风险评估

内部控制第三讲风险评估，介绍了风险评估的概念、特征、分类、风险的识别、风险分析与计量、风险应对策略与方案。

第三讲 风险评估

• 风险的概念、特征及分类
  • 风险的概念
    • 公元前 1700 年，我国在长江上从事货运的商人尝试将一批货物分装在几 条船上，以减少意外事故带来的损失。最早由渔民们创造，祈祷出海时都是 风平浪静，平安而归，满载而归，因此，渔民们便深刻意识到风给他们带来 的风险，风意味着险，进而 “ 风险 ”
    • 对风险的理解可以概括为
      • 未来的不确定性对实现目标的一 种影响，即未来不确定事件发生 的可能性及其潜在的后果及影响。
  • 风险的特征
    • 不确定性特征
      • 风险是否发生、何时发生及发生后会造成什么后果等， 都是不确定的。例如，交通事故的发生，可能每天都有，但 具体时间哪一辆车、何时何地发生谁也无法预先确定，而交 通事故会造成怎样的损失和伤害，都无法确切预知。
    • 客观性特征
      • 不以人为意志而转移，独立于主观意识之外客观存在， 例如，自然灾害、意外事故、生老病死及决策失误等，虽然 我们知道这些风险的存在，也能部分地控制风险，但我们无 法完全消除风险。风险的存在取决于决定风险的各种因素， 人们可以识别、分析这些因素，改变风险存在的发生条件， 以便降低或者化解风险。例如保持健康生活习惯以预防疾病 的发生，配备消防设施降低火灾损失等等。
    • 相对性特征
      • 福祸相依，没有绝对的风险，危险总是与机遇并存，风 险越大，潜在收益也越大，风险管理的目标就是减少不利的 影响，放大有利的影响。不同主体对同一事件的感受和处理 方式不同，风险便不同，即使同一个人对同一风险事件，其 感受和处理方式因时因势而有所不同。不同主体对风险的承 受能力不同，风险事件所产生的影响力也不同。
    • 动态性特征
      • 实际对预期的一种变化：变化越快、变化越大，风险越 大。任何风险都是一定条件下的风险，是一定时空内的风险， 当条件发生变化时，风险也随之变化。风险可以从无到有， 也可能从有到无，可以从大到小，也可以从小到大。风险在 一定条件下可以转化为机会，反之亦然。 风险动态性要求企业的风险评估、控制活动及内部监督 都要动态跟进，持续改进。
    • 普遍性特征
      • 风险无处不在，只要某一事件的发生存在着两种或两种 以上的可能性，即可认为该事件存在着风险。人类历史与风 险相伴随，天灾人祸、意外事故、生老病死、冲突战争等。 随着科学计数和人类社会的进步，新的风险层出不穷，物价、 利率、汇率、股指、信用、技术、政策、法规等，风险随处 可见。
    • 可知性特征
      • 可以认识风险的性质，并在一定程度上测量其大小和后 果。对于事件发生的不确定性程度，可以用概率、频率等描 述。对于事件结果的不确定性，可以用实际结果与预期目标 的偏差或可能产生结果的变动来描述（极差或全距、标准差、 方差、离散系数、β 系数等），还可以通过敏感性测试、压力 测试、计算VaR （Value at Risk ）值等方法测试风险因素可能 带来的影响。
    • 偶然性特征
      • 风险的发生是诸多因素共同作用的结果，每一因素作用 的时间、地点、方向、顺序、强度等都是在特定条件下发生 的，每一因素的出现本身就具有偶然性，导致风险时间的发 生具有偶然性和突发性（天有不测风云），风险发生的偶然 性和突发性可能会加剧风险的破坏性。
    • 必然性特征
      • 单从总体和宏观上来看，一定时期内，某种风险发生概 率及其影响程度具有一定的必然性，能够呈现出一定的规律 性，例如，每一笔应收账款的收回都具有不确定性，该笔应 收账款是否成为坏账具有一定的偶然性，但可以运用过去的 数据和经验估计出应收账款总体的收回比例和坏账情况，这 种情况下就具有一定的必然性。借助数理统计和大数据来处 理大量的随机事件，发现和归纳其中规律性和必然性。
  • 风险的分类（感知风险）
    • 按风险对目标的影响分类
      • 根据对目标的影响分为战略风险、运营风险、合规风险、资产风险、报 告风险。
    • 按风险的来源分类
      • 内部风险：人力资源风险（人员操守及胜任力）、管理风险、自主创新 风险、 风险、 财务风险、社会责任风险等 财务风险、社会责任风险等
      • 外部风险：经济方面的风险、法律方面的风险（监管要求变化）、社会 方面的风险（文化、社会信用、教育水平、消费者行为）、科学技术方面的 风险、自然环境方面的风险等
    • 按风险的经济后果分类
      • 纯粹风险：不利后果（火灾、洪水、被盗等等）
      • 机会风险 ：损失和收益并存（股票市场）
    • 按风险的严重程度分类（发生概率和影响程度）
      • 一般风险、中等风险、重大风险
    • 按风险存在层级
      • 一级风险、二级风险、三级风险、四级风险
    • 按风险是否可被分散分类
      • 系统风险：又称市场风险，外部环境变化影响所有个体的不可分 散风险（政策风险，经济周期波动性风险，汇率风险，利率风险，购 买力风险）
      • 非系统性风险：由某一个特殊因素（内部因素）引起，影响特定 行业或个体，可通过多样化投资来分散，也称可分散风险（产品，管 理，财务，经营，信用，偶然事件）
• 风险的识别
  • 风险识别的原理及注意事项
    • 风险的识别是发现、辨识和表述风险的过程，包括对风险源、风险事件、 风险原因和潜在后果的识别。企业应该及时识别风险，并确定是否代表机会， 是否带来负面影响。
  • 风险的组成要素及其作用机理
    • 风险的组成要素
      • 风险因素：又称风险因子，能够引起或者增加风险事件发生的机会或者条件，是风险事件发生的潜在原因。
      • 风险事件：对目标产生影响的偶发事件，发生可能对企业带来人员伤亡、财产损失、客户流失、声誉受损。风险潜在后果变成现实的结果。
      • 风险后果：风险事件的发生对目标的实现产生影响，正面或负面，二者兼而有之，影响路径分为直接后果和间接后果。
    • 风险识别的例子
      • 舞弊风险可能涉及到内部欺诈、外部欺诈及内外部勾结欺诈等。
        • 哪些属于舞弊风险
          • 1 、管理层提供虚假财务报告以便参与剩余利润的分配或升迁或其他
          • 2 、员工串通或合谋来侵占公司资产
          • 3 、销售人员和客户来侵占销售货款
          • 4、人力资源主管违规招聘亲信来入职
        • 舞弊的三角理论
          • 压力（动机）因素
          • 机会（漏洞）因素
          • 借口（态度）因素
        • 舞弊类别
          • 侵占资产。 未经授权擅自获取、使用或处置资产，以便获得个人或小团体的不当利益。（销售员非法营销商品，保管员监守自盗，侵犯知识产权，冒用他人商标）
          • 腐败。 相关人员为其特殊利益而滥用职权的现象。
          • 虚假报告。 管理当局、相关部门或人员在编制报告时，故意漏报、错报或误导性的陈述以便获取不当利益。
    • 风险的驱动因素
      • 外部
        • 1. . 经济（价格变动、资本成本、竞争状况、市场准入状况）
        • 2. . 自然（洪水、地震、暴风雪）
        • 3. . 政治（官员选举、政策变动、严格的监管）
        • 4. 社会（人口规模、社会习俗、家庭结构、生活方式）
        • 5. 技术（移动终端的普遍运营、电子商务平台的使用、工业机器人等等的出现）
      • 内部
        • 1.基本设施（缩短供货周期引致设备超负荷运转、人工加班加点、人员短缺）
        • 2.人力资源（不具备胜任能力、正直诚信导致欺诈）
        • 3.作业流程（擅自修改未经批准的流程的变化、流程执行错误、流于形式或者效率低下）
        • 4.技术因素（技术水平、系统故障、设备停工导致订货减少、不能按时交货、遭遇客户诉讼）
    • 风险识别应注意的事项
      • 存在于各领域和各层次（全面识别）
      • 部分风险因素明显，部分隐晦（小概率大影响，大概率小影响）
      • 不同企业或不同时期的风险是不一致的（风险不断变化引致动态的风险识别）
      • 部分风险专业性强（相关管理人员、专业人士及一线人员参与其中）
      • 关注事项之间的联系
  • 风险识别的内容
    • 感知风险
    • 分析引起风险的内外部因素
  • 风险识别的方法和技术
    • 子主题
    • 财务报表分析法
    • 流程图分析法
    • 德尔菲分析法
    • 现场观察法（调查法）
    • 风险图分析法（或事件树等）
    • 其他方法（检查文档法；面谈）
• 风险分析与计量
  • 风险分析的概念及内容
    • 风险分析是在风险识别的基础上，对风险 发生的可能性、影响程度 等进行综合评价的过 程。风险分析实际上是确定 风险大小 ， 理解风 险特性 的过程，是风险评估要素的重要步骤， 也是企业采取风险应对策略、实施控制活动的 依据。通常采取 定性与定量 相结合的方法。
  • 固有风险和剩余风险
    • 固有风险 ：是采取控制措施之前，企业所面临的风险。
    • 剩余风险：是企业采取应对措施之后残余的风险，也就是没有被控制的风险，或者叫风险敞口。
    • 一旦企业的风险应对策略和控制措施确定之后，企业就要评估剩余风险。风险应对的目标是要确保将剩余风险控制在可接受的水平之内，剩余风险的大小和内控有效性密切相关。
    • 剩余风险越大，内部控制有效性越弱，内部控制对实现企业目标的保障程度就越低。
  • 风险分析应注意的事项
    • 1 、关注事件之间的关联性（如进口原材料采购、丙烷罐阀门缺陷等等）
    • 2 、关注事件潜在影响的范围和层级（影响多个业务单元或管理层级）
    • 3 、既要关注预期事件，又要关注突发事件（预期：常规，重复发生）
    • 4 、尽量采用与衡量目标完成程度相一致或类似的指标分析风险影响（业绩指标）
    • 5 、尽量参照相对客观的数据进行风险分析（历史数据，以往经验，行业均值，市场参数，设计参数等等可观察的证据作为分析依据）
  • 风险分析的方法
    • 情景分析法
    • 风险值
    • β系数
    • 敏感性测试
    • 压力测试
• 风险应对策略与方案
  • 风险应对策略
    • 风险规避策略（消极）
    • 风险降低策略（主动）
    • 风险共担策略
    • 风险承受策略
  • 风险应对方案