COSO中央企业全面风险管理

1、1 coso风险管理框架 清华大学会计研究所 陈武朝副教授 电话：62772083 email： 2008年9月 2 主要内容主要内容 lcoso erm框架 l实施风险管理要点 l内控与企业风险管理的关系 l中央企业全面风险管理指引 3 coso ermcoso erm框架框架 lcoso认为，内部控制是风险管理的一部分。 l在内部控制-整体框架的基础上,coso于2003年出台了 企业风险管理框架 征求意见稿，并于2004年9月正式 发布。 4 coso ermcoso erm框架（续）框架（续） l企业风险管理是一个过程，它由一个主体的董事会、管理 当局和其他人员实施，应用于战略制订并贯

2、穿于整个企业 之中，旨在识别可能会影响主体的潜在事项，管理风险以 使其在该主体的风险容量（风险承受范围）之内，并为主 体目标的实现提供合理保证。 5 coso ermcoso erm框架（续）框架（续） 企业风险管理框架企业风险管理框架coso erm 6 coso ermcoso erm框架（续）框架（续） l怎样理解该定义？企业风险管理是： l一个过程，它持续地流动于主体之内； l由组织中各个层级的人员实施； l应用于战略制订； l贯穿于企业，在各个层级和单元应用，还包括采取主体 层级的风险组合观； l旨在识别一旦发生将会影响主体的潜在事项，并把风险 控制在风险容量以内； l能够向一个主体

3、的管理当局和董事会提供合理保证； l力求实现一个或多个不同类型但相互交叉的目标。 7 coso ermcoso erm框架（续）框架（续） l目标的实现 在主体既定的使命或愿景范围内，管理当局制订战略目标 、选择战略，并在企业内自上而下设定相应的目标。企 业风险管理框架力求实现主体的以下四种类型的目标： l战略（strategic）目标高层次目标，与使命相关联 并支撑其使命； l经营（operations）目标有效和高效率地利用其资 源； l报告（reporting）目标报告的可靠性； l合规（compliance）目标符合适用的法律和法规。 8 coso ermcoso erm框架（续）框架

4、（续） 企业风险管理的构成要素 l内部环境（internal environment） l内部环境包含组织的基调，它为主体内的人员如何认识和对待风险 设定了基础，包括风险管理理念和风险容量、诚信和道德价值观， 以及他们所处的经营环境。 p建立一套与风险管理相关的理念。它认为，意外事项与预期事项都 可能发生。 p建立企业风险文化。 p考虑组织行为如何影响其风险文化的一切其它方面。 l目标设定（objective setting） l必须先有目标，管理当局才能识别影响目标实现的潜在事项。企业 风险管理确保管理当局采取适当的程序去设定目标，确保所选定的 目标支持和切合该主体的使命，并且与它的风险容量

5、相符。 p在目标设定中，应用于管理层考虑风险策略的时候 p制定公司的风险承受能力从高层面观察，管理层和董事会愿意 接受多大的风险 p风险容忍度, 目标相关变量的可接受水平，与风险承受能力一致。 9 coso ermcoso erm框架（续）框架（续） l事项识别（event identification) l必须识别影响主体目标实现的内部和外部事项，区分风险和机会。 机会被反馈到管理当局的战略或目标制订过程中。 l风险评估(risk assessment) l通过考虑风险的可能性和影响来对其加以分析，并以此作为决定如 何进行管理的依据。风险评估应立足于固有风险和剩余风险。 p一个事项是指可能影

6、响战略执行或目标实现的一个事件或发生的事 情。 p辨别风险与机遇 p风险是一个事项发生，并对目标实现产生负面影响的可能性。 p可能有积极影响的事项，代表正常抵消或机遇。 p风险衡量采用与相关目标相同的衡量单位。 p时间区间已指定，并与目标一致。 10 coso ermcoso erm框架（续）框架（续） l风险应对(risk response) l管理当局选择风险应对回避、承受、降低或者分担风险采 取一系列行动以便把风险控制在主体的风险容限（risk tolerance ）和风险容量以内。 l控制活动(control activities) l制订和执行政策与程序以帮助确保风险应对得以有效实施

7、。 l信息与沟通(information & communication) l相关的信息以确保员工履行其职责的方式和时机予以识别、获取和 沟通。有效沟通的含义比较广泛，包括信息在主体中的向下、平行 和向上流动。 l监控(monitoring) l对企业风险管理进行全面监控，必要时加以修正。监控可以通过持 续的管理活动、个别评价或者两者结合来完成。 11 coso ermcoso erm框架（续）框架（续） l注意： l企业风险管理并不是一个严格的顺次过程，一个构成要 素并不是仅仅影响接下来的那个构成要素。它是一个多 方向的、反复的过程，在这个过程中几乎每一个构成要 素都能够、也的确会影响其他构

8、成要素。 12 coso ermcoso erm框架（续）框架（续） 有效性 l认定一个主体的企业风险管理是否“有效”，是在对八个 构成要素是否存在和有效运行进行评估的基础之上所作的 判断。因此，构成要素也是判定企业风险管理有效性的标 准。 l构成要素如果存在并且正常运行，那么就可能没有重大 缺陷，而风险则可能已经被控制在主体的风险容量范围 之内。 l如果确定企业风险管理在所有四类目标上都是有效的，那 么董事会和管理当局就可以合理保证他们了解主体实现其 战略和经营目标、主体的报告可靠以及符合适用的法律和 法规的程度。 l八个构成要素在每个主体中的运行并不是千篇一律的。例 如，在中小规模主体中的

9、应用可能不太正式，不太健全。 尽管如此，当八个构成要素存在且正常运行时，小规模主 体依然会拥有有效的企业风险管理。 13 coso ermcoso erm框架（续）框架（续） l局限 尽管企业风险管理带来了重要的好处， 但是仍然存在着局 限。除了前面讨论过的因素之外，局限还导源于下列现实 ： l人类在决策过程中的判断可能有纰漏， l有关应对风险和建立控制的决策需要考虑相关的成本和效 益， l类似简单误差或错误的个人缺失可能会导致故障的发生， l控制可能会因为两个或多个人员的串通而被规避，以及 l管理当局有能力凌驾于企业风险管理决策之上。 l这些局限使得董事会和管理当局不可能就主体目标的实现形

10、成绝对的保证。 14 coso ermcoso erm框架（续）框架（续） l涵盖内部控制 l内部控制是企业风险管理不可分割的一部分。 l企业风险管理框架涵盖了内部控制，从而构建了一个更 强有力的概念和管理工具。 l内部控制是在内部控制整合框架中加以定义和 描述的。由于该框架经受了时间的考验，并且成为现行 规则、法规和法律的基础，因此内部控制整合框 架对内部控制的定义和框架依然有效。尽管内部控 制整合框架的正文中只有一部分被该框架所引用 ，但是erm通过参考的方式把该框架整体融合了进来。 15 coso ermcoso erm框架（续）框架（续） 职能与责任 l主体中的每个人都对企业风险管理负

11、有一定的责任。 lceo负有首要责任，并且应当假设其拥有所有权。 l其他管理人员支持主体的风险管理理念，促使符合其风险 容量，并在各自的责任范围内依据风险容限去管理风险。 l风险官、财务官、内部审计师等通常负有关键的支持责任 。 l主体中的其他人员负责按照既定的指引和规程去实施企业 风险管理。 l董事会对企业风险管理提供重要的监督，并察觉和认同主 体的风险容量。 l很多外部方面，例如顾客、卖主、商业伙伴、外部审计师 、监管者和财务分析师常常提供影响企业风险管理的有用 信息，但是他们不但不对主体的企业风险管理的有效性承 担任何责任，而且也不是它的组成部分。 16 coso ermcoso erm

12、框架（续）框架（续） l比内控的概念更广 l对公司管理至关重要 l目标范围更宽，为战略提供反馈 l风险管理办法更稳健 17 coso ermcoso erm框架（续）框架（续） l企业风险管理的关键观念 l以组合观点评价风险。 l管理层与董事会协商必须树立广义的风险承受 能力。 l侧重平衡价值、增长与风险 18 coso ermcoso erm框架（续）框架（续） l怎么办？ l更广的风险观： 一个公司目前的风险比以前所有风险都高。 我们不会因为以前做的决定来评估目前的情况。 风险可能就在我们的决策框架和激励机制中。 l必须关注外部环境 l风险讨论必须上升到董事会层面 19 coso ermc

13、oso erm框架（续）框架（续） l提高风险意识 l内控 扩展到财务报告讨论层面以上。不能在不了解 风险的情况下讨论控制。 l必须考虑外部环境： 环境变化 可持续性 竞争性行为 潜在竞争性行为 20 coso ermcoso erm框架（续）框架（续） l提升风险管理 l必须采用正确的衡量标准 l外部：美国和欧洲正发展为更加知识化的经济 l公司的投资方向在哪里？ l怎样衡量风险？ l怎样将这些与现有会计方法做对比？ 21 coso ermcoso erm框架（续）框架（续） l最新的观点 l内控工作结合风险管理，对实现公司的经营目标十分重 要； l在评估公司如何实施风险管理方面，需要公司董事

14、会的 参与，并发表明确的意见； l建议将内控纳入公司正常管理和治理流程中，建议不要 将内控看作独立的监管工作。 22 coso ermcoso erm框架（续）框架（续） l企业风险管理是两个框架中最稳健的，但从开始就要求做 更多的工作。 l企业风险管理能够，并应该融入公司文化中。这将带来很 大的成本效益。 23 coso ermcoso erm框架（续）框架（续） 以目标为起点 应用于各级组织的活动中 八个要素 事项和风险 风险承受能力和风险容忍度 组合模型 基础方面基础方面 关键概念关键概念 24 实施全面风险管理要点实施全面风险管理要点 1.组织设计 2.建立一个全面风险管理的组织 3.

15、实施风险评价 4.确定总体风险容量（ risk appetite ） 5.确定风险相应（ risk responses ） 6.沟通风险结果 7.监控（ monitoring ） 8.管理层监督（ oversight ）与定期复核 25 实施全面风险管理要点（续）实施全面风险管理要点（续） 1.组织设计 l企业战略 l关键目标 l使得企业达到（？）关键目标的相关目标 l对组织单位及其负责人的职责分配 26 实施全面风险管理要点（续）实施全面风险管理要点（续） l例： l使命 提供高质量的、可得到的、可承担的社区医疗服务 l战略目标 成为中等规模城市的第一或第二大能的所有医疗服务 提供者 l相关

16、目标 与10个经营状况不佳的医院负责人对话，年内与其中 两个医院达成协议 27 实施全面风险管理要点（续）实施全面风险管理要点（续） l2.建立一个全面风险管理的组织 l确定风险哲学 l调查风险文化 l考虑组织的道德价值观 l决定角色与责任 28 例：全面风险管理组织架构例：全面风险管理组织架构 风险管理官员 (erm director) 副总或首席风险官（cro） 公司信用风险经理 (corporate credit risk manager) 保险风险经理 （insurance risk manager） 风险经理 （erm manager） 风险经理 （erm manager） 职员职员

17、职员 社区风险 管理官员 29 实施全面风险管理要点（续）实施全面风险管理要点（续） l3.实施风险评价 l风险评价是识别、分析达成目标所面临的风险。这是管理风险的基 础 例： l环境风险 资本筹集 监管、政治、法律 金融市场、股东关系 l流程风险 运营风险 授权风险 信息处理/技术风险 完整性风险 财务风险 l决策所需信息 运营风险 财务风险 战略风险 30 source: business risk assessment. 1998 the institute of internal auditors 控制控制 分担或转移分担或转移 分散或规避分散或规避 风险管理风险管理 流程层面流程层面

18、 业务活动层面业务活动层面 公司层面公司层面 风险监控风险监控 识别识别 计量计量 排序排序 风险评价风险评价 风险分析风险分析 31 实施全面风险管理要点（续）实施全面风险管理要点（续） l4.确定总体风险容量（ risk appetite ） l应采用定性或定量术语（如，对利润的影响，对声誉的 影响），并考虑风险容限（ risk tolerance ）。 l关键问题： 组织无法接受哪些风险？ l如，环境或服务质量打折 组织拟主动承受哪些风险？ l如新业务 组织出于竞争性目标拟接收哪些风险？ l如毛利或市场份额 32 实施全面风险管理要点（续）实施全面风险管理要点（续） l5.确定风险响应（

19、 risk responses ） l量化风险敞口 l组织的选择 承担=监控 规避=减少 减少（对冲）=组织控制 分担=与合作者分担风险，如买保险 33 风险影响与发生可能性风险影响与发生可能性 控制控制(control) 分担（分担（share)监控与控制监控与控制(mitigate & control) 承担(accept) 高风险高风险 中等风险中等风险 中等风险中等风险 低风险低风险 低 高 高 影响影响 可能性可能性 34 风险影响与发生可能性风险影响与发生可能性- -客服中心风险评价客服中心风险评价 会计分录出错会计分录出错 设备过时设备过时 相同问题不断反映相同问题不断反映 电话

20、掉线电话掉线 计算机丢失计算机丢失 信用风险信用风险 客户等待时间长客户等待时间长 客户不能打通电话客户不能打通电话 客户问题得不到答复客户问题得不到答复 舞弊舞弊 失去交易失去交易 员工士气员工士气 高风险高风险 中等风险中等风险 中等风险中等风险 低风险低风险 低 高 高 影响影响 可能性可能性 35 控制控制 风险风险控制控制 目标目标活动活动 完整性完整性重大交易重大交易复核已记录账面复核已记录账面 未记录未记录债务债务 结账后将发票与账面负结账后将发票与账面负 债相互核对债相互核对 例例: : 应付账款处理应付账款处理 36 实施全面风险管理要点（续）实施全面风险管理要点（续） l6

21、.沟通风险结果 l表：列出风险及风险响应 l流程图：说明关键控制点 l文字说明：目标以及相应的运营风险以及风险响应 l列表：被监控的关键控制 l管理层应理解关键业务的风险责任及其分派 l7.监控 l收集信息 l进行分析 风险被恰当地识别 控制活动恰当地发挥作用以减小风险 37 实施全面风险管理要点（续）实施全面风险管理要点（续） l8.管理层监督与定期复核 l管理层对风险管理具有受托责任（ accountability ） l及时更新 业务目标变化时 系统变化时 流程变化时 38 内控与企业风险管理的关系内控与企业风险管理的关系 有效的内 控财 务报告 set objectives 识别威胁目

22、标识别威胁目标 实现的风险实现的风险 执行有效的控控 制环境制环境，作为 防范风险的第 一防线 设计并执行 有效的控制控制 活动活动，以解 决风险 开展有效的信息信息 与沟通与沟通，以协助 组织实现其目标 建立有效控制之 后，开展监控监控活 动，以保证控制 继续有效运行。 事项识别事项识别 风险评估风险评估 风险应对风险应对 设定目标 39 内控与企业风险管理的关系（续）内控与企业风险管理的关系（续） 内控框架内控框架 企业风险管理框架企业风险管理框架 40 中央企业全面风险管理指引中央企业全面风险管理指引 l为指导 国资委履行出资人职责的企业(即中央企业)开展全 面风险管理工作，增强企业竞争

23、力，提高投资回报，促进 企业持续、健康、稳定发展，根据中华人民共和国公司 法、企业国有资产监督管理暂行条例等法律法规， 国资委制定了该指引。 41 中央企业全面风险管理指引中央企业全面风险管理指引 l指引的主要内容 l中央企业开展全面风险管理工作的总体原则 l基本流程 l风险评估 l风险管理策略 l风险管理解决方案 l监督与改进 l组织体系 l风险管理信息系统 l风险管理文化 l培训 42 中央企业全面风险管理指引中央企业全面风险管理指引 l企业风险的定义 l指未来的不确定性对企业实现其经营目标的影响。 l一般可分为 战略风险 财务风险 市场风险 运营风险 法律风险等 l以能否为企业带来盈利等

24、机会为标志，可以分为 纯粹风险(只有带来损失一种可能性) 机会风险(带来损失和盈利的可能性并存) 43 中央企业全面风险管理指引中央企业全面风险管理指引( (续续) ) l全面风险管理的定义 l指企业围绕总体经营目标，通过在企业管理的各个环节 和经营过程中执行风险管理的基本流程，培育良好的风 险管理文化，建立健全全面风险管理体系，从而为实现 风险管理的总体目标提供合理保证的过程和方法。包括 风险管理策略 风险理财措施 风险管理的组织职能体系 风险管理信息系统 内部控制系统 44 中央企业全面风险管理指引中央企业全面风险管理指引( (续续) ) l风险管理基本流程 包括 l收集风险管理初始信息

25、l进行风险评估 l制定风险管理策略 l提出和实施风险管理解决方案 l风险管理的监督与改进 45 中央企业全面风险管理指引中央企业全面风险管理指引( (续续) ) l风险管理总体目标 l确保将风险控制在与总体目标相适应并可承受的范围内 ； l确保内外部，尤其是企业与股东之间实现真实、可靠的 信息沟通，包括编制和提供真实、可靠的财务报告； l确保遵守有关法律法规； l确保企业有关规章制度和为实现经营目标而采取重大措 施的贯彻执行，保障经营管理的有效性，提高经营活动 的效率和效果，降低实现经营目标的不确定性； l确保企业建立针对各项重大风险发生后的危机处理计划 ，保护企业不因灾害性风险或人为失误而遭

26、受重大损失 46 中央企业全面风险管理指引中央企业全面风险管理指引( (续续) ) l建立健全全面风险管理体系的思路 l企业应本着从实际出发，务求实效的原则，以对重大风险、重大事 件(指重大风险发生后的事实)的管理和重要流程的内部控制为重点 ，积极开展全面风险管理工作。 具备条件的企业应全面推进，尽快建立全面风险管理体系； 其他企业应制定开展全面风险管理的总体规划，分步实施，可 先选择发展战略、投资收购、财务报告、内部审计、衍生产品 交易、法律事务、安全生产、应收账款管理等一项或多项业务 开展风险管理工作，建立单项或多项内部控制子系统。 l企业开展全面风险管理工作应与其他管理工作紧密结合，把风

27、险管 理的各项要求融入企业管理和业务流程中。具备条件的企业可建立 风险管理三道防线： 各有关职能部门和业务单位为第一道防线； 风险管理职能部门和董事会下设的风险管理委员会为第二道防 线； 内部审计部门和董事会下设的审计委员会为第三道防线。 47 中央企业全面风险管理指引中央企业全面风险管理指引( (续续) ) l风险管理初始信息风险管理初始信息 l企业应广泛、持续不断地收集与本企业风险和风险管理 相关的内部、外部初始信息，包括历史数据和未来预测 。应把收集初始信息的职责分工落实到各有关职能部门 和业务单位。 l针对不同类型的风险，企业应搜集不同的信息。 48 中央企业全面风险管理指引中央企业全

28、面风险管理指引( (续续) ) l风险评估 包括： l风险辨识 指查找企业各业务单元、各项重要经营活动及其重要业务流程 中有无风险，有哪些风险。 l风险分析 对辨识出的风险及其特征进行明确的定义描述，分析和描述风 险发生可能性的高低、风险发生的条件 l风险评价 评估风险对企业实现目标的影响程度、风险的价值等 定性与定量方法相结合 l定性方法问卷调查、集体讨论、专家咨询、情景分析、政策分 析、行业标杆比较、管理层访谈、由专人主持的工作访谈和调查研 究等。 l定量方法用统计推论(如集中趋势法)、计算机模拟(如蒙特卡罗 分析法)、失效模式与影响分析、事件树分析等 49 中央企业全面风险管理指引中央企

29、业全面风险管理指引( (续续) ) 定量方法定量方法 一一 评分评分12345 定量方法定量方法 二二 一定时期一定时期 发生发生 的概率的概率 10%以下10% - 30% 30% - 70% 70% - 90% 90%以上 定定 性性 方方 法法 文字描述文字描述 一一 极低低中等高极高 文字描述文字描述 二二 一般情况 下不会发 生 极少情况 下才发生 某些情况 下发生 较多情 况下发 生 常常会发 生 文字描述文字描述 三三 今后10年 内发生的 可能少于1 次 今后5 10年内可 能发生1 次 今后25 年内可能 发生1次 今后1年 内可能 发生1次 今后1年内 至少发生1 次 50

30、 中央企业全面风险管理指引中央企业全面风险管理指引( (续续) ) 适适 用用 于于 所所 有有 行行 业业 定量方定量方 法一法一 评分评分12345 定量方定量方 法二法二 企业财务损失占税前企业财务损失占税前 利润的百分比利润的百分比(%） 1%1%以下以下1%-5%1%-5%6%-10%6%-10%11%-20%11%-20%20%20%以上以上 定性方定性方 法法 文字描述一文字描述一极轻微的极轻微的轻微的轻微的中等的中等的重大的重大的灾难性的灾难性的 文字描述二文字描述二极低极低低低中等中等高高极高极高 文文 字字 描描 述述 三三 企业日常运企业日常运 行行 不受影响不受影响轻度

31、影响轻度影响(造造 成轻微的人成轻微的人 身伤害，情身伤害，情 况立刻受到况立刻受到 控制控制) 中度影响中度影响( 造成一定人造成一定人 身伤害，需身伤害，需 要医疗救援要医疗救援 ，情况需要，情况需要 外部支持才外部支持才 能得到控制能得到控制 ) 严重影响严重影响( 企业失去一企业失去一 些业务能力些业务能力 ，造成严重，造成严重 人身伤害，人身伤害， 情况失控，情况失控， 但无致命影但无致命影 响响) 重大影响重大影响( 重大业务失重大业务失 误，造成重误，造成重 大人身伤亡大人身伤亡 ，情况失控，情况失控 ，给企业致，给企业致 命影响命影响) 财务损失财务损失较低的财务损较低的财务损

32、 失失 轻微的财务轻微的财务 损失损失 中等的财务中等的财务 损失损失 重大的财务重大的财务 损失损失 极大的财务极大的财务 损失损失 企业声誉企业声誉负面消息在企负面消息在企 业内部流传，业内部流传， 企业声誉没有企业声誉没有 受损受损 负面消息在负面消息在 当地局部流当地局部流 传，对企业传，对企业 声誉造成轻声誉造成轻 微损害微损害 负面消息在负面消息在 某区域流传某区域流传 ，对企业声，对企业声 誉造成中等誉造成中等 损害损害 负面消息在负面消息在 全国各地流全国各地流 传，对企业传，对企业 声誉造成重声誉造成重 大损害大损害 负面消息流负面消息流 传世界各地传世界各地 ，政府或监，政

33、府或监 管机构进行管机构进行 调查，引起调查，引起 公众关注，公众关注， 对企业声誉对企业声誉 造成无法弥造成无法弥 补的损害补的损害 51 中央企业全面风险管理指引中央企业全面风险管理指引( (续续) ) 适适 用用 于于 开开 采采 业业 、 制制 造造 业业 定定 量量 方方 法法 一一 评评 分分 12345 定定 性性 与与 定定 量量 结结 合合 安安 全全 短暂影响职工或 公民的健康 严重影响一位职 工或公民健康 严重影响多位职工 或公民健康 导致一位职工或公 民死亡 引致多位职工或公 民死亡 营营 运运 -对营运影响微弱 -在时间、人力或 成本方面不超出 预算1% -对营运影响

34、轻微 -受到监管者责难 -在时间、人力或 成本方面超出预 算1%-5% -减慢营业运作 -受到法规惩罚或 被罚款等 -在时间、人力或 成本方面超出预算 6%-10% -无法达到部分营 运目标或关键业绩 指标 -受到监管者的限 制 -在时间、人力或 成本方面超出预算 11%-20% -无法达到所有的 营运目标或关键业 绩指标 -违规操作使业务 受到中止 -时间、人力或成 本方面超出预算 20% 环环 境境 -对环境或社会造 成短暂的影响 -可不采取行动 -对环境或社会造 成一定的影响 -应通知政府有关 部门 -对环境造成中等 影响 -需一定时间才能 恢复 -出现个别投诉事 件 -应执行一定程度

35、的补救措施 -造成主要环境損 害 -需要相当长的时 间来恢复 -大规模的公众投 诉 -应执行重大的补 救措施 -无法弥补的灾难 性环境損害 -激起公众的愤怒 -潜在的大规模的 公众法律投诉 52 中央企业全面风险管理指引中央企业全面风险管理指引( (续续) ) l对风险发生可能性的高低和风险对目标影响程度进行定性或定量评估 后，依据评估结果绘制风险坐标图。 53 中央企业全面风险管理指引中央企业全面风险管理指引( (续续) ) l绘制风险坐标图的目的在于对多项风险进行直观的比较，从而确定各 风险管理的优先顺序和策略。如：某公司绘制了如下风险坐标图，并 将该图划分为a、b、c三个区域，公司决定承

36、担a区域中的各项风险且 不再增加控制措施；严格控制b区域中的各项风险且专门补充制定各项 控制措施；确保规避和转移c区域中的各项风险且优先安排实施各项防 范措施。 54 中央企业全面风险管理指引中央企业全面风险管理指引( (续续) ) l关键风险指标管理 l关键风险指标管理是对引起风险事件发生的关键成因指标 进行管理的方法。具体操作步骤： 1分析风险成因，从中找出关键成因。 2将关键成因量化，确定其度量，分析确定导致风险 事件发生（或极有可能发生）时该成因的具体数值。 3以该具体数值为基础，以发出风险预警信息为目的 ，加上或减去一定数值后形成新的数值，该数值即为关 键风险指标。 4建立风险预警系

37、统，即当关键成因数值达到关键风 险指标时，发出风险预警信息。 5制定出现风险预警信息时应采取的风险控制措施。 6跟踪监测关键成因数值的变化，一旦出现预警，即 实施风险控制措施。 55 中央企业全面风险管理指引中央企业全面风险管理指引( (续续) ) l压力测试 l指在极端情景下，分析评估风险管理模型或内控流程的 有效性，发现问题，制定改进措施的方法，目的是防止 出现重大损失事件。具体操作步骤： 1针对某一风险管理模型或内控流程，假设可能会 发生哪些极端情景。 2评估极端情景发生时，该风险管理模型或内控流 程是否有效，并分析对目标可能造成的损失。 3制定相应措施，进一步修改和完善风险管理模型 或内控流程。 56 中央企业全面风险管理指引中央企业全面风险管理指引( (续续) ) l风险管理策略 l指企业根据自身条件和外部环境，围绕企业发展战略， 确定风险偏好、风险承受度、风险管理有效性标准，选 择适合的风险管理工具的总体策略，并确定风险管理所 需人力和财力资源的配置原则。 一般情况下， l对战略、财务、运营和法律风险风险承担、风险规 避、风险转换、风险控制等方法。 l对能够通过保险