全面風險管理體系的構建與實施

◎中國航天科工集團第二研究院審計與風險管理部

當前國內外經濟增長減緩，市場競爭激烈，企業不確定因素增加，使企業的經營決策更加困難。在這種情況下，要充分發揮全面風險管理體系風險辨識、監控、預警和及時響應的作用，及時了解內外部環境的變化和企業自身存在的缺陷，才能在變幻莫測的經濟環境中提升決策和規劃的科學性，把握與風險并存的機遇，從而確保決策最優化和效益最大化。

近幾年來，中國航天科工集團第二研究院處于高速發展和擴張時期，由此帶來的投資并購、市場開發、成本管控和宏觀政策應對等風險日益增加。因此，急需建立一套科學的、符合研究院實際的全面風險管理體系，以有效預防和控制風險，為研究院健康持續發展保駕護航。

一、全面風險管理體系的構建

研究院風險管理體系是將風險管理基礎、管控流程和內部控制系統進行有機結合（見圖1）。通過建立組織體系、人才隊伍、制度體系、信息系統和風險文化，完善風險管理條件，強化運行基礎；通過實施信息收集、風險評估、風險應對、監督與改進的風險管理流程，防控經營管理主要風險；通過內控流程的梳理、優化及缺陷整改，提升科學管控水平，以增強抗風險能力。該風險管理體系的特點包括：

全面覆蓋，系統實施。風險管理體系面向各類風險、覆蓋所有業務流程、全員參與實施，將過去被動、局部的管理模式轉變為主動、一體化、系統的管理模式。

強基固本，預防為主。通過完善內控體系實現管理缺陷的減少和管理水平的提升，增強抵御風險的能力；通過早期預警和關口前移，改變過去“亡羊補牢”式的事后補救和處置方式。

融入實際，動態閉環。風險管理體系與現有管理體系緊密結合，將風險管控方法和要求融入到每一個管理環節和每一個管理崗位，實現風險管控落地；在日常經營管理活動中動態、連續地運行風險管理流程，形成閉環、持續改進的風險管理機制。

1.開展風險管理基礎建設

構建風險管理機構。研究院風險管理組織機構包括院、所（廠）兩個層面。各單位風險管理組織機構由風險管理委員會、風險管理部門及各業務部門共同組成，以構筑風險管理的三道防線。各業務部門作為風險管理的操作層，形成第一道防線；風險管理委員會和風險管理部門作為建設和管理層，形成第二道防線；內部審計部門作為體系運行的監督層，形成第三道防線。

宣傳和培育風險管理的文化與理念。通過發行風險管理專刊或刊登風險管理文章，推廣和普及風險管理知識；通過定期發布風險管理簡報，讓全體員工了解風險管理工作的進展情況；通過營造全員參與的風險管理文化氛圍，樹立起“風險無時不有、無處不在”、“審慎應對風險”、“業務誰主管、風險誰負責”的風險管理理念。

培養風險管理人才。根據院屬單位多、業務特色差異大的特點，研究院摸索出“分單位、分階段、有重點、多次數”的培訓模式，采用授課、答疑和實際操作相結合的形式，針對不同級別人員開展風險管理專業培訓。

圖1 研究院風險管理體系建設的主要內容

近2年，研究院各級單位先后組織學習培訓活動80余次，受訓人員累計超過5000人次。先后組織院機關和院屬單位60人參加了注冊企業風險管理師的培訓，并考取相應的職業資格，以打造專業人才隊伍，有效推動了風險管理體系的建設工作。

規范風險管理手段。參考國際風險管理標準，研究院結合實際先后制定了《全面風險管理體系建設實施方案》、《全面風險管理辦法》、《全面風險管理手冊》、《風險管理及內部控制評價標準》、《風險管理工作考核實施細則》等制度，配套印發了統一的工作模板。通過建章立制，以明確研究院風險管理要求，統一各工作內容、方法和評價標準，規范風險管理工作。

2.有效實施風險管理流程

科學有效的流程是風險管理的核心要素。研究院建立了包括風險管理信息收集、風險分析評估、制定應對策略及解決方案、實施風險監控、風險管理監督及評價在內的風險管理流程。

收集風險管理信息。通過訪談、調查問卷的形式收集研究院經營管理現狀和存在的問題，了解研究院的管理現狀和面臨的潛在風險與問題，以及各部門相關制度、業務政策和業務流程等基本情況，并由相關業務部門對自身存在的主要問題進行分析。將收集到的信息進行初步提煉、分類、組合，為后續評估研究院風險管理能力，開展風險辨識、評估提供基本信息和數據。

分析、識別和評估重大風險。首先結合前期的風險信息收集整理出研究院層面的風險調查問卷，并由各級管理人員對風險“發生可能性”和“影響重大性”兩個維度進行打分。應用風險評估技術對評分結果進行統計、分析后，再由院領導對識別出的風險進行二次打分和排序，最終確定年度重大風險并將其作為管控重點。

制定風險管理策略及解決方案。研究院根據戰略經營目標和自身風險承受度選擇相應的風險管理策略，如對發生概率大、損失程度高的風險可采取風險規避、風險控制和風險轉移等策略。針對研究院重大風險，分別從事前防范、事中控制和事后監督檢查三個方面提出解決方案，并將風險管控措施融入相關業務，制定風險管理工作計劃，以落實到具體崗位。

此外，研究院還針對風險等級高、跨部門的重要業務和重大風險開展專項風險管控。按照風險管理專業方法建立風險事件庫，開展風險評估、監測和預警，細化風險管控措施并落實到具體崗位，制定專項風險管理手冊和專項管控報告，從而形成有針對性、操作性強的專項風險管控機制。

建立風險管理監控和報告機制。針對關鍵業務風險和重大風險編制風險管理報告，包括現存和新出現的風險及其變化、風險管理措施與程序、風險管理設計和執行的有效性等。

年初，各業務部門針對本部門實際制定風險監控計劃，明確監測指標和控制措施并組織實施。年底前根據實施情況形成業務風險管理報告，風險管理部門根據各部門的報告及風險管控有效性檢查結果，編制年度風險管理報告并上報風險管理委員會審議。

3.強化風險管理內部控制

從梳理流程入手，發現日常管理中存在的缺陷和薄弱環節，通過業務流程優化和缺陷整改，對現有管理活動進行整合固化，以提升風險防范能力和科學管理水平。

梳理內控流程基礎框架。研究院將所有的業務流程細化到第三級，如人力資源模塊是一級流程，其包含人事管理等多個二級流程，人事管理又包含招聘實施等多個三級流程。每個三級流程都要求與基本規章制度一一對應，形成一個業務類別完整、層次清晰、制度與流程匹配的流程框架，如圖2所示。

識別流程風險點。在風險管理部門的指導下，各業務部門開展了相應業務流程圖的繪制和流程描述。流程圖和流程描述包含了流程步驟、崗位人員、部門、適用的制度、輸出的文檔等，并標明了風險控制點，便于對流程進行符合性測試。通過確認控制目標、識別流程風險點、對流程風險評級，最終形成與研究院重大風險相互關聯的流程風險數據庫和風險控制措施。

缺陷分析及管理建議。對風險管理過程中發現的缺陷問題進行匯總，明確缺陷類型并提出制度修訂或整改措施。責任部門根據缺陷建議填寫改善計劃，并明確完善的步驟、成果和時間，以確保流程中的問題能得到恰當整改。

建立監督評價機制。建立包括業務部門自我評價、風險管理部門檢查評價、上級對下級監督評價在內的風險管理監督評價機制。研究院依據《企業內部控制規范》制定了內部控制評價標準，以內部控制“五要素”作為基礎評價要素，從風險管理體系建設和業務風險管控情況兩方面對各部門內部控制制度健全性、執行符合性和效果達成性進行評價，促進內部控制持續改進和管控效果的提升。

二、全面風險管理體系的實施效果

全面風險管理體系的內容貫穿研究院經營管理的全過程，覆蓋了經營管理的各個方面，并以內部控制作為風險管理落地的主要手段，達到了合規、可靠、高效的內控目標。通過風險管理體系建設，研究院形成了符合自身實際的方法論，構建了一套符合研究院自身特點且有效運行的風險管理長效機制。研究院將風險意識和風險管理理念融入到企業文化之中，轉化為員工的共同認識和自覺行為，提升了全員的風險管理意識。研究院全面風險管理體系運行以來，防范風險能力和控制風險能力明顯增強，風險事件大幅減少，風險損失得到降低，實現了“損失最小化、利益最大化、績效最優化”的風險管理使命。

風險管理體系有效地保障了研究院戰略經營目標的實現，將目標的波動控制在合理范圍內，為研究院健康、快速發展提供了合理保障。近年來，研究院營業收入年增長平均達到20%，成本所占比例逐年降低，利潤遞增幅度明顯，經濟運行質量大幅提升。與此同時，研究院風險管理體系取得的社會效益也很明顯，研發風險得到有效控制，飛行試驗成功率達到100%，使研究院信譽度和顧客滿意度回升。民用產品的投資風險和項目風險的管控也取得實效，安保科技系統成功護航上海世博會和廣州亞運會，受到黨和國家的表彰。

圖2 業務流程框架圖