企业风险管理处理风险与机会读企业风险管理整合框架有感.docx

企业风险管理：处理风险与机会读企业风险管理整合框架有感吴江涛由于 笔 者 长 期 在 商 业 银 行从事 内部控制及风险 管理工作，以前也曾学习 过 COSO 发布的企业风险 管 理 整 合框 架（以下简 称整 合框 架），这次 重读它，有一些不同的感受和体会。价值 ；同时，也 通 过管 理 风 险，以确 保价值创造预期得以实现并避 免损失。因 此，风险管理是 对企业面临的不确定性 的管理，其目的是使不确定性保持在企 业可承受的范围内，从而增进 企业价值 创造能力并增加企业价值。为什么要进 行风 险 管 理？笔者 认为，可以用一个关 系式表 述为 ：企 业风险 管 理 = 不 确 定 性管理。风险 管 理 框 架 多 处 强调 了风 险 管 理 必须同时应 对 和处理好风险与机会。在 对 影响目标实现的“事 项识 别”的过 程中，整 合框 架又提出 ：“具 有负面影响的 事项 代表风 险，它 需 要 管 理 层 的 评 估 和应 对 ”；“代 表 机会的 事 项 被 反 馈到 管理 层的战略或目标 制订过 程中，以便 规划行动去 抓住 机会”。在 对企 业 风 险 管理 进行“监 控 ”时，其要求 报告 缺陷， 缺陷包括 ：“一个 觉 察 到的潜在的或实 际的缺 点，或 者 一 个强 化 企 业 风 险 管 理以便 提 高 主 体目标 实 现 的 可 能 性 的 机会 ”。也 就 是 说，“除了缺 陷以 外，所 识别 的提 高 主 体目标 实 现 的 可 能 性 的 机会 也应 报告”。而在 企 业 风 险 管 理 的 实践中，大家常常只管 理 风险而忽视机 会，甚至为了强调管 理 风险而放弃或丧 失了良好的市场机会。风险 管 理 具体管一、为什么要进行风险管理企业 存 在 的目的 是 为 利 益 相 关 者创造价值。企业创造价值的过程是一个 充 满 不确 定 性 的 过 程。这 些 不确 定 性 既可能 蕴含 机会，也可能潜藏 风 险。在经 济 学 的思 维 方 式 一 书 中，作 者 提 出 ：“利润源于不确定性”，但不确定性 本身并不带来利润，利润还取决于企业 家 的 管理 智 慧 与 能 力。企 业 风 险 管理 就是 一 种 考 验 企业家管 理 智 慧与 能 力 的“不 确 定 性管 理 活 动 ”之一。企 业 管 理层 通 过 识 别、抓 住 机 会 为 企 业 增 加二、风险管理具体管理什么风险管理具体管理什么？通常的回答是 ：风 险。这 种 回 答 并 不 全 面。整 合框 架指出 ：“ 企 业 风 险管理处理风 险和 机 会，以便 创 造或保 持 价 值 ”。在 企业风险 管 理 实 践 中，应 对 和 处 理 风 险是大家所习惯的，却常常容易忽视 对 机会的应 对与处 理。COSO 发布的企业相 关 体系。从国际 最 新前 沿发 展 来 看，审计要 从单一鉴证向多元 服务发 展 ；会 计要从确 认、计 量向支 撑战 略、融 入 战 略 发展，要 全方位、知识化管 理。他认 为未来的会 计将走向“四 化”会 计管理化、会计信息化、会计战略化、会计风控化。 其 中，会 计信息化的飞 速 发 展 改 变了我们 的生 活，目前进 展 平稳 的 X BR L 通 用技 术应 用正说明了这一点。此 外，从一 个 注 册 会 计师的 视角，张 连 起 强调，走向复 兴的大会 计要求我 们必 须保 持文化的主体性，要从 人文会 计的 视角、大会 计的 视角思 考中国会计的 方位，有定力而 不 盲从。会计必 须在 政 治上有 重要 进 展，在 经济上有话 语权，在 文化 上创 造 文化自 信的地位，在创新社会 管 理 上有 重大突 破，中国才 能 从会 计 大国走向会 计强国。在年会的现场问答环 节，代 表 们和在场的编辑们都 抓住 机会 近 距 离地 与领导 专家 进行了交 流、咨询，使自己 最 关注的问题得到了面对面的解答。2012 年是财务与会 计（理 财版）理事 会成 立以 来的第 六个 年头。如中国财政 杂 志 社社长 傅 东所言，理 财版作为一 扇透 视中国经济和财会改革发展的窗口，一 个展 示财会 行业 进 步与风 采 的 舞台，获得了广大 读 者 的 认 同和 肯 定，取得了 较好的社会效 益。同时，理事会以刊物为载体，在政府主管部 门、企 事业单位 和 专业 媒 体 之间 搭 建 起了一 个沟 通、交 流 与 合作的平台，为宣传财税会 计改革政策，交流理财经验，加强 财务 管 理创新发 挥了积极作用。理 财版和 理事 会的发展、提 高需要广大 读 者 和 各理事单位的热切关注、积极参 与、真诚 鼓励和中肯建议，而我们则将秉 持服务 理 念，勉力把这个交 流平台进一步做大、做强，借此把大家宝贵的经验、思想的火 花宣传出去、介绍出去，为提升我国企业的财务 管理 水平，促 进企业实现可持续发展贡献我们的力量。 772012 08财务与会计阅读与欣赏Finance & Accounting理什么？笔 者 认 为，可以用一 个关 系 式表述 为 ：企 业 风 险 管 理 = 风 险与 机 会 的管理。员实 施 ”；“很 多 外 部 方面，例 如顾 客、卖主、商 业伙伴、外 部审计 师、监管 者 和财务 分析师 常 常 提 供 影 响 企 业 风 险 管理 的 有 用 信 息，但 是 他 们 不对 主 体 的企业风险管 理有 效性 承担任 何责任， 而且也 不是它的 组 成部 分”。上 述 观 点 强调了两个方 面 ：一 是 企 业 风 险 管 理 是企业自身的责任，外部主体对此并不 承担责任，其不是企业风险管理的责任 主体。二是 企业内部每 个人都是 企业风 险管理的责任主体 和实 施 主体。COSO 强调的 这 两点，其 立 足 点均 是“责 任”， 即企 业 风 险 管 理 的 责 任 主体是 企 业 及 企业内部的每 个人。从 风险管理实践的 角度 看，最 难的是让 每 个人都明白并切 实承 担 起 本 岗 位的 风 险 管 理 责 任。通 常，直 接面 对市场、客户并承担 发展 任 务指标的经营及管理人员，其合 规及风 险管控的意识和行为主动性相对较弱， 他们 往 往 认 为内部 控 制 和 风 险 管 理 是 风险 管 理部门的事情。同时，那 些不 直 接面对市场和客户而在中、后台专业化 从事风险管理的人员，对经营效率和有 效性则缺乏敏感性，他们往往 对风险管 理促发展显得不够关心。值得 注 意 的 是，虽 然 COSO 提 出 外部主 体 并不 对企 业 的风 险 管 理 承 担 责任，但外部主体事实上也是 企业风险 管 理的重要 参 与者 和实 施 主体。比如， 企业与 交易对方对账、大额支付向客户 电话核实、银行 开户对客户进行实地核 查、银行对票 据 的查 询查 复、客户交 易 需 输入密码、有些 业务 需要客户本人办 理 等，这 些 内 部 控 制 及 风 险 管 理 举 措 都需要客户等外部主体参 与和实施。同 时，监管部门、新闻媒 体等 事 实上也 通 过 监 督、检查 等 手 段 发 挥 了 强 化 企业 风险 管 理的作用。在笔者 看来，企业风 险管理需要重 新 认识并高度 重 视 客户、 监管部门 等 外部 利 益 相关 主体 在 企 业 风险管理方面发挥的独特 作用。其努力 方向是将外部主体的信息和行 动，内化 为企业风险管理的内在行动，使其成为企业风险 管 理 的 一 部 分。谁 来 管 理 企业风险？笔者 认为，可以用一个关系式 表述 为 ：企 业 风 险 管 理 = 企 业 利 益 相 关者的价值创造活动。三、如何平衡风险管理目标五、如何管理企业风险理解 了风 险 管 理 既 管 理 风 险 又管理机 会，才能 正 确 认 识 和理 解 COSO 提出的风 险 管 理四大目标，即 ：战略目 标、经 营目标、报 告目标 和 合 规 目标。 COSO 认 为 ：“目 标 设 定是 事 项 识 别、 风险 评 估 和 风 险 应 对 的 前 提”；“恰 当 的目标 设 定 过 程 是 企 业 风 险 管 理 至 关 重要 的 构 成 要 素”。然 而，在 风 险 管 理 的实践中，目标 设定却存在两类 典 型现 象 ：一是目标 迷失现象。即风险管 理 人 员为了控 风险而控 风险，偏离了管控目 标。这种风险管 理导向单纯专注于风险 管理 政策和技 术而忽略其价值 和功用。 二是目标 设 定 失衡 现 象。即风 险 管 理 人员比较注 重合 规目标、报告目标等风 险防范类目标的实现，而容易忽视战略 目标和经营目标等业务发展类目标的实 现。这 两 类 现 象 往 往 造 成 风 险 管 理 将 企业经营“画地为牢”的后果，即 ：为保 证经 营合 规 或 避 免 损 失，风 险管 控 导 向单向趋严，一方面使得“牢”越修 越豪 华，成本越 来越高 ；另一方面使得企业 经营 活 动空间越 来越小，丧 失了一些市 场机会。要克服 这两类现象及其不良后 果，企 业 风 险 管 理 应 评 估 每 项 政 策 和 举措 的目的 性 及 在目标 实 现 方 面 的 效 用，尤其是要在强调经营的合 规性和避 免损失的同时，还应特别强调确保企业 经营效率和有效性。如何平衡风险管理 目标？笔 者 认 为，可以用一 个关系式表 述为 ：企 业风险 管 理 = 企业价值 创 造 活动。如何 管 理 企 业 风 险 是一 个重 要的 课题。COSO 提 供了一个“八要素”的管 控框 架，即内部环 境、目标 设 定、事 项 识别、风险 评 估、风险应 对、控制活动、 信息与 沟 通、监 控。在笔 者 看来，这 八 要素的最 终 落 脚点 是员 工 在 企 业 交 易 活动中的言与行。整 合框架指出：“企 业风险 管 理 机 制 与 主体 经 营 活 动 交 织 在一起，为了基本的经营理由而存在”； “它是 通 过一 个 组 织中的人、通 过他们 的言行 来 完成 ”。COSO 进 一 步 阐 述了 其立论基 础 ：“将风险 管 理 整 合到基 本 的经营活动之中，企业就能够避免不必 要的程 序和成本。而且，把 企业风险建 立在 经营业务的基 本 框 架 之中的做 法， 可以帮助管 理 层识别新的机会，以便 抓住这 些 机 会 实 现 业 务 增 长”；“人 制 订 主体 的使命、战略和目标，并 使 企 业 风 险管理 机 制 得以 落 实 ”。COSO上 述 立 足于 企 业 经 营 业务 和员 工 言 行 管 控 风 险的观点，是深得风 险 管 理要 领的。在 实践 层 面，要 做 到 这一点却 很 不 容 易， 常见 两 种 倾 向 ：一 是 过 度 强 调 风 险 管 理相对于业务经营的独 立性，将风险管 理附加在 经 营业务之外。比如，当前诸 多商 业 银 行所推 行 的 信用风 险 垂 直化 管 理，将 信 贷 审 批、贷后 管 理、资 产 保 全独立于经营单位，在一定程度 上影响 了业务 效率 和 扼 杀了一些 市场机会。二 是内部 控制 制度 和 风 险 管 理 政 策 文 本 化堆 积，而 未 内 化 为员 工 行 为。比 如， 一些商业银行风险管理制度、政策比较 完 善，却 大 案、要 案 频 发，就 与 其 风 险 管理 制 度 和 政 策未 转 化 为员 工自觉 的 行为有较大关系。在笔者 看来，将风险管理 整 合到企 业的经营业务和员工行为之中，企业 就四、谁来管理企业风险谁来 管 理 企 业 风 险？整 合 框 架 提出 ：“ 主体中的 每 个人都 对企 业 风 险 管 理 负 有一 定责任”；“企业风险 管 理 由一个主体的董事会、管理 层和其他人78 财务与会计2012 08阅读与欣赏Finance & Accounting择其 样本。而抽 取 多大 的 样 本 交 易量、从哪些方面来审视这 些交易样本等，都 是八要素风险 评 估面临的现实问题。整 合框架提出了一个“三维矩阵” 的风 险 管 理 立 方体，提 示 我们 从“目标+八 要素 + 主体 结 构 ”这个三 维 角度 去 认识 风 险 管 理 和 构 建 风 险 管 理 评 估 标 准。解读 这个三 维 矩 阵 会 发 现，COSO 强调 不 仅 应 按 八 要素 考察 企 业 风 险 管 理，而且也 应 据 此 考察 企 业中 子 公司、 分部 等业务单元 的风 险 管 理。整 合框 架 提 出 ：“为了得 出 这个 单 元 的 企业 风险管 理有 效的结论，所有的八个构成 要素在 这个单元中 必 须 存 在 且有 效 运 行”。也 就是说，子公司、分 部等业务单 元的风险管 理，也需要通 过八个要素的 构建和有效 运行来实现。这一点在实践 中却 存 在认识误 区。比如，论及内部 控 制和风险管理的环境问题，大家通常会 联想到这个企业总部的公司治理、人力 资源 政 策、管 理 层的意 识和能力等，很 少会想到企业的业务单元、管理单元也 存在环境问题。论及监 督问题，大家 通 常会联想到企业的审计或稽核检查、专 业检 查，很 少 会 想 到 企 业 的业务单元、 管理 单 元 的 内 部 监 督 机 制 问 题。事实 上，很多企业内部控制和风险管理存在 执行力问题，一个重要原因即是 基层业 务单元、管 理 单元的内部 环 境、监 督机 制、信息与 沟 通 机 制 较 差。因 此，企 业 的风险管理 及评 估，即必须强化企业内 部业务单元、管 理单元的八要素风险管 理体系构建 和评 估。COSO 提出的一些 风险 管 理 环 境 建设 的 论 断 不 仅 适 用于 企业总部管 理 层，也 适用于业务单元的 基层管 理 者。从 这个层面讲，如 何评 判 企业风险 管 理的效 果？笔者 认为，可以 用一 个 关 系 式 表 述 为 ：企 业 风 险 管 理= 业务单元风险管理。要加强对交易要素的管控。交易是 主体围绕 特 定 对 象 而 产 生 的 利 益 关 系。按 经济学家康芒斯的观点，交易分为内部 交易和 外 部 交 易，管 理 属于内部 交 易。 通常，一项交易由主体、对 象、工具、时 间、地 点等 要素构成，交易就是 这 些要 素结成 的 相 互关 系。大 多 数 时候（除 那 些非人为因素导致的事 项外，如自然 灾 害），企业风 险 管 理 应强化 对这 些 交易 要素及其相互关系的管控。在交易主体 层面，需要对主体资格及其 行为进行规 范，如银行办理存取 款交易的柜台人员 必须 取得从 业资格，客户办理信用卡必 须满足一定的信用条件。在交易对 象方 面，需 要明确 其 范 围 与 特 性 管 理 要求， 如饮 料 的成 分必 须 满足 人体身心 健 康 要求。在 交 易工具方面，需要对其 功 能 及技术标准进行明确，如验钞机的参数 设 置。在 交易时空 方面，也需要有所限 定，如 金 库 宜设在 地下，运 钞车应 按 设 定路线 运 行。同时，这 些 交易要素之间 发生何种关联、如何关联，也需要 作出 控制，如必 须 双人同时进 入 金库。企业 风险 管 理 只有 管控住了这 些 要 素 及 其 相 互关 系，才 能实现 预期的目标。对交 易要素的管控，可以通过将 控制措施内 置于交易流程中来实现，也可以通 过交 易流程之外的管理活动来实现。前者如 “输入密码”等交易控制，后 者如“审计” 等管 理 控 制。由 于 一 切 交易是 由 人 来 驱动的，因此员工的言行规范又是风险管理的核心。因此，风险管理说 到底 贯穿于企业员工的言行之间，或者 说贯穿 于员工的举 手 投足 之间。从 这个层面来 讲，如 何管 理 企 业 风 险？笔 者 认 为，可 以 用一个 关系式表 述为 ：企 业风 险 管 理= 员工言行管理。六、如何评判企业风险管理的效果假设 一家 商业银行出现一宗 3 000 万元的信贷 欺诈 案件，那 么，如 何评 判 这家银 行 内部 控制 及 风 险管 理 的 有 效 性呢？按照当前国内商业银行内部 控制 及风 险 管 理 监 管的 实 践，通 常 会 断 定 这家银 行 内部 控制 及 风 险管 理 的 有 效 性存 在 严 重 问 题。这 种 结 论 是 基 于风 险管 控 的结果 所 作出的 评判。整 合框 架提出了一种不同的企业风险 管 理 有 效性 评 判 框 架，即 一种 基 于 企 业 风 险 管 理 过 程 评估 的 八 要 素 评估 框 架。其 提出：“确定 企业风险管理是否有效， 是在 对八个构 成 要 素是 否存 在 和 有 效 运行的评 估的基础上所作出的判断。因 此，构成要素同时也是有 效的企业风险 管理的判断标准。如果这 些构成要素存 在且 正常运 行，那么就可能没有 重大缺 陷，而风险可能已经被 控制在 主体的风 险容量以内”。八要素 评 估说起 来容易， 实施 起 来 却 面 临 诸 多 问 题。最 大 的 问 题 是 企 业 交 易 活动 纷 繁复 杂，交 易 数 据十分庞大，而风险管理评 估往往只能七、整合框架有什么局限性通过 重 新 学 习整 合 框 架 ，笔 者792012 08财务与会计阅读与欣赏Finance & Accounting认为其 存在以下几个方面的不足。（一）企业风险管理的外延问题整 合框 架对企 业风险 管 理与内 部控 制、企 业 管理 过程 之 间 的 关 系 进 行了区分，但笔 者 认 为，其 所 作出的区 分并不 清 晰，甚至使人 迷糊。关于内部 控制 与 企 业 风 险 管 理 之 间的关 系，其 提出 ：“内部 控制是 企业风险 管 理不 可 分割的一 部 分”，但并 没有明确内部 控 制占 据 着“企业风险 管 理 肌体上的哪一 块筋骨”。其 在“附录 C”中 进一 步比 较 了整 合框 架与内部 控制 整 合框 架之间的异同，这 种异同只是两个框 架的异同，并未在外延 上厘清企业内部 控制与风险管理之间的关系。关于企业 风险管 理与企业管 理 过 程 之间的关系， 其提出 ：“企业风险 管 理 是管 理 过 程的 一部 分”；“ 并不是 管 理 层所 做 的 每一 件事情 都 是 企 业 风 险管 理 的 一 部 分”， 但其 列 举 的那 些 属于 管 理 过 程 而 不属 于风 险 管 理 的实例 却显得 牵 强。比 如， 其提出 ：“确 定和执行控制 活 动以帮助 确保 管 理 层 选 择 的风险 应 对 得以 有 效 实施 是 企 业 风 险 管 理 的 一部 分，但 是 所选 定 的特定 控制活 动却 不是”。委实 难以想象，将其排除的类似内容从 企业 风险管理中抽离出去，企业风险管理 还 会剩下什么。（二）企业风险管理的内涵问题整 合 框 架 将风 险 管 理 定 义 为 ：这在 概 念 上 很 容 易 使人 混 淆 ：企 业 风险管理究竟是既管 理风险又管理 机会， 还是 仅管理风险？另 外，整 合 框 架 还 将 风险 管 理 定义 为“一个 过 程，它持 续 流 动于主体 之内”。 这种定义是一种“集合式”的或 “整 体 性”的定义 角度，即 站 在 企业 所 有的或 整 体的风 险 管 理 举 措 角度 进 行 定义。该定义角度有助于我们从整体上 理解 企 业 风 险 管 理 是 什么，却 很 难 概 括 企 业采取 的 某一项 具 体 风 险管 理举 措。比如，“双人出入 金库”是一项风险 管理 举 措，却 很 难用“风险 管 理 是一个 过程”来解释。一个具有解释性的定义， 既要能“概括宏观”，又要能“包容 微 观”。 据 此，笔 者 认 为，风 险 管 理 首先 是“一 种活动”，然后才是“一个 过 程”。而且， 企业 整 体 的风 险 管 理 过 程是由无 数次 风险 管 理 活 动 构 成 的。这 样 定义风险 管理，也 才能 理 解 COSO 的下述 观点 ： “企业风险 管 理 并不是 静止 的，而是渗 透于一 个主体 的 各种活动 的 持续 的 或 反复的相互影响”。（三）企业风险管理的八要素问题 在研 读整 合 框 架 时，笔者 比较 关注 COSO 提 出的 企 业 风 险 管 理 八 要 素的 内 在 逻辑 ：其 基于什么 方 面 提 出 企业风险管理由八要素构成。COSO 的 回答 是 ：“企业风险 管 理 包 括八个相 互 关联的构成要素。它们源于管理 层经营 企业 的 方 式，并 与 管 理 过 程 整 合在 一 起 ”。这 就 是 说 八 要 素 是 根 据“管 理 层 经营企 业 的方 式 ”提出来的。从 COSO 的这种逻辑来看，笔者觉 得其关于八要 素的 划 分 或 界定 就 存 在 一些 问 题。一 是“内部 环 境”似 应 换 成“经营环 境”更 恰当。事 实上，制约和影响企业风险 管 理的环 境因素并非只有“内部的”，也 还 包括“外部的”。比如监管 政 策、行业 竞 争 态 势、社 会风尚、商 业 惯 例 等，也 影 响和制 约 企业 的风 险 管 理，构 成 企业 风险 管 理的基 础。而且，如果没有外部 环境因素的影响，也就很 难理解为什么“合 规”、“可靠”等构成了企业风险管理要实现的目标。二是“事项识别”似应换 成“交易或事项识别”。COSO 所定义的 事项 是 指 影响目标实现的事故或事 件， 其 与风 险、机会并无 本质性 差异。从管 理层经营企业的方式来看，在目标 设定 之下，企业管 理 层关注的是 达成目标实 现的交易以及影响交易实现的事