大型煤炭綜合能源企業組織級風險信息化管控系統的研究與應用

路世忠

(神華集團有限責任公司內控審計部，北京市東城區，100011)

近年來，隨著煤炭企業向集團化、大型化和一體化方向的發展，企業風險也表現出新的特點，一是企業往往追求規?；鸵惑w化生產運營，在有效降低運營成本和市場銷售等風險的同時，企業的系統性風險也隨之表現的更加明顯；二是現代企業已經進入高度協同的發展階段，實施風險管控亟需各相關部門和業務單元之間的有效協作，單靠某一部門或崗位很難全面管控企業風險。

大型煤炭綜合能源企業以煤為基礎，電力、鐵路、煤制油與煤化工等為一體，實行產、運、銷一條龍經營，且具有多管理層級的復雜組織機構，因此風險管控涉及業務范圍廣泛，涉及內容復雜，使得建立組織級的風險管控體系面臨很大的挑戰。實施好風險管控和搞好生產經營不但需要相關業務領域的全員積極參與，更需要及時獲取多方位和充分的價值信息。在當前經濟的形勢和市場情況下，加強企業自身的風險管控能力建設已是迫切之舉，建設組織級的風險信息化管控系統成為大型煤炭綜合能源企業內在風險管理能力提升的必然選擇。

1 建立組織級風險信息化管控系統的可行性

目前各大煤炭企業集團基本上都已建立以ERP為核心的信息化應用體系，實現了人力、物資、財務、項目和銷售等業務信息的橫向和縱向的一體化共享，而風險管理領域也已建立了系統的理論體系、較為完善的風險管理組織體系、明確的風險管控責任主體以及完備的風險管理制度、流程和相關的預警指標、區間等，這些都為建立全集團范圍內的風險信息化管控系統奠定了堅實的基礎。

組織級風險信息化管控系統應規劃在整個集團公司范圍內應用，范圍上覆蓋各個管理層級上的不同業務單元的系統用戶和業務用戶，縱向上貫穿集團總部、分子公司以及下屬三級單位，橫向上跨越內控風險管理部門、其他職能部門以及業務單元等。各管理層級上的各個用戶分別具有不同的權限，被授權進行特定的業務操作。集團公司風險管控范圍示意圖如圖1所示，風險信息化管控系統運行示意圖如圖2所示。

圖1 集團公司風險管控范圍示意圖

圖2 風險信息化管控系統運行示意圖

從圖1可以看出，組織級風險信息化管控系統實現了全組織機構和全員參與的全業務領域的風險管理過程，保證了各專業業務領域風險，尤其是企業系統性風險在整個公司范圍內的信息條件共享和協同管理，能夠解決企業多年來在風險管理工作上的困惑，大大提升企業的管理水平。

由圖2可見，風險管理模塊在及時獲取企業生產經營信息和外部信息的情況下，通過自身的有效運轉對企業風險產生應對策略和方案，從而推動相關管控責任主體實施企業內部控制，以有效控制風險發生的可能性和產生的不利影響。

2 系統基本流程優化

風險管控基礎流程是在全面風險管理工作中，集團公司各層面的業務單位在管理的各環節和經營過程中執行的工作流程，風險管控基本流程是個循環往復和螺旋提升的過程，組織級風險信息化管控系統對風險管控基本流程進行變革和優化。

2.1 風險評估

風險評估是風險管控的最為基礎的工作，包含信息收集、風險辨識、風險分析和風險評價等環節。收集信息包括歷史數據和未來預測信息，并對初始信息進行必要的篩選、提煉、對比、分類和組合。在收集的風險管理初始信息基礎上，對各項決策和各項重要經營活動及其重要業務流程中可能遇到 (面臨的、潛在的)的所有風險進行風險辨識，對風險事項進行分類并形成風險庫；對各風險以及風險之間進行定量或定性分析，確定風險發生可能性的高低和影響程度的大?。桓鶕黜楋L險的影響程度和發生可能性等信息，確定各項風險的重要性特征和管理優先順序，依據風險等級判斷標準確定集團公司重大風險。風險評估流程圖如圖3所示，風險評估流程描述如表1所示。

分子公司及分子公司下屬單位自發進行風險評估的，其業務流程與總部發起的業務流程一致。

2.2 風險應對

根據風險評估的結果，集團公司制定相應的風險管理策略和重大風險應對方案，并確定風險管理所需人力和財力資源的配置原則。風險應對流程圖如圖4所示，風險應對流程描述如表2所示。

2.3 風險監控

風險管控責任部門按照已確定的風險管理策略，對重大風險制定監控預警指標及預警區間并進行持續監測，根據預警信息動態調整風險解決方案或啟動風險應急預案，促進風險管理目標實現。風險監控流程圖如圖5所示，風險監控流程描述如表3所示。

圖3 風險評估流程圖

表1 風險評估流程描述

2.4 風險管理報告

風險主管部門組織協調有關職能部門及分子公司開展集團公司全面風險管理年度報告編制工作，風險主管部門負責制定報告編制工作計劃，明確編制工作要求及報告模本。

有關職能部門及分子公司應對上一年度全面風險管理工作進行總結，對下一年度的風險進行評估，提出重大風險管理解決方案，編制本單位的全面風險管理年度報告，于每年規定日期前提交風險主管部門。風險主管部門通過匯總分析和經理層訪談后，形成集團公司全面風險管理年度報告。風險管理報告流程圖如圖6所示，管理報告流程描述如表4所示。

圖4 風險應對流程圖

表2 風險應對流程描述

表3 風險監控流程描述

圖5 風險監控流程圖

圖6 風險管理報告流程圖

表4 管理報告流程描述

3 基礎數據設計與控制

組織級風險信息化管控系統涉及到的基礎數據包括企業的組織機構數據、內控矩陣數據、缺陷數據和風險庫信息等，這些基礎數據信息在較長一段時間內不會發生改變，更新時必須遵守一定的規則和操作規范進行。全面、準確的基礎數據是系統正常運行的根本保證。

3.1 組織機構數據獲取

實現從主數據平臺MDM獲取組織機構信息，確保風險管理業務活動中調用的組織機構與主數據平臺一致。主數據管理平臺對企業所有信息系統的機構信息統一集中管理。

系統使用主數據管理平臺提供的組織機構信息進行初始化，之后主數據管理平臺在組織機構信息進行變化時通知風險信息化管控系統，實時更新變化的組織機構信息。系統與主數據管理平臺接口示意圖如圖7所示。

圖7 系統與主數據管理平臺的接口示意圖

3.2 風險內控矩陣管理

風險信息化管控系統以樹狀結構管理風險內控矩陣，分四個層級分別展示主流程、子流程、風險和控制標準的信息。風險內控矩陣中的風險信息與風險庫中的信息相關聯，實現數據同步更新，保持一致性。

控制標準包含編號、控制標準、適用層級、適用業務板塊、相關監管要求、外部禁止性規定、主責部門、管理制度、是否與財務報告相關和與控制相關的風險評級等。

集團總部統一維護總部標準版本風險內控矩陣，系統后臺自動判斷各機構的所屬層級并自動篩選出對應該層級的風險內控矩陣信息。分子公司可看到總部最新發布版本的矩陣和自身相關矩陣，同時在該風險內控矩陣樹上可增加自身的主流程、子流程、風險描述或控制標準。

3.3 缺陷信息管理

設計將內控缺陷納入到風險管理中，內控缺陷信息管理包括對內控審計缺陷、檢查缺陷和年度自評缺陷的匯總管理，缺陷信息包括被評價單位、評價年度、主流程名稱、控制標準編號、缺陷描述、缺陷類型、缺陷產生原因、是否存在補償性控制、是否與財務報告相關 (直接相關、間接相關、非相關)、內控缺陷涉及金額 (違約金額、管理不規范金額、會計處理不當金額、直接損失浪費金額)，缺陷分級 (重大缺陷、重要缺陷、一般缺陷)、整改建議／整改措施、缺陷責任單位／部門、整改計劃完成時間、缺陷改進類型 (完善職責和分工、新增管理制度／流程、優化管理制度／流程、加強控制執行)等。

內控缺陷信息統一由集團總部進行維護，系統根據內控評價底稿自動生成各管理層級的內控缺陷信息列表，各級人員僅可查詢本單位的缺陷信息。

3.4 風險信息管理

風險庫管理是對集團公司的風險信息進行統一管理，風險信息以樹形結構展示，共分為一級風險、二級風險和風險描述三級。風險庫通過風險唯一編號實現和風險內控矩陣的關聯。

集團公司層面的風險信息由總部統一維護，各下屬單位在總部的指導下可維護獨立的風險庫。各層級的風險信息更新時必須經過指定負責人審批，審核通過則風險信息更新。風險庫信息可通過授權進行查看，各單位原則上只能看見自身所在業務板塊的相應內容。

4 系統設計與實現

4.1 技術開發架構

本系統使用的Galaxy開發框架以J2EE技術為基礎，其開發框架結構圖如圖8所示。

圖8 系統開發技術架構結構圖

開發核心框架分為表現層、服務層和數據訪問層三層，以Spring 3.0框架為基礎，在數據訪問層方面使用JPA持久化規范。

表現層使用Spring和Struts的基本架構組合，并利用Spring MVC模式將業務、模型和控制分離開來，通過顯示與數據分離設計，將頁面定制與數據進行解耦。服務層是開發框架中的核心部分，系統的導航、組織機構、權限與授權、流程管理等功能都是通過服務的方式隨系統啟動。數據訪問層采用J2EE規范JPA實現數據庫持久化，為框架提供跨數據庫的支持 (目前支持Oracle、SQL Server、MSQL數據庫)。另外，數據訪問層還提供了LDAP Adapter，并支持LDAP(輕量目錄訪問協議)庫。

4.2 功能架構設計

系統在Java EE應用服務器的基礎上，開發了包括矩陣管理、流程引擎、流程建模等在內的模塊，這些模塊為風險管控系統的開發和運行提供了底層服務。由于系統需要一些組織機構和人員等外部的基礎信息，在系統與ERP及其他信息系統之間建立有接口層，實現基礎信息的及時獲取或同步更新。系統功能架構圖如圖9所示。

系統實現了風險庫管理、風險評估、風險應對、風險監控和報告管理等功能，貫穿了企業風險管控的整個流程，其中風險評估是風險管控工作中的重點，涵蓋了風險評估計劃、評估任務分配、評估任務執行等關鍵環節。風險評估后的結果信息部分進入各層級的風險庫進行統一管理，對于重大風險及需要特別關注的風險，由各管理責任主體制定管理策略和應對方案，建立預警指標的風險可實施實時監控。風險管控信息通過審批后可在門戶進行展現和共享。

4.3 角色權限設計

系統采用基于RBAC(Role-Based Access Control:基于角色的訪問控制)的模型來進行權限設計，結合開源框架Shiro，通過Shiro提供的API完成導航菜單和按鈕級的權限控制。RBAC以角色為橋梁，通過給用戶賦予不同的角色使用戶獲得角色所擁有的訪問權限。角色分系統角色和自定義角色，支持角色的繼承，由開發人員預定義Permission，支持運行時將Permission組合為PermissionSet分配給自定義角色，實現靈活的運行時權限分配。

系統角色設計有內置角色和業務角色，內置角色包括超級管理員、租戶管理員和節點管理員，業務角色包括總部風險主管部門-主要負責人、總部風險主管部門-主管、總部職能部門負責人、分子公司職能部門負責人、總部基礎信息管理、總部風險主管部門-風險評估計劃管理、總部職能部門-風險評估計劃管理、分子公司-風險評估計劃管理、分子公司職能部門 (或下屬單位)-風險評估計劃管理、總部風險主管部門-風險應對方案管理、總部職能部門-風險應對方案管理、分子公司-風險應對方案管理、分子公司職能部門 (或下屬單位)-風險應對方案管理等。

4.4 系統應用實踐

基于以上的風險管控基本流程優化、基礎數據控制設計、系統開發技術平臺及角色權限設計，開發了適合大型煤炭綜合能源企業實際業務狀況和管理特點的組織級風險信息化管控系統。

圖9 系統功能架構圖

風險信息化管控系統是集團公司范圍內的組織級應用，覆蓋各個管理層級的不同業務單元的用戶。系統上線運行后，被授權的管理員可以根據實際狀況變化調整角色，對用戶進行再分配，進行功能重新配置，實現對管理層級、組織架構、業務內容等變化的動態適應。

[1]史學偉，李翕然.煤炭企業全面風險管理體系探索[J].中國煤炭，2012 (12)

[2]徐向藝等.公司治理制度安排與組織設計[M].北京:經濟科學出版社，2006

[3]胡杰武等.企業風險管理[M].北京:清華大學出版社，北京交通大學出版社，2009

[4]韋建華.生產管理流程與節點精細化設計[M].北京:人民郵電出版社 (第1版)，2013

[5]劉友華等.信息系統分析與設計 (第2版)[M].南京:南京大學出版社，2011

[6]馮登國等.基于角色的訪問控制模型與管理規范(GB／T 25062-2010)[M].北京:中國標準出版社，2010