戰略風險管理新策

風險是每一個公司戰略不可或缺的部分；在審核戰略時，董事會必須讓CEO指出戰略中的內生風險，并進行壓力測試。鑒于文化在戰略風險管理中的重要作用，必須作為戰略風險評估的一部分

金融危機余波未歇，高管以及董事會明白只是針對特定風險的管理方式不再適用，現行的風險管理流程在今日風云變化莫測的商界也不再有效。然而，思想上能夠意識到，行動上卻難以落實。對于大多數企業，特別是非金融企業，加強風險管理是一樁令人氣餒的任務。

要做好戰略風險管理，理解以下兩個方面很重要：1.公司戰略風險以及相關風險管理流程；2.公司在戰略制定和績效評估時如何考量風險，如何將風險管理融入其中。這兩個方面不僅值得董事會關注，而且與董事會的風險監督職能契合。

戰略風險管理與董事會角色

企業風險管理（ERM）以及一般風險管理囊括任何組織都會面臨的各種風險。其中有些風險并不會威脅企業的整體健康，或者影響組織最終達成商業目標的能力。例如，臨時數據中心停運，其可能導致短期的問題或者客戶的不滿，然而一旦恢復，企業很快就能回到正常的運營軌道。而有些風險則可能是毀滅性的，將導致巨大損失，不僅會削弱組織達成目標的能力，而且可能威脅組織的生存。當前的信用危機即是一例。這些嚴重風險的暴露引起了企業對“戰略風險及其管理”的重視。

“戰略風險”是指對公司執行戰略、達成目標至關重要的風險。這些風險的暴露將最終影響股東價值和公司穩定性。“戰略風險管理”則被定義為識別、評估和管理企業商業風險的流程，包括在風險發生時采取迅速行動。

標普2008年宣布，在公司評級中進行企業風險分析，包括如下內容：管理層對公司所面臨的大型風險的看法、風險發生的可能性、風險的潛在影響；對這些重大風險更新識別的頻率和性質；風險敏感度對穩定性管理和財務決策的影響；戰略決策制定中風險管理的角色。

在董事會層面，戰略風險管理是一項必要的核心組成部分。Ram Charan在《坦陳：每個董事都應該提的14個問題》一書中提問道：“我們是否強調了那些會把公司推上懸崖的風險？”在Charan看來，董事會需要關注內生于戰略及其執行中的風險：“風險是每一個公司戰略不可或缺的部分；在審核戰略時，董事會必須讓CEO指出戰略中的內生風險，并進行壓力測試。”同時，他還指出了風險文化的重要性：“董事會也必須小心有毒文化。”公司制定規則，而文化則決定了員工如何對待和執行這些規則。鑒于文化在戰略風險管理中的重要作用，其必須作為戰略風險評估的一部分。

如何評估

董事會的第一步應該是進行戰略風險評估，系統、持續地評估企業面臨的重大風險，并將其錨定于公司核心戰略。在執行評估工作時，高層管理人員和董事會都要參與，進行完整、透徹的審視與討論。這些討論、對話將幫助高管和董事會在風險及其管理的問題上達成一致。戰略風險管理流程應設計穩妥，符合公司特定需求，特別是要反映和支持企業文化。不然，很快就會失去作用。一般而言，執行戰略風險評估有7個基本步驟。

1.深入了解公司的戰略。對公司的戰略與目標須了然于胸，有些公司的戰略計劃和目標清晰明確，有些則表達得不那么正式。無論在哪種情況下，評估必須建立在公司的核心戰略和商業目標基礎上。這一步驟十分重要，因為若沒有關注要點，評估很容易演變成一份又長又臭的風險清單，無法排定優先順序。同時，這一步驟還為結合風險管理與公司戰略奠定了基礎。

2.搜集戰略風險數據與觀點。該步驟所需的信息可以通過采訪主要高管、董事，進行調研以及分析財務報告等方式獲取。在搜集數據的過程中，應加入內、外部審計人員，并邀請其他與風險有關的部門（如合規部）等參加。充分利用第一步驟中獲得的信息，設計調查框架，將之與核心戰略關聯。在此過程中，還可以詢問關鍵個人對于潛在風險的看法。

3.準備初步的戰略風險檔案。綜合分析第一、二步搜集到的數據，組織起初步的公司戰略風險檔案；細節程度和表述方式根據組織的文化來量體裁衣。有些公司只需要簡單列表即可，而有些則需要更多細節內容。至少，檔案要提供一份清晰的主要風險列表，揭示潛在危害。彩印報告或者熱度圖形式都有助于后期交流。

4.確認戰略風險檔案有效性。初始的戰略風險檔案必須經過證實、修改和最終確認。具體實施過程取決于數據搜集是如何完成的，并需要部分乃至全部董事和高管參與、完成好這一步驟，這有助于避免在風險檔案的終稿上出現重大分歧。

5.制定戰略風險管理行動計劃。這一步驟緊跟第四步，是第四步的實際產物，有助于管理和監督風險。

6.就戰略風險檔案和管理行動計劃進行討論。這一步驟有助于培育、加強公司的風險文化：第一，通過就公司的主要風險和戰略風險管理行動計劃進行溝通，讓員工知道風險的種類、影響和管理方式；第二，加強員工的風險意識，引起每個人的重視。

7.實施戰略風險管理行動計劃。如前所述，風險評估流程的實際價值來自風險管理與監督行動計劃的實施；其是一個持續的過程，而非一次性事件，反映著風險的動態性質；七個步驟組成一個閉合回路式流程，在公司內部循環。

七條法則

戰略風險管理是一個持續過程，需要建立起與戰略制定、績效評估的不間斷聯系。對某些公司而言，只要在年度商業計劃中添加一頁紙或者一個章節即可。而對于采用更先進績效評估流程的企業，可以采用卡普蘭？諾頓（Kaplan Norton）戰略執行模型，在此框架上尋找可以鑲嵌戰略風險管理板塊的合適之處。

對于剛剛開始進行風險管理的企業，以下7條法則可以借鑒：1.必須獲得上層的支持；2.按部就班建立起企業風險管理系統；3.一開始只關注主要風險中的一小部分就可以；4.平衡現存資源；5.應建立在現有的風險管理活動基礎上；6.將企業風險管理植入公司的業務構建中；7.提供持續的企業風險管理內容更新，不間斷地教育董事和高層領導。