06-风险与风险管理

风险管理是指如何在项目或者企业一个肯定有风险的环境里把风险可能造成的不良影响减至最低的管理过程。风险管理对现代企业而言十分重要。

第六章 风险与风险管理

第一节 风险与风险管理概述

一、风险的概念与构成要素（★）

（一）风险的概念

1.学者观点

2.经济监管机构观点

3.对于风险定义的理解

（1）企业风险与企业战略相关。

（2）风险是一系列可能发生的结果，而不能简单地理解为最有可能的结果。

（3）风险既具有客观性，又具有主观性。

（4）风险往往与机遇并存。

（二）风险的构成要素

1.风险因素

（1）含义：

风险因素，指促使某一风险事件发生，或增加其发生的可能性，或提高其损失程度的原因或条件。

举例：易燃易爆材料的存储、有关人员的疏忽、消防设备的失效是导致建筑物火灾的重要因素；酒后驾车、汽车刹车系统失灵可能造成车祸等。

（2）分类：

2.风险事件（事故）

风险事件，指造成损失的偶发事故。

举例：火灾、洪水、地震、车祸、核泄漏、疾病、股市崩盘等都是导致财产损失的风险事件。

3.损失

（1）含义：

风险管理中的损失包括两个方面内容：一是非故意的、非预期的和非计划的（“三非”）；二是经济价值（即能以货币衡量的价值）的减少，二者缺一不可。

（2）分类：

①直接损失（实质损失）：指风险事件导致的财产损毁和人身伤害。

②间接损失（派生损失）：指由直接损失引起的其他损失，包括额外费用损失、收入损失和责任损失等。间接损失有时大于直接损失。

4.风险因素、风险事件（事故）、损失三者的关系

（1）风险因素、风险事件和损失是共同构成风险的统一体。

（2）风险因素、风险事件和损失相互依存、相互作用。

（3）风险因素引起风险事件发生或增加其发生的概率；风险事件的发生造成损失；损失的发生使风险因素和风险事件得以呈现或暴露，使风险最终形成。

二、风险管理的概念、目标和演进（★★）

（一）风险管理的概念

1.风险管理的定义

企业围绕总体经营目标，通过在企业管理的各个环节和经营过程中执行风险管理的基本流程，培育良好的风险管理文化，建立健全全面风险管理体系，包括风险管理策略、风险理财措施、风险管理的组织职能体系、风险管理信息系统和内部控制系统，从而为实现风险管理的总体目标提供合理保证的过程和方法。

2.风险管理的特征

3.全面风险管理与传统风险管理对比

4.风险偏好与风险承受度

（1）风险偏好

企业希望承受的风险范围，分析风险偏好要回答的问题是公司希望承担什么风险和承担多少风险。

（2）风险承受度

企业风险偏好的边界，分析风险承受度可以将其作为企业采取行动的预警指标，企业可以设置若干承受度指标以显示不同的警示级别。

（3）两者关系

风险偏好概念提出的意义在于研究企业风险和收益的关系，明确了企业的风险偏好和风险承受度，企业就能够把握在风险和收益之间如何选择平衡点。

（二）风险管理的目标

传统的风险管理与企业战略联系不紧，目标是转移或避免风险，重点放在对公司行为的监督和检查上，因而传统的风险管理的目标一般与实现公司战略目标没有关系。

全面风险管理紧密联系企业战略，为实现公司总体战略目标寻求风险优化措施，因而风险管理目标的设计要充分体现这一思想。

（三）风险管理的演进与新发展

1.风险管理的演进（关键时间）

2.风险管理的新发展

第二节 企业面对的主要风险

一、外部风险（★★★）

（一）政治风险

1.含义

完全或部分由政府官员行使权力和政府组织的行为而产生的不确定性。虽然政治风险更多地与海外市场风险有关，但这一定义适用于国内外所有市场。

2.表现形式

（1）限制投资领域；

（2）设置贸易壁垒；

（3）外汇管制规定；

（4）进口配额和关税；

（5）组织结构及要求最低持股比例；

（6）限制向东道国的银行借款；

（7）没收资产。

（二）法律风险与合规风险

1.含义

（1）合规风险：因违反法律或监管要求而受到制裁、遭受金融损失及因未能遵守所有适用法律、法规、行为准则或相关标准而给企业信誉带来损失的可能性；

（2）法律风险：企业在经营过程中因自身经营行为的不规范或者外部法律环境发生重大变化而造成不利法律后果的可能性。

法律风险通常包括以下三方面：一是法律环境因素，包括立法不完备、执法不公正等；二是市场主体自身法律意识淡薄，在经营活动中不考虑法律因素等；三是交易对方的失信、违约或欺诈等。

2.关系

（1）合规风险侧重于行政责任和道德责任的承担，而法律风险则侧重于民事责任的承担。

举例：银行与客户约定的利率超出了人民银行规定的基准利率幅度，那么银行合规风险突出表现在监管机关的行政处罚、重大财产损失和声誉损失等，而法律风险则侧重于表现为银行对客户民事赔偿责任的承担。

（2）合规风险和法律风险有时会同时发生。

举例：上例中，银行将会同时面临监管机关的处罚（合规风险）和客户的起诉（法律风险）。

（3）合规风险和法律风险有时也会发生分离。

举例：银行违规经营被媒体曝光，银行的声誉将面临重大损失，这显然属于合规风险，但其与法律风险无关

3.表现形式（法律风险与合规风险所要考虑的主要方面）

（1）国内外与企业相关的政治、法律环境可能引发的风险；

（2）影响企业的新法律法规和政策可能引发的风险；

（3）员工的道德操守可能引发的风险；

（4）企业签订的重大协议和有关贸易合同可能引发的风险；

（5）企业发生重大法律纠纷案件可能引发的风险；

（6）企业和竞争对手的知识产权可能引发的风险。

（三）社会文化风险

1.含义

文化这一不确定性因素给企业经营活动带来的影响。

2.表现形式

（1）国与国之间：跨国经营活动引发的文化风险；

（2）企业与企业之间：企业并购活动引发的文化风险；

（3）企业内部：组织内部因素引发的文化风险。

（四）技术风险

1.含义（从技术风险范围来看）

（1）广义：某一种新技术给某一行业或某些企业带来增长机会的同时，可能对另一行业或另一些企业形成巨大威胁。

举例：晶体管的发明和生产严重危害了直头管行业。

（2）狭义：技术在创新过程中，由于技术本身复杂性和其他相关因素变化的不确定性而导致技术创新遭遇失败的可能性。

举例：企业现有科研水平不能满足技术目标的需求，导致创新失败。

2.分类（按技术活动过程所处的不同阶段）

（1）技术设计风险——事前；

（2）技术研发风险——事中；

（3）技术应用风险——事后。

（五）市场风险

1.含义

企业所面对的外部市场的复杂性和变动性所带来的与经营相关的风险。

2.表现形式

（1）产品或服务的价格及供需变化带来的风险；

（2）能源、原材料、配件等物资供应的充足性、稳定性和价格的变化带来的风险；

（3）主要客户、主要供应商的信用风险；

（4）税收政策和利率、汇率、股票价格指数的变化带来的风险；

（5）潜在进入者、竞争者、与替代品的竞争带来的风险。

解题高手

命题角度：市场风险的案例分析。

这是极为重要的考点，通常出现在主观题中，需要结合关键词进行判断：

二、内部风险（★★★）

（一）战略风险

1.含义

由于内外部环境的复杂性和变动性以及主体对环境的认知能力和适应能力的有限性，而导致企业整体性损失和战略目标无法实现的可能性及损失。

2.表现形式（战略风险所要考虑的主要方面）

（1）国内外宏观经济政策和经济运行情况、企业所在产业的状况、国家产业政策可能引发的风险；

（2）科技进步、技术创新可能引发的风险；

（3）市场对企业产品或服务的需求可能引发的风险；

（4）与企业战略合作伙伴的关系、寻求战略合作伙伴可能引发的风险；

（5）企业主要客户、供应商及竞争对手可能引发的风险；

（6）与主要竞争对手相比，企业实力与差距可能引发的风险；

（7）企业编制发展战略和规划、投融资计划、年度经营目标、经营战略可能引发的风险；

（8）企业对外投融资过程中曾发生或易发生错误的业务流程或环节可能引发的风险。

3.内控角度

《企业内部控制应用指引第2号——发展战略》：

（1）缺乏明确的发展战略或发展战略实施不到位，可能导致企业盲目发展，难以形成竞争优势，丧失发展机遇和动力。

（2）发展战略过于激进，脱离企业实际能力或偏离主业，可能导致企业过度扩张，甚至经营失败。

（3）发展战略因主观原因频繁变动，可能导致资源浪费，甚至危及企业的生存和持续发展。

（二）运营风险

1.含义

由于内外部环境的复杂性和变动性以及主体对环境的认知能力和适应能力的有限性，而导致的运营失败或使运营活动达不到预期的目标的可能性及损失。

2.表现形式（运营风险所要考虑的主要方面）

（1）产品结构、新产品研发方面可能引发的风险；

（2）新市场开发，市场营销策略（包括产品或服务定价与销售渠道，市场营销环境状况等）方面可能引发的风险；

（3）质量、安全、环保、信息安全等管理发生失误导致的风险；

（4）组织效能、管理现状、企业文化，高、中层管理人员和重要业务流程中专业人员的知识结构、专业经验等方面可能引发的风险；

（5）因企业内、外部人员的道德风险或业务控制系统失灵导致的风险；

（6）现有业务流程和信息系统操作运行情况的监管、运行评价及持续改进能力方面引发的风险；

（7）期货等衍生产品业务中发生失误带来的风险；

（8）给企业造成损失的自然灾害等风险。

解题高手

命题角度：运营风险的案例分析。

这是极为重要的考点，通常出现在主观题中，且有一定难度。首先，需要精准理解运营风险的内涵——“与企业的管理能力、决策有关，属于能力有限或出现失误”。这是客观题中可能会应用的技巧，即没有明显的关键词作为提示，而是从本质出发进行判断。在主观题中，则需要结合关键词判断具体的运营风险类型：

3.内控角度

（1）《企业内部控制应用指引第1号——组织架构》：

①治理结构形同虚设，缺乏科学决策、良性运行机制和执行力，可能导致企业经营失败，难以实现发展战略。

②内部机构设计不科学，权责分配不合理，可能导致机构重叠、职能交叉或缺失、推诿扯皮，运行效率低下。

（2）《企业内部控制应用指引第3号——人力资源》：

①人力资源缺乏或过剩、结构不合理、开发机制不健全，可能导致企业发展战略难以实现。

②人力资源激励约束制度不合理、关键岗位人员管理不完善，可能导致人才流失、经营效率低下或关键技术、商业秘密和国家机密泄露。

③人力资源退出机制不当，可能导致法律诉讼或企业声誉受损。

（3）《企业内部控制应用指引第4号——社会责任》：

①安全生产措施不到位，责任不落实，可能导致企业发生安全事故。

②产品质量低劣，侵害消费者利益，可能导致企业巨额赔偿、形象受损，甚至破产。

③环境保护投入不足，资源耗费大，造成环境污染或资源枯竭，可能导致企业巨额赔偿、缺乏发展后劲，甚至停业。

④促进就业和员工权益保护不够，可能导致员工积极性受挫，影响企业发展和社会稳定。

（4）《企业内部控制应用指引第5号——企业文化》：

①缺乏积极向上的企业文化，可能导致员工丧失对企业的信心和认同感，企业缺乏凝聚力和竞争力。

②缺乏开拓创新、团队协作和风险意识，可能导致企业发展目标难以实现，影响可持续发展。

③缺乏诚实守信的经营理念，可能导致舞弊事件的发生，造成企业损失，影响企业信誉。

④忽视企业间的文化差异和理念冲突，可能导致并购重组失败。

（5）《企业内部控制应用指引第7号——采购业务》：

①采购计划安排不合理，市场变化趋势预测不准确，造成库存短缺或积压，可能导致企业生产停滞或资源浪费。

②供应商选择不当，采购方式不合理，招投标或定价机制不科学，授权审批不规范，可能导致采购物资质次价高，出现舞弊或遭受欺诈。

③采购验收不规范，付款审核不严，可能导致采购物资、资金损失或信用受损。

（6）《企业内部控制应用指引第8号——资产管理》：

①存货积压或短缺，可能导致流动资金占用过量、存货价值贬损或生产中断。

②固定资产更新改造不够、使用效能低下、维护不当、产能过剩，可能导致企业缺乏竞争力、资产价值贬损、安全事故频发或资源浪费。

③无形资产缺乏核心技术、权属不清、技术落后、存在重大技术安全隐患，可能导致企业法律纠纷、缺乏可持续发展能力。

（7）《企业内部控制应用指引第9号——销售业务》：

①销售政策和策略不当，市场预测不准确，销售渠道管理不当等，可能导致销售不畅、库存积压、经营难以为继。

②客户信用管理不到位，结算方式选择不当，账款回收不力等，可能导致销售款项不能收回或遭受欺诈。

③销售过程存在舞弊行为，可能导致企业利益受损。

（8）《企业内部控制应用指引第10号——研究与开发》：

①研究项目未经科学论证或论证不充分，可能导致创新不足或资源浪费。

②研发人员配备不合理或研发过程管理不善，可能导致研发成本过高、舞弊或研发失败。

③研究成果转化应用不足、保护措施不力，可能导致利益受损。

（9）《企业内部控制应用指引第11号——工程项目》：

①立项缺乏可行性研究或者可行性研究流于形式，决策不当，盲目上马，可能导致难以实现预期效益或项目失败。

②项目招标“暗箱”操作，存在商业贿赂，可能导致中标人实质上难以承担工程项目、中标价格失实及相关人员涉案。

③工程造价信息不对称，技术方案不落实，预算脱离实际，可能导致项目投资失控。

④工程物资质次价高，工程监理不到位，项目资金不落实，可能导致工程质量低劣，进度延迟或中断。

⑤竣工验收不规范，最终把关不严，可能导致工程交付使用后存在重大隐患。

（10）《企业内部控制应用指引第12号——担保业务》：

①对担保申请人的资信状况调查不深，审批不严或越权审批，可能导致企业担保决策失误或遭受欺诈。

②对被担保人出现财务困难或经营陷入困境等状况监控不力，应对措施不当，可能导致企业承担法律责任。

③担保过程中存在舞弊行为，可能导致经办审批等相关人员涉案或企业利益受损。

（11）《企业内部控制应用指引第13号——业务外包》：

①外包范围和价格确定不合理，承包方选择不当，可能导致企业遭受损失。

②业务外包监控不严、服务质量低劣，可能导致企业难以发挥业务外包的优势。

③业务外包存在商业贿赂等舞弊行为，可能导致企业相关人员涉案。

（12）《企业内部控制应用指引第16号——合同管理》：

①未订立合同、未经授权对外订立合同、合同对方主体资格未达要求、合同内容存在重大疏漏和欺诈，可能导致企业合法权益受到侵害。

②合同未全面履行或监控不当，可能导致企业诉讼失败、经济利益受损。

③合同纠纷处理不当，可能损害企业利益、信誉和形象。

（13）《企业内部控制应用指引第17号——内部信息传递》：

①内部报告系统缺失、功能不健全、内容不完整，可能影响生产经营有序运行。

②内部信息传递不通畅、不及时，可能导致决策失误、相关政策措施难以落实。

③内部信息传递中泄露商业秘密，可能削弱企业核心竞争力。

（14）《企业内部控制应用指引第18号——信息系统》：

①信息系统缺乏或规划不合理，可能造成信息孤岛或重复建设，导致企业经营管理效率低下。

②系统开发不符合内部控制要求，授权管理不当，可能导致无法利用信息技术实施有效控制。

③系统运行维护和安全措施不到位，可能导致信息泄露或毁损，系统无法正常运行。

（三）财务风险

1.含义

由于内外部环境的各种难以预料或无法控制的不确定性因素的作用，使企业在一定时期内所获取的财务收益与预期收益发生偏差的可能性。

2.表现形式（财务风险所要考虑的主要方面）

①企业负债、负债率、偿债能力方面可能引发的风险；

②现金流、应收账款及其占销售收入的比重、资金周转率方面可能引发的风险；

③产品存货及其占销售成本的比重、应付账款及其占购货额的比重方面可能引发的风险；

④制造成本和管理费用、财务费用、营业费用方面可能引发的风险；

⑤盈利能力方面可能引发的风险；

⑥成本核算、资金结算和现金管理业务中曾发生或易发生错误的业务流程或环节可能引发的风险；

⑦与企业相关的产业会计政策、会计估算，与国际会计制度的差异与调节（如退休金、递延税项等）等信息方面可能引发的风险。

3.内控角度

（1）《企业内部控制应用指引第15号——全面预算》：

①不编制预算或预算不健全，可能导致企业经营缺乏约束或盲目经营。

②预算目标不合理、编制不科学，可能导致企业资源浪费或发展战略难以实现。

③预算缺乏刚性、执行不力、考核不严，可能导致预算管理流于形式。

（2）《企业内部控制应用指引第6号——资金活动》：

①筹资决策不当，引发资本结构不合理或无效融资，可能导致企业筹资成本过高或债务危机。

②投资决策失误，引发盲目扩张或丧失发展机遇，可能导致资金链断裂或资金使用效益低下。

③资金调度不合理、营运不畅，可能导致企业陷入财务困境或资金冗余。

④资金活动管控不严，可能导致资金被挪用、侵占、抽逃或企业遭受欺诈。

（3）《企业内部控制应用指引第14号——财务报告》：

①编制财务报告违反会计法律法规和国家统一的会计准则制度，可能导致企业承担法律责任和声誉受损。

②提供虚假财务报告，误导财务报告使用者，造成决策失误，干扰市场秩序。

③不能有效利用财务报告，难以及时发现企业经营管理中存在的问题，可能导致企业财务和经营风险失控。

解题高手

命题角度：内控指引的案例分析与背诵默写。

这是主观题的高频考点，也是全书的记忆难点。建议同学们根据不同的记忆规律记忆这18项指引，且只要求记住关键词，无需过分纠结细节。下面为大家总结18项内控指引的记忆规律：

第三节 风险管理基本流程

一、收集风险管理初始信息（★★）

风险管理基本流程的第一步，要广泛地、持续不断地收集与本企业风险和风险管理相关的内、外部初始信息，包括历史数据和未来预测。应把收集初始信息的职责分工落实到各有关职能部门和业务单位。

收集初始信息要根据所分析的风险类型具体展开。例如：

（1）分析战略风险。

①国内外宏观经济政策以及经济运行情况、企业所在产业的状况、国家产业政策；

②科技进步、技术创新的有关内容；

③市场对该企业产品或服务的需求；

④与企业战略合作伙伴的关系，未来寻求战略合作伙伴的可能性；

⑤该企业主要客户、供应商及竞争对手的有关情况；

⑥与主要竞争对手相比，该企业实力与差距；

⑦本企业发展战略和规划、投融资计划、年度经营目标、经营战略，以及编制这些战略、规划、计划、目标的有关依据；

⑧企业对外投融资流程中曾发生或易发生错误的业务流程或环节。

（2）分析财务风险。

①负债、负债率、偿债能力；

②现金流、应收账款及其占销售收入的比重、资金周转率；

③产品存货及其占销售成本的比重、应付账款及其占购货额的比重；

④制造成本和管理费用、财务费用、营业费用；

⑤盈利能力；

⑥成本核算、资金结算和现金管理业务中曾发生或易发生错误的业务流程或环节；

⑦与本企业相关的产业会计政策、会计估算、与国际会计制度的差异与调节（如退休金、递延税项等）等信息。

（3）分析市场风险。

同“市场风险”的5条内容，需格外注意市场风险的第⑤条表述与战略风险第⑤条表述的区别。

（4）分析运营风险。

同“运营风险”的8条内容+分析风险管理的现状和能力。

（5）分析法律风险。

①国内外与该企业相关的政治、法律环境；

②影响企业的新法律法规和政策；

③员工的道德遵守；

④企业签订的重大协议和有关贸易合同；

⑤企业发生重大法律纠纷案件的情况；

⑥企业和竞争对手的知识产权情况。

二、进行风险评估（★）

风险评估包括风险辨识、风险分析和风险评价三个步骤。

进行风险辨识、分析、评价，应将定性与定量方法相结合。其中：进行风险定量评估时，应统一制定各风险的度量单位和风险度量模型，并通过测试等方法，确保评估系统的假设前提、参数、数据来源和定量评估程序的合理性和准确性。

企业应对风险管理信息实行动态管理，定期或不定期实施风险辨识、分析和评价，以便对新的风险和原有风险的变化重新评估。

原理详解

何为风险辨识、风险分析、风险评价？

第一步：风险辨识（识别）。

风险是是什么

风险识别不是想当然地去臆测，而需要科学的方法去甄别，如头脑风暴法、德尔菲法（本章第四节介绍）等。风险识别的输出往往是风险清单，如下表所示：

第二步：风险分析。

风险可能性大小和后果大小

风险分析的核心是评估风险的可能性和后果，具体步骤包括分析风险特征、分析现有控制措施、估计后果的大小、估计可能性的大小、确定风险的等级等等。而风险分析的输出可以是风险管理矩阵（又称风险评估系图）。

第三步：风险评价。

风险是否能被企业容忍

风险评价是企业用以确定风险及其大小是否可以接受或容忍的过程，从而为风险应对（风险管理策略）的决策提供输入。常见的风险评价结果就是确定风险热力图。

Ⅰ上风险带：无论目标活动能带来什么利益，其风险等级都是无法容忍的，因此，必须进行风险应对。

Ⅱ中风险带：要考虑实施风险应对的成本与收益，并权衡机遇与损失对目标的影响。

Ⅲ下风险带：这个区域的风险都是风险值很小的风险，一般无须采取额外的风险应对措施，保持对现状的监测即可，但要注意极端情况。

三、制定风险管理策略（风险应对）（★）

风险管理策略是指企业根据自身条件和外部环境，围绕企业发展战略，确定风险偏好、风险承受度、风险管理有效性标准，选择风险承担、风险规避、风险转移、风险转换、风险对冲、风险补偿、风险控制等适合的风险管理工具，并确定风险管理所需人力和财力资源的配置原则的总体策略。

四、提出和实施风险管理解决方案（★）

（一）风险管理解决方案的两种类型

1.外部解决方案

外部解决方案一般指外包（给投资银行、律师事务所、会计师事务所等）。企业制定风险管理解决的外包方案，应注重成本与收益的平衡、外包工作的质量、自身商业秘密的保护以及防止自身对风险解决外包产生依赖性风险等，并制定相应的预防和控制措施。

2.内部解决方案

内部解决方案是后面要阐述的风险管理体系的运转，包括：风险管理策略、组织职能、内部控制、信息系统、风险理财措施。

提示：内部控制针对的风险是可控纯粹风险，其控制对象是企业中的个人，其控制目的是规范员工的行为，其控制范围是企业的业务和管理流程。

（二）关键风险指标管理

关键风险指标管理是对引起风险事件发生的关键成因指标进行管理的方法。

1.关键风险指标管理的步骤（略）

2.关键风险指标分解

企业目标的实现要靠企业的各个职能部门和业务单位共同的努力。同样，企业的关键风险指标也要分解到企业的各个职能部门和业务单位。

但是：

（1）对于关键风险指标的分解要注意职能部门和业务单位之间的协调。举例：信用管理部门负责信用风险的管理，如果其强调最小化信用风险，紧缩信用，则会给负责扩大市场占有率和销量的市场和销售部门造成伤害，从而影响公司整体目标的实现。

（2）对于关键风险指标的分解，要兼顾各职能部门和业务单位的诉求。一个可行的方法是在企业的总体领导和整体战略的指导下进行部门和业务单位间的协调。

（三）落实风险管理解决方案

（1）高度重视风险管理，充分认识风险管理是企业时刻不可放松的工作，是企业价值创造的根本源泉。

（2）风险管理是企业全员的分内工作，没有风险的岗位是不创造价值的岗位，没有理由存在。

（3）将风险管理方案落实到各级各类组织，明确分工和责任。

（4）对风险管理解决方案的实施进行持续监控改进，并把实施情况与绩效考核联系起来，以确保工作的效果。

五、风险管理监督与改进（★★）

1.监督与改进的对象

企业应以重大风险、重大事件和重大决策、重要管理及业务流程为重点，对风险管理初始信息、风险评估、风险管理策略、关键控制活动及风险管理解决方案的实施情况进行监督。

2.监督与改进的方法

采用压力测试、返回测试、穿行测试以及风险控制自我评估等方法对风险管理的有效性进行检验，根据变化情况和存在的缺陷及时加以改进。

3.监督与改进的主体（风险管理组织的相关职责）

第四节 风险管理体系

企业风险管理体系包括五大系统：（1）风险管理策略；（2）风险理财措施；（3）风险管理的组织职能体系；（4）风险管理信息系统；（5）内部控制系统。

一、风险管理策略（★★）

（一）总体定位与作用

1.含义

风险管理策略，指企业根据自身条件和外部环境，围绕企业发展战略，确定风险偏好、风险承受度、风险管理有效性标准，选择风险承担、风险规避、风险转移、风险转换、风险对冲、风险补偿、风险控制等适合的风险管理工具，并确定风险管理所需人力和财力资源的配置原则的总体策略。

2.总体定位

（1）风险管理策略是根据企业经营战略制定的全面风险管理的总体策略。

（2）风险管理策略在整个风险管理体系中起着统领全局的作用。

（3）风险管理策略在企业战略管理的过程中起着承上启下的作用，制定与企业战略保持一致的风险管理策略减少了企业战略失误的可能性。

3.作用

（1）为企业的总体战略服务，保证企业经营目标的实现；

（2）连接企业的整体经营战略和运营活动；

（3）指导企业的一切风险管理活动；

（4）分解为各领域的风险管理指导方针。

（二）风险管理策略的组成部分

（1）定范围：风险偏好和风险承受度——明确公司要承担什么风险、承担多少。

（2）定标准：全面风险管理的有效性标准——明确怎样衡量我们的风险管理工作成效。

（3）选工具：风险管理的工具选择——明确怎样管理重大风险。

（4）配资源：全面风险管理的资源配置——明确如何安排人力、财力、物资、外部资源等风险管理资源。

（三）定范围：确定风险偏好和风险承受度

1.确定风险偏好

确定企业整体风险偏好要考虑以下因素：

（1）风险个体：对每一个风险都可以确定风险偏好和风险承受度。

（2）相互关系：既要考虑同一个风险在各个业务单位或子公司之间的分配，又要考虑不同风险之间的关系。

（3）整体情况：一个企业的整体风险偏好和风险承受度是基于针对每一个风险的风险偏好和风险承受度。

（4）行业因素：同一风险在不同行业风险偏好不同。

注意：

①一般来讲，风险偏好和风险承受度是针对公司的重大风险制定的，是企业的重大决策，应由董事会决定；

②企业的风险偏好依赖于企业风险评估的结果，由于企业的风险不断变化，企业需要持续进行风险评估，并调整自己的风险偏好。

2.确定风险承受度（风险度量）

风险承受度的表述需要对所针对的风险进行量化描述，风险偏好可以只定性，但风险承受度一定要定量，即风险度量。

企业应该采取统一制定的风险度量模型，对所采取的风险度量取得共识； 但不一定在整个企业使用唯一的风险度量方法，应对不同的风险采取不同的度量方法。

（1）统计方法

（2）直观方法：

①专家意见法：不依赖于概率统计结果的度量，而是依赖人们直观的判断。

②层次分析法：当统计数据不足或需要度量结果包括人们的偏好时，可使用的直观方法。很多情况下，统计和直观的方法会综合使用。如，首先使用专家意见法来缩小范围，取得初始数据，然后再使用统计的度量方法。

原理详解

帮你理解层次分析法（AHP）

根据问题的性质和要达到的总目标（如：选择旅游目的地），将问题分解为不同的组成因素（如：景色、费用、住宿、饮食、交通工具），并按照因素间的相互关联影响以及隶属关系，将因素按照不同层次聚集组合，形成一个多层次的分析结构模型，从而使问题归结为最低层供决策的方案、措施等相对于最高层总目标的相对优劣次序的排定。

（四）定标准：风险管理的有效性标准

风险管理的有效性标准是指企业衡量企业风险管理是否有效的标准。风险管理有效性标准的作用是帮助企业了解：

（1）企业现在的风险是否在风险承受度范围之内，即风险是否优化；

（2）企业风险状况的变化是否是所要求的，即风险的变化是否优化。

量化的企业风险管理的有效性标准与企业风险承受度有相同的度量基础。

确立风险管理有效性标准的原则如下：

（1）风险管理的有效性标准要针对企业的重大风险，能够反映企业重大风险管理的现状；

（2）风险管理有效性标准应当对照全面风险管理的总体目标，在所有五个方面保证企业的运营效果；

（3）风险管理有效性标准应当在企业的风险评估中应用，并根据风险的变化随时调整；

（4）风险管理有效性标准应当用于衡量全面风险管理体系的运行效果。

（五）选工具：风险管理策略的工具

风险管理策略的工具共有七种：风险承担、风险规避、风险转移、风险转换、风险对冲、风险补偿和风险控制。

1.风险承担

（1）含义：

风险承担亦称风险保留、风险自留，是指企业对所面临的风险采取接受的态度，从而承担风险带来的后果。

（2）适用情况（注意三个层次）：

①对未能辨识出的风险，企业只能采用风险承担。

②对于辨识出的风险，企业也可能由于以下几种原因采用风险承担：

a.缺乏能力进行主动管理，对这部分风险只能承担；

b.没有其他备选方案；

c.从成本效益考虑（前提），风险承担是最适宜的（如果没有这个前提就选择接受，则是不适当的）。

③对于企业的重大风险，即影响到企业目标实现的风险，企业一般不应采用风险承担。

2.风险规避

（1）含义：

风险规避是指企业回避、停止或退出蕴含某一风险的商业活动或商业环境，避免成为风险的所有人（可以彻底根除风险事件的发生，注意与“风险控制”进行辨析）。

（2）举例：

①退出某一市场以避免激烈竞争；

②拒绝与信用不好的交易对手进行交易；

③外包某项对工人健康安全风险较高的工作（存在争议）；

④停止生产可能有潜在客户安全隐患的产品；

⑤禁止各业务单位在金融市场进行投机；

⑥不准员工访问某些网站或下载某些内容。

3.风险转移

（1）含义：

风险转移是指企业通过合同将风险转移到第三方，企业对转移后的风险不再拥有所有权。

提示：转移风险不会降低其可能的严重程度，只是从一方移除后转移到另一方。

（2）举例：

①保险：保险合同规定保险公司为预定的损失支付补偿，作为交换，在合同开始时，投保人要向保险公司支付保险费。

②非保险型的风险转移：将风险可能导致的财务风险损失负担转移给非保险机构。例如，服务保证书等。

③风险证券化：将风险事件作为保险标的，通过构造和在资本市场上发行保险连接型证券，使保险市场上的风险得以分散。这种证券的利息支付和本金偿还取决于某个风险事件的发生或严重程度。

4.风险转换

（1）含义：

风险转换指企业通过战略调整等手段将企业面临的风险转换成另一个风险。风险转换的手段包括战略调整和使用衍生产品等。（卖冰淇淋→卖羽绒服，原来怕冬天，现在怕夏天）

提示：风险转换一般不会直接降低企业总的风险，其简单形式就是在减少某一风险的同时，增加另一风险。例如，通过放松交易客户信用标准，增加了应收账款，但扩大了销售（此时，回款的风险增大）。

（2）关键结论：

①企业可以通过风险转换在两个或多个风险之间进行调整，以达到最佳效果（如不断地进行战略调整）。

②风险转换可以在低成本或者无成本的情况下达到目的（否则转换无意义）。

5.风险对冲

（1）含义：

风险对冲是指采取各种手段，引入多个风险因素或承担多个风险，使得这些风险能够互相对冲，也就是使这些风险的影响互相抵销（既卖冰淇淋，又卖羽绒服，既不怕冬天，也不怕夏天）。

（2）举例：

①资产组合使用；

②多种外币结算的使用；

③战略上的多种经营（提示：这不属于风险转换，强调“多”，不强调“换”）；

④衍生产品套期保值；

⑤不同行业经济周期风险的自然对冲（多元化经营下，不同业务所处周期不同，可以起到风险对冲的作用）。

注意：风险对冲不是针对单一风险，而是涉及风险组合。对于单一风险，只能采用风险规避、风险控制等其他工具。

6.风险补偿

（1）含义：

风险补偿是指企业对风险可能造成的损失采取适当的措施进行（主动）补偿。

（2）类型：

风险补偿的形式有财务补偿、人力补偿、物资补偿等。其中，财务补偿是损失融资，包括企业自身的风险准备金或应急资本等。

应急资本是指为了应付可能发生的灾害性事件，公司与银行签订应急资本协议，规定在灾害发生时，由银行提供资本以保证公司的持续经营。

7.风险控制

（1）含义：

风险控制是指控制风险事件发生的动因、环境、条件等，来达到减轻风险事件发生时的损失或降低风险事件发生的概率的目的（不能完全杜绝风险事件的发生）。

（2）举例：

控制风险事件发生的概率，如室内使用不易燃地毯、山上禁止吸烟等，而控制风险事件发生后的损失，如修建水坝防洪、设立质量检查防止次品出厂等。

注意：风险控制对象一般是可控风险，包括多数运营风险，如质量、安全和环境风险以及法律风险中的合规性风险。

8.风险管理策略工具的应用指引

（1）一般情况下，对战略、财务、运营和法律风险，可采取风险承担、风险规避、风险转换、风险控制等方法；

（2）对能够通过保险、期货、对冲等金融手段进行理财的风险，可以采用风险转移、风险对冲、风险补偿等方法。

（六）配资源：风险管理的资源配置

（1）风险管理的资源包括人才、组织设置、政策、设备、物资、信息、经验、知识、技术、信息系统、资金等。既有内部资源，又有外部资源。

（2）企业应当统筹兼顾，将资源用于需要优先管理的重大风险。

（七）其他需要注意的问题

1.确定风险管理的优先顺序

企业应根据风险与收益相平衡的原则以及各风险在风险坐标图上的位置，进一步确定风险管理的优先顺序，明确风险管理成本的资金预算和控制风险的组织体系、人力资源、应对措施等总体安排。

一个很重要的原则是风险与收益相平衡的原则，在风险评估结果的基础上，全面考虑风险与收益。要特别重视对企业有影响的重大风险，要首先解决“颠覆性”风险问题，保证企业持续发展。

2.风险管理策略检查

企业应定期总结和分析已制定的风险管理策略的有效性和合理性，结合实际不断修订和完善。其中，应重点检查依据风险偏好、风险承受度和风险控制预警线实施的结果是否有效，并提出定性或定量的有效性标准。

企业经营战略回顾时应该同时总结和分析风险管理策略。要重新评估风险以便确认风险管理策略的有效性。必要时，调整有效性标准。

二、风险管理组织职能体系（★★★）

企业风险管理组织职能体系主要包括规范的公司法人治理结构、风险管理委员会、风险管理职能部门、审计委员会、企业其他职能部门及各业务单位。具备条件的企业可建立风险管理三道防线，即各有关职能部门和业务单位为第一道防线；风险管理职能部门和董事会下设的风险管理委员会为第二道防线；内部审计部门和董事会下设的审计委员会为第三道防线。

解题高手

命题角度：“谁对谁负责”。

大家需要通过此图的上下关系准确记忆以上几个机构之间的关系，即“谁对谁负责”。

特别提示：

（1）风险管理部对总经理或委托的高级管理人员负责（而非风管会）；

（2）内审部对审计委员会负责（而非高级管理层、董事会负责）。

（一）董事会

（1）审议并向股东（大）会提交企业全面风险管理年度工作报告；

（2）确定企业风险管理总体目标、风险偏好、风险承受度，批准风险管理策略和重大风险管理解决方案；

（3）了解和掌握企业面临的各项重大风险及其风险管理现状，做出有效控制风险的决策；

（4）批准重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制；

（5）批准重大决策的风险评估报告；

（6）批准内部审计部门提交的风险管理监督评价审计报告；

（7）批准风险管理组织机构设置及其职责方案；

（8）批准风险管理措施，纠正和处理任何组织或个人超越风险管理制度做出的风险性决定的行为；

（9）督导企业风险管理文化的培育；

（10）批准或决定全面风险管理的其他重大事项。

提示：董事会职责的关键词为“批准、决策、督导”。

（二）风险管理委员会

（1）（向董事会）提交全面风险管理年度报告；

（2）审议风险管理策略和重大风险管理解决方案；

（3）审议重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制，以及重大决策的风险评估报告；

（4）审议内部审计部门提交的风险管理监督评价审计综合报告；

（5）审议风险管理组织机构设置及其职责方案；

（6）办理董事会授权的有关全面风险管理的其他事项。

提示：风险管理委员会的关键词中仅有“审议”，没有“决策”。

（三）风险管理职能部门

（1）研究提出全面风险管理工作报告；

（2）研究提出跨职能部门的重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制；

（3）研究提出跨职能部门的重大决策风险评估报告；

（4）研究提出风险管理策略和跨职能部门的重大风险管理解决方案，并负责该方案的组织实施和对该风险的日常监控；

（5）负责对全面风险管理有效性的评估，研究提出全面风险管理的改进方案；

（6）负责组织建立风险管理信息系统；

（7）负责组织协调全面风险管理日常工作；

（8）负责指导、监督有关职能部门、各业务单位以及全资、控股子企业开展全面风险管理工作；

（9）办理风险管理的其他有关工作。

提示：风险管理职能部门的关键词中，“研究”=起草文件，“负责”=落地执行。

（四）审计委员会

1.审计委员会履行职责的方式

（1）三次会议：审计委员会每年至少举行三次会议，并于审计周期的主要日期举行。

（2）一次会面：审计委员会应每年至少与外聘及内部审计师会面一次，讨论与审计相关的事宜，但管理层无须出席。

（3）争议解决：审计委员会成员之间的不同意见如无法内部调解，应提请董事会解决。

（4）年度复核：审计委员会应每年对其权限及其有效性进行复核，并就必要的人员变更向董事会报告。

提示：管理层对审计委员会有告知义务，并应主动提供信息，而不应等待审计委员会索要。

2.审计委员会与合规

（1）核查报告：审计委员会的主要活动之一是核查对外报告规定的遵守情况。审计委员会一般有责任确保企业履行对外报告合规的义务。

（2）关键复核：审计委员会应结合企业财务报表的编制情况，对重大的财务报告事项和判断进行复核。

（3）异议上诉：如果对拟采用的财务报告的任何方面不满意，审计委员会应告知董事会。

（4）附注复核：审计委员会还应对财务报表后所附的与财务有关的信息（如运营和财务复核信息及公司治理部分关于审计和风险管理的陈述）进行复核。

3.审计委员会与内部审计

（1）审计委员会的义务是确保充分且有效的内部控制，监督内部审计部门的工作（充当的角色和发挥的作用）；

（2）应核查内部审计的有效性，并决定对内部审计主管的任命和解聘，还应确保内部审计部门能直接与董事会主席接触，并负有向审计委员会说明的责任；

（3）审计委员会复核及评估年度内部审计工作计划；

（4）审计委员会收到关于内部审计部门工作的定期报告，复核和监察管理层对内部审计的调查结果的反应；

（5）审计委员会还应确保内部审计部门提出的建议已执行；

（6）审计委员会有助于保持内部审计部门的独立性；

（7）审计委员会及内部审计师需要确保内部审计部门正在有效运作，它将在四个主要方面对内部审计进行复核，即组织中的地位、职能范围、技术才能和专业应尽义务。

提示：复核的四个方面中没有“职责划分”。

（五）企业其他职能部门及各业务单位

（1）执行风险管理基本流程；

（2）研究提出本职能部门或业务单位重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制；

（3）研究提出本职能部门或业务单位的重大决策风险评估报告；

（4）做好本职能部门或业务单位建立风险管理信息系统的工作；

（5）做好培育风险管理文化的有关工作；（董事会负责督导）

（6）建立健全本职能部门或业务单位的风险管理内部控制子系统；

（7）办理风险管理其他有关工作。

（六）下属公司

企业应通过法定程序，指导和监督其全资、控股子企业建立与企业相适应或符合全资、控股子企业自身特点、能有效发挥作用的风险管理组织体系。

三、内部控制系统（★★★）

内部控制系统，指围绕风险管理策略目标，针对企业战略、规划、产品研发、投融资、市场运营、财务、内部审计、法律事务、人力资源、采购、加工制造、销售、物流、质量、安全生产、环境保护等各项业务管理及其重要业务流程，通过执行风险管理基本流程，制定并执行的规章制度、程序和措施。

（一）COSO委员会关于内部控制的定义与框架

1.COSO委员会对内部控制的定义

公司的董事会、管理层及其他人士为实现以下目标提供合理保证而实施的程序：运营的效益和效率，财务报告的可靠性和遵守适用的法律法规。

COSO委员会的上述定义为内部控制的基本概念提供了一些深入见解，并特别指出：

（1）内部控制是一个实现目标的程序及方法，而其本身并非目标；

（2）内部控制只提供合理保证，而非绝对保证；

（3）内部控制要由企业中各级人员实施与配合。

2.COSO《内部控制——整合框架》

（1）三大目标：

①取得经营的效率和有效性；

②确保财务报告的可靠性；

③遵循适用的法律法规。

（2）五大要素：

①控制环境

包括员工的正直、道德价值观和能力，管理当局的理念和经营风格，管理当局确立权威性和责任、组织和开发员工的方法等；

②风险评估

为了达成组织目标而对相关的风险所进行的辨别与分析；

③控制活动

为了确保实现管理当局的目标而采取的政策和程序，包括审批、授权、验证、确认、经营业绩的复核、资产的安全性等；

④信息与沟通

为了保证员工履行职责而必须识别、获取的信息及相关沟通；

⑤监控

对内部控制实施质量的评价，主要包括经营过程中的持续监控，即日常管理和监督、员工履行职责的行动等。

（二）我国内部控制规范体系

1.《企业内部控制基本规范》（以下简称《基本规范》）

（1）《基本规范》规定内部控制的目标、要素、原则和总体要求，是内部控制的总体框架，在内部控制标准体系中起统领作用。

（2）《基本规范》三大目标：

①合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整；

②提高经营效率和效果；

③促进企业实现发展战略。

（3）《基本规范》五大要素：

①内部环境（COSO：控制环境）；

②风险评估；

③控制活动；

④信息与沟通；

⑤内部监督（COSO：监控）。

提示：对于两个说法不统一的要素，在我国体系下，均有“内部”二字。

2.《企业内部控制应用指引》（以下简称《应用指引》）

（1）《应用指引》是对企业按照内部控制原则和内部控制“五要素”建立健全本企业内部控制所提供的指引，在配套指引乃至整个内部控制规范体系中占据主体地位。

（2）《应用指引》针对组织结构、发展战略、人力资源、社会责任、企业文化、资金活动、采购业务、资产管理、销售业务、研究与开发、工程项目、担保业务、业务外包、财务报告、全面预算、合同管理、内部信息传递、信息系统共18项企业主要业务的内控领域或内控手段，提出了建议性的应用指引，为企业以及外部审核人建立与评价内控体系提供了参照性标准。

3.《企业内部控制评价指引》和《企业内部控制审计指引》

（1）《企业内部控制评价指引》和《企业内部控制审计指引》（以下简称《评价指引》和《审计指引》）是对企业按照内部控制原则和内部控制“五要素”建立健全本企业“事后控制”的指引，是对企业贯彻《基本规范》和《应用指引》效果的评价与检验。

（2）《评价指引》为企业对内部控制的有效性进行全面评价，形成评价结论、出具评价报告提供了指引。

（3）《审计指引》为会计师事务所对特定基准日与财务报告相关内部控制设计与执行有效性进行审计提供了指引。

（三）内部控制的要素

提示：教材中分别介绍了COSO《内部控制框架》和我国《企业内部控制基本规范》对于内部控制要素的解释。但在实际考试中，只会考查我国《基本规范》的要求，故不再介绍COSO的要求。

1.内部环境

关键词：职责分工、治理结构（董事会、监事会、经理层、审计委员会、内部机构、内部审计机构）、人力资源政策、员工培养、文化建设、法制建设。

（1）企业应当根据国家有关法律法规和企业章程，建立规范的公司治理结构和议事规则，明确决策、执行、监督等方面的职责权限，形成科学有效的职责分工和制衡机制。

（2）董事会负责内部控制的建立健全和有效实施。监事会对董事会建立与实施内部控制进行监督。经理层负责组织领导企业内部控制的日常运行。企业应当成立专门机构或者指定适当的机构具体负责组织协调内部控制的建立实施及日常工作。

（3）企业应当在董事会下设立审计委员会。审计委员会负责审查企业内部控制，监督内部控制的有效实施和内部控制自我评价情况，协调内部控制审计及其他相关事宜等。审计委员会负责人应当具有相应的独立性、良好的职业操守和专业胜任能力。

（4）企业应当结合业务特点和内部控制要求设置内部机构，明确职责权限，将权利与责任落实到各责任单位。企业应当通过编制内部管理手册，使全体员工掌握内部机构设置、岗位职责、业务流程等情况，明确权责分配，正确行使职权。

（5）企业应当加强内部审计工作，保证内部审计机构设置、人员配备和工作的独立性。内部审计机构应当结合内部审计监督，对内部控制的有效性进行监督检查。内部审计机构对监督检查中发现的内部控制缺陷，应当按照企业内部审计工作程序进行报告；对监督检查中发现的内部控制重大缺陷，有权直接向董事会及其审计委员会、监事会报告。

（6）企业应当制定和实施有利于企业可持续发展的人力资源政策。人力资源政策应当包括下列内容：员工的聘用、培训、辞退与辞职；员工的薪酬、考核、晋升与奖惩；关键岗位员工的强制休假制度和定期岗位轮换制度；掌握国家秘密或重要商业秘密的员工离岗的限制性规定；有关人力资源管理的其他政策。

（7）企业应当将职业道德修养和专业胜任能力作为选拔和聘用员工的重要标准，切实加强员工培训和继续教育，不断提升员工素质。

（8）企业应当加强文化建设，培育积极向上的价值观和社会责任感，倡导诚实守信、爱岗敬业、开拓创新和团队协作精神，树立现代管理理念，强化风险意识。董事、监事、经理及其他高级管理人员应当在企业文化建设中发挥主导作用。企业员工应当遵守员工行为守则，认真履行岗位职责。

（9）企业应当加强法制教育，增强董事、监事、经理及其他高级管理人员和员工的法制观念，严格依法决策、依法办事、依法监督，建立健全法律顾问制度和重大法律纠纷案件备案制度。

2.风险评估

关键词：信息收集、风险识别、风险分析、风险应对。

（1）企业应当根据设定的控制目标，全面系统持续地收集相关信息，结合实际情况，及时进行风险评估。

（2）企业开展风险评估，应当准确识别与实现控制目标相关的内部风险和外部风险，确定相应的风险承受度。风险承受度是企业能够承担的风险限度，包括整体风险承受能力和业务层面的可接受风险水平。

（3）企业识别内部风险，应当关注下列因素：（略）。

（4）企业识别外部风险，应当关注下列因素：（略）。

（5）企业应当采用定性与定量相结合的方法，按照风险发生的可能性及其影响程度等，对识别的风险进行分析和排序，确定关注重点和优先控制的风险。企业进行风险分析，应当充分吸收专业人员，组成风险分析团队，严格按照规范的程序开展工作，确保风险分析结果的准确性。

（6）企业应当根据风险分析的结果，结合风险承受度，权衡风险与收益，确定风险应对策略。企业应当合理分析、准确掌握董事、经理及其他高级管理人员、关键岗位员工的风险偏好，采取适当的控制措施，避免因个人风险偏好给企业经营带来重大损失。

（7）企业应当综合运用风险规避、风险降低、风险分担和风险承受等风险应对策略，实现对风险的有效控制。

（8）企业应当结合不同发展阶段和业务拓展情况，持续收集与风险变化相关的信息，进行风险识别和风险分析，及时调整风险应对策略。

3.控制活动（重要）

关键词：不相容职务分离控制、授权审批控制、会计系统控制（包括设置会计机构、配备会计从业人员）、财产保护控制、预算控制、运营分析控制、绩效考评控制、重大风险预警机制和突发事件应急处理机制。

（1）企业应当结合风险评估结果，通过手工控制与自动控制、预防性控制与发现性控制相结合的方法，运用相应的控制措施，将风险控制在可承受度之内。控制措施一般包括：不相容职务分离控制、授权审批控制、会计系统控制、财产保护控制、预算控制、运营分析控制和绩效考评控制等。

（2）不相容职务分离控制要求企业全面系统地分析、梳理业务流程中所涉及的不相容职务，实施相应的分离措施，形成各司其职、各负其责、相互制约的工作机制。（重要）

（3）授权审批控制要求企业根据常规授权和特別授权的规定，明确各岗位办理业务和事项的权限范围、审批程序和相应责任。企业应当编制常规授权的权限指引，规范特别授权的范围、权限、程序和责任，严格控制特别授权。企业对于重大的业务和事项，应当实行集体决策审批或者联签制度，任何个人不得单独进行决策或者擅自改变集体决策。（重要）

（4）会计系统控制要求企业严格执行国家统一的会计准则制度，加强会计基础工作，明确会计凭证、会计账簿和财务会计报告的处理程序，保证会计资料真实完整。企业应当依法设置会计机构配备会计从业人员；从事会计工作的人员，必须取得会计从业资格证书；会计机构负责人应当具备会计师以上专业技术职务资格。大中型企业应当设置总会计师，设置总会计师的企业，不得设置与其职权重叠的副职。

（5）财产保护控制要求企业建立财产日常管理制度和定期清查制度，采取财产记录、实物保管、定期盘点、账实核对等措施，确保财产安全。企业应当严格限制未经授权的人员接触和处置财产。（重要）

（6）预算控制要求企业实施全面预算管理制度，明确各责任单位在预算管理中的职责权限，规范预算的编制、审定、下达和执行程序，强化预算约束。

（7）运营分析控制要求企业建立运营情况分析制度，经理层应当综合运用生产、购销、投资、筹资、财务等方面的信息，通过因素分析、对比分析、趋势分析等方法，定期开展运营情况分析，发现存在的问题，及时查明原因并加以改进。

（8）绩效考评控制要求企业建立和实施绩效考评制度，科学设置考核指标体系，对企业内部各责任单位和全体员工的业绩进行定期考核和客观评价，将考评结果作为确定员工薪酬，以及职务晋升、评优、降级、调岗、辞退等的依据。

（9）企业应当根据内部控制目标，结合风险应对策略，综合运用控制措施，对各种业务和事项实施有效控制。

（10）企业应当建立重大风险预警机制和突发事件应急处理机制，明确风险预警标准，对可能发生的重大风险或突发事件，制定应急预案、明确责任人员、规范处置程序，确保突发事件得到及时妥善处理。（重要）

4.信息与沟通

关键词：（内外部）信息、沟通、信息技术、反舞弊机制、举报投诉制度和举报人保护制度。

（1）企业应当建立信息与沟通制度，明确内部控制相关信息的收集、处理和传递程序，确保信息及时沟通，促进内部控制有效运行。

（2）企业应当对收集的各种内部信息和外部信息进行合理筛选、核对、整合，提高信息的有用性。

（3）企业应当将内部控制相关信息在企业内部各管理级次、责任单位、业务环节之间，以及企业与外部投资者、债权人、客户、供应商、中介机构和监管部门等有关方面之间进行沟通和反馈。信息沟通过程中发现的问题，应当及时报告并加以解决。重要信息应当及时传递给董事会、监事会和经理层。

（4）企业应当利用信息技术促进信息的集成与共享，充分发挥信息技术在信息与沟通中的作用。企业应当加强对信息系统开发与维护、访问与变更、数据输入与输出、文件储存与保管、网络安全等方面的控制，保证信息系统安全稳定运行。

（5）企业应当建立反舞弊机制，坚持惩防并举、重在预防的原则，明确反舞弊工作的重点领域、关键环节和有关机构在反舞弊工作中的职责权限，规范舞弊案件的举报、调查、处理、报告和补救程序。企业至少应当将下列情形作为反舞弊工作的重点：未经授权或者采取其他不法方式侵占、挪用企业资产，牟取不当利益；在财务会计报告和信息披露等方面存在的虚假记载、误导性陈述或者重大遗漏等；董事、监事、经理及其他高级管理人员滥用职权；相关机构或人员串通舞弊。

（6）企业应当建立举报投诉制度和举报人保护制度，设置举报专线，明确举报投诉处理程序、办理时限和办结要求，确保举报、投诉成为企业有效掌握信息的重要途径。举报投诉制度和举报人保护制度应当及时传达至全体员工。

5.内部监督

关键词：监督制度、内控缺陷认定标准、内控自我评价报告、记录或资料保存（可验证性）。

（1）企业应当根据本规范及其配套办法，制定内部控制监督制度，明确内部审计机构（或经授权的其他监督机构）和其他内部机构在内部监督中的职责权限，规范内部监督的程序、方法和要求。内部监督分为日常监督和专项监督。

（2）企业应当制定内部控制缺陷认定标准，对监督过程中发现的内部控制缺陷，应当分析缺陷的性质和产生的原因，提出整改方案，采取适当的形式及时向董事会、监事会或者经理层报告。内部控制缺陷包括设计缺陷和运行缺陷。企业应当跟踪内部控制缺陷整改情况，并就内部监督中发现的重大缺陷，追究相关责任单位或者责任人的责任。

（3）企业应当结合内部监督情况，定期对内部控制的有效性进行自我评价，出具内部控制自我评价报告。内部控制自我评价的方式、范围、程序和频率，由企业根据经营业务调整、经营环境变化、业务发展状况、实际风险水平等自行确定。国家有关法律法规另有规定的，从其规定。

（4）企业应当以书面或者其他适当的形式，妥善保存内部控制建立与实施过程中的相关记录或者资料，确保内部控制建立与实施过程的可验证性。

四、风险理财措施（★★★）

（一）风险理财的基本概念

1.风险理财的一般概念

风险理财是用金融手段管理风险。例如：

（1）公司为了转移自然灾害可能造成的损失而购买巨灾保险；（转移）

（2）公司在对外贸易中产生了大量的外币远期支付或应收账款，为了对冲可能利率变化造成的损失，公司使用了外币套期保值，以降低汇率波动的风险；（对冲）

（3）公司为了应对原材料价格的波动风险，在金属市场上运用期货进行套期保值；（对冲）

（4）公司为了应对可能的突发事件造成的资本需求，与银行签订了应急资本合同。（补偿）

精准答疑

问题：风险理财与风险管理策略有何关系？上述举例是不同的风险管理策略吗？

解答：首先要区分两个概念：

第一，风险管理策略工具。指的是风险承担、风险规避、风险转移、风险转换、风险对冲、风险补偿、风险控制，共有7个。更通俗地理解是，这是7种不同的管理策略类型。

第二，金融手段（后文将详细介绍）。典型的包括购买保险、签订应急资本合约、买入外币期货等等。风险理财指的是利用上述的金融手段（如购买保险）管理风险的行为，而这种行为可以对应某一种风险管理策略类型，即所谓的“工具”。例如，购买保险的风险理财行为属于“风险转移”策略，而买入外币期货的行为属于“风险对冲”策略。

2.风险理财的必要性

（1）风险理财是全面风险管理的重要组成部分；

（2）风险理财既适用于可控风险，也可以针对不可控风险。

提示：风险控制仅适用于可控风险。

3.风险理财的特点

（1）风险理财的手段既不改变风险事件发生的可能性，也不改变风险事件可能引起的直接损失（注意：是直接损失，而非通过理财弥补后的损失）程度。

提示：风险控制可以改变“可能性”或降低“损失”。

（2）风险理财需要判断风险的定价，因此量化的标准较高，即不仅需要风险事件的可能性和损失的分布，更需要量化风险本身的价值。

（3）风险理财的应用范围一般不包括声誉等难以衡量其价值的风险，也难以消除战略失误造成的损失。

（4）风险理财手段技术强，许多风险理财工具本身有着比较复杂的风险特性，使用不当容易造成重大损失。

4.风险理财与公司理财

风险理财过去被认为是公司财务管理的一部分，现在则认为其在很多情况下超出了公司财务管理的范畴。具体表现在：

（1）风险理财注重风险因素对现金流的影响；

（2）风险理财影响公司资本结构，注意以最低成本获得现金流；

（3）风险理财成为公司战略的有机部分，其风险经营的结果直接影响公司整体价值的提升。

5.风险理财的分类

（二）传统风险理财/损失事件管理

传统风险管理/损失事件管理是指对可能给企业造成重大损失的风险事件的事前、事后管理的方法。损失的内容包括企业的资金、声誉、技术、品牌、人才等。

提示：教材主要关注对于损失资金的理财措施，即损失融资（传统风险理财），是指为风险事件造成的财物损失融资，是从风险理财的角度进行损失事件的管理，是损失事件管理中最有共性，也是最重要的部分。

1.风险资本

风险资本是除经营资本之外，公司补偿风险造成的财务损失而需要的资本，是使一家公司破产的概率低于某一给定水平所需的资金，因此取决于公司的风险偏好。

原理详解

同学们需要准确理解上述定义中所指的“经营所需的资本”，具体包括两个部分：其一是正常经营所需的资本，其二是补偿预期损失所需要的资本（即运营资本）。因此，风险资本所补偿的“风险造成的财务损失”指的是非预期损失的部分。 例如，一家公司每年最低运营资本是5亿元（注意：此处的最低运营成本是指经营所需的资本），但是有5%（破产概率）的可能性需要7.5亿元维持运营，有1%（破产概率）的可能性需要10亿元才能维持运营。换句话说，如果风险资本为2.5亿元，那么这家公司的生存概率就是95%（而非100%），而5亿元的风险资本对应的则是99%的生存概率。

2.应急资本

应急资本是一个金融合约，规定在某一个时间段内、某个特定事件（触发事件）发生的情况下公司有权从应急资本提供方募集股本或贷款（或资产负债表上的其他实收资本项目），并为此按时间向资本提供方缴纳费用。

举例：公司为满足特定条件下的经营需要而从银行获得的信贷额度，一般通过与银行签订协议加以明确，比如信贷周转协定、信用证、循环信用工具等。

应急资本具有如下特点：

（1）应急资本的提供方并不承担特定事件发生的风险，而只是在事件发生并造成损失后提供用于弥补损失、持续经营的资金。事后公司要向资本提供者归还这部分资金，并支付相应的利息。

（2）应急资本是一个综合运用保险和资本市场技术设计和定价的产品。与保险不同，应急资本不涉及风险的转移，是企业风险补偿策略的一种方式。

（3）应急资本是一个在一定条件下的融资选择权，公司可以不使用这个权利。

（4）应急资本可以提供经营持续性的保证。

3.保险

（1）保险是一种金融合约。保险合同规定保险公司为预定的损失支付补偿（也就是为损失进行融资），作为交换，在合同开始时，购买保险合同的一方要向保险公司支付保险费。

（2）保险合同降低了购买保险一方的风险，因为它把损失的风险转移给了保险公司。而保险公司则是通过损失的分散化来降低自己的风险。

（3）可保风险是纯粹风险，机会风险（如购买股票的风险）不可保。

注意：这里是可保不可保，不是可控不可控。

4.专业自保

（1）含义：专业自保公司又称“专属保险公司”，是非保险公司的附属机构，为母公司提供保险，并由其母公司筹集保险费，建立损失储备金。

（2）特点：由被保险人所有和控制，承保其母公司的风险，但可以通过租借的方式承保其他公司的保险，不在保险市场上开展业务。

优点：降低运营成本；改善公司现金流；保障项目更多；公平的费率等级；保障的稳定性；直接进行再保险；提高服务水平；减少规章限制；国外课税扣除和流通转移。

缺点：提高内部管理成本；增加资本投入；损失储备金不足；减少其他保险的可得性。

（三）现代风险理财（套期保值）

1.对金融衍生产品的选择

企业选择（现代）风险理财的策略与方案时，涉及对金融衍生产品的选择。

（1）远期合约（forwardcontract）

①远期合约指合约双方同意在未来日期按照固定价格交换金融资产的合约。

②与期权、期货对比：

③远期合约的两个术语：

a.如果即期价格低于远期价格，市场状况被描述为正向市场或溢价（contango）；

b.如果即期价格高于远期价格，市场状况被描述为反向市场或差价（backwardation）。

（2）互换交易（swaptransaction）

①互换交易主要指对相同货币的债务和不同货币的债务通过金融中介进行互换的一种行为。

②互换的种类：利率互换、货币互换、商品互换、其他互换[股权互换、信用互换、气候互换（碳互换）和期权互换等]

（3）期货（futures）

①期货是指在约定的将来某个日期按约定的条件（包括价格、交割地点、交割方式）买入或卖出一定标准数量的某种资产。

②期货合约是期货交易的买卖对象或标的物，是由期货交易所统一制定的，规定在将来某一特定的时间和地点交割一定数量和质量商品的标准化合约，是买卖双方同意在一段指定时间之后按特定价格接收、交付某种资产的协议。

③买卖双方同意将来交易时使用的价格称为期货价格，将来必须进行交易的指定日期称为结算日或交割日，将来交易的资产称为“标的”。如果投资者通过买入期货合约（即同意在将来日期买入）在市场上取得一个头寸，称多头头寸或在期货上做多。相反，如果投资者取得的头寸是卖出期货合约（即承担将来卖出的合约责任），称空头头寸或在期货上做空。

④期货价格通过公开竞价达成。

（4）期权（options）

①期权是在期货的基础上产生的一种金融衍生工具，它是在某一特定日期或该日期之前的任何时间以规定的价格购买或者出售某种规定的资产的权利。

②期权的分类：

a.看涨期权（call options）：期权的买方向期权的卖方支付一定数额的权利金后，即拥有在期权合约有效期内，按事先约定的价格向期权卖方买入一定数量的期权合约规定的特定商品的权利，但不负有必须买进的义务。而期权卖方有义务在期权规定的有效期内，应期权买方的要求，以期权合约事先规定的价格卖出期权合约规定的特定商品。

b.看跌期权（put options）：期权买方按事先约定的价格向期权卖方卖出一定数量的期权合约规定的特定商品的权利，但不负有必须卖出的义务。而期权卖方有义务在期权规定的有效期内，应期权买方的要求，以期权合约事先规定的价格买入期权合约规定的特定商品。

③重要结论：

a.期权的买方无论买入的是看涨期权还是看跌期权，都只有权利而无义务，他的风险是有限的（最大亏损值为权利金），而他的获利在理论上是无限的；

b.期权的卖方则无论卖出的是看涨期权还是看跌期权，都只有义务而无权利，他的收益是有限的（最大收益值为权利金），而他的风险在理论上是无限的；

（5）衍生产品及其交易的特点：

未来性、灵活性、杠杆性、风险性、虚拟性。

2.套期保值

（1）重要结论。

①套期保值是指为冲抵风险而买卖相应的衍生产品的行为（风险对冲）；与套期保值相反的是投机行为。

②套期保值的目的是降低风险；投机的目的是承担额外风险以盈利。因此，套期保值的结果是降低了风险；投机的结果是增加了风险。

（2）期货套期保值与投机。

①期货价格与现货价格。

绝大多数期货合约不会在到期日用标的物兑现。期货价格表现的是市场对标的物的远期预期价格。而标的物的现货价格与所用合约的期货价格之差谓之为“基差”。基差在期货合约到期日为零，在此之前可正可负。一般而言，离到期日越近，基差就越小。

②期货套期保值。

期货的套期保值也称为期货对冲，是指为配合现货市场上的交易，而在期货市场上做与现货市场商品相同或相近但交易部位相反的买卖行为，以便将现货市场的价格波动的风险在期货市场上抵销。

期货套期保值缓释风险的原理在于：某一特定商品的期货价格和现货价格受相同的经济因素影响和制约。所以一般而言，现货与期货的价格走势一致，而只有通过反向操作才能对冲风险。

利用期货套期保值有两种方式：

a.空头套期保值。

如果某公司要在未来某时间出售资产，可以通过持有该资产期货合约的空头来对冲风险。如果到期日资产价格下降，现货出售资产亏损，但期货的空头获利。如果到期日资产价格上升，现货出售获利（相对合约签订日期），但期货的空头亏损。

b.多头套期保值。

如果要在未来某时买入某种资产，则可采用持有该资产期货合约的多头来对冲风险。

解题高手

命题角度：期货套期保值的策略。

这是客观题的考点，考频较低，但有一定难度。建议同学们结合下表进行掌握：

③期货投机。

期货投机是指基于对市场价格走势的预期，为了盈利在期货市场上进行的买卖行为。由于远期市场价格的波动性，与套期保值相反，期货的投机会增加风险。（只涉及期货市场，不涉及现货市场）

（3）期权套期保值与投机。

①期权套期保值（买方）。

期权作为对冲的工具可以起到保险的作用。

解题高手

这是客观题的考点，考频较低，但有一定难度。建议同学们结合下表进行掌握：

②期权投机（卖方）。

期权也可以作为投机的工具，但风险更大。

解题高手

命题角度：风险理财的类型以及对应的风险管理策略辨析。

这是客观题的考点，对于初学者而言有一定理解难度。下图为同学们梳理了不同风险理财手段以及对应的风险管理策略：

需要提示的是：投机不属于风险理财，也无法归类于任何一种风险管理策略。因为投机追求的是“高风险、高收益”，并未试图去“管理”风险。通常，投资者根据自己的资金、风险承受能力以及对市场的预判来参与交易，看准了就直接下手，而不再通过“一买一卖”进行风险对冲。

五、风险管理信息系统（★）

（1）企业应将信息技术应用于风险管理的各项工作，建立涵盖风险管理基本流程和内部控制系统各环节的风险管理信息系统。

（2）企业应采取措施确保向风险管理信息系统输入的业务数据和风险量化值的一致性、准确性、及时性、可用性和完整性。对输入信息系统的数据，未经批准，不得更改。

（3）风险管理信息系统应能够进行：

①对各种风险的计量和定量分析、定量测试；

②能够实时反映风险矩阵和排序频谱、重大风险和重要业务流程的监控状态；

③能够对超过风险预警上限的重大风险实施信息报警；

④能够满足风险管理内部信息报告制度和企业对外信息披露管理制度的要求。

（4）风险管理信息系统应实现信息在各职能部门、业务单位之间的集成与共享，既能满足单项业务风险管理的要求，也能满足企业整体和跨职能部门、业务单位的风险管理综合要求（对应战略的3个层次）。

第五节 风险管理技术与方法

一、头脑风暴法（★★）

1.含义

头脑风暴法是指刺激并鼓励一群知识渊博、知悉风险情况的人员（注意：不一定是专家）畅所欲言，开展集体讨论的方法。

2.适用范围

适用于充分发挥专家意见，在风险识别阶段进行定性分析。

3.主要优点

（1）激发了想象力，有助于发现新的风险和全新的解决方案；

（2）让主要的利益相关者参与其中，有助于进行全面沟通；

（3）速度较快并易于开展。

4.局限性

（1）参与者可能缺乏必要的技术或知识，无法提出有效的建议；

（2）头脑风暴法的实施过程和参与者提出的意见容易分散，较难保证全面性；

（3）集体讨论时可能出现特殊情况，导致某些有重要观点的人保持沉默而其他人成为讨论的主角；

（4）实施成本和对参与者的素质要求较高。

二、德尔菲法（★★）

1.含义

德尔菲法是在一组专家中取得可靠共识的程序，其基本特征是专家单独、匿名表达各自的观点，同时随着过程的进展，他们有机会了解其他专家的观点。

德尔菲法采用背对背的通信方式征询专家小组成员的意见，专家之间不得相互讨论， 不发生横向联系，只能与调查人员发生关系。通过反复填写问卷，搜集各方意见，以形成专家之间的共识。

2.适用范围

适用于在专家一致性意见基础上，在风险识别阶段进行定性分析。

3.主要优点

（1）由于匿名表达观点，因此更可能表达出不受欢迎的看法；

（2）所有观点有相同的权重，避免重要人物占主导地位的问题；

（3）专家不必聚集在某个地方，比较方便；

（4）这种方法具有广泛的代表性。

4.局限性

（1）权威人士的意见影响他人的意见；

（2）有些专家碍于情面，不愿意发表与其他人不同的意见；

（3）出于自尊心而不愿意修改自己原来的意见；

（4）德尔菲法的主要缺点是过程比较复杂，花费时间较长。

三、失效模式、影响和危害度分析法（FMECA）（★★）

1.含义

失效模式影响和危害度分析法可用来分析、审查系统的潜在故障模式。失效模式影响和危害度分析法按规则记录系统中所有可能存在的影响因素，分析每种因素对系统的工作及状态的影响，将每种影响因素按其影响的严重度及发生概率排序，从而发现系统中潜在的薄弱环节，提出可能采取的预防措施，以消除或减少风险发生的可能性，保证系统的可靠性。

失效模式影响和危害度分析法可以为其他风险方法如定性及定量的故障树分析提供数据支持。

2.适用范围

适用于对失效模式、影响及危害进行定性或定量分析，还可以对其他风险识别方法提供数据支持。广泛应用于产品的设计与开发、生产和使用等阶段的风险管理，旨在发现缺陷和薄弱环节，为提高产品或服务质量和可靠性水平提供改进依据。

3.主要优点

（1）广泛适用于人力、设备和系统以及硬件、软件和程序失效模式的分析；

（2）识别组件失效模式及其原因和对系统的影响，同时用可读性较强的形式表现出来；

（3）通过在设计初期发现问题，从而避免了开支较大的设备改造；

（4）识别单个失效模式以适合系统安全的需要。

4.局限性

（1）只能识别单个失效模式，无法同时识别多个失效模式；

（2）除非得到充分控制并集中精力，否则采用此法较耗时且开支较大。

四、流程图分析法（★★）

1.含义

流程图分析法是对流程的每一阶段、每一环节逐一进行调查分析，从中发现潜在风险，找出导致风险发生的因素，分析风险产生后可能造成的损失以及对整个组织可能造成的不利影响。

2.适用范围

对企业生产或经营中的风险及其成因进行定性分析。

3.主要优点

（1）是识别风险最常用的方法之一；

（2）清晰明了，易于操作，且组织规模越大，流程越复杂，流程图分析法就越能体现出优越性。

4.局限性

该方法的使用效果依赖于专业人员的水平。

五、马尔科夫分析法（数学建模）（★★）

1.含义

如果系统未来的状况仅取决于其现在的状况，那么就可以使用马尔科夫分析法。

（1）这种分析通常用于对那些存在多种状态（包括各种降级使用状态）的可维修复杂系统进行分析；

（2）马尔科夫分析是一项定量技术，可以是不连续的（利用状态间变化的概率）或者连续的（利用各状态变化率）；

（3）马尔科夫分析法更适合于计算机程序；

（4）马尔科夫分析法主要围绕“状态”这个概念展开。

2.适用范围

适用于对复杂系统中不确定性事件及其状态改变的定量分析。

3.主要优点

能够计算出具有维修能力和多重降级状态的系统概率。

4.局限性

（1）无论是故障还是维修，都假设状态变化的概率是固定的；

（2）所有事项在统计上具有独立性，因此未来的状态独立于一切过去的状态，除非两个状态紧密相接；

（3）需要了解状态变化的各种概率；

（4）有关矩阵运算的知识比较复杂，非专业人士很难看懂。

六、风险评估系图法（★★）

1.含义

风险评估系图识别某一风险是否会对企业产生重大影响，并将此结论与风险发生的可能性联系起来，为确定企业风险的优先次序提供框架。

2.适用范围

适用于对风险初步的定性分析。

3.主要优点

作为一种简单的定性方法，为企业确定各项风险重要性等级提供了可视化的工具，直观明了。

4.局限性

（1）需要对风险重要性等级标准、风险发生可能性、后果严重程度等做出主观判断，可能影响使用的准确性；

（2）所确定的风险重要性等级是通过相互比较确定的，因而无法将列示的个别风险重要性等级通过数学运算得到总体风险的重要性等级；

（3）如需要进一步探求风险原因，则采用该方法过于简单，缺乏经验证明和数据支持。

七、情景分析法（★★★）

1.含义

情景分析可用来预计威胁和机遇可能发生的方式，以及如何将威胁和机遇用于各类长期及短期风险。

（1）在识别和分析那些反映诸如最佳情景、最差情景及期望情景的多种情景时，可用来识别在特定环境下可能发生的事件并分析潜在的后果及每种情景的可能性；

（2）如果积极后果和消极后果的分布存在比较大的差异，情景分析就会有很大用途；

（3）应特别关注那些最重要、最不确定的因素。可以绘制出关键因素或趋势的图形， 以显示哪些情景是可以进行开发的区域。

2.适用范围

通过模拟不确定性情景，对企业面临的风险进行定性和定量分析。

3.主要优点

对于未来变化不大的情况能够给出比较精确的模拟结果。

4.局限性

（1）在存在较大不确定性的情况下，有些情景可能不够现实；

（2）对数据的有效性以及分析师和决策者开发现实情境的能力有很高的要求；

（3）将情景分析作为一种决策工具，所用情景可能缺乏充分的基础，数据可能具有随机性。

八、敏感性分析法（★★）

1.含义

敏感性分析是针对潜在的风险，研究项目的各种不确定因素变化至一定幅度时，计算其主要经济指标变化率及敏感程度的一种方法。

2.适用范围

适用于对项目不确定性对结果产生的影响进行的定量分析。

3.主要优点

（1）为决策提供有价值的参考信息；

（2）清晰地为风险分析指明方向；

（3）帮助企业制定紧急预案。

4.局限性

（1）所需要的数据经常缺乏，无法提供可靠的参数变化；

（2）分析时借助公式计算，没有考虑各种不确定因素在未来发生变动的概率，因此其分析结果可能和实际相反。

九、事件树分析法（★★）

1.含义

事件树分析法（ETA）是一种表示初始事件发生之后互斥性后果的图解技术。它按事件发展的时间顺序由初始事件开始推论可能的后果，从而进行危险源的辨识。这种方法将系统可能发生的某种事件与导致事件发生的各种原因之间的逻辑关系用一种称为事件树的树形图表示，通过对事件树的定性与定量分析，找出事件发生的主要原因，为确定安全对策提供可靠依据。

2.适用范围

适用于具有多种环节的故障发生以后，对各种可能后果进行定性和定量分析。

3.主要优点

（1）ETA以清晰的图形显示了经过分析的初始事项之后的潜在情景，以及缓解系统或功能成败产生的影响；

（2）它能说明时机、依赖性以及很繁琐的多米诺效应；

（3）它生动地体现事件的顺序。

4.局限性

（1）为了将ETA作为综合评估的组成部分，一切潜在的初始事项都要进行识别，这可能需要使用其他分析方法；但总有可能会错过一些重要的初始事项；

（2）事件树只分析了某个系统的成功及故障状况，很难将延迟成功或恢复事项纳入其中；

（3）任何路径都取决于路径上以前分支点处发生的事项。

十、决策树法（★★★）

1.含义

决策树法是在不确定的情况下，以序列方式表示决策选择和结果。类似于事件树法， 决策树开始于初始事项或是最初决策，之后对可能发生的事件及可能做出的决策的各种路径和结果进行建模。

2.适用范围

适用于对不确定性投资方案期望收益的定量分析。

3.主要优点

（1）为决策问题的细节提供了一种清楚的图解说明；

（2）能够计算得到一种情形的最优路径。

4.局限性

（1）大的决策树可能过于复杂，不容易与其他人交流；

（2）为了能够用树形图表示，可能有过于简化环境的倾向。

十一、统计推论法（★）

1.含义

统计推论是进行项目风险评估和分析的一种十分有效的方法，它可分为前推、后推和旁推三种类型。

（1）前推就是根据历史的经验和数据推断出未来事件发生的概率及其后果；

（2）后推是把未知的想象的事件及后果与一已知事件与后果联系起来，把未来风险事件归结到有数据可查的造成这一风险事件的初始事件上，从而对风险做出评估和分析。后推是在手头没有历史数据可供使用时所采用的一种方法；

（3）旁推法就是利用类似项目的数据进行外推，用某一项目的历史记录对新的类似建设项目可能遇到的风险进行评估和分析，当然这还得充分考虑新环境的各种变化。这三种外推法在项目风险评估和分析中都得到了广泛的采用。

2.适用范围

适合于各种风险分析预测。

3.主要优点

（1）在数据充足可靠的情况下简单易行；

（2）结果准确率高。

4.局限性

（1）由于历史事件的前提和环境已发生了变化，不一定适用于今天或未来；

（2）没有考虑事件的因果关系，使外推结果可能产生较大偏差。为了修正这些偏差， 有时必须在历史数据的处理中加入专家或集体的经验修正。

解题高手

命题角度：风险管理技术与方法的类型辨析、优缺点辨析以及定性、定量判断。

这是客观题的高频考点，有一定的理解难度和辨析难度，建议同学们结合下面的四项总结进行复习：

第一，类型辨析。

第二，优缺点辨析。

第三，定性、定量辨析。

第四，各阶段适用性辨析。