【正文】 的同時將風險控制在風險偏好的范圍內(nèi)。2．目標制定根據(jù)企業(yè)確定的任務或預期，管理者確定企業(yè)的戰(zhàn)略目標，選擇戰(zhàn)略方案，確定相關的子目標并在企內(nèi)層層分解和落實，各子目標都應遵循企業(yè)的戰(zhàn)略方案并與戰(zhàn)略方案相聯(lián)系。－經(jīng)營目標 是指企業(yè)經(jīng)營的效率性和效果性，包括經(jīng)營業(yè)績目標和盈利能力目標，由于管理者對企業(yè)結(jié)構(gòu)和經(jīng)營的不同選擇，各企業(yè)的經(jīng)營目標也不盡相同。企業(yè)的某一個特定目標可能不僅僅屬于某一類目標。從廣義上看，這一目標是防止企業(yè)資產(chǎn)或資源的流失，這種流失可以是由于偷竊、浪費、經(jīng)營的無效性，也可以是由于企業(yè)商業(yè)上簡單的錯誤決策（如以過低的價格出售產(chǎn)品、沒有留住企業(yè)的關鍵員工、沒有阻止對本企業(yè)專利權(quán)的侵害行為，或者是出現(xiàn)未預期的負債等等）所引起的流失。外部因素包括經(jīng)濟、商業(yè)、自然環(huán)境、政治、社會和技術因素等，內(nèi)部因素反映出管理者所做的選擇，包括企業(yè)的基礎設施、人員、生產(chǎn)過程和技術等事項。將潛在的事項進行分類對管理者而言是非常有用的。因此，風險的定義就是，某一事項將要發(fā)生的可能性及其對企業(yè)目標的實現(xiàn)造成負面影響的可能性。4．風險評估風險評估可以使企業(yè)了解潛在事項如何影響企業(yè)目標的實現(xiàn)。根據(jù)企業(yè)自己的經(jīng)驗在企業(yè)內(nèi)部產(chǎn)生的數(shù)據(jù)帶有較少的人的主觀偏見，能夠得到比外部數(shù)據(jù)更好的結(jié)果。當風險本身無法量化時，或者量化評估所要求充足的可靠的數(shù)據(jù)實際不可獲得或者數(shù)據(jù)獲得或分析不符合成本效益原則時，管理者通常會采用定性的分析技術。在任何情況下，各業(yè)務部門所使用的評估技術應有利于企業(yè)在整個企業(yè)的范圍內(nèi)對風險的評估。雖然一個單一事項的影響可能很小，但是這樣一系列事項則可能對企業(yè)造成重大影響。管理者通常只趨于關注中短期的風險，但風險應在企業(yè)戰(zhàn)略和目標的前提下進行評估。一旦確定了對固有風險的風險反應方案，管理者就可以使用風險評估技術確定企業(yè)的殘留風險。有效的風險管理要求管理者選擇一個可以使企業(yè)風險發(fā)生的可能性和影響都落在風險容忍度范圍之內(nèi)的風險反應方案。共擔風險是指通過轉(zhuǎn)嫁或與他人共擔一部分風險來降低風險發(fā)生的可能性或影響。管理者可以采取一定的方法使得每一生產(chǎn)部門、行政部門或業(yè)務單位的管理者可以對風險進行復合式的評估以決定該部門的風險反應方案。6．控制活動控制活動是幫助保證風險反應方案得到正確執(zhí)行的相關政策和程序。由于企業(yè)的控制活動與企業(yè)的信息系統(tǒng)廣泛相關，因此，應對企業(yè)所有的重要系統(tǒng)進行控制。必要時將信息系統(tǒng)控制與其他手工的過程控制相結(jié)合，可以保證信息的完整性、精確性和有效性。應用控制的目的是保證數(shù)據(jù)獲得和業(yè)務處理過程的完整性、精確性、授權(quán)和有效性。每個企業(yè)的管理人員都不同，不同的管理人員在影響內(nèi)部控制時使用不同的個人判斷。有效的溝通還包括將相關的信息與企業(yè)外部相關方的有效溝通和交換，如客戶、供應商、行政管理部門和股東等。將大量的信息進行處理，提煉出或指導行動的信息是企業(yè)管理者所面臨的一個挑戰(zhàn)。長期以來信息系統(tǒng)是用來支持企業(yè)的商業(yè)戰(zhàn)略。歷史數(shù)據(jù)還能夠?qū)π枰芾碚咦⒁獾臐撛谑马椞嵩缣岢鼍妗Ｐ畔⑹菧贤ǖ幕A，溝通則必須滿足各部門和個人的要求，以使他們能夠有效地履行其職責。反之，董事會也應向管理者傳遞其所需要的信息并進行反饋和指導。此外，信息的列示會直接影響對信息的解釋和對相應的風險或機遇的看法，因此，對于溝通應有一個適當?shù)募軜?gòu)。而在某些情況下，需要一個單獨的信息溝通途徑作為防止失敗機制，而為一途徑在正常情況下是不用的。外部相關方的信息經(jīng)常會為企業(yè)風險管理的運行提供重要的信息。持續(xù)監(jiān)控是對企業(yè)日常的、重復的經(jīng)營活動的監(jiān)控，在實時的基礎上進行，是對不斷變化的環(huán)境的動態(tài)地反應，應在企業(yè)內(nèi)部徹底地貫徹和執(zhí)行。個別評估的頻率是企業(yè)管理者的主觀判斷問題。企業(yè)風險管理的內(nèi)容沒有記錄并不意味著風險管理無效或無法對風險管理進行評__估。對此，應將企業(yè)所有的風險管理失效都報告給適當?shù)墓芾韺?，以保證其采取必要的措施以糾正風險管理失效。在經(jīng)營活動中產(chǎn)生的信息通常通過正常的渠道進行報告。這些協(xié)議應反映一個基本原則，即一個管理者在收到實現(xiàn)其特定目標的有關信息外，還應收到影響其權(quán)限范圍內(nèi)人員的行動或行為的所有信息。它們相互之間存在直接的關系，可以用一個三維矩陣圖來表示（如圖1 所示）。（五）有效性企業(yè)風險管理是一個過程，企業(yè)風險管理的有效性則是某一時點的一個狀態(tài)或條件。因為不同的要素之間可能存在著作用的相互抵消。某些中小企業(yè)所采用的要素的內(nèi)容與大企業(yè)可能不同，但企業(yè)的風險管理仍舊有效。一個公司可能采用聯(lián)營企業(yè)、合伙或其他的投資形式，其經(jīng)營可能不在母公司的直接控制之下。在《內(nèi)部控制——整體框架》中已經(jīng)對內(nèi)部控制進行了定義和描述。企業(yè)目標的實現(xiàn)還要受管理過程內(nèi)在局限性的影響。此外，企業(yè)員工兩人或多人合謀可以繞過控制，管理者也有權(quán)利繞過企業(yè)的風險管理過程，包括風險反應和風險控制過程等。1．董事會 企業(yè)的管理者向董事會負責，而董事會向管理者履行治理、指導和監(jiān)督職能。董事會是企業(yè)內(nèi)部環(huán)境的一個組成部分，必須有保證風險管理有效的必要的組織和對風險管理的關注。高級管理者會進一步將制定更具體的風險管理政策和程序的責任分派給負責各部門運行的員工。此時各職能部門的領導者也是很重要的，如法律咨詢部？、財務部、人力資源部和信息技術部，他們各自的監(jiān)督活動與企業(yè)經(jīng)營和其他部門的活動到處都存在著交叉。他們可能通過對管理者風險管理過程的充分性和有效性進行監(jiān)控、檢查、評估、報告和提出改進建議來幫助管理者和董事會或?qū)徲嬑瘑T會。許多企業(yè)外部相關方也有助于企業(yè)目標的實現(xiàn)。但是，外部的各相關方并不對企業(yè)的風險管理負責。2．高級管理人員本研究建議企業(yè)的首席執(zhí)行官應評估企業(yè)風險管理的適應性。最初的評估還應該保證企業(yè)再造的監(jiān)控程序確實存在、確實有效。4．立法者每個企業(yè)對企業(yè)風險管理的期望由于兩個方面的影響而千差萬別。為了使各方對企業(yè)風險管理的認識及其作用達成共識，就應該對企業(yè)風險管理框架及其局限性達成共識。這樣可以減少概念和術語的多樣性，而一定程度地減少概念和術語的多樣性對企業(yè)內(nèi)外部各方都是有利的。本概覽為企業(yè)的 CEO 和其他高級執(zhí)行官、董事會成員和企業(yè)外部的立法者提供了一個高度概括的說明。企業(yè)風險管理能提供更高的能力，來調(diào)整風險偏好與策略，把風險與增長及回報聯(lián)系起來，加強風險反應決斷力，最小化經(jīng)營上的突發(fā)狀況和損失，鑒別并處理跨企業(yè)風險，對復合性風險提供整體化反應，把握機會，合理化資本投資。企業(yè)風險管理就是給管理部門提供了一個體制，可以有效地處理不確定性及相關風險、機遇，從而提高增加價值的能力。例如，一個實體的增長戰(zhàn)略是基于向另一個國家擴展經(jīng)營業(yè)務。企業(yè)價值是通過部署資源（包括人力、資本、技術及品牌）而產(chǎn)生的，因此獲得的利潤要大于使用的資源。企業(yè)風險管理則便于對市場需求、無效率和其它事件進行識別，那些事件要么會產(chǎn)生創(chuàng)造價值的機會，要么會對戰(zhàn)略及實現(xiàn)實體的目標帶來風險。非營利性實體的風險承擔者則是在確認收到有價社會福利時實現(xiàn)價值。這些財務指標有一個基本的假定，就是價值產(chǎn)生前資本成本必須能得到彌補。企業(yè)風險管理的優(yōu)點調(diào)整風險偏好與戰(zhàn)略——風險偏好，在廣泛的基礎層面上，是公司或其它實體在追求目標時所愿意接受的風險程度。聯(lián)系增長、風險和回報——實體是把風險視為生產(chǎn)和保持價值的一部分而接受風險的，同時期望回報與風險相匹配。改善風險反應決策——企業(yè)風險管理提供在各種風險反應選項（即風險回避、減少、分配和接受）中進行嚴格的識別和選擇。經(jīng)營偏差和損失最小化——實體已增強了識別現(xiàn)在事件、評估風險并確立反應方式的能力，從而減少了偏差的發(fā)生及相關成本或損失。管理部門不僅需要處理單個風險，還要知道它們相互間的影響。對多重風險提供整體反應——商業(yè)過程帶有許多固有風險，企業(yè)風險管理可以為處理這些風險提供整體的解決辦法。供應商的職能就是負責補充存貨，進一步降低成本。管理部門對此做出反應，把目前的生產(chǎn)能力應用于開發(fā)新產(chǎn)品，使得公司不僅能夠保持來源于現(xiàn)有顧客的收入，還能夠吸引更廣泛的顧客基礎而獲得額外的收入。根據(jù)現(xiàn)有的、可調(diào)整的軟件，該銀行開發(fā)了更加精確的計算方法，避免了對附加資金來源的需求。它還通過風險調(diào)整指標與業(yè)績管理相關聯(lián)，并與企業(yè)風險管理的一個組成部分——內(nèi)部控制相關聯(lián)?？蚣芸v覽章節(jié)摘要：企業(yè)風險管理使一個過程，是由實體的董事會、管理層及其他員工實現(xiàn)的，被應用于戰(zhàn)略設定并貫穿于整個企業(yè)。它們結(jié)合在一起，充當判定企業(yè)風險管理是否有效的標準。那么，一個重要的目的就是把各種各樣的風險管理觀念綜合成為一個框架，建立一般概念并確認組成部分?？赡苡胸撁嬗绊懙氖录盹L險。管理部門通過判斷潛在事件的可能影響來評估風險，以執(zhí)行戰(zhàn)略和實現(xiàn)目標。企業(yè)風險管理：?? 是一個過程——它是達到目標的方法，自身不是目的。?? 設計用來識別可能影響實體的事件，并在實體的風險偏好范圍內(nèi)處理風險。它抓住了公司和其它組織是如何管理風險的基本性的關鍵概念，為應用于不同類型的組織、產(chǎn)業(yè)和部門提供了基礎。一個過程企業(yè)風險管理不是一個事件或環(huán)境，而是一系列滲透到企業(yè)各項活動的行為。例如，在考慮貸款和貨幣風險時，就需要投入額外的努力來開發(fā)所需要的模型，并作一些必要的分析和計算。企業(yè)風險管理的建設對成本控制也具有重要含義，尤其是在許多公司所面臨的高度競爭市場。由人實現(xiàn)企業(yè)風險管理是由董事會、管理層及其他員工完成的。企業(yè)風險管理認為，人們并不總是協(xié)調(diào)地互相理解、交流和辦事。企業(yè)風險管理提供了必要的機制，幫助人們根據(jù)實體目標的情況理解風險。盡管董事會主要是進行監(jiān)管，他們也會指引方向并批準戰(zhàn)略和特定的交易及政策。實體還會設定所希望達到的相關目標，從戰(zhàn)略深入到實體經(jīng)營單元、分支機構(gòu)和工序。每一項戰(zhàn)略選擇都會產(chǎn)生大量的風險。應用于整個企業(yè)要成功地應用企業(yè)風險管理，實體必須考慮整體活動范圍。這可能牽涉到每一個經(jīng)營單元、功能、程序或其它活動的管理負責人，為單元開展對風險的評估。（管理部門）需要識別關聯(lián)風險并依其行動，以把全部風險控制在實體的風險偏好之內(nèi)。通過對事件的考慮，管理部門可以明白特定事件是如何具備抵消效果的。實體總是定性地考慮風險偏好，如分為高、中、低三級，或者可以采用定量的方法，反映并均衡增長、回報的目標及風險。企業(yè)風險管理有助于管理部門選擇與實體風險偏好一致的戰(zhàn)略。提供合理保證設計良好、有效運行的企業(yè)風險管理能夠為管理部門和董事會提供關于實現(xiàn)實體目標的合理保證。這些問題使董事會和管理部門不可能有實現(xiàn)目標的絕對保證。該框架從四個方面來看待實體目標：?? 戰(zhàn)略性——與高層次目標相關，與實體的使命一致并支持實體使命。這種對實體目標的分類使得董事會和管理部門專注于企業(yè)風險管理的不同方面。廣義上來看，是關于防止實體資產(chǎn)或資源的減損，無論是因為偷盜、浪費、無效率或是經(jīng)證明僅僅是由于錯誤的經(jīng)營決策——比如以過低的價格銷售產(chǎn)品，不能留住關鍵雇員或無法阻止（他人）冒用商標，或是產(chǎn)生為預期負債。當運用在公開報告中時，經(jīng)常使用的是資產(chǎn)保值的較為狹窄的定義，即關于阻止或定期查明未經(jīng)授權(quán)獲得、使用或處置實體的資產(chǎn)。盡管企業(yè)風險管理不能防止錯誤的判斷或決策，或可能導致業(yè)務無法實現(xiàn)經(jīng)營性目標的外在事件，它確實增加了管理部門做出更優(yōu)決策的可能性。內(nèi)部環(huán)境建立實體人員如何看待風險和進行控制的基礎。企業(yè)風險管理確保管理部門以適當?shù)某绦蛟O定目標，并且所選定的目標支持并與實體的使命或展望一致，同時與實體的風險偏好相符。管理部門識別潛在事件之間的相互關系，并對其分類，是為了在實體內(nèi)創(chuàng)造并加強一種普遍的風險意識，并形成以組合觀來考慮風險的基礎。一系列可能結(jié)果也許會和一項潛在事件相關，管理部門就需要把兩者結(jié)合起來考慮。信息和交流——通過以某種形式和時間結(jié)構(gòu)識別、掌握并交流信息，可以使人們能夠履行責任。監(jiān)管——整個企業(yè)風險管理必須得到監(jiān)管，而且要有必要的調(diào)整。例如，風險評估驅(qū)動風險反應，影響控制活動，激起重新考慮信息和交流或?qū)嶓w監(jiān)管活動的需求。公司及其企業(yè)風險管理能力和需求，會因行業(yè)及規(guī)模、（企業(yè)）文化及管理哲學而有很大的不同。四個目標類別——戰(zhàn)略性、經(jīng)營性、報告性及遵從性——由縱欄表示，八個組成部分由橫行表示，實體及其單元由模型的第三維表示。以經(jīng)營效果及效率這一類別為例，所有八個組成部分對其實現(xiàn)都適用，并且重要。比如，要考慮頂部右邊后面的部分，它代表與特定子公司的遵從目標相關聯(lián)的內(nèi)部環(huán)境。盡管企業(yè)風險管理框架與所有實體相關且適用，管理部門應用企業(yè)風險管理的方式卻隨著實體性質(zhì)和許多實體特有因素而有很大的不同。有效性盡管企業(yè)風險管理是一個過程，其有效性是在某一時點上的狀態(tài)或情形。因為企業(yè)風險管理技巧能服務于各種各樣的目標，相對于一個組成部分所應用的技巧可以為存在于另一個組成部分的目標服務。在較小的實體中對每一組成部分的研究，相對于較大的實體來說，可能不那么正規(guī)，結(jié)構(gòu)也不盡完善，但基本的概念存在于每一實體中，不論規(guī)模大小。實體也許擁有合資企業(yè)、合伙企業(yè)或其它投資，它們的經(jīng)營是不在實體的控制之下的。當投資工具有著獨立的董事會或其它類似監(jiān)管機構(gòu)時，就可能會發(fā)生這種情況。合資企業(yè)的管理部門預期黃金價格會保持不變或上揚，并準備接受價格下降的風險，以換取價格上升所能帶來的預期收益。企業(yè)風險管理圍繞著內(nèi)部控制，為管理形成了一個更有活力的概念和工具。附錄B 描述了企業(yè)風險管理是如何比內(nèi)部控制更具有包容性。類似地，以風險評估為基礎的風險反應，是企業(yè)風險管理的一部分，但所選定的特定風險反應卻不是。）章節(jié)摘要：內(nèi)部環(huán)境包含一個組織的基調(diào)，影響其員工的風險意識，同時還是企業(yè)風險管理所有其它組成部分的基石，提供紀律和結(jié)構(gòu)。它影響控制活動，信息和交流系統(tǒng)及監(jiān)管活動的設計和運作。雖然所有要素都很重要，每一要素的程度會因?qū)嶓w有所不同。該哲學（即實體關于風險的信念，和如果選擇引導活動并處理風險），反映實體從企業(yè)風險管理所尋求的價值，并反應企業(yè)風險管理組成部分是如何運用的。很重要的是，管理部門不僅通過言詞，還通過日常行為來加強該哲學。它在戰(zhàn)略設定時會考慮到，此時一項戰(zhàn)略的期望回報應該與實體的風險偏好相符。對于許多公司，風險文化來源于實體的風險哲學和風險偏好。一家汽油管道公司尋求一種所有員工在日?；顒又忻鞔_考慮風險的文化。一些管理者準備接受更多的風險，其他管理者則較為保守，而且這些不同的文化有時從事于相反的目的。但是如果這些職能（部門）在一起工作，