風險管理文獻述評

2015-11-02 20:08:13中國海洋大學管理學院山東青島266100

商業會計 2015年14期

（中國海洋大學管理學院山東青島266100）

一、引言

伴隨著信息技術的發展，作為市場主體的企業，所面臨的不確定性日益加強。這種不確定性蘊藏著企業成長機會的同時也可能使企業遭受難以彌補的損失?；谌藗兯幍沫h境、所掌握的知識以及所研究的問題的需要，人們對風險的理解存在一定的差異性。因此，需要對風險做一個重新的認知，對風險的深刻理解將有助于企業的風險管理。

受到早期對風險認識的局限性的影響，人們對于風險管理的理解僅限于某個領域，缺乏對組合風險的研究，甚至單純將風險管理理解為消除風險。傳統的風險管理缺乏對主體風險偏好的研究，僅僅看到了風險的客觀性，而忽視了造成風險的主觀性原因。通過對風險管理發展歷程的研究，我們將清晰地看到風險管理所涉及的領域越來越廣，而且發展至今人們更加重視從戰略的視角來理解全面風險管理。COSO的《企業風險管理——整合框架》對企業的風險管理活動起到了重要的指導作用，相比較于《內部控制——整合框架》，“內部控制被涵蓋在企業風險管理之內，是其不可分割的一部分。企業風險管理比內部控制更廣泛，拓展和細化了內部控制”，這也引起了國內學者對風險管理和內部控制相關關系的研究。本文梳理了各學者對二者關系的觀點以及在此基礎上形成整合框架，以希望對企業管理體系有一定的指導作用。

二、文獻評述

（一）對風險的認識

對于風險的探討，在亞當斯密的《國富論》中就有所體現，他主要關注于資本的利潤率問題，而且著重體現了與收益確定性的關系。在早期美國學者海恩斯的著作中最早提出了風險的概念，“風險一詞在經濟學和其他學術領域中并無任何技術上的內容，它意味著損害或損失的可能性。偶然性的因素是劃分風險的本質特征，某種行為能否產生有害的后果應以其不確定性而定。如果某種行為具有不確定性，則該行為就承擔了風險?！蓖滋卦趯︼L險進行定義時也將其視為不確定性的具體體現?？梢哉f早期對風險的理解與不確定性問題是不可分割的，風險更多的被看作不確定性的結果，當然這兩者之間的關系也是現如今熱于探討的問題。但風險和不確定的區別又是怎樣的呢？出于對利潤問題的研究，奈特指出利潤源于真正的不確定性，而風險之所以不同于不確定性是因為風險可以度量，可以看出奈特將風險與不確定性的區別定位于可預測性與否。而莫頓在其《金融學》中指出：“不確定性是風險的必要條件而非充分條件。任何一種存在風險的情況都是不確定的，但在沒有風險的情況下也存在不確定性?！辈煌谀翁匾允欠窨深A測性作為區分不確定和風險的標準，莫頓更注重對行為主體的影響。這不僅闡明了風險管理的原因，也隱含了風險管理的方式，即主體可以通過資源的使用和行為的選擇合理規避風險。

可以看出風險不僅體現了偏離主體預期的不確定性，也突出了對行為主體的影響。從風險所造成的影響來看，部分學者將其理解為給主體帶來的損失，張勛彪指出“風險是指在一定的時空條件下，導致人們遭受損失的事件發生的不確定性”。宋執旺將風險視為造成較大損失的可能性。這兩位學者所提到的風險似乎更應該理解為純粹風險，即只有損失機會而無獲利機會的風險。

在上世紀60年代，美國學者威廉和漢斯在《風險與保險》中將人的主觀因素引入風險分析，他們一方面肯定了風險的客觀性，同時也指出由于主體之間的差異性，即使是針對同一風險也可能持有不同的看法。主體的合理預期是基于其當前所獲得的信息以及處理信息的能力而產生的，主體的差異性往往使其預期與客觀實際產生不同的偏離程度進而影響風險的大小。此外，不同的主體間也存在風險偏好的差異，因此對于風險的評價也受到主觀因素的影響。

（二）企業風險管理

1.企業風險管理的發展。20世紀30年代的經濟危機促成了風險管理思想萌芽的產生，人們更加關注通過何種手段來減少甚至消除風險以降低經濟損失。到20世紀中葉風險管理作為一個獨立的學科體系發展起來，而對風險管理的系統性研究則以梅爾與赫爾奇斯《企業風險管理》和威廉姆斯與漢斯《風險管理與保險》的出版為標志。從企業風險管理的整體發展來看，國內學者主要以風險管理中的大事件為線索，將企業風險管理劃分為傳統風險管理階段、現代風險管理階段以及全面風險管理階段（嚴復海等，2007；王農躍，2008）。當然也有學者將20世紀50年代之前的企業風險管理界定為萌芽期的風險管理階段（許國棟、李心丹，2001）。

萌芽期的風險管理體現在資本市場上的運用，在這一時期，費歇爾的期限結構理論以及在此基礎上?？怂购涂柌┨亓謱υ摾碚撍龅男拚龠M了實務界和理論界對利率風險管理的研究。此時期的風險管理的應用具有很大的局限性，而且缺乏系統性。風險管理更多關注于資本市場上的收益率問題，并將利率的久期及凸性作為風險管理的重要工具，這主要受早期對風險認識的影響。

20世紀中葉風險管理成為企業管理領域的一門獨立學科，這被視為傳統風險管理階段開始的重要標志，概率論和數理統計的應用，使風險管理從經驗走向科學。馬柯維茨的均值方差理論，資本資產定級模型以及期權定價模型等理論的提出是該時期風險管理的重要理論貢獻，對于風險管理尤其是金融市場的風險管理意義重大。在這一時期，越來越多的企業開始重視風險管理，企業的風險管理成為公司三大管理活動（策略管理，經營管理和風險管理）之一。在該階段的理論傾向主要是防范和管理企業面臨的純粹風險，企業風險管理所采取的主要策略就是風險回避和風險轉移，保險成為主要的風險管理工具。風險管理理論的提出，使得這一時期的信用風險和財務風險的測量方法日趨成熟，但風險管理的研究依舊是單一、局部的，缺乏多層次性更缺乏戰略性的指導意義。

伴隨著企業面臨的社會環境的巨大轉變，到20世紀80年代，企業更加注重不同部門風險的綜合影響，現代風險管理的理念更強調根據風險組合的觀點，從貫穿整個企業的角度看風險。而且在資本市場上產生了新的風險管理工具，資本市場也因為這些新的產品類型的出現而更好地發揮其職能。至于全面風險管理階段，國內大多數學者將COSO的風險管理整合框架中的風險管理概念、內容、框架視為現代全面風險管理理論的核心。

對于這種將企業風險管理分為三個發展階段的方法，也有其他學者表示質疑。曹元坤（2011）認為這種劃分并不能清晰地反映出風險管理理論的發展脈絡。他們強調的現代風險管理和全面風險管理并沒有本質的區別，都強調風險管理的綜合性、整體性和整合性?；谶@一原因，曹元坤將風險管理的歷程分為基于保險和財務層面的風險管理階段和基于整體層面的風險管理階段。在基于保險和財務層面的風險管理階段，曹元坤認為風險管理研究的領域主要集中于可保風險和財務風險，而保險則成為該時期風險管理的重要手段，而且截止到該階段的后期。

2.企業風險管理的認識。對于企業風險管理的理解與人們對風險的認識存在重大的關聯性，威廉姆斯與漢斯認為“風險管理是通過對風險的識別、衡量和控制從而以最小的成本使風險所致損失達到最低程度的管理方法”，在這里風險管理被認為是一種技術和方法，而且在風險管理的過程中要堅持成本收益原則。在莫頓的經典著作《金融學》中風險管理被定義為 “確定減少風險的成本收益權衡方案和決定采取的行動計劃的過程”，在莫頓看來之所以要做成本收益的權衡，是因為信息的獲取對最佳決策的選擇有重大的影響，進而影響到企業所要面臨的風險。而且莫頓更關注于風險主體的風險厭惡和風險暴露對企業風險管理的影響。國內的學者陳秉正認為，風險管理是通過對風險進行識別、衡量和控制，以最小的成本使風險損失達到最低的管理活動。許瑾良則指出，風險管理就是應用一般的管理原理去管理一個組織的資源和活動，并以合理的成本盡可能減少災害事故損失和它對組織及其環境的不良影響。他們都看到了在風險管理中的成本支出問題，但對風險的理解上更傾向于將風險視為純粹風險，所以提出在成本允許的范圍內減少風險對企業造成的損失，因此，在風險管理的手段上更多的是考慮如何降低和轉移風險。

由于胡萬杰將風險視為未來不確定性對企業既定目標的影響，因此對于風險管理他認為“是各經濟單位通過風險識別、風險衡量、風險評價、風險應對等方式，對風險實施有效控制和妥善處理損失的過程”。可以看出，胡萬杰對于風險管理的定義體現了通過合理的風險管理的程序實現對風險的有效控制，而且最關鍵的一點，他認為風險管理的主旨不在于消除風險，因為那樣只會把獲得回報的機會浪費掉。風險管理所需要做的應該是對風險進行管理，主動選擇那些能夠帶來收益的風險。

在COSO編制的《企業風險管理——整合框架》中，首先明確對風險和機會做出合理界定：“風險是一個事項將會發生并給目標實現帶來負面影響的可能性”，而“機會是一個事項將會發生并給目標實現帶來正面影響的可能性”，風險管理則是處理風險以便創造或保持價值。它將風險管理定義為 “企業風險管理是一個過程，它由一個主體的董事會、管理當局和其他人員實施，應用于戰略制訂并貫穿于企業之中，旨在識別可能會影響主體的潛在事項，管理風險以使其在該主體的風險容量之內，并為主體目標的實現提供合理保證”。COSO的風險管理的定義中著重強調了主體的風險容量，因為這里強調的風險管理是立足于戰略高度而制訂的。主體的風險容量存在差異性，將影響企業的戰略選擇和資源的配置，因此在進行企業風險管理時，必須先明確主體所愿承受的廣泛意義上的風險的數量。

3.風險管理與內部控制。風險管理與內部控制一直是人們所爭論的話題，尤其是在繼頒布《內部控制——整合框架》之后于2004年頒布了《企業風險管理——整合框架》，這一問題更是得到了人們的廣泛關注?；贑OSO所制定的兩個整合框架的區別和聯系，可以看出，后者是對前者的深化和拓展，“內部控制被涵蓋在企業風險管理之內，是其不可分割的一部分。企業風險管理比內部控制更廣泛，拓展和細化了內部控制”，而且在目標類別上，風險管理所涉及的報告不僅包含內部控制所指定的財務目標，還包括管理當局內部使用的報告。COSO在企業風險管理整合框架中指出相比較于內部控制整合框架，企業風險管理更強調從“組合”的角度考慮復合風險。此外在構成要素、內部環境、事項識別及風險評估等方面企業風險管理框架都做了一定的拓展。在對COSO的框架報告進行比較的基礎上，周兆生（2004）看到了風險管理和內部控制的一致性，雖然現實中風險管理和內部控制還存在一定的差距，但隨著他們各自的不斷完善和發展，它們將交叉融合，直至統一，內部控制將擴展為更全面的風險管理。董月超（2009）闡述了內部控制和風險管理概念的異同點，認為風險管理是對內部控制的繼承和發展，而風險管理融入戰略的要素，更加強調效益的產生。風險管理的決策為內部控制提供了依據，而內部控制作為風險管理的基礎，其動力來自于企業對風險的識別和管理。丁友剛（2007）則認為內部控制本質上是組織的內部風險控制機制，為了解決組織內部的代理問題。而風險管理包含風險計劃、風險控制及風險應對，其中風險控制不僅包含內部風險控制還包括外部風險控制，由此可以看出，風險管理包含內部控制。

為避免企業管理體系的交叉、重復，謝志華（2007）分析比較了內部控制、公司治理及風險管理之間的關系。在比較各位學者觀點的基礎上，指出這三者的關系集中表現為三種形態：互為前提關系、相互包含關系、等同關系。通過從歷史和邏輯的統一中的論證，謝志華認為雖然三者在文字表述上存在差異性，但本質上是相同的——實現風險控制。從歷史變遷中來看，內部控制先于公司治理和風險管理，最早的內部控制是為了實現企業財務安全和信息的真實性，這也說明了內部控制以風險管理為起點?！皟炔靠刂剖菫榱丝刂骑L險，控制風險就是風險管理。所以內部控制和風險管理是控制風險的兩種不同的語義表達形式。內部控制主要是從風險控制的方式和手段說明風險控制的，風險管理就是從風險控制的目的來說明風險控制的”。而且從邏輯推理來看，企業收益的不確定性是企業風險的具體表現，所以企業經營管理活動是對風險的經營管理。進而企業的內部控制、公司治理、風險管理都應歸于企業管理的范疇以實現對風險的控制。因此，有必要建立一個兼顧內部控制、公司治理和風險管理的統一的規范。謝志華認為這一整合的框架體系應“以風險控制為主線，以全員、全要素、全過程的造假、私吞、違規和非理性行為的風險為控制內容，以風險管理過程為控制方法，構成一個風險管理的有機整體”。可以看出謝志華并沒有局限于內部控制、公司治理和風險管理關系的探討，而是驗證了三者本質上的一致性，為建立一種統一的整合框架提供理論支撐。這種統一的整合框架不僅兼顧了傳統的內部控制的內容，而且考慮到了主體的風險容忍度以及風險控制的各種方法，最為關鍵的是避免了企業管理體系的重復、交叉。

雖然白華（2012）并不贊同謝志華按照歷史邏輯的觀點“先有內部控制，而后出現公司治理，最后提出風險管理?！钡С种x志華關于內部控制和風險管理的內在一致性的看法。他認為之所以之前對內部控制和風險管理的關系有較大的爭議，是因為大部分學者將內部控制視為一種制度，而實際上內部控制是一種職能，或者說就是管理上所指的控制職能。COSO的兩個整合框架只是在命名上考慮的側重點不同，“內部控制是從管理職能上來講的，側重于強調控制職能的發揮；風險管理則是從控制的對象上來講的，側重于強調風險控制的重要性，二者涵義相同”。在筆者看來公司治理包含內部控制和風險管理的思想，而內部控制和風險管理只能說是表述上存在差異。

三、總結

企業在生產經營活動中所面臨的風險，可以理解為企業經營決策的預期與既定目標的偏差。這一預期是基于決策主體的知識、經驗和所獲取的信息而確立的，而既定目標的實現同樣受到外部環境和內部組織結構等多方因素的影響。因此企業風險管理是在成本收益的原則下，對涉及企業諸多層次的活動進行統籌安排和戰略規劃，以將風險容量控制在企業所有者的可接受范圍內，并為企業目標的實現提供合理保證的活動。