度高达 3 倍。如果没有满足这些条件，企业就会面临大规模的裁员和人才流失的困境，造成难以挽回的后果。
冲击：
冲击与上述两个类别不同，因为冲击往往是人们很难进行预测的但是强度高、后果会绵延下去的一种类别。在 911 事件和 2008 年金融危机发生之后，冲击作为风险因素被探讨的越来越多，应对的计划也越来越多。冲击可能会突然发生，没有时间当机立断做出回应。因此，如果可能，初创企业应该提前考虑、并采取相应的计划避免这类的风险。初创企业可能会面临的冲击有很多，以下是最常见的几种：
单一人为原因导致的失败：当初创企业出现“崇尚 CEO”的文化氛围或者是一位创始人变得太过强大的话，这家初创企业的处境就不是太妙。对于早期阶段初创企业来说尤其是这样，想必现在没人不知道丑闻缠身的 Uber 创始人特拉维斯·卡兰尼克。总而言之，良好的治理措施和强大的领导团队是防止公司毁在创始人手中的一个重要方法。人为因素失败所产生的冲击还包括创始人结婚或者恋爱约会等事件（一旦分手或者关系破裂可能会导致初创企业失败）或者是创始人劳累过度，身体产生不适等。诚然，总有例外，但也要尽最大可能避免。
平台依赖：随着 Facebook、Google、LinkedIn 和 Twitter 等平台日益占据统治地位，平台依赖现象发展的速度和强度都令人震惊。我们的企业中已经有三、四家公司受到了这种类型的冲击，而他们应对这种冲击的成功率只有 50%。大多数人认为平台依赖是指初创企业产品建立在访问或者依赖另一个行业内主要玩家 API 的基础之上，从而为这一玩家的平台带来附加价值（或者是从中提取价值）。但其实平台依赖现象也包括单个买方/分销商的情况。我们发现，有几家有着有效转销渠道的初创公司往往过度依赖于一个或两个转销渠道，这也是一个主要的业务风险。
如何处理平台风险？因为有很多的创新机会导致平台依赖成为一种必然性，所以作为一名企业家或者是投资者很难完全去避免这一问题。要想减轻风险，我们需要考虑实现这种依赖关系的一致性。过去从LinkedIn API 中提取价值的许多公司其实并没有与 LinkedIn 站在统一战线上，有的甚至与 LinkedIn 是完全竞争关系，所以访问被关闭也没什么可奇怪的。因为这些初创企业没有为 LinkedIn 带来利益，而只是一味的提取 LinkedIn 的数据。而相比之下，那些建立在 Salesforce 基础之上或者与 Salesforce 联系紧密的公司往往能够扩展 Salesforce 的产品，在分享 Salesforce 收入的同时能够帮助他们保持生态系统客户的满意度。如果 Salesforce 决定打造一款竞争产品，那这些企业也会面临一定的风险，但至少他们的状态更加稳定。
网络安全：每个公司，无论大小，都面临着网络安全漏洞和威胁的风险。正如我们从 Target 和 Equifax 了解的那样，网络漏洞可能会在一夜之间摧毁客户的信誉和股东利益。对于大客户来说，供应商是一个薄弱环节，初创企业需要像大公司一样保证网络安全性。因为一旦他们出了问题，也不可能像大公司那样有一个强大的品牌可以依赖或者是找个替罪羊。
无论是内部的攻击，还是外部的攻击都是如此。我们都知道，前不久，Twitter的一名员工在离职前关闭了总统特朗普的Twitter账号。当客户的个人或财务数据处于危险之中时，初创企业常规的信息民主化就会备受质疑。而在外部威胁方面，初创企业通常会将网络安全交给首席技术官负责。这是一个不错的办法，但是对于那些可能成为特定目标的初创企业（那些拥有消费者和客户财务或健康数据的公司）来说，他们应该对网络安全部门实行制度化管理，聘请一名董事或者副总裁级别的信息安全人员来掌控网络安全的风险。
宏观风险：金融危机对于初创企业来说也是一大冲击。也就是说，像恐怖主义、暴风雨自然灾害以及不正常的金融周期等宏观风险可能都会打乱初创企业的发展轨迹。那如何应对这一类的风险呢？恐怖主义和天灾与地理因素有关，如果你的公司处于这一类高风险的地理环境区域内，那应该提前制定好计划，来做出每日的回应措施（关于员工安全和生产/数据连续性），让公司快速恢复正常（即便是在员工或设施不足的情况下，如何恢复运营，与同样受到冲击的客户继续合作下去）。
金融危机要求初创企业转变观念，由“不惜一切代价增长”转变为“保护根基”。客户，无论是消费者还是 B2B 企业，他们的购买欲望都会降低，从而会推动用户获取成本的上涨。与此同时，从 VC 手中拿到融资的可能性会降低。两个因素加到一起，就很难去实现增长，而是应该专注于让现有的客户满意，这样就能让自己撑得更久，未来继续奋斗。
最后一类低强度，发生可能性也非常低的风险在此就不赘述了，初创企业也没必要去理会这一类风险。
CIO之家 www.ciozj.com 公众号:imciow