山东航空集团有限公司全面风险管理体系

1、山东航空集团有限公司全面风险管理体系第3章山航集团风险管理的现状3.1山航集团简介截止2011年年底，山航集团资产规模100亿元，人员8000人，集团控股、参股公司5个，其中山航股份资产规模90亿元，人员5000人，控股、参股公司3个。集团设办公室、人事部、规划投资部、财务部、党群工作部（党委办公室、工会办公室）、审计监察部（纪委办公室）、酒店管理公司等部门和单位。股份公司设企管部、财务部、营销委、货运部、飞行部、飞行技术管理部、机务工程公司、人力资源部、投资采购部、运行标准部、航空安全管理部、航务部、值班经理室、地面服务部、信息管理部、培训部、保卫部、客船部、综合保障部、北京基地、青岛分公司

2、、烟台分公司、厦门分公司等部门和单位。2007-2009年集团公司和股份公司进行了组织创新和流程再造工程，完善了组织机构，建立了竞聘上岗机制并选拔了一批人才。目前公司进入全面发展的新阶段，按照公司2010年研究提出的“十二五”战略目标，公司在“十二五”末，公司规模将翻一番，将要达到100架飞机的规模，人员10000人以上，形成200亿的收入能力（来自于2010年2月山东航空集团发展战略研讨会会议材料）。高铁冲击、金融危机、国家信贷政策变化、国家监管政策（尤其是国资委对新型金融工具的监管）等新形势的变化现实要求我们应进行风险管理体系建设。按照财政部等五部委的要求，公司在不远的将来，势必需要全面执

3、行国家有关内控和全面风险管理方面的规范，尤其是随着集团发展规模的扩大，面临的风险环境越来越复杂，这种要求也越来越迫切。3.2山航集团风险管理存在的不足山航集团历来就十分强调安全生产，始终坚持安全第一的管理思想，保持了安全飞行十五周年的骄人安全业绩。自开飞以来，尤其是近几年公司管理层多次在各种不同场合表示要综合控制集团发展和公司运营过程中的各类风险，尤其是在金融危机发生以后，集团迅速启动了应急应对机制，研究制定了 “过冬战略”及其一系列增收节支措施，进一步强化了现金流控制，这些应对措施在2008年下半年到2009年发挥了重要作用，为2009年全年大幅度盈利做出了重大贡献。但足，公司在风险管理制度

4、流程设计、内部环境体系、风险评估体系、风险管理信总化等各个力ifi丨仍需改进，并最终形成全面的体系。3.2.1内部环境有待改善系统的风险管理制度缺失，控制环境存待于进一步改善。11前公司尚未进行系统的风险符理体系建设，风险管现的理念在管理制度的各个原面和管理环节没有进行明确体现，风险点没有明晰，责任没有明确。比如：hi前的符理制度屮，一向是奖励多、惩戒少，股份公司曾经存13种奖励文件的存在，仍是在责任追究机制建设方面一直处于落后的阶段，在干部职工违规违纪等方面缺乏制度约束（多数仅仅依靠劳动合同法的约束），所以导致干部职工违规违纪都是一事一议，容易造成责任追究缺乏依据、大事化小小事化了的局面，起

5、不到警示作用，这也是效率低下的原因之一（追责机制建设目前迫在眉睫）。控制环境包括治理职能和管理职能，以及治理层和管理层对内部控制及其重要性的态度、认识和措施。主要包括诚信和道德价值观念的沟通与落实（企业文化）、对胜任能力的重视、治理层的参与程度、管理层的理念和经营风格、组织结构、职权与责任的分配、人力资源政策与实务等要素，其中在人力资源培养和胜任能力建设方面还要进一步提升。比如：公司已经建立起干部选拔和业绩考核机制，但是需要进一步在科学化提高；落聘干部有一定的管理能力和实践经验，是否可以根据公司发展的需要创造适合他们的岗位，同时有方向、有目的的进行专门的培养（不是简单的培训，是培养)，两方面结

6、合，充分利用其才能，达到“共赢”的效果。3.2.2管理范围缺失管理制度不协调，控制范围不全面。目前山航集团正在进一步梳理丁作流程，编制新版的岗位说明书和管理文件，在这个转型时期许多现有的管理制度还在一定程度上存在边界不清、责任不明的现象，尤其是目前的应急机制仅限于安全生产领域尚未扩大到全部的管理环节，而且在风险出现时在风险应对措施方面还不够健全，因此在管理范围方面也存在一定的缺失。3.2.3风险管理人才缺乏山航集团全面风险管理工作目前尚处在一个起步阶段、初级阶段，而风险管理又是一项难度大、专业性强的工作，风险管理人才还存在严重的短缺。3.2.4风险管理外包风险因为缺乏全面风险管理工作的人员，公

7、司会选择将风险管理工作外也，比如使用会计师事务所、律师事务所、咨询公司、保险公司、信用评级机构等专业机构，去承担风险管理的工作。外包有助于提高公司的运营效率，帮助公司规避了一些风险，提升企业经营管理工作的专业化水平外包。但是公司也面临因泄密带来的商业风险，外部机构水平参差不齐，其信用水平、人员素质、专业水平往往给企业带来新的风险，因此要格外注意防控。如企业信用评估机构的风险管理，风险管理咨询机构，保险公司，律师事务所，会计等其他专业组织，并承诺企业的工作。外包在一定程度上，提高企业管理工作的专业水平，提高的运营效率企业，帮助企业规避一些风险，但同时由于风险管理工作涉及到公司的机密的企业在选择外

8、部机构一定要谨慎和小心的外部机构，资信程度，人员素质，业务水平也给企业带来新的风险，应注意预防和控制。3.2.5风险评估工作薄弱风险管理工作的成效，需要制定标准去衡量，主要标准冇：企业全面风险管理体系的制定足充分考虑到企业主要的业务和管理流程；企业使用的风险识别与评估标唯是有效；企业确定的风险偏好、风险承受度是否合理、有效；企业全面风险管理组织机构的设置是否合理，人员是否尽责；楚15对重大风险进行了合理评佔并采取了存效解决方案，体系是否健全且有效执行；等等。这些标准对企业风险管理体系的有效性进行了大体上的定性的描述。但是，要将企业全面风险管理的有效性检验与企业的绩效考核工作对接，使其与企业负责

9、人激励约束机制的挂钩，还需要进行必要的量化评价，评价方法可以效仿绩效考核工作中对定性指标（评议指标）的评价方法进行，即由评议人员依据评价参考标准对非计量因素进行深入分析和判断，评判等级，计算分数，实现非量化指标和量化指标的结合。ill然n前现在也在进行安全生产的屯计和风险评估，但是目前的工作还是相对比较飢艇，评沾的结果也离公司的要求有较大的差距。3.2.6关键风险控制点存在的问题(1)企业发展战略方而：下属公司缺少独立的战略体系，11前没存负责战略规划的纟丨1织机构，也缺少相应的制度文件，未能形成符介下屈公司丨1身的总体规划。战略规划在)?货传达过积屮尺度不好把握，对不同原级的这传内容缺乏明确

10、的控制要求。此外，绩效考核中对战略管理的支持力度不够，只有减分没有加分，所占权重影响力不足。(2)具体业务层面：资金管理：外汇收款时，业务部门不能及时准确反馈收款信息，可能引起退汇或利息损失；目前资金预算未纳入全面预算，主要依靠月、周资金计划来控制资金的安排，还需进一步完善中长期资金计划，通过资金计划统筹安排资金，提高资金效率。全面预算：预算是按项目来口径下达，而核算是按财务科目的口径，存在预算与核算科目体系不一致的情况，无法进行科目之间的对比，不利于预算执行情况的监控；预算外申请过于频繁，影响总体预算的稳定性，以及影响以后预算的编制质量。固定资产：公司人员在部门间流动时，有时未及时办理资产调

11、拨手续，资产使用信息与资产台账信息不符，存在资产台账不能如实反映实际的情况。采购业务：专业人员人数跟不上业务发展速度，人员少，并未建立明确的供应商评价体系和采购业务的后评估制度。销售业务：未建立针对客货代理人信用评价体系。航材管理：现有航材业务系统没有集成财务，相对落后，生产、维修业务尚未通过系统管理，财务没有针对机务的核算系统，仍在手工核算；部分规定出台时间早、相对简单，已不适应新形势和新要求，如航材管理规定1998年出台，至今14年未修订。信息系统：在信息系统管理中，各系统由各管理部门来履行系统管理的职责，在账户管理、授权、信息保密等方面缺乏监督检查的部门。3.3目前面临的主要风险分析3.

12、3.1战略风险战略风险是航空运输企业在分析与制定、评价与选择、执行与控制集团战略过程中面临的风险。航空运输企业战略是航空集团根据其外部环境及内部资源和能力的状况，为求得自身生存和长期稳定发展，为不断获得新的竞争优势，对航空集团发展目标、达到目标的途径和手段的总体谋划。它的本质是航空运输企业竞争形式的一种定位，是航空运输企业的一种经营模式，是航空运输企业高层领导人的一种价值观，是航空运输企业管理的一种创新，是航空运输企业的一种行动计划。由于航空运输企业战略具有全局性及复杂性、未来性及超前性、系统性及层次性、竞争性及合作性、稳定性及动态性的特点，所以在分析与制定、评价与选择、执行与控制战略过程中就

13、不可避免地面临许多不确定性。例如，分析与制定战略时，必须对航空运输企业的外部环境进行分析，包括对世界经济发展趋势、我国经济发展趋势、航空运输业发展趋势、航空运输企业本身的发展趋势等进行分析。这时就有战略制定后，世界经济实际发展趋势与制定战略时预测的世界经济发展趋势不一致或正好相反的风险，影响战略目标的实现。航空运输企业战略风险是宏观风险。它可以从以下方面进行识别：(1)国际经济环境的风险识别，包括全球经济一体化带来的风险；全球信息化带来的风险；天空jt放带来的风险；战争、投机等因素引起航油价格波动带来的风险等。(2)国内宏观经济环境的风险识别，包括国家政策变化带来的风险；国有经济布局的战略性调

14、整带来的风险；国民经济总体发展速度、发展格局、发展周期、发展水平带来的风险；公路、铁路、水路发展状况带来的风险等。(3)航空运输行业环境的风险识别，包括行业竞争对手实力增强带来的风险；行业限制条件放宽带来的风险等。航空运输企业内部条件的风险识别，包括管理能力带来的风险；高层领导配合度带来的风险；管理体制及组织机构不适应集团发展带来的风险；廉政方面带来的风险等。(5)确定航空运输企业愿景的风险识别，包括使命不明确带来的风险；经营主业不突出带来的风险；发展甜景不淸晰带来的风险等。(6)制定战略h标的风险识别，包括战略13标过高带来的风险；战略11标不可度量、没有挑战性、不系统带来的风险；战略标受政

15、府干预带来的风险等。(7)战略选择的风险识别，括多元化经营带来的风险；跨国经营带来的风险；兼并重组带来的风险；战略联盟带来的风险等。前我国航空运输企业均进行多元化经营，而且一般均有按照w家观政策需要进行兼并重机，这将给航空运输企业带来更大的风险。(8)战略实施的风险识别，包括航空运输企业实施能力不够带来的风险；没有根据实际情况及时调整战略带来的风险；资源投入不足带来的风险；信息流转不畅带来的风险；企业文化与战略不相匹配带来的风险；激励效果不佳带来的风险等。3.3.2财务风险财务风险是航空运输企业进行各项财务管理活动时可能遇到的各种风险。主要包括流动性风险、结算风险、汇率风险、利率风险、经济合同

16、风险、投资风险、债务风险、信用风险、担保风险、预算和计划风险、财务数据不完整或不准确带来的风险、财务分析风险、税收方面带来的风险等方面。首先，航空运输企业不仅大量采取融资租赁方式引进飞机而背负沉重的外币负债，而且均由于经营许多国际航线而赚取大量外币收入。外币汇率稍微波动就会给航空运输企业带来较大风险。利率的波动可能增加航空运输企业的财务费用和减少投资项目的回报。其次，航空运输企业是资金密集型产业，资金的需求量十分大。如果现金回笼速度慢、资产变现能力差，可能导致航空运输企业陷于财务危机，增加流动性风险。第三，航空运输企业的结算十分复杂。不仅销售和收入实现基本不是同步进行，而且航空票证的销售大部分

17、通过销售代理进行销售，同时航空企业之间互相销售代理和票证的签转，互相代理和签转的航空公司既有国内的航空企业又有国外的航空公司。这方方面面将给航空运输企业带来结算风险。第四，航空运输企业管理层在缺乏财务数据或财务数据不准确可靠和缺乏其他相关决策信息的基础上作出的投资决策，将会带来投资不治而造成经济效益下滑、投资成本上升的投资风险。最后，在履行各项经济合同的过程中，合约对方违反合同规定或遇不可抗力影响，造成经济损失将给航空运输企业带来经济合同风险。举债不当或举债后资金使用不当将给航空运输企业带来债务风险。航空运输企业为其他企业提供各种担保。其他企业财务状况恶化不能履行所担保的义务时，航空运输企业代

18、为其履行相应义务而遭受损失将为航空运输企业带来担保风险。代理商长期拖欠票款，造成航空运输企业资金被大量占用，使企业受损；或本集团没能按期完成合同，造成被大量罚款，并最终失去顾客等，均给航空运输企业带来信用风险。预算和计划不切实际，根本无法执行带来预算和计划风险。财务数据不够准确、完整、及时，无法有效、全面、真实反映航空运输企业经营状况带来的财务风险。财务人员素质不高，不能及时作出科学、客观财务分析带来的财务分析风险。税收政策的变化、税务问题处理的不规范、不合理等给航空运输企业带来税收风险。3.3.3运营风险（安全生产）运营风险是航空运输企业进行各项生产管理活动中面临的各种风险。按照运营风险发生

19、的环节分析，其主要包括：财务部门运营风险，结算中心运营风险，人力资源管理部门运营风险，法律事务部门运齊风险，规划发展部门运营风险，行政管理部门运背风险，屯计部门运营风险，纪检、工会、党群工作等部门运营风险，市场部门运营风险，销售部门运营风险，机务维修部门运营风险，地面保障部门运营风险，飞行部门运营风险，签派部门运营风险，宣传部门运营风险，分子公司运营风险，国内营业部、国外办事处运营风险等。按照造成运营风险的原因分析，其主要包括：人为差错带来的风险，员工道德风险，职责不明确而造成的风险，流程不合理导致的风险，信息流转不畅带来的风险，技术落后带来的风险，设备老化带来的风险，员工业务能力较低带来的风

20、险，规章制度不健全带来的风险，组织机构臃肿带来的风险，管理能力不强带来的风险，安全符理不力带来的风险。3.3.4市场风险激烈的市场竞争给航空运输企业带来1:1大的市场风险。市场风险一方而来源于购入航油、航材等生产资料或接受机场、地面服务代理等提供服务的市场，乂一方面来源于航空运输企业向濟在顾客提供服务的市场。其丨?:要也括：产品或服务价格风险、产品或服务质ffl风险、产品或服务创新风险、供应商变更风险、顾客流失风险、库存风险、物流风险等。3.3.5灾害风险灾害风险是自然灾害或人为灾害给航空运输企业带来的风险。主要包括：火灾、地震、海陳、流行疾病等自然灾害带来的风险和战争、恐怖袭击、政局动荡、政

21、策变更、盗窃等人为因素带来的风险。第4章山航集团全面风险管理体系的构建4.1确定风险管理的目标和原则4.1.1 标山航集团全面风险管理体系建设的总体目标是：为公司持续健康发展和实现战略目标提供合理保证。目标设定应考虑以下因素：(1)企业层面：是否有明确的目标；目标是否有广泛的基础；企业战略是否与企业目标相匹配。业务层面：各业务层面目标是否与企业目标一致；各业务层面目标是否衔接一致；各业务层面目标是否具有操作指导性。(2)结合企业的风险偏好，确定相应的风险承受度。公司风险承受度是指公司为实现战略目标和其他经营目标所愿意和能够承担的风险水平。其可用实现既定目标的可能性来度量，具体表现为公司对实现以

22、下具体目标的可能性所能承受的波动范围：一是公司战略目标分解下的公司年度利润和资产规模目标；二是公司持续发展目标，即公司不发生现金流风险；三是公司人力资源工作目标，即公司人才适配率满足公司战略发展的要求；四是公司安全生产目标，即公司年度不超过公司安全生产的规定。公司对各类重大风险设置两级承受度，作为公司风险管理的具体目标和r常风险预警的依据。一级承受度：表示实现公司战略目标和正常经营所能承受的风险水平，如风险达到或超出这一水平，将会影响公司战略目标的实现和经营业务的正常;/t展。超过一级承受度而没有达到二级承受度为黄色预警区。二级承受度：表示满足公司基本经营需求和继续生存所能承受的风险水平，如风

23、险达到或超出这一水平，将会对公司产生重大影响，甚至导致公司经营活动中断。超过二级承受度为红色预警区。4.1.2遵循的原则(1)战略导向原则。始终围绕公司战略目标的实现，将工作的重点放在影响公司战略目标实现的关键风险上。(2)防范与利用相结合的原则。在注重防范和控制风险可能给企业造成损失的同时，还应把机会风险视为公司的特殊资源，通过积极的风险管理为公司创造价值。(3)前端推进原则。从管理后台向业务前端椎进，从公罚总部向投资企业推进，逐级落实风险管理的目标、职能以及风险应对措施。(4)注重实效、逐步推进的原则。基于财务监督、审计监督、法律监督和纪检监察制度体系，有步骤、分阶段地推进全面风险管理体系

24、。4.2全面风险管理体系的构建流程4.2.1构建步驟根据确立的目标和全面风险管理原则，山航集团全面风险管理体系的构建，主要从内部环境体系、风险评估流程体系、风险管理信息与沟通体系建设展jt-。从内部环境的评价，到风险识别、评估、应对、监控，辅以有效的信息与沟通手段，并建立风险管理反馈机制，进行调整改进，形成动态化的风险管理机制。建设少骤：4.2.2风险管理体系各要素之间的关系在全面风险符理体系中，内部环境体系足进行风险管理的猫础和出发点，企业文化、组织架构等因素直接决定了风险管理的效率；风险评估体系是风险管理的核心，准确的事件识别、对风险的全面评估、有效的应对措施和监控手段，是风险管理成功的关

25、键因素；信息与沟通则为风险管理提供了数据等方面的保障。一个完善的风险管理体系还应包含反馈与调整改进环节，形成动态化的闭环管理。4.3内部环境体系建设山航集团全面风险管理的内部环境建设包括组织架构、发展战略、人力资源、企业文化、社会责任五个方面。具体内容如下：4.3.1组织架构(1)董事会、监事会、经理层是否相互制衡；董事会及各专业委员会、经理层的职责权限、任职条件、议事规则是否明确并严格履行。是否按设立独立董事和董事会秘书，独立董事是否独立履行职责；企业的重大决策、重大事项、重要人事任免及大额资金支付业务等，是否按照规定的权限和程序实行集体决策屯批或者联签制度，有效避免“一言堂”、“一支笔”现

26、象。(2)董事会、监事会、经理层是否致力于风险管理建设和执行；董事会、监事会、经理层在建立和实施风险管理中的职责分丁是否科学；董事会是否釆取必要措施促进和推动风险管理工作；是否按照职责分工提出风险管理评价意见；是否定期听取风险管理报告，督促风险管理整改，修订风险管理要求。(3)组织机构的设置是否科学、精简、高效、透明、权责匹配、相互制衡；组织机构的设置是否与企业业务特点相一致，是否能够控制各项业务关键控制环节；是否能够各司其职、各尽其责；是否能够避免重复部门、多余的控制；是否明确了分配，制定了指引并保持权责行使的透明度。(4)组织架构是否适应外部环境和企业情况；是否定期梳理治理结构和内部机构设

27、置，发现问题是否及时采取措施加以优化调整；是沾定期听取董事、监事、高级管理人员及其他员工的意见，按照规定的权限和程序决策屯批。(5)是否建立有效的资本管控制度，使组织架构对子公司是否具有控制力；足否按照公司章程履行出资人职责，保护股东权益，对异地、境外子公司的年度财务预决算、重要人事任免、重大投融资、大额资金使用、重大担保、主要资产处置、风险管理体系建设、发展战略等重要事项是否特别关注。4.3.2发展战略(1)公司是否综合考虑国内外市场需求变化、宏观经济政策、行业及竞争对手状况、技术发展趋势、自身优势与劣势和可利用资源水平等影响因素制定科学合理的发展战略；是否根据经营目标制定战略发展规划，确定

28、不同发展阶段的工作任务、工作目标和实施路径；是否设立战略委员会或指定相关机构负责战略发展管理工作，明确战略委员会的职能，并按规定履行职责；是否对经营目标进行可行性研究和科学认证，并报董事会、股东（大）会屯议批准。(2)公司制定年度工作计划、编制全面预算，确保发展战略的实施；是否采取有效方式将发展战略及其分解落实情况传递到内部各管理层级和全体员工。(3)公司及时监控发展战略的实施情况，并根据环境变化及风险评估等情况，及时对发展战略作出调整。4.3.3人力资源(1)人力资源政策是否有利于企业可持续发展和内部控制的冇效执行；是否明确各岗位职责权限、任职条件和工作要求，选拔是否三公，是否因事设岗、以岗

29、选人。(2)是否制定并实施关于员工辞退与辞职、聘用、培训、健康与安全、薪酬、ff升与奖惩、考核等方面的管理制度；是否建立员工培训长期制度。(3)楚否设置严谨的绩效考核指标体系，并严格考核评价，以此作为确定员工薪酬、职级调整和解除劳动同等的重要依据；是存在人才流失现象；是对关键岗位员i:訂强制休假制度或定期轮岗制度等方面的安排；是否对掌握國家秘密或重要秘密的w工离岗有限制性的规定；是否将布效执行内部控制纳入企业绩效考评体系。4.3.4企业文化(1)公ifj足采収切实科效的措施，积极培存：街丨身特1：1的企业文化，打造以主业为核心的企业品牌，促进企业长远发展。(2)公司董事、监事、经理及其他高级管

30、理人员是否在文化建设和履行社会责任中起到表率作用，是否促进文化建设在内部各层级的有效沟通；是否做到文化建设与发展战备的有机结合，使员工自身价值在企业发展中得到充分体现；是否重视并购重组后的企业文化建设，平等对待被并购方的员工，促进并购双方的文化融合。(3)公司是否建立企业文化评估制度，重点对经理和其他高级管理人员、监事、董事在企业文化建设中的责任履行情况、全体员工对企业经营管理行为与企业文化的一致性、员工对企业未来发展的信心、参与企业并购重组各方文化的融合度、企业品牌的社会影响力，以及企业核心价值观的认同感做出评估；是否研究影响企业文化建设的不利因素，分析深层次的原因，及时采取措施加以改进。4

31、.3.5社会责任(1)公司是否建立严格的安全生产管理体系、操作规范和应急预案，切实做到安全生产；是否落实安全生产责任，对安全生产的投入，包括人力、物力等，是否能保证及时发现、排队生产安全隐患；发生生产安全事故，是否妥善处理，排除故障，减轻损失，追究责任。是否有迟报、谅报、瞒报重大生产安全事故现象。(2)公司是否建立严格的产品质量控制和检验制度并严格执行，是否有良好的售后服务，能够妥善处理消费者提出的投诉和建议。(3)公司是否制定环境保护与资源节约制度，采取措施促进环境保护、生态建设和资源节约并实现节能减排目标；是否实施清洁生产，合理幵发利用不可再生资源。(4)公司是否依法保护员工的合法权益，保

32、持工作岗位相对稳定，积极促进充分就业；是否实现按劳分配、同工同酬、建立科学的员工薪酬制度和激励机制，是否建立高级管理人员与员工薪酬的正常增长机制；是否及时办理员工社会保险，足额缴纳社会保险费；是否维护员工健康，落实休息休假制度；是否积极彡t?展员工职业教育培训，创造平等发展机会。4.4风险管理评估系统风险评估系统在风险管理中居于核心位置。风险评估是对企业存在的弱点、面临的风险以及带来的影响进行辨识，并对风险的客观存在、发生的概率、造成的损失和范围等进行全面的估计与衡量，并制定相应的应对措施和监控手段。4.4.1事件识别事件识别是进行风险评估的基础和前提，风险管理的第一步是确定企业所面临的各种风

33、险，进行风险分类，发现导致风险的各种原因。扎实的风险识别，是风险评估和控制的效果得到保证的前提。在全面风险管理框架下，风险识别的0标，就是要广泛、持续地收集与本企业风险和风险管理相关的内部、外部初始信息，发现企业面临的各种风险。4.4.2风险评估风险评估使小：体能够考虑潜在事项影响1:1标实现的程度。管理者应从两个角度可能性和影响对事项进行评估，并且通常采用定性和定量相结合的方法。应该个别或分类考察整个主体中潜在事项的正面和负面影响。基于固存风险和剩余风险来进行风险评估。在风险评估过程中，可以采用多种操作方法，包括基于模型（model-based)的分析方法、驻于知识（knowledge-ba

34、sed)的分析方法、定量（quantitative)分析和定性（qualitative)分析，不管是什么方法，共同的目标是确定公司各业务层面面临的风险及其影响，以及目前风险管理水平与组织安全需求之间的差距。本文以定量分析和定性分析及两者相结合的方法进行评估。(1)定量分析。记景风险分析有四个靈要的概念：风险因素（exposure factor, hf)或者说损失的裡度，即特定风险对特定资产造成损失的il分比；-?y-预期损失（single loss expectancy, slb)即特定风险打丨能造成的潜在损失总景；姆年发生频率（annualized rate of occurrencc, a

35、ro)即某种风险在年内估计会发生的频率。年度预期损失（annualized loss expectancy, ale)或者称作 eac(estimated annual cost)，表示特定资产在一年内遭受损失的预期值。通过研究定量分析的过程，可对特定资产面临的风险进行量化，过程如下：首先，辨别资产并为其赋予数值或货币金额；通过风险和缺陷评估，评价特定风险作用于特定资产所造成的影响，即ef(取值在0%?100%之间）；计算特定风险发生的频率，即aro;计算资产的sle: sle = asset value x ef计算资产的ale:ale = sle x aro举例：假定山航集团投资10，00

36、0，000元建了一个货运仓库，其最大的威胁是火灾，一旦火灾发生，货运仓库的估计损失程度是35%。根据相关部门和历史资料推断，该货运仓库所在的地k每10年会发生一次火灾，那么可得出了 aro为0.10的结果。基于以上数据，山航集团货运仓库的ale将是350，000元。进行定量分析，最关键的指标有两个是：每年发生的频率（aro)和其他损失事件的威胁，可能会导致特定风险对特定资产造成损失的百分比（ef)。从纯理论角度看，定量分析可以对安全风险进行准确的分类，但它有一个前提，那就是供参考的数据指标是准确的，但在实践中，由于数据统计缺乏长期性，计算过程又极易出错，且影响风险的因素复杂多变，很难将所有因素

37、都加以量化，定量分析所依据的数据的可靠性是很难保证的。所以，目前的信息安全风险分析，采用定量分析或者纯定量分析方法的已经比较较为少见。(2)定量与定性分析相结合,通过风险坐标图的形式来显示公司面临的风险。风险坐标图是把风险发生可能性的高低、风险发生后对目标的影响程度，作为两个维度绘制在同一个平面上（即绘制成直角坐标系）。对风险发生可能性的高低、风险对目标影响程度的评估有定性、定量等方法。定性方法是直接用文字描述风险发生可能性的高低、风险对目标的影响程度，如“极低”、“低”、“中等”、“高”、“极高”等。定量方法是对风险发生可能性的高低、风险对目标影响程度用具有实际意义的数量描述，如对风险发生可

38、能性的高低用概率来表示，对目标影响程度用损失金额来表示。表4-1通过列出公司对风险发生可能性的定性、定量评佔标准及其相互对应关系，供实际操作中参考。风险控制，即采取控制措施，将风险控制在企业可承受的范围，可通过降低风险发生的概率或降低风险对计划的作用程度来实现。风险转移，即通过分包、保险、远期合约等方法将某些风险转移给其他经济主体承担。风险接受，即当潜在风险的影响程度在企业可承受范围内或者其管理成本超过预期收益时，不采取行动而是接受风险带来的影响，并运用风险准备金等手段弥补风险承担者的损失。4.4.4监控活动公司根据风险管理策略，针对各类风险或每一项重大风险制定风险管理解决方案。方案应包括：所

39、涉及的管理及业务流程，风险解决的具体目标，风险事件发生前、中、后所采取的具体应对措施，所需的条件、手段等资源，所需的组织领导，以及风险管理工具（如：关键风险指标管理、损失事件管理等）。在实践工作中，主要监控措施包括：建立岗位授权制度。对风险管理所涉及的各岗位明确规定授权的范围、条件、对象和额度等，任何组织和个人必须在授权范围内履行职责，不得超越授权。建立风险报告制度。明确规定接受报告人与报告人，报告的内容、时间、传递路线、负责处理报告的部门和人员、频率等。建立风险管理批准制度。对公司风险管理涉及的重大事项，明确规定批准的范围和额度、条件、程序、必备文件以及有权批准的部门和人员及其相应责任；建立

40、风险管理责任制度。按照责任、义务和权利相统一的原则，明确规定各岗位、有关部门和业务单位、人员应负的责任和奖惩制度。建立审计检查制度。结合风险管理的有关要求、方法、标准与流程，明确规定屯计检查的对象、内容、方式和负责屯计检查的部门等。建立考核评价制度。将风险管理执行情况与取位的绩效考核相结合，与绩效薪酬挂钩。建立重大风险预警制度。对重大风险制定应急预案，及时发布预警信息，进行持续不断的监测，并根据情况变化调整控制措施。建立企业法律顾问制度。大力加强企业法律风险防范机制建设，形成由企业决策层主导、企业总法律顾问牵头、企业法律顾问提供业务保障、全体员工共同参与的法律风险责任体系。完善公司重大法律纠纷

41、案件的备案管理制度。建立重要岗位权力制衡制度。要明确不相容岗位的设置与分离，主要包括：会计记录、业务经办、授权批准、稽核检查和财产保管等职责。对风险管理所涉及的重要岗位可通过一岗双职、双人、双责，相互制约；明确相关岗位的主管部门或主管人员对其应采取的检查监督办法和应负的主管责任；将该岗位作为内部带计的重点等。4.5风险管理信息系统风险管理信息体系包括信息收集及处理和传递的及时性、反舞弊机制的健全性、沟通的顺畅性、利用信息化程度四个方而，具体内容如下：4.5.1信息收集及处理和传递的及时性公司必须重视信息系统在内部控制中的作用，根据风险管理要求，结合组织架构、业务范围、地域分布、技术能力等因素，

42、制定信息系统建设整体规划，加大投入力度，有序组织信息系统jf?发、运行与维护，优化管理流程，防范经营风险，全面提升企业现代化管理水平。公司要指定专门机构对信息系统建设实施归口管理，明确相关单位的职责权限，建立有效工作机制。建立高效的信息收集、处理和传递程序，合理蹄选、核对、整理与管理及内部控制相关信息。4.5.2反舞弊机制的健全性(1)是建、:完整有效的反舞弊机制。(2)举报投诉制度和举报人保护制度是否及时准确传达到企业员工。(3)对舞弊事件和举报涉及的问题是否及时作出妥善的处理。4.5.3沟通的顺畅性(1)信息在公司内部、公司与外部有关方而之叫沟通是效。 (2)董事会、监事会、经理层是否能够

43、及时掌握经营管理和内部控制的重要信息并进行应对。(3)员工诉求是否有顺畅的反映渠道。4.5.4利用信息化程度(1)公司是否建立与经营管理相适应的信息系统，利用信息系统能够提高对业务事项自动控制水平。(2)在信息系统开发过程中是否对信息技术风险进行识别、评估和防范。(3)信息系统的一般控制是否涵盖信息系统开发与维护、访问与变更、数据输入与输出、文件存储与保管、网络安全、硬件设备、操作人员等方面，确保信息系统安全、稳定运行。(4)信息系统的应用控制是否紧密结合业务事项进行，利用信息技术固化流程，提高效率，减少或消除人为操纵因素。(5)信息系统是否建立并保持相关信息交流与沟通的记录。山航集团最终建设

44、成一套风险管理信息系统，与公司办公oa系统、aoc、sms系统、质量管理系统、飞行管理系统、机务管理系统、财务系统、航线收益系统等子系统一起嵌入一个系统，这样各单位使用的专门系统都在一个平台展现使用，同时加强公司各类信息子系统的的横向联系和整合力度。4.6风险管理反馈机制各部门、各经营单位应根据风险监控结果，综合考虑收益与成本，对风险管理应对方案进行调整和改进，内容包括：风险管理各组织机构的设置；风险管理各组织机构的职能权限；风险监控指标的选取；风险管理报告线路；风险评佔工具的选取和使用；风险管理各雄位之间的沟通方式、沟通效率；风险管理解决方案的形成过程；解决方案实施过程中的组织协调等内容。可

45、通过流程图来对风险监控结果进行调整改进，包括缺陷描述、缺陷认定、缺陷类型、涉及部门、整改事项、文件档案、完工期限等。调整改进流程(表4-3):表4-3调整改进流程4.7.1风险管理组织机构设置公司的风险管理机构设置为三个层级：第一层级是在各级子公司设置风险管理责任部门；第二层级是在公司设置风险管理责任部门；第三层级是在董事会下设风险管理委员会。(1)第一层级：业务部门风险管理职责。研究提出本职能部门或业务单位重大决策、重大风险、重大事件和重要业务流程的判断机制；研究提出本职能部门或业务单位的重大决策风险评估报告；（略）。(2)第二层级：总经理与风险管理专职部门（风险管理办公室或者审计部）职责。

46、研究提出全面风险管理工作报告；研究提出跨职能部门的重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制；（略）。(3)第三层级：董事会与风险管理委员会。董事会职责：屯议并向国资委提交公司全面风险管理年度工作报告；确定公司风险管理总体目标、风险偏好、风险承受度，批准风险管理策略和重大风险管理解决方案；（略）。风险管理委员会职责：屯议全面风险管理年度报告；屯议风险管理策略和重大风险管理解决方案；（略）。4.7.2风险管理工作流程根据风险管理各层级的划分和职责要求，公司在风险管理r常工作的流程安排（图4-4)。第5章全面风险管理在业务层面的应用全面风险管理体系的构建，公司业务层面的风险管理

47、提供了框架和流程。山航集团业务层面活动主要包括资金活动、采购业务、资产管理、销售业务、研究与开发、工程项目、担保业务、财务报告等活动的评价和全面预算、合同管理等手段等，论文列举了资金活动、采购业务、资产管理、销售业务等四个方面的风险管理活动。5.1资金活动风险管理5.1.1风险评价公司是否根据自身发展战略，系统的统筹安排投融资目标和规划，是否完善严格的资金批准、授权、屯验等相关管理制度，是否定期或不定期检查和评价资金活动情况，是否落实责任追究制度，确保资金安全和有效运行，是否明确筹资、投资、营运等各环节的职责权限和岗位分离要求，加强资金活动的集中归口管理。5.1.2风险管理措施(1)公司要结合

48、年度的总预算，确定募集资金的目标和规划，融资方案的制定是否充分估计资金成本和潜在的风险，是否有明确的目的、规模、结构和融资方式。(2)对筹资方案进行科学论证，不得依据未经论证的方案肝展筹资活动。(3)对筹资方案进行严格审批，尤其是对资金用途和偿还能力进行科学的论证。对重大筹资方案，是否按照公司章程、股东会、董事会议事规则进行帝批和审核。(4)根据批准的筹资方案，严格按照规定权限和程序筹集资金。银行借款，是否重点关注利率风险、筹资成本、偿还能力以及流动性风险等。(5)严格防范和控制资金使用的风险，根据筹资方案确定的资金安排统筹使用资金。(6)加强股利支付和债务偿还等环节的管理，对支付股利和债务偿

49、还等作出适当安排。(7)根据会计准则要求，准确核算和监督募集资金的本金、利息还款和支付股息等活动，完善保管融资合同或协议、收账凭证并定期与银行等进行账务合同，以保障筹资活动落实筹资计划的要求。(8)根据经营目标和计划，科学安排资金投放额度和结构，合理确定投资项目，制定投资方案，对投资项目的收益和风险加以重点关注。企业选择投资项目是否强调主营业务，屯慎从事证券投资或金融衍生产品等高风险投资。(9)强调对投资方案进行可行性的研究，重点对风险与收益、规模、投资目标、资金来源、方式等作出科学评价。(10)按照公司章程或股东会、董事会议事规则对投资项目进行流程审批，重大投资项目，是否按照实行集体决策或者

50、联签制度，着重屯查投资方案是否可行、是否符合企业投资战略園标和规划、投资项目楚否符合相关法律法规及国家产业政策的规定，投资和并购风险足否可控、投入资金能否按时收回、是否具有相应的资金能力、预期收益能否实现等。(11)根据批准的投资方案，与被投资方签订投资合同或协议，明确出资时问、金额、方式、双方权利义务和违约责任等内容，按规定的权限和程序屯批后履行投资协议或合同。(12)加强对投资项目的财务管理控制，依据对被投资方的参股或控股程度，合理确定投资会计政策，建立投资管理台账，详细记录投资金额、对象、期限、收益、持股比例等事项，并完善投资档案管理，加强对出资证明、投资协议或fr同等资料的保符。(13

51、)加强投资收回和处置环节的控制，对投资收回、转让、核销等决策和屯批程序作出明确规定。企业是否重视投资到期本金的丨1收。企业对于可能出现的投资损失，是否建立对责任人的追究和惩罚制度。(14)加强资金使用整个过程的监督，全而提升资金齊运效率，统簿协调公司各相关机构在经营发展过税中的融资需要，对资金在生产、销傅、采购等各业务环节的使用进行综合平衡。(15)根据严格执行全而预算管理，严格按照预算的要求协调和组织资金使用，确保现金流合理使用，达到资金的科学使用和资金收支的良性循环。(16)按期组织进行资金安全检查或召开资金调度会议，对资金安排使用情况进行全面分析，如有违规或其他情况，及时采取措施妥善处理

52、，确保企业的资金链安全和现金流稳定。(17)加强对营运资金的会计系统控制，严格规范资金的收支条件、程序和审批权限。5.2采购业务风险管理5.2.1风险管理评价公司是否结合实际情况，对采购业务流程进行全面梳理，是否合理安排采购计划，制定和完善采购业务的屯批审核制度，是否明确带购、购买、审批、付款、验收、采购后评价等环节的职责和屯批权限，采购业务是否严格按照规定的屯核权限和流程办理，是否建立询价、招标等价格管理机制，对釆购过程中的薄弱环节进行定期评价和检查，是否采取有效控制措施，确保采购业务能满足企业在生产经营中的需求。5.2.2风险管理措施(1)采购业务要集中，避免分散采购或多头采购，以降低采购成本，提高采购业务效率，规避采购业务的管理漏洞。(2)对相关经办人员定期进行轮换岗位。对技术性较强和重大的釆购业务，是否组织企业内部相关部门和外部专家进行调研论证，实行集体决策和审批。(3)建立釆购申请制度，依据接受劳务或购买物资的类型，确定归口管理部门，授予相应的请购权，明确相关部门或