淺析基于醫藥企業的全面風險管理體系構建

向紅敏

摘要：面對錯綜復雜的經營環境，風險管理成為越來越多企業賴以生存與發展的重要基石。近年來，隨著國家宏觀經濟結構調整，藥品供應領域改革繼續深化，健康消費繼續升級，醫藥行業面臨的監管趨嚴;筆者長期從事內控與風險管理的實踐工作，通過構建和推進集團公司的全面風險管理體系的有效運行，不斷增強集團公司管控風險的能力與水平。

關鍵詞：醫藥行業;風險管理;體系構建

面對錯綜復雜的經營環境，風險管理成為越來越多企業賴以生存與發展的重要基石。近年來，隨著國家宏觀經濟結構調整，藥品供應領域改革繼續深化，健康消費繼續升級，醫藥行業面臨的監管趨嚴;2018年以長生生物疫苗事件為代表的風險事件再次將醫藥行業推向輿論的風口浪尖，由此造成的惡劣社會影響以及政府部門監管壓力對于藥品企業的生存和發展帶來了較大阻力，同時也給企業風險管理工作敲響了警鐘。筆者作為在上交所上市的某大中型醫藥制造板塊的集團審計部門負責人，長期從事內控與風險管理的實踐工作，通過構建和推進集團公司的全面風險管理體系的有效運行，不斷增強集團公司管控風險的能力與水平。

一、相關背景介紹

集團公司是一家老牌上市公司，主業為藥品的生產制造，長期經營中逐步構建了集藥品生產經營（工業、批發、零售）、診斷技術、醫療服務、大健康服務為一體的產業結構，品牌價值持續提升，涉及的子公司分布在全國各地。伴隨多元化發展進程，經營中面臨的風險也在加大，制約集團良性成長的短板和瓶頸有待實質性突破，如何一手抓發展，一手防風險，真正做到穩健經營、協調發展呢？對此，董事會提出“轉型升級促發展”戰略目標，圍繞經營綱要，集團審計部門的工作職能也由“合規性”審計向“合規性+風險管理+價值管理”審計轉型，在查錯糾弊的同時，以內控與全面風險管理體系為抓手，創新風險管理的工作流程與機制等，實施中注重匹配性原則，并尋找風險與收益的平衡點，不斷夯實全面風險管理體系，為公司轉型升級目標和高質量可持續發展助力護航。

二、如何構建集團公司的全面風險管理體系

2017年，集團公司設立風險管理委員會（以下簡稱 “風委會”），作為公司下設的專業委員會，并設立首席風控官，風險管理委員會下設風險管理辦公室（以下簡稱 “風險辦”），常設機構在審計部，負責公司風險管理委員會日常工作計劃、協調、聯絡、會議組織等工作。

在集團風委會指導下，審計部以“建體系、明責任、識風險、防危機”的基本方法，在系統學習了行業內COSO風險管理框架、內部控制規范等理論基礎上，結合實際啟動了全面風險管理體系的建設工作，并在“構建架構、制度保障、管理流程、運行機制和文化宣貫”上尋找著力點和落腳點，以建模思維形成了一套完整規范的管理表單、流程等，并在實踐中總結提高，將風險管理工作融入到日常經濟活動中，促進公司在平衡中發展，在發展中壯大。

（一）構建全面風險管理組織架構，明確分級責任

1. 精心設計，筑牢風險管理五道防線

2017年，根據集團公司管控現狀，結合行業特性，集團本部的全面風險管理建立了五層架構，包括：董事會、風險管理委員會（首席風控官）、風險管理辦公室、風險互控部門（專業職能部門）和風險自控部門（各職能部門和業務單元）在各自的職責范圍內履行風險管理職責。同時，全面風險管理實行分級管理的五道防線主要劃分為兩個層次，本部管控層面、所屬子公司管控層面。

2018年，在本部風險辦組織下，各子公司組建了自身的風險管理機構，確定全面風險管理工作的“一把手負責制”，明確總經理、分管領導、風險管理職能部門和專職人員、對接人員等;同時，各子公司將其風險管理機構的人員名單報集團公司本部備案，接受集團本部的統一管理、指導、檢查等。

2. 深化共識，明確各道防線管理責任

集團風險辦作為全面風險管理的統籌機構，負責風險管理工作的計劃、協調、組織、檢查、督促及報告等。本部層面，明確第一道防線為風險的所有者（即風險源），是風險防控的主體，力爭通過第一道防線強化自控解決95%以上的問題，各風險責任主體的負責人及分管領導始終為第一責任人;同時，全面風險管理工作不僅是單個部門的職能，各部門、特別是專業互控部門要在整體框架下，強化整合和協同，將風險自控與互控相結合，做到風險管理無盲區、全覆蓋。所屬子公司管控層面，各子公司在本部風險辦指導下，參照本部的管理原則劃分相關職能機構的風險責任，實行董事長或總經理的一把手負責制。

（二）制定全面風險管理相關制度，指導實踐

為建立有效的全面風險管理體系，單位制定了10多個內部管理辦法來指導、保障實際工作。例如2017年組織印發了《風險管理委員會議事規則》、《全面風險管理制度（試行）》;2018年印發了《風險信息動態監控與評估細則》、《經銷商或代理商商風險監控與評估細則》等;同時，結合突發危機情況，修訂了《危機管理辦法》并配套出臺《外部質量危機應急管理預案》等多個專業管理預案，從而完善公司對突發危機事件的管理。

（三）健全全面風險管理工作流程

1. 理順思路，建立和完善全面風險管理的基本流程

實踐中，單位開展全面風險管理的基本流程是由初始信息搜集、風險評估、制定風險應對策略、制定并實施風險管理解決方案、監控與改進等五個環節構成。

2. 與時俱進，摸索和固化風險管理各環節的具體流程

（1）風險信息數據庫的管理流程。風險識別是開展風險管理工作的首要環節，風險辦每年定期印發各公司風險管理工作的通知，組織責任部門或單位實時監測各自的風險信息，設計規范的表單進行報送，建立了各公司的風險信息數據庫，并不斷更新。

（2）年度風險事件簡報的管理流程。在收集風險信息過程中，發現前期已發生的對公司有不利影響的風險事件散落在各部門，因人員流動或時間長后很容易被遺忘，不利于防微杜漸。對此，風險辦設計了專門的表單，組織本部和各子公司定期報送已發生的風險事件，要求建立各自的已發生風險事件臺賬，風險辦定期匯總當年的風險事件信息并進行分類，提出獎懲意見，形成《年度風險事件簡報》報風委會審議，再報公司領導審批，通過簡報這個載體實現了信息的上傳下達，將決策、經營、監督有機銜接，督導各級人員重視風險事件帶來的后果。

（3）某某領域的專項風險評估管理流程。針對公司經營的關鍵環節和重點領域，為有效識別和評估出重大風險信息，風險辦通過聯合專業互控部門等，貼合業務實際設計專項風險評估調查問卷，并組織各層級人員評估打分，匯總評分結果，出具《某某專項風險評估報告》，按流程報風委會及公司領導審批，再根據批示意見落實反饋。

（4）年度全面風險管理工作報告流程。次年初，風險辦總結上年度的風險管理工作，分析上年度已發現的重大風險信息及應對措施、風險管理中的問題及建議、本年度的重點工作計劃等，出具《年度全面風險管理工作報告》，按流程報風委會及公司領導審批，再根據批示意見落實反饋。

（5）風險管理的季度/年度績效考核流程。風險辦聯合公司具有績效考核職能的專業部門，定期下達年度或季度的風險管理工作績效要求，明確考核標準，風險辦側重考核日常風險信息報送的及時性和質量，年度則對漏報、瞞報及風險管理中的不作為行為加重考核，并反饋至績效管理機構，績效管理機構再綜合被考核對象已發生的風險事件影響程度和風險辦反饋的信息綜合打分。

2. 創新建模，統一和規范風險語言及標準，加強風險信息的分級管理

（1）統一風險語言，規范風險描述、發生可能性、影響程度等內容;風險辦在組織風險信息監測及報告過程中，創新設計日常風險信息報送的管理表單、報告等模板，實現統一管理。

明確標準，在風險識別基礎上，綜合運用風險評估工具、技術和方法，強化風險分析工作，從風險發生的概率和影響程度評估分級，分為一般風險、重要風險和重大風險。

（四）創新全面風險管理工作運行機制，提升管理效率

1. 建立和完善本部層面的全面風險管理工作機制

（1）風險辦組織開展公司的風險“體檢”工作，創新運用風險監測、專項風險評估、風險排查及自查報告等方法，充分揭示現階段的風險，建立和更新風險信息數據庫、已發生風險事件臺賬，涉及的信息達千余條;遇有重大風險須立即按條線上報，并適時向公司領導同步報告，以確保安全平穩運營。

（2）風險辦組織對各部門風險管理工作開展聯合審查、監督跟蹤與持續報告，近三年不定期出具《風險審查報告》、《重大風險跟蹤簡報》、《重大風險階段性總結報告》等，報風委會及公司領導審議，并根據批示意見予以落實，督促改進。

（3）風險辦組織召開全面風險管理推進工作總結會議、專題會議等，傳達風險管理要求和責任，形成上下聯動機制。

（4）風險辦對各部門風險管理工作持續監控與考核，對風險信息漏報、錯報、瞞報行為進行處理;定期考核，對于風險事件，公司視情況強化激勵與問責，不斷提升管理。

2. 建立和完善子公司層面專項風險監控與評估的工作機制

2018年，風險辦通過聯合本部的品牌、質量等專業部門搭建了子公司重點風控環節的監控與評估機制，擴充風險信息監測范圍，形成“線下審核 、線上報送”的流程，建立和更新了各子公司的風險信息數據庫、已發生風險事件臺賬，涉及的信息近千條;遇有重大風險立即上報，在本部專業課部門統一指導下開展應對管理。

（五）培育全面風險管理文化，強化意識

集團公司領導高度重視風險管理工作，在設機構建隊伍、優化風控環境等方面給予了極大關注和支持，一是切實加強風控隊伍建設。近年來，集團公司各部門、子公司均設立了兼職的風險管理專員，風險辦增設了風險管理專職崗位編制，并組織專職人員參加外部咨詢機構的理論與實操學習，編寫印發《專項風險管理實施指引手冊》及制作各類宣傳材料，由風險辦的專職崗位人員指導和幫助兼職人員開展具體的管理事項，使風險管理團隊的實力不斷增強，人員結構更加優化，為有序開展風險管理工作打下堅實基礎。二是優化內部風控環境。集團公司董事會印發了《關于防風險促轉型的指導意見》，每年度組織召開公司的年度風控工作總結，與集團本部層面的各部門負責人、子公司負責人簽訂《年度風控管理責任書》，強化風險管理責任;風險辦定期組織開展有關風險聯合宣講、專題培訓，并輔以宣傳展板、線上考試、知識競賽活動等，極大地促進了工作的順利開展，有效營造了風險管理文化氛圍。

三、存在的問題及未來展望

在探索構建集團公司全面風險管理體系過程中積累了寶貴的經驗，也存在不足之處，目前仍處于邊摸索邊總結階段，例如部分風險揭示不夠深入，風險應對的管理措施還有待完善，全員風險管理意識仍有待增強，全面風險管理的成效還需進一步提升，公司各類管理體系之間也有待整合、深化完善等。

全面風險管理體系的構建不是一蹴而就的，而是一個長期、系統工程，只有各項核心要素與支撐性要素之間水平匹配，協同運行，方可使風險管理體系穩定運行。查理.芒格說過“宏觀是我們必須接受的，而微觀才是我們可以有所作為的”，未來我們要把創新作為履職的動力源泉，以公司戰略目標和經營目標為導向，著力圍繞風險管理制度設計與建設、體系運行機制、管理模式等持續創新。主要從以下方面展開：一是，立足全覆蓋，創新風險管理工作機制，努力將風險管理從一個點延伸到整個面，實施更加精準有力的風險管控，使短期目標與長期目標相結合，做到風險無死角，無盲區。二是，強化風險監測、風險審查等，在風險揭示中不斷促進責任部門或單位應對防范能力的提升;通過風險報告加強上傳下達，獲得公司高層管理團隊的指導和支持，把握工作重點和方向，深入推進，切實發揮防控風險的職能。三是，嘗試開展風險管理信息系統的建設，實現風險信息共享機制;整合內部控制和風險管理兩大體系，完善基于風險導向的內控體系建設;充分利用信息系統之間的可集成性，將內控與風險管理融入現有的業務流程中，提高管理體系運行的效率和效果。

四、結語

面對新機遇、新挑戰，全面風險管理體系就像為集團公司打造的一件“軟猬甲”，在激烈的競爭環境中能幸運抵擋或避開各類風險的襲擊，把風險控制在可控范圍內，合理保證經營目標的實現;同時，在經歷風險后依然能蓬勃發展，并在發展中提質增效。

（作者單位：馬應龍藥業集團股份有限公司）