风险评估(5).ppt

企业内部控制学（第二版）,本章概要第一节目标设立第二节风险识别第三节风险评估第四节风险应对第五节coso新框架中风险评估的原则与要素,第三章风险评估,案例引入从中航油事件看企业风险管理,中国航油（新加坡）股份有限公司于1993年在新加坡成立，是中国航空油料集团有限公司的海外控股公司，石油类跨国公司。公司于2001年12月6日在新加坡股票交易所主板挂牌上市。该公司自1997年以来，凭借对国内进口航油市场的实质性垄断，净资产由16.8万美元增至2003年1.28亿美元，6年增长762倍，成为股市上的明星企业。2002年公司被新交所评为“最具透明度的上市公司”奖，并且是唯一入选的中资公司。公司总裁陈久霖被世界经济论坛评选为“亚洲经济新领袖”。然而，正是这样一家明星公司，在2004年12月1日，宣布向法庭申请破产保护令，原因是因为公司在之前的石油衍生品交易中出现5.54亿美元的巨额亏损。事件披露后，新加坡投资者称其为1995年巴林事件后最大的金融丑闻。,经国家有关部门批准，新加坡公司在中国航油集团公司授权后，自2003年开始做油品套期保值业务。在此期间，新加坡公司总裁陈久霖擅自扩大业务范围，从2003年开始从事石油衍生品期权交易，同日本三井银行、法国兴业银行、英国巴克莱银行、新加坡发展银行和新加坡麦戈利银行等在期货交易场外，签订了合同。陈久霖买了“看跌”期权赌注每桶38美元，没想到国际油价一路攀升2004年10月以后，新加坡公司所持石油衍生品盘位已远远超过预期价格。根据合同，中航油需向交易方（银行和金融机构）支付保证金，每桶油价每上涨1美元，中航油新加坡公司要向这些银行支付5000万美元的保证金，其结果导致中航油新加坡公司现金流量的枯竭，实际损失和潜在损失总计5.54亿美元。,中航油的失败除了内部环境原因之外，在风险评估方面也存在一些非常值得关注的问题:1.关注企业风险比关注企业细节控制更为重要ERM框架要求董事会与管理层将精力主要放在可能产生重大风险环节上,而不是所有细小环节上,将风险管理作为内部控制的最主要内容中航油公司曾在2003年被新加坡证券监督部门列为最具透明的企业,说明该企业确实在细节方面的内部控制做得非常周到。但是,从事后暴露出的结果来看,恰恰是在经营风险管理上出了问题。,2.公司目标设定的随意性导致经营风险加大内部控制体系要求管理人员要设立适当的目标，并且使选择的目标能支持、连接企业的使命，并与其风险偏好相一致。企业整体目标的设立形成了一个组织风险偏好，即从高处展望董事会和管理层将接受多大的风险。2001年，在母公司支持下，中航油以中国航油垄断采购的概念成功登陆新加坡市场。然而，中航油总裁陈久霖并不满足单纯的油品现货交易，在董事会不知情的情况下，擅自将企业战略目标移位于不合规的风险极大的投机性期货交易，这种目标设定的随意性，最终导致了中航油的毁灭性打击。,3.通过事项识别区分机会与风险一个组织必须识别影响其目标实现的内、外部事项,区分哪些是风险、哪些是机会。可能有负面影响的事项代表了风险。可能有正面影响的事项代表了能抵消负面作用的机会,通过事项识别,能引导管理层战略或者目标始终能保持不被偏离。2002年中航油新加坡公司的年报显示其当年的投机交易盈利,2003年下半年,中航油新加坡公司进入石油期权交易市场,到年底也赚了钱。事实上,这正是事项识别中的机会与风险问题。,风险评估是及时识别、科学分析和评价影响企业内部控制目标实现的各种不确定因素并采取应对策略的过程，是实施内部控制的重要环节。,第一节目标设立,企业内部控制学（第二版）,65,一、内部控制目标的含义,二、如何设定内部控制目标,1.制订战略目标,(1)明确企业发展目标。,(2)制订实现目标的战略规划。,(3)制订年度计划及资金预算。,(4)企业编制企业预算管理办法,明确编制预算的基本原则、内容、编制依据等。,企业内部控制学（第二版）,66,(2)根据企业的发展变化,定期更新业务活动的目标。,(3)配置资源以保证业务层面目标的顺利实现。,(4)分解业务目标并下达。,3.合理确定风险承受能力,(1)风险偏好。,(2)风险容忍度。,(3)风险组合观。,2.确定业务层面目标,(1)制订业务层面目标。,第二节风险识别,企业内部控制学（第二版）,67,一、什么是风险识别,二、风险因素的构成,三、风险识别的方法,1.现场调查法,2.风险清单分析法,3.财务状况分析法,4.组织结构图分析法,5.流程图法,6.事故树法,7.可行性研究,企业内部控制学（第二版）,68,四、如何建立风险识别系统,1.建立企业层面的风险识别系统（1）从外部专家处获得有关企业层面的风险意见（2）从内部管理人员处获得有关企业层面的风险意见,2.建立业务层面的风险识别系统（1）从外部供应商、客户等相关利益方获取风险信息（2）从业务管理人员处获得风险信息,第三节风险评估,企业内部控制学（第二版）,69,一、什么是风险评估,(一)风险评估的概念,(二)风险评估的维度,1.风险发生的可能性分析,2.风险企业目标的影响程度分析,二、风险评估的程序,企业内部控制学（第二版）,70,图31风险评估的具体工作步骤,企业内部控制学（第二版）,71,2.确定风险评估的时间范围,3.确定风险评估的空间范围,4.运用风险评估技术及方法,5.风险评估的结果描述,1.确定风险评估实施主体,第四节风险应对,企业内部控制学（第二版）,72,一、风险应对策略,1.风险回避,2.风险降低,3.风险承受,4.风险分担,二、如何选择风险应对策略,(一)基本原则,企业内部控制学（第二版）,73,(2)对在整体风险承受能力和具体业务层面上的可接受风险水平之内的风险,在权衡成本效益之后无意采取进一步控制措施的,可以实施风险承受策略。,(3)对在整体风险承受能力和具体业务层面上的可接受风险水平之内的风险,在权衡成本效益之后愿意单独采取进一步的控制措施以降低风险、提高收益或者减轻损失的,可以实施风险降低策略。,(4)对在整体风险承受能力和具体业务层次上的可接受风险水平之内的风险,在权衡成本效益之后愿意借助他人力量,采取包括业务分包、购买保险等进一步的控制措施以降低风险、提高收益或者减轻损失的,可以实施风险分担策略。,(1)对超出整体风险承受能力或者具体业务层面上的可接受风险水平的风险,应当实施风险回避策略。,(二)结合不同业务选择风险应对方案,(1)一般情况下,对战略、财务、运营和法律风险,可采取风险承受、风险回避、风险分担等方法。,(2)通常情况下,对能够通过保险、期货、对冲等金融手段进行理财的风险,可以采用风险分担、风险降低等方法。,(3)风险应对的选择还应从企业范围内组合的角度去考虑。,第五节coso新框架中风险评估的原则与要素,ThankYou!,一、目标设定的含义目标设定是企业在识别和分析实现目标的风险并采取行动来管理风险之前，采取恰当的程序去设定目标，确保所选定的目标支持和切合企业的发展使命，并且与企业的风险承受能力相一致。,风险是不能实现目标的可能性，目标设定是风险识别、风险分析和风险应对的前提。目标设定流程：,设定战略目标,设定经营目标,设定财务报告目标,设定合规性目标,设定资产安全目标,确定企业整体风险承受能力,可接受风险水平确定具体业务层次上的,（一）战略目标,战略目标反映了管理层就主体如何努力为其利益相关者创造价值所作出的选择，是高层次的目标，与其使命相关联并支撑其使命。企业在考虑实现战略目标的各种方案时，必须考虑与各种战略相伴的风险及其影响。,战略目标方面的关注点主要包括：,1.管理层对企业绩效现状进行的评估。2.对内部和外部环境的监测分析。3.战略目标体系。4.战略选择遵循必要的流程，以及获得了充分的讨论。5.对目标实现与现有资源状况之间的匹配程度进行的评估。6.设定战略目标可接受程度。7.就战略目标与企业内部员工和外部相关利益集团之间的沟通。,（二）经营目标,经营目标与企业经营的有效性和效率有关，包括业绩和盈利目标的实现，需要反映企业运营所处的特定经营、行业和经济环境。经营目标来自公司的战略目标和战略计划，并与之紧密联系，是随着具体对象和不同时段制定的，这些目标应针对每个重要业务活动并与其他业务活动保持一致。,经营目标方面的关注点主要包括：,1.经营目标与公司战略目标及战略计划一致；2.经营目标适应公司所处的特定经营环境、行业和经济环境等；3.各个业务活动目标之间保持一致；4.所有重要业务流程与业务活动目标相关；5.适当的资源及有效配置；6.管理层制定的公司经营目标及他们对目标的负责程度。,（三）报告目标,报告目标与报告的可靠性有关。可靠的报告能够：1、为管理层提供适合其既定目标的准确而完整的信息。（也是外部监管的要求）2、支持管理层的决策。3、并对主体活动和业绩实施有效监控。,报告目标方面的关注点主要包括：,1.管理层决策及对公司活动、业绩监控的准确、及时、完整的信息的对内报告。2.满足投资者、监管部门及其他相关信息需求者真实、可靠、完整的信息的对外报告。3.信息的全面性，不仅是财务信息。,（四）合规目标,合规目标与企业活动的合法性有关。企业从事活动必须符合相关的法律和法规，并有必要采取具体措施。企业需要根据相关的法律法规制定最低的行为标准并作为企业的遵循目标，企业的合规记录可能对它在社会上的声誉产生极大的正面或负面影响。,合规目标方面的关注点主要包括：,公司的各项活动符合法律法规确定的要求，通常涉及知识产权、市场、价格、税收、环境、员工福利以及国际贸易等。,（五）资产安全目标,资产安全目标是我国内部控制体系在COSO框架基础上结合国情的创新。包括防止企业在经授权下无效率经营，损失资产；防止员工舞弊、防止本公司资产被盗等。资产的安全与完整对于我国企业尤其是国有企业有非常重要的现实意义，近年来国有资产流失的案件屡有发生，内部控制应该把资产安全作为一个重要的目标来加以实现。,资产安全目标方面的关注点主要包括：,关注企业日常经营活动的效率提高企业的生产力和竞争力防止资产缩水关注资产使用及处置的授权情况。,二、制定目标,风险管理目标的设计过程：,（一）制定战略目标,明确企业发展目标,制定实现目标的战略规划,编制预算管理办法,制定年度计划及资金预算,1,2,4,3,战略目标需要通过董事会及员工的相互沟通后确定，同时还要有支持其实现的资金预算及战略计划。,制定战略目标的四个阶段：,（二）确定业务层目标,制定业务层目标,定期更新业务活动目标,分解业务目标并下达,资源配置,1,2,4,3,业务层目标来自企业战略目标及战略规划，并制约或促进企业战略目标的实现。业务层面的目标应具体并具有可衡量性，且与重要业务流程密切相关。,确定业务层目标的四个阶段：,（三）合理确定风险承受能力,在目标设定阶段必须解决的三个问题,风险偏好,1,风险容忍度,2,风险组合观,3,1.风险偏好：企业在实现其目标过程中愿意接受的风险的数量，采用定性定量两种方法对风险偏好加以度量。2.风险容忍度：在企业目标实现过程中对差异的可接受程度，是企业在风险偏好的基础上设定的对相关目标实现过程中所出现的差异的可容忍程度。3.风险组合观：企业风险管理要求企业管理者以风险组合的观点看待风险，对相关风险进行识别并采取措施，限制风险偏好。,一、风险及其识别,（一）风险的定义几种风险含义的概括：1.风险是损失的可能性2.风险是导致损失产生的不确定性3.风险是损失的概率4.风险是潜在损失5.风险是潜在损失的变化范围与幅度6.风险是财产灭失与人员伤亡7.风险是实际与预期结果的离差,风险是指在一定条件下和一定时期内1、可能发生的各种结果变动程度的不确定性，这种不确定性是主观对客观事物运作规律认识的不完全确定，一时尚无法操纵和控制其运作过程；2、事物结果的不确定性，人们不能完全得到所设计和希望的结局，而且常常会出现不必要的或预想不到的损失。,（二）风险的识别,定义：风险识别是指对资产当前或未来所面临的和潜在的风险加以判断、归类和对风险性质进行鉴定的过程。目的：确认风险的来源，风险的种类及风险的可能影响，以利于风险的有效管理和合理控制。,风险识别的手段,通过感性认识和历史经验来判断通过对各种客观的资料和风险事故的纪录来分析、归纳和整理，以及必要的专家访问，从而找出各种明显和潜在的风险及其损失规律。,风险识别的特征,一项持续性和系统性的工作：风险识别要求风险管理者密切注意原有风险的变化，并随时发现新的风险。一个反复不断的作业过程：一个有效的风险识别原则，实际上是基于不同的维度，或者不同的侧面来寻找和发现潜在风险。,风险识别可以解决的问题,企业存在哪些风险哪些风险应予以考虑引起风险的原因是什么风险引起的后果及其严重程度,需要注意的是：,风险识别不仅在企业层面开展，还要在活动层面加以确认。只有对公司主要业务单元和职能部门(如销售、生产、营销、技术开发等)存在的各种不确定性事件进行预测、分析和确认后，企业经营战略与职能战略的实施才有更加可靠的保证。风险识别的结果应反馈回企业战略目标的制定过程中。,二、风险的分类,1、按风险发生的原因划分：外部风险包括经济形势产业政策融资环境市场竞争资源供给等经济因素、法律法规监管要求等法律因素、科技发展、顾客的需求或预期改变、竞争、新的法律和行政命令、自然灾害等。内部风险包括董事监事经理及其他高管人员的职业操守、员工专业胜任能力等人力资源因素、生产经营不佳、产品质量低下、信息系统处理的中断、财务结构不良、资金供应不足、营销管理乏力等。,2、按企业经营管理职能划分,筹资风险企业财务结构的确定、筹资结构的安排、筹资币种金额及期限等。投资风险各种债权投资和股权投资过程中可能出现的负面因素。信用风险企业应收账款回收过程中遭受损失的可能性。企业应制定客户信用评估指标体系。,3、按企业资产内容划分,流动性风险企业的支付能力或流动性程度等引起的风险；资产分配的风险为达到经营目的而采取的资产分配而引起的风险。,4、按风险的性质划分,静态风险即纯粹风险，是指只有损失机会而没有获利可能的纯损失风险。静态风险对社会无任何益处，但它们具有一定的规律性，是可以预测的。动态风险也称投机风险，是指既有损失机会又有获利可能的风险，是在经济条件变化的情况下造成经济损失的可能性。从长期来看，动态风险是社会收益，它们是对资源不当所做的调整。与静态风险比较，动态风险缺乏规律性而难以预测。,5、按风险的损害对象划分,财产风险财产发生毁损、灭失和贬值的风险。包括有形资产和无形资产。人身风险由于人们因早逝、疾病、残疾、失业等带来的风险，所有的风险损害对象都是个人。责任风险是指由于团体或个人行为违背法律、合同及道义上的规定，给他人或其他单位造成人身伤害或财产损失，从而过失一方必须承担法律上的损害赔偿责任。,6、按风险的承受能力划分,可接受风险在研究本身承受能力、经济状况的基础上，确认能够接受最大损失的限度，低于这一限度的风险称为可接受风险。不可接受风险在研究本身承受能力、经济状况的基础上，风险已超过或大大超过所能承受的最大损失程度，这种风险称为不可接受风险。,7、按风险的可控程度划分,可控风险人为因素造成的、在一定程度上可以控制或部分控制的风险。人们对此类风险的运行规律已有较多的了解并能较好的把握或者随着科学技术的发展人们对此找到相应的有效方法进行预测和控制。不可控风险无法左右和控制的风险，主要指人们仅仅依靠自己的力量不能预防、抵御和较难进行管理的风险。,8、按风险发生的形态划分,潜在风险风险事故在发生之前相当长的时间内不暴露出来，形成潜伏的风险状态，逐渐发展扩大造成的风险事故。意外风险完全没有防备突然发生的风险事故。,三、风险识别的方法,风险识别一般采用定性分析方法，分两个阶段：,1现场调查法,即对风险进行实地的全面普查。一般分为三步：（1）调查前的准备。包括设计调查表格和确定调查内容事件。（2）现场调查。现场调查过程需要认真记录并填写调查表。（3）形成调查报告与反馈。优点：可获得第一手资料，有助于与基层人员和一线员工建立良好关系。缺点：耗时较长，成本较高，有时因疲于应对调查还会引起员工的反感。,2风险清单分析法,又称列表检查法，即事前设计好调查表，将已经识别的企业主要风险填列其中，进行对照检查。分为制式表格和专用表格。优点：成本低廉，过程简单迅速，可以同时跟踪检测整个风险管理过程，不断修订检查表以适应变化的情况。缺点：检查表的初次制作比较费时，回收率可能较低，质量难以有效控制。,3财务状况分析法,又称财务报表分析法，是指通过资产负债表、损益表和其他附表等财务信息的分析来识别风险。具体应用：趋势分析法、比率分析法、因素分析法和模型分析法。优点：信息准确、客观、清晰、扼要，而且易于被内部和外部人员接受。缺点：无法反映企业风险的全貌，部分信息仅能被专业人士所利用。,（1）趋势分析法趋势分析法是根据一个企业连续数期的利润表和资产负债表的各个项目进行比较，以求出金额和百分比增减变动的方向和幅度，以揭示当期财务状况和经营状况增减变化的性质及其趋向。趋势分析法通常包括横向分析法和纵向分析法。,（2）比率分析法比率分析法就是把财务报表的某些项目同其他项目进行比较，这些金额或者数据可以选自一张会计报表，亦可以选自两张会计报表。比率分析法可以分析财务报表所列项目与项目之间的相互关系，运用的比较广泛。主要有经营成果的比分析、权益状况的比率分析、流动资产状况的比率分析。,（3）因素分析法比率因素分解法是指把一个财务比率分解为若干个影响因素的方法。差异因素分解法分为定基替代法和连环替代法两种。,4组织结构图分析法,通过勾画整个经济单位的组织结构图来发现风险可能产生的区域，以识别风险的方法。工作程序：（1）画出组织整体结构图（2）细化组织结构和管理结构以识别风险可能产生的区域（3）重点应关注职能重复的部门、过分依赖性和过度集中性的部门。作用：主要用于寻找风险产生的区域或环节，因此将其用于风险识别时往往有专门的目的。,5流程图法,是识别企业潜在风险的系统方法，它将企业组织按照生产经营过程的内在逻辑绘制成作业流程图，然后针对其中的关键步骤或薄弱环节进行调查和分析，即通过描述产品、服务、会计、营销等过程来识别流程中的风险。步骤：（1）分析、识别产品从设计至销售所历经的各个阶段。（2）绘制流程图，解释流程中的所有风险。（3）进一步解释风险发生的原因以及可能造成的影响。优点：可以将复杂的生产过程或业务流程简单化，从而易于发现风险。缺点：流程图的绘制要耗费时间。,6事故树法,又称故障树法，事故树法从某一风险结果出发，运用逻辑推理的方法推导出引发风险的原因，遵循风险事件中间事件基本事件的逻辑结构。优点：事故树把影响企业整体目标实现的诸多因素及其因果关系一步步清楚地列示出来，有利于下一步进行深入的风险分析。,7可行性研究,是在项目计划阶段即对风险进行定性识别的方法。工作步骤：（1）检查各部分原始意图（2）发现有无偏离原始意图的情况（3）寻找偏离原因（4）预测偏离后果优点：可在项目实施前就发现风险并加以处理缺点：比较费时需要详细的设计系统图的支持,企业识别内部风险，应当关注下列因素：1.人力资源因素2.管理因素3.自主创新因素4.财务因素5.安全环保因素6.其他有关内部风险因素,企业识别外部风险，应当关注下列因素：,1.经济因素2.法律因素3.社会因素4.科学技术因素5.自然环境因素6.其他有关外部风险因素,一、风险评估的定义,（一）风险评估的概念管理层在进行风险评估时应着重关注对于企业而言是特有的那些因素，结合本企业的规模、经营的复杂性等，评估风险的可能性及其影响。管理者在评估风险时，应当从固有风险和剩余风险两个方面进行评估。评估风险时首先评估的是固有风险，当风险管理策略确定后，再考虑剩余风险。,（二）风险评估的维度,1风险发生的可能性分析可能性分析是指假定企业不采取任何措施去影响经营管理过程，将会发生风险的概率。,估计风险发生概率的影响因素：（1）风险相关资产的变现能力（2）经营管理中人工参与的程度（3）经营管理中是否涉及大量繁杂的人工计算等,风险发生的可能性,2风险产生的影响程度分析,影响程度分析主要是指对目标实现的负面影响程度分析。风险影响程度大小是针对既定目标而言的，因此对于不同的目标，企业应采取不同的衡量标准。,二、风险评估的程序,风险评估活动是一个输入转化为输出的过程,1建立分析流程,为保证风险分析流程的有效运行，必须对流程的各个环节进行规定，提出明确具体的责任、目标、分析要求。对于风险分析活动过程应进行必要的记录，相关记录也应该加以存档。,数据收集,技术方法选择,分析实施,分析结果,数据存档,基本流程：,2分析策划,在进行风险分析策划时，风险管理人员应确定下列内容：（1）风险分析参与人员的结构及技能要求；（2）风险分析策划的时机；（3）风险分析所需的相关信息及来源；（4）风险分析的相关技术。,3收集必要的风险分析数据,（1）宏观环境监测数据。（2）行业基准数据。（3）外部专家数据。（4）公司的历史数据。,4.选择分析技术和方法,依据风险的复杂程度和重要性选择适当的分析技术和方法。(1)定性分析方法(2)定量分析方法风险分析中，定量与定性技术的结合是必要的，两者可以互补其不足。公司可以依据自身的特征决定采用具体的组合形式。,（一）定性分析的方法定性分析方法是目前风险分析中采用比较多的方法，它具有很强的主观性，往往需要凭借分析者的经验和直觉，或者世界的标准和惯例，对风险因素的大小或高低程度进行定性描述，譬如高、中、低三级。定性分析的操作方法多种多样，有问卷调查、集体讨论、专家资讯、人员访谈等。最常见的定性分析方法是风险评估图法。,风险评估图法是把风险发生的可能性、风险发生后对目标的影响程度，作为两个维度绘制在同一个平面上（即绘制成直角坐标系）。,（二）定量分析的方法定量分析法，就是对构成风险的各个要素和潜在损失的水平赋予数值或货币计量的金额，从而量化风险分析的结果。比较常用的定量分析法有统计推论、计算机模拟、失效模式与影响分析、事件树分析等。,蒙特卡罗方法,蒙特卡罗方法是一种随即模拟数学方法。该方法用来分析评估风险发生可能性、风险的成因、风险造成的损失或带来的机会等变量在未来变化的概率分布。具体操作步骤：,5借助外部专家的力量,必要时可以借助外部分析专家的支持，如专门的风险管理咨询公司等。特别是在公司导入风险管理的阶段。作用：提高风险分析的效率和准确性。学习借鉴，提高自身能力,6.风险分析报告,风险分析的结论以正式文本的形式报告，至少包括以下几个方面的内容：（1）风险可能性；（2）风险影响程度；（3）风险重要性评级；（4）风险地图。,7.风险分析数据库,把风险分析过程的数据或记录加以保存，使之成为企业风险管理数据库的重要组成部分。,一、风险应对及其对策,1风险回避策略,风险回避策略即通过评估后，企业对超出风险承受度的风险，通过放弃或者停止与该风险相关的业务活动以避免和减轻损失的策略。当风险造成的损失不能由该项目可能获得的利润予以抵消时，避免风险是最可行、最简单的办法。,(1)有效避免了可能遭受的风险损失。(2)企业可以将有限的资源应用到风险效益比