企业风险管理 历程、实质及误区[权威资料]

企业风险管理 历程、实质及误区 本文档格式为 WORD,感谢你的阅读。 摘要：诸多央企海外亏损表明我国企业的风险管理还处于启蒙阶段，本文在此背景下对风险管理的发展历程、实质、误区进行探讨。认为风险管理实际上也是一种价值创造，一种资源的有效配置。 COSO 的观点只是总结出风险管理的共性，企业应有自己独特的对风险管理的定义，独特的风险管理文化和风险管理模式。 关键词：风险 风险管理 价值创造 一、引言 2002 年由于安然公司 的财务丑闻，世通公司的会计舞弊，再加之其他一系列上市企业的财务欺诈事件，直接导致了美国出台了萨班斯法案。 2004 年， COSO 委员会在 1992年颁布的企业内部控制 整体框架基础上，又提出了企业风险管理 整体框架。框架拓展完善了内部控制的内涵，对企业风险管理作出了详尽的阐述，使内部控制得到了新的发展。然而 2007 年金融危机的到来，华尔街投资银行雷曼兄弟的破产，美林公司的被收购，美国最大保险公司美国国际集团（ AIG）改组业务并出售旗下资产以融资等，又一次对企业的风险管理提出了挑战。国资委在 2006 年正 式颁布了中央企业全面风险管理指引，但诸多事件表明我国众多企业的风险管理还在处于启蒙阶段，在这种情况下我国企业重视和重新认识风险管理已显得极为必要。本文对风险管理的发展历程、风险管理的实质、风险管理的误区等方面进行探讨，以重塑人们对风险管理的认识。 二、企业风险管理的发展历程 （ 一 ）风险管理的形成 现代企业风险管理发端于 13世纪、 14 世纪欧洲的保险业。在当时，欧洲出现了专门的保险公司，买保险成为了众所周知的风险平衡手段。二战后，科技迅速发展，社会上各种风险因素在不断增多，损失规模大 大增加，买保险无法满足实际需要。由于发现通过控制自身的行为可以避开一定的风险，企业开始转向对科学管理的探索，用管理科学的原理和方法来规避风险。 1930 年美国所罗门 许布纳博士提出了风险管理的概念，现代风险管理开始萌芽。 20 世纪 50 年代，美国钢铁工人大罢工和通用汽车公司自动变速装置引起火灾事件，震动了美国企业界和学术界，成了风险管理科学发展的契机，风险管理开始蓬勃发展起来。到 20 世纪 70 年代前后，欧美的大企业、大银行频繁破产，社会为此付出沉重的代价。 1975 年后，巴塞尔银行监管委员会、 OECD 以及美国 COSO 等机构陆续推出了一系列规定与准则，以规范企业行为，推动风险控制。特别是 1992 年COSO 的内部控制 整体框架报告被广泛采用，标志着风险管理的内部控制实践探索进入了新的阶段。然而，在复杂、多变的环境面前， 1992 年的内部控制框架的局限性还很多，这促使 COSO 不断开展新的研究和探索。 （ 二 ）风险管理法制的建设 2001 年，安然财务造假丑闻、世界通信公司财务舞弊案等事件爆发，使股东及其他相关的利益人、投资人遭受巨额损失，加强公司治理和风险管理的呼吁空前高涨。 2002 年，美国颁布了 2002 萨班斯 奥克斯利法案，大幅度提高对会计舞弊的处罚力度，在某种意义上加强了风险管理的外部监控。社会大众对防范公司风险、加强公司风险监管的要求得到了初步体现。 2004 年，结合 2002 萨班斯 奥克斯利法案 COSO 颁布了企业风险管理总体框架。 ERM 发展了企业内部控制和风险管理的内涵，对企业风险管理做出了更详尽的阐述，这份报告标志着企业风险管理进一步走向完善。 （ 三 ）风险管理的新发展 经济全球化使得大型企业开始发展成为全球性的企业集团，企业由单独经营走向了纵横交错的联合经营。企业风险也因之链接在一起 ，演变成了风险的链条。一个企业的风险就可能引发整个联合体的集体风险，通过 “ 多米诺骨牌 ” 式的传导机制，演化为系统风险。企业风险开始扩大，并变得更为错综复杂。于是，以整合、集成、一体化为特色的全面风险管理应运而生。通过上述梳理，可以发现企业风险管理从初步应用，发展到精密运作；从个别理论发展到全面理论；从面向过去发展到注重未来；由被动地防范或转移风险发展到价值创造；从企业个体内部的风险管理，发展到个体外部的风险管理，进而发展到面对整个企业集团或者联合体全面的风险管理，风险管理的范围和对象甚至还将扩大到整个行业乃至 跨行业。风险管理的理念、方法和工具已经广泛应用于企业战略选择、财务管理、审计、生产管理等各个方面，涵盖了企业运作的各个层面。风险管理将一切管理纳入风险管理的范畴，在一切管理活动中贯彻风险导向。风险不再是具体的各项事务，而变成了管理的对象，风险管理已变成了管理的核心。由于风险的相对主观性质，风险导向型管理给企业提供了更大的决策空间，更多的战略期权，本身已含有巨大的价值。风险管理的研究主体也由个体学者发展为政府或经济组织。世界各国以及相关的组织在风险管理方面已相继建立起相对成熟的体系，并制定了相关的政策、法律和 法规。 三、企业风险管理不同视角的理解 （ 一 ）实务界对风险管理的认识 尽管风险管理的重要性为很多企业所理解，但其理念及相应的执行理论界和实务界尚没有统一的认识。高盛认为，合伙制的风险文化是最好的风险管理理念：风险共担，合伙人之间承担无限连带责任。在此理念下，高盛建立了自己独特的风险控制系统，以内部监管委员会为核心，各业务部门都有各自的风险经理，风险管理信息沟通与问责机制相融合。普华永道的观点是，企业风险管理应与战略规划和资源配置相结合，风险管理流程渗透到业务和作业单元。企业须围绕风险 管理战略和框架构建清晰的领导力，风险管理帮助企业对业务中的风险有清晰的认识，使企业避免潜在缺陷以达到既定的业务目标。 IBM公司认为，企业风险管理可看作通过在业务程序和技术中植入控制来改变客户经营业务的途径。 IBM 公司集中帮助客户理解企业风险管理在保存价值的同时也实现价值创造，从而使风险管理变成竞争优势的来源，用以识别及捕获好的业务机遇。沃尔玛的理解是，建立一套重视风险管理的企业文化和价值观，建立以董事会为中心的有利于风险管理的治理结构，设立业务部门、风险管理部门、内部审计三道防线。沃尔玛风险识别 风险缓和 行动计划 绩效评价的风险流程设计，体现了风险管理的动态过程性，超越了一般企业风险管理流程模式，确立了清晰的管理理念。从以上各家观点可以看出，高盛强调建立合伙制的风险管理文化；普华倾向于风险管理帮助公司避免潜在缺陷； IBM 将风险管理主要看作是在业务程序和技术中植入控制；沃尔玛的风险流程设计以股东价值作为出发点和落脚点。尽管各家的理解与执行存在差异，但共同的特点是风险管理深深地渗透到业务流程之中，不仅帮助企业保存价值，而且创造价值。 （ 二 ）权威机构对风险管理的认识 在国际上较早对风险管理的系统研究以梅 尔与赫尔奇斯企业风险管理、威廉姆斯与汉斯风险管理与保险的出版为标志。后者指出风险管理是通过对风险的识别、衡量和控制，以最少的成本将风险导致的各种不利后果减少到最低限度的科学管理方法。澳大利亚和新西兰联合标准委员会认为，企业风险管理是一个逻辑和系统的方法，包括建立风险管理基础、风险识别、风险分析、风险评估、风险应对、监督与协商、沟通与评价等，穿插于公司各个业务活动、职能部门和业务流程，使得公司能够达到损失最小化和机遇最大化。我国国资委全面风险管理指引中对于全面风险管理的概念作了明确的界定，全面风险管理指企业围绕总体经营目标，通过在企业管理的各个环节和经营过程中执行风险管理的基本流程，培育良好的风险管理文化，建立健全全面风险管理体系，从而为实现风险管理的总体目标提供合理保证的过程和方法。 COSO 认为，企业的风险管理是一个过程，由企业的董事会、管理层和其他人员实施，应用于战略制订并贯穿与于企业之中，旨在识别可能会影响企业的潜在事项，管理风险以使其在企业的风险容忍度之内，并为企业目标的实现提供合理保证。定义反映了基本概念，主要包括：企业风险管理是一个过程 是通向目的的手段，而不是目的本身；这个过程受人文因素 的影响 它不仅仅只是政策、调查和表格，还涉及整个组织各个层级的人；帮助企业各个层次目标的实现，其中包括企业的战略目标；贯穿于整个企业的所有层次和单位，采用企业总体风险组合的观点；识别会对企业造成潜在影响的事项，并在企业风险承受能力范围内管理风险；对企业的管理者和董事会提供合理保证，但有一定的局限性。 （ 三 ）企业风险管理的定义 综合上述风险管理定义有共同点：风险管理服务于企业的目标；是一套整体系统，贯穿于企业各项活动之中；旨在识别可能影响企业的潜在事项；管理风险；由企业中各个层级的人员实施和落 实。借用这些定义，企业可以在自身对风险管理的理解和认识的基础上，制定适合自身特点的有关企业风险管理的定义。借鉴上述观点，本文对企业风险管理的定义是：企业风险管理是在企业内部建立一种管理风险的基础能力，以识别、分析、整合、评估、处理、监控以及沟通风险，该风险贯穿企业内部组织单元并与企业目标和风险偏好协调一致。本质上企业风险管理应该具有如下特点：识别和管理企业面临风险的所有方面；减少那些使整体风险观暗淡的单独行为；分配更多资源到核心战略及其相关风险；认为有效风险管理是企业高层的责任和能力；提前预期和准备整体的风 险反映方案；树立风险管理创造价值的观点。这个定义与其他风险管理定义相比较，有一些关键的差别，代表了风险管理内涵的演进。包括较高层次的风险理解和抢占先机的能力，而不仅仅是较低层次的风险转移，带来的结果是，任何影响战略性决策和商业规划的事项都包含在此范围内。反映企业整体范围内相互关联的风险及其相互影响，而不仅仅站在一个孤立的角度看待风险发生的可能性及其发生后的影响，这就意味着企业需要更全面的风险管理而不仅是传统意义上在各个职能部门内的风险管理，而是指出了所有风险来源。鼓励使用长期的、以价值为基础的、关注实现目标 的诸多不确定性的风险管理矩阵作为风险衡量方法，而不仅仅是关注现有的、短期目标的风险管理矩阵。企业风险管理是一个流程，包含了风险文化的建立，日常商务决策以及流程的改变，基于风险、增长与收益之间相互平衡的理念，而不仅仅是一个一次性事件。风险管理在企业内部管理系统中要具有：独立性、相互制约性、健全性、主动性。这个企业风险管理方法还暗含着一些新的潜在优势，包括：价值观 通过在企业的战略和业务流程范围内引入风险回报机制，以便更好地管理企业价值的实现；风险观 实现价值的基础，是调整企业风险容忍度和抢占先机的能力，以 更好地理解价值的实现方式，并管理和沟通企业风险偏好以及对所有风险承受能力；资本配置观 使用经济资本方法减少潜在资本量的需要。 四、企业风险管理的误区 （ 一 ）风险管理的表现形式不突出 企业风险管理的表现形式没有独特的体现，因为我们企业各部门都在控制风险。传统的企业风险管理是各个部门管自己的风险。财务部门管理汇率、利率等财务风险，保险部门管理可保险风险，其他专业部门负责领域内的特殊风险。但是企业风险管理与此不同，企业风险管理使用一个系统和完整的方法，并有通用的语言或流程。企业风险管理是 管理所有被识别出的、完整的、企业范围内外的风险，处理现有资产和未来增长的风险，是企业核心业务流程的主要部分之一。企业风险管理不仅重视企业内部风险，也注重企业外部风险，并寻求它们之间的相互联系，以便从整体上采取完整和系统的应对措施。企业风险管理的战略视野超越了只重视发生概率低的毁灭性重大风险的传统风险管理范畴，着重化解所有破坏企业价值主要源泉的风险。这包括传统的风险管理领域，也包括管理那些追求新机会的风险，如新产品、新服务或新业务模型。只有有效地整合风险管理到企业的基本业务流程，并建立起管理业务流程中积极的风 险文化时，企业风险管理才能取得成功。 （ 二 ）风险管理等同于内部控制 应当说，这两者既有联系，又有区别。联系表现在，首先内部控制和风险管理都是为了防范风险，但服务的目标侧重点不同。内部控制服务的目标包括经营目标、报告目标和合法目标，而风险管理目标不仅包括这三个目标，还包括战略目标。其次内部控制是风险管理的最佳途径。企业对风险的识别、分析和评价，以及对风险的整理、归类、化解，内部控制在其中都起着不可替代的作用。内部控制是为风险管理而控制，是风险管理的重要手段。而风险管理则是对内部控制的进一步巩固和 提升，其方法更灵活，目标更宏大，内容更丰富，要素更完备。两者相互依存、相互制约，形成一个有机整体，共同实现企业的战略目标。区别是：首先两者的范畴不一致。风险管理将一切管理纳入风险管理范畴，在管理中贯彻风险导向，风险管理变成了管理的核心，因此风险管理的手段不仅仅是事中和事后控制，更重要的是事前的决策与计划。而内部控制仅仅是管理的一项职能，主要是事后和过程的控制。风险管理的范畴远大于内部控制范畴。其次两者的内容不同。由于风险管理成为了管理的核心，贯穿于管理的全过程，因此管理的一切手段均可成为风险管理的内容，包括 计划、组织、协调、指挥、控制、创新等活动。内部控制则仅仅是一项控制活动，包括风险的评估和控制活动、信息交流活动、监督评审与缺陷的纠正等活动。最明显的差异在于内部控制所服务的目标中没有包含战略目标这一要素，风险评估的标准没有明确与企业战略目标挂钩，其服务目标只是为了维护企业的经营和效率、财务报告的可靠性及经营活动的合法合规性。再次两者对风险的对策不一致。风险管理框架引入了风险偏好、风险容忍度、事项识别、压力测试、情景分析、风险反应等概念和方法，因此该框架能使管理层有效地处理不确定性及与之相关的风险和机遇，增进 创造价值的能力。当管理层制定战略与目标，在增长与回报目标及相关风险之间进行最佳权衡，并在追求主体目标的过程中有效率、有效益地配置资源，实现价值最大化。必须指出，在实际的经营过程中，风险管理与内部控制是密不可分的。在企业内部的不同层次，风险管理与内部控制的主导性相对次序可能不同。随着内部控制或风险管理的不断完善和变得更加全面，相互之间可能相互交叉、融合，直至统一。 （ 三 ）企业风险管理会增加成本 风险管理的目标是获取风险收益的最优化，即追求风险水平给定下的利润最大化或利润水平给定下的风险最小化，而利润 问题本身就是一个财务成本问题，风险补偿本身也就是一个成本问题。风险决策时，投资者进行的收益与风险的平衡，就是收益与成本的平衡；风险转移时，投资者获得的收入中包含着风险成本的让渡。在保险企业中，赔付支出就是保费收入的成本，保费定价在很大程度上取决于赔付水平。在现代银行经营中更是将成本概念发挥得淋漓尽致，呆账准备金就是对风险资产的成本补偿。在某种意义上可以说，风险管理就是风险成本的管理。在急剧变化的环境中主动地去辨识这些成本也是一个巨大的挑战。风险管理可能增加企业管理成本的误解，来源于只看见了那些单独做得好的风 险管理成本，又如内部审计，却往往忽略了没有做好而导致损失很大的风险管理成本，再如产品开发失败。实践中企业风险管理的成本通常高度清晰并有明确的预算，而做得不好的风险管理成本可能没有记录或留下痕迹。企业风险管理重视成本和收益，分析所有与风险相关的成本，包括风险损失、不利事件中的收益、成长的机会和潜在的回报。风险管理按照减轻的损失来计算承担风险的报酬，可以帮助企业理解好的风险管理及其积极影响。通过收益与成本的分析，证明有效管理风险的积极收益，以此促进资源的有效配置，实现价值最大化。好的风险管理不再是成本中心，而是 价值中心。 （ 四 ）风险管理信息系统无足轻重 风险来源于信息的不完全性，风险管理信息系统的价值即在于降低信息的不完全性， 有助于风险管理的透明化，从而有效地降低不确定性对企业带来的不利影响。可以认为信息系统是风险管理的重要基础，是企业落实风险管理，提升风险管理能力的必经之路。具体而言，有效的风险管理信息系统， 能够及时地上传下达，一方面将董事会和最高管理层确定的关于风险管理的目标、战略和应对措施及时地传递给各个层次的管理者和员工， 增强员工对企业所面临的机会与风险的认识，从而有效地实现组织的风险 管理目标，一方面对风险进行识别、计量、监控和预警，将风险信息传输给各个层次的管理者， 从而帮助管理者迅速地做出有效的风险决策；能够优化企业风险管理的组织职能，利用自身所蕴含的先进管理思想，帮助企业进行相应的组织机构调整或业务流程重组，进行 “ 业务再造 ” 和 “ 管理重塑 ” ；能够通过向股东、债权人等外部投资者提供风险管理产生的损失控制效果、公司的风险价值取向等信息， 来降低股东的不确定性， 进而会降低企业的运营成本， 提高公司价值。风险管理信息系统的