從新冠疫情看企業風險管理的重要性

馬成龍

2020年突如其來的新冠肺炎疫情全球肆虐，這場疫情幾乎是1929年大蕭條以來全球面對的最大 “黑天鵝”事件，它正在深度改變全球政治與經濟秩序，尤其對全球各國企業沖擊極為嚴重。面對新冠疫情沖擊，部分企業顯得束手無策，帶給企業生產經營管理難以挽救的致命打擊。在全球經濟一體化深入發展的今天，隨著國際化發展步伐的加速，企業面臨的營商環境越發復雜，風險越來越多，企業若想保持競爭的主動地位，科學化的企業管理必不可少，全面化、體系化的風險管理已經成為企業生存與發展的必然要求。

一、如何理解企業風險管理

風險，是指未來的不確定性對組織目標的影響，當然，影響可能是負面的，也可能是正面的。企業風險管理，是指在企業實施一套完整的全面風險管理框架，建立和完善企業風險管理運行機制，實施一整套風險管理過程，科學地、系統地、全面地管理企業經營管理中的各種風險，規避或降低風險對企業經營目標的負面影響。

企業經營管理中面臨的風險可以分為五大類，分別是戰略風險、市場風險、運營風險、財務風險、法律風險。因每種風險都有其不同的成因，不同的表現形式，只有抓住每種風險的特點，系統地剖析風險源與風險原因，有針對性地采取相應管控措施，才能有效開展風險應對。

二、如何有效實施企業全面風險管理

新冠疫情引發的全球經濟危機是黑天鵝級別的，雖然任何常規的壓力測試都無法預見會出現如此供給側、需求側和信心側急性休克的情形，但對企業來說，我們需要建立一套以企業價值觀為指引的企業治理架構和全面風險管理框架，努力提高企業核心競爭力，當疫情“黑天鵝”來臨時，這套風險管理運行機制能保證企業的生命力。在全面風險管理的框架下，企業需要專注于對未來的各種可能性做出情景分析，對不同可能性帶來的后果做出多維度的風險評估，制定各種應對的預案，這樣才能更加主動地應對“黑天鵝”的突然打擊。

1.企業全面風險管理組織保障。企業全面風險管理組織架構的設計沒有固定模式，企業應綜合分析其所處的經濟形勢、市場狀態、行業特點等外部環境，結合企業自身發展情況，構建企業風險管理組織架構，并依據外部環境的變化和企業發展變化，適時調整優化企業風險管理組織框架。風險管理組織架構設計然雖沒有固定模式，但組織架構設計與變革的基本理論是可以借鑒的。組織架構設計與變革應該解決好四個結構，分別是職能結構、層次結構、部門結構、職權結構。企業風險管理的運行需要多項職能共同發揮作用，在風險管理組織架構設計時應確定需要哪些職能，確定各職能間的比例與相互之間的關系，這是職能結構。風險管理組織架構在縱向上需要設置幾個管理層級，各管理層級的構成是層級結構。風險管理組織架構在橫向上要包含哪些部門，管理部門的構成是部門結構。風險管理組織架構在各層級、各部門之間權力和責任的劃分、以及各層級、各部門之間的相互關系，這是職權結構。不論企業如何設計風險管理組織架構，企業風險管理有序、高效地運行，能夠助力企業的快速發展，便是最佳管理模式。

2.企業全面風險管理體系保障。成功企業的管理離不開制度保障，風險管理也不例外。風險管理能有序、高效地運行，企業必須有一套健全的、以風險管理為引領的內部控制體系，并能被規范地執行。以風險管理為引領的內部控制體系是企業風險管理工作的基礎，它是企業各項業務運轉和風險控制的標準和規范。企業在生產經營管理中，能否科學地、全面地管理風險，能否調動職工的積極性和創造性，提高企業的經濟效益，內部控制體系是關鍵。企業內部控制體系是企業內部規范性文件，具有規范性、嚴肅性、權威性、強制性的特點，是企業所有員工必須遵守的行為準則，是企業的“法律”。以風險為引領的內部控制體系在編制時，應充分考慮企業經營管理、生產科研、銷售服務等各項活動的特點，按照企業經營管理的需求程度和管理條件等實際情況，分輕重緩急，逐步健全和完善。企業內部控制體系應包括基本規章制度、業務準則規定、技術規范操作細則等基礎性內容。企業內部控制體系可以分為制度、規定、操作細則三個層次，統一構成以風險為引領的內部控制體系。企業內部控制體系就像一棵大樹，有根、有干、有枝，層次分明，脈絡清晰。然而，設計得再完美的內部控制體系，如果不能執行也是一紙空文，企業制度貴在執行。

3.企業全面風險管理實施程序。在企業實施一整套風險管理過程，實施包括風險識別、風險分析、風險評估、風險應對、監督與評價五大方面一整套風險管理環節與程序，企業只有真正落實全面風險管理，才能有效提升應對“黑天鵝”事件的能力。企業在開展風險管理的過程中，應遵守風險管理框架及內部控制體系的要求，明確各部門的職責分工，統一風險管理語言和標準，確定風險定義、風險評估標準、風險應對原則及策略、風險匯報路徑等內容。企業通過實施風險管理過程，來保證風險管理能夠嵌入到企業的各層級、各管理環節、業務過程和決策中，持續跟蹤風險變化，通過內部控制檢查評價以及績效考核等監督手段，提升風險管理實效，對企業面臨的各類風險進行有效管控。

風險識別是風險評估的起點，縱觀風險管理過程，風險識別是關鍵。企業不能識別風險就是企業最大的風險，不無道理。風險識別的方法很多，比如風險調查舉例、分解分析法、事件樹分析法、生產流程分析法、頭腦風暴法等等。近年來，借助科技手段的風險識別與分析被越來越多的大型企業所采用。

科技賦予企業管理的提升，具備條件的大型高科技企業或金融企業可以借助科技力量進行風險識別，如云計算、大數據、人工智能、區塊鏈和API等前沿領域。借助科技識別與傳統人工相比帶來新特征：一是更加敏捷化，能夠充分利用云計算技術，實現數以萬計的風險點快速查找、篩查與甄別。二是更加實時化，能夠實時監控各種指標數據，及時生成報告和解決方案;提高風險識別和處置能力，及時處理風險事件，提高事中監管的效率。三是更加智能化，高效快速地識別風險，比對政府及行業監管要求，智能掌握監管尺度，制定合規要求。四是更加數字化，新技術的應用實現了報告數字化和合規流程自動化，能夠快速收集和分析處理復雜的數據。

風險識別與風險分析后，就需要對識別出的風險進行有效管理和應對。企業風險評估不是目的，風險應對才是重中之重。在風險應對階段，企業應根據風險管理策略，針對每一項重大風險制定風險管理應對方案。方案一般應包括風險應對的具體目標，所需的組織領導，所涉及的管理及業務流程，風險事件發生前、中、后所采取的具體應對措施。企業制定風險管理應對方案，堅持風險管理策略與企業戰略目標相一致、風險控制與運營效率及效果相平衡的原則，針對重大風險所涉及的各管理及業務流程，制定涵蓋各個環節的全流程控制措施;對其他風險所涉及的業務流程，把關鍵環節作為控制點，采取相應的控制措施，全面系統地管理風險。

企業在實施全面風險管理的過程中，還應建立重大風險預警制度。對重大風險進行持續不斷地監測，及時發布預警信息，制定應急預案，并根據情況變化調整控制措施。在新冠疫情影響下，企業應及時對未來的各種可能性做出情景分析，然后對不同可能性帶來的后果做出仔細、詳盡、多維度地評估，準備好各種應對的預案，有序應對“黑天鵝”事件。

三、企業全面風險管理持續改進與優化

隨著企業所處政治、經濟、市場等外部環境的變化，以及企業自身所處不同的發展時期，企業風險管理需要不斷持續改進與優化。企業風險管理同樣適用PDCA循環管理模型，即從風險管理框架設計、實施風險管理、風險管理框架的監測與評審、到風險管理框架的持續改進的整套運行與優化過程。

風險管理框架優化基于公司治理結構。公司治理體系是企業全面風險管理的基礎，企業風險管理戰略應與企業發展戰略相一致。企業發展戰略由公司董事會決定，董事會又是企業風險管理第一責任人，因此，企業可以建立相互獨立的、垂直管理的風險管理組織架構，便于企業風險管理策略縱向上能自上而下地、一貫地被執行，保證風險管理的獨立性與權威性。風險管理橫向上全面嵌入業務流程，保證業務部門能及時識別風險、管理風險。企業不斷優化與實施“橫向到邊、縱向到底”的全面風險管理框架，防范和化解企業經營管理中發生的各種風險，保障企業快速、健康、可持續發展。

四、企業全面風險管理展望

近年來，基于風險視角的現代企業管理理念如火如荼。2017年美國COSO委員會頒布的新版《企業風險管理框架》（COSO-ERM）更是提出了新的管理思路，較舊版風險管理框架有了顛覆性的變化，新的COSO框架強調：“組織在創造、保持和實現價值的過程中，結合戰略制定和執行，來進行管理風險的能力和實踐”，并聲稱框架不僅適用于企業，而且適用于政府及非盈利機構。

現代企業風險管理不再是側重防止對企業價值的侵蝕和降低負面風險，而是應被視為企業的戰略設定，要求企業抓住機遇、創造和保持組織價值。現代企業風險管理是企業動態管理組織整個價值鏈的一環，企業管理要與時俱進，以一種全新的現代企業管理視角來面對企業全面風險管理。

新的風險管理理念要求企業風險管理應從企業的使命和核心價值出發，將風險管理定位為提升企業的價值和績效的手段，強調風險管理嵌入企業核心價值鏈，將風險管理工作從“一個流程或程序”提升到了“一種能力和實踐、一種企業管理文化”，滿足企業更高層次的需求，逐漸形成以風險管理為引領的、創新的、開拓進取的現代企業文化。

（作者單位：中海石油（中國）有限公司天津分公司）