（一）上市公司面临复杂多变、充满不确定性的内外部经营环境

     我国上市公司面临的是一个复杂多变、充满不确定性的内外部经营环境，世界经济论坛在2023年1月发布的《2023年全球风险报告》及其首次发布的《首席风险官展望》显示，我们正处于多重危机的边缘，地缘政治关系、经济、国内政治、社会和技术等方面的因素导致主要经济体内部及之间的经济和金融状况将持续经历不稳定性。

     就国内环境而言，我国经济发展同样面临需求收缩、供给冲击、预期转弱三重压力，上市公司发展面临的成本、资源、环境等硬约束不断增强，生存和发展面临着诸多风险和挑战。   

     提高上市公司质量是一项综合治理工程，一方面，需要包括行业监管、自律组织、中介机构乃至包括财政、税务、海关、金融、市场监管、地方政府、司法机关等各单位形成合力，优化机制，创造条件，相互协同，共同营造支持上市公司高质量发展的良好环境。

     为初探上市公司在风险管理方面的实践情况，本文以沪、深、北证券交易所上市公司为研究对象，对描述风险管理的25个关键词进行了语义识别和词频统计，具体情况见表1。

注：本表统计对象为可通过wind获取2022年报的5131个上市公司样本，包含深交所主板公司1497家、上交所主板公司1660家、上交所科创板公司507家、深交所创业板公司1239家、北交所公司228家。资料来源：wind及作者整理。

     综合来看，国内上市公司风险意识的觉醒及由此形成的对于有效风险管理的需求，与尚不健全的风险管理体系、工具和能力之间，已经形成了深刻矛盾，而构建符合上市公司情况的企业风险管理体系则是化解这一矛盾的最佳路径，其必要性不言而喻。

      2023年，经济合作与发展组织（OECD）对49个国家公司内部控制和风险管理情况开展的调查显示（见图1），超过九成的国家都以法律法规、上市规则或行业指引的形式要求企业构建和完善风险管理体系，开展风险管理工作，部分国家还给出较为细致的实施指引。可以说，构建企业风险管理体系提升上市公司质量是境外资本市场的普遍实践。      

注：包括38个经合组织成员国以及G20和金融稳定委员会成员国（阿根廷；巴西；中国；香港(中国) ；印度；印度尼西亚；沙特阿拉伯；新加坡；南非）马来西亚，秘鲁。资料来源：《OECD Corporate Governance Factbook 2023》

       进一步地，本文研究了各主要资本市场的具体做法，其中：

     1.美国市场。美国企业内部控制遵循著名的《萨班斯-奥克斯利方案》（Sarbanes-Oxley Act），并以审计标准的形式将企业风险管理框架作为上市公司普遍参照的实践准则。即便如此，在证券交易所层面美国市场仍强调上市公司构建企业风险管理体系的重要性。例如，纽约证券交易所《纽交所上市公司手册》（NYSE Listed Company Manual）以“把入口关”的形式提出了对上市公司董事会及其审计委员会在风险评估、风险管理方面职责和信息披露要求。纵观纽交所上市公司，遵循COSO框架构建企业风险管理体系的案例比比皆是。

      2.英国市场。英国财务报告委员会（Financial Reporting Council，FRC）颁布的《英国公司治理准则》（The UK Corporate Governance Code）明确了伦敦证券交易所上市公司的治理要求，以单独一章的形式明确董事会在风险管理方面的职责和公司风险管理体系建设和工作的要求，将其作为公司治理的必要组成部分予以固化，并配套有《风险管理、内部控制和相关的财务和业务报告指南》（Guidance on Risk Management, Internal Control and Related Financial and Business Reporting）等实施指引。对于非上市公司，出台了《适用于大型非上市公司的Wates公司治理原则》（The Wates Corporate Governance Principles for Large Private Companies）明确企业风险管理体系建设要求。

      伦敦证券交易所层面，其出台的《公司治理》（Corporate Governance）为主板和另类投资AIM市场（Alternative Investment Market）上市公司提供企业风险管理方面的指引。

     3.新加坡市场。新加坡金融监管局（MAS）颁布的《公司治理准则》（Code of Corporate Governance）明确了企业董事会在风险管理方面的职责和要求，并制定了一系列操作指引。值得一提的是，MAS在公司治理准则一般原则之下，针对新加坡上市公司制定的《上市公司董事会风险治理指引》（Risk Governance Guidance for Listed Boards）详细阐述了企业风险管理框架以及上市公司风险管理原则、目标、偏好、责任、过程等管理细节。

    4.德国市场。德国联邦司法部组建的德国公司治理委员会（DCGK）发布的《德国公司治理准则》（German Corporate Governance Code）不仅明确了上市公司董事会需要负责建立与其业务风险相匹配的风险管理体系的主体责任以及监事会的监督和评价责任，更是将企业风险管理理念贯彻于其提出25条公司治理原则之中，提出了更高的管理要求。

    5.澳大利亚市场。澳大利亚证券交易所公司治理委员会发布的《公司治理原则和建议》（Corporate Governance Principles and Recommendations）将“风险识别和管理”作为其提出八大公司治理管理原则之一，要求上市公司建立风险管理框架，定期审查和评估架构的有效性，及时披露其面临的重大环境、社会风险以及应对措施等要求。

       6.中国香港市场。香港联合交易所出台的《企业管治守则》明确了董事会在风险管理、内部审核、风险监控方面的职责，配套的《董事会及董事企业管理指引》进一步以单独一章讨论了风险管理的意义、董事会在风险管理中的角色、风险管理政策及程序、风险辨识、风险冷热图、适当的风险处理方法等相关内容。

     目前，全球两大重要的企业风险管理体系框架为：反虚假财务报告委员会（COSO）发布的《企业风险管理框架》体系和国际标准化组织（International Organization for Standardization，简称ISO）发布的《风险管理指南》。

      1. COSO及《企业风险管理框架》

     最新版的COSO《企业风险管理框架》发布于2017年，该框架从战略、商业目标、绩效与风险管理融合视角拓展了风险管理对企业战略层面的作用，强调风险管理与企业战略整合以及对于价值创造的重要作用。该框架还要求企业充分利用信息技术适应时代新趋势，增强组织应对风险的韧性，其主要内容可归纳为图2的5大要素及20相关原则。

图2：2017年《企业风险管理——整合战略和绩效》框架图

        2. ISO及《风险管理指南》

     国际标准化组织ISO于2018年发布了ISO31000《风险管理指南》正式文件，强调风险管理的整合原则和整合过程，突出领导层在风险管理的角色和职责，提出了风险管理自上而下的贯彻原则，要求持续优化风险管理框架和流程，该框架可归纳为3个部分、8个风险管理原则、5个步骤风险管理框架和6个要求组成的风险管理过程（见图3）。

      图3：ISO31000《风险管理指南》整体内容示意图

        综合来看，COSO框架和ISO指南形式和内容各有侧重，但在企业风险文化培育、价值创造保护、支撑战略目标实现、与业务的有效整合、突出领导责任等内涵理念和核心要义方面却不谋而合、殊途同归。

二、构建企业风险管理体系提升上市公司质量的实践路径探究

表2：国内资本市场内部控制、风险管理主要规则情况 

资料来源：作者整理。

图4：整合管理活动与风险管理活动示意图

图5：三要素整合视角的企业风险管理体系建设的整合模型示意图

图6：对绩效的理解及其与风险的关联示意图