企業全面風險管理體系的構建

徐哲雅

（陜西金控發展投資管理有限公司，陜西 西安 710000）

企業全面風險管理系一項系統化工作，主要涵蓋六大體系要素的建設工作。其中包括信息與溝通、監督檢查、培訓、內部控制與風險評估、制度和組織職能。就目前我國整體的風險管理框架而言，六大體系要素的建設工作相輔相成、環環相扣。比如：培訓、信息與溝通和監督檢查體系均為提高風險管理成效的保障措施；而內部控制、風險評估體系則是進一步針對具體風險的保障措施；制度體系是企業實施風險管理的根本依據；組織職能體系是基于風險管理的基礎組織；風險管理戰略模塊則是統籌整個框架的一把手。

一、全面風險管理與企業管理的關系辨析

在新形勢的發展背景下，企業開展全面風險管理工作應從風險視角出發。據調查，2017版COSO風險管理框架指出，傳統企業管理是現代化全面風險管理體系革新的奠基石，全面風險管理與企業管理是相互制約、相輔相成的關系。

（一）全面風險管理以實現公司戰略目標為核心

為了實現企業發展戰略目標，構建全面風險管理體系必不可少。隨著市場競爭愈發激烈，企業想要獲得市場份額快速成長，那么建立正確的企業發展戰略至關重要。企業可以根據核心價值觀、愿景和使命規劃科學、合理的發展路徑，結合企業自身優勢選擇可以參與競爭的經營項目，同時巧妙設計資源配置計劃，最大限度提高外部環境利用率，使經營所需資源在各項業務活動中得到充分利用[1]。

目前，許多企業普遍存在戰略方向錯誤的問題，殊不知其風險系數最大。因此，確立戰略的前期工作十分重要。

首先，為了提高戰略的可行性，企業對愿景、使命和企業戰略是否相匹配進行評價，同時通過風險管理分析模型對企業全過程經營業務、內外部環境進行分析，對指導企業正確的戰略方向具有研究價值。

其次，企業戰略確立后，以此為前提構建完善的運營機制，比如確定風險管理目標、風險識別、風險偏好等；從企業結構布局、人文角度出發，斟酌戰略與企業文化的匹配度；同時，在企業全周期運營活動中滲透風險管理體系，并不斷深化監督改進制度、風險評估效能等，為后續完善運行機制的構建提供支持。

值得注意的是，全面風險管理是一項動態工作，受企業內外部環境因素的影響，戰略方向不是固化不變的，因此企業要及時調整再評估，最大限度提升風險管理體系抵御風險的能力。

（二）全面風險管理以制度體系為抓手

制度體系有利于規范全面風險管理工作貫徹實施并落實到位。企業制度體系的范疇主要涵蓋管理制度、組織結構及領導體制。其中，企業風險管理決策的質量與領導體制掛鉤，即領導體制影響風險容忍度與企業風險偏好。

總而言之，激進型、主動型的領導體制其抗風險能力較強，且面對失敗的包容度較高，同時為了爭取較好的機遇勇于嘗試，具有較好的冒險、拼搏精神；當然，構建科學、合理、民主的決策機制是穩健型企業實施風險控制的手段之一，有利于提高重大決策風險控制的成效；保守型企業的風險控制工作最薄弱，主要體現在主動放棄規避風險，是典型的風險厭惡型，對風險治理具有抵觸心理[2]。

另外，想要提高全面風險管理體系的運行效率，優化企業組織結構必不可少。優化組織結構有利于高效運行內部組織，使上下級部門、各職能崗位的權責清晰、唯一；當然，組織結構雜亂、拖沓則會導致內耗嚴重、部門推諉的情況。值得注意的是，制度體系過于狹義那么制定的內部管理制度必然會制約企業風險管控職能的發揮，最終影響風險治理效果。

現如今，企業在全球化經濟市場愈加活躍，其面臨的是多種風險因素交織而成的復雜風險。但就目前的實施情況分析，能夠識別、抵御“灰犀牛”風險，然而“黑天鵝”僅依靠制度體系遠遠不夠，還需要可靠的應急管理體系做支撐。

（三）全面風險管理涵蓋內部控制

內部控制是全面風險管理的核心內容。內部控制框架主要包括權限分配、管理制度及業務流程的有效結合，主要聚焦法律法規的遵從性、財務報告的可靠性及企業經營的效益性。但就目前的實施情況來看不容樂觀，因為許多企業普遍存在內控制度局限性的問題，想要提升服務價值具有一定難度。

另外，創造價值是全面風險管理聚焦的內容，從企業核心價值、愿景和使命出發，將核心價值觀與業務管理、風險管理進行有效融合，從而達到績效與戰略目標的目的。由此可見，構建全面風險管理體系的過程是企業創造能力和價值的過程[3]。

（四）全面風險管理體現企業績效目標的實現

實施風險管理是為了實現戰略目標、保護價值，有利于提升績效和風險抵御能力。一般情況下，績效目標在經營過程中受不確定因素影響，需要全面風險管理體系對經營活動中的內外部因素進行控制，只有這樣才能實現戰略目標。比如，運用內部控制手段結合制度體系對“灰犀牛”風險進行管控；“黑天鵝”風險對企業具有一定威脅性，在企業內部管理體系中介入應急管理體系能夠有效降低風險概率。

另外，有效的全面風險管理體系具備評估機遇、探索機遇的特點。基于此，有助于企業牢牢抓住重大發展機遇。當然，機遇與風險相伴而生，企業在面對機遇時要充分分析風險與效益，當評估風險超出風險容忍度時，那么說明機遇不具備研究價值。反之，機遇創造的效益有利于加快企業戰略目標的步伐。由此可見，構建有效的全面風險管理體系對企業商務決策、創造價值具有重要意義。

二、全面風險管理體系建設存在的問題

（一）缺乏科學的風險管理目標設定體系

實現戰略目標的前提是以科學的內部控制和風險管理目標為導向，提高全面風險管理的實施效果，進而起到實現戰略目標、風險防范的目的。然而，仍有部分企業沿用陳舊觀念、經營模式，不重視企業風險管理的職能建設，以稅利、收入指標為例，企業設定的財務目標沒有數據分析支持，致使企業錯失機遇和經濟受損，這些均是不重視風險管理導致的。同時，缺乏防范意識造成企業無法及時予以補救，使企業陷入經營困境。

（二）缺乏科學的風險管理組織架構與職能配置

目前，仍有部分企業對風險管理的概念認識不夠全面，將風險管理的全部職責統一歸集于風險管理部門，殊不知風險管理工作是一項全員參與的活動，主要體現在風險數據的收集、分析、匯總、評估及策略均依賴業務活動中各個部門、環節的參與。基于此，企業想要在基層推廣風險管理工作面臨巨大挑戰。

另外，企業內部風險管理部門與審計部門存在裙帶關系，且部分財務人員身兼多職，缺乏獨立性從而制約審計職能的發揮，致使監督工作深入淺出，造成風險管理工作怠慢。此外，企業對風險管理與業務活動的統籌能力不足，導致風險管理與內部控制工作分離，使風險控制布局缺乏全局性，從而降低風險管理體系的質量。

（三）缺乏科學的風險管理流程與程序

常見企業建立的風險管理部門、制度流于形式或漏洞百出。雖然企業已建立風險管理部門并貫徹實施，但對于風險識別、風險信息收集認識不夠充分；如何制定針對重大風險防范策略并推進企業經營目標，提高科學分類、評估、量化風險的工作效益；在資源局限的基礎上如何優化風險策略最大化[4]；如何將內控工作與風險策略進行有效融合，并保證實際業務操作能夠貫徹實施且落實到位是企業迫切想要解決的問題，由此可見，構建健全的全面風險管理體系有利于推動企業的長遠發展。

（四）缺乏風險管理文化培育機制

企業員工積極性不高、參與度不足、風險管控意識不到位，這些均體現企業缺乏良好的風險管理文化培訓體系。從實施情況來看，部分企業雖然具備健全的風險程序和流程，但經營管理過程中缺乏有效的風險管理文化培育機制支撐，導致員工綜合素養參差不齊，造成內部控制與風險管理制度執行力不足。

三、企業全面風險管理體系的框架及其構建

（一）建立“一個風險管理流程”

企業應該建立“一個風險管理流程”，起到全方位監督、持續改進的作用。全過程風險流程主要包括五大環節的閉環風險管理：識別風險信息、評估風險、制定風險管理措施、落實風險管理解決方案、監督與跟蹤。

第一，風險信息收集至關重要，有效的信息資訊能夠為后續商務決策提供支持。同時，督促風險管理部門明確收集職責并落實到具體崗位，確保各職能部門提取、分析、整合、匯總形成有效信息反饋到風險管理部門。

第二，風險識別有利于企業及時預后、提高風險抵御能力。尤其在目標風險識別方面獲得不錯成效，能夠快速評估風險影響程度、級別，對實現戰略目標有重要意義。

第三，企業風險容忍度與風險偏好應以自身規模結合行業發展趨勢、市場經濟為依據，以此確定抗風險的能力，進而制定相應措施與風險預警線，同時不斷深化實施結果改進風險管理策略。

第四，為了風險管理策略能夠更好地實施，企業應根據風險分類制定單項重大風險及各類風險的解決方案，同時為管理工具、所需資源提供保障[5]。

第五，眾所周知，風險識別、風險分類是為了防止風險進一步擴大，因此風險管理責任部門應以重大決策、重大事件、重大風險為先，通過風險評估、穿行測試等檢驗方式檢驗風險管理的實效。總而言之，構建企業全面風險管理體系有利于及時治理和量化評估風險，對風險監督、優化方案具有重要意義。

（二）筑牢“三道風險管理防線”

1．風險管理直接責任機構

第一道防線主要由業務單位及職能部門組成，其管理職責是對企業全過程業務履行情況進行風險識別、分析和制定措施。一方面貫徹實施內容流程和制度，另一方面積極配合各部門對第二、三道防線提出的缺陷問題進行整改，并跟蹤執行情況不斷完善風險管理機制。

2．風險管理職能機構

強化風險管理職能機構的職責有利于提高企業風險管理工作的組織協調能力。風險職能機構的職責主要涵蓋風險文化建設與培訓、完善風險應對策略、協調部門參與風險信息收集與評估等。當然，風險管理職能機構對企業風險管理的成效負責，同時職能機構具有獨立性，直接領導風險事件不受管理層干預。

3．風險管理監督機構

審計職能在企業風險管理中的作用應引起企業的高度重視。按照要求企業應設立審計部門執行審計職能，對于未設立的企業應委派專門的風險審計人員到內部監管部門承擔審計風險管理。值得注意的是，審計人員對風險管理結果、重大風險的分析與措施、企業風險管理的過程有獨立評價的責任，不受外部因素的誘導。

（三）構建“三大風險管理系統”

1．風險管理文化系統

培育企業風險文化不是一蹴而就，而是需要風險管理部門組織前端部門一同參與相關風險管理的宣傳、輔導和案例庫分享等活動，只有強化風險管理流程、創新思維才能從根本上提升員工對風險管理理念的認知，從而產生共鳴，培育風險管理文化[6]。同時，完善員工道德行為準則有利于企業全面防范風險，實現風險管理與戰略目標的高度統一。人力資源部門可以通過多渠道、多維度向員工傳達清晰的員工道德行為準則，用以規范員工的行為。

2．內部控制系統

在企業日常業務活動中介入風險應對措施有利于提高企業運營效率。企業應根據風險隱患、業務狀況及自身發展現狀動態調整風險策略。同時，為了防患于未然，建立有效的自查自糾制度必不可少，企業可以定期開展內控風險測試，主要由業務部門會同風險管理部門主導，著重指導關鍵風險點與業務流程的測試，一旦發現缺陷及時反饋并予以改進。

3．風險管理績效考核系統

風險管理績效考核系統有利于調動員工的積極性。績效考核主要對內控評估工作、人員配置和培訓及人文建設進行考評，同時設置獎懲機制雙管齊下，用以保障風險管理責任落到實處。當然，考核標準應具有針對性，并且根據各個評價維度制定客觀的評價標準。

（四）信息與溝通體系建設

企業子公司增設新業務種類時，要嚴格遵從企業制定的整體新業務準入風險評估審核制度，新增業務必須符合評審程序、材料完整性、明確主體和責任的要求，且編制風險報告定期匯報相關部門審核。另外，強化不同業務、不同部門的信息溝通與交流能力。企業可以根據不同業務設計不同風險事項板塊。比如母公司結合子公司業務需要設計不同報告模板，有利于母公司及時掌握內控制度、風險業務運行情況和策略成效等，為企業實施整體風險防控提供信息支持。

四、結束語

總而言之，構建全面風險管理體系是企業獲得機遇謀求發展的有效途徑，是一項值得企業推廣的管理機制。基于此，企業應不斷深化研究風險控制因素及應對策略，同時培養員工良好的業務能力、管理理論和風險意識，只有這樣才能促進企業文化與風險管理體職能，推運企業更好的發展。