企業風險管理進展及對我國公司治理的啟示

摘要：隨著數學模型、計量方法的深入，及金融工程、公司財務等多門學科的融合，企業風險管理技術呈現系統化、規范化、數量化和模型化的趨勢。目前我國理論研究和實踐滯后于公司治理的要求和經營環境的改變，故應加強風險意識和專業人才培養，加快企業風險管理制度體系建設。

關鍵詞：企業風險管理；內部控制；公司治理；啟示

一、企業風險管理的內涵及研究框架

20世紀90年代以前，公司的風險管理主要專注于使用各種金融工具對利率、匯率及商品價格等金融風險敞口進行套期保值。隨著經濟的發展，局限于對金融風險敞口的保險和對沖等風險管理已遠遠不能適應新時期的要求，而逐漸擴展到了整個企業層面各種風險的確認、估計、整合和管理，這便是企業風險管理。

1、企業風險管理的內涵。很多研究文獻介紹或討論過諸如“戰略風險管理”、“綜合風險管理”及“整體風險管理”等概念，這些概念與企業風險管理有相似之處，因為它們都強調了以一種全面的觀點來對待風險和風險管理。但企業風險管理不僅僅是以全封閉式的方法在組織內部分散管理各種不同風險，而且是在對風險進行規避之外還將風險管理視為一種價值創造過程。美國反欺詐財務報告委員會(Treadway Commission)的發起組織委員會(Committee ofSponsoring Organization，COSO)將企業風險管理定義為：處理影響企業價值創造或保持的風險和機會的過程，它由一個主體的董事會、管理當局和其他人員實施，應用于戰略制定并貫穿于企業之中，旨在識別可能會影響主體的潛在事項，管理風險以使其在該主體的風險容量之內，并為主體目標的實現提供合理保證。

可見企業風險管理首先是一個原則，它影響了企業的決策并最終成為企業文化的一部分。其次它不僅只針對保險等金融行業，而是適用于各種行業。再次它將利用風險視為風險管理過程的一部分，在弱化風險同時還能進行價值創造。然后它考慮了各種風險來源，而并非局限于傳統的金融風險等。最后它強調了諸如股東、債權人、管理層、員工、顧客甚至企業社區等所有利益相關者。因此企業風險管理作為一個管理戰略決策的支持框架，有利于企業所有層面的決策制定。

2、企業風險管理的研究框架。本文分別從風險種類識別和風險管理結構兩個維度來分析風險管理的框架?？偟恼f來，企業所面臨的風險敞口可以分為以下五類。(1)災害風險：火災等其他財產損失；風暴等其他自然災難：失竊等其他認為犯罪損失；經營終止；與工作有關的疾病及殘疾：債務索償。(2)金融風險：資產價值、利率、匯率及商品價格的波動；現金流、機會成本等流動性；違約、資信下降等信用變動；通脹、購買力平價的變動；套期保值等基礎風險。(3)合規風險：因沒有遵循法律、規則和準則可能遭受法律制裁、監管處罰、重大財務損失和聲譽損失的風險。(4)營運風險：人力資源、產品開發、銷售渠道、供應鏈管理等經營運作；領導層關系等授權管理；信息技術的應用；預算計劃、會計信息、養老金、投資估值、稅賦等經營報告。(5)戰略風險：信譽破壞；競爭；顧客需求；人口統計等社會化傾向：技術創新：法規和政治走勢。

企業風險管理將風險管理與組織價值創造聯系在一起，將風險解讀為對組織的客觀影響因子，并將風險的度量與綜合公司績效度量融合在一起。進行風險管理的企業至少都有一個關于其營運活動的簡單風險數量模型，這一模型刻畫了諸如風險因子、外界條件、戰略及戰術計劃等各種投入是如何影響企業的核心績效指標。這些核心績效指標反映的公司績效包括了收入增長、盈余增長、每股收益、嵌入價值增長、顧客滿意度及品牌形象等，對于上市公司而言，這些指標通常由諸如股票分析師等市場參與者定義，企業風險管理的實質就是利用規范化的數量工具對模型中各個風險間可能相互影響(如經濟的通脹與利率)進行深入的了解和分析，隨時對其構成要素的存在和運行進行評估，并將企業風險管理的缺陷被報告給上級，嚴重的問題報告給高層管理當局和董事會。

長期以來，尤其是2001年前后，美國安然、世通等著名公司進行財務作假等一系列丑聞和失敗事件之后，投資者、公司員工和其他利益相關者因此受到巨大的損失，隨之而來的是對采用新的法律、法規和上市公司準則來加強公司治理和風險管理的呼吁，關于內部控制的研究和立法行動深受社會各界的重視和關注。COSO在《內部控制——整合框架》的基礎上，于2004年發布了《企業風險管理——整合框架》，它提供了一個包括五個緊密聯系的組成部分、寬口徑的風險管理框架，這五個部分是風險管理環境、風險評估、風險管理活動、信息與交流及風險監控。華盛頓州投資董事會(WSIB)結合了上述文件的精神，制定了企業風險管理的框架。

這一框架拓展了內部控制，更有力、更廣泛的關注于企業風險管理這一更加寬泛的領域。對于管理當局評價和改進其所在組織的企業風險管理而言簡便易行，被納入政策、規則和法規之中后有助于企業用來更有效的識別、評估和控制風險，從而為其實現既定目標所采取的行動加以更好的控制。

二、企業風險管理的演進

企業風險管理理論是由內部和外部因素共同驅動而不斷發展的。首先公司治理的需要迫使企業進行全面的風險管理以加強對企業的內部控制，這一概念包括了戰略規劃層面和戰術實施層面，旨在通過對企業宏觀和經營單位微觀的影響而創造價值。其次公司財務丑聞和失敗事件引起了公眾對企業進行有效監管的呼聲，對一個提供關鍵原則和概念、共同語言以及明晰的方向和指南的企業風險管理框架的需要變得尤為迫切。同時大量的數學、統計學、系統工程及金融學理論和方法被應用于企業風險管理中，使其越來越具有數量化和模型化的特點，為企業風險者提供了理論和技術支持。

早在20世紀90年代中期，由于諸如巴林銀行倒閉及大量金融機構巨額損失等一系列事件的發生，人們開始反思由復雜金融衍生工具失控而產生的嚴重金融災難，風險管理作為一種金融原則逐漸興起并為控制風險提供了有益的方法。風險管理作為一個金融目標涉及到了Markowitz提出的資產組合理論并被開始應用于商業組織的保險投資組合管理。隨著J.P摩根銀行于1995年首先提出了在險值(Value at Risk，VaR)等新技術，風險管理才將金融機構的日間交易與借貸行為聯系在一起。

20世紀90年代末期，由于英國的公司財務在經濟衰退中倍受壓力，公司治理的倡導者開始在尋求解決脆弱內部控制的對策。風險管理受到理論界和實務界的廣泛關注，不管是金融企業還是非金融企業的管理者都將風險管理視作良好內部控制及為股東利益服務的支柱。Carey和Tumbull認為風險管理是商業組織良好管理必不可少的一個部分，Tumbull是英國公司治理委員會的主席，該委員會在1998年向英國的上市公司總裁建議將風險管理框架應用于內部控制的分析中。Butterworth認為風險和風險管理的興起有其戰略上的潛在意義，風險經理通過其專門的技能能夠更輕易的確認相關的可能風險，并為執行者及首席執行官控制風險提供正確的建議。Rene Stulz研究了企業價值與風險管理之間的關系，認為在現實世界企業的風險有極大的成本，有效的管理可以使企業減少核心風險敞口，獲得更多核心業務機會的優勢，從而提升企業價值。

早在1996年，Caremark法案就制定了政策和相應程序來管理公司最重要的風險，包括了那些由戰略計劃衍生出來的風險，從而為公司董事會建立了一個法律先例。COSO的前身美國反財務舞弊委員會(The Treadway Commission)為調查公司治理中導致會計舞弊活動的原因而首先提倡將企業風險管理與良好管理聯系起來。COSO發布的《企業風險管理——整體框架》不但消除了先前的一些缺陷，還對內部控制在六個方面進行了拓展。提出了為利益相關者創造價值：從“內部會計控制”傾向走向更全面管理：引入高層次的戰略目標；對“保障資產”概念進行補充；區分風險和機會；細化“合理保證”的衡量標準等。英國的特恩布爾委員會(Turnbull Committee)即公司治理委員會(該委員會以其主席名字命名)，為了確保公司治理中各個目標的實現，從戰略的角度提出了風險管理的潛在意義，并直接影響到1999發布的特恩布爾報告(Turnbull Report)，該報告將風險管理規定為倫敦證券交易所上市公司進行公司治理的準則之一。歐洲其他國家也紛紛效仿美英的做法，例如德國已將風險管理列入控制與透明法案。

在實務中，歐美各大公司日益重視企業風險管理的作用。從2001年起，加拿大公司的董事會就開始負責包括戰略計劃和風險管理的信托職責，諸如Hydro One和Terasen等工業公司已經開發出了企業風險管理系統，該系統也可以作為其他公司的風險管理模型。Stephen Gates對北美、歐洲大陸和英國三個地區的271家較大規模的公司進行了一項關于企業風險管理的問卷調查，他發現超過三分之二的公司董事會認為風險管理十分重要，65％的公司已經或正在建立企業風險管理系統，而只有不到5％的公司從來沒有考慮過企業風險管理。最后報告指出，雖然目前大多數公司的企業風險管理努力還處于早期階段，但經過3年～5年時間，必將完成高級風險實踐的整合和運作。

三、我國公司治理和企業風險管理的現狀

1、董事會、監事會和經理層之間沒有形成比較嚴格的權力制衡關系。董事會缺乏獨立性，運作不規范且容易被操縱和控制，董事義務責任淡薄，董事長權力過大，董事會等難以完成受托責任。監事會獨性差，沒有發揮有效的監督、管理層得不到有效監督，權力層中存在著嚴重的職位重疊現象，影響了公司決策執行，不符合風險分散原則。董事會董事、監事、總經理等高管人員產生機制存在問題，公司治理外部環境難以有效發揮作用，導致了風險管理職能不能有效發揮，企業經濟損失或風險成本增加，這一點與國外實行企業風險管理之初的情況很相似。

2、股權結構不合理，存在“一股獨大”現象，導致中小股東權益得不到保護。股東大會虛設現象普遍，最高權力機構行使職權有限，對股東權益保護缺乏程序保障，不能體現資本多數決定的原則和股東民主權益的原則。缺乏必要的激勵約束機制，對公司執行董事等高級管理人員既缺乏合理的激勵，又缺乏嚴格的約束。

3、我國內部控制體系以會計控制為主，這容易使執行者縮小內部控制的范圍，從而導致管理者不能從戰略的高度建立、執行內部控制，最終不利于現代企業應對復雜的內外部環境，實現企業的戰略目標，并且會忽略諸如風險管理等活動。此外經濟全球化的進一步發展及中國商品市場和金融市場的全面開放使得我國企業的經營范圍更加多元化和全球化，其所面臨的風險環境也日益多樣化、復雜化和國際化，因此加強企業風險管理體系的建設顯得尤為重要。

我國目前正處于市場經濟轉型的改革時期，并逐漸融入世界經濟一體化進程，經營環境的變化和宏觀經濟的發展要求從市場監管機構到企業領導部門都增強風險管理意識。但由于我國現代企業制度和市場環境的特殊性，大多數企業的風險管理體系仍處于初級階段。我國許多企業經營效益低下，上市公司不規范運作、財務報告失真，違法、違規現象普遍，造成這種狀況的原因是多方面的，但企業內部管理和風險控制缺失是其主要原因。

(1)法律法規欠缺、風險意識薄弱阻礙了企業風險管理的發展。我國缺乏一套適合本土企業情況的內部控制評價報告體系，雖然已經成立了企業內部控制標準委員會。但是它隸屬于財政部，受其影響較大。內容側重于會計控制。而企業管理層對風險管理的認識不全面，重經營輕管理，風險管理制度缺乏系統化和科學化，企業缺少健全的風險管理組織機構，管理過程中又缺少監督，結果沒有有效的激勵或嚴格的懲罰?，F代企業風險管理系統是涉及到從生產到銷售、供應商到用戶的各個環節緊密相連的系統，因此現代企業在建立風險管理系統的時候應包括整個企業的決策層、供應商和用戶的管理層、生產和銷售的組織者層等。

(2)相關理論研究滯后未能給企業風險管理有效支持。我國風險管理研究剛起步，仍停留在市場及金融風險管理階段。國外理論界和從業界早已利用高深復雜的數學工具加強了對企業風險的管理，而國內學者們更多的是從理論層面討論了企業風險管理的重要性，忽略了如何利用金融工程技術等手段對企業風險進行實際的管理，應用型理論研究相對于實際需求的滯后致使企業喪失發展良機。此外具備多門學科知識的復合型風險管理人才較少，這在一定程度上制約了我國企業風險管理的發展，也為企業構建現代風險管理體系造成了障礙。

四、啟示及建議

20世紀末以來，隨著全球化進程的不斷加快。在世界范圍內出現了公司治理改革的浪潮，并導致不同國家的公司治理模式呈現一定程度的趨同。而企業風險管理的興起，為公司治理借鑒國外先進的理論研究和成熟的管理經驗并針對我國現狀進行分析，我們為市場監管者和企業管理者提出了以下幾點建議：

1、從宏觀而言，改善風險管理環境，加快企業風險管理制度體系建設。企業風險管理是在完善的市場監管體制和公司制度下進行的，目前我國公司治理尚不成熟，存在諸多問題，而監管體制也亟需完善，缺乏像COSO、Tumbull這樣的專業委員會對其進行立法監管。而內部控制環境的優化是一個長期的系統工程，迫切需要政府和企業采取切實可行的治理措施，去營造一個良好的內部控制環境，促進企業內部控制制度的有效運行。因此應在積極完善公司治理結構和加強內部控制制度的過程中，逐步推行企業風險管理的發展，努力實現風險管理戰略、偏好、構架、過程和文化的統一。

2、從微觀而言，加強管理層的風險管理意識和人才培養。我國企業管理的一大特點是收益刺激有余而責任約束不足，這種風險與收益的不對稱導致管理層過分追逐高收益和利潤最大化，而忽略了所伴隨的高風險，因此應從管理層的角度充分重視企業的風險管理。一方面要建立董事會領導下專門的風險管理組織構架，即董事會是風險管理的最高機構，負責識別企業的風險敞口、衡量風險大小、確定風險容忍度并承擔風險管理的最終責任：另一方面要逐步實現管理組織構架的扁平化，以提高風險管理的效率，即設立諸如首席風險官(CRO)等獨立的職能部門，培養并任用專業人才對風險管理的重大事項進行判斷、評估、決策和管理，并對董事會負責。最終實現風險管理的目標——企業價值最大化。