【正文】 這樣的環(huán)境下經(jīng)營。實體通過專注于人力、工序、系統(tǒng)和行為創(chuàng)造持續(xù)性價值而保值的，包括產(chǎn)品質(zhì)量，生產(chǎn)能力，顧客滿意度及其它一些東西。企業(yè)風險管理就是便于管理部門既能夠創(chuàng)造可持續(xù)性價值，又能把所創(chuàng)造的價值傳送給風險承擔者。管理部門首先是在評估戰(zhàn)略性選擇時考慮實體的風險偏好的，然后是在根據(jù)選定的戰(zhàn)略進行調(diào)整的目標設(shè)定，以及在發(fā)展機制來管理相關(guān)風險時考慮。例如，一家使用公司所有并經(jīng)營的交通工具的公司，其管理部門確認運輸過程中的固有風險，包括交通工具的損壞和人員受傷成本。例如，銀行在與企業(yè)的交易活動中面臨大量風險，管理部門就開發(fā)了一項信息系統(tǒng)，可以分析來源于其它內(nèi)部系統(tǒng)的交易和市場數(shù)據(jù)，并同時依據(jù)相關(guān)的外生信息，而提供對所有交易活動風險的總體看法。抓住機會——通過考察所有的潛在事件，而不僅僅是風險，管理部門可以了解特定的事件是如何代表機會的。企業(yè)風險管理不是不是目的，而是一種達到目的的重要方法。設(shè)計該項管理是為了識別可能影響到實體的潛在事件，把風險控制在實體的風險偏好之內(nèi)，并提供達到關(guān)于實體目標的合理保證。設(shè)計這一框架是為了協(xié)調(diào)不同的觀點，并為單個實體評價和增強企業(yè)風險管理，為將來創(chuàng)始規(guī)劃制訂機構(gòu)，以及為進行教育提供一個起點。企業(yè)風險管理的定義企業(yè)風險管理的定義如下：企業(yè)風險管理是一個過程，是由實體的董事會、管理層及其他員工實現(xiàn)的，被應用于戰(zhàn)略設(shè)定并貫穿于整個企業(yè)。?? 向?qū)嶓w的管理層和董事會提供合理保證。這些行為遍布和內(nèi)含于管理部門經(jīng)營業(yè)務的方式中。增加新的獨立于已有程序之外的程序會增加成本。每一個人都會帶來獨特的背景和技術(shù)能力，并有著不同的需要和特權(quán)。這樣，董事會就是企業(yè)風險管理的一個重要元素。如果管理層選擇第一項戰(zhàn)略，就得進入新的且不熟悉的市場，競爭對手可能會在本公司現(xiàn)有市場中獲得份額，或者該公司沒有有效執(zhí)行此項戰(zhàn)略的能力。該評估可能上定量的也可能上定性的。例如，利率下降會對實體的資本成本產(chǎn)生有利影響，但對賺取利息的資本會產(chǎn)生不利影響。實體的風險偏好引導資源配置。實現(xiàn)目標在已確立使命或展望的情況下，管理部門建立戰(zhàn)略性目標，選擇戰(zhàn)略，并在整個企業(yè)內(nèi)順次建立與戰(zhàn)略一致和相連的目標。這些相互區(qū)別又有重疊的類別——一個特定目標可以歸屬于不止一個類別——提出了不同的實體需求，而且可能是不同高層人員所直接負責的。企業(yè)風險管理可期望用來提供實現(xiàn)與報告的可靠性、遵守法律法規(guī)相關(guān)的目標的合理保證。任何業(yè)務的核心是置于其中的人——他們的個體本性，包括誠信、道德觀和能力，以及人們從事經(jīng)營的環(huán)境。風險評估——對識別出的風險進行評估，是為了形成一個決定如何對其實施管理的基礎(chǔ)。在實體的所有層面都需要信息來識別、評估并應對風險。這樣，企業(yè)風險管理不是一個系列過程，即一個組成部分只會對下一個產(chǎn)生影響。每一組成部分“橫穿”并適用于所有四個目標類別。應該認識到，四欄代表的是企業(yè)目標的類別，而不是實體的部分或單元。判定企業(yè)風險管理是否“有效”是一種主斷言，取決于評估八個組成部分是否存在及真正發(fā)揮作用。企業(yè)可能會在把實體作為一個整體，或者一個或多個單個單元的情況下考慮。實體的管理部門就需要評價自身風險偏好于投資工具的風險偏好之間的一致性，從而保證實體的風險是可以接受的。內(nèi)部控制在《內(nèi)部控制——整體框架》有所定義和描述。這些大概是應用于決策制訂的業(yè)務判斷，其中許多管理部門的決定和行為不是企業(yè)風險管理的部分。反之，內(nèi)部環(huán)境又受到實體的歷史和文化的影響。雖然一些實體采用企業(yè)風險管理是為了滿足外部風險承擔者的需要，如母公司或監(jiān)管者，更多的是因為管理部門意識到有效的風險管理能夠保持價值并創(chuàng)造價值。不同的戰(zhàn)略會給實體帶來不同的風險。為實現(xiàn)這一點，管理部門采取的一個步驟就是，在所有員工卡中加入一系列專注于風險的問題。分開來看，這些不同的亞文化可能會對實體產(chǎn)生不利影響。如果存在不協(xié)調(diào)，管理部門會采取步驟來改造文化——也許重新思考風險哲學和風險態(tài)度，或改造應用企業(yè)風險管理的方式。風險偏好與實體的戰(zhàn)略直接相關(guān)。風險管理哲學為所有員工所理解的企業(yè)風險管理哲學，能促進雇員識別和有效管理風險的能力。內(nèi)部環(huán)境影響到戰(zhàn)略和目標時如何建立的，經(jīng)營活動時如何組織的，以及風險時如何被識別、評估和應對的。例如，建立目標的過程是企業(yè)風險管理的主要組成部分，但管理部門所選定的特殊目標，盡管是一項重要的管理責任并與實體戰(zhàn)略有重要關(guān)聯(lián)，卻不是企業(yè)風險管理的一部分。圍繞內(nèi)部控制內(nèi)部控制是企業(yè)風險管理的一個組成部分。然而，投資工具的風險偏好也許會和實體的風險偏好有所不同。盡管一些中小型實體執(zhí)行組成部分要素時與大型實體會有所不同，它們?nèi)匀豢蛇M行有效的企業(yè)風險管理。管理部門可能會在某些經(jīng)營單元或程序或企業(yè)風險管理組成部分中選用復雜的方法和技巧，而在其它地方?jīng)Q定運用更基本的方法。這樣就可以專注于模型中的任一部分。這種關(guān)系可以用一個三維圖形來描繪， 中的立方體所示。企業(yè)風險管理是一個動態(tài)的過程?？刂苹顒印⒑蛨?zhí)行政策及程序，是為了有助于確保管理部門選擇的應對風險（方式）能得到有效實行。還包括區(qū)分代表風險的潛在事件，代表機遇的潛在事件，以及兩者都代表的潛在事件。這些組成部分是：內(nèi)部環(huán)境——管理部門提出風險的研究并確立風險偏好。另一方面，在實體的財務報告中正確地反映資產(chǎn)損失，就代表了報告性目標。?? 遵從性——與實體遵守適用的法律法規(guī)相關(guān)。問題還可能是因為，人們在做決策時的判斷是錯誤的；應對風險的決定和建立控制時需要考慮相關(guān)成本效益；出現(xiàn)毛病可能是由于人為失誤，比如一些簡單的錯誤；兩個或更多的人勾結(jié)起來規(guī)避控制；以及管理部門有不考慮企業(yè)風險管理決策的能力。不同的戰(zhàn)略將會使實體面臨不同的風險。在形成組合觀的時候，管理部門考慮的是潛在事件，而不僅僅是風險。企業(yè)風險管理要求實體要有風險組合觀。另一項選擇則是削減采購成本以實現(xiàn)更高的毛收益率。組織中的人包括董事會，及管理層和其他員工。類似地，企業(yè)風險管理會影響到人的行為。通過在企業(yè)風險管理方面的建設(shè)，實體可以直接影響自身履行戰(zhàn)略和實現(xiàn)展望或使命的能力。下面一些段落討論如上列出的基本概念。?? 應用于整個企業(yè)的每一層面和單元，還包括采取在實體層面上對待風險的觀點。管理部門把機遇引至其戰(zhàn)略或目標設(shè)定過程，從而系統(tǒng)化行動以抓住機遇。多種多樣的說明和含義阻礙了對企業(yè)風險管理的一個通用的理解。注：盡管在這里及接下來的討論中運用的是“管理部門”一詞，許多企業(yè)風險管理行為都是由非管理人員完成的。該公司按照系統(tǒng)開發(fā)成本及附加資金成本的對比對風險進行了評估，并制定了一個高明的決定來處理這一風險。該系統(tǒng)通過簽訂長期供應合同和改善定價方式與供應商結(jié)合起來，共享銷售和存貨信息，推動戰(zhàn)略合作，避免缺貨和不必要的運輸成本。識別和管理企業(yè)范圍的風險——每一個實體都會面臨無數(shù)的風險，并影響到機構(gòu)的不同部門。公司識別和判斷完成的風險，選擇反應方式，調(diào)整經(jīng)營單元規(guī)劃，并在單個經(jīng)營單元和全公司目標的基礎(chǔ)上配置資本。例如，一家為老年公民提供援助的非盈利性機構(gòu)是根據(jù)對可接受的高質(zhì)量、長期健康照顧的獲得性來衡量價值的。對政府實體而言，在選民以可接受的成本確認收到有價服務時，價值得以實現(xiàn)。決策中固有的一點就是識別風險和機遇，要求管理部門（注）考慮內(nèi)在和外在環(huán)境的信息，并根據(jù)變化著的環(huán)境來部署寶貴的資源和重新調(diào)整企業(yè)行為。不確定性既提供了風險也提供了機遇，既有可能侵蝕價值也有可能增加價值。（十）報告的組織這個概覽和框架報告的正文一起構(gòu)成了企業(yè)的風險管理框架。第二，即使對企業(yè)風險管理能夠做什么、不能做什么以及“合理保證”概念有一個共同的認識，對這概念的含義和應該如何應用這些概念也存在許多不同的觀點。無論討論的形式如何，風險管理最初的評估應決定企業(yè)是否需要對企業(yè)風險管理框架進行進一步的、更廣泛的評估以及應如何進行評估。其他向企業(yè)提供風險管理的有用信息的相關(guān)方還包括行政管理部門、客戶，其他與企業(yè)進行交易的各方，財務分析師、債券承銷商和新聞媒介等等。4．內(nèi)部審計人員內(nèi)部審計人員在企業(yè)風險管理的監(jiān)控中占有重要的地位，這一職責作為其正常職責的一部分，其業(yè)績的質(zhì)量依賴高級管理者、下級管理者或部門執(zhí)行人員的特殊要求。在一個大公司中，首席執(zhí)行官通過向高級管理者分派領(lǐng)導權(quán)和提供指令并復核其管理企業(yè)的方式等來履行其職能。（八）各管理層在企業(yè)風險管理中的地位和職責一個組織的每個人在企業(yè)風險管理中都負有責任。（七）企業(yè)風險管理的局限性有效的風險管理可以幫助管理者實現(xiàn)企業(yè)的目標，但是，無論企業(yè)風險管理設(shè)計得如何完善、運行得如何有效，它也不能保證一個企業(yè)永遠成功。即使是站在某一特定的業(yè)務部門的角度來看待風險管理，所有的八要素也都應作為基準包含在內(nèi)。但是，這并不意味著每一要素在不同的企業(yè)間，甚至是不同企業(yè)的同一管理層次上，都必須執(zhí)行同樣的功能。八個要素分別是內(nèi)部環(huán)境、目標制定、事項識別、風險評估、風險反應、控制活動、信息和溝通、監(jiān)控，是企業(yè)目標實現(xiàn)的保證。因此，失效可能代表一種預期的、潛在的或真實的缺陷，或者代表加強風險管理過程的一個機會，以增加企業(yè)目標實現(xiàn)的可能性。對企業(yè)風險管理進行記錄的程度根據(jù)企業(yè)的規(guī)模、經(jīng)營的復雜性和其他因素的影響而有所不同。持續(xù)監(jiān)控和個別評估都是用來保證企業(yè)的風險管理在企業(yè)內(nèi)各管理層面和各部門持續(xù)得到執(zhí)行。大多數(shù)情況下，企業(yè)內(nèi)正常的報告路徑一般是溝通的適當渠道。溝通越暢通，董事會在執(zhí)行其監(jiān)督職能、重大問題的宣傳媒介職能和提供建議、咨詢和指導職能時才會越有效。歷史數(shù)據(jù)使企業(yè)能夠?qū)嶋H業(yè)績與目標、計劃和期望相比較，能夠更加深入了解企業(yè)在不斷變化的環(huán)境下是如何生存的，使得管理者確認相關(guān)性和趨勢并預測未來的業(yè)績。企業(yè)的信息來自于各個方面，包括內(nèi)部和外部的信息、量化的和非量化的信息，以使得企業(yè)的風險管理可以對現(xiàn)實世界中不斷變化的條件及時作出反應。即使兩個企業(yè)有同樣的目標和結(jié)構(gòu)，他們的控制活動可很可能不同。另一類是應用控制，包括用于控制技術(shù)應用的應用軟件內(nèi)部的電腦程序。管理者應認識到一定水平的殘留風險總是存在的，這不僅是因為資源的有限性，還因為未來有其內(nèi)在的不確定性和所有活動的固有限制。減少風險是指減少風險發(fā)生的可能性、減少風險的影響或者兩者同時減少。固有風險是指管理者在沒有采取任何會改變風險發(fā)生的可能性或影響的管理措施的情況下企業(yè)所面臨的風險。管理者可以評估各事項之間的關(guān)系，因為一系列相互關(guān)聯(lián)的事項結(jié)合起來會使得事項的發(fā)生概率或事項的影響發(fā)生重大變化。一個企業(yè)風險評估的方法通常是定量方法和定性分析技術(shù)的組合?？赡軓浹a風險對企業(yè)負面影響的事項則應在管理者對風險進行評估和反應的階段予以考慮。針對過去的事項和趨勢的識別技術(shù)主要要考慮類似支付錯誤的歷史、商品價格的變化和浪費時間的突發(fā)事件（Losttime accidents）等事項，而針對未來風險的技術(shù)則主要考慮不斷變化的人口統(tǒng)計資料、新市場和競爭者的行為等事項。某些企業(yè)還有另一類目標――“資源的安全”，有時也叫“資產(chǎn)的安全”。企業(yè)的目標可以分為四類：－戰(zhàn)略目標 是企業(yè)的高層次目標，與企業(yè)的任務和預期相聯(lián)系并支持企業(yè)的任務和預期的實現(xiàn)。在戰(zhàn)略制定過程中，風險管理有助于管理者選擇與企業(yè)的風險偏好相一致的戰(zhàn)略方案。讓企業(yè)所有員工了解企業(yè)的風險管理理念有利于提高雇員確認和有效管理風險的能力。但是，戰(zhàn)略目標和經(jīng)營目標的實現(xiàn)并不總是在企業(yè)的控制范圍內(nèi)。反過來，就能夠?qū)ζ髽I(yè)目標的實現(xiàn)提供更高程度的保證。在制定戰(zhàn)略時應考慮企業(yè)的風險偏好，并將戰(zhàn)略的預期收益與企業(yè)的風險偏好聯(lián)系起來考慮。企業(yè)的高級管理者應以一種組合的觀點看待企業(yè)內(nèi)每個下級層面的風險，以決定企業(yè)總的風險組合是否與企業(yè)的風險偏好相對應。一個企業(yè)為實現(xiàn)其戰(zhàn)略目標而制定戰(zhàn)略方案，并將戰(zhàn)略方案分解成相應的目標，再將目標層層分解到企業(yè)的各業(yè)務部門、行政部門和生產(chǎn)線。企業(yè)風險管理就是要提供了一個機制，幫助人們從企業(yè)總體目標的角度認識風險。并且，將風險管理整合到企業(yè)日常的經(jīng)營過程中有助于管理者抓住企業(yè)發(fā)展的新機遇。一些人認為，企業(yè)風險管理對企業(yè)的各項活動而言是多余的，是企業(yè)必須承擔的一個負擔，但COSO 的討論稿則并不這樣認為。5．風險管理的設(shè)計應有助于確認會對企業(yè)造成潛在影響的事項并確保在企業(yè)風險偏好的范圍內(nèi)管理企業(yè)的風險。它還有助于確保企業(yè)報告的有效性。對潛在事項有一個完整的了解可以使管理對每一潛在事項表明何種機遇有一個了解。（3）增加風險反應決策企業(yè)風險管理提供了確認和選擇不同的風險反應方案的嚴格標準。企業(yè)風險管理使管理者能夠創(chuàng)造持久的價值并能夠?qū)?chuàng)造價值的信息傳遞給利益相關(guān)方。1．不確定性企業(yè)經(jīng)營的環(huán)境中有許多因素都會給企業(yè)帶來不確定性，如全球化、技術(shù)、法規(guī)、企業(yè)重構(gòu)、多變的市場以及競爭等。本概覽列出了企業(yè)風險管理框架的關(guān)鍵內(nèi)容，包括企業(yè)風險管理的定義、內(nèi)容和基本原則，風險管理的優(yōu)點、局限性以及各相關(guān)方的地位和職責。另一相關(guān)的目標是使構(gòu)建的這個框架可以作為管理者、董事、主管人員、學者和其他相關(guān)人員更好地理解企業(yè)風險管理及其優(yōu)點和局限性提供一個統(tǒng)一的基礎(chǔ)，以便在風險管理問題方面進行有效地交流。風險管理框架就是為管理者提供一個框架，使其能夠有效處理不確定性及相應的風險和機遇，進而提高企業(yè)創(chuàng)造價值的能力。對于非盈利組織的利益相關(guān)方而言，當他們確認組織所提供的社會福利的價值時，他們也就承認了該組織的價值。企業(yè)風險管理提高了企業(yè)確認和評估風險的能力，進而使企業(yè)能夠確定相對于企業(yè)成長性和收益目標而言的風險的可接受水平。（7）抓住機遇管理不僅要考慮風險，還需要考慮潛在的事項對企業(yè)的影響。風險管理幫助一個經(jīng)濟主體實現(xiàn)其經(jīng)營和利潤目標、防止資源的浪費。4．企業(yè)風險管理應在整個企業(yè)范圍內(nèi)應用，在每一個經(jīng)營層面和每一個單位內(nèi)應用，并應以一種企業(yè)總體的風險組合的觀點來看待。這些行動普遍存在于管理者對企業(yè)的日常管理中，是企業(yè)日常管理所固有的。在現(xiàn)有工序的基礎(chǔ)上增加新的工序會增加成本，而通過關(guān)注現(xiàn)有的經(jīng)營過程以及他們對實現(xiàn)有效風險管理的貢獻，并將風險管理整合到企業(yè)的基本經(jīng)營活動之中，一個企業(yè)就能夠避免不必要的工序和成本。每個人的出發(fā)點都不同，這會影響他們對風險的確認、評估和反應。企業(yè)的戰(zhàn)略目標是企業(yè)最高層次的目標，它與企業(yè)的預期和任務相聯(lián)系并支持預期和任務的實現(xiàn)。這些評估可以是定量的，也可以是定性的。風險偏好與企業(yè)的戰(zhàn)略直接相關(guān)。在風險容忍度的范圍之內(nèi)經(jīng)營更能夠保證企業(yè)所承受的風險