风险管理作为一门成熟学科，不仅仅蕴含着历史发展的宏观背景，还包含着各大企业对风险管理的深刻运用和把握。近年来，越来越多的企业意识到了风险管理的重要性及优越性，企业也在不断摸索和实践中，总结自身得失，构造适合自身发展的风险管理体系。

       本期我们邀请到了王悦（注册会计师、注册税务师、国际内审师，《数字化内部审计职业技能等级标准》项目评委专家）老师担任课堂主讲。王悦老师会从风险管理的历史发展、风险管理的本质等多角度分析，详细阐述风险管理在企业应具备的标准和要求，为广大企业提供可借鉴学习的风险管理模式和准则。

本期内容将从四大方面详细叙述：

1. 以史为鉴看风险管理

2. 中国的风险管理实践

3. 风险管理本质的理解

4. 咨询机构与风险管理

以史为鉴看风险管理

在课程的第一部分，王老师通过举例和引用名句来层层分析，说明生活中的风险有狭义和广义之分。狭义风险是指可能发生的危险，广义风险更能代表事件发生的不确定性。

那企业风险究竟是什么呢？王老师根据不同机构的不同文件，详细揭示了各种风险的准确定义，并进一步指明《中央企业全面风险管理指引》对企业风险做了最为精准、深刻的定义，具体内容如下。

1. COSO机构的《企业风险管理框架》文件，指出风险是一个事件将会发生并给目标的实现带来负面影响的可能性。

2. IIA机构的《内部审计实务标准》文件，是指可能对目标的实现产生影响的事情发生的不确定性。

3. 国资委的《中央企业全面风险管理指引》文件，指明风险是未来的不确定性对企业实现其经营目标的影响。

古人云，“以史为鉴，可以知兴替。”王老师以历史进步的客观规律为基础，仔细梳理了企业风险管理的历史发展脉络，并借助德国金融危机、美国经济危机、二战起源等众多例子，逐层揭开企业风险管理的神秘面纱。

王老师认为企业风险管理的发展主要分为两个时期，即萌芽期和发展期。萌芽期可以追溯到一战结束后的德国，此时德国需要向同盟国支付巨额赔款，可这种支付引起德国财政赤字，德国政府入不敷出，最终促成了德国的金融危机。德国经济学家莱特纳出版了《企业风险论》，标志着风险管理学科的形成，可以说，德国金融危机促使人们思考企业风险问题。

当然，企业风险管理的萌芽期同样包括美国经济危机及二战起源，王老师用形象生动的例子，指出美国经济危机促使企业风险管理进一步发展。1930年，美国宾西尼亚大学教授Huebner在美国管理协会一次保险问题会议上首先提出“风险管理”概念。

王老师纵观历史，抓住要点，仔细总结了企业风险管理的发展期。1955年～1964年间，诞生了现代风险管理。在20世纪50年代美国企业界发生了两件大事，一是美国通用汽车公司的自动变速器装置引发火灾，造成经济损失，二是美国钢铁行业因人身保险福利问题，引起工人长达半年的罢工，给国民经济带来损失。

这两件大事促进了风险管理在企业界的推广，风险管理从此得到了蓬勃发展。1950年代风险管理发展成为一门学科，风险管理一词才形成。1960年后，风险管理从单纯转嫁风险的保险管理发展为经营管理为核心的风险管理。

如今，跨国企业的崛起促使企业风险管理在全球的兴起。王老师指出风险管理的全球化与三大方面有着直接联系，即1970年后逐渐掀起了全球性的风险管理运动、101条风险管理准则的诞生、风险管理向亚太地区发展。其中101条风险管理准则标志着主要经济体的共识。

从企业风险管理的发展历程来看，王老师强调了一个关键点。风险管理的发展离不开危机，可以说没有危机，就没有人们对于风险管理的深度思考。

关于企业风险管理的深层次意义，王老师提出了一个本质问题，“贵公司风险管理部门的成立是在什么背景下成立的？”

王老师还逐层剖析了101条风险管理准则的深刻内涵，101条风险管理准则共有12个部分，这些部分具有较强的保险色彩和时代印记。

对于普遍适用的5个部分已成为企业日常管理标准，王老师仔细挑选了5个部分来阐述企业风险管理的标准和具体要求，五大部分分别为风险管理的一般准则、风险辨认衡量准则、风险控制准则、风险理财准则、国际风险管理准则，这些部分指导意义依旧很强。

第一部分：风险管理的一般准则

风险管理的一般准则更像一个体系架构，一般准则包含了风险管理方案、风控目标、成本最低标准、风险管理部门的职责。王老师对一般准则做出了更为详细的总结和分析，具体内容如下。

1. 一个组织的风险规划方案必须配合企业之整体目标，且应随着目标之改变而改变。

2. 假如你要安稳的经营，你的风险管理方案最好能够更具冒险性及成本最低性。

3. 不要冒自己所不能够承担之风险，这是风险管理的底线。

4. 切勿冒因小利而受大害之风险。

5. 多加考虑损失发生之可能性。

6. 必须要有明确之风险管理目标，且此目标需与企业目标一致。

7. 风险管理部门是属服务部门，因此该部门对企业的贡献应以其执行能力之高低为基础。

8. 对任何重大之风险仅以控制对策或财务管理是不够的，必须将此两类对策做适当比例，正确之搭配方可。

第二部分：风险辨认衡量准则

风险辨认衡量准则实际上是风险管理方法论，财务分析、大数据分析、新项目评估、并购风险评估都是风险管理方法论的重要组成部分。王老师对风险辨认衡量准则有着深刻剖析和认识，具体内容如下。

9.  评估财务报表有助于辨认和衡量风险，这是财务分析的重要性。

10. 使用流程图分析有助于辨认一个供应商所引发之风险，或其他连带营业中断风险。

11. 如果要能更完整的辨认和评估风险，风险管理人员应亲自访问工厂和操作人员。

12. 可靠之资料储存库对估计机率和幅度是相当重要的，这就是大数据分析的优越性。

13. 正确和及时之风险资讯有助于降低风险。

14. 风险管理人员应评估新设计规划或任何新投资方案，即使事先能确保不产生风险管理问题。

15. 企业在合并、购买和短期合营事业上应确定已完成环境风险之评估工作。

16. 选择处理具有危险性之废弃物之厂商时，应以厂商在处理废弃物时，所采取之风险、控制手段是否良好、他们本身之财务结构是否稳定、或从事此危险工作所以引发之责任或损失是否良好之保险保障为主要之考虑依据。

17. 在重要的风险区域范围内，积极寻求可能涉及的非所愿事件。

第三部分：风险控制准则

风险控制准则如同工具方法，包含着成本管理、人员安全、资产保险、单一供应商、质量控制、文件存储等诸多方面。王老师在风险控制准则的基础上延伸出更多意义，具体内容如下。

18. 风险控制是项积极改善风险单位本身性质之工作，它可使成本做最有效之运用，同时亦有助单位或部门运营成本之控制。

19. 风险控制首要的理由是对人生命的保护。

20. 财产保全维护计划是为了保护公司的资产而设计的，并非为了保全人而设计的。

21. 对重要工厂和单一供货商，应留意他们需要超过HPR正常要求标准的防护措施。

22. 要把保险经纪人和保险人所提供之风险控制服务，视为自己公司的风险控制规划延伸的                       一部分，不能让他们突然地改变既有之服务内容。

23. 质量控制不应视为全部产品责任损失控制方案之替代品，所谓质量控制仅确保产品是依据既定之规格制造，不管此一规格是好是坏。

24. 政府机关所订有关的安全法规或标准应视为风险控制之最低要求。

25. 复制并分开储存有价值之数据文件，并且储备计算机处理数据上需要的软硬件零件。

26. 避免安排许多重要主管同乘一架飞机从事旅游或考察。

第四部分：风险理财准则

风险理财准则正是经济效益评价，这种评价包括风险管理的红线和底线、经济效益评价折现法、项目评价方法三大方面。王老师深刻理解并总结了风险理财准则的重要性，具体内容如下。

27. 风险管理应着重一次损失之发生，企业能承受之最大损失能力之水平或范围下所分开的两个不同之风险范围，低于此一范围水平之风险，求取保险与非保险对策之适切成本组合。高于此一范围水平之风险，尽可能转移风险，此时成本之有效性非决策标准，而以存活之机会为决策标准。

28. 较少预算限制之经济个体，只要对所有之风险管理方案，采取预期收益现值大于预期成本现值之方案即可获益。

29. 当为了有限预算和实际理由时，经济个体在选取互相冲突之风险管理方案时，经济个体应选择预期收益现值与预期成本现值差额最大的风险管理方案。

30. 公开竞标易引起市场崩溃，应予以回避。

31. 不要单单依赖某一保险人提供之保险。

32. 超过一半以上的追溯费率计划，反而妨碍弹性程度。

33. 税负减轻之优点仅能视为有利因子，他不是风险理财决策之主要理由。

34. 冒风险意愿着在经济上获益之机会。

第五部分：国际风险管理准则

王老师认为跨国企业面临的国际性风险、贸易保护主义、美国优先政策，尤其具有现实意义，具体内容如下。

60. 跨国企业应逐步提高国际性风险管理之责任。

61. 跨国企业应设立全球性风险和保险管理规划方案，不可完全依赖条款差异保险。

62. 被认可保险与不被认可保险之组合提供了最佳的全球性保险计划。

63. 避免使用海外之长期保单。

64. 在执行全球性风险管理方案时，必须保持警觉，并且不能低估国家主义所致之严重问题。

65. 不要忽视海外当地对全球性计划方案之反对。

通过王老师的循循善诱及强调总结，我们可以看出101风险管理准则从风险管理的体系架构、风险管理的方法论、风险管理的工具方法、风险管理的经济效益评价到跨国经营风险的防范，均做出了原则性要求。

纵观五大部分的具体标准，王老师指导大家不妨思考一个问题，“你觉得101风险管理准则对你开展风险管理工作有参考价值吗？”

 中国的风险管理实践

温习课程的第二部分，王老师总结了中国企业风险管理制度发展历程，1999年～2006年期间，《商业银行内部控制指引》、《中央企业全面风险管理指引》等各项文件都和内部控制息息相关。

王老师抓住本质，引导人们思考这样一个问题，“为什么2006年以前的文件基本都是围绕内部控制展开的？”

王老师以银广夏虚构财务报表事件、蓝田股份为例，给出了这个问题的答案，内部控制对于做好风险管理至关重要。但内部控制和风险管理有着千丝万缕的联系，内部控制并不是风险管理的全部。

那内部控制会不会失效呢？王老师详细分析了巴林银行倒闭事件，巴林银行的倒闭可谓是内控失效的典型案例，具体来说，可归纳为如下几点：

1. 岗位权责失衡。里森一人身兼首席交易员和清算主管两职。这两个职位属于权责不相容岗位，为巴林银行倒闭埋下了祸根。

2. 在企业内控方面存在重大缺陷，自行设立的“88888”账号未按规定撤销。

3. 审计监督失效。里森为了应对总部的审查，在花旗银行伪造了8000万美元的空头银行票据，用来补偿“88888”账户的损失。但总部在新加坡审计了一个多月，却没有人去审核8000万英镑存款的真实性。

4. 企业领导人风险意识淡薄。时任巴林银行的董事长彼得·巴林说过，“若想通过资产负债表来增加对一个公司的了解，那真是无比幼稚的。”

王老师一针见血地指出要点，内部控制有缺陷，会给企业带来巨大的风险。内部控制合规，不意味着风险管理能力高，内部控制不等于风险管理。王老师还举了一个德国发展银行案例，这个案例启发我们，即使有完善的内控措施，但是却没有完善的风险管理体系，同样会造成巨大的损失。

在企业风险管理方面，王老师认为《中央企业全面风险管理指引》是第一份系统性阐述风险管理的文件。

2006年6月6日，国务院国有资产监督管理委员会下发《中央企业全面风险管理指引》（国资发改革〔2006〕108号），共十章。

《指引》系统阐述了全面风险管理的目标、内容、流程、策略、重点、组织、职责、系统、文化等，应该说是开展风险管理的提纲挈领性文件。

《指引》对不同的企业提出了不同的风险管理策略，尤其是不具备全面风险管理的企业可采取的手段。《指引》明确指出风险管理目标和企业经营目标的一致性。

《指引》明确了业务部门和风险管理部门的职责划分，并强调必须将风险管理融入业务运营中，业务部门应将风险管理手段融入日常工作。王老师强调《指引》很重要，但必须活学活用，否则就会作茧自缚。

那应该如何学习《指引》呢？王老师凭借自己的丰富经验，为我们逐一解读了《指引》的意义和要求，具体内容如下。

1. 《指引》是关于风险管理的核心原则。

2. 《指引》的第一章重点阐述了全面风险管理的含义和目标。

3. 《指引》的第二章重点阐述了风险收集方法。

4. 《指引》的第三章重点阐述了风险评估方法。

5. 《指引》的第四章侧重于风险管理策略。

6. 《指引》的第五章围绕风险管理解决方案来逐层展开。

7. 《指引》的第六章讲述了风险管理的重点及相关部门的工作边界。

通过对《指引》的分析和认真学习，王老师强调全面风险管理工作是一把手工程，要求极高。这项工作成功的核心是业务部门掌握风险管理方法，并将其融入日常业务流程中，实现在日常工作中对重大风险的管理。

王老师还亲自指出了一些普遍误区，一是不能把风险管理当成是风险管理部的工作，寄希望于运动式的专项工作把风险管好。二是企业如果没有实践经验，生搬硬套《指引》，那么可能就会南辕北辙。

风险管理本质的解读

回顾课程的第三部分，王老师以股份公司为例，详细陈述了风险管理在实践中遇到的问题。实践中一些企业在理解上出现了偏差，亦或是一些咨询机构将风险管理带向了歧途，导致出现形式大于实质的问题，一些风险管理人员陷入流程、矩阵、表单、风险清单的海洋，实际效果并不理想。

关于风险管理的本质，王老师引用习总书记的讲话一语道破，“深刻认识和准确把握外部环境的深刻变化和我国改革稳定面临的新情况新问题新挑战，坚持底线思维，增强忧患意识，提高防控能力，着力防范化解重大风险，保持经济持续健康发展和社会大局稳定，为决胜全面建成小康社会、夺取新时代中国特色社会主义伟大胜利、实现中华民族伟大复兴的中国梦提供坚强保障。”

在习总书记的讲话中，王老师总结出风险管理的本质是坚守底线，在此之上防范、化解风险。企业风险管理的本质就是守住企业经营的红线与底线，并防范、化解经营风险。底线就是风险管理的坐标。

王老师还仔细区分了风险管理模式在不同行业中的特点，比如金融行业就包括两大特点，具体内容如下。

1. 风险管控底线指标易量化。

2. 风险管理部门易操作，破底线有权叫停业务。

对于非金融行业的风险管理模式，王老师也有自己的总结和心得，单项业务风险管理模式、内控合规风险管理模式、全面业务风险管理模式皆为非金融行业的风险管理模式。在风险管理部分中，非金融行业也有一些显著特点，王老师做出了较为详细的分析，具体内容如下。

1. 风险管控底线指标不易量化。

2. 风险管理部门不易操作，尤其涉及到定性判断。

王老师对非金融行业的三大风险管理模式，提出了自己的深刻见解和完善。如单项业务风险管理模式聚焦于某一重要风险业务，单项业务风险管理有两个典型代表，具体内容如下。

1. 法务风险管理部聚焦于法律业务风险，适用于对外合作业务较多、法律合规风险高的企业。

2. 投资风险管理部聚焦于投资并购风险，适用于投资并购业务较多、投资风险高的企业。

王老师还对单项业务风险管理的特点做出了总结，具体内容如下。

1. 风险管理部门和业务部门紧密结合，属于业务流程中不可或缺的环节。

2. 不刻意强调改变其他业务部门的流程制度，默认原有的业务管理流程可以有效化解相关风险。

3. 风险管理聚焦于特定领域，管理模式清晰，跨部门协调成本低。

4. 风险管控红线和底线清晰，定性指标有法律依据、定量指标可测算。

当然单项业务风险管理也有具体流程和管理机制，王老师通过地产公司投资案例，逐层剖析出单项业务风险管理的管理机制，即目标设定、风险识别、风险分类、风险分级、定量分析和定性分析、控制措施、责任部门。

在这套管理机制中，王老师还分析出一些显著特点，具体内容如下。

1. 风险管理职责分解到各个相关部门，并不是某个部门的事情。

2. 设定底线目标，围绕底线开展风险管理工作。

3. 没有公司级的风险管理组织，将风险管理直接分解到各业务部门的工作职能中。

针对内控合规风险管理问题，王老师进一步阐述了内控合规风险管理模式的目标与意义。内控合规风险管理是以合规为目标进行风险管理，内控合规部是该模式的典型代表，并负责风险管理以制度流程合规为抓手开展工作。

王老师详细总结了内控合规风险管理的特点，具体内容如下。

1. 定期对流程制度及执行情况的合规性进行评价，以萨班斯法案为代表开展的内控合规工作。

2. 工作方法较为固定，职责较为清晰。

3. 与业务结合度不高，工作内容较为单一，多为美国上市公司要求。

内控合规风险管理的工作机制相当严谨，识别关键控制点、分析现有控制措施、分析控制频率、抽样测试、例外事项整改五大环节紧密联系，深刻把握内控合规风险管理的具体实施。

在全面业务风险管理领域，王老师认为全面业务风险管理模式是对全方位业务风险进行管理，风险管理部正是全面业务风险管理的典型代表。王老师根据全面业务风险管理的本质和运用，揭示了全面业务风险管理的特点，具体内容如下。

1. 风险管理部门是第二道防线，既独立于业务又要监督评价业务。

2. 风险管理部门工作的顺利开展，有利于一把手对风险管理部门定位的准确理解，因此，在实践中出现不同的打法。

3. 对风险管理部门的能力要求较高，更偏重于过程评价、与业务融合，只聚焦于特定角色、特定打法的风险管理模式很难适应全面风险管理的要求。

王老师从风险管理基本原则、风险分级、风险管理角色、风险管理嵌入机制、风险管理运作机制、深度风险分析、风险测评、风险敞口、风险计分卡等方面逐一剖析，详细构造了全面风险管理模式的标杆应该具备哪些条件及标准。

例如风险管理基本原则，王老师提出了更为详细全面的见解，具体内容如下。

1. 风险管理是业务部门的固有职责，业务部门在获得收益的同时，需承担风险。

2. 风险管理要与业务管理相结合，特别是在计划和决策过程中。

3. 风险管理应当从企业整体利益出发，进行跨部门协同管理。

4. 积极应对风险可能意味着机会，消极应对风险则可能带来损失。

5. 风险管控的目标并不是一味的将风险降至零，而是根据风险偏好，将风险控制在企业可接受范围内。

在风险分级方面，王老师将风险分为两种，即企业级风险和领域级风险。企业级风险是指未来可能对整个企业集团的竞争格局、声誉、财务状况和经营成果、或长远利益产生重大影响的事件，企业级风险往往跨领域。

领域级风险指未来可能对某特定领域的竞争格局、声誉、财务状况和经营成果、长远利益产生重大影响的事件。

咨询机构与风险管理

在课程的最后一部分，王老师首先指出一种企业所存在的普遍误区。很多企业热衷于请咨询机构开展风险评估工作，在开展这项工作时，企业必须清楚中介机构的作用，进行精准定位，否则将事倍功半，效果甚微。

王老师以公司合规风险咨询为例，仔细阐述了采购业务、销售管理、资产管理、财务报告、内部信息传递、合同管理等流程飘红，属风险管控重点领域，具体分析如下。

采购业务：工程采购实现条线归口管理，加上采购系统上线，整体管控水平良好。但以营销招采和设计招采为主的非工采购仍线下实施，整体执行监督薄弱，执行偏差率大。

销售管理：在房源更名管理方面尚需加强管控；招商定价机制缺失；商业地产在商铺交接与管理、招商收款等领域仍待完善。

资产管理：投资性资产尚存家底不清、职责切分模糊的问题，资产盘查摸底和统筹已启动；固定资产，尤其非行政经费采购的固定资产，资产登记及盘点缺失，财务账面金额难以核实。

财务报告：会计日常核算规则及要求需进一步细化，财务账面资产盘查核对的职能需加强。成本费用预提等与财务报告对外披露相关的重大核算风险已连续3年提出，仍待决策解决。

内部信息沟通：开展其他各具体业务指引评价过程中，注意到公司信息沟通机制仍然薄弱，需关注信息上传下达走形、跨集团跨职能传递不畅风险。

合同管理：在合同订立、旅行及法务管理领域，股份公司法务职能属建立初期，相关管理监督职能待逐步发挥。在合同模板管理上，合同丢失造成的实质影响需得到关注。

借助颇具现实意义的行业案例，王老师指出单纯的合规咨询，效果往往不理想，偏重于结果分析。风险解决方案也是打补丁式的，往往隔靴搔痒，无法触及企业灵魂。当然，这也依赖于企业对工作目标的认识。

王老师进一步分析了华为流程重塑案例，从华为的背景、华为遭遇问题时的态度和执行力及华为取得的重大成果三大方面层层深入，详细陈述流程塑造的突出意义和正面作用。

在华为流程塑造案例中，王老师提出了一些真知灼见。一是流程塑造必须是一把手工程，二是流程塑造不能是心血来潮，缝缝补补，三是企业要建立长远目标，步步为营，稳扎稳打，否则一着不慎满盘皆输。

当然有成功就会有失败，失败的借鉴意义也同样重要。王老师以实达电脑咨询失败为例，启发我们从多种角度思考问题。纵观实达电脑的背景和结果，王老师有着较为深刻的理解和独到眼光，具体内容如下。

1. 战略风险咨询工作不能急功近利。

2. 选择咨询公司不能只看名气，更要做好尽调。

3. 战略变革一旦出问题，则可能满盘皆输，不能意气用事。

最后，王老师对风险管理做出了深刻总结，具体内容如下。

1. 风险管理不是华而不实的理论，是与业务紧密结合的。

2. 风险管理无需另起炉灶，关键是对症下药，适合自己的才是最好的。

3. 风险管理不是搞运动，要寓于日常管理中。

4. 风险管理的核心是底线思维，只有管住底线，才能化解风险。

5. 全面风险管理是一把手工程，不是一个部门就能做好的。

时至今日，风险管理仍是企业急需完善和构造的重要领域。理论和实践相结合、确定适合自身的风险管理准则、遵循风险管理运作机制等诸多环节，都有利于企业建立起自身的风险管理体系。

在合理运用风险管理的基础上，企业站在时代发展和科技创新的角度，往往能发现自身所存在的显著问题，并及时改善风险管理准则。只有通过不断的实践运用和学习，企业才能在风险管理领域扎根发芽，茁壮成长，最终成长为一颗能给自身带来积极作用的参天大树。