周昌印

全面風險管理是現今世界較先進的管理理念和方法。目前，企業的風險管理越來越成為焦點，而受到突出關注，迫切需要一個強有力的框架以有效地識別、評估和改進企業的風險管理。

一、全面風險管理概念

全面風險管理是企業圍繞總體目標，通過在經營管理的各個環節和過程中執行風險管理的基本流程，培育良好的風險管理文化，建立健全全面風險管理體系，為實現企業總體目標提供合理保證的過程和方法。

二、全面風險管理的內容和作用

COSO的全面風險管理框架是個三維立體的框架。這種多維立體的表現形式，有助于全面深入地理解控制和管理對象，分析解決控制中存在的復雜問題。

1.第一個維度（上面維度）是目標體系。包括四類目標：（1）戰略（Strategic）目標，即高層次目標，與使命相關聯并支撐使命；（2）經營（operations）目標，高效率地利用資源；（3） 報告（reporting）目標，報告的可靠性；（4）合規（compliance）目標，符合適用的法律和法規。

2.第二個維度（正面維度）是管理要素，包括八個相互關聯的構成要素，它們源自管理層的經營方式，并與管理過程整合在一起。具體為： 內部環境。管理層確立關于風險的理念，并確定風險容量。所有企業的核心都是人（他們的個人品性，包括誠信、道德價值觀和勝任能力）以及經營所處的環境，內部環境為主體中的人們如何看待風險和著手控制風險確立了基礎。

目標設定。必須先有目標，管理層才能識別影響目標實現的潛在事項。企業風險管理確保管理層采取恰當的程序去設定目標，并保證選定的目標支持主體的使命并與其相銜接，以及與它的風險容量相適應。

事項識別。必須識別可能對主體產生影響的潛在事項，包括表示風險的事項和表示機會的事項，以及可能二者兼有的事項。機會被追溯到管理層的戰略或目標制定過程。

風險評估。要對識別的風險進行分析，以便確定管理的依據。風險與可能被影響的目標相關聯。既要對固有風險進行評估，也要對剩余風險進行評估，評估要考慮到風險的可能性和影響。

風險應對。員工識別和評價可能的風險應對措施，包括回避、承擔、降低和分擔風險。管理層選擇一系列措施使風險與主體的風險容限和風險容量相適應。

控制活動。制定和實施政策與程序以確保管理層所選擇的風險應對策略得以有效實施。

信息與溝通。主體的各個層級都需要借助信息來識別、評估和應對風險。廣泛意義的有效溝通包括信息在主體中向下、平行和向上流動。

監控。整個企業風險管理處于監控之下，必要時還會進行修正。這種方式能夠動態地反應風險管理狀況，并使之根據條件的要求而變化。監控通過持續的管理活動、對企業風險管理的單獨評價或者兩者的結合來完成。

3.第三個維度（側面維度）是主體單元，包括企業、子企業、業務單元、科室四個層面。

4.全面風險管理的作用。全面風險管理的作用從整體上講是為企業經營目標的實現提供合理的保證，這一保證作用是通過圍繞總體經營目標，在企業管理的各個環節和經營過程中培育良好的風險管理文化，建立健全全面風險管理策略、風險控制措施、風險管理的組織職能體系、風險管理信息系統和內部控制系統，執行風險管理的基本流程和規范得以實現的。其作用主要有：一是標本兼治，從根本上提高企業風險管理水平；二是達到與企業整體經營戰略相結合的風險最優化；三是使所有利益相關人了解企業風險現狀，保障各利益相關人共同利益最大化；四是避免企業重大損失。五是提升企業具體風險管理解決方案的效果。

三、建立全面風險管理體系

1.建設目標。建立涵蓋企業生產、經營和管理各個方面的、較為完善的、運行有效的全面風險管理體系，滿足企業的戰略、經營、報告和合規性目標，實現經營管理過程的全部風險、全員、全過程、可靠、持續有效的控制，構建風險管理的長效機制，達到“規范管理、防范風險”的目的，為企業又好又快發展提供合理保證。

2.建設原則。（1）合規性原則：滿足國內外相關法律法規要求，以企業規章制度為依據。（2）完整性原則：對企業管理的各個領域實現全過程控制。（3）融合性原則：依托現有管理基礎，鞏固內部控制管理成果，適應企業持續健康發展的要求，豐富風險管理內涵。（4）效率性原則：體現可操作、可控、高效。（5）有序性原則：以對重大風險、主要業務單元的管理和重要流程的內部控制為重點，盡快開展全面風險管理工作；分戰略層面和業務活動層面，當前任務和長遠機制，標準化、制度化建設和信息化網絡化建設分階段有序推進。

3.建設內容。（1）控制環境。控制環境確立企業風險管理的總體態度，影響企業員工的風險意識，是企業其它風險管理要素的基礎，是有效實施風險管理的保障。包括：風險管理理念、風險管理文化、風險偏好、誠信與道德價值觀、企業治理、發展戰略、組織結構、權利和責任分配、員工勝任能力、人力資源政策與措施、反舞弊機制等內容。（2）風險評估。風險，是指未來的不確定性對企業實現其目標的影響，分為純粹風險（只有帶來損失一種可能性）和機會風險（帶來損失和盈利的可能性并存）。風險評估是識別及分析影響企業目標實現的因素的過程，是風險管理的基礎。企業制定完善的風險評估規范，明確風險評估的程序和方法，規范風險評估工作。（3）控制活動。控制活動是指為確保管理層風險管理策略得以有效實施的政策和程序。控制活動貫穿于企業的所有職能部門、每項生產經營活動和所有員工中。它包括一系列不同的活動，如審核、批準、授權、驗證、核對、經營績效考核、資產保全措施和不相容職務分離等。在實際工作中，控制活動要與風險反應相結合，為執行特定的風險應對措施提供合理保證。（4）信息與溝通。信息與溝通是企業經營管理所需的信息被識別、獲得，并以一定形式及時地傳遞，以便員工履行職責。信息包括內部產生的信息，以及與企業經營決策、對外報告相關的外部信息。暢通的溝通渠道和機制使員工能及時取得他們在執行、管理和控制經營管理過程中所需的信息。（5）監督。監督是對全面風險管理體系有效性進行檢查和評價的持續過程，包括持續監督、獨立評估、缺陷報告和獎懲機制等要素。企業應以重大風險、重大事件和重大決策、重要管理及業務流程為重點，對風險管理信息、風險評估、風險管理策略、關鍵控制活動及風險管理解決方案的實施情況進行監督。

4.建設方法與步驟。目前，國內企業的全面風險管理體系建設并無統一完善的程序與體例可尋，按照先急后緩、先易后難、先簡后繁的原則，建設的方法和步驟為：先全面梳理業務流程，理清各個部門、各個業務的工作界面，分清各自的工作職責；在此基礎上，評估存在的各類風險，形成風險數據庫；再針對各類風險制定控制風險的措施，修訂規章制度；最后形成與內部控制一體化的風險管理執行文件。概括為：業務流程標準化、風險評估科學化、控制措施制度化、風險管理一體化。（1）業務流程標準化。企業的大多數風險暴露在流程中，通過流程梳理與改造可以解決。全面風險管理就是要與企業經營活動的每個流程緊密結合，首先對業務流程進行梳理、優化，形成界面清晰、職責明確、統一規范的流程管理體系。（2）風險評估科學化。在風險識別的基礎上對風險進行計量、分析、判斷、排序的過程統稱為風險評估。（3）控制措施制度化。在全面識別與評估流程風險的基礎上，結合企業各類目標與內控制度，制定風險控制措施，修訂完善相關規章制度。以內控制度為重點，吸納全面風險管理的新要素、新要求、新方法，建立完善風險管理授權制度、風險管理報告制度、風險管理審批制度、內控與風險管理責任制度、內部審計檢查制度、風險管理考核評價制度、重大風險預警制度、法律風險防控制度、重要崗位權力制衡制度、風險控制評價制度、危機管理制度。（4）風險管理一體化。實現全面風險管理體系是在現有內控體系有效運行的基礎上，向更高層次邁進的必然趨勢，最終二者必然融合為一體。實現上述的業務流程標準化、風險評估科學化、控制措施制度化，只完成了“五要素”中控制活動和風險評估兩個要素的內容，要實現“一體化”的要求，還必須對現有的控制環境、信息與溝通和監督三要素進行補充和完善。

四、重視管理層、管理過程的職責作用

1.高層風險管理基調。高層風險管理基調體現企業的風險價值觀，是企業的企業文化和經營風格在風險管理領域的反映，是全面風險管理的政策導向。更為重要的是，管理層不僅應通過文件制度，而且要通過言行實踐全面風險管理。

2.全面風險管理體系建設的組織實施。全面風險管理體系包括戰略發展、經營業務和管理支持等專業流程，是一系列有組織相互聯系的工作程序，必須要有一個強有力的組織保障體系，實行統一領導、統一管理、專業負責制，才能確保全面風險管理建設設計有效、執行有力，達到“流程統一、控制集中、界面清晰、簡潔高效”的目標。

3.重視風險組合。全面風險管理要求企業從整體的角度看待和控制風險。一般來說，管理層首先考慮各部門、業務單位的風險，由風險管理團隊或相關負責人員制定一份能夠反映各部門、業務單位相對其目標和風險容忍度的評價方案。單個部門、業務單位的風險即使都處在自身的風險容忍范圍內，但是當把它們匯總在一起時，風險也許就會超出企業整體的風險偏好，這種情況下需要附加不同的風險應對策略和控制措施；反之，有些業務單位具有高風險而另一些單位則相對抗風險，有的風險可以在企業內部自然抵消或對沖，這時管理層就可以鼓勵個別業務單位或業務領域接受更大的風險，從而努力增大企業總體的發展速度和回報。

4.內部控制體系和全面風險管理體系的融合。如前所述，內部控制體系與全面風險管理體系有聯系也有區別。一方面，內部控制的合規性要求，為企業建立全面風險管理體系打下了堅實的基礎。內部控制是全面風險管理必不可少的一部分。它是為了實現企業的管理目標而提供的一種合理保障，良好的內部控制可以合理保證企業營運的有效性、財務報告的可靠性和法律法規的遵循性，這也正是企業全面風險管理應該達到的基本狀態。另一方面，全面風險管理為企業最終形成最佳的內部控制體系提供有力保障。

全面風險管理的范圍比內部控制的范圍更為廣泛，是對內部控制的擴展，是一個主要針對風險的更為明確的概念。全面風險管理涵蓋了內部控制的全部內容，內部控制是全面風險管理不可分割的組成部分。內部控制只有和全面風險管理相融合，才能更好地發揮其作用，為企業創造價值。

（作者單位：中國石油長慶油田公司公共關系處（土地管理處））