时间：2024-03-13 16:13:53
导语：在公司战略风险管理的撰写旅程中，学习并吸收他人佳作的精髓是一条宝贵的路径，好期刊汇集了九篇优秀范文，愿这些内容能够启发您的创作灵感，引领您探索更多的创作可能。
在管理学中“案例”由于它能够有效地结合实际问题，因而在考试中更能检验考生对知识和能力的考核，于是，越来越得到各类管理类考试的认可，并逐渐流行起来。从近年全国注册会计师考试科目《公司战略与风险管理》所涉及的案例来看，案例比例越来越高，案例涉及的领域也越来越多。从国内外情况分析，涉及的案例有国内案例和国外案例；从领域和行业划分，有生产企业案例、销售企业案例、金融机构案例等；从案例的效果看有正面案例和反面案例等。视角不同，检验考生掌握知识和能力的要求也有所不同。但无论如何，这些案例的目的就是要在考生学习和掌握了《公司战略与风险管理》知识的基础上，通过案例的考核，让考生把所学的理论知识同案例试题——这种浅层次的“实践活动”结合起来。
从2009年全国注册会计师考试新增本科目以来，可以看到，《公司战略与风险管理》一直强调案例型试题的重要性，并在各类复习和应试中不断强调。这是由于案例型试题的特点所决定的，案例型试题有利于提高考生的思维能力、应变能力和创新能力。通过案例型试题，将理论与实践有机结合，不仅使考生加深了对基础理论知识的理解和认识，扩大了知识面，拓宽了思路，还从一定程度上检验了考生分析问题和解决问题的能力。因而，目前全国注册会计师考试科目《公司战略与风险管理》中案例型试题的比重和难度占有重要地位，希望能引起考生的注意。
案例型试题能引导考生去思考相关的原理，真正把理论与实务紧密结合起来，使考生更好地掌握公司战略与风险管理的专业知识并能学以致用。所以，大家在复习和回答案例型试题时，需要明确考核的知识和考核内容，这就要勤于思考、勤于实践。关注经济管理时事，很多案例是来源于政策制定和教材知识点的融合，这为案例试题提供了丰富的来源，很多案例试题的答案往往是《公司战略与风险管理》科目的理论知识与政策实践等方面的综合，这也为考生提供了一条复习的渠道和捷径。如果能把教材上的知识与实践结合起来做一些案例试题，一定能收到事半功倍的效果。当前在金融全球化和金融危机的背景下，《公司战略与风险管理》科目的案例型试题也伴随着注册会计师考试《公司战略与风险管理》这门课程的重要性而体现出来。这一点从历年的试题中可窥豹一斑。
客观地说，《公司战略与风险管理》这门课程涉及的内容是极为广泛的，涉及经济学、管理学、数学等学科体系，不仅包括经济政策、宏观调控、公司战略、风险管理等内容，还包括各类公司的经营管理、市场营销、资本流动和资本运营、业务创新（特别是各类金融衍生品）、人力资源管理、内部控制等内容。可见，《公司战略与风险管理》是一个集理论与实务的“大杂汇”课程体系，这个群组直接涉及到了企业管理、金融、数学、国际经济、财政、贸易、汇率、利率、人力资源、薪酬激励和内部控制等具体的知识点。《公司战略与风险管理》科目所具有的上述特点，就要求考生在复习应试中，要紧密联系目前的现实问题，运用所学的知识，提高考生分析问题、解决问题的能力。
二、《公司战略与风险管理》历年考试中案例型试题分析
案例型试题的重点是以培养考生观察、分析和处理问题的应变能力为主，在案例型试题的全过程中，考生通过组织考生开展研读案例，查找并分析背景资料、思考判断、反复思索、答题、校正等环节，训练、培养考生的逻辑思维和综合分析问题的能力，同时也要注意提高考生思考能力和表达能力。
从公司战略与风险管理的知识结构和知识体系等方面看，该课程呈现出比较明显的特点，如课程内容丰富，课程的知识综合性和关联性强，课程的内容更新速度快，热点、重点问题多等。面对公司战略与风险管理学的这些特点，需要在应试方法上注重培养考生分析问题和解决问题能力。要避免考生由于缺乏对于基本理论的完整接受和理解而导致的死记硬背和一知半解的学习方法，应当将基本理论讲得尽可能的清楚透彻，并多用案例进行具体分析，在课后习题练习与考试或考查中体现出对考生分析问题和解决问题能力的重视，从而提高课程的应试效果。
三、《公司战略与风险管理》案例型试题的考前准备
《公司战略与风险管理》课程内容庞杂，要达到寓基础理论于广泛而深入的讨论之中，以加深对理论的理解并能分析、解决实际问题，选择合适的案例是关键。很多案例型试题的目的是从以往的事件中获得启发而编制的试题。应试的过程实际上是对事件的再展示，分析事件的来龙去脉，并通过教材理论和知识点来回答问题。从应试实际看，如果没有专业知识的提高，单纯的案例也不行，二者必须兼备，否则，就失去了《公司战略与风险管理》案例型试题的真正意义。对考生而言，进行公司战略与风险管理课程案例型试题的考生必须有扎实的基本功及一定的应试经验。
对考生进行案例练习的主要目的是为了提高其应试技能，掌握所学知识。在案例型试题中有两个环节需要重视：其一，对教材知识点的掌握。考生应根据应试内容、应试目的练习一定的案例。其二，案例的应试与技巧。要从案例中总结知识和相关理论，对考试的全过程有一个完整的认识，以提高应试效果。
在公司战略与风险管理案例型试题中，应遵循相关性、典型性和正面引导的原则合理筛选案例。同时，案例型试题不能取代其他题型，在进行案例型试题时，应注重多种应试的互相配合。案例的选择一定要考虑到案例与公司战略与风险管理原理的相关性，案例不能脱离原理。案例一定要和所要应试的《公司战略与风险管理》教材的基本名词、基本原理和基础知识等相关，这是案例型试题的前提条件。
案例型试题的重点是以培养考生观察、分析和处理问题的应变能力为主，在案例型试题的全过程中，考生通过组织考生开展研读案例，查找并分析背景资料、思考判断、讨论交流、总结反思等环节，训练、培养考生的逻辑思维和综合分析问题的能力。因此，案例型试题要达到较好的应试目的，必须进行周密的计划、准备和安排，否则只能使这种有效的应试方法流于形式，难以获得案例型试题应有的效果。
考生要结合自己的实际与课程的特点，因地制宜，通过科学的复习方法，达到事半功倍的效果。鉴于全国注会考试选拔性的特点，其各科考试都要求全面客观地反映教材及其考试大纲的要求，要全面考核考生掌握知识的水平、分析问题的能力和作为注册会计师所具备的实际执业能力，因此，首先要明确注会考试中《公司战略与风险管理》科目的命题特点，结合往年考试情况分析，有以下几个方面的特点供参考：
(一)全面考核、重点突出，紧密围绕大纲要求从基本概念和基础知识出发。考虑到本科目作为全国注册会计师考试的实际情况。考生要注意难易程度的把握，重在掌握注册会计师所需的同《公司战略与风险管理》相关的基本知识和能力。从去年本科目试题的情况来看，它基本涵盖了考试大纲所确定的公司战略与风险管理这两个部分的考试范围，并且这两部分的内容比重大体适当(相对而言，公司战略的比重略微大一点)。试题对每一部分的重点掌握得当，较为突出地反映了公司战略、风险管理各部分的中心内容。这主要体现在对基本概念、名词术语等方面的命题上，侧重运用性的知识点考察，如对swot分析法的考察、内部控制的理解和运用、风险类型等等，他们占试题基础部分的比重较大，这一点从客观试题中看得非常明显。
(二)重视知识理解、实际应用及职业能力需要。同时联系实际这一点相对于基础知识的掌握运用而言，是较有难度的，它测试考生是否具有成为一名注册会计师的基本执业能力。而这些能力的形成和发挥是一个综合的过程，它既包括有无坚实的基础知识和灵活全面的掌握知识，更主要的是测试了考生具备运用基础知识判断问题、分析问题和解决问题的能力。这些试题的难度是递进的，它们一般体现在是否能具有从所提供的试题信息中识别相关信息并根据这些信息进而做出正确的判断和选择。这些试题猛一看，似乎是教材中的“原话”内容表述，但细细一看，似乎又是“陌生”的，它们略微高于教材。考生在复习中，要想培养一种发现问题，并按一定的工作程序解决问题的能力，就必须认认真真地掌握教材及其考试大纲中的要求。此外，要求考生能够以合适的角色并根据这一角色的要求，用简明扼要的方式提出建议、观点和意见，也是考察学生的一个能力。许多试题实际上是在考察考生是否懂得考生所掌握的相关知识以及应具备的职业道德和掌握相关的分析问题、解决问题的能力等。这在简答题、综合题中是较为明显的，这些试题要求考生经过所学知识的分析，具有一定的基础知识、实践经验、较强的分析判断和解决问题的能力，否则将很难准确、全面地发现存在的问题。
(三)掌握新知识、新内容，实现知识更新的需求坚持终身学习，有较强的知识更新能力是对注册会计师在市场经济条件下不因技术不断变革而落伍的基本素质要求之一。时代的要求给注册会计师及时更新知识提出了更高的要求和挑战，特别是相关领域所涉及的新知识，公司战略与风险管理是一门综合性强、涉及学科较多的课程，因此掌握并回答好本科目试题对考生而言，并非易事。本年度考试中对新知识、新内容理解和掌握程度的试题也占据了一定的比重，如结合金融危机、人民币和美元汇率等出的一些题目体现了这一特点，这些试题源于教材又高于教材。如果考生的运用教材知识的能力较强，对于上述问题的解答将会变得比较容易。另外，在本科目的考试中，还特别强调考察考生能否综合运用多种知识和技能去分析问题和解决问题。
二、掌握合理学习方法的建议
结合考试大纲要求和本年度的命题，可以看到本科目对于考生的知识能力可以分为由低到高的三个等级，由易到难分别是：专业知识能力、基本应用能力和综合运用能力。从本年度的试题构成来看，也体现了这样的安排。这三方面的能力和知识构成如同地核到地幔的向外扩展一样，三层圆代表知识核心、知识中层和知识的外层。如图1所示。笔者认为，这三种能力的测试中，较多的是第二种能力的测试，其次是第三种能力的测试，第一种能力的测试比重并不是很高。可以预见，随着以后注册会计师考试中《公司战略与风险管理》科目的成熟和完善，这个趋势还会加强。虽然从表面来看，《公司战略与风险管理课程》相对于其他注册会计师考试的课程而言似乎容易一些，但真正要掌握这门课程并非易事，其困难主要体现在实践和应用上。如何在实践中提升公司战略与风险管理的境界、意识和理念是十分重要的。为较好地掌握该门课程，建议采用学习方法如下：
(一)理解和掌握每章的基础理论知识考生在复习中要注意结合案例，来理解每章的相关知识和理论，并做到融会贯通。把知识点能够从不同的侧面、不同的角度进行堆积搭配，从不同的视角进行审视、分析和思考。长期下去，坚持不懈，相信考生对教材基本知识点的掌握一定会与日俱增，不断提高的。
(二)梳理和总结各章要点在通读教材的基础上，结合各章考试大纲要求及习题能够认真练习，要针对各章的知识点，对每章内容进行梳理、回顾和总结。
(三)重视案例
关键词：财务公司；风险管理；战略
全球500强企业中2/3以上均拥有自己的财务公司。众所周知，企业集团财务公司是非银行金融机构之一，风险管理是金融机构管理内容中最为核心的关键部分，金融企业的竞争，已经演变为风险管理战略的竞争，风险管理水平的高低直接决定着财务公司综合竞争能力的强弱，笔者现就我国企业集团财务公司实施风险管理的战略意义和实施方略浅谈一下自己的见解及思路。
一、财务公司风险的种类及现状简析
目前，财务公司的信贷风险主要来源于三个方面：一是信用风险，即由于种种原因造成债务人不能按期还款而违约所形成损失的可能。二是市场风险，即市场的价格变化使头寸蒙受的损失，它包括利率风险、汇率风险和价格风险等。三是操作风险，即因不完善的内部管理程序和不规范的内部操作程序而形成的风险。四是流动性风险，是指财务公司无力为负债的减少或资产的增加提供融资而造成损失或破产的风险，即由于金融资产流动性的不确定性变动而使财务公司遭受经济损失的可能性。
从我国企业集团财务公司经营管理的实践来看，在激烈的竞争环境和千变万化的市场条件下，如果内部控制制度和信贷风险管理机制不完善，执行不到位，工作力度不够，以上四大风险均会给财务公司带来巨大的经济损失，甚至造成财务公司的倒闭和破产。由于历史背景、经济环境和经验不足等原因，我国财务公司的信贷风险管理始终是一个薄弱环节，主要表现为规模扩张与资产实力不相适应，业务发展与风险管理水平不匹配，激励机制和约束机制不完善等方面，缺乏长期有效的风险管理体系与机制等。
二、财务公司实施风险管理的战略意义
纵观历史，尤其在2008年全球金融危机暴发以后，由于风险管理体系存在缺陷的欧美小型金融机构相继倒下，数以百计的地方银行也被迫破产清算，历史教训表明：金融行业特殊的风险属性（快速的扩散性、全球的关联性和相互间的转换性）将这一行业推入了高风险行业，唯有先进的风险管理理念、技术和长效的风险管理机制，才能为金融企业的长足发展保驾护航。
基于此，笔者认为，我国企业集团财务公司当前实施风险管理的战略意义在于：一是满足监管机构审批要求，保证圆满完成财务公司的筹建工作，成功搭建起企业集团的投融资管理平台。二是规范财务公司的经营与管理，免于监管处罚，提升企业的价值创造能力，确保公司健康高效运转。三是为财务公司做出科学的经营与管理决策提供制度保障和技术支持，确保营运目标的实现。四是为财务公司充分发挥产业协同效应、合理配置和高效利用资源，实现科学发展，提供企业长足发展的强劲动力。五是科学管理风险，有效平衡发展与管理间关系，防止风险聚积爆发而遭遇破产清算，确保财务公司的“长治久安”。
三、企业集团财务公司实施风险管理战略的对策建议
针对我国财务公司的管理现状，结合现代风险管理战略指导思想，我国财务公司风险管理战略实施工作应遵循以下内容来逐一推进：
（一）树立现代风险管理理念
结合集团企业总体企业文化理念和金融企业的特殊属性，财务公司应将风险管理能力作为公司的核心竞争力之一，将它上升到发展战略的高度，建立并贯彻“全面、审慎、客观、独立、有效”的核心理念。
“全面”是指全面风险管理，即全面的风险管理范围、全球的风险管理体系、全程的风险管理过程、全员的风险管理文化、全新的风险管理方法。财务公司任何人、任何经营活动、任何操作环节都不能游离于风险管理体系之外，任何人均应自觉遵循控制制度。
“审慎”是指内控优先，即一切新型业务应以防范风险、审慎经营为出发点，不可无视风险的存在而片面强调业务发展，制度在前，操作在后。
“客观”是指一切控制均有案可查，保存控制记录，是回顾、检讨控制轨迹，甄别控制责任，传递控制信息，监督纠正控制错误的基础。
“独立”是指财务公司内部控制监督和评价保持独立性，风险管理部门和稽核部门应直接属于董事会领导，独立于经营管理层。
“有效”是指风险管理要根据实际变化不断完善，确保制度时时有效，防止与业务脱节。
（二）建立全面风险管理体系
财务公司全面风险管理体系应包括组织机构体系、内部控制制度和信息管理系统。组织机构体系是硬件，内部控制制度是软件，信息管理系统是运行平台。
组织机构体系建设主要考虑：吸引集团外战略投资者，改善财务公司的股权结构；董事会总揽公司的风险控制，设立直属于董事会的专门的风险管理部和稽核部门，风险管理部具体负责制定并实施识别、计量、监测和管理风险的制度、程序和方法，稽核部负责检查、评价内部控制的健全性、合理性和遵循性；投资审贷委员会实行审贷分离制度，总经理具有否决权等。
健全内部控制制度重点考虑：建立风险管理基本原则；明确公司决策层和高级管理层的职责分工；完善部门规章制度规范和业务管理制度，建立横向与纵向的职责分离、相互监督制约机制；将各种形态和各种业务的风险进行分解，落实到部门规章制度、岗位职责、操作规范和业务管理制度中，形成包含风险甄别、风险计量、风险决策、风险避险、全程监控五个环节的风险管理系统。
建立风险管理信息系统主要着手于：对信用状况数据、市场价格数据、资产负债的流动性数据、资产负债的利率风险敞口、交易操作情况进行实时统计，并用设计的风险量化模型计算出各类风险的量化指标，与设定的风险额度进行比较，最终对各类风险做出量化评估，为风险管理决策提供依据。
（三）学习运用先进风险管理技术和工具
现代风险管理大量运用数理统计模型来识别、衡量和监测风险。财务公司市场风险量化管理要学习借鉴以VaR为基础的市场风险度量模型，包括历史模拟法、方差-协方差法和蒙特卡洛模拟法。信用风险量化管理模型重点学习借鉴内部评级模型，着重研究制定集团成员企业涉足行业的风险特性，有针对性地做出其风险计量模型，通过计量出债项的违约概率（PD）、违约损失率（LGD）、违约风险暴露（EAD）、期限（M）等指标，进而计算出该笔债项的预期损失金额。操作风险量化技术可视监管要求和财务公司具体情况选择基本指标法、标准法和高级计量法中的一种。利率风险管理技术可采用利率敏感性缺口管理、远期利率协议、利率互换等方法。同时，财务公司也要积极探索，自主开发适合本企业集团的风险计量模型。
（四）建立激励约束的长效机制
事实上，风险管理工作同其他工作一样，需要与激励约束机制相结合，应将风险管理工作纳入公司人事和薪酬奖惩制度中。有效的激励约束机制能够使每个员工感受到自身在风险管理方面的压力，促使每个员工积极主动地参与风险管理工作。建立奖惩和责任追究制度，是确保内控制度落到实处、强化战略执行力、有效防范风险的保障。激励约束机制必须客观和公平，如果制定得科学合理，就可以有效地提高员工的积极性，如果在制定和执行上不公平，就会挫伤员工风险管理的积极性，会引起员工内心的不平衡，甚至会导致新的风险。
（五）培育健康的风险管理文化
激励约束机制是加强风险管理工作的外力，培育全员的风险管理文化则是加强内力。在经营活动中风险无处不在，风险的管理涉及到每一个环节和每一个人，而每个人对事物的判断和行为方式受到自身的意识和价值观支配，因此，让每个员工认识到风险管理的重要性，在公司内部培育全员的风险意识和风险观念，自上而下形成一个具有共同价值观的风险管理文化，是成功的风险管理最重要的因素。培育全员的风险管理文化，关键要体现在具体工作上，要通过体系和制度建设来做到内控有明确的标准，业务有系统的流程，操作有详细的手册，过程有动态的监控，事后有严格的考核。让员工在自身工作中切身体会到风险管理，让风险管理深入人心，使风险防范成为一种自觉的意识，成为每一个员工自觉的行为，这无疑将大大提高的风险管理的效率。
（六）加强风险管理专业团队的建设
【关键词】内部控制;风险管理;公司治理;战略管理
受美国2002年出台的萨班斯——奥克斯利法案(以下简称SOX法案)的影响，我国所有赴美上市及计划赴美上市的企业必须按照美国监管机构的要求，完善内部控制体系、完成内控评估报告。同时，随着经济全球化的深入，企业遭受产品市场、要素市场和金融市场的价格冲击越来越大，各类风险产生的扩张效应和联动效应越来越严重。因此，内部控制和风险管理成为现代企业重点关注的课题。
本文将在回顾内部控制和风险管理理论发展的基础上，探讨二者之间的关系，并结合宝钢在内控体系建设和风险管理方面的最佳实践，提出整合的风险管理框架设想，以期对我国企业的内控体系和风险管理体系建设提供借鉴。
一、内部控制、风险管理的理论发展及其关系
(一)内部控制理论的发展
20世纪70年代中期的“水门事件”引起了美国立法者和监管团体对内部控制问题的重视。美国国会于1977年通过的《反国外腐败法》是美国在公司内部控制方面的第一个法案。1980年后，美国COSO委员会将“内部控制”定义为“一个组织设计并实施的一个程序，以便为达到该组织的经营目标提供合理保障”。在COSO委员会制定的内部控制框架中，把内部控制活动分成五大组成部分，即:控制环境、风险评估、控制活动、信息与交流和监督评审。
2002年，美国成立的上市公司会计监管委员会(简称PCAOB)明确采用了COSO内控框架作为内控评价的标准体系。许多国家和地区的资本市场也采用了COSO内控框架，有些国家和地区在参照该框架的基础上建立了自己的内控体系。
我国在2005年先后出台了《上交所上市公司内部控制指引》和《深交所上市公司内部控制指引》两个文件。上述两个文件参照了美国SOX法案的要求，在理论体系上和COSO内控框架一脉相承。
(二)风险管理理论的发展
企业风险管理理论发展大致分为三个阶段。第一阶段:以“安全和保险”为特征的风险管理。100多年前航运企业风险管理的主要措施就是通过保险把风险转移给保险公司。第二阶段:以“内部控制和控制纯粹风险”为特征的风险管理。随着工业革命的发展，公司对业务管理和流程方面的内部控制提出了要求。美国1977年的《反国外贿赂法》要求公司管理层加强内部会计控制;1992年的《COSO内部控制综合框架》提出以财务管理为主线的内部控制系统。第三阶段:以“风险管理战略与企业总体发展战略紧密结合”为特征的全面风险管理。风险管理实践表明，仅靠内部控制难以实现企业的最终目标。为此，COSO于2004年9月出台了《COSO企业全面风险管理整合框架》(简称ERM)，提出了由三个维度构成的风险管理整合框架。
我国国务院国资委于2006年《中央企业全面风险管理指引》(以下简称《指引》)，标志着我国中央企业建立全面风险管理体系工作的启动。
(三)内控体系建设与全面风险管理工作的联系和作用
全面风险管理与内部控制既相互联系又存在差异。企业的内部控制体系是企业全面风险管理体系中重要的组成部分之一，而内控体系建设的动力则来自企业对风险的认识和管理。良好的内部控制可以合理保证合规经营、财务报表的真实可靠和经营结果的效率与效益，而这正是全面风险管理应该达到的基本状态。此外，内控体系建设与全面风险管理工作的开展之间具有紧密的联动作用，具体体现在以下两个层面:
1.在理论框架层面，完整的内控体系包括依据COSO内控整体框架开展内部控制的评审体系以及内控自我评估体系;而目前国内外较为认可的企业风险管理理论框架是COSO企业风险管理整体框架。这两个框架在理论基础上具有继承性和发展性。
2.在推进工作的步骤层面，从国内大型国有企业集团开展内部控制和风险管理的推进步骤来看，以内控先行、再逐步开展全面风险管理的做法是符合我国国情的。通过内控体系建设，在组织架构的完善、人员经验的积累、内控流程的记录等方面做好准备，可为公司未来开展全面风险管理打下较为完善的基础。
至于差异，从二者的框架结构看，全面风险管理除包括内部控制的三个目标之外，还增加了战略目标;全面风险管理的八个要素除了包括内部控制的全部五个要素之外，还增加了目标设定、事件识别和风险对策三个要素。从二者的实质内容看，内部控制仅是管理的一项职能，而全面风险管理贯穿于管理过程的各个方面。内部控制主要通过防范性的视角去降低企业内部可控的各种风险，侧重于财务和运营;而全面风险管理强调通过前瞻性的视角去积极应对企业内外各种可控和不可控的风险，侧重于战略、市场、法律等领域。
二、宝钢在内控体系建设领域的实践
宝钢股份是宝钢集团的核心子公司。公司从2005年增资扩股后就着重于梳理内部流程，推广管理标准。2007年3月，由公司总经理担任组长的内控评审项目开始启动。
内控项目工作范围包括宝钢股份总部以及下属分子公司，资产规模和销售收入合计占整个宝钢股份合并报表范围的80%以上。评审涉及宝钢股份12大业务流程，梳理了各类大小流程300多个。在对12大流程风险控制点辨识的基础上，逐步建立宝钢股份上市公司内部控制体系，编制公司流程内控手册，形成公司全面的内控改进点报告，建立公司层面基本内控体系。并在前期工作的基础上，开展内控体系的自我评估工作，形成公司内控自我评估报告。
在项目实施过程中，公司组织了多场内控培训会，形成了全员内控的企业文化。同时，公司对发现的内控薄弱点狠抓落实整改，并对各单位的问题汇总报告进行整理;评审项目组还组织各单位把相关流程发现的内控薄弱点和自身的业务进行对比分析，就同类问题开展自查自纠，以形成辐射效应。此外，宝钢股份还将内控评审项目和常规审计工作相结合，在内部审计工作中跟踪检查问题的整改情况。
三、宝钢在风险管理领域的实践
宝钢从2007年开始全力推进全面风险管理体系建设，这既是资本市场的要求，也是宝钢自身发展的需要。宝钢集团有限公司董事会确定的全面风险管理的总体目标是:围绕宝钢的战略目标，在企业管理的各个环节和经营过程中执行风险管理流程，培育良好的风险管理文化，使风险管理机制成为宝钢经营管理各个环节的有机组成部分。公司具体实施情况包括以下几个方面:
(一)以法人治理为基础，建设风险管理的组织体系
完善的法人治理是风险管理重要的内部环境，也是风险管理体系建设的起点和保障，而董事会建设则是法人治理的核心。宝钢作为国资委所属中央企业中首批董事会试点企业，在完善董事会试点的过程中优化董事会成员结构，建立外部董事制度，不断完善董事会运作机制，初步形成了出资人、决策机构、监督机构和经营层之间各负其责、协调运转、有效制衡的治理机制。
同时，宝钢按照国资委《指引》的要求，构建了业务部门、风险管理部门和内部审计机构三道防线。第一道防线建设:总部各职能部门和各子公司作为风险管理的第一道防线，是所管业务风险的责任者，公司明确了其各自相应的职责。第二道防线建设:总部层面成立由分管副总经理担任组长的“全面风险管理体系建设领导小组”，由系统运行改善部作为风险管理的综合管理部门，对全面风险管理的日常工作进行协调和推进。第三道防线建设:审计部负责对风险管理体系的建设情况及工作效果进行客观、独立的监督评价。对各单位内部控制的合理性、完整性、有效性、可靠性作出评价，及时发现流程中存在的问题，提出内控完善的建议。
(二)与管控模式相结合，制定风险管理策略和流程
宝钢采取的是“战略控制型”的管控模式，即总部通过对策略性、全局性业务进行管控来确保战略意图的实现，对于具体执行性业务则授权给各子公司来执行，以确保整体运作效率和响应速度。
因此，宝钢的风险管理体系分集团公司和各子公司两个层面推进。集团公司以兼并重组、子公司管控和辅业改制等重大决策、重要业务和流程的风险管理为重点，通过推进风险管理文化建设、推动内控系统优化，确定重大风险的应对策略、完善重大风险预警和报告机制、强化风险管理的检查监督机制等措施，建立并不断完善风险管理体系。各子公司则结合自身产业特征，从防范运营风险的角度出发，重点推进四项工作:1.建立风险管理的组织体系和工作机制;2.对重大风险进行识别和评估，形成重大风险清单，确定风险管理的重点领域;3.针对重大风险涉及的重要业务流程和重大事件，评估、完善内控体系，并落实为工作规范，制定管理制度，形成内控手册;4.针对可能发生重大突发事件的业务领域，建立预警机制，制定应急预案。
(三)建立了财务预警指标体系，使得财务风险以及可能造成的损失可以通过财务指标的计算和分析得到量化和预警在应急预案方面，在总部和子公司层面编制了一系列应急预案，提高宝钢处置突发事件、保障公共安全的能力，最大程度地预防和减少突发事件及其造成的损害。
四、整合的风险管理框架设想
通过长期的工作实践和思考分析，笔者认为:企业的风险管理工作需要和企业管理的多方面相结合，构建整合的企业风险管理系统。这不仅要考虑和内控体系的融合，还必须与企业公司治理、战略管理等系统相整合。企业风险管理整合系统:
(一)风险管理系统应与公司治理系统进行整合
风险管理功能与公司治理功能相耦合和良性互动是风险管理系统与公司治理系统整合的目标。美国内部审计师协会(IIA)指出，企业风险管理的本质是“通过管理影响企业目标实现的不确定性来创造、保护和增强股东价值”。而公司治理则是董事会为了维护公司利害相关者的利益而对管理层提供指导、授权和监督的过程。整合风险管理与公司治理就是在公司治理框架中加入风险管理的角色。在这种拓展的公司治理框架中，高管和风险主管应当直接承担风险管理的责任，董事会则应积极参与增值型的风险管理活动，如在风险管理的过程中对管理层进行指导、授权和监督等活动。:
(二)风险管理系统应与公司战略管理系统相整合
风险管理功能与公司战略管理功能相耦合，主要体现在图2所示的战略管理全过程中:
将战略管理系统与风险管理系统相整合，有利于以较低的成本顺利实现企业的战略目标。公司治理确定企业风险管理的范围和边界，并为风险管理提供政策;而战略管理则为风险管理提供资源与支持。公司实施不同的战略，会引起不同的风险，也应采取不同的风险应对措施。因此，不同的战略模式将会导致在不同的领域配置风险管理的资源。
企业战略管理的最终目标是为了实现企业价值的持续增长，企业价值创造路径应围绕“股东价值客户价值业务流程核心资源”这一路径展开，该路径表明企业长期股东价值的增长来自于客户价值的增长。企业要获得长期稳定的客户价值，必须具有高效、快捷和质量可靠的业务流程，这些业务流程的价值创造能力又依赖于企业核心资源的研究与开发。这也是企业价值链的形成路径，企业风险管理也应遵循这一路径而展开。
总之，整合的风险管理框架应该是由公司治理层面确定风险管理的政策;由高管确定风险管理的偏好;由战略管理层确定风险管理流程、文件和模型;在应用和基础设施层面配备相应自动控制装置，以促进事件的自动处理和报告的自动生成，并使用分析工具对这些事件及其组合与公司政策的相关性进行分析，为决策者提供风险应对的信息。
【主要参考文献】
[1]张谏忠，吴轶伦.内部控制自我评价在宝钢的运用[J].会计研究，2005，(2).
[2]吴轶伦.内部控制自我评价[J].上海财经大学学报，2004，(4).
[3]吴轶伦.内部审计职能的发展与风险管理模式的建设[J].冶金财会，2006，(3).
[4]方红星.内部控制审计组织效率[J].会计研究，2002，(7).
[5]课题研究组.内部会计控制规范操作实务[M].中国商业出版社，2001.
[6]阎达五，宋建.双元控制主体构架下现代企业会计控制的新思考[J].会计研究，2000，(3).
[7]朱荣恩、贺欣.内部控制框架的新发展——企业风险管理框架[J].审计研究，2003，(6).
[8]金或日方，李若山，徐明磊.COSO报告下的内部控制新发展[J].会计研究，2005，(2).
[9]严晖.风险导向内部审计整合框架研究[M].中国财政经济出版社，2004.
[10]宋夏云.现代风险导向审计模式的背景分析与理论创新[J].中国审计，2005.
[11]胡春元.审计风险研究[M].东北财经大学出版社，1997.
风险管理
风险战略
论文摘要：本文在对欧美商业银行风险管理行为整体考察的基础上，提出了商业银行风险战略的概念，并对欧美商业银行风险战略的实践进行了系统地研究，最后对我国商业银行风险战略实践提出了建议。
欧美商业银行高度重视风险管理，在长期的风险管理实践中，其形成了一整套系统的风险管理模式和方法，并把风险管理上升到了战略的高度，有力推动了自身的壮大和健康发展。本文拟对欧美商业银行具有战略性的风险管理行为进行系统地研究和归纳，以期对国内商业银行风险管理水平的提高有所帮助。
一、商业银行风险战略概念的提出
从《银行家》杂志历年来对国际商业银行的排名情况来看，欧美商业银行从各个方面都具有明显的竞争优势，这除了与其能够制定并执行正确的发展战略、具有较高的经营水平有关外，我们认为，更与它们成功的风险管理行为密不可分。总体来看，欧美商业银行均能够适应诸如购并战略、全能化战略、全球化战略、再造战略等一系列发展战略的制定和实施，根据自身的风险胃口和风险管理长期目标不断更新风险管理理念，加强风险文化建设；实现全方位、立体的全面风险管理；构建有效的公司治理结构和全面风险管理组织体系；伴随业务流程再造，实现风险管理流程再造；积极创新，采用新的风险管理技术，增强风险预警、评估、控制的主动性和有效性。可以说，它们在风险管理方面有着比较明确的范围、方向以及实现模式，积极谋求风险管理的长效机制和远期目标，并把风险管理作为发展战略的子战略之一，以充分支持发展战略及利益相关方期望的实现。，
鉴于欧美商业银行这种明确、系统的风险管理范围和方向，并结合企业战略管理理论关于企业战略的概念，我们提出了商业银行风险战略的概念，以期能够找到一种更为合适的研究欧美商业银行风险管理行为的方法和路径。我们认为，商业银行风险战略是指商业银行为满足利益相关方的期望，依据发展战略、风险胃口和风险战略目标而确定的长期的风险管理行动方向和范围。具体讲，它是商业银行确定的风险管理理念、文化、治理结构、制度流程、技术工具和专业团队等风险战略要素长期发展方向的某种组合，正是这种组合代表了商业银行风险管理的长期行动方向和范围。由于各欧美商业银行所处的具体环境不同，内部禀赋存在差异，经营管理理念不尽一致，其风险战略要素往往在内容和组合上不尽相同，也就导致它们的风险战略实际上各有不同。
二、欧美商业银行风险战略实践
(一)欧美商业银行风险战略的基本类型主要从动态和静态两个视角进行考察。
动态视角主要是通过纵向研究来归纳历史上商业银行风险战略的基本类型。历史上欧美商业银行风险管理主要经历了五个阶段，即资产风险管理阶段(最初)、负债风险管理阶段(始于20世纪60年代)、资产负债管理阶段(始于20世纪70年代)、资本充足率管理阶段(以20世纪80年代《巴塞尔资本协议》的颁布为标志)和全面风险管理阶段(以2004年6月新协议的颁布为标志)。我们认为，风险战略整体上也相应分为资产风险管理战略、负债风险管理战略、资产负债风险管理战略、资本充足率战略和全面风险管理战略五种基本类型。
静态视角主要是对商业银行某个阶段的风险战略进行分析，归纳该阶段风险战略所包含的基本类型。从欧美商业银行的实践来看，静态视角下风险战略的基本类型主要表现为风险战略的层次性，即公司层次风险战略、业务单位风险战略和经营单位风险战略。公司层次风险战略主要分为总体风险战略和专业风险战略。新协议颁布以来，欧美商业银行总体风险战略主要是指全面风险管理战略，即强调全球的风险管理体系、全面的风险管理范围、全程的风险管理过程、全员的风险管理文化、全新的风险管理方法和全额的风险计量。按照新协议的要求，专业风险战略主要包括资本充足性战略、信用风险战略、市场风险战略和操作风险战略等。业务单位风险战略是指性质相同或类似，并可以进行类似管理的业务的风险战略。如信用风险方面的业务单位风险战略主要有公司业务风险战略、零售业务风险战略、同业业务风险战略、主权业务风险战略和股权业务风险战略等。经营单位风险战略是指各类业务具体经营单位为取得各自业务范围内良好的风险管理效果而确定的工作方向和范围，如零售业务方面，银行卡经营单位的风险战略。
(二)欧美商业银行风险战略与利益相关方、发展战略、风险胃口和风险战略目标的关系
一般来说，利益相关方不同，其对风险战略的影响亦不相同。股东最终关注的是投入资本的回报率，以及商业银行的长期增长性，因此，欧美商业银行董事会在进行风险战略定位时，首先会考虑股东的风险胃口和投资回报目标，并以此为依据；债权人如债券投资者希望获得安全而丰厚的回报，风险战略应增强在该方面的吸引力；内部员工、各经营单位的诉求则直接决定风险战略能否被认同并得到有效执行。发展战略是指商业银行为实现使命和宗旨而确定的长期发展方向和范围。从实践来看。欧美商业银行风险战略接受发展战略的指引，并在保持独立性、垂直管理的基础上，服务于发展战略。风险胃口即风险容忍度，是指股东等投资者愿意承担或忍耐的风险的程度。决定风险胃口的因素除了主观的风险偏好(股东的风险厌恶程度)外，还有商业银行资本规模和风险管理能力。不同的商业银行根据其自身的风险胃口。相应地选择不同的风险战略。风险战略目标则是风险战略欲实现的中长期目标，它指引风险战略要素的内容安排和组合，风险战略为风险战略目标的实现而存在。
(三)欧美商业银行风险战略管理
从欧美商业银行的实践来看。风险战略管理是指风险战略定位、选择、实施、评估与控制等一系列相互影响的决策与行动。
1．风险战略定位。欧美商业银行风险战略定位首先分析、评估商业银行现有使命、利益相关方的期望与影响、发展战略、风险胃口和风险战略目标的合理性。然后根据分析、评估结果，运用SWOT等分析法对宏观环境、行业环境、战略集团(即主要竞争对手)等外部环境进行综合分析，清楚所面临的机遇和挑战；对风险理念、文化、公司治理结构、人力资源配置、风险管理技术、风险信息系统等内部环境进行分析，清楚所具有的优势和劣势。根据以上两个分析结果重新审视并修正使命、发展战略和风险战略目标等，最后依据修正结果和内外部环境分析结论综合得出恰当的风险战略定位，如决定实施全面风险管理。
2．风险战略选择。
(1)风险战略的制定。企业战略管理理论认为，战略的制定存在三种视角，即设计视角、经验视角和创意视角，三种视角分 别或综合为战略的制定提供了相应的方法和路径。研究发现， 欧美商业银行风险战略制定，即风险战略要素内容的安排和组 合同样存在以上三种视角。设计视角认为商业银行通过理性 的、指导性的分析和规划程序对风险战略进行规划、设计和确定，该视角适合转型中的商业银行。经验视角认为风险战略是风险管理文化、行为经验的结果，是对风险管理文化和经验的总结与改良，成熟商业银行的风险战略往往如此产生。创意视角认为风险战略是在商业银行风险管理过程中存在的差异性和多样性的基础上生成的秩序和创新，商业银行全球化和综合化发展往往为该视角提供创意素材。事实上，我们发现风险战略多是设计规划、经验总结和改进创新的综合结果。
(2)风险战略的选择。风险战略选择是指商业银行在风险战略定位、制定的基础上，对可供选择的风险战略进行评价、修正，最终选出合适的风险战略的活动。欧美商业银行进行风险战略选择主要考虑风险战略的适应性、可操作性和市场竞争性等。适应性方面主要考虑风险战略是否与商业银行内外部诸要素相匹配，特别要考虑是否与使命、发展战略、风险胃口、风险战略目标相匹配。可操作性方面主要考虑风险战略的实施是否与自身对应的资源和能力相协调。在市场竞争性方面则主要考虑风险战略是不是有利于提升商业银行的风险管理水平和市场竞争力。
(3)公司治理模式与风险战略选择。市场主导型公司治理模式以欧美商业银行为代表，股权高度分散.其股东力量弱小.对经营决策仅有有限的发言权，只是通过在证券市场“用脚投票”的方式对董事会形成市场制衡影响，董事会实际上是商业银行风险管理的最高决策机构.对风险战略的选择进行决策。出资者主导型公司治理模式以德国和日本商业银行为代表，企业交叉或循环对银行持股，法人持股率高，对银行的监督和约束主要来自股东的“用手投票”。在该模式下，监事会直接代表股东成为商业银行风险管理的最高决策机构，进行风险战略决策。目前，两种模式出现融合趋势。
3风险战略实施。欧美商业银行实施风险战略具有良好的保障和支持。一是确立相应的、良好的风险管理理念和文化，增强风险管理的主动性。二是建立有效的风险管理治理结构，尤其是建立了有效的风险管理治理结构。三是明确相应的风险管理工作目标和计划.对风险战略进行详尽分解和落实。四是建立合适的、完善的政策制度和流程。五是采用良好的风险管理技术，特别是受新协议的影响，风险量化模型呈普及之势。六是建立完善的风险管理信息支持系统，为风险战略的有效管理提供决策支持。七是加强人力资源的利用和开发，建立高素质的风险管理专业队伍，主要做法是推行风险经理制。八是关注并适应外部监管。
4.风险战略评估与控制。由于制定和实施中可能存在偏差，风险战略可能会出现不贴切、不适应、不高效、不尽效、不协调等各类风险，导致风险战略的制定和实施事与愿违。欧美商业银行往往定期召开决策层风险管理委员会会议，对风险战略实施现状和存在的风险进行诊断和评估，并及时对其进行动态的调整和完善。
5．风险战略管理的价值。从欧美商业银行的实践结果来看，主要是有利于培育先进的风险理念和文化；支持并完善发展战略；建立、完善风险管理治理结构；提升风险管理技术水平；保证风险战略的顺利实施；积极满足监管要求，提升市场竞争力等。
三、对我国商业银行风险战略实践的建议
(一)确立良好的风险管理理念，培育优秀的风险管理文化从西方商业银行的实践看，有什么样的风险管理理念和文化，就等于制定并实施什么样的风险战略，因此我们有必要借鉴其先进的风险管理理念和文化，为风险战略实践营造良好内部环境和氛围，引导员工形成良好的风险战略实践习惯。一是充分认识、理解商业银行风险，及其客观性和管理的必要性与持久性，养成风险管理的自觉性；二是能够正确处理风险管理与业务发展的关系，树立风险管理创造价值的理念，通过先进的技术与模式实现收益与风险相匹配；三是实施全面风险管理，明确风险管理的职责、标准和流程，实现风险管理的精细化和专业化；四是董事会和总行高级管理层确保风险管理体系的完善性、垂直性和独立性，以及风险管理文化的优越性，并对风险管理承担最终的责任；五是形成一种风险防范的道德评价标准和职业环境，促使全体员工在风险管理中恪守职业道德；六是认真汲取风险战略实践教训并改善风险管理方法，全体员工注重提高自身对风险的管理能力。
(二)借鉴经验，重新审视并重视风险战略
一是重新审视风险战略实践，结合自身实际，确定合理的风险胃口和风险战略目标，通过科学定位，选择层次清晰、内容完备、目标明确的风险战略，并不断对其进行修正和完善，增强其适应性、可操作性和竞争力。二是重视风险战略，有效配置各种资源，培育良好的风险战略实施环境，充分发挥风险战略的价值和作用。三是建立良好的风险战略管理机制，充分发挥各方主体在各环节上的职能作用，保证风险战略效用的高效传导。
(三)构建完善有效的风险管理体系。
1．建立完善有效的风险管理治理结构。首先，建立有效的公司治理结构。股东、董事会、监事会、高级管理层等主体职责明确，协调制衡；建立有效的内部控制体系，业务经营和风险管理活动规范开展。其次，建立良好的风险管理分工及相互制衡关系，保证风险战略管理机制畅通、高效。一方面风险管理实现决策、实施、支持和监察监督四个部分纵向的分工和制衡，另一方面还应实现各类风险管理的横向分工和制衡。这方面可借鉴欧美商业银行风险管理的矩阵结构。再次，建立垂直、独立的风险管理组织体系。垂直、独立的风险管理组织体系可从三个层次的风险管理和三级经营单位的风险管理等两个层面来理解。三个层次的风险管理包括：董事会是商业银行风险管理的最高决策机构，负责风险战略的制定和监督实施；监事会负责商业银行整体风险监测和风险管理效果评价；高级管理层下设风险管理委员会，通过总行风险管理部门集中管理各类风险。三级经营单位的风险管理包括总行、分行和支行的风险管理，以各级职能风险管理部门为主线，上下联动独立实施风险管理。
2．建立完善的风险管理流程和制度体系。建立完善的风险管理流程，实施风险战略管理全过程监控，保证整个流程为有机体。建立完善的制度体系，为风险战略的有效实施提供系统的制度支持。
3，建立完善的风险管理评价体系。一是实施有效的内部稽核与检查，完成风险战略管理的评估与动态调整，保证各项风险管理工作的有效性。二是建立完善的考核和约束激励机制，以持续增强风险管理的驱动力，确保风险战略管理的良好环境。三是建立严格的风险管理责任追究机制，通过增加风险管理责任成本，避免风险战略管理中的失职和不当行为。
(四)不断提升风险管理技术水平
积极跟进新协议要求，借鉴欧美商业银行风险管理技术和模式，实施全面风险管理；建立完善的风险管理信息系统，实施风险分类管理，提高风险精细化管理水平；采用先进的风险计量技术和模型，提高风险计量水平；积极关注新类型风险，坚持动态的风险管理创新机制。
关键词：内部审计；风险管理框架；应用
中图分类号：F239 文献标识码：A 文章编号：1672-3198（2009）03-0237-02
1 引言
2004年美国反虚假财务报告委员会（COSO）颁布了《企业风险管理――总体框架》中，企业风险管理的定义是，由董事会和管理层在制定战略及在整个企业中实施的、用于识别可能影响组织的潜在事件并根据风险偏好管理风险，为组织实现目标提供合理保证的过程。它强调企业风险管理和内部控制体系整合，使二者共同成为公司治理的强大工具。内部控制体系中核心环节之一的内部审计承担了监督、评价、检查、报告和改进等任务，是企业风险管理不可或缺的组成部分。
2004年国际内部审计师协会（IIA）内部审计的定义将风险管理和内部控制、公司治理列为内部审计的工作对象，明确要求内部审计参与风险管理和公司治理过程， IIA《标准》确定了风险审计的方向。
2 风险管理框架下风险导向审计的应用前提
在风险管理框架下，要发挥风险导向审计的作用，必须以风险管理为基础，改变审计思路，改进审计流程和方法。
2.1 以风险管理框架为理论框架
COSO提出的ERM框架首先增加了战略目标，将企业风险的关注点引向战略问题；其次，在内部控制五要素（内控环境、风险评估、内控活动、信息与沟通、监督）的基础上增加了目标设定、事件识别和风险评估三个要素，与原来的风险评估要素构成了一个完整的风险管理过程；最后，还强调风险管理覆盖所有层次，包括业务单元、子公司、分支机构和公司的整体层次等内部控制的全部领域。可见，ERM是一个整合公司治理和内部控制的框架，它关注包括公司治理领域和内部控制环节的一切风险。
IIA通过修改内部审计定义加速了它的发展并使其成为现代内部审计发展的趋势。它是传统审计的发展，赋予为企业的风险管理提供保证的重要任务，因此，应该让内部审计和风险管理框架直接联系，实现协同效应。IIA《标准》对风险审计的规范和指导，极力倡导内部审计在企业风险管理框架中发挥不可替代的重要作用，即内部审计要在风险环境分析、风险事件识别、风险评估、风险反应和控制、风险信息沟通和管理系统监控环节中发挥重要作用。
2.2 以风险管理目标为审计过程的行动指引
全球化、技术更新、资本重组、变化的市场、竞争和管制等因素使企业经营面临着很多不确定性，现代企业管理的战略目标是增加企业价值，同时承受相应的风险。不确定性是对价值的破坏或增进，风险与机会并存，管理层把机会反馈到战略或目标制订过程中，以便把握住适合的机会。
COSO对企业风险管理定下四大目标：战略目标――高层次目标，与使命相关联并支撑其使命；经营目标――有效和高效率地利用其资源；报告目标――报告的可靠性；合规目标――符合适用的法律和法规。在这些目标指引下，风险管理过程就是要合理保证管理层及时了解企业实现目标的程度。依据IIA对内部审计的定义，风险导向审计的总目标是对企业所面临的风险进行管理，对内部控制和治理过程进行评估，将评估的结果反馈给管理层，从而帮助企业实现目标。其目标基本一致。
COSO风险管理框架扩展了风险管理的广度和深度，提高了企业管理层控制风险的地位，也提高了风险评估在企业经营中的地位，企业目标分为经营效果和效率、财务报告可靠性和法律法规的遵守程度，内部控制目标提升到企业战略的层次。风险导向审计对企业风险的监控是指对风险管理要素的内容和运行及一段时期内执行质量的评估，要求在企业风险控制监督过程中取得实效，广泛收集有关经营决策和风险状况的信息，评估各个待审计项目的风险，进而确定审计风险控制策略。风险导向审计的焦点体现在分析、确认和解释关键性的经营风险，使审计和企业风险管理策略紧密联系。
2.3 采用新型的审计思路
传统的内部审计沿袭“自下而上”、“由点到面”的审计思路，风险导向审计则要求审计人员对企业的战略管理进行分析，对企业风险做出合理的专业判断，运用“自上而下”的思路，确定审计的范围、重点、审计目标和相关审计程序，通过实质性测试的结果，结合重要性判断来判断整个企业的风险并最终形成审计意见。
2.4 以企业战略为审计起点
企业经营战略指导企业未来的发展方向，内部审计要把握好企业战略和长远规划，才能充分发挥其服务职能，从战略分析入手，按照“战略分析――经营环节分析――剩余风险分析”的思路展开风险分析， 确定实质性审计程序的性质、时间和范围。它使得审计人员从战略系统观角度对企业保持和加强风险管理体系的竞争优势进行分析评价，指导审计重点、范围、目标和程序，从系统上改进了审计方法，以适应新经济环境的要求。
2.5 以风险识别为审计主线
风险导向审计以风险识别为起点，通过事前分析评估，提出应对风险的方案并辅之事后总结，完善风险管理制度，并检查风险控制的有效性，及时揭示和报告潜在风险，提出防范措施和改进建议。
所谓风险识别是指在风险发生前，运用各种方法系统地、连续地发现风险的过程，了解企业存在的各种风险因素及其可能带来的后果，将风险识别运用到审计中，审计人员可以针对不同的风险程度采取不同的实质性测试程序和相应的风险控制措施。风险识别方法有很多，如环境分析法、财务报表法、流程图法、情景分析法、决策分析法、动态分析法、头脑风暴法等，多种方法可在风险识别过程中结合运用。
2.6 以风险评估为控制手段
在风险管理框架下，内部审计的一个重要职能是协助建立和完善企业风险管理制度，对执行情况的有效性进行检查，及时揭示和报告潜在风险，提出防范措施和改进意见，因此风险评估是风险导向审计的重要手段。它有利于帮我们确定合理的审计程序，揭示被审计单位财务、经营等方面风险，并重点考虑形成这些财务数据的业务经营及其他影响因素等方面，搜集充分、适当的审计证据。非财务因素如企业的战略优势在哪里，未来发展前景如何，管理方式与经营理念是否合理，主要竞争对手是谁，重要客户是谁，人力资源素质怎么样，面临的法律监管环境如何及内部控制制度等。
风险评估的核心是分析性复核的运用。所谓分析性复核，就是以财务资料与非财务资料之间的表面关系或可预测的关系，评估财务信息的合理性，分析被审计单位的重要比率，包括这些比率异动及与预期数的差异，目的是评价业务的总体合理性。在多元因素评估过程中，还要将现代管理方法运用到分析性程序中去，使风险因素不再独立，常用的分析方法有：战略分析、绩效分析、财务分析、会计分析及前景分析等。
3 风险管理框架下内部风险导向审计的应用过程
风险管理是一个动态过程，风险管理框架下的内部审计也是一个动态过程，且贯穿于企业管理全过程。
3.1 理解风险管理是一个动态过程
COSO对风险管理的定义是“风险管理是一个过程，它由一个主体的董事会、管理当局和其他人员实施，应用于战略制订并贯穿于企业之中，旨在识别可能会影响主体的潜在事项，管理风险以使其在该主体的风险容量之内，并为主体目标的实现提供合理保证” 。从定义可以看出，风险管理渗透于企业经营活动全过程且反复相互影响，风险管理机制的运作是一个动态管理的过程，与经营管理活动交互存在。我们看到，风险和机会有时会互换，也是动态过程，如果把握不好，机会将变为风险，如果控制及时，风险也会转化为机会。风险管理就是帮助管理层有效处理不确定性，规避风险、把握机会，提高企业创造价值的能力，这也决定了风险管理是个动态过程。
风险管理要素由内部环境、目标设定、事项识别、风险评估、风险应对、控制活动、信息与沟通以及监控等八个相互关联的要素构成。这些要素来源于企业经营方式，各个要素之间相互影响、互相作用。例如，风险评估促进风险应对，并影响控制活动，突出信息和沟通的重要性。因此，风险管理是多方向且反复的过程，不同要素之间相互影响。
3.2 风险导向审计贯穿于企业管理全过程
风险导向审计最终目的是为了完善公司治理，协助管理层应对风险、把握机遇，提升企业价值。它以风险为出发点，由传统的事后评价变为全过程的动态反应，为管理层提供及时有用的信息，为公司治理相关措施的有用性给予反馈，并提出建议。所以，风险导向审计是将各项管理经营活动整合成一个完整、相互约束和自我改善的体系。它运用立体观察的理论来判断影响企业经营风险的各种因素，从企业所处的行业状况、监管环境、经营目标、战略规划到经营方式、业务流程等内外部各个方面来评估企业的风险水平，把经营风险植入到本身的风险评价中去，并贯穿于内部审计的全过程。
我国学者黄园园提出，企业管理活动可以划分为战略管理、管理控制和作业活动三个层面，风险导向审计贯穿于企业管理的全过程，内部审计通过作业活动层面的风险导向审计和自我控制评价了解企业风险状况和管理薄弱环节，进而向战略管理层或管理控制层提出管理建议，在战略层做出决策后向管理控制层或作业活动层提供管理咨询，并在获得授权的情况下协调作业活动层的改进工作。
3.3 风险导向审计在不同风险管理水平的作用过程
风险导向内部审计与传统内部审计的区别在于其遵循的逻辑顺序是“目标风险控制”，同时根据企业风险评估调整审计战略，确定审计重点，紧密关注高风险的领域，以提供更相关、更符合管理层和董事会需求的确证信息。
在不同风险管理水平下，风险导向审计所发挥的作用不同（如表1）。在风险暴露阶段，内部审计建立在审计风险评估的基础上，采用风险管理方法；在风险察觉阶段，内部审计建立在审计风险评估基础上，协助建立企业范围的风险管理方法；在风险确认阶段，内部审计使用管理层的风险评估结果，促进风险管理的战略和政策的实施；在风险管理阶段，内部审计建立在管理层的风险评估基础上，对风险管理过程进行审计；在风险管理融合阶段，内部审计建立在管理层的风险评估基础上，对风险管理过程进行审计。
当然，在不同风险阶段，企业风险管理水平是不断发展和变化的，在这种逻辑思路下，风险导向审计模式应根据不同的风险水平不断调整审计目标和重点，发挥不同的职能作用。
4 结论与建议
4.1 结论
在风险管理框架下风险导向审计的功能得到有效拓展，在促进风险管理、内部控制和公司治理方面都发挥了重要作用，成为企业风险管理体系的重要组成部分。因此，风险导向审计贯穿于企业管理全过程，必须突破传统观念，以企业风险管理框架为理论依据，改进审计流程和方法，与风险管理机制相融合，其审计模式在不同风险管理水平下应随之相应调整。
4.2 建议
我国内部审计起步较晚，无论在理论研究还是实际应用，与西方内部审计存在较大差距。随着我国市场经济体制逐步完善和世界经济一体化，我国企业与西方企业面临着同样经营环境和风险，内部审计作为企业风险管理体系的重要环节，必将面临严峻的挑战。我们可以从以下三方面着手准备，为全面推广风险导向审计提供基础。
摘要：2004年9月，COSO委员会正式颁布了新的COSO报告：《企业风险管理——整合框架》。在对此报告进行研究的基础上，探讨了两方面的问题，一是企业风险管理与内部控制的融合，二是內部审计与风险管理。通过比较认为，首先，企业风险管理与內部控制同样是一个程序，处于不断的调整和变化之中．两者只有相互融合，才能实现最佳效果；其次，对企业风险管理进行监督和评价是现代内部审计发展的结果。內部控制向风险管理领域扩展，对內部审计的发展产生了深远影响，集中体现在风险基础内部审计的产生。
关键词：企业风险管理；內部控制；內部审计
一、企业风险管理框架的提出
2004年，美国Treadway委员会下属赞助委员会(COSO)在内部控制框架概念的基础上，提出了企业风险管理(EnterpriseRiskManagement，ERM)的概念，使内部控制的研究发展到一个新的阶段。COSO这样定义企业风险管理，企业风险管理是一个过程，受企业董事会、管理当局和其他员工的影响，包括内部控制及其在战略和整个公司的应用．旨在为实现经营的效率和效果、财务报告的可靠性以及现行法规的遵循提供合理保证。COSO认为，ERM为公司董事会提供了有关企业所面临的重要风险，以及如何进行风险管理方面的信息，并进一步提出企业风险管理由内部环境、目标设定、事件辨别、风险评估、风险反应、控制活动、信息和交流以及监督等8个方面组成。
1．内部环境(InternalEnvironment)。企业的内部环境是其他所有风险管理要素的基础，为其他要素提供规则和结构，也为ERM的其他组成因素提供了框架。其别是管理当局的风险偏好，决定了公司对可能出现的预料之外的事件的态度，管理当局和董事会必须明确战略及其执行过程中的风险和回报。
2．目标设定(ObjectiveSetting)。即管理层必须基于目标来识别成功的潜在因素。根据企业确定的任务或预期，管理者制定企业的战略目标，选择战略并确定其他与之相关的目标并在企业内层层分解和落实。其中，其他相关目标是指除战略目标之外的其他目标，其制定应与企业的战略相联系。管理者必须首先确定企业的目标。才能够确定对目标的实现有潜在影响的事项，而企业风险管理就是提供给企业管理者一个适当的过程，既能够帮助制定企业的目标，又能够将目标与企业的任务或预期联系在一起，并且保证制定的目标与企业的风险偏好相一致。
3．事件辨别(EventIdentification)。在对企业目标、战略和计划以及对企业所处的内部和外部环境都有深刻了解的基础上，企业风险管理要求辨别可能对实现公司目标产生负面影响的所有重要情况或事件，事件辨别的基础是将可能的风险与环境进行对比。这一步要求综合运用各种专业知识，尽可能地了解企业当前或将来的环境和经营情况。
4．风险评估(RiskAssessment)。一般用可能性(概率)和影响结果两个维度度量风险，前者是一定的负面影响事件发生的可能性；后者是假设事件发生，对经营、财务报告以及战略产生影响的可能结果，潜在影响一般以对经营、数量、金钱损失以及战略目标可能造成的损失进行计算。风险评估的过程中根据不同的情况，采用定性、定量以及相结合的方法，若可以获取充足的数据，一般采用定量的评估方法；若潜在的可能性及影响结果都较小，或者无法获得数据，则一般采取定性的评估方法。
5．风险反应(RiskResponse)。企业对每一个重要的风险及其对应的回报进行评价和平衡，结果取决于成本效益分析以及企业的风险偏好。而平衡的反应包括接受、规避或缓和这些风险，后者又包括风险分离、风险转换或者减少(包括通过控制活动)等形式。风险反应是企业风险管理的整体重要组成部分。
6．控制活动(ControlActivities)。控制活动是管理当局设计的政策和程序，为执行特定的风险缓和反应提供合理保证。控制活动包括在整个组织中使用的批准、授权、注销、确认、观察、查证以及对经营业绩复核、资产安全、职责分离等方法。
7．信息和交流(InformationandCommunication)。风险辨别、评估、反应和控制活动在组织的各个水平层次上产生有关风险的信息，与财务信息一样，风险信息必须以一定的形式和框架进行交流，使员工、管理层以及董事履行各自的责任。风险评估的信息系统可以产生定期或“例外基础”的时时报告，报告使用趋势指标、业绩矩阵及运营或财务成果的形式，这些报告能够引导出及时的决策。在公司层次，必须对各种数据和信息流进行加工，形成关于公司风险组合轮廓的统一观点，以利于交流。通常存在自上而下式、平行式和自下而上式三种有效的交流形式。自上而下式是管理当局向员工传递风险信息；平行式是部门之间的信息交流和传递；自下而上式是一线员工向管理层汇报风险信息。员工的风险信息交流方面的意识是风险管理环境的重要组成部分，应鼓励员工就其意识到的重要风险与管理层进行交流，管理当局应当重视员工的意见。
8．监督(Monitor)。与内部控制一样，企业应通过持续的监督和独立的评价活动，监督企业风险管理的有效性。持续监督以日常经营中发生的事件和交易为对象，包括管理当局和专门的监督人员的活动。独立评价一般以定期检查计划为基础，或者以日常监督中发现的意外为起点，由于在独立调查、风险评估和报告方面具备能力、技巧和经验，内部审计师是提供独立评价的合适人选。
二、企业风险管理与内部控制的融合
自1992年美国COSO委员会提出《内部控制框架》报告(简称COSO报告)以来，该内部控制框架已经被世界上许多企业所采用，但理论界和实务界纷纷对内部控制框架提出一些改进建议，强调内部控制框架的建立应与企业的风险管理相结合。新的企业风险管理框架就是在1992年的研究成果——《内部控制框架》报告的基础上，结合《SOX法案》在报告方面的要求，进行扩展研究得到的。通过比较，我们可以发现，企业风险管理的定义采用了1992年内部控制框架定义的模式，认为企业风险管理与内部控制同样是一个程序，它不是静态的，而是处于不断的调整和变化之中，以适应组织环境的变化。
企业风险管理除包括内部控制的三个目标之外，还增加了战略目标，并扩大了报告目标的范畴。内部控制框架将企业的目标分为经营的效率和效果、财务报告的可靠性和现行法规的遵循。企业风险管理框架也包含三个类似的目标，但是比内部控制框架增加了一个目标——战略目标。该目标的层次比其他三个目标更高。企业的风险管理在应用于实现企业其他三类目标的过程中，也应用于企业的战略制定阶段。
另外，企业风险管理的8个要素除了包括内部控制的全部5个要素之外，还增加了目标设定、事件辨别和风险反应三个要素，由于对象不同，风险管理更加针对组织面临的“风险”，增加这三个要素，拓展了概念的深度和广度。因此，风险管理框架建立在内部控制框架的基础上，内部控制框架则是企业风险管理必不可少的一部分。
内部控制与风险管理的融合很早就引发了人们的关注，经过长期的争论和实践，人们对二者关系的认识不断深化，逐渐认识到将两者关系隔离的分析方法是不可取的，内部控制与风险管理只有相融合，才能实现最佳效果。COSO企业风险管理概念的提出，将风险管理与内部控制的融合大大地向前推动了一步，这种融合必将极大地推进内部控制和内部审计的发展。
三、风险管理对内部审计的影响
内部控制向风险管理领域扩展，对内部审计的发展产生了深远影响，这种影响集中体现在风险基础内部审计的产生。由于各国实务各不相同，尚未形成统一的最佳做法，国际内部审计师协会目前还没有标准的风险基础审计定义，IIA的职业问题委员会认为，风险基础审计关注的焦点是组织对所面临影响其目标实现的风险作出的反应，与其他形式的审计不同，这种审计的出发点是风险，而非控制，其目的在于为风险管理提供独立保证，并在必要时加以引导和改进，审计业务的范围和优先次序应由组织所面临的风险所决定。
风险基础内部审计的特征可以总结为以下几点：
第一，风险基础内部审计不仅关注风险管理，同时也是风险管理的重要组成部分。公司针对风险管理功能，设立一个分部，配置一位风险经理，内部审计人员建立风险评估模式，内部审计工作成为企业风险管理的一个组成部分，整个审计工作根植于以未来为导向的风险分析。
第二，内部审计的方法不再是强调确认和测试控制的完整性，而是强调确认经营风险并测试这些风险是否得到有效管理，由交易事项和对政策的遵循，转变为对目标、战略和风险管理程序的关注，“控制是否适当且有效”虽然仍被关注，但已不是关键。
第三，内部审计的反应方式不再是反应式的、事后的、不连续的监控，从以交易为基础转变为以过程为基础，对组织战略计划的创新也由观察者转变为参与者。
一、保险企业实施全面风险管理的必要性和重要性
保险公司的风险管理是一个永恒的话题，保险公司围绕总体经营目标，通过在企业管理的各个环节和经营过程中执行风险管理的基本流程，培育良好的风险管理文化，建立全面风险管理体系，可以起到防范和化解风险、保护资产的安全与完整、保证经营活动合法合规和企业经营战略有效实施等重要作用，因此，是否实施全面的风险管理是衡量保险企业经营管理水平高低的重要标志。
(一)保险国际化的趋势日益明显
在经济全球化的大背景下，保险国际化的趋势日益明显，一方面表现为客户保险需求的全球化，跨国公司基于其全球经营业务在世界范围内安排其风险管理与保险计划；另一方面表现为保险人通过国际间的保险资本运作、对冲机制、战略联盟等多种形式，满足巨灾保险、金融风险管理等迅速增长的需求，在国际范围内寻求新的生存和发展空间。20世纪60年代出现的真正意义下的自保公司，70年代由荷兰人首创并迅速风靡全球的银行保险，80年代人寿保险业出现的以万能寿险和变额寿险为代表的产品创新，90年代出现的保险风险证券化以及大量新型风险转移工具，特别是近年来，处于前锋地位的保险人、保险经纪人、政府保险机构及民间保险组织，如安联保险等，已经在综合风险管理(IntegrateRiskManagement)、非传统风险转移工具(AlternativeRiskTransfers)等新型保险产品和技术等方面进行了大量的创新，保险保障的范围已经大大突破了传统意义上的可保风险范畴，从而预示着未来保险业的革命性变化。
(二)保险资金面临的投资风险越来越大
随着金融市场的创新与融合，保险资金运用渠道的逐步拓宽，可投资品种逐步增加，从普通的债券投资发展到权益类投资、从国内市场拓展到境外市场，保险资金特别是寿险业资金面对的各种风险也越来越复杂。例如，寿险保单存续期一般都长达20至30年，相应的在资金运用中要考虑20-30年存续期的投资与之相匹配。投资于固定收益资产的寿险资金，对利率的变动非常敏感，市场利率的微小波动会导致资产价值的较大变动。据统计，到2006年8月，债券已经成为保险资产配置的最主要工具，投资规模已经达到8777亿元，其中，持有国债和金融债余额分别达到3674亿元和2416亿元，债券资产占保险资产运用的比重由2001年的28.4%上升到2006年的55.2%，保险公司持有的企业债、银行次级债、国债和金融债的余额分别占总余额的69.6%、45.5%、12.1%和11.6%。在央行上调利率、国债等债券收益率大幅下降的背景下，保险公司投资风险显然还在加大。投资效益低下直接影响到保险公司的偿付能力和经营的稳定性。据测算，1999年以前的保单会导致我国寿险业利差损每年增加约20亿元，到2004年底寿险业利差损总额超过720亿元，占到行业总资产的9%左右，即便各寿险公司将全部业务盈余都用于弥补利差损，也需要10年的化解时间。而权益类投资，包括金融衍生物投资风险巨大，给许多公司带来几亿、以至几十亿金额的损失，如德国哥达保险公司、克罗尼亚保险公司、汉诺威再保险股份公司、伦敦巴林银行等。因此加强资金运用风险管理，提高风险管理水平对资金运用是非常重要的。
(三)全面风险管理成为现代保险企业管理的基础和核心
随着金融保险市场的日趋深化和扩大，各保险机构之间的竞争也从原来的规模扩张逐渐转变为内部管理、业务创新等方面的竞争，从而导致了保险企业的经营理念的深刻变化，使全面风险管理成为现代保险企业管理的基础和核心。从世界范围来看，风险管理正在从传统的“点对点”式的管理走向全面的、一体化的管理。国际上比较有名的内控和风险管理模式有英国的Cadbury、美国的COSO和加拿大的COCO，特别是美国的COSO模式从理论到操作方法上阐述了一整套完整的全面企业风险管理框架。WilliamJ.Mc·Donoush所称，“内部控制将对投资者起到重要的保护作用，因为稳固的内部控制是抵御不当行为的头道防护线，是最为有效地威慑舞弊的防范措施”。2005年，保监会制定《寿险公司内部控制评价办法(试行)》。2006年，国资委制定了《中央企业全面风险管理指引》。这对于推动保险企业的全面风险管理的发展具有重要意义。
(四)我国保险业在风险管理方面存在许多不足之处
近几年来，国内保险业在快速发展的同时，在防范和化解经营风险和加强公司内部风险管理方面有了一些进展，但还是存在不少问题和不足，主要表现在三个方面：一是对全面风险管理的认识不到位，存在着严重的“竖井效应”。二是没有建立完整的风险管理框架。大多数保险公司的风险管理没有贯彻到公司的各项业务过程和各个操作环节，许多关键控制点形成所谓的控制盲点，还没有形成一个有效的多维、多视角、跨时点的风险监控体系。三是风险管理效果不尽如人意，出现了许多违纪违法的现象。因此，只有从我国保险公司的实际出发，引进、消化和吸收国际上先进的企业风险管理模式和风险管理技术，特别是应该使CO—SO框架成为保险公司完善公司内部控制的标准，构建全面风险管理体系，缩小我们在风险管理方面与国际上的差距，才能够增强保险业抵御风险的能力，使保险业稳定健康发展。
二、COSO企业风险管理框架的内涵
目前，国际风险管理领域存在诸多的企业内部控制和风险管理标准，但都与COSO框架紧密相关，COSO框架已成为企业全面风险管理的标准。因此，要完善保险公司的内部控制，加强风险管理，需要准确理解COSO界定的企业风险管理框架的内涵，以COSO框架为依据，建立保险公司风险管理框架和机制，取信于投资者，提高保险公司在公众中的美誉度。
早在1958年，美国注册会计师协会将“内部控制”区分为两类：内部会计控制和内部管理控制。1992年，COSO提出了内部控制整体框架，并在1994年进行了增补，指出：内控是为了实现经营的效果和效率；财会报告的可靠性；对现行法规的遵守三大目标的过程。2004年10月，COSO正式企业风险管理框架(以下简称ERM框架)。ERM框架在1992年报告的基础上吸收了各方面风险管理研究成果，并进行了扩展研究，提出了内部控制框架与企业的风险管理相结合的风险管理思路。
COSO对ERM框架的定义是，“企业风险管理是一个过程，它由一个主体的董事会、管理当局和其他人员实施，应用于战略制定并贯穿于企业之中，旨在识别可能会影响主体的潜在事项，管理风险以使其在该主体的风险容量之内，并为主体目标的实现提供合理的保证”。COSO的风险管理框架扩展了其内部控制框架，强调企业风险管理有三个维度，分别是目标、风险管理要素和管理层级。目标由内部控制框架的3个扩展为4个，即战略、经营、报告和合规。风险管理要素由内部控制框架的5个(内部环境、风险评估、控制活动、信息与沟通、监控)扩展为8个，即内部环境、目标设定、事项识别、风险评估、风险应对、控制活动、信息与沟通、监控。管理层级包括整个企业、职能部门、业务单位和分支机构4层。各管理层级是风险管理主体，风险管理要素是必备条件，目标是企业努力实现的对象，企业的各个管理层级都要按照风险管理的8个要素为4个目标服务。
COSO于2001年起开始进行企业风险管理研究，强调风险管理框架必须和内部控制框架相一致，把内部控制目标和要素整合到企业全面风险管理过程中。因此，ERM框架是对内部控制框架的扩展和延伸，它涵盖了内部控制，并且比内部控制更完整、有效。首先，该框架扩展了内部控制框架，强调风险管理与企业战略目标相协调，并最终融人企业文化之中；其次，该框架更强调风险管理贯穿于企业运行过程的各个方面，涉及到企业的治理、管理和操作等所有层级，扩展了单纯的内部控制职能；最后，引入了风险组合、风险和机会的区分、风险应对、风险偏好、风险容量等风险管理理论新的研究成果。ERM框架是对传统风险管理和内部控制的重要发展，是一个具有清晰的文化理念、完整的架构体系、科学的控制流程、有效的技术和方法，能够覆盖企业各类风险，对企业风险进行全面管理。因此，应用该框架对于我国保险企业有效实施风险管理、遵循监管机构的风险控制和监管要求有着重要意义。
三、ERM框架在保险企业风险管理中的应用
全面风险管理是一种全新的管理理念和方法，我国保险业必须尽快转换长期以来固化的观念和思维定式，努力构建全面风险管理的新体系和新机制。ERM框架强调，认定一个主体的企业风险管理是否“有效”，是在对八个构成要素是否存在和有效运行进行评估的基础上所作的判断，如果构成要素存在并且正常运行，那么就可能没有重大缺陷，而风险则可能已经被控制在主体的风险容量范围之内。
(一)内部环境
保险企业的内部环境是整个风险控制框架的基础，包括主体的风险管理理念、风险容量、董事会的监督、主体中人的诚信、道德价值观和胜任能力，以及管理当局分配权利和职责、组织和开发其员工的方式。这其中包含了组织的基调，它影响组织中人员的风险意识，为主体的人员如何认识和对待风险设定了基础。
风险管理的顺利实施必须得到一个良好的组织体系的支持，ERM框架建议了基本的组织结构以及各结构层的职能和责任，同时框架也强调，主体的组织结构的适当性部分取决于它的规模和所从事活动的性质，因此保险企业要从自身实际情况出发，运用企业风险管理的思想，设计一个适合自身的组织框架。ERM框架关于组织结构的基本思路为：董事会通过选择管理当局在确定期望的诚信和道德价值观起着主要作用，同时，董事会在特定关键决策上的保留权力使其在制定战略、规划高层次目标以及广义资源配置方面发挥作用；管理当局直接负责对风险管理进行全面整合、统一协调；各部门责任明确、各司其职，如财务部进行财务计划与控制，精算部设计合理的费率以及充足准备金的提存，投资部控制投资损失风险和流动性风险，核赔部控制赔付率和维护公司信誉等等；设立专门的风险管理官员，跨子公司、业务、部门、职能机构来分析和评价公司的风险，研究潜在的风险因素和防范措施，为董事会和各部门提供风险报告及风险管理建议。ERM框架还强调每个人在企业风险管理中的作用，明确指出：在企业中，不仅仅是董事会或者风险管理官员，其他人员，如内部审计师、财务官员以及组织中的每一个人都对企业风险管理负有一定的责任，都能够对其过程施加一定的影响，因而所有员工的职能与责任都应该被很好地界定和沟通。这有利于督促企业的所有员工重视企业风险管理和内部控制问题，把维护及改善企业的风险管控当作自己的事，而不是站在与管理阶层对立的角度，被动地执行各自的任务。
(二)目标设定
必须先有目标，管理当局才能识别影响目标实现的潜在事项。企业风险管理框架要求管理当局采取适当的程序去设定目标，确保所选定的目标切合、支持该主体的使命，并且与它的风险容量相协调。
不同的企业由于战略不同而有不同的风险管理目标。对保险企业而言，如果其总目标是收益一定条件下的风险最小化，则保费收入、赔付支出、投资收益、公司收益等下一层的子目标就会与总目标有所不同，子目标的具体划分必须依据保险公司的战略进行。例如某保险公司的战略目标是，在未来经过10-15年的努力，建成“国内领先、国际一流的知识型、现代化非寿险公众公司”。这样的企业总目标对企业风险管理的要求会更高，因为它对风险管理水平与国际接轨的要求比较高。另一保险公司具体战略目标是：对市场具有明确的判断，能使企业在复杂的竞争环境中保持竞争力与盈利能力；降低运行风险；与国际接轨，将公司的管理标准化，国际化；进一步提高企业运行效率。这样的战略目标则偏向纯粹风险的管理。
(三)风险识别与风险评估
ERM框架中不仅仅把风险定义为损失的可能性，也把风险看作盈利的机会，其目的在于强调现代风险管理的主动精神和积极态度，这完全符合保险企业以风险换取收益的业务本质，也有利于提高保险公司的竞争力。因此，风险的识别更需要区分风险和机会，对风险予以评估和应对，将机会反馈到战略和目标制定过程中，平衡风险与收益。
风险评估是对识别出来的风险事件进行风险影响分析。一般从两个方面来评估：一是估计风险发生的可能性或概率，另一方面是估计如果风险发生所产生的后果。风险评估是企业制定和实施风险管理战略的依据。风险评估的方法有很多，并一直有新的方法被开发出来应用于风险管理实践。通常采用的是定性和定量相结合的方法。定性的方法主要有风险评级，即采取对风险发生的可能性和影响程度进行分级，如依据风险发生可能性和重要性程度划分为若干档次，并分别拟定相关的指标作为判断可能性和影响程度的依据。定量的方法有概率工具和非概率模型等，比较成熟的方法有VaR方法，历史模拟法、MonteCarlo模拟法、情景分析、RiskMetrics方法、GARCH模型等等。风险地图也是最常用而最有效的风险分析工具，在一个一维代表风险发生可能性，一维代表风险的影响程度的二维坐标中，根据在风险分析中得出的结果，即各种风险不同的可能性和影响程度，在该坐标系中标出其所在位置，这将直观显示出某一风险或多个风险的重要性程度，并以此决定进行风险控制的先后顺序及投放资源的大小。
(四)风险应对
风险应对是指管理当局采取回避、承受、降低或者分担风险等一系列行动，以便把风险控制在主体的风险容限(RiskTolerance)和风险容量以内。
1.传统风险管理方法。该方法主要侧重于企业自身资产负债管理。对于保险企业具体来讲，主要能采取的措施包括：(1)选择性承保。主要包括控制保单质量(主要从可保风险的审核和加强保险核保入乎)和控制保单过分集中的风险。(2)内部风险抑制。一是通过资产负债的组合配置来实现风险分散和风险对冲的目的；二是通过加强企业内部控制来有效控制风险，确保稳定经营，实现价值最大化。(3)自留风险及提存准备金。保险公司根据自身的风险水准(主要参考其自身资本实力、风险控制能力及风险偏好等因素)和经营方向的定位，确定一个企业自留风险限额并将其逐级分配到各具体业务部门。自留风险后，企业要做好补偿风险损失的财务安排，包括提存各种准备金和安排表外资本等。(4)再保险安排。
2.非传统风险转移方法方式(AlternativeRiskTransfer，简称ART方法)。该方法在传统风险管理的基础上，引入了资本市场进行风险转移。主要包括：(1)多险种多年期产品。该产品将几种不同的风险捆绑在一起，可以节省管理成本并通过时间分散成本。(2)有限风险再保险。有限风险再保险是一种风险转移和风险融资相结合的产物，主要特点是再保险承保人仅承担有限风险、保险合同多年期、再保险承保人与分出人共同分担损失和分享收益等。(3)保险风险证券化。可以通过创设并发行保险衍生产品，比如巨灾期货、巨灾期权、气候衍生品等，将保险企业承保的风险转移到资本市场，利用资本市场的强大融资能力来消化承保风险。(4)利用金融衍生工具。保险公司通过购入特定类型的保险期货、期权来分散、对冲风险。例如芝加哥交易所(CBOT)的巨灾风险损失指数的期货和期权交易。
在风险应对的过程中，管理当局还应该考虑一些事项。一是潜在应对的成本和收益。二是除了应付具体的风险之外，企业所面临的新的机会。企业在风险应对时不应该仅仅只是考虑降低已经识别出来的风险，同时还应该考虑给主体带来的新的机会。如保险风险证券化除了能分散保险企业的风险，同时也有给企业带来收益的可能性。
(五)控制活动
控制活动是帮助确保管理当局的风险应对得以实施的政策和程序，即在选定了风险应对后，确定用来帮助风险应对恰当、及时地实施的措施。控制活动贯穿于整个企业主体，包括了批准、授权、验证、调节、资产安全以及职责分离等一系列不同的活动。
(六)信息沟通
有效的沟通包括信息在主体中的向下、平行和向上的流动。公司不同部门风险管理职责不同，各部门职责也有交叉，任何一个部门不可能单独完成某一风险的管理。因此，保险公司在风险管理中，需要建立包括投资、精算、财务等各部门紧密合作的体系结构，同时要有完善的信息系统和信息沟通规则。沟通方式可以采取备忘录、电子邮件、公告板、网络等等，在沟通过程中还应该注重信息的即时性以及信息的质量。另一方面，公司内部与公司外部也应该建立起有效的沟通，例如与客户之间，与同类公司之间。
(七)监控
监控指对企业风险管理进行监督，必要时加以修正，可以通过持续的管理活动、个别评价或两者结合来完成。
持续的管理活动主要来自经常性的管理活动，例如部门管理人员定期的经营报告、内部审计等，当然也包括监管机构的外部监管。
个别评价则通常作为辅助，它提供了一个考察持续监控程序的有效性的机会。保险企业可以根据自身情况来决定评价的范围以及频率，选择合适的评价人员。评价可以通过核对清单等方法，通过通行业对比等方式来进行，当然也可以选择专门的评估机构来全方位评估企业的风险管理。
[关键词] 技术风险管理 内敛型 母国中心化 战略联盟 风险
21世纪，当达国家纷纷步入经济时代和信息化社会。跨国公司已认识到技术优势对于长期保持国际竞争力和提高风险防范能力的重大作用，并对其海外投资风险管理战略作了相应的调整：从通过资产控制向通过技术控制过渡，跨国公司对其核心技术扩散的防范及其风险管理出现了新的特点。
跨国公司战略目标的选择与风险管理的策略是紧密相连的。围绕技术优势的控制，当代跨国公司的战略导向正在发生重要的转变，即从传统的利润导向型和市场导向型向技术导向型转化。利润导向型突出利润回报率，强调应尽快收回资金，改善流动资金周转，强调通过降低各生产要素成本、运输成本及规模经营等以降低经营风险。市场导向型要求在风险管理中以最小的市场动荡，避免市场暴力，以取得较大的市场份额。而当代技术导向型则强调在风险管理中应把技术控制作为首要目标，通过海外投资以取得专有技术，强调产品多样化，以获得和发展新的产品和生产线；强调在风险管理中对专有技术实施严格的控制，防止技术的泄露。与此相适应，在技术风险管理上呈现出以下特点：
一、实施技术风险管理策略
跨国公司在技术控制上既要充分发挥技术的优势，又要防止技术过早地泄露，在技术风险管理上主要采用以下策略：
1.国家类型策略。跨国公司一般首先向发达国家转让技术，经过若干年后再将同一技术向新兴工业国（地区）转让，最后才向其他发展中国家及地区转让。
2.转让时机策略。当技术处于创新阶段时要实施严格控制，一般不宜转让;在技术发展阶段，处于优势、有利地位的跨国公司也不予以转让;对成熟阶段的技术，大多数跨国公司会予以转让;当技术处于衰退阶段时，跨国公司则千方百计地寻找买方。跨国公司所采用的这种技术管理策略旨在延长技术的生命周期，防止技术的失控。
3.母子公司差别策略。跨国公司将尖端科学研究开发、关键技术、产品品牌、技术标准、全能实验室、优秀人才等由母公司控制，子公司的重大科研成果必须交回母公司，不得自行转让，以确保跨国公司对核心技术扩散的风险防范。
4.转让方式策略。跨国公司在向发达国家转让技术时，往往采用联合研究与开发或技术互换等方式，而对发展中国家和地区由以技术投资较多,而且往往转让的是成熟的技术或衰退的技术。
为了进一步防范核心技术的扩散，当代跨国公司海外投资研究与开发一般采用母公司中心化的动作模式。即其分支机构虽分布于各东道国，但核心技术创新能力始终保持在母国研究与开发总部。总部主要从事基础技术研究和把开发的新产品推向全球市场，而其海外分部则以技术当地化为主要任务，负责核心技术的消化、吸收和改进。母公司成立一个专门负责各研究与开发分部技术转移的机构，有利总部研究与开发的规模经济和对核心技术的严格机密的控制。
二、提高核心技术的内敛型成分
作为跨国公司技术优势的载体主要有四种：一是物质资源（如厂房、场地、存货等）;二是无形资产（如品牌、版权、专利、信誉等）;三是人力资源（如员工个人智力、经验等）；四是组织资源（企业文化、组织技术、控制程序、公共关系等）。作为跨国公司的领先技术不仅具有自然科学属性，同时也具有社会人文属性。从社会人文属性角度看，蕴藏于人力资源、组织资源中的先进技术往往具有偶发模糊性，即跨国公司的垄断优势与其可控技术资源之间的某种必然联系往往是隐晦的，从而不可能被竞争对手完全理解和掌握。一般而言，跨国公司的领先技术由两种成分构成:一是外显型;二是内敛型。前者可以符号化显示为图纸、外观设计和技术说明等，后者却只存在于人的大脑之中。一项技术的复杂程度越高，其中内敛型成分所占比重越大。内敛型成分的非符号化保证了复杂性很强的核心技术不易扩散。
三、依据技术因素，选择风险管理模式
跨国公司技术水平的高低，是决定其风险管理策略选择的重要因素之一。当跨国公司拥有较高的技术水平时，为了不泄露技术，一般倾向于采用控制性较强的风险管理模式，如采用独资形式以加强技术的控制。当然，在技术更新日新月异、产品周期越来越短的今天，如果单靠独资的形式来防范技术的外露的泄漏，势必影响技术的进步和市场的扩张，跨国公司越来越多地采用合资形式下的风险管理策略。
为降低区域性性风险和防范核心技术的扩散，跨国公司开始较多地转向通过协议合同等契约式的风险管理。例如，跨国公司通过向海外协议方企业提供管理、技术、专门知识（技能）、商标和向协议方企业提品或企业形象设计等从而获得海外经营权。这种契约式的经营战略较以往海外直接投资具有较强的风险防御能力。其中，许可证转让、专有权转让和分包合同是最基本的形式。当前每年全球许可证转让费高达1200亿美元。可口可乐、麦当劳等是全世界转让专有技术或专营权有成功典型。美国耐克公司的鞋和服装和生产分包给了40多个不同的国家和地区。上述公司主要采用合作、合同为核心的契约化风险管理方式，对技术风险的控制起了重要的作用。
四、加强对跨国战略联盟的技术风险管理
随着跨国战略联盟与合作的发展，跨国公司在结构上逐步演变为“全球网络公司”。它具体表现为两个互相交错网络的拓展与延伸：一是由跨国公司通过海外直接投资在世界各地建立的海外子公司所组成的公司内部网络；二是跨国公司通过全球性战略联盟与合作而与其他竞争公司建立的公司网络。跨国公司内、外两大网络互相渗透、互相补充，构成跨国公司海外直接投资的战略基础和经营体系。根据最近的一项调查，日本公司55%的生产物资供应是来自公司外部合作网络，40%是来自公司内部网络，只有5%是来自非合作易。
跨国公司的网络化结构大大增强了其抵御技术风险的整体实力。国际竞争要求参与竞争的企业必须实现经营范围的地区多样化、全球化，通过全球生产经营网络，使其在最短的时间内、在最广泛的市场上应用新的技术成果，加速技术创新的成本回收，有效地补偿了局部地区的风险损失。
战略联盟既作为当代跨国公司技术风险防范的新形式，同时又面临着技术扩散的风险因素。一般而言，决定战略联盟成功与否的关键因素有：合作伙伴的选择，联盟的组织结构以及对联盟的有效管理。
1.合作伙伴的风险防范。选择适当的合作伙伴是建立战略联盟的首要关键环节。合作伙伴必须能分担新产品开发的风险，获得至关重要的技术、技能等资源；合作伙伴不能是机会主义者，否则要冒失去技术、市场等巨大风险。
2.联盟组织结构的风险防范。在选定合作伙伴以后，战略联盟的技术风险管理通常集中在以下几个环节：
(1)在设计联盟的组织结构时要防止不应转移的技术发生转移。在风险管理中一般通过签订协议,严密组织产品的开发、设计、制造、销售及售后服务全过程,保护技术秘密,防止发生泄露。
(2)在联盟协议中加入有关保护性条款，禁止联盟企业与本公司竞争。通过制定合同条款排除合作伙伴通过结盟而进入本公司原有市场并成为竞争对手的可能性。
(3)在结盟时，要求双方实际投入一定的资源，以减少对方的机会主义行为。例如，施乐和富士结盟时制造复印机以供应亚洲市场的过程中，尽管富士起初要求双方签署一项协议或某种非正式安排，而施乐则坚持要求双方成立一个股权对待（50∶50）的合资企业，从而使双方都做出了实际投入。为获得较高的投资回报率，双方便会努力合作。同时，施乐向富士转让复印机技术时，也减少了风险。
3.战略联盟管理中的风险防范。在选定了合作伙伴并建立了适当的联盟结构后，战略联盟的风险管理便集中在核心技术的控制及其管理上。战略联盟的技术风险管理涉及到许多因素，其中一个重要的因素是文化差异。由于这种文化上的差异，使得联盟在技术风险管理中彼此缺乏信赖并难以协调。管理人员在与合作伙伴交往时必须充分考虑到这种差异。加盟各方管理人员之间的私人友谊和互相依赖能减少他们在核心技术控制与协调中的摩擦和冲突。这种私人关系网可以在公司之间形成一种非正式的管理网络，它常常有助于解决各方在技术合作中产生的问题和冲突。
参考文献:
[1]熊小奇:跨国公司对核心技术的控制[J].跨国公司论坛,2002.9
购物车(0)