內控-風險-合規(guī)一體化建設100問（44-47）

44.風險管理體系建立的背景是什么？

2004年，美國的COSO委員會（全美反舞弊性財務報告委員會發(fā)起組織）提出了《企業(yè)風險管理—整體框架》，其中明確規(guī)定：“企業(yè)風險管理是一個過程，受企業(yè)董事會、管理層和其他員工的影響，包括內部控制及其在戰(zhàn)略和整個公司的應用，旨在為實現(xiàn)經營的效率和效果、財務報告的可靠性以及現(xiàn)行法規(guī)的遵循提供合理保證?！蓖瑫r，該《框架》將風險管理的要素分為八個方面：內部環(huán)境、目標制定、事件識別、風險評估、風險反應、控制活動、信息與溝通、監(jiān)督。

2006年6月，國務院國有資產監(jiān)督管理委員會印發(fā)《中央企業(yè)全面風險管理指引》（國資發(fā)改革[2006]108號）明確規(guī)定：“企業(yè)風險是指未來的不確定性對企業(yè)實現(xiàn)其經營目標的影響。企業(yè)風險一般可分為戰(zhàn)略風險、財務風險、市場風險、運營風險、法律風險等；也可以能否為企業(yè)帶來盈利等機會為標志，將風險分為純粹風險(只有帶來損失一種可能性)和機會風險(帶來損失和盈利的可能性并存)?！?/p>

同時，該《指引》明確規(guī)定：“全面風險管理是指企業(yè)圍繞總體經營目標，通過在企業(yè)管理的各個環(huán)節(jié)和經營過程中執(zhí)行風險管理的基本流程，培育良好的風險管理文化，建立健全全面風險管理體系，包括風險管理策略、風險理財措施、風險管理的組織職能體系、風險管理信息系統(tǒng)和內部控制系統(tǒng)，從而為實現(xiàn)風險管理的總體目標提供合理保證的過程和方法?！辈娘L險信息、風險評估、管理策略、解決方案、監(jiān)督與改進、組織體系、信息系統(tǒng)、風險文化等方面進行了規(guī)范和要求。

45.風險管理的內涵包含哪些？

在內容上，風險管理具有全面性和總體性的特征。全面性體現(xiàn)在一方面風險管理是一種持續(xù)性行為，貫穿于企業(yè)經營管理全過程，對各項業(yè)務管理、環(huán)節(jié)、流程等全面風險控制，對企業(yè)內外部風險全面把控，對歷史、現(xiàn)在及未來全生命周期的風險分析預測等；另一方面風險管理本身的全流程性，從組織、制度、程序、措施、系統(tǒng)、文化，到建立、評估、執(zhí)行、解決、處置、監(jiān)督、評價、改進等全方位的管理系統(tǒng)和體系，識別企業(yè)所面臨的各類風險?？傮w性體現(xiàn)在圍繞企業(yè)總體經營目標和戰(zhàn)略發(fā)展，關注的是企業(yè)整體風險，整體宏觀上實現(xiàn)經營管理戰(zhàn)略目標。

在設置上，風險管理具有獨立性和權威性的特征。一方面將風險管理職能提升到高級管理層，體現(xiàn)出權威性，另一方面企業(yè)要獨立于業(yè)務部門設置職責清晰、權責明確的風險管理部門，并直接從屬于高級管理層管理，體現(xiàn)出獨立性，不受其他部門影響，以保證其客觀性和公正性。

在效果上，風險管理具有合目的性和價值性特征。首先，風險管理是一個動態(tài)的過程，強調風險管理與企業(yè)經營管理過程相結合，并受人、文化等因素影響，強調“軟控制”（即精神層面的內容，例如管理層的風格和理念、企業(yè)文化等）的作用和風險意識，即不同企業(yè)的風險管理都深深烙上企業(yè)文化的印記。其次，風險管理受目標驅動，并明確組織中的每一個人對風險管理負有責任，且由于內部控制的固有限制，風險管理只能提供合理保證，而非絕對保證。最后，風險管理的最終目標與企業(yè)目標一致，在現(xiàn)代社會中，企業(yè)目標已不僅僅是追求利潤最大化、價值最大化，而是追求構建起一個和諧的內部控制機制，考慮所有利益相關者的利益，改進和提高內部控制的效率和效果，也是風險管理價值所在。

46.風險管理的定義是什么？

國務院國資委的頒布的《全面風險管理指引》將全面風險管理定義為:企業(yè)圍繞總體經營目標，通過在企業(yè)管理的各個環(huán)節(jié)和經營過程中執(zhí)行風險管理體系，為實現(xiàn)風險管理的總體目標提供合理保證的過程和方法。COSO用過程來描述全面風險管理，是目前比較通行的做法。這個定義反映了以下幾方面的基本概念:

1、企業(yè)風險管理是一個過程，一個流程，它持續(xù)作用于企業(yè)，并滲透于企業(yè)的各項活動中，是降低和控制風險的一系列程序。

2、企業(yè)風險管理不僅僅是企業(yè)管理層或風險管理機構的職責，同時需要企業(yè)各個層級幾乎所有的員工共同參與實施。

3、企業(yè)風險管理應當在企業(yè)戰(zhàn)略的制定過程中被應用。

4、由于風險的客觀存在性，風險管理并不能給企業(yè)提供絕對的保證，而只能為企業(yè)實現(xiàn)其經營目標提供一個合理的保證。

5、企業(yè)風險管理旨在識別將會影響企業(yè)的潛在事項，并將風險控制在風險承受能力之內。

47.風險管理框架的8要素是指什么？

2004年9月，COSO結合《薩班斯—奧克斯利法案》的相關要求，頒布了一個概念全新的報告，即《企業(yè)風險管理—整體框架》(以下簡稱“ERM”框架)。框架的出臺順應了各方需求。與1992年的《內部控制—整體框架》相比，ERM 框架在內部控制的內涵、目標、要素以及內部控制責任承擔等層面作了全新突破，對企業(yè)風險管理作出了更為詳盡的闡述。ERM 框架并沒有取代《內部控制—整體框架》，而是基于該框架并將其融入其中，全面推進了內部控制標準的發(fā)展。

在ERM中明確提出了風險管理的8要素，即：內部環(huán)境、目標設定、事件識別、風險評估、風險應對、控制活動、信息與溝通、內部監(jiān)督。