一：什么是企業風險管理

COSO對企業風險管理作了如下定義：“企業風險管理是由企業董事會、管理層及其他人員實施，在戰略制定過程中和整個企業中予以采用的一個過程，它旨在識別可能會對企業產生影響的潛在事件，把風險控制在企業的承受能力之內，并為實現企業目標提供合理保證。”出于某種原因，本定義較為寬泛，反映了一些基本的概念。

1：是持續開展、貫穿整個企業的一種流程；

2：由企業內各級人員執行；

3：在戰略制定中實行；

4：在整個企業范圍內，也就是在企業的每個層面和每個單元中予以實行；包括從整個公司角度即組合的角度來審視風險；

5：旨在識別可能會對企業產生影響的潛在事件，把風險控制在企業的承受能力之內；

6：能夠為企業管理層和董事會提供合理保證；

7：目的是實現一個類別或多個分立而交疊的類別中的目標--只是“實現目標的一種手段，其本身并不是目標。”

企業風險管理是指建立有關的監督、控制和規范職能，以推動企業在不斷變化的經營環境下持續地提升其風險管理能力。企業風險管理也可以促進企業管理其主要風險的能力日趨成熟。公司只有首先解決了COSO定義中的所有上述概念之后，然后才可以理直氣壯地聲稱自己正在進行企業風險管理。

二：為什么要實施企業風險管理?

根據第1個問題中所闡明的企業風險管理定義，實施企業風險管理的最高目標是：就公司能夠實現其業務目標向公司管理層和董事會提供合理保證。在《框架》第1-4頁中，COSO指出：企業風險管理有助于管理層協調風險承受能力與企業戰略之間的匹配關系，強化風險應對決策，減少營運意外事件和損失，識別和管理貫穿整個企業的風險，建立抵抗多重風險的綜合響應預案，抓住機遇及改善資本配置。我們贊同COSO的觀點，并將在本文中進一步地討論這一觀點。我們認為實施企業風險管理有6個基本原因。每個原因都有助于將風險管理提升到一個戰略層面。這6個原因分別是：

(1) 減少績效不穩定性：企業風險管理幫助管理層：(a)評估重大事件發生的可能性及其影響效應；(b)提出預防這些事件發生或管理這些事件（如確實已經發生）影響的響應措施。絕大多數公司都只是重視久為人知的傳統風險，而很少有公司具有預測新風險的系統化流程。因此，許多公司等到知道了關鍵風險時，經常已經太晚了，或者只是因為偶然的機會才得以知道關鍵風險的，這難免會出現大量的“應急救火”和危機管理的場景，不僅大量地消耗資源，而且也會產生新的薄弱環節。企業風險管理的戰略視野超越了只重視發生概率低的毀滅性重大風險的傳統風險管理范疇，涵蓋了更廣闊的風險管理領域，著重化解破壞企業價值主要源泉的風險。通過著力減少盈利波動、避免發生盈利相關的意外情況，和管理關鍵績效指標缺陷等手段，企業風險管理協助管理層增加經營績效的穩定性。企業風險管理改進了日益增長的化解風險成本的管理工作，提高了實現業務目標的成功率。

(2) 協調和整合風險管理的各種觀點：企業內部都有許多孤立的機構，擁有自己的風險管理觀，如財務、可保風險、信息技術。而在業務單位內，情況也是如此。這種孤立的思維定式會阻礙在全企業范圍內有效地分配資源和管理共有的風險。當風險管理的職能部門不止一個，而要管理的風險也不止一種時，就需要有一個通用的框架。例如，有些企業采取以下措施：

1：評估是否需要設立一名首席風險官，包括評估其作用、權力和工作匯報路徑；

2：將風險管理融入關鍵的管理活動，如戰略制定、業務規劃、資本支出、合并與收購的盡職審查和整合流程；

3：將風險管理同更有效的資源分配及風險轉移決策聯系起來；

4：確立用以衡量風險和風險管理績效的定性和定量方法，以提高透明度；

5：疊加多個業務單位共同的風險敞口，以了解企業價值所面臨的最大威脅，制定出風險應對綜合措施。

(3) 增強投資界和利益相關者的信心：在評估目標公司的過程中，機構投資者、評級機構和監管機構現在越來越經常地談到風險管理的重要性，而利益相關者也可能會要求企業管理層公開和評論企業在了解和管理風險方面的能力，以便對照所承受的風險，粗略地評估自己的投資回報是否足夠豐厚。隨著公司風險及風險管理能力的透明度不斷增強、公司的主要風險管理能力日趨完善，管理層也將能更有效、更清楚地解釋自己在處理現有及潛在的行業問題方面的成就。

(4) 強化公司治理：企業風險管理與公司治理總是相互關聯，互為增益。企業風險管理強化董事會的監督職能、強行對高級管理層層級的現行監督結構進行評估、澄清風險管理的作用和職責、確立風險管理的權力和范圍、并有效地溝通支持關鍵風險目標的各項風險應對舉措。所有這些活動都離不開良好的治理。同樣地，有效的治理也為下列兩項活動確立了基調：(a)了解風險及風險管理能力；(b)協調風險承受能力與企業尋求機遇行為之間的關系。董事經常會提出類似這樣的問題：“有哪些風險，怎么管理這些風險，你又是怎么知道這些風險的?”

(5)成功地響應不斷變化的業務環境：當今時代，業務環境不斷在變化，變化的節奏也越來越快，為此，企業必須提升自己識別風險、確定風險輕重緩急次序和規劃風險的能力。企業風險管理有助于管理層評估現有經營模式的各項基礎假設，評估在執行模型時所采用的各項戰略的效能，評估進行決策時所需的各種信息。企業風險管理激勵管理層識別未來的各種情景，評估這些情景出現的可能性和嚴峻性，識別主要風險，并增強企業管理此類風險的能力。由于環境在不斷變化，新的風險不斷地涌現出來，甚至升級，因此，要適時地采取相應的行動，必要時還要予以披露。這些活動都會影響到整個企業的資源分配。

(6) 協調戰略與企業文化之間的關系：企業風險管理幫助管理層建立風險意識，營造開放樂觀、積極向上的風險管理文化。在這樣的文化環境中，你可以提出任何問題而毋需擔心遭到打擊報復。對于涉及全公司的事情，企業風險管理通常會統一集中地制定政策，確定焦點、規范和控制措施。企業風險管理可以澄清冒險與避險之間的區別，改進衡量風險的量化工具，強化公司各級部門在管理風險活動中的問責體制，并幫助公司及時地識別風險特征的變化。此外，企業風險管理還有助于統籌創業活動和控制活動，保持兩者均衡，避免出現嚴重的懸殊。

三：在關注的范圍上，企業風險管理和現有風險管理方法之間有什么不同？

傳統的風險管理方法側重于保護資產負債表中列舉出來的有形資產和合約權利及責任，而企業風險管理則著重于提升經營戰略。企業風險管理的關注范圍和用途遠不僅限于保護實物資產和財務資產。就企業風險管理的方法來說，風險管理的范圍涵蓋整個公司，風險管理的用途不僅是保護，而且還要提升構成企業經營模式的有形和無形資產的獨特組合水平。這個觀點符合COSO的主張：企業風險管理在戰略制定過程中和整個企業中予以實行。由于市值經常遠高于資產負債表的歷史成本，因此對無形資產進行風險管理至關重要。就像潛在的未來事件可能會影響有形的實物資產和財務資產一樣，同樣地，它們也可能會影響主要的無形資產的價值，如客戶資產、員工/供應商資產和組織資產。其中，組織資產包括公司的獨特品牌、差別化戰略、創新性流程和專用系統等。這正是企業風險管理給企業帶來的精華-拓展風險管理的應用范圍以涵蓋所有的價值來源，而不僅僅局限于實物資產和財務資產，從而將風險管理提升到戰略的層面。構成價值來源的五類資產及每類資產實例圖示如下1：

上述五大資產類型囊括了支撐企業經營戰略的價值來源。由于企業風險管理強調制定戰略，那么，在管理層力圖做出最佳賭注，追求新的增長和收益機會時，風險管理工作實質上已經從規避和對沖風險的博弈術轉變成了一種保值增值的差別化技能。企業風險管理幫助管理人員樹立信心，充分理解和管理自己所面臨的風險，進而激勵管理層尋求更佳的發展機會。

如果管理層能識別出究竟是哪些潛在的未來事件，可能會影響到那些對企業執行經營模式起決定性作用的資產，那么，它就能借助風險評估流程，提出較全面的風險應對措施。在風險評估過程中，可能需要考慮的未來事件很多，下圖列出了這些潛在的未來事件的類別：

企業的價值來源（包括有形價值和無形價值）與生俱來地存在于經營模式之中，受各種不確定因素的影響。因此，在致力于實現經營績效目標時，企業必須了解和管理這些不確定因素。這些不確定因素既可能來自企業外部，也可能來自企業內部。例如，環境風險是來自于影響企業經營模式生存能力的外部環境中的不確定因素。而流程風險則是影響經營模式的執行活動的不確定因素，因此，它們經常產生于企業業務流程的內部。由于知識和信息的不足可能會帶來更大的不確定性，所以，決策信息風險是對信息的相關性和可靠性產生影響的不確定因素，而這些信息卻又支持管理層做出保值增值的決策，因此必須予以重視。這3大類風險-環境風險、流程風險和決策信息風險-為深刻地了解任何一種業務中不確定因素的來源提供了一個基礎。如第75個問題所述，這些風險類型又由許多更細分的未來事件組成，所以，在評估風險和制定恰當的風險應對措施的過程中，它們同樣也可能成為需要關注的焦點。

總之，有關未來的不確定性會產生風險，而企業風險管理拓寬了風險管理的關注范圍，將企業價值的所有重大來源都涵蓋在內。通過了解企業中引起不確定性的內外部關鍵變量，連續長時間地監督它們的變化趨勢，管理層就可以更有效地經營企業，發揮企業經營模式的潛力。下表列舉出一些經常能見到的事件，闡述這一觀點。

各種企業都普遍地存在著上述的這些關鍵變量。就任一個關鍵變量而言，相應地都會伴有多種潛在的未來事件，為評估和管理風險提供了依據。戰略制定中的一個基本原則也進一步說明了這種依據：潛在的未來事件或后果的離散度越大，企業不確定收益的發生機率也就越高。企業對風險的敏感度隨多方面因素而變化：(1)變革或未來事件給企業帶來的風險敞口的重大程度；(2)這些變革和未來事件發生的可能性；(3)萬一這些可能的未來變革或事件出現后，管理相應的業務影響的能力。企業風險管理基礎設施有助于提升企業的風險管理能力，進而更好地認識和了解這些關鍵變量（或風險），提高管理這些變量變化所形成的效應的能力。

四：實施企業風險管理的價值主張是什么？

董事們和首席執行官都需要面對許多挑戰。他們必須得集中企業力量，不失時機地利用新生的機遇。他們必須得把稀缺資源持續不斷地投入到雖前景樂觀而仍存在不確定因素的業務活動中。他們必須得在不斷變化的環境中管理企業。與此同時，他們還必須得做到胸有成竹，能夠消除投資者、董事及其他利益相關者的疑慮，讓他們相信自己的企業知道如何保護和提升企業的價值。風險特征無時不在變化，在這樣的環境中，董事們和首席執行官們就需要企業內各方面的績效都要達到一個較好的水平，包括風險管理。

企業風險管理借助建立監督、控制和規范等職能手段，來推動公司不斷地提升其在持續變化的經營環境下管理風險的能力，進而幫助董事們和首席執行官成功地應對各種挑戰。企業風險管理提供了必要的流程和工具，有了這些工具，在為利益相關者持續地創造價值時，企業就能更有效地評估、接受和管理不確定因素。因而，可以說企業風險管理重新定義了風險管理的價值主張。風險管理能力對經營模式的順利實施至關重要。企業風險管理正是通過持續改進這方面的能力，成功地將風險管理提升到戰略的層面。除了推動企業的主要風險管理能力日趨成熟以外，與此同時，企業風險管理還從以下三個方面來幫助管理層保護和提升企業的價值。第一，企業風險管理重視建立可持續的競爭優勢。第二，優化風險管理的成本。第三，幫助管理層改善經營業績。這些優點重新定義了風險管理對于一個企業的價值主張。

下圖說明了企業風險管理的價值主張：

企業風險管理的這些增值貢獻給風險管理工作可能帶來的一個最大益處就是增加了董事會、首席執行官和高級管理層的信心。這些利益相關者需要知道：風險和機會需要在整個企業的基礎上，按照同企業風險承受能力和創造價值的經營模式相一致的方式，進行系統地識別和深入地分析，并本著符合成本效益的原則加以管理。通過實施企業風險管理，管理層可以更好地了解業務經營中的固有風險。他們了解賴以識別風險的流程，及時地分配風險責任，確保及時地制定風險應對措施，和有效地監督風險應對措施的執行情況，并在新的風險投資活動中采用風險評估系統技術。他們堅持在制定經營計劃中，要審慎地研究風險，確保所提出的經營計劃更加堅實可行，行之有效。總之，在企業風險管理的環境下，要經常地質疑支撐經營模式的各種假設，并在持續改善和變化的過程中做出相應的調整（如有必要的話）。

值得注意的是，上述闡述僅是一般性的結論。由于一般性的價值主張不足以促使高級管理層做出決策，對企業風險管理基礎設施進行投資，因此，還必須輔以更詳細的闡述，才能達到目的。我們可以進行企業風險評估，并針對企業目前的主要風險管理能力進行差距分析，從而得出這些詳細的闡述。正如第85個問題所述，企業風險管理能力的現有水平和希望達到的水平之間的差距越大，企業就越需要強化其企業風險管理基礎設施，以期提高這些能力。這種認識有助于增加企業風險管理價值主張的針對性，增強其說服力。總之，有效的企業風險管理基礎設施能成為一個本源的差別化因素，把市場幸存者和行業領先者區分開來。除了上述的優勢之外，在當今越來越苛求挑剔的環境中，重新定義風險管理的價值主張還能豐富和充實首席執行官同利益相關者間進行溝通的內涵。企業風險管理基礎設施還能激勵和增強符合企業經營目標、戰略和績效目標的預期行為。企業風險管理方法能使企業的經營模式實現差別化，進而幫助公司在客戶、供應商和雇員中及資本市場上樹立自己的形象，提高自己的聲望。所有這一切都是維持企業成功的關鍵。

五：哪些公司正在實施企業風險管理?

可以理直氣壯地聲稱自己已經全面實施COSO所界定的企業風險管理的公司即便是有，也是極少。就大多數公司來說，傳統風險管理模式與企業風險管理之間的鴻溝太寬（如第6個問題所述），它們很難跨越過去。例如，根據COSO的定義，企業風險管理的運用要“貫穿于……整個企業。”但是，由于克服沿用已久的孤立式風險管理傳統模式，需要改變企業的經營運作行為，因此，對于多數公司而言，在全企業的范圍內對風險進行全面的管理，這個實施標準很高。所以，近年來，在實施企業風險管理的公司之中，大多數公司都是極具遠見的公司，而不是那些主流公司。相對于其他方法來說，企業風險管理堪稱一流，因為它囊括了各種公司在各種方式下所采用的不同技術。憑借全機構已有的管理市場和信用風險的整體能力，金融服務機構可能已經走到了企業風險管理領域的最前沿。然而，要從整個企業的全盤角度解決整體經營風險，即便是這些機構也還有很大的差距。