企业风险管理

概述

企业风险管理（英语：Enterprise risk management，简称ERM）在商业中，指企业管理风险、抓住机会、达到目标的方法和流程。ERM为风险管理提供了框架，风险管理一般指与企业目标（风险、机遇）有关的特殊事件管理，评估发生可能性、规模，确定反应机制，监控流程的方法。通过发现风险和机遇，可以保护企业、创造股东（包括员工、客户、监督者、社会等）价值。 ERM也是管理企业风险的方法，包括内部控制, 萨班斯奥克斯利法案和战略计划。风险管理是根据不同股东的要求，了解风险的范围，面对复杂情况，保障确实管理。监督者和债务机构可以通过风险管理对公司评级。

ERM定义

风险管理有不同的定义，包括鉴定、分析、回应、监督风险和机遇的方法，在内部和外部环境中，通过风险应对机制对风险进行管理，包括：

避祸: 避开引发风险的机制 减祸: 减少风险的几率和幅度 替代: 决定减少风险的替代机制 分享、保险: 把风险损失转移、保险，承保 接受: 由于成本效益，不采取任何行动

北美产险精算学会

2003年，北美产险精算学会 Casualty Actuarial Society(CAS)将风险管理定义为，企业为了评估、控制、挖掘、投保、监督风险的任何机制，目的是提高企业短期和长期的股东价值。" CAS 把风险管理定义为两个维度：风险类型和风险管理流程 风险类型和例子包括：

冒险风险 债务侵权，财产损失，自然灾害 财务风险 定价风险、财产风险、汇率风险、流动率风险 运营风险 客户满意度、产品失败、诚信、信誉风险 战略风险 竞争、社会潮流、资本可用率 风险管理流程包括:

确定背景: 理解企业现阶段内部、外部风险管理的条件 确定风险: 包括记录企业达到目标可能遇到的风险和企业获得竞争优势可能开发的区域 分析/量化风险: 包括对风险进行量化，如果可以，计算概率分布。 整合风险: 包括所有风险分布的集合，进行组合分析，形成结果，计算对组织关键绩效指标的影响。 评估/定义风险优先性: 确定每种风险的幅度，整合风险预测，进行适当的优先化。 对抗/解决风险: 展开不同策略，控制、解决不同风险。 监督和反馈: 持续测量、监控风险环境和风险管理策略的效果。

COSO的风险管理定义

特雷德韦委员会赞助组织委员会（Committee of Sponsoring Organizations of the Treadway Commission，简称COSO）把"企业风险管理"定义为"企业的董事会、管理层和其他人员对企业内战略设定中，发现潜在可能影响组织的事件和管理风险在风险偏好范围内，提供合理达到企业目标的保障的流程。" COSO风险管理有八个小项：

内部环境 目标设定 事件发觉 风险评估 风险回应 控制行为 信息沟通 监控 四种目的 - 附加小项包括:

战略 - 高层目标，支持企业使命 操作 - 有效使用资源 财务报告 - 运营、财务报告可靠性 合规 - 符合相关法律法规

风险控制目标

企业的风险控制有很多功能 ("风险功能")，可确定、管理特定风险，每种风险功能容量不同，与其他风险功能互动也不同。风险管理的核心是提高容量、协调性，整合产出，提供整体股东风险，提高企业应对风险的能力。

典型的风险功能

大企业的风险功能包括：

战略计划 - 发现外部威胁、竞争机会，以及战略方法 市场营销 - 了解目标客户，保障产品和服务符合客户需求 供应链管理 - 优化供应商与企业的协同，降低由收到订单到交付的资金及时间成本 合规伦理 - 监督符合行为习惯，直接调查欺诈 财务和金融合规 - 根据《萨班斯奥克斯利法案》第302和404部分：评估，确定金融报告风险 法律 - 管理纠纷、分析潜在法律潮流 保险 - 保障企业购买了恰当保险 财产 - 保障拥有足够现金流，管理进出口商品定价风险 流程质量保障 - 保障流程产出符合要求 流程管理 - 保障日常运营中的障碍消除 信贷 - 保障客户所有信贷能否支付 客户服务 - 保障客户诉求及时处理，根源问题进行报告，获得解决 内审 - 评估上述风险解决的有效性

风险控制常遇到的挑战

很多咨询公司有关于风险控制的咨询。 Common topics and challenges include:

确定领导层支持风险控制 建立通用语言、术语 建立企业的风险偏好 (包括可采纳和不可采纳的冒险) 把所有可能风险归纳入"风险库". 把风险进行评级，包括每种功能的风险进行评级 建立风险委员会或首席风险官(CRO)协调每种风险功能 建立特定风险、反应的负责人 计算风险管理过程中的投入、产出 开展行动计划，保障风险适当处理 针对特殊固定，开展特殊计划 监督弥补风险流程的有效性 保证内审、咨询团队和其他评估团队能加入工作 用技术保障第三方和远程员工可以加入

内审角色

除了信息科技审计，内部审计在评估风险中非常重要，对于企业持续改进也很重要。为了保证其独立性、目标明确性，内审的专业标准指出，该机构不能直接负责管理风险决策，或者风险管理机构。 内审一般为公司做年度风险报告，对下一年的审计风险进行计划。计划适时更新，一般需评估不同的风险(战略计划、竞争标杆、SOX从上而下风险评估)，考虑前期审计，与上层管理进行面谈。是为发现、优先、管理风险审计项目而设立。

风险控制现状

美国企业的风险控制正在逐步加强，经过私有企业的监督。风险是商业的组成部分，如果管理恰当，可带动增长和机遇。经理顶着商业压力，采取部分或完全超出直接控制的行为，例如在金融市场低潮中，进行并购、收购和重组等。破坏性技术改变了地理的限制。

萨班斯奥克斯利法案

2002年颁布的萨班斯奥克斯利法案要求美国所有上市公司利用控制机制，进行内部控制评估。很多公司选择特雷德韦委员会赞助组织委员会（Committee of Sponsoring Organizations of the Treadway Commission，简称COSO）的内部控制机制，包括风险控制机制。后来，证券外汇委员会(Securities and Exchange Commission，简称SEC)和PCAOB在2007年，对自上而下财务评估提出了更严格要求，包括进行欺诈风险评估。欺诈风险评估一般是发现潜在欺诈风险情景，进行恰当管理，采取行动。

NYSE公司管理制度

纽约证券交易所要求审计委员会和上市公司"讨论与风险评估和风险控制有关的政策"，包括: "CEO和公司高层经理负责公司风险管理，审计委员会需讨论流程的政策和规则。审计委员会需讨论公司主要财务风险、管理步骤、控制流程。审计委员会不需成为负责风险评估和管理的单一机构。同时，委员会需讨论管理流程的政策。很多公司，特别是金融公司，通过审计委员会以外的机制管理、评估风险，这些流程需要审计委员会进行统一把控，但审计委员会不可进行修改。"

风险控制和企业债务评级

标准普尔（Standard & Poor's，简称S&P）是著名的债务评级机构，计划对公司评估流程引入一系列问题，首先于2007年开始使用。作为进行债务评级的重要依据，对贷款方对企业的贷款和债券都将产生影响。 2008年5月7日，S&P还宣布将对非金融公司从2009年起进行风险评估。 在2008年Q4的报表上进行体现。