風險管理文獻綜述

袁 月，蔡俊杰

(1.廣西財經學院 會計與審計學院，廣西 南寧 530000；2.梧州學院 審計處，廣西 梧州 543002)

“風險”的概念最早出現于美國學者海恩斯的著作中，即“損失的可能性。偶然性的因素是風險的基本性特征。假如某種行為具有不確定性，則該行為就存在風險”。

組織的風險根據其來源可分為外部環境和內部環境，其中對內部風險在業務流程和授權層面上的控制，即“內部控制”，主體通過將財務風險管控和業務活動相勾稽，防范內部管理的程序性風險，促進經營目標的實現[1]。“風險管理”雖在內容上與“內部控制”存在重合，但在實質上，它屬于在“內部控制”基礎上進一步的延伸和細化，涉及范圍更廣。根據威廉姆斯與漢斯對“風險管理”的定義，風險管理是通過對風險的識別、衡量和控制，從而以最小的成本使風險所致損失達到最低程度的管理方法，因此風險管理更重視對風險因素的識別、評估和控制，強調組織的內部控制要向全面治理與戰略規劃擴展，2017年COSO發布的最新企業風險管理整合框架中將“風險管理”重新定義為“組織在創造、保持和實現價值的過程中，結合戰略制定和執行，賴以進行管理風險的文化、能力和實踐”。

一、風險管理理論的產生和發展

上世紀30年代經濟危機促使了風險管理思想的產生。為了應對巨大沖擊，人們開始重視對各類活動的風險管理，從而盡可能地控制或減少損失。20世紀中葉，美國的梅爾和赫斯奇在《保險手冊》上發表了《企業的風險管理》之后，關于風險管理的研究逐步趨向系統化、專門化，這才使得“風險管理”逐漸發展成為一門學科，企業進入傳統風險管理階段[2]：經營者開始重視風險管理活動，主要措施是規避和轉移風險，這個階段的代表理論有馬科維茲的均值方差理論、資本資產定價模型和期權定價模型等，然而相關研究比較單一、片面，缺乏層次、系統性，更缺乏戰略性高度。直到80年代，隨著社會環境等因素的巨大轉變，發達的資本市場及工具成為了推動現代風險管理發展階段發展進程的重要力量，企業更加重視各部門的組合風險及其綜合影響，并以此為依據進行風險管理，提高經營效率。

同期，自從我國恢復保險業務后，有關風險管理的研究與應用才涌現出來，張旭初等認為風險管理是一個大概念，其目的是抑制經濟隨機影響因素，保障經營活動處于有序狀態，因此提議我國企業在探索國外先進經驗時，要以顧全局的立場分析企業所面臨的各類風險，尤其是動態風險的控制管理[3]。

21世紀初風險管理理論發展進入全面風險管理階段，2004年COSO在《內部控制整合框架》的內容完成了升級，推出《企業風險管理——整合框架》，企業的內部控制由“財務報告導向”轉為“風險管理導向”[4]，全面風險管理理論的核心就來源于報告中關于風險管理的概念、方法等內容。2017年COSO對框架內容做了進一步完善，其適用范圍明確地由企業擴展到任何類型和規模的組織，王慧在此發現的基礎上提出，框架可為在我國行政事業單位內部控制建立和完善過程中嵌入風險管理提供良好的契機，有利于政府內部控制與風險管理新框架的相互銜接與整合，形成后發優勢[5]。

通過對風險管理理論發展歷程的剖析可以發現，COSO頒布的風險管理整合框架對風險管理起到基本的指導作用，企業風險管理的研究已較為成熟。但各類風險管理主體的風險偏好、風險容量、面對的風險內容等因素不盡相同。行政事業單位是我國重要的組織之一，代表政府執行相關活動，依法履行國家治理職能，具備風險管理實施的環境基礎，因此上述企業風險管理思想在我國政府部門、行政事業單位的風險管理中具有一定的應用性。

二、風險管理理論在行政事業單位的應用

周兆生曾在對COSO的框架報告進行比較的基礎上，發現了風險管理和內部控制的一致性，他認為二者盡管在現實中存在一定的差距，但發展仍趨于交叉融合，直至統一[6]。然而通過分析我國目前關于行政事業單位風險管理的研究，可以發現基本都是圍繞其內部控制展開。

由于我國政府傳統的計劃制度高度集中，各預算單位執行內部控制、風險管理的積極性不高，沒有良好的風險管理環境，風險管理發展相對滯后。盡管一些單位在部分業務、財務層次已設計并實施了相應的風險防控方案，但總體上從組織層次來看，內部控制仍被當作主要的風險管理手段。

基于我國行政事業單位特殊的組織性質，其風險偏好和風險承受度水平不如企業那樣樂觀，這也決定了風險控制要求較高。沈烈曾建議我國行政事業單位應從“傳統的內部控制”向“全面風險管理”轉化[7]。同時，隨著社會主義市場經濟體制的發展，種種資源條件不如以往樂觀、預算支出壓力不斷上升，我國政府管理體制逐步轉向以業績和結果為導向，以實現公共資源的經濟性、效率性和效果性為指標，進一步加強國家治理。鑒于此，2012年，財政部等相關部門聯合印發了《行政事業單位內部控制規范》，為我國各行政事業單位的內部控制建設提供理論指導。

唐大鵬等從內部控制的理論基礎出發，借鑒企業內部控制評價的相關內容，同時結合我國行政事業單位自身的特點，深入分析其內部控制評價要素、指標構建、模式選擇等重要內容，并進行相關路徑的探討，旨在為完善行政事業單位的治理結構、提升其治理水平提供思路，從而建立有效的風險防控機制[8]。

另外，行政事業單位的風險管理應遵循堅持成本效益原則，在實施風險評估的過程中，首先應對其組織活動進行流程梳理，重點把握關鍵環節。其次將其落實到具體到分工的崗位，明確職責。接著根據業務環節分析組織活動中面臨的各種風險，包括內部環境和外部環境引起的風險，確定風險點，并進行風險定性、定量分析并加以排序，同時關于已識別而未評估的風險，組織也應盡可能地準備相關的評估與應對措施，以減少單位受損的可能性。2016年財政部發布的內部控制要點中也肯定了這一方面的內容，提出行政事業單位中業務流程的風險管理應值得重視，單位應更加充分發揮內部控制作為預防機制的作用，這一點也突出了風險管理在其組織管理活動中的重要角色。

財政部會計司在分析了2017年我國行政事業單位的內部控制建設情況后，在總結中提出，全面梳理組織業務并編制流程圖是各單位加強內部流程控制和風險管理的重要途徑之一，另外將制度建設與流程控制覆蓋到全部主要業務或管理環節和關鍵節點，這將有利于加強對業務風險和舞弊風險的防控，提高內部管理工作效率。

我國行政事業單位內部控制建設具有高度的概括性，側重于上層設計，在實際應用層面存在欠缺，對具體單位和業務層面的研究較少。另外，行政事業單位應將風險管理的目標定位于支持組織使命、愿景和核心價值的實現，滿足更高層次的訴求，而不是僅僅局限于滿足監管和合規的要求。

三、社會保險經辦機構風險管理的探索和實踐

社會保險經辦機構是我國一類行政事業單位，負責提供社會保險服務和管理社會保險基金等公共活動，旨在維護社會保險基金的安全運行，保障社會穩定。

克里斯托弗將社會保險經辦機構的風險分為營運風險、資產流通風險、債務風險、經濟風險、投資風險、災難風險和政治風險7個領域，其中“運營風險”對社會保障安全的威脅最大。我國勞社部在2007年頒布《社會保險經辦機構內部控制暫行辦法》，這一辦法為社會保險經辦機構內部控制體系的規范，以及實施內部風險管理提供了基礎性的指導。

廣東省社會保險基金管理局課題組針對當前社保經辦機構的運行風險，提出可以從企業風險管理中汲取經驗，即通過構造社保經辦機構內部風險指標控制體系，識別日常管理和業務操作中的風險點，并予以評估和應對設計，從而提高其風險管理能力[9]。在計劃經辦風險控制措施時，唐大鵬等從風險的可能性及影響兩個維度出發，他提出經辦機構要高度分析風險性質與其風險偏好，在設計風險應對的同時要考慮經辦機構的內外部環境等因素。在風險意識建設方面，他認為要想從決策層到作業層形成完整的風險控制體系，內部控制中責任主體必須先樹立良好的風險意識，這樣才能自上而下傳輸，使風險意識貫穿并滲透到各項經營管理活動中，切實提高業務流程的效率[10]。楊雨菲從社會保險經辦機構管理模式視角出發，將其內部控制和企業的內部控制進行對比，指出社保基金經辦機構可以從企業內部控制理論汲取思想，以加強對社保基金的風險方法和監管，提高社保基金的管理水平[11]。Luana設計了一種風險管理(CRM)模型，該模型是一種綜合管理工具，它可以幫助社保經辦機構解決基金征繳和基金支付中出現的違規問題，設計利用預防、監測和威懾三種措施進行風險防控，通過有效的內部控制保障部門完成財務目標、完成任務、減少意外和風險[12]。

關于經辦機構的風險監管，鄭秉文、孫守紀主張“事前控制”，他們提出風險監管是風險預防的最佳途徑，其優勢在于提高風險甄別效率、節約監管資源、穩定心理預期、控制監管成本[13]。其中，社會監督作為外部監管的重要組成部分，但徐雪麗等在分析我國社會保險基金的外部監管現狀時發現，這部分的監管更多地只是流于形式，難以發揮實際作用，因此他們認為已有的監督體制很難保障基金的安全性與穩定性[14]。施青林認為運用績效審計能彌補目前社保基金的運行缺陷，從績效評價的角度分析養老保險基金監管中存在的問題，提升養老保險基金的管理水平[15]。

于卉青在總結我國社會保障制度的發展歷程時得出結論，不同時期的制度應隨著時代的發展進行改革并優化。針對我國養老保險制度的執行現狀，她提出：相關部門應當重視制度的執行環境及其風險因素，并根據其演變的情態制定具有指向性的政策，同時需配套優化相關法制系統、監督系統以及管理系統，讓三者形成相互制約和影響的關系[16]。

在執行風險應對的同時，也有學者提出要對經辦過程執行風險監控，華蓉暉認為這樣可以評估風險控制的效果和監測組織內保留的風險狀況(可容忍風險)，這也決定了社保基金經辦風險控制機制應該是循環往復的，以“向管理層提交監控結果報告”為完成標志[17]。Birabwa經研究驗證：社保經辦機構內部控制建設和管理能力越強，社會保障基金管理效率越高，同時附加對社會保障和國家信托基金部門的監管和約束，這樣更有助于保護受益人的利益[18]。

關于國外社會保險經辦機構的管理經驗，劉曉梅等介紹了日本年金(我國該用語為養老保險基金)做法：日本政府設立了日本年金機構的第三方監督機構即日本年金機構評價部會和運營評議會，還常設民間非常勤理事，將企業經營管理方面的經驗應用到年金業務運營之中。另外，由于日本年金機構“職員”待遇需根據實際業績來決定，因此在用人制度上，年金機構具有更大的裁量權，有助于年金經辦風險的防控[19]。

我國各級社會保險經辦機構管理大量民生資金，其經濟管理活動的特殊性決定了該類型組織在風險管理方面有著更高的要求，但同時，它也存在我國其他類型行政事業單位在風險管理方面所存在的共性問題，如何從組織層次進行全面風險管理整合值得進一步研究。

四、結論與啟示

隨著人們對風險認識的變化，風險管理在組織管理活動中扮演著十分關鍵的角色，綜合梳理分析關于風險管理研究可以看出，我國行政事業單位規范風險管理體系，尤其是公共資金管理等機構，較之國內外企業風險管理的成熟度還存在一定的差距。

不過，COSO《企業風險管理——與戰略績效整合》報告給我國行政事業單位風險管理體系規范指明了改革方向，各組織應立足于我國國情，包括經濟、法律、文化制度體系等，以原則為導向，建立健全各類組織風險管理規范。同時要意識到組織文化，尤其要意識到風險管理文化建設是組織管理活動中的重要內容，是組織實施全面風險管理的基石，形成組織成員的共同意識，進一步推動組織治理。

同時，報告為我國行政事業單位內部控制與風險管理新框架整合提供了理論保障，有利于各組織進一步提高公共服務效率，履行公共職能，從而實現國家治理能力現代化。