【正文】 COSO：Enterprise Risk Management FrameworkCOSO企業(yè)風(fēng)險管理整體框架66 / 66概覽 一些公司和企業(yè)的管理者已經(jīng)在企業(yè)內(nèi)部建立了一系列確認和管理風(fēng)險的過程，而現(xiàn)在有許多企業(yè)也已經(jīng)開始或正在考慮建立自己的確認和管理風(fēng)險的過程。雖然管理者已經(jīng)掌握了大量的企業(yè)風(fēng)險管理的信息（包括大量公開出版的文獻），但實務(wù)中卻并不存在統(tǒng)一的術(shù)語，而且也很少有普遍接受的原則可供管理者在構(gòu)建一個有效的風(fēng)險管理框架時作為指南。COSO 委員會已經(jīng)認識到對企業(yè)風(fēng)險管理概念性指南的需要，因而該委員會發(fā)起了一個建立一個概念性的、適當?shù)娘L(fēng)險管理框架的計劃，旨在支持企業(yè)建立或評判企業(yè)風(fēng)險管理過程的項目提供完整的原則、能用的術(shù)語和實務(wù)操作指南。另一相關(guān)的目標是使構(gòu)建的這個框架可以作為管理者、董事、主管人員、學(xué)者和其他相關(guān)人員更好地理解企業(yè)風(fēng)險管理及其優(yōu)點和局限性提供一個統(tǒng)一的基礎(chǔ)，以便在風(fēng)險管理問題方面進行有效地交流。本概覽列出了企業(yè)風(fēng)險管理框架的關(guān)鍵內(nèi)容，包括企業(yè)風(fēng)險管理的定義、內(nèi)容和基本原則，風(fēng)險管理的優(yōu)點、局限性以及各相關(guān)方的地位和職責(zé)。本概覽還強調(diào)企業(yè)風(fēng)險管理的相關(guān)性和其與COSO 內(nèi)部控制報告的關(guān)系。如果想更加深入地了解有關(guān)知識，請看企業(yè)風(fēng)險管理框架的全文。（一）企業(yè)風(fēng)險管理的相關(guān)性企業(yè)風(fēng)險管理的基本前提是每一個企業(yè)，無論是盈利組織、非盈利組織，還是政府機構(gòu)，其存在的目的都是為其利益相關(guān)方帶來價值。所有的企業(yè)都要面對不確定性。對企業(yè)管理者而言，所面臨的挑戰(zhàn)是在追求企業(yè)利益相關(guān)方價值增長的同時，決定企業(yè)準備接受的不確定性的程度。不確定性既代表風(fēng)險，也代表機遇，既存在使企業(yè)增值的可能，也存在使企業(yè)減值的風(fēng)險。風(fēng)險管理框架就是為管理者提供一個框架，使其能夠有效處理不確定性及相應(yīng)的風(fēng)險和機遇，進而提高企業(yè)創(chuàng)造價值的能力。1．不確定性企業(yè)經(jīng)營的環(huán)境中有許多因素都會給企業(yè)帶來不確定性，如全球化、技術(shù)、法規(guī)、企業(yè)重構(gòu)、多變的市場以及競爭等。不確定性來源于無法明確地決定潛在事項將要發(fā)生的可能性及其相應(yīng)結(jié)果。2．價值從戰(zhàn)略的制定到企業(yè)的日常經(jīng)營，管理者的決策會創(chuàng)造、保持或減少企業(yè)的價值。決策的本質(zhì)就是確認風(fēng)險和機遇，它要求企業(yè)的管理1應(yīng)在考慮企業(yè)內(nèi)、外部環(huán)境的因素的基礎(chǔ)上，對企業(yè)的稀缺資源進行配置，并且根據(jù)環(huán)境的不斷變化來調(diào)整企業(yè)的活動。？當企業(yè)的利益相關(guān)方取得其相應(yīng)價值的可確認收益時，企業(yè)的價值也得到實現(xiàn)。對于公司而言，當股東承認由于股價上揚所帶來的價值時，他們也就承認了企業(yè)的價值。對于政府機構(gòu)，當該機構(gòu)以一個可接受的成本所提供的服務(wù)的收益得到確認時，機構(gòu)的價值就得以實現(xiàn)。對于非盈利組織的利益相關(guān)方而言，當他們確認組織所提供的社會福利的價值時，他們也就承認了該組織的價值。企業(yè)風(fēng)險管理使管理者能夠創(chuàng)造持久的價值并能夠?qū)?chuàng)造價值的信息傳遞給利益相關(guān)方。1 在本部分和以后的討論中一旦使用“管理”一詞，其意思包括非管理人員執(zhí)行的許多企業(yè)風(fēng)險管理活動。 3．企業(yè)風(fēng)險管理的優(yōu)點所有企業(yè)都是在有風(fēng)險的環(huán)境下經(jīng)營，而不是企業(yè)風(fēng)險管理使企業(yè)面臨這樣的環(huán)境。企業(yè)風(fēng)險管理是使管理者能夠在充滿風(fēng)險的環(huán)境中更加有效地經(jīng)營。企業(yè)風(fēng)險管理使企業(yè)的管理者能夠：（1）將風(fēng)險偏好和企業(yè)的戰(zhàn)略結(jié)合在一起。從廣義來講，風(fēng)險偏好是一個公司或企業(yè)在追求其目標的過程中愿意接受的風(fēng)險的程度。管理者在評估企業(yè)的戰(zhàn)略方案時首先要考慮企業(yè)的風(fēng)險偏好，其后，在制定與企業(yè)戰(zhàn)略相對應(yīng)的目標和建立一定的機制管理相應(yīng)的風(fēng)險時也應(yīng)考慮企業(yè)的風(fēng)險偏好。（2）將企業(yè)成長、風(fēng)險和收益聯(lián)系起來經(jīng)濟主體在企業(yè)價值保值、增值的過程中也要接受相應(yīng)的風(fēng)險，同時預(yù)期補償風(fēng)險的相應(yīng)收益。企業(yè)風(fēng)險管理提高了企業(yè)確認和評估風(fēng)險的能力，進而使企業(yè)能夠確定相對于企業(yè)成長性和收益目標而言的風(fēng)險的可接受水平。（3）增加風(fēng)險反應(yīng)決策企業(yè)風(fēng)險管理提供了確認和選擇不同的風(fēng)險反應(yīng)方案的嚴格標準。企業(yè)的風(fēng)險反應(yīng)方案包括風(fēng)險規(guī)避、風(fēng)險降低、風(fēng)險共擔和風(fēng)險接受。企業(yè)風(fēng)險管理提供了進行相關(guān)決策的方法和技術(shù)。（4）使企業(yè)的經(jīng)營意外和損失最小化經(jīng)濟主體可能提高確認潛在事項、評估風(fēng)險和明確反應(yīng)方案，最后減少經(jīng)營意外的出現(xiàn)次數(shù)以及減少相應(yīng)的成本或損失。（5）確認和管理企業(yè)的總體風(fēng)險每一個經(jīng)濟主體都面臨著許多風(fēng)險，而不同的風(fēng)險會影響企業(yè)經(jīng)營的各個方面。管理不僅需要對每一種風(fēng)險進行管理，還需要了解風(fēng)險對企業(yè)總體的影響。（6）針對多重風(fēng)險提供完整的反應(yīng)方案企業(yè)的經(jīng)營過程存在許多內(nèi)在的風(fēng)險，企業(yè)風(fēng)險管理就是為管理風(fēng)險提供一整套解決方案。（7）抓住機遇管理不僅要考慮風(fēng)險，還需要考慮潛在的事項對企業(yè)的影響。對潛在事項有一個完整的了解可以使管理對每一潛在事項表明何種機遇有一個了解。（8）合理分配資金關(guān)于企業(yè)總體風(fēng)險的更為明確的信息可以使企業(yè)的管理者能夠更加有效地評估企業(yè)總體的資金需要，改進企業(yè)的資金配置。企業(yè)風(fēng)險管理本身并不是目的，它僅僅是實現(xiàn)目的的一種方式。它不能、也無法在一個經(jīng)濟主體內(nèi)單獨運行，而是企業(yè)管理過程的一個推動器。企業(yè)風(fēng)險管理向董事會提供最重要的風(fēng)險的信息以及這些風(fēng)險應(yīng)如何管理的建議，進而與公司治理相聯(lián)系。而且，風(fēng)險管理與企業(yè)的績效管理也有關(guān)，風(fēng)險管理通過提供風(fēng)險調(diào)節(jié)的措施和內(nèi)部控制來幫助企業(yè)的績效管理。內(nèi)部控制是企業(yè)風(fēng)險管理的一部分。風(fēng)險管理幫助一個經(jīng)濟主體實現(xiàn)其經(jīng)營和利潤目標、防止資源的浪費。它還有助于確保企業(yè)報告的有效性。此外，企業(yè)風(fēng)險管理還有助于保證企業(yè)遵守有關(guān)的法律、法規(guī)，避免其聲譽受損并防止產(chǎn)生相應(yīng)的不良后果?？傊?，企業(yè)風(fēng)險管理可以幫助一個經(jīng)濟主體實現(xiàn)其目標、及在實現(xiàn)目標的過程中避開陷井和防止意外的發(fā)生。（二）企業(yè)風(fēng)險管理的定義企業(yè)風(fēng)險管理是企業(yè)的董事會、管理層和其他員工共同參與的一個過程，應(yīng)用于企業(yè)的戰(zhàn)略制定和企業(yè)的各個部門和各項經(jīng)營活動，用于確認可能影響企業(yè)的潛在事項并在其風(fēng)險偏好范圍內(nèi)管理風(fēng)險，對企業(yè)目標的實現(xiàn)提供合理的保證。這一定義反映了一些基本概念：1．企業(yè)的風(fēng)險管理是一個過程――其本身并不是一個目的，而是實現(xiàn)目的的一種方式。1 2．風(fēng)險管理受人的影響――它不只是企業(yè)的政策、調(diào)查和表格，還涉及一個企業(yè)各個層次員工。1 3．風(fēng)險管理也適用于企業(yè)戰(zhàn)略制定過程。4．企業(yè)風(fēng)險管理應(yīng)在整個企業(yè)范圍內(nèi)應(yīng)用，在每一個經(jīng)營層面和每一個單位內(nèi)應(yīng)用，并應(yīng)以一種企業(yè)總體的風(fēng)險組合的觀點來看待。1 5．風(fēng)險管理的設(shè)計應(yīng)有助于確認會對企業(yè)造成潛在影響的事項并確保在企業(yè)風(fēng)險偏好的范圍內(nèi)管理企業(yè)的風(fēng)險。 6．風(fēng)險管理僅為企業(yè)的管理者和董事會提供合理的保證。7．企業(yè)風(fēng)險管理的目標是幫助企業(yè)一類或幾類單獨并相互重疊的目標的實現(xiàn)。從廣義上定義這一概念主要有幾個原因：這一定義應(yīng)包括公司和其他企業(yè)管理風(fēng)險的幾個基本概念，并可以應(yīng)用于各種組織、行業(yè)和部門。它直接針對企業(yè)目標的實現(xiàn)。此外，這一定義應(yīng)為定義企業(yè)風(fēng)險管理的有效性提供一個基礎(chǔ)。上述基本概念詳細論述如下：1．一個過程企業(yè)的風(fēng)險管理并不是一個事項或環(huán)境，而是滲透于企業(yè)各項活動中一系列行動。這些行動普遍存在于管理者對企業(yè)的日常管理中，是企業(yè)日常管理所固有的。一些人認為，企業(yè)風(fēng)險管理對企業(yè)的各項活動而言是多余的，是企業(yè)必須承擔的一個負擔，但COSO 的討論稿則并不這樣認為。但有效的企業(yè)風(fēng)險管理仍舊需要企業(yè)各管理層不懈的努力。例如，風(fēng)險評估要求企業(yè)不斷地努力來建立必要的評估模型并進行必要的分析和計算。但是，這些以及其他的企業(yè)風(fēng)險管理機制與企業(yè)的經(jīng)營活動是并存的，是由于最基本的商業(yè)原因而存在的。當企業(yè)風(fēng)險管理機制成為企業(yè)的基礎(chǔ)設(shè)施并真正成為企業(yè)的一部分時，企業(yè)的風(fēng)險管理會最有效。通過建立風(fēng)險管理，企業(yè)可以直接提高自身的戰(zhàn)略執(zhí)行能力，并提高企業(yè)預(yù)期和任務(wù)的實現(xiàn)能力。建立風(fēng)險管理對企業(yè)的成本構(gòu)成同樣有重要的影響，特別是在目前大多數(shù)企業(yè)都面臨高度競爭的市場環(huán)境的情況下。在現(xiàn)有工序的基礎(chǔ)上增加新的工序會增加成本，而通過關(guān)注現(xiàn)有的經(jīng)營過程以及他們對實現(xiàn)有效風(fēng)險管理的貢獻，并將風(fēng)險管理整合到企業(yè)的基本經(jīng)營活動之中，一個企業(yè)就能夠避免不必要的工序和成本。并且，將風(fēng)險管理整合到企業(yè)日常的經(jīng)營過程中有助于管理者抓住企業(yè)發(fā)展的新機遇。2．受人的影響企業(yè)的風(fēng)險管理會受董事會、管理層和其他人員的影響，風(fēng)險管理是通過組織內(nèi)的人來完成的，是通過人的所做和所說實現(xiàn)的。是企業(yè)內(nèi)的人制定企業(yè)的任務(wù)/預(yù)期，戰(zhàn)略和目標，并實施企業(yè)的風(fēng)險管理機制。同樣，企業(yè)風(fēng)險管理也影響人的行動。企業(yè)風(fēng)險管理要認識到人對事物的理解、溝通或執(zhí)行并不總是一致的。企業(yè)中的每個人都有不同的背景和技術(shù)能力，都有不同的需求和優(yōu)勢。這些因素都會影響企業(yè)的風(fēng)險管理，也會受風(fēng)險管理的影響。每個人的出發(fā)點都不同，這會影響他們對風(fēng)險的確認、評估和反應(yīng)。企業(yè)風(fēng)險管理就是要提供了一個機制，幫助人們從企業(yè)總體目標的角度認識風(fēng)險。企業(yè)的員工必須了解他們自己的職責(zé)和權(quán)限。因此，除了要明確員工的職責(zé)和企業(yè)的戰(zhàn)略和目標之間的聯(lián)系之外，還要明確員工的職責(zé)和他們履行職責(zé)的方式之間的聯(lián)系。 一個組織的員工包括董事會成員、管理者和其他人員。盡管企業(yè)的董事主要負責(zé)監(jiān)督，但是他們同時也向管理者提供指導(dǎo)，核準企業(yè)的戰(zhàn)略、某些活動和政策。因此，董事會是企業(yè)風(fēng)險管理的重要組成部分之一。3．可應(yīng)用于企業(yè)戰(zhàn)略的制定一個企業(yè)要確定其預(yù)期或任務(wù)，并制定其戰(zhàn)略目標。企業(yè)的戰(zhàn)略目標是企業(yè)最高層次的目標，它與企業(yè)的預(yù)期和任務(wù)相聯(lián)系并支持預(yù)期和任務(wù)的實現(xiàn)。一個企業(yè)為實現(xiàn)其戰(zhàn)略目標而制定戰(zhàn)略方案，并將戰(zhàn)略方案分解成相應(yīng)的目標，再將目標層層分解到企業(yè)的各業(yè)務(wù)部門、行政部門和生產(chǎn)線。在制定企業(yè)的戰(zhàn)略方案時，管理者應(yīng)考慮與不同的戰(zhàn)略方案相關(guān)的風(fēng)險。4．應(yīng)用于整個企業(yè)為使企業(yè)的風(fēng)險管理獲得成功，一個企業(yè)必須從全局，從企業(yè)總體層面上考慮企業(yè)的活動。企業(yè)的風(fēng)險管理應(yīng)考慮組織內(nèi)所有層面的活動，從企業(yè)總體的活動（如戰(zhàn)略計劃和資源分配）到各業(yè)務(wù)部門的活動（如市場部、人力資源部），到各業(yè)務(wù)流程（如生產(chǎn)過程和新客房信用審核）等等。企業(yè)風(fēng)險管理還可用于特定項目和新的行動計劃，盡管該項目或計劃可能在企業(yè)的管理流程或組織流程圖中尚無明確的定位。企業(yè)風(fēng)險管理要求企業(yè)以風(fēng)險組合的觀點看待風(fēng)險。這會要求企業(yè)內(nèi)負責(zé)各業(yè)務(wù)部門、行政部門、生產(chǎn)流程或其他活動的管理者對本部門的風(fēng)險進行評估。這些評估可以是定量的，也可以是定性的。企業(yè)的高級管理者應(yīng)以一種組合的觀點看待企業(yè)內(nèi)每個下級層面的風(fēng)險，以決定企業(yè)總的風(fēng)險組合是否與企業(yè)的風(fēng)險偏好相對應(yīng)。管理者應(yīng)以總體的組合觀來考慮相關(guān)風(fēng)險。對相關(guān)的風(fēng)險應(yīng)予確認并采取措施使承擔的風(fēng)險落在企業(yè)風(fēng)險偏好的范圍內(nèi)。對企業(yè)內(nèi)部每個單位的風(fēng)險而言，可能都落在該部門的風(fēng)險容忍度的范圍內(nèi)，但從總體來看，合并后的風(fēng)險可能超過了企業(yè)總體的風(fēng)險偏好。企業(yè)總的風(fēng)險偏好應(yīng)通過對特定目標確立相應(yīng)的風(fēng)險容忍度的方式在企業(yè)內(nèi)部向下貫徹。5．風(fēng)險偏好風(fēng)險偏好是指一個企業(yè)在追求價值最大化的同時所愿意接受的風(fēng)險的數(shù)量。企業(yè)通常采用定性的方法分析風(fēng)險偏好，將風(fēng)險偏好分為高、中、低三類；或者采用定量的方法分析風(fēng)險偏好，反映出企業(yè)的成長性、收益性和風(fēng)險目標，并在三個目標之間進行平衡。風(fēng)險偏好與企業(yè)的戰(zhàn)略直接相關(guān)。在制定戰(zhàn)略時應(yīng)考慮企業(yè)的風(fēng)險偏好，并將戰(zhàn)略的預(yù)期收益與企業(yè)的風(fēng)險偏好聯(lián)系起來考慮。不同的戰(zhàn)略會給企業(yè)帶來不同的風(fēng)險，在戰(zhàn)略制定時應(yīng)用風(fēng)險管理，其目的是幫助管理者選擇與企業(yè)的風(fēng)險偏好相一致的戰(zhàn)略。企業(yè)的風(fēng)險偏好指導(dǎo)企業(yè)的資源配置。管理者在各業(yè)務(wù)部門間分配資源時應(yīng)考慮企業(yè)的風(fēng)險偏好和各個業(yè)務(wù)部門為取得預(yù)期的收益率所采用的戰(zhàn)略。管理者應(yīng)將企業(yè)的風(fēng)險偏好與企業(yè)的組織結(jié)構(gòu)、人員和業(yè)務(wù)流程聯(lián)系起來考慮，并應(yīng)建立對風(fēng)險有效反應(yīng)和監(jiān)督的必要的硬件設(shè)施。風(fēng)險容忍度是與要實現(xiàn)的目標相關(guān)的偏差的可接受程度。在確定某一特定的風(fēng)險容忍度時，管理者應(yīng)考慮相關(guān)目標的相對重要性并將風(fēng)險容忍度與企業(yè)的風(fēng)險偏好聯(lián)系在一起。在風(fēng)險容忍度的范圍之內(nèi)經(jīng)營更能夠保證企業(yè)所承受的風(fēng)險在其風(fēng)險偏好的范圍內(nèi)。反過來，就能夠?qū)ζ髽I(yè)目標的實現(xiàn)提供更高程度的保證。6．提供合理保證設(shè)計合理、運行有效的風(fēng)險管理能夠向企業(yè)的管理者和董事會在企業(yè)目標的實現(xiàn)上提供合理的保證。如果企業(yè)的風(fēng)險管理有效，董事會和管理者在以下幾個方面得到合理的保證：－了解企業(yè)戰(zhàn)略目標實現(xiàn)的程度；－了解企業(yè)經(jīng)營目標實現(xiàn)的程度； －企業(yè)報告的可靠性；－相關(guān)的法律和法規(guī)遵守的情況。“合理保證”反映了“不確定性和風(fēng)險都是與未來相關(guān)，而未來是沒有人可以確切地預(yù)測的”這一思想。這種局限性的其他原因包括：人們在進行決策時的判斷可能出錯；對風(fēng)險反應(yīng)的決策和所建立的控制需要考慮成本效益原則；由于人們的簡單失誤或錯誤可能導(dǎo)致的企業(yè)破產(chǎn)；可能由于兩個或多個人的串通而繞過控制；管理者可能忽視企業(yè)的風(fēng)險管理決策等等。這些限制使得董事會和管理者無法在企業(yè)目標實現(xiàn)方面得到絕對保證。7．目標的實現(xiàn)有效的風(fēng)險管理應(yīng)該能夠為企業(yè)目標的實現(xiàn)提供合理的保證，包括報告的可靠性、合法合規(guī)性目標等等。這兩類目標的實現(xiàn)都是在企業(yè)的控制范圍內(nèi)，其實現(xiàn)依賴于相關(guān)活動執(zhí)行的好壞。但是，戰(zhàn)略目標和經(jīng)營目標的實現(xiàn)并不總是在企業(yè)的控制范圍內(nèi)。對于這兩類目標，企業(yè)風(fēng)險管理只能合理保證管理者和董事會從宏觀上及時了解企業(yè)目標實現(xiàn)的進度。（三）企業(yè)風(fēng)險管理的組成要素根據(jù)管理者經(jīng)營的方式劃分，企業(yè)風(fēng)險管理包括八個相互關(guān)聯(lián)的組成要素，這八個要素滲透于企業(yè)管理的過程之中，包括：1．內(nèi)部環(huán)境企業(yè)的內(nèi)部環(huán)境是其他所有風(fēng)險管理要素的基礎(chǔ)，為其他要素提供規(guī)則和結(jié)構(gòu)。內(nèi)部環(huán)境影響企業(yè)戰(zhàn)略和目標的制定、業(yè)務(wù)活動的組織和風(fēng)險的識別、評估和執(zhí)行等等。它還影響企業(yè)控制活動的設(shè)計和執(zhí)行、信息和溝通系統(tǒng)以及監(jiān)控活動。內(nèi)部環(huán)境包含很多內(nèi)容，包括企業(yè)員工的道德觀和勝任能力、人員的培訓(xùn)、管理者的經(jīng)營模式、分配權(quán)限和職責(zé)的方式等。董事會是內(nèi)部環(huán)境的一個重要組成部分，對其他內(nèi)部環(huán)境的組成內(nèi)容有重要的影響。而企業(yè)的管理者也是內(nèi)部環(huán)境的一部分，其職責(zé)是建立企業(yè)的風(fēng)險管理理念、確定企業(yè)的風(fēng)險偏好，營造企業(yè)的風(fēng)險文化，并將企業(yè)的風(fēng)險管理和相關(guān)的行動計劃結(jié)合起來。讓企業(yè)所有員工了解企業(yè)