【文章內(nèi)容簡(jiǎn)介】 了 — 個(gè) GRC (Governance, Risk, Compliance)模型。 該報(bào)告認(rèn)為，組織可以通過把 GRC 戰(zhàn)略性地整合進(jìn)它 們的經(jīng)營(yíng)中，以形成一個(gè)可以對(duì)企業(yè)進(jìn)行管理的 道德 和經(jīng)營(yíng)框架。這個(gè)框架包括11 治理（ Governance)、企業(yè)風(fēng)險(xiǎn)管理（ Enterprise Risk Management)和遵守 (Compliance)三個(gè)組成部分，從中可以看出企業(yè)風(fēng)險(xiǎn)管理的定位。在這個(gè)框架中，治理活動(dòng)包括設(shè)定經(jīng)營(yíng)戰(zhàn)略和目標(biāo)，確定風(fēng)險(xiǎn)偏好，建立文化和價(jià)值觀，制定內(nèi) 部政策和監(jiān)督績(jī)效； 風(fēng)險(xiǎn)管理活動(dòng)包括識(shí)別和評(píng)價(jià)那些可能會(huì)影響目標(biāo)實(shí)現(xiàn)能力的風(fēng)險(xiǎn)，應(yīng)用風(fēng)險(xiǎn)管理來獲得競(jìng)爭(zhēng) 優(yōu)勢(shì)和確定風(fēng)險(xiǎn)應(yīng)對(duì)策略和控制活動(dòng)；遵守活動(dòng)包括遵照目標(biāo)經(jīng)營(yíng)，確保遵守法律和法規(guī)、內(nèi)部政策與程序以及利益相關(guān)者的委托。 C0S0《企業(yè)風(fēng)險(xiǎn)管理一整合框架》包括哪些內(nèi)容？ COSO的企業(yè)風(fēng)險(xiǎn)管理框架是個(gè)三維立體的框架。這種多維立體的表現(xiàn)形式，有助于全面深入地理解控制和管理對(duì)象，分析解決控制中存在的復(fù)雜問題。 第一個(gè)維度（上面維度）是目標(biāo)體系，包括四類目標(biāo)： （ 1） 戰(zhàn)略目標(biāo)，即 高層 次目標(biāo)，與使命相關(guān)聯(lián)并支 撐使命； （ 2）經(jīng)營(yíng)目標(biāo)， 高效 率地利用資源； （ 3）報(bào)告目標(biāo)，報(bào)告的可靠性； （ 4）合規(guī)目標(biāo)，符合適用的法 律和法規(guī)。 第二個(gè)維度（正面維度）是管理要素，包括八個(gè)相互關(guān)聯(lián)的構(gòu)成要素，它們?cè)醋怨芾懋?dāng)局的經(jīng)營(yíng)方式，并與管理過程整合在一起，具體為： （ 1） 內(nèi)部環(huán)境。管理當(dāng)局確立關(guān)于風(fēng)險(xiǎn)的理念，并確定風(fēng)險(xiǎn)容量。所有企業(yè)的核心都是人（他們的個(gè)人品性，包括誠(chéng)信、 道德 價(jià)值觀和勝任能力）以及經(jīng)營(yíng)所處的環(huán)境，內(nèi)部環(huán)境為主體中的人們?nèi)绾慰创L(fēng)險(xiǎn)和著手控制風(fēng)險(xiǎn)確立了基礎(chǔ)。 （ 2） 目標(biāo)設(shè)定。必須先有目標(biāo)，管理當(dāng)局才能識(shí)別影響目標(biāo)實(shí)現(xiàn)的潛在事項(xiàng)。企業(yè)風(fēng)險(xiǎn)管理確保管理當(dāng)局采取恰當(dāng)?shù)某绦蛉ピO(shè)定目標(biāo)，并保證選定的目標(biāo)支持主體的使命并與其相銜接，以及與它的風(fēng)險(xiǎn)容量相適應(yīng)。 （ 3） 事項(xiàng)識(shí)別。必須識(shí)別可能對(duì)主體產(chǎn)生影響的潛在事項(xiàng)，包括表示風(fēng)險(xiǎn)的事項(xiàng)和表示機(jī)會(huì)的事項(xiàng)，以及 可能二者兼有的事項(xiàng)。機(jī)會(huì)被追溯到管理當(dāng)局的戰(zhàn)略 或目標(biāo)制定過程。 （ 4） 風(fēng)險(xiǎn)評(píng)估。要對(duì)識(shí)別的風(fēng)險(xiǎn)進(jìn)行分析，以便確定管理的依據(jù)。風(fēng)險(xiǎn)與可能被影響的目標(biāo)相關(guān)聯(lián)。既要對(duì)固有風(fēng)險(xiǎn)進(jìn)行評(píng)估，也要對(duì)剩余風(fēng)險(xiǎn)進(jìn)行評(píng)估，12 評(píng)估要考慮到風(fēng)險(xiǎn)的可能性和影響 。 （ 5） 風(fēng)險(xiǎn)應(yīng)對(duì)。員工識(shí)別和評(píng)價(jià)可能的風(fēng)險(xiǎn)應(yīng)對(duì)措施，包括回避、承擔(dān)、降低和分擔(dān)風(fēng)險(xiǎn)。管理當(dāng)局選擇一系列措施使風(fēng)險(xiǎn)與主體的風(fēng)險(xiǎn)容限和風(fēng)險(xiǎn)容量相適應(yīng)。 （ 6） 控制活動(dòng)。制定和實(shí)施政策與程序以確保管理當(dāng)局所選擇的風(fēng)險(xiǎn)應(yīng)對(duì)策略得以有效實(shí)施。 （ 7） 信息與溝通。主體的各個(gè)層級(jí)都需要借助信息來識(shí)別、評(píng)估和應(yīng)對(duì)風(fēng)險(xiǎn)。廣泛意義的有效溝通包括信息在主體中向下、平行和向上流動(dòng)。 （ 8）監(jiān)控。整個(gè)企業(yè)風(fēng)險(xiǎn)管理處于監(jiān)控之下，必 要 時(shí)還會(huì)進(jìn)行修正。這種方式能夠動(dòng)態(tài)地反映 風(fēng)險(xiǎn)管理狀況，并使之根據(jù)條件的要求而變化。監(jiān)控通過持續(xù)的管理活動(dòng) 、對(duì)企業(yè)風(fēng)險(xiǎn)管理的單獨(dú)評(píng)價(jià)或者兩者的結(jié)合來完成。 第三個(gè)維度（側(cè)面維度）是主體單元，包括集團(tuán)、部門、業(yè)務(wù)單元、分支機(jī)構(gòu)四個(gè)層面。 目標(biāo)設(shè)定、事件識(shí)別和風(fēng)險(xiǎn)評(píng)估這三者間有什么關(guān)聯(lián)？ “目標(biāo)設(shè)定”也就是管理層制定戰(zhàn)略目標(biāo)，為確定運(yùn)營(yíng)，報(bào)告和合規(guī)目標(biāo)提供了背景。這些目標(biāo)要與公司的風(fēng)險(xiǎn)承受能力相匹配，而風(fēng)險(xiǎn)承受能力不僅決定著公司的風(fēng)險(xiǎn)容忍度 高低 ，同時(shí)也是識(shí)別事件、評(píng)估風(fēng)險(xiǎn)和響應(yīng)風(fēng)險(xiǎn)的前提條件。在對(duì)事件進(jìn)行識(shí)別時(shí)，需要考慮具體的目標(biāo)。 “識(shí)別事件”即管理層識(shí)別出潛在的事件，這些事 件可能會(huì)對(duì)公司實(shí)施戰(zhàn)略和實(shí)現(xiàn)目標(biāo)的能力產(chǎn)生正面 或負(fù)面影響。潛在的負(fù)面事件就是賴以評(píng)估風(fēng)險(xiǎn)和風(fēng)13 險(xiǎn)應(yīng)對(duì)措施效能的環(huán)境情景。潛在的正面事件則代表著機(jī)會(huì)，管理層應(yīng)在制定戰(zhàn)略和目標(biāo)的過程中將這些機(jī)會(huì)納入考慮范圍。 “評(píng)估風(fēng)險(xiǎn)”即管理層采用定量和定性方法來評(píng)估可能會(huì)影響目標(biāo)實(shí)現(xiàn)的未來事件的可能性及其潛在影響。管理層既可以單獨(dú)地評(píng)估各項(xiàng)事件，也可以分門別類地進(jìn)行評(píng)估。因此，要想真的取得成效，風(fēng)險(xiǎn)評(píng)估就需要預(yù)設(shè)要實(shí)現(xiàn)的目標(biāo)，從而周密地盤查 清點(diǎn) 出潛在的未來事件。 1 怎樣理解風(fēng)險(xiǎn)管理框架中企業(yè)風(fēng)險(xiǎn)管理的目標(biāo)？ 企業(yè)風(fēng)險(xiǎn)管理框架目標(biāo)體系中，增加了內(nèi)部控制整合框架中所沒有的一類目標(biāo)：戰(zhàn)略目標(biāo)。雖然是平行的方式列示，但是，戰(zhàn)略目標(biāo)在這個(gè)目標(biāo)體系中是 最高 層次的，其他三類目標(biāo)都應(yīng)當(dāng)從屬于戰(zhàn)略目標(biāo)。都是在為戰(zhàn)略目標(biāo)服務(wù)。此外，企業(yè)風(fēng)險(xiǎn)管理框架的報(bào)告目標(biāo)也有所拓展。在內(nèi)部控制框架中，報(bào)告指的是公布的財(cái)務(wù)報(bào)表。報(bào)告目標(biāo)主要關(guān)注公布的財(cái)務(wù)報(bào)表的可靠性，而在企業(yè)風(fēng)險(xiǎn)管理框架中，報(bào)告包括由企業(yè)編制、向內(nèi)部和外部散發(fā) 的所有報(bào)告， 而且范圍也從財(cái)務(wù)報(bào)表的財(cái)務(wù)信息擴(kuò)展到了更廣泛的非財(cái)務(wù)信息。盡管在企業(yè)風(fēng)險(xiǎn)管理框架中， 并沒有明確表示其遵守目標(biāo)與 內(nèi)部控制的遵守 目標(biāo)有什么不同，但是，負(fù)責(zé)擬定企業(yè)風(fēng)險(xiǎn)管理框架的普華永道 (PWC)在其 2020 年的一份名為《整合 驅(qū)動(dòng)績(jī)效》的 報(bào)告中認(rèn)為：“ 主要關(guān)注遵守 法律、法規(guī)的傳統(tǒng)合規(guī)方法是不充分的，遵守內(nèi)部治理、道德與風(fēng)險(xiǎn)標(biāo)準(zhǔn)和政 策在 防止遭受與聲譽(yù)相關(guān)的風(fēng)險(xiǎn)方面更有效?！痹搱?bào)告對(duì) “ 遵守 ”的內(nèi)涵進(jìn)行了拓展，提出了一個(gè) 全 新視角的“遵守”，給出了一個(gè)遵守風(fēng)險(xiǎn)的新定義。遒守風(fēng)險(xiǎn)是指 “由于沒有能夠遵守法律法規(guī)、內(nèi)部規(guī)則和政策以及顧客、雇員和社會(huì)等主要利益相關(guān)者的期望而導(dǎo)致對(duì)組織的經(jīng)營(yíng)模式、聲譽(yù)和財(cái)務(wù)狀況產(chǎn)生損害的風(fēng)險(xiǎn)”。 另外，內(nèi)部控制整合框架 1994 年補(bǔ)充的“保護(hù)資產(chǎn)”目標(biāo)在企業(yè)風(fēng)險(xiǎn)管理框架中并沒有單列，因?yàn)?C0S0 認(rèn)為，這個(gè)目標(biāo)的內(nèi)容已經(jīng)分別包含在了上述幾類目標(biāo)之中。 對(duì)于目標(biāo)的實(shí)現(xiàn)，企業(yè)風(fēng)險(xiǎn)管理與內(nèi)部控制一樣，只能提供合理的保證，而且對(duì)于不同的目標(biāo)所提供合理保證的內(nèi)容也不盡相同。對(duì)于報(bào)告目標(biāo)和合規(guī)目標(biāo)而言，因?yàn)橛嘘P(guān)報(bào)告的可靠性和符合法律、法規(guī)的目標(biāo)在主體的控制范圍之內(nèi)，所以可以期望企業(yè)風(fēng)險(xiǎn)管理為實(shí)現(xiàn)這些目標(biāo)提供合理保證。但是，對(duì)于戰(zhàn)略目標(biāo)14 和經(jīng)營(yíng)目標(biāo)而言，由于這些目標(biāo)的實(shí)現(xiàn)還取決于一些不在主體控制范圍之內(nèi)的外部事項(xiàng)，所 以企業(yè)風(fēng)險(xiǎn)管理可以提供合理保證的是對(duì)目標(biāo)的實(shí)現(xiàn)過程進(jìn)行有效的信息溝通， 即管理當(dāng)局以及承擔(dān)監(jiān)督職能的董事會(huì)能夠及時(shí)地了解企業(yè)目標(biāo)實(shí)現(xiàn)的進(jìn)展情況。 1 企業(yè)風(fēng)險(xiǎn)管理框架與內(nèi)部控制框架有什么不同？ 企業(yè)風(fēng)險(xiǎn)管理框架與內(nèi)部控制框架相比，在要素構(gòu)成上主要有兩個(gè)方面的變化：一是以“內(nèi)部環(huán)境”取代“控制環(huán)境”，在“內(nèi)部環(huán)境”中引入了風(fēng)險(xiǎn)管理理念、風(fēng)險(xiǎn)偏好兩個(gè)概念。風(fēng)險(xiǎn)管理理念是一套共享的觀念和態(tài)度，它標(biāo)志著企業(yè)考慮風(fēng)險(xiǎn)時(shí)的特征，反映了企業(yè)的價(jià)值觀，影響著企業(yè)的文化和經(jīng)營(yíng)方式。風(fēng)險(xiǎn)偏好反映了一個(gè)企業(yè)的風(fēng)險(xiǎn)管理理念，并影響著企業(yè)的文化和經(jīng)營(yíng)方式。另一個(gè)變化是企業(yè)風(fēng)險(xiǎn)管理更加關(guān)注風(fēng)險(xiǎn)，拓展了內(nèi)部控制框架的風(fēng)險(xiǎn)評(píng)估要素，進(jìn)一步細(xì)分為目標(biāo)設(shè)定、事項(xiàng)識(shí)別、風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)應(yīng)對(duì)四個(gè)要素。 在結(jié)構(gòu)方面， COSO 沿用了內(nèi)部控制整 合框架中通過三維矩陣表現(xiàn)構(gòu)成要素與目標(biāo)之間關(guān)系的表示方法。 四類目標(biāo)用縱向的欄表示，八個(gè)構(gòu)成要素用橫向的列表示，而一個(gè)主體內(nèi)的各個(gè)單元?jiǎng)t用第三個(gè)維度表示。這種表示方式使使用者既能夠從整體上關(guān)注一個(gè)主體的企業(yè)風(fēng)險(xiǎn)管理，也可以從目標(biāo)類別、構(gòu)成要素、主體單元，甚至其中任何一個(gè)分項(xiàng)的角度去加以認(rèn)識(shí)。企業(yè)風(fēng)險(xiǎn)管理的構(gòu)成和目標(biāo)既是建立健全企業(yè)風(fēng)險(xiǎn)管理過程的 依據(jù)，也 是評(píng)價(jià)其有效性的標(biāo)準(zhǔn)。認(rèn)定一個(gè)主體的企業(yè)風(fēng)險(xiǎn)管理是否有效，是在對(duì)八個(gè)構(gòu)成要素是否存在并有效運(yùn)行進(jìn)行評(píng)估的基礎(chǔ)之上所做的判斷。構(gòu)成要素如果存在并且正常運(yùn)行，那么 就可能沒有重大缺陷，表示風(fēng)險(xiǎn)被控制在主體的風(fēng)險(xiǎn)容量之內(nèi)。當(dāng)企業(yè)風(fēng)險(xiǎn)管理分別在四類目標(biāo)中的每一類下都被確定為有效時(shí)，就可以合 理保證董事會(huì) 和管理當(dāng)局了解主體實(shí)現(xiàn)其戰(zhàn)略和經(jīng)營(yíng)目 標(biāo)、主體的報(bào)告可靠性以及適用的法律和法規(guī)被遵循 的程度。此外，八個(gè)構(gòu)成要素在每個(gè)主體中的運(yùn)行也不是千篇一律的。例如，在中小規(guī)模主體中的應(yīng)用可能不太 正式，不太完備。盡管如此， 當(dāng)八個(gè)構(gòu)成要素存在且正常運(yùn)行時(shí)，依然表示小規(guī)模主體的企業(yè)風(fēng)險(xiǎn)管理是有效的。 1 企業(yè)風(fēng)險(xiǎn)管理 整合框架對(duì)企業(yè)有什么借鑒意義？ 《企業(yè)風(fēng)險(xiǎn)管理 整合框架》再一次強(qiáng)調(diào)了系統(tǒng)的 概念，即在實(shí)施企業(yè)整體風(fēng)險(xiǎn)管理過程中，主體中的每個(gè)人都對(duì)企業(yè)風(fēng)險(xiǎn)管理負(fù)有責(zé)任：?jiǎn)挝回?fù)責(zé)人負(fù)有15 首要責(zé)任，并且應(yīng)當(dāng)成為主要責(zé)任人；其他管理人員支持主體的風(fēng)險(xiǎn)管理理念，并在各自的責(zé)任范圍內(nèi)依據(jù)風(fēng)險(xiǎn)容量去管理風(fēng)險(xiǎn)；首席風(fēng)險(xiǎn)官、財(cái)務(wù)總監(jiān)、內(nèi)部審計(jì)師等 通常負(fù)有關(guān)鍵的支持責(zé)任；主體中的其他人員負(fù)責(zé)按照既定的指引和條例去實(shí)施企業(yè)風(fēng)險(xiǎn)管理；董事會(huì)對(duì)企業(yè)風(fēng)險(xiǎn)管理進(jìn)行監(jiān)督，并察覺和認(rèn)同主體的風(fēng)險(xiǎn)容量。 很多外部集團(tuán)，例如顧客、咨詢機(jī)構(gòu)、商業(yè)伙伴、外部審計(jì)師、監(jiān)管者和財(cái)務(wù)分析師，常常提供影響企業(yè)風(fēng)險(xiǎn)管理的有用信息，但是他們不對(duì)主體 的企業(yè)風(fēng)險(xiǎn)管理的有效性承擔(dān)任何責(zé)任。 COSO 的《企業(yè)風(fēng)險(xiǎn)管理 整合框架》可以為不同的利益相關(guān)者提供有效的借鑒和指導(dǎo)。對(duì)企業(yè) 的董事會(huì) 來說，董事會(huì)應(yīng)當(dāng) 與高級(jí) 管理人員討論主體企業(yè)風(fēng)險(xiǎn)管理的現(xiàn)狀，并提供所需的監(jiān)督。董事會(huì)應(yīng)當(dāng)確信知悉最重大的風(fēng)險(xiǎn)，以及管理當(dāng)局正在采取的行動(dòng)和如何確保有效的企業(yè)風(fēng)險(xiǎn)管理。董事會(huì)應(yīng)當(dāng)考慮尋求內(nèi)部審計(jì)師、外部審計(jì)師和其他方面的參與。對(duì)企業(yè) 的高層 管理當(dāng)局來說，總經(jīng)理應(yīng)把業(yè)務(wù)單元領(lǐng)導(dǎo)和關(guān)鍵職能部門人員召集到一起，評(píng)估企業(yè)風(fēng)險(xiǎn)管理能力和有效性。對(duì)企業(yè)中的其他人員來說，應(yīng)該考慮如何履