【文章內(nèi)容簡介】 ，而持續(xù)監(jiān)控則會在問題一發(fā)生就很快被發(fā)現(xiàn)。雖然如此，許多使用持續(xù)監(jiān)控的企業(yè)仍舊進行風險管理的個別評估。個別評估的頻率是企業(yè)管理者的主觀判斷問題。在決定個別評估的頻率時，管理者應考慮來自于企業(yè)內(nèi)部和外部事項的變化的性質(zhì)和程度以及相應的風險、企業(yè)員工進行風險反應和相應控制的能力和經(jīng)驗、持續(xù)監(jiān)控的結果等因素。通常，將持續(xù)監(jiān)控和個別評估進行一定的結合使用會保證企業(yè)風險管理長期的有效性。對企業(yè)風險管理進行記錄的程度根據(jù)企業(yè)的規(guī)模、經(jīng)營的復雜性和其他因素的影響而有所不同。企業(yè)風險管理的內(nèi)容沒有記錄并不意味著風險管理無效或無法對風險管理進行評__估。但是，適當程度的記錄通常會使對風險管理的監(jiān)控更為有效果和有效率。當企業(yè)管理者打算向企業(yè)外部相關方提供關于企業(yè)風險管理效率的報告時，他們則應考慮為企業(yè)風險管理設計一套記錄模式并保持有關的記錄。所有風險管理失效都會影響企業(yè)確定和執(zhí)行戰(zhàn)略的能力，影響企業(yè)實現(xiàn)其既定目標的能力。對此，應將企業(yè)所有的風險管理失效都報告給適當?shù)墓芾韺?，以保證其采取必要的措施以糾正風險管理失效。企業(yè)所需溝通的事項的性質(zhì)根據(jù)各人處理各種情況的權限和監(jiān)控者的查漏活動的不同而不同。這里“失效”是指企業(yè)風險管理過程中值得注意的某一種情形。因此，失效可能代表一種預期的、潛在的或真實的缺陷，或者代表加強風險管理過程的一個機會，以增加企業(yè)目標實現(xiàn)的可能性。在經(jīng)營活動中產(chǎn)生的信息通常通過正常的渠道進行報告。對于敏感性信息的報告也應有其他的溝通渠道，如非法活動或不正當?shù)幕顒?。向企業(yè)內(nèi)適當?shù)墓芾韺犹峁╆P于風險管理失效的必需的信息是非常重要的。企業(yè)應建立一個協(xié)議來識別某一管理層決策有效所需要的信息。這些協(xié)議應反映一個基本原則，即一個管理者在收到實現(xiàn)其特定目標的有關信息外，還應收到影響其權限范圍內(nèi)人員的行動或行為的所有信息。（四）風險管理要素和企業(yè)目標之間的關系企業(yè)的風險管理框架包括四類目標和八個要素。四類目標分別是戰(zhàn)略目標、經(jīng)營目標、報告目標和合法性目標。八個要素分別是內(nèi)部環(huán)境、目標制定、事項識別、風險評估、風險反應、控制活動、信息和溝通、監(jiān)控，是企業(yè)目標實現(xiàn)的保證。它們相互之間存在直接的關系，可以用一個三維矩陣圖來表示（如圖1 所示）?？梢钥闯觯膫€欄分別代表一個企業(yè)的四類目標，并不是企業(yè)的某個部分或部門。因此，例如，當考慮與報告相關的那類目標時，需要關于企業(yè)經(jīng)營的大量信息，但是在這種情況下主要關注的是風險管理模型右手邊中間這一欄——報告目標——而不是經(jīng)營類目標。圖 2 將立方體中水平各行的內(nèi)容進行擴展，說明各風險管理要素的主要內(nèi)容，其中每一要素也就代表一個業(yè)務流程。（五）有效性企業(yè)風險管理是一個過程，企業(yè)風險管理的有效性則是某一時點的一個狀態(tài)或條件。決定一個企業(yè)的風險管理是否有效是基于對風險管理八要素設計和執(zhí)行是否正確的評估基礎上的一個主觀判斷。為使風險管理有效，企業(yè)的風險管理框架必須包括所有的八個要素，并得到貫徹執(zhí)行。但是，這并不意味著每一要素在不同的企業(yè)間，甚至是不同企業(yè)的同一管理層次上，都必須執(zhí)行同樣的功能。因為不同的要素之間可能存在著作用的相互抵消。由于企業(yè)風險管理的各種技術能夠為企業(yè)不同的經(jīng)營意圖服務，因此，相對于某要素的技術也能夠服務于通常是另一要素所體現(xiàn)出來的經(jīng)營意圖。此外，對某一特定風險的風險反應程度可能不同，以至于互補的風險反應模式可能各自對企業(yè)的影響都有限，合并后仍可以保持在風險容忍度的范圍內(nèi)。這里所討論的概念可以應用于所有企業(yè)，無論其規(guī)模。某些中小企業(yè)所采用的要素的內(nèi)容與大企業(yè)可能不同，但企業(yè)的風險管理仍舊有效。對于每個要素的方法論，小企業(yè)采用的方法與大企業(yè)相比并不正式和結構化，但是，無論企業(yè)的規(guī)模，其風險管理都應包括本文所講的基本概念。企業(yè)風險管理可以從一個企業(yè)的總體來認識，也可以從一個單獨的部門或多個部門的角度來認識。即使是站在某一特定的業(yè)務部門的角度來看待風險管理，所有的八要素也都應作為基準包含在內(nèi)。一個公司可能采用聯(lián)營企業(yè)、合伙或其他的投資形式，其經(jīng)營可能不在母公司的直接控制之下。為保證企業(yè)風險管理的有效性，母公司應從公司戰(zhàn)略和目標的角度考慮與被投資方一起充分應用風險管理八要素的程度。（六）包括內(nèi)部控制內(nèi)部控制是企業(yè)風險管理不可分割的一部分。這里所說的企業(yè)風險管理框架包括內(nèi)部控制，為企業(yè)的管理提供了一個更強的概念基礎和工具。在《內(nèi)部控制——整體框架》中已經(jīng)對內(nèi)部控制進行了定義和描述。由于《內(nèi)部控制——整體框架》是現(xiàn)有的規(guī)則、法規(guī)和法律的基礎，因此本討論稿保留其對內(nèi)部控制的定義。整個《內(nèi)部控制——整體框架》報告都是本框架的參考。（七）企業(yè)風險管理的局限性有效的風險管理可以幫助管理者實現(xiàn)企業(yè)的目標，但是，無論企業(yè)風險管理設計得如何完善、運行得如何有效，它也不能保證一個企業(yè)永遠成功。企業(yè)目標的實現(xiàn)還要受管理過程內(nèi)在局限性的影響。政府政策或項目的改變、競爭對手的行動或經(jīng)濟條件都超出了管理者的控制范圍。人的決策可能會出錯，因而企業(yè)很有可能由于人的簡單的錯誤或過失而破產(chǎn)。而且企業(yè)風險管理也不能把一個本來就很差的管理者變好。此外，企業(yè)員工兩人或多人合謀可以繞過控制，管理者也有權利繞過企業(yè)的風險管理過程，包括風險反應和風險控制過程等。企業(yè)風險管理的設計必須反映企業(yè)資源稀缺的現(xiàn)實，而且風險管理的收益必須對應風險管理的成本。因此，雖然企業(yè)風險管理可以幫助管理者實現(xiàn)企業(yè)的目標，但它并不是一顆萬靈丹。（八）各管理層在企業(yè)風險管理中的地位和職責一個組織的每個人在企業(yè)風險管理中都負有責任。1．董事會 企業(yè)的管理者向董事會負責，而董事會向管理者履行治理、指導和監(jiān)督職能。通過選舉管理者，董事會在界定其所期望的員工的操守和價值觀時起主要作用，并能夠通過監(jiān)督活動證實其對員工的預期。同樣，通過在某些關鍵的決策中保留其權限，董事會在制定戰(zhàn)略、確定企業(yè)高層次的目標和進行廣義的資源配置時起到一定的作用。董事會對企業(yè)的風險管理負有監(jiān)督職責，主要通過以下方式實現(xiàn)其職責：－ 了解管理者在企業(yè)內(nèi)部建立有效的風險管理的程度；－ 獲知并認可企業(yè)的風險偏好；－ 復核企業(yè)的風險組合觀并與企業(yè)的風險偏好相對照；－ 評估企業(yè)最重要的風險并評估管理者的反應是否適當。董事會是企業(yè)內(nèi)部環(huán)境的一個組成部分，必須有保證風險管理有效的必要的組織和對風險管理的關注。2．管理者企業(yè)的首席執(zhí)行官對企業(yè)的風險管理最終負責，即擁有企業(yè)風險管理的“所有權”。與企業(yè)內(nèi)其他員工不同，首席執(zhí)行官在企業(yè)的高層確定風險管理的基調(diào)，而這會影響企業(yè)內(nèi)部環(huán)境中的員工操守和價值觀及其他因素。在一個大公司中，首席執(zhí)行官通過向高級管理者分派領導權和提供指令并復核其管理企業(yè)的方式等來履行其職能。高級管理者會進一步將制定更具體的風險管理政策和程序的責任分派給負責各部門運行的員工。而在一個小企業(yè)，首席執(zhí)行官對風險管理的影響則更為直接。他們是企業(yè)的管理者，但同時也是企業(yè)的所有者。在任何情況下，？對其下層的職責，管理者也是其職責范圍內(nèi)的一個首席執(zhí)行官。此時各職能部門的領導者也是很重要的，如法律咨詢部？、財務部、人力資源部和信息技術部，他們各自的監(jiān)督活動與企業(yè)經(jīng)營和其他部門的活動到處都存在著交叉。3．風險管理者一個風險管理者是指某一組織內(nèi)的首席風險管理者或首席風險管理經(jīng)理，他與企業(yè)內(nèi)其他管理者一起在他們的職責范圍內(nèi)建立并維護有效的風險管理框架。首席風險管理經(jīng)理也可以擔當監(jiān)督風險管理進度和幫助其他管理人員在企業(yè)內(nèi)向上、向下和橫向報告有關風險信息的職責，并可以成為企業(yè)風險管理委員會的一員。4．內(nèi)部審計人員內(nèi)部審計人員在企業(yè)風險管理的監(jiān)控中占有重要的地位，這一職責作為其正常職責的一部分，其業(yè)績的質(zhì)量依賴高級管理者、下級管理者或部門執(zhí)行人員的特殊要求。他們可能通過對管理者風險管理過程的充分性和有效性進行監(jiān)控、檢查、評估、報告和提出改進建議來幫助管理者和董事會或?qū)徲嬑瘑T會。5．其他員工從某種程度上講，企業(yè)風險管理是企業(yè)內(nèi)每一個員工的責任，因此，風險管理應是企業(yè)內(nèi)每一個員工的工作手冊的一部分內(nèi)容。本質(zhì)上，企業(yè)所有的員工都應提供風險管理所需的信息或者采取必要的措施管理風險。同樣，企業(yè)所有的員工都有責任向上報告風險，如經(jīng)營中存在的問題，未遵守有關的行為規(guī)則的情況、其他違反政策的行為或非法活動。許多企業(yè)外部相關方也有助于企業(yè)目標的實現(xiàn)。如外部審計人員，從一個獨立、客觀的角度對企業(yè)的財務報表進行審計和對企業(yè)的內(nèi)部控制進行復核，直接有助于企業(yè)目標的實現(xiàn)。同時，外部審計人員還可以向管理者和董事會提供履行其職責有用的額外信息，間接地為企業(yè)目標的實現(xiàn)作出貢獻。其他向企業(yè)提供風險管理的有用信息的相關方還包括行政管理部門、客戶，其他與企業(yè)進行交易的各方，財務分析師、債券承銷商和新聞媒介等等。但是，外部的各相關方并不對企業(yè)的風險管理負責。（九）本報告的用途企業(yè)根據(jù)本報告所采取的行動還應考慮下述各方的地位和利益：1．董事會成員董事會成員應該與企業(yè)的高級管理人員討論企業(yè)風險管理的狀況并在必要的時候進行監(jiān)督。董事會應該保證企業(yè)風險管理體制能夠為董事會提供與企業(yè)戰(zhàn)略和目標相關的最重要的風險的評估，包括企業(yè)的管理者采取了什么行動和董事會在監(jiān)督企業(yè)風險管理框架時是如何運作的。董事會應該從企業(yè)的內(nèi)部審計人員、外部審計人員和咨詢顧問外獲得有關的信息。2．高級管理人員本研究建議企業(yè)的首席執(zhí)行官應評估企業(yè)風險管理的適應性。使用本框架，CEO 就可以與企業(yè)的其他主要經(jīng)營和財務主管一道，注意企業(yè)內(nèi)需要注意的地方。使用一定的方法，CEO 可以將企業(yè)的業(yè)務部門的負責人和主要職能部門的員工匯集到一起，討論對企業(yè)風險管理框架適應性和有效性的最初評估。無論討論的形式如何，風險管理最初的評估應決定企業(yè)是否需要對企業(yè)風險管理框架進行進一步的、更廣泛的評估以及應如何進行評估。最初的評估還應該保證企業(yè)再造的監(jiān)控程序確實存在、確實有效。企業(yè)花費在風險管理評估上的時間是企業(yè)的一項投資，而且是一項有高額回報的投資。3．企業(yè)內(nèi)其他成員企業(yè)的管理者和其他員工應該考慮他們在企業(yè)風險管理框架中應履行何種職責，并與其上層管理者討論有關思想以加強企業(yè)的風險管理。內(nèi)部審計人員則應該考慮其工作中關注企業(yè)風險管理的程度。4．立法者每個企業(yè)對企業(yè)風險管理的期望由于兩個方面的影響而千差萬別。首先，由于對企業(yè)風險管理框架的硬件設施構建的不同認識，使得企業(yè)的風險管理框架各有不同。一些觀察家認為企業(yè)風險管理將會，或者應該會防止企業(yè)的經(jīng)濟損失，或者至少是防止企業(yè)破產(chǎn)。第二，即使對企業(yè)風險管理能夠做什么、不能做什么以及“合理保證”概念有一個共同的認識，對這概念的含義和應該如何應用這些概念也存在許多不同的觀點。為了使各方對企業(yè)風險管理的認識及其作用達成共識，就應該對企業(yè)風險管理框架及其局限性達成共識。本框架的提出就是出于這一考慮。5．專業(yè)機構規(guī)則制定機構和其他專業(yè)組織已經(jīng)提供了企業(yè)理財、審計和相關問題的指南。本框架會使用這些機構頒布的有關準則和指南。這樣可以減少概念和術語的多樣性，而一定程度地減少概念和術語的多樣性對企業(yè)內(nèi)外部各方都是有利的。6．教育機構本框架應該是理論研究和分析的一個題目，以尋找未來改進的方向。如果這個報告作為企業(yè)風險管理通用的理論基礎被廣泛接受，那么其中的概念和術語就可以在學校的課本中找到。（十）報告的組織這個概覽和框架報告的正文一起構成了企業(yè)的風險管理框架。本概覽為企業(yè)的 CEO 和其他高級執(zhí)行官、董事會成員和企業(yè)外部的立法者提供了一個高度概括的說明。而框架報告的正文部分則對企業(yè)風險管理的定義、原則和概念進行更為廣泛和深入的討論，為企業(yè)及其他組織中各層次管理者決定如何改進企業(yè)的風險管理提供了指導，并能夠幫助企業(yè)的管理者和其他人員評估企業(yè)的風險管理提供幫助。企業(yè)風險管理的相關性章節(jié)摘要：企業(yè)風險管理被運用于策略制定，并貫穿于實體的各項活動中。它使得管理部門在面對不確定性的時候能夠鑒別，評估并處理風險，同時有助于價值增值與保值。企業(yè)風險管理能提供更高的能力，來調(diào)整風險偏好與策略，把風險與增長及回報聯(lián)系起來，加強風險反應決斷力，最小化經(jīng)營上的突發(fā)狀況和損失，鑒別并處理跨企業(yè)風險，對復合性風險提供整體化反應，把握機會，合理化資本投資。企業(yè)風險管理的一個潛在假定就是，每一個實體的存在都是為其風險承擔者提供價值，不論這個實體是盈利性的，非盈利性的還是政府機構。所有實體都面臨著不確定性，而管理部門的挑戰(zhàn)就是判定該實體在努力增加風險承擔者價值的同時，準備承受多大程度的不確定性。不確定性既提供了風險也提供了機遇，既有可能侵蝕價值也有可能增加價值。企業(yè)風險管理就是給管理部門提供了一個體制，可以有效地處理不確定性及相關風險、機遇，從而提高增加價值的能力。不確定性諸如全球化、技術、監(jiān)管、重組、市場變化及競爭等因素產(chǎn)生了不確定性，企業(yè)正是在這樣的環(huán)境下經(jīng)營。不確定性來源于不能精確地對潛在事件發(fā)生的可能性及相關結果進行判斷。不確定性還因?qū)嶓w的戰(zhàn)略性決策而產(chǎn)生。例如，一個實體的增長戰(zhàn)略是基于向另一個國家擴展經(jīng)營業(yè)務。這一選定的戰(zhàn)略就產(chǎn)生了與該國家的政治、資源、市場、交通、人力資本及成本相關的風險和機遇。價值價值是由于管理部門在所有活動中的決策而產(chǎn)生、保持或被侵蝕的，這些活動涉及到從戰(zhàn)略的制定至日常的企業(yè)經(jīng)營。決策中固有的一點就是識別風險和機遇，要求管理部門（注）考慮內(nèi)在和外在環(huán)境的信息，并根據(jù)變化著的環(huán)境來部署寶貴的資源和重新調(diào)整企業(yè)行為。企業(yè)價值是通過部署資源（包括人力、資本、技術及品牌）而產(chǎn)生的，因此獲得的利潤要大于使用的資源。實體通過專注于人力、工序、系統(tǒng)和行為創(chuàng)造持續(xù)性價值而保值的，包括產(chǎn)品質(zhì)量，生產(chǎn)能力，顧客滿意度及其它一些東西。價值會由于根據(jù)風險和機遇的不完全或不充分信箱行事，或由于拙劣的戰(zhàn)略或執(zhí)行而受到侵蝕。當管理部門的戰(zhàn)略和目標在增長與回報及相關風險，和追求實體目標過程中對資源的效率且有效果的部署之間突然得到了一個最優(yōu)平衡，價值就達到了最大化。企業(yè)風險管理則便于對市場需求、無效率和其它事件進行識別，那些事件要么會產(chǎn)生創(chuàng)造價值的機會，要么會對戰(zhàn)略及實現(xiàn)實體的目標帶來風險。當風險承擔者獲得可確認的收益，實體就實現(xiàn)了價值，從而風險承擔者實現(xiàn)價值。例如，當股東從股票增值中確認價值產(chǎn)生時，他們就實現(xiàn)了價值。對政府實體而言，在選民以可接受的成本確認收到有價服務時，價值得以實現(xiàn)。非