企業風險管理與內部控制一體化管理體系構建

汪瀅

中化石油銷售有限公司

伴隨著我國經濟的快速發展，國內企業發展帶來了良好的機遇，但也面臨著新的不確定性挑戰，企業可能因風險管理不到位而陷入經營危機。全面推進風險管理、內部控制向體系化、規范化、高效化發展，構建風險管理與內部控制整合管理體系是企業風險管理的必然趨勢。

一、風險管理與內部控制的區別與聯系

2006年，國資委出臺《中央企業全面風險管理指引》，其中對企業風險的定義是“未來的不確定性對企業實現其經營目標的影響”，由此看來，風險的本質是不確定性，同時與企業目標有較強的關聯性。由此看來，風險在企業運營中客觀存在，可以來自企業的外部環境、戰略決策以及日常經營。2008年，財政部等五部委聯合發布《企業內部控制基本規范》中所指內部控制是“由企業董事會、監事會、經理層和全體員工實施的、旨在實現控制目標的過程”。內部控制落腳點在對企業內部可控風險的控制的過程，關注過程的實施和執行。企業可以通過加強內部控制，提高自身的確定性以應對外部的不確定性。但企業經營還面臨很多外部風險，這些風險并不能依靠內部控制予以管控，因此可以說，內部控制屬于風險管理的范疇，且屬于風險管理的必要環節，二者在企業經營管理過程中需要整合同步推動，才能確保企業減少風險、增加機會、提升績效。

2019年國資委印發《關于加強中央企業內部控制體系建設與監督工作的實施意見》，提出“建立健全以風險管理為導向、合規管理監督為重點，嚴格、規范、全面、有效的內控體系。”這是國內首次在監管層面提出將內控、風險、合規有機結合，并強調實現“強內控、防風險、促合規”的管控目標，形成全面、全員、全過程、全體系的風險防控機制。由此可見，企業需要將風險管理嵌入內部控制流程中，并將內部控制融入風險管理框架中，構建風險管理與內部控制一體化的風險管控體系。

二、風險管理與內部控制一體化體系構建方法

近年來，隨著企業風險管理理論與實踐的不斷發展，企業風險管理架構已初步成型。構建風險管理與內部控制一體化體系也需要從組織、職責、制度上搭建風險管理的閉環機制，通過識別發現風險隱患、分析研判風險成因、預測風險發生可能性、評估風險影響程度到制定風險應對策略與監控風險變化情況，直至將風險控制在可承受的范圍，實現對企業風險的可知、可控、可承受、可管理。

（一）風險管理目標設定是體系構建的基本前提

企業經營的目標是價值創造與價值實現，提高企業運營效率、確保企業合法合規經營都是企業價值目標達成的基本前提。企業中，無論是規劃、組織、資源、績效，都需服務于企業價值增長，風險管理也不例外。托馬斯·斯圖爾特指出企業風險管理的基本使命是損失最小化管理、不確定性管理與績效最優化管理。風險管理目標設定的難點就在于“損失最小化、績效最優化及不確定性管理”之間的平衡，一味地追求損失最小化，將風險降至零，往往會使企業喪失不確定性帶來的價值增長[1]。由此可見，企業風險管理的目標是需要將風險控制在企業可接受的范圍內（風險偏好設定）。當企業面對任何風險時，均能按照預先設定的各種方案，以最小的代價達到管理風險的最大獲益，從而保障企業經營的安全，就可以說企業風險管理的目標基本實現了。

企業風險管理目標除經濟合理外，風險管理目標還要涵蓋收益穩定的內容，穩定的收益意味著企業的正常發展，優秀的企業管理者追求的目標往往是企業持續穩健的經營，而非為了追求高收益而同時承擔高風險的目標。為了達到收益穩定目標，企業需要更多地使用保險、套期保值等風險轉移對沖的手段，以此獲得風險發生后的補償。

（二）風險識別是體系構建的基礎

風險識別是企業風險管理的基礎，無法準確識別風險是企業經營的最大風險。《中央企業全面風險管理指引》把企業風險分為戰略風險、市場風險、財務風險、法律風險、運營風險五大類。首先，針對不同類別的風險，我們會采用不同的風險識別方法。對于戰略風險識別，要結合企業戰略目標與績效，收集企業與同行業其他企業的風險信息，基于對戰略目標的剖析與分解，運用情景分析法、因果分析法，辨識影響企業戰略目標實現的風險事件。市場風險指未來市場價格、供需、競爭者等不確定性因素對企業績效目標產生的影響。市場風險的核心是價格風險，市場風險識別需要圍繞價格、供需及競爭者的情況，采用PEST分析、對標分析等方法，分析風險的特征和成因，預測風險影響，并預估應對風險所應付出的相應成本。其次，風險識別要以業務流程為支撐。財務風險、法律風險、運營風險是圍繞風險管理對象，在企業各項業務經營管理活動中產生的不確定因素對企業的影響。由此可見，財務、法律、運營風險識別需要與企業流程梳理相結合，在企業流程梳理過程中，分析評估流程中關鍵管理環節，以此推出流程的關鍵風險點，加之后續開展的風險評估、風險應對和風險監控的風險管理過程，通過基于業務流程的風險防范，實現對企業各經營管理事項的安全管控。

（三）風險評估是體系構建的紐帶

風險評估是依據定性、定量的方法評估風險對目標的影響程度，并根據評估結果進行分級排序。風險評估一般從發生可能性、影響程度、風險承受度三個維度進行評估。發生可能性是對未來風險發生的概率的預測，往往是以企業歷史數據為根據，疊加趨勢分析，預估風險發生概率。單純地從損失角度評估風險，掩蓋了風險與收益匹配的屬性，需要從損失、收益兩個方向評估風險對目標實現的影響，且影響方向往往并不是單一的，而是在兩側疊加產生。確定影響方向后，還需要評估風險可能造成影響的大小，影響大小與持續時間、沖擊速度相關，特別是在黑天鵝、灰犀牛事件頻發的時代，風險的急速沖擊往往會對企業造成顛覆性的影響[2]。風險承受度指企業應對風險的準備程度，風險承受度與企業管理成熟度相關，管理成熟度越高，風險承受度越強，風險對企業造成的影響越可控。風險評估可以通過資料分析、調查問卷、訪談、專家意見、頭腦風暴等方法，對識別出的風險進行分級排序，根據風險排序，確定企業重大風險點。

（四）風險應對是體系構建的核心

風險應對是指企業在風險識別、評估的基礎上，為風險選擇最有效的策略或策略組合，以期達到將風險化解或轉化為收益的目標。企業需研判外部環境、結合自身條件，依據企業戰略目標、經營目標確定風險偏好、設置風險容忍度閾值，同時，針對識別的具體風險點選擇風險規避、風險轉移、風險對沖、風險控制、風險承擔等適合的風險管理工具。

風險規避是指企業為了避免風險可能導致的負面影響而徹底消除風險，可以包括：調整企業戰略、停止高風險的經營活動，審查投資方案、避免高風險的投資項目，制定企業限制性制度和標準、阻止高風險的交易行為等。風險轉移是企業將風險及其可能造成的損失轉移給其他主體的方法。風險轉移的最常見方式是保險，企業通過購買特定的保險產品，將風險轉移給保險公司，而企業管理風險的成本是所繳納的保險費。企業也可以通過訂立經濟合同的方式轉移風險，將企業在交易鏈條中需要承擔的風險，以合同背對背的形式轉移給交易鏈中的另一方。風險對沖是應對市場風險的最有效的工具，是指通過購買與資產收益波動負相關的某種資產或衍生商品，來沖銷資產潛在的風險損失。風險對沖常見的手段包括套期保值、多種外幣結算、資產組合等，同時，企業也可以通過開展某些收益負相關性質的業務組合進行風險對沖[3]。

（五）風險監控確保了體系構建的閉環管理

企業雖建立了風險應對機制，但風險在經營管理過程中還可能會增大或衰退，因此，需要時刻監控風險的發展與變化情況，并隨著風險的變化重新識別、評估、應對，以實現對風險的閉環管理。風險監控的對象包括風險成因與影響程度變化，這些變化往往會在企業經營指標上有所體現。風險監控的第一步是確定監控指標，圍繞企業核心業務、重要經營指標，選取發生可能性高、影響程度大的風險點，對應風險點確定可量化、具有預先性的風險監控指標，將風險變化轉化為可量化的指標數據，并定期動態監控風險指標的變化情況。第二步是確定預警區間，對標行業標桿值、企業歷史經營數據均值，結合企業風險承受度確定風險預警區間，監控過程中發現觸發預警條件或事件時，需及時向風險主責部門、管理層發出預警信息。最后，需要明確風險監控及預警的機制，風險監控情況需定期報告，且對不同的預警區間制定不同的應對及上報機制。

三、風險管理與內部控制一體化體系構建策略

企業風險管理需匹配戰略與經營實際，基于法人治理結構，自上而下地搭建全面、全員、全過程、全體系的一體化風險防控體系。企業需要依據自身風險偏好、風險承受度，將設定好的風險管理流程融入經營與業務管理的各個環節，調動全員參與、核心業務鏈條全面覆蓋、落實事前事中事后全過程管控風險，實現防控風險、降低損失、保證企業健康高效運行的風險管理目標。

（一）構建全員參與的風險管控組織體系

董事層是企業經營和管理的最高權力機構，在企業風險管理體系構建中具有核心地位。董事層承擔企業風險管理的決策責任，在制定企業戰略目標的同時確定企業風險偏好及風險容忍度。由董事層組建風險管理專業委員會，專門負責企業風險管理工作，負責培育企業風險管理文化、確定企業風險管理工作戰略及目標、指導各業務領域風險管理工作，確保風險管理融入業務管理體系。企業各業務領域的主要管理者，是所負責領域風險管理的第一責任人，負責將風險管理與業務緊密結合，在業務規劃中識別和評估風險，在業務開展中執行風險管理策略，并在日常運作中監控風險策略的有效性，確保將風險控制在可接受范圍內。同時，企業應設立專門風險管理部門，由專業風險管理人員統籌管理企業風險體系建設，風險管理人員的定位應是“教練員”而非“裁判員”，以企業整體價值為出發點，及時發現風險隱患，提供專業風險解決方案，跟進風險策略落地，落實風險閉環管理，成為“業務身邊的合作伙伴，值得信賴的風控專家”。企業從決策層到執行層構建完整的風險管理組織架構，將風險管理職責賦予核心業務、支持職能以及監督職能，從而為實現企業風險管理目標提供有效的組織保障。

（二）營造全員、全面風險管理文化氛圍

企業風險管理體系建設需要全面、全員、全過程、全體系的實施，那么就需要在企業內部營造統一的風險管理文化氛圍，包括統一的風險管理思想、理念與語言。風險管理文化建設的核心是精神文化，具體包括三個層次：一是樹立“風險無處不在、無時不在”的危機意識；二是形成“風險蘊含機遇”的前瞻性危機觀念；三是構建“逆向思維、超前防范、綜合管理、分而治之”的系統性風險思維。風險管理文化的外在表現是企業的風險偏好與風險承受度，不同的風險文化將會帶來不同的風險管理目標、風險評估結果乃至風險應對策略。由企業風險管理部門統籌開展年度風險評估工作、制定動態的風險監控預警機制、強化風險案例的警示宣貫，組織企業全員、全層級參與風險管理工作，形成企業內部統一的風險理解與認識，引導員工樹立正確的企業風險觀念[4]。

（三）運用數字化手段建立風險管理信息系統

不確定性的實質就是一種信息不完全狀態，其中包括企業所面對的外部風險與自身風險因素等。企業風險管理的核心一方面是預測不確定性發生的可能，另一方面是降低不確定性發生帶來的負面影響或擴大不確定性帶來的機會。企業經營過程中積累的行業、市場、相關方以及經營數據等信息，在風險決策與管理中具有很高的應用價值。利用企業已有信息建立數據庫，運用數字化與信息化的手段，建立風險管理信息系統，實時收集、分析、評估、判別企業有關風險管理信息，從而幫助企業進行風險分析、評估、監控、預警，并利用已有數據預測風險管理人員提出的各種可供選擇方案的可能結果，并輔助選擇出最優風險管控策略[5]。風險管理信息系統可以減少的不是損失的不確定性，而是減少做出的有關決策的不確定性，以此提高風險策略的效率與效果，降低風險管理成本，提高風險管理的技術水平，增加企業對風險的及時應變能力。

四、結語

在市場競爭日益激烈的今天，風險管理與內部控制體系的全面構建及有效執行是企業保持高效運行的關鍵所在。隨著國家法律法規、市場、行業的變化與調整，風險管理既滿足企業發展的內生需要，也使得企業可以適應波譎云詭的外部環境。企業只有對風險管理與內部控制體系不斷研究、持續調整優化，運用科學的風險管理體系構建的方法與策略，統籌資源、統一領導，方能提升企業防范化解重大風險能力，為企業高質量發展保駕護航。