CPA【战略】第六章风险与风险管理

这是一个关于CPA【战略】第六章风险与风险管理的思维导图，包括风险构成要素、风险种类、风险管理、风险管理体系。

第六章 风险与风险管理

风险构成要素

风险因素：有形风险因素、无形风险因素（道德风险、心理风险） 风险事件：偶发事故 损失：直接损失、间接损失

风险种类

外部风险

政治风险

限制进入领域；设置贸易壁垒；外汇管制规定；进口配额和关税 组织结构及要求最低持股比例；限制向东道国的银行借款；没收资产

法律风险与 合规风险

社会文化风险

跨国经营引发的文化风险 企业并购活动引发的文化风险 组织内部因素引发的文化风险

技术风险

技术设计风险；技术研发风险；技术应用风险

市场风险

①价格及供需变化带来的风险（销售） ②物资供应的充分性、稳定性和价格的变化带来的风险（采购） ③信用风险（上下游） ④税收政策和利率、汇率、股票价格指数的变化带来的风险（政策经济） ⑤潜在进入者、竞争者、与替代品的竞争带来的风险（五力模型）

内部风险

战略风险

发展战略

①缺乏&实施不到位 ②过于激进 ③频繁变动

运营风险

组织结构

①形成虚设 ②设计不科学&权责分配不合理

人力资源

①缺乏或过剩，开发机制不健全 ②激励约束制度，管理不完善 ③退出机制不当

社会责任

①安全生产措施 ②产品质量低劣 ③环境保护投入 ④就业和员工权益保护

企业文化

①缺乏积极向上 ②缺乏开拓创新、团队协作和风险意识， ③缺乏诚实守信的经营理念，舞弊 ④忽视文化差异和理念冲突，并购失败

采购业务

①计划安排不合理，预测不准确，库存 ②供应商选择不当，采购方式不合理，招投标或定价机制不科学，授权审批不严，采购物资质次价高，出现舞弊或遭受欺诈 ③采购验收不规范，付款审核不严

资产管理

①存货：积压或短缺 ②固定资产：更新改造不够、使用效能低下、维护不当、产能过剩 ③无形资产：缺乏核心技术、权属不清、技术落后、存在重大技术安全隐患

销售业务

①销售政策和策略不当，市场预测不准确，销售渠道管理不当 ②客户信用管理不到位，销售方式不合理，账款回收不利 ③销售舞弊

研究与开发

①未经科学论证或论证不充分 ②人员配备不合理或管理不善，成本高、舞弊或失败 ③成果转化应用不足、保护措施不力

工程项目

①缺乏可行性研究或流于形式，决策不当，盲目上马 ②项目招标暗箱操作，商业贿赂 ③工程造价信息不对称，技术方案不落实，概预算脱离实际 ④工程物资质次价高，监理不到位，项目资金不落实 ⑤竣工验收不规范，把关不严

担保业务

①资信状况调查不深，审批不严或越权审批 ②对被担保人监控不利，应对措施不当 ③存在舞弊

业务外包

①外包范围和价格不合理，承包方选择不当 ②监控不严、服务质量低劣 ③存在商业贿赂

合同管理

①未订立合同、未经授权对外订立合同、主体资格未达要求、合同内容重大疏漏或欺诈 ②未全面履行或监控不当 ③纠纷处理不当

内部信息传递

①内部报告系统缺失、功能不健全、内容不完整 ②信息传递不通畅、不及时 ③泄露商业机密

信息系统

①缺乏或规划不合理，信息孤岛或重复建设 ②系统开发不符合内部控制要求，授权管理不当 ③运行维护和安全措施不到位，信息泄露或毁损

财务风险

全面预算

①不编制或不健全 ②目标不合理、编制不科学 ③缺乏刚性，执行不力、考核不严，预算流于形式

资金活动

①筹资决策不当，资本结构不合理或无效融资 ②投资决策不当，盲目扩张或丧失发展机遇，资金链断裂 ③资金调度不合理、营运不畅 ④管控不当，被挪用、侵占、抽逃

财务报告

①编制报告违反法律法规 ②虚假报告，误导财务报告使用者，决策失误 ③不能有效利用财务报告，难以发现企业经营管理中存在的问题，财务和经营风险失控

运营风险的8个表现形式

研发：企业产品结构、新产品研发方面可能引发的风险

生产（质安环）：质量、安全、环保、信息安全等管理中发生失误导致的风险

市场：新市场开发、市场营销策略方面引发的风险

基础设施：组织效能、管理状况、企业文化、高中层管理人员和重要业务流程中专业人员的知识结构、专业经验等方面可能引发的风险

基础设施：因内、外部人员道德风险或业务控制系统失灵导致的风险

基础设施：现有业务流程和信息系统同操作运行情况的监督、运行评价及持续改进能力方面引发的风险

金融：期货等衍生产品业务中发生失误带来的风险

自然：给企业造成损失的自然灾害等风险

风险管理

概念：风险偏好；风险承受度 特征：战略性、全员化、专业性、二重性、系统性 目标：战略目标；报告真实；合规经营；效率效果；应急处理

流程

收集风险管理初始信息

战略风险；财务风险；市场风险；运营风险；法律风险

进行风险评估

步骤 风险辨识：辨识风险种类 风险分析：分析风险发生的可能性 风险评估：影响程度

方法 定性4：头脑风暴法；德尔菲法；流程图分析法；风险评估系图法 定量3：马尔可夫分析法；敏感性分析法；决策树法 定性&定量4：失效模式影响和危害度分析法；情景分析法；事件树分析法；统计推论法

制定风险管理策略

风险偏好考虑因素：风险个体；相互作用；整体情况 风险承受度度量方法：统计方法（最大可能损失；概率值；期望值；波动性；在险值）；直观方法（专家意见；层次分析法）

风险管理策略

风险保留：未能识别的；缺乏能力进行主动管理；没有其他备选方案

风险规避（单一风险）：回避、停止、退出商业活动或商业环境，可彻底根除风险时间发生

风险转换：战略调整和衍生品

风险转移：转移到第三方，保险；风险证券化；非保险型的风险转移

风险对冲：风险组合，相互抵消；套期保值；多种外汇结算

风险补偿：补偿财务、人力、物资；风险准备金、应急资本

风险控制（单一风险）：减轻损失或降低概率；可控风险

提出和实施风险管理解决方案

外部解决方案：外包

内部解决方案：风险管理策略、组织职能、内部控制、信息系统、风险理财措施；可控纯粹风险

风险管理监督与改进

企业各有关部门和业务单位——定期 企业风险管理职能部门——定期 企业内部审计部门——至少每年一次

风险管理体系

组织职能体系

法人治理结构（董事会） 风险管理委员会 风险管理职能部门 审计委员会

内部控制系统

控制环境（内部环境）

职责分工：建立规范的公司治理结构和议事规则 董事会：董事会负责内部控制的建立健全和有效实施 监事会：监事会对董事会建立与实施内部控制进行监督 经理层：经理层负责组织领导企业内部控制的日常运行 审计委员会：审计委员会负责审查企业内部控制，监督内部控制的有效实施和内部控制自我评价情况，协调内部控制审计及其他相关事宜 内部机构：应当结合业务特点和内部控制要求设置内部机构，明确职责权限，将权利和责任落实到各责任单位 内部审计：应当加强内部审计工作，对内部控制的有效性进行监督检查 人力资源政策：应当制定和实施有利于企业可持续性发展的人力资源政策 员工培养：应当将职业道德修养和专业胜任能力作为选拔和招聘员工的重要标准 文化建设：企业应当加强文化建设，培育积极向上的价值观和社会责任感，树立现代管理理念，强化风险意识，董监高管理人员应当在企业文化建设中发挥主导作用 法制建设：企业应当加强法制教育，增强董监高及其他管理人员和员工的法制观念，建立健全法律顾问制度和重大法律纠纷案件备案制度

风险评估

收集信息：根据控制目标，全面系统持续地收集相关信息，结合实际情况，及时进行风险评估 风险识别：应当准确识别与实现控制目标相关的内部风险和外部风险，确定相应的风险承受度 风险分析：应当采用定性与定量相结合的方法，按照风险发生的可能性及其影响程度，对识别的风险进行分析和排序，确定关注重点和优先控制的风险 风险应对：根据风险分析的结果，结合风险承受度，权衡风险与收益，确定风险应对策略，实现对风险的有效控制 动态管理：应当结合不同发展阶段和业务拓展情况，持续收集与风险变化相关的信息，进行风险识别和风险分析，及时调整风险应对策略

控制活动

不相容职务分离控制：要求企业全面系统的分析、梳理业务流程中所设计的不相容植物，实施相应的措施 授权审批控制：要求企业根据常规授权和特别授权的规定，明确各岗位办理业务和事项的权限范围、审批程序和相应责任 会计系统控制：要求企业严格执行国家统一的会计准则制度，加强会计基础工作，明确会计凭证、会计账簿和财务会计报告的处理程序，依法设置会计机构，配备会计从业人员 财产保护控制：要求企业建立财产日产管理制度和定期清查制度，严格限制未经授权的人员接触和处置资产 预算控制：要求企业实施全面预算管理制度，明确各责任单位再预算管理中的职责权限 运营分析控制：要求企业建立运营情况分析制度，通过因素分析、对比分析、趋势分析等方法，定期展开运营情况分析，发现存在的问题，及时查明原因并加以改进 绩效考核控制：要求企业建立和实施绩效考核制度，科学设置考核指标体系，对企业内部各责任单位和全体成员的业绩进行定期考核和客观评价 重大风险预警机制和突发事件应急处理机制：明确风险预警标准，对可能发生的重大风险或突发事件，制定应急预案、明确责任人员、规范处置程序，确保突发事件得到及时妥善处理

信息与沟通

内外部信息：对收集的各种内外部信息进行合理筛选、核对、整合，提高信息的可用性 沟通：将内部控制相关信息在企业内部各管理级次、责任单位、业务环节之间，以及企业与外部投资者、债权人、客户、供应商、中介机构和监管部门等有关方面之间进行沟通和反馈 信息技术：利用信息技术促进信息的集成与共享，充分发挥信息技术在信息与沟通中的作用 反舞弊机制：建立反舞弊机制，坚持惩罚并举、重在防御的原则，明确反舞弊工作的重点领域、关键环节和有关机构在反舞弊工作中的职责权限，规范舞弊案件的举报、调查、处理、报告和补救程序 举报投诉制度和举报人保护制度：建立举报投诉制度和举报人保护制度，设置举报专线，明确举报投诉处理程序、办理时限和办结要求，明确举报、投诉成为企业有效掌握信息的重要途径

监控（内部监督）

监督制度：指定内部控制监督制度，明确内部审计机构和其他内部机构在内部监督中的职责权限，规范内部监督的程序、方法和要求 内部缺陷认定标准：应当指定内部控制缺陷认定标准，对发现的缺陷，分析缺陷的性质和产生的原因，提出整改方案，采取适当的形式向董监高报告，并就内部监督中发现的重大缺陷，追究相关责任单位或责任人的责任 内部控制自我评价报告：定期对内部控制的有效性进行自我评价，出具内部控制自我评价报告 记录或资料保存：应当以书面或者其他适当形式，妥善保存内部控制建立与实施过程中的相关记录或资料，确保内部控制建立与实施过程的可验证性