尋找一流的風險管理

縱觀世界一流企業，往往具備卓越的風險管理能力和健全的自我更新的全面風險管理體系。

國資委“十二五”規劃提出“做強做優、培育具有國際競爭力的世界一流企業”的目標，這一核心目標的提出，在中央企業引起廣泛共鳴，在社會各界引起廣泛關注。筆者從事風險管理工作多年，這期間有了一些心得體會。

世界一流企業有一些共同的特點，不僅經營業績領先、品牌價值突出、行業地位顯著、國際化經營程度高，往往還具備先進的企業文化、優秀的風險管理能力和卓越的創新能力。去年《財富》發布的2011年世界500強企業的最新排名中，中國上榜公司再創新紀錄，達到69家，其中，國務院國資委監管的中央企業達到38戶，中央企業在營業收入、利潤、資產等“硬實力”上已經躋身世界前列。許多企業在某些方面已經接近或達到世界領先水平，具備了發展成為具有國際競爭力的世界一流企業的基礎和條件。

在國際市場上與跨國公司同臺競爭，開展對標特別是與世界一流企業對標，是一項重要而有效的舉措。與世界一流企業對標不僅要注重硬實力的對比，更要注重對比軟實力。國務院國資委副主任邵寧在中央企業管理創新暨全面風險管理經驗交流會議上的講話強調，沒有世界級的管理水平，就不可能造就世界一流的企業。世界一流企業不僅硬實力領先，先進的管理水平更是其持續發展的關鍵，中央企業要從軟的方面逐漸縮小與世界先進水平的差距，包括企業文化、風險管理能力、創新能力的差距，最終達到世界一流水平。

一、全面風險管理是企業管理的核心內容和最佳實踐

全面風險管理作為一種嶄新的管理理念，近十年來在全世界范圍內得到了廣泛和迅猛的發展。理論上，以美國為代表的西方發達國家對風險管理進行了多年的探索，各國的監管要求陸續出臺：美國、澳大利亞、新西蘭、日本、歐盟，以及我國的《中央企業全面風險管理指引》及風險管理國家標準《GB/T 24353—2009風險管理原則與實施指南》等，風險管理的國際標準IS031000也于2009年出臺。實踐中，世界上以財富500強為代表的大企業多數已經實施或正在實施全面風險管理。國外機構一些關于風險管理的價值的研究結果顯示，風險管理在企業中得到更多的應用，風險管理為企業帶來了越來越多的價值。

（一）風險管理的價值業已體現

與2009年相比，有更多的企業認可風險管理的價值：除了降低風險保有成本外，風險管理的價值還體現在輔助企業戰略決策、改進經營策略、提升內部控制、提升公司治理、增加股東價值等方面。調查還顯示，與沒有專門設置風險管理職能部門的公司相比，那些設置了風險管理職能部門的公司，該部門在為企業決策提供風險依據、降低風險保有成本等方面能發揮更大作用。

（二）風險管理在業績領先的企業中得到更為廣泛和深入的應用

風險管理已經成為企業高管層、董事會和股東們的主要議程；同時，公司規模越大，業務、組織結構越復雜，其風險管理實踐的成熟度越高，即風險管理能在企業中得到更廣泛更深入的應用，包括風險治理（Risk Governance）、風險溝通（Risk Communication）。

（三）企業的風險管理組織職能逐步確立

營業收入越高的公司設立風險管理職能部門的越普遍，如年營業收入在250億美元以上的公司，98%都設立了風險管理職能部門。同時，首席風險官的角色也已走上歷史舞臺、地位不斷提高。2009年只有25%的被調查企業有首席風險官，而這一數字在2011年上升到了31%。這一發現再次證明在公司管理層中風險官的價值以及對風險管理作為商業成功核心功能的認同。

二、央企必須自我更新風險管理體系

縱觀世界一流企業，往往具備卓越的風險管理能力和健全的自我更新的全面風險管理體系：包括明確的風險管理策略、健全的風險管理組織職能、統一的風險管理文化、貫穿企業并高效運轉的風險管理機制。同時，在企業環境的不斷變化發展和長期的實踐中不斷完善、自我提升，幫助企業及時應對經營發展中的各類風險。

而近年來我們經常談論的企業失敗案例中的主角，如安然、世通、雷曼等，在硬指標上具有非常強的實力，軟實力的許多方面也為業界樹為標桿，如管理能力、創新能力等，但恰恰是風險管理能力缺失導致失敗，無一例外。要么就是風險文化（冒險文化、造假文化），要么就是風險評估（沒有全面分析個別風險給企業帶來的影響），要么就是風險策略（沒有明確底線、缺少有效的應對機制），要么就是風險管理機制（制度缺失、責任不明、違規、越權），問題都出在風險管理上。風險管理能力薄弱、風險管理文化不強、缺乏自我更新的風險管理機制，即使是昔日的領先企業也會陷入難以挽回的危機。

（一）明確的風險管理策略

明確的風險管理策略指企業根據自身條件和外部環境，圍繞企業發展戰略目標，確定風險偏好、風險承受度、風險管理有效性標準，即企業愿意承擔哪些風險，可以承擔這些風險到什么水平。從而進一步確定以何種工具管理風險，如風險承擔、風險規避、風險轉移、風險轉換、風險對沖、風險補償、風險控制等，并確定風險管理所需人力和財力資源的配置。

（二）健全的風險管理組織職能

健全的風險管理組織職能則是通過企業設置專職的風險管理組織機構或者確定相關職能部門履行全面風險管理的職責，與其他部門一起形成風險管理組織體系，在明確風險管理責任的同時使風險管理有了統籌的安排，將風險管理責任落實到每一個崗位，從而保證風險管理工作的順利進行。

（三）統一的風險管理文化

風險管理文化源于公司的風險哲學，統一的風險管理文化表現為公司日常運營中員工的風險意識、對待風險的態度、對風險價值的理解及風險管理工作實踐中的行為表現有一致性。

（四）貫穿企業并高效運轉的風險管理機制

企業通過健全的風險管理組織職能、合理的風險管理流程、有效的風險管理報告等，建立起貫穿企業并高效運轉的風險管理機制。使得企業的董事會和管理層以至全體員工始終清楚了解企業各層面各自負責的風險，包括風險是否在可承受的范圍內以及可能發生的變化，并將風險狀況及時報告給有關的利益相關人，從而使風險得到有效的管理。

三、風險管理能力是世界一流企業持續發展的核心能力

風險管理能力強的企業一般都具備完備的風險管理體系以及運轉有效的風險管理機制，幫助企業及時應對發展中的各類風險，在長期的市場競爭中保持有利地位。國務院國資委主任王勇在2010年底中央企業負責人會議上的講話中對中央企業提出了“四強四優”的要求，風險管控能力強就是其中之一。以下是幾個世界一流企業風險管理的例子。

（一）荷蘭皇家殼牌石油公司（Royal Dutch Shell）

殼牌長年位居財富500強前三甲及石油行業首位，殼牌建立了全球層面的風險管理組織、報告體系，設定了風險管理策略，并通過風險管理手冊予以落實，其貫穿集團和業務流程的風險管理文化為達成業務目標提供了合理保證。

殼牌的風險管理手冊描述了管理風險、達成目標需要遵循的方法論，控制架構由一系列風險標準，即全面風險管理的規則和說明支撐，并且要求在集團內貫徹執行。

石油工業是世界上最具風險的行業之一，戰爭和將要發生戰爭的傳聞是石油工業公司最常遇到的、難于對付的危機。殼牌集團采用了三種重要的策略應對各種風險：地理上分散，產品合理多樣化，迅速適應變化。例如，為了對付突然發生的情況，殼牌要求各地的公司定期舉行石油供應中斷“演習”，公司擁有122艘油輪，船員每年會遇到4次突如其來的模擬意外。“演習”多次模擬石油供應突然中斷時如何采取措施確保供應，以增強地方公司對不測事件的反應能力。海灣戰爭給世界石油市場造成了巨大沖擊，但是，對于殼牌集團來說，由于從以往的演習中摸索出了一套對付危機的有效辦法，所以盡管每天失去由科威特和伊拉克供應的幾十萬桶原油，殼牌集團依然沒有受到危害性的影響。

（二）思科系統公司（CiSCO）

思科（Cisco）是全球領先的網絡和通訊設備提供商，長年入選財富500強。思科建立了風險管理委員會，用風險管理整合內控、薩班斯合規和計劃，其完備的風險管理組織、報告體系甚至延伸至了價值鏈的上下游環節，為達成業務目標提供了合理保證。

思科通過董事會和風險管理團隊（風險檢查工作組）決定全面風險管理的工作重點，認定高級管理層中相應的風險責任人；訪談關鍵經理人，了解其對所負責管理的風險的各方面的認知程度，包括風險量化的性質及目前的管理有效性等；整合訪談結果和風險情況，向相應高管責任人匯報，并聽取反饋意見，整理結果向公司董事會審計委員會和COO及CFO匯報；協調風險責任人組織跨職能部門的討論，以決定風險應對方案；設定公司范圍內用于衡量風險管理計劃的有效性的衡量標準，通過運營回顧跟蹤風險管理的情況，將結果整合到經營計劃之中。通過有效的風險管理機制為決策過程提供支持，幫助董事會掌控風險時機實現業務與技術創新，股東價值得以增加，思科也得以保持其行業領導地位。

思科在管理價值鏈的風險方面也走在了前列。思科的風險評估擴展到了客戶、合作伙伴、供應商、服務提供商、政府健康與安全組織，以及其他利益相關方。思科的業務彈性團隊（business resiliencyteam）與業務單位協商制定支持思科業務連續性戰略的計劃和行動。業務連續性管理涉及到評估和降低風險、保持組織穩定性、為發生中斷之后關鍵業務流程的繼續做好安排，并定期測試這些計劃。

（三）必和必拓集團（BHP Billiton）

必和必拓（BHP Billiton）多年入選財富500強并位居采礦業前列，必和必拓建立了以董事會為主導的風險管理組織體系，并且設定了風險管理承受度和風險管理策略，其風險管理已融入企業文化，變成“the BHP Billiton Way”（“BHPB之道”）。

必和必拓董事會明確要求建立風險管理體系，建立覆蓋全公司的風險管理專家網絡。必和必拓在整個公司范圍所有業務板塊建立本板塊的業務風險庫，但是所有數據在公司集中管理；在公司層面制定對整體風險的風險承受度及整體應對方針；在板塊層面，根據評估結果和風險承受度，排定治理優先順序，制定解決方案；在公司層面，整合各板塊的風險數據，建立公司的風險庫；每半年重新評估一次風險，更新板塊風險庫，對風險管理的效果進行評價，最終報告給CEO和董事會風險委員會和審計委員會，并更新公司的風險庫；每年更新公司層面的風險承受度和總體應對計劃；板塊層面負責制定危機處理計劃和應急計劃。經過多年風險管理的實施，風險管理“已經融入我們所做的一切事情。”

（四）微軟公司（Microsoft）

微軟（Microsoft）多年入選財富500強并位居計算機軟件行業首位，同時，微軟也是風險管理領域成功的先鋒，建立了風險管理組織、報告體系，并且設立了風險應對策略，注重整個公司風險管理文化的培養。

微軟的風險管理開始于20世紀90年代，1997年成立了正式的風險管理團隊，直接向CFO報告，并定期向董事會報告風險管理情況。微軟風險管理團隊的主要目標和任務是：識別、衡量和管理風險，使得業務風險的衡量和管理水平達到財務風險領域的水平。風險管理團隊致力于在整個公司進行風險意識的培養和風險管理的執行，在公司內部建立風險管理的網絡，與公司的每個業務單位進行面對面的交流和接觸，目標是使得公司的每一個單位的人員在做日常決策時都將風險考慮進去。微軟風險管理的重點在業務風險和財務風險，依靠健全的風險管理組織、有效運轉的風險管理流程，運用財務信息系統、VAR、壓力測試、內聯網、情景分析等工具方法，微軟有效的風險管理，曾使其在亞洲金融危機和巴西金融危機中不但沒有損失，反而獲利顯著。

綜上所述，風險管理能力是世界一流企業的核心能力，全面提升風險管理能力是培育世界一流企業的重要途徑和手段。當然，任何事物都不是一成不變的，風險管理能力亦如此。隨著內外部環境的變化，企業戰略的調整，風險管理能力也要與之相匹配。作為世界一流企業，不僅是今天建立了有效的風險管理體系和具有很強的風險管理能力，更重要的是，具有能夠自我調整、自我完善、自我提升的可持續的風險管理機制。

（作者為北京第一會達風險管理科技有限公司總裁、國資委一流企業課題組成員）