全面風(fēng)險(xiǎn)管理溯源

　　全面風(fēng)險(xiǎn)管理是一個(gè)全新的概念，它出自美國(guó)的COSO（即The Committee of Sponsoring Organizations of The National Commission of Fraudulent Financial Reporting全國(guó)虛假財(cái)務(wù)報(bào)告委員會(huì)下屬的發(fā)起人委員會(huì)）。根據(jù)塞班斯法案，COSO內(nèi)控框架是評(píng)估企業(yè)內(nèi)控的標(biāo)準(zhǔn)。在企業(yè)內(nèi)控領(lǐng)域央企率先邁出了第一步，2006年，國(guó)資委發(fā)布了《中央企業(yè)全面風(fēng)險(xiǎn)管理指引》。2010年4月，財(cái)政部等五部委聯(lián)合頒布了《企業(yè)內(nèi)部控制配套指引》，中國(guó)企業(yè)內(nèi)控規(guī)范體系初具雛形。這些都是以COSO為依據(jù)。

　　不過(guò)，全面風(fēng)險(xiǎn)管理與IT工具結(jié)合在中國(guó)剛剛起步，鮮見(jiàn)全面實(shí)施案例。盡管出于監(jiān)管要求、企業(yè)適應(yīng)外部競(jìng)爭(zhēng)環(huán)境和自身發(fā)展的需要，中國(guó)企業(yè)日漸重視風(fēng)險(xiǎn)管理，但是能做到風(fēng)險(xiǎn)管理信息化的企業(yè)鳳毛麟角。即使風(fēng)險(xiǎn)管理在一些企業(yè)已經(jīng)比較深入，但是離全面風(fēng)險(xiǎn)管理還很遙遠(yuǎn)。

　　為此，筆者專門(mén)采訪了北京殷塞信息技術(shù)有限公司CTO兼CIO朱東。朱東還在擔(dān)任中國(guó)航空技術(shù)國(guó)際控股有限公司信息技術(shù)部總經(jīng)理時(shí)，就傾心鉆研過(guò)理想企業(yè)模型，對(duì)目前在企業(yè)中鮮有實(shí)施的全面風(fēng)險(xiǎn)管理也進(jìn)行了透徹詳盡的研究。他逐字逐句鉆研財(cái)政部以及國(guó)資委發(fā)布的關(guān)于風(fēng)險(xiǎn)管控的規(guī)范和指引，“我們將這些規(guī)范全部掰開(kāi)揉碎了，然后一一對(duì)應(yīng)到企業(yè)的業(yè)務(wù)過(guò)程、IT系統(tǒng)中。”

　　要探討如何進(jìn)行全面風(fēng)險(xiǎn)管理，首先要搞清楚什么是風(fēng)險(xiǎn)，這是朱東一貫的思路。“風(fēng)險(xiǎn)是發(fā)生某種影響目標(biāo)完成的不確定因素。凡是使目標(biāo)不確定的因素都是風(fēng)險(xiǎn)，風(fēng)險(xiǎn)等于不確定。”以經(jīng)營(yíng)風(fēng)險(xiǎn)為例，經(jīng)營(yíng)風(fēng)險(xiǎn)就是影響企業(yè)完成經(jīng)營(yíng)目標(biāo)的、涉及日常經(jīng)營(yíng)管理方面事件的不確定性。由此，風(fēng)險(xiǎn)管理的過(guò)程包括建立風(fēng)險(xiǎn)管理環(huán)境、確定風(fēng)險(xiǎn)管理目標(biāo)、風(fēng)險(xiǎn)事件識(shí)別、風(fēng)險(xiǎn)評(píng)估、制定風(fēng)險(xiǎn)對(duì)策、實(shí)施風(fēng)險(xiǎn)控制、保證整個(gè)風(fēng)險(xiǎn)管理過(guò)程中信息共享與溝通、對(duì)風(fēng)險(xiǎn)管理活動(dòng)進(jìn)行監(jiān)控。

　　其次，梳理出企業(yè)進(jìn)行全面風(fēng)險(xiǎn)管理的理想做法。對(duì)風(fēng)險(xiǎn)管理的研究，朱東延續(xù)了之前建立理想企業(yè)模型的做法：尋找每個(gè)風(fēng)險(xiǎn)管控節(jié)點(diǎn)上的全球最佳實(shí)踐，參照相關(guān)的指引和規(guī)范將其實(shí)現(xiàn)。

　　第三，了解風(fēng)險(xiǎn)事件的一般分類，識(shí)別出企業(yè)經(jīng)營(yíng)管理中的重要事項(xiàng)。第四，確定企業(yè)涉及的風(fēng)險(xiǎn)類別，識(shí)別企業(yè)面對(duì)的風(fēng)險(xiǎn)事件。第五，制定風(fēng)險(xiǎn)對(duì)策，匯總風(fēng)險(xiǎn)分析結(jié)果，建立企業(yè)風(fēng)險(xiǎn)跟蹤表。第六，根據(jù)常見(jiàn)風(fēng)險(xiǎn)，在操作層面建立起全面風(fēng)險(xiǎn)防范基礎(chǔ)體系。第七，分析企業(yè)管理層和決策層的風(fēng)險(xiǎn)管理職責(zé)，構(gòu)建支持全面風(fēng)險(xiǎn)管理系統(tǒng)的IT系統(tǒng)架構(gòu)。第八，建立重點(diǎn)IT系統(tǒng)，實(shí)現(xiàn)企業(yè)全面風(fēng)險(xiǎn)管理。

　　風(fēng)險(xiǎn)分門(mén)別類

　　在COSO原文件中，對(duì)風(fēng)險(xiǎn)進(jìn)行了詳細(xì)的分類和闡述。從風(fēng)險(xiǎn)源上來(lái)講，可以分為外部因素和內(nèi)部因素。從外部環(huán)境來(lái)看，政局的動(dòng)蕩、金融風(fēng)暴、國(guó)際匯率的變化、不可預(yù)測(cè)的自然災(zāi)害、突發(fā)事故的襲擊、國(guó)際領(lǐng)導(dǎo)人的更替等等都會(huì)給企業(yè)帶來(lái)風(fēng)險(xiǎn)。從內(nèi)部經(jīng)營(yíng)和管理來(lái)看，盲目的投資擴(kuò)張、管理滯后、用人失當(dāng)、資金緊張等可能讓企業(yè)付出沉重的代價(jià)。

　　“風(fēng)險(xiǎn)無(wú)處不在，那么對(duì)于個(gè)體企業(yè)究竟構(gòu)不構(gòu)成風(fēng)險(xiǎn)，要根據(jù)企業(yè)自身的情況進(jìn)行識(shí)別。”在識(shí)別風(fēng)險(xiǎn)時(shí)，要把企業(yè)看做是內(nèi)外部有機(jī)聯(lián)系的統(tǒng)一整體，內(nèi)部各個(gè)部門(mén)之間是相互配合相互聯(lián)系的。風(fēng)險(xiǎn)通常可以分為戰(zhàn)略風(fēng)險(xiǎn)、財(cái)務(wù)風(fēng)險(xiǎn)、運(yùn)營(yíng)風(fēng)險(xiǎn)和危害性風(fēng)險(xiǎn)等。通過(guò)分類將各種不同的風(fēng)險(xiǎn)進(jìn)行分門(mén)別類，以此來(lái)判定企業(yè)所面臨的各種風(fēng)險(xiǎn)的級(jí)別。

　　在全面風(fēng)險(xiǎn)管理的研究成果中，風(fēng)險(xiǎn)評(píng)估和識(shí)別的最佳實(shí)踐來(lái)自于微軟風(fēng)險(xiǎn)評(píng)估表。在此基礎(chǔ)上，結(jié)合業(yè)界對(duì)全面風(fēng)險(xiǎn)管理的研究，朱東設(shè)計(jì)了一張風(fēng)險(xiǎn)地圖，它將每個(gè)風(fēng)險(xiǎn)事件的重要性和發(fā)生幾率都體現(xiàn)在地圖上。將風(fēng)險(xiǎn)分成不同的類別，依據(jù)發(fā)生的可能性和造成的嚴(yán)重性分門(mén)別類制定對(duì)策。最后將整個(gè)風(fēng)險(xiǎn)列出一張表，“每一個(gè)風(fēng)險(xiǎn)是什么，用哪些指標(biāo)來(lái)衡量，對(duì)此有什么樣的對(duì)策都一一對(duì)應(yīng)。企業(yè)所有員工依據(jù)這張表統(tǒng)一行動(dòng)。”

　　用IT逐層分解防范風(fēng)險(xiǎn)

　　在世界500強(qiáng)的企業(yè)名錄中，大約每隔10年就有1/3的企業(yè)從這個(gè)名錄中消失。忽視風(fēng)險(xiǎn)的存在可能會(huì)將企業(yè)帶入萬(wàn)劫不復(fù)的深淵。對(duì)于風(fēng)險(xiǎn)的防范和規(guī)避，朱東指出企業(yè)通常有兩種方法：一是基礎(chǔ)性防范，二是采取特殊措施。

　　依據(jù)理想企業(yè)模型，理想企業(yè)在每個(gè)環(huán)節(jié)的做法都是采用全球最佳實(shí)踐。當(dāng)尋找到每個(gè)點(diǎn)上的最佳實(shí)踐以后，按照理想企業(yè)的管理方法去設(shè)計(jì)IT工具。理想企業(yè)的做法認(rèn)為企業(yè)有三個(gè)層次的人員：操作層、管理層和決策層。三者各司其職，在風(fēng)險(xiǎn)管控中承擔(dān)各自不同的角色。“操作層員工主要進(jìn)行過(guò)程控制，管理層進(jìn)行全局型控制，決策層進(jìn)行整體分析和全局性監(jiān)督。”過(guò)程型控制分可計(jì)量型風(fēng)險(xiǎn)和不可計(jì)量型風(fēng)險(xiǎn)。全局型控制分可為計(jì)量型全局風(fēng)險(xiǎn)和事件型全局風(fēng)險(xiǎn)。整體分析的目標(biāo)是經(jīng)營(yíng)風(fēng)險(xiǎn)，全局性監(jiān)督的是全面的風(fēng)險(xiǎn)管理。

　　根據(jù)不同層面人員的工作職責(zé)，分別配以不同的IT系統(tǒng)，如BI、OA、ERP、CRM、SCM等。只有完備的IT系統(tǒng)才能支持完整的全面風(fēng)險(xiǎn)管理。“沒(méi)有任何一個(gè)信息系統(tǒng)能夠包打天下全面解決風(fēng)險(xiǎn)管理的問(wèn)題。每個(gè)系統(tǒng)在設(shè)計(jì)時(shí)都有自身不同的設(shè)計(jì)意圖，要巧妙運(yùn)用不同軟件的設(shè)計(jì)組合起來(lái)達(dá)到全面風(fēng)險(xiǎn)管理的目的。”

　　“我們把財(cái)政部?jī)?nèi)控基本規(guī)范和企業(yè)內(nèi)控應(yīng)用指引的要求，通過(guò)梳理全部落實(shí)到企業(yè)經(jīng)營(yíng)管理中的每一步。將國(guó)資委和財(cái)政部等部委相關(guān)的規(guī)范拿出來(lái)一一對(duì)應(yīng)，每落實(shí)一條涂一個(gè)顏色。當(dāng)整個(gè)規(guī)范全部被涂上顏色時(shí)就說(shuō)明全部得到了落實(shí)。”企業(yè)經(jīng)營(yíng)和管理中涉及到的各個(gè)流程在IT系統(tǒng)中得以固化，企業(yè)風(fēng)險(xiǎn)也借助IT工具能夠有效地監(jiān)控與防范。

　　在朱東對(duì)全面風(fēng)險(xiǎn)管理的研究體系中，風(fēng)險(xiǎn)地圖是最高決策層全面監(jiān)控風(fēng)險(xiǎn)的工具。通過(guò)地圖可以實(shí)時(shí)了解整個(gè)企業(yè)面臨的風(fēng)險(xiǎn)和變化。“比如當(dāng)銀行貸款利率高到一定程度，企業(yè)的一些業(yè)務(wù)就不能繼續(xù)開(kāi)展，否則將面臨巨大風(fēng)險(xiǎn)。那么，年初做計(jì)劃時(shí)就可以提前分析好貸款利率，一旦達(dá)到警戒值，立即亮紅燈，這樣決策層就能夠?qū)崟r(shí)知道整個(gè)企業(yè)面臨的所有風(fēng)險(xiǎn)。”

　　企業(yè)做全面風(fēng)險(xiǎn)管理的難點(diǎn)在于要吃透風(fēng)險(xiǎn)管控的本質(zhì)。“任何做企業(yè)的人都會(huì)面臨這樣的問(wèn)題，今年預(yù)期的銷售目標(biāo)是多少，如果出現(xiàn)怎樣的問(wèn)題和情形將有可能達(dá)不到目標(biāo)。這些影響企業(yè)經(jīng)營(yíng)的不確定性因素皆為風(fēng)險(xiǎn)。風(fēng)險(xiǎn)是無(wú)處不在的，它不是理論化的、抽象化的概念。”當(dāng)風(fēng)險(xiǎn)明確，利用IT工具將風(fēng)險(xiǎn)指標(biāo)層層進(jìn)行分解，落地到企業(yè)中，使得人人都是防范企業(yè)風(fēng)險(xiǎn)的主體。

　　朱東最后指出，中國(guó)企業(yè)的全面風(fēng)險(xiǎn)管理才剛剛開(kāi)始起步。中國(guó)企業(yè)遠(yuǎn)沒(méi)有像國(guó)外企業(yè)那樣感受到痛入骨髓的緊迫感。目前，風(fēng)險(xiǎn)管控主要是依靠國(guó)家的強(qiáng)制性要求在推進(jìn)。