导图社区 第六章 风险与风险管理
- 133
- 5
- 1
- 举报
第六章 风险与风险管理
这是一篇关于第六章 风险与风险管理的思维导图，主要内容有第—节风险与风险管理概述、第二节企业面对的主要风险、第三节风险管理基本流程、第四节风险管理体系等。
编辑于2022-08-21 17:07:24 内蒙古自治区- 公司战略与风险管理
- 相似推荐
- 大纲
第六章 风险与风险管理
第一节 风险与风险管理概述
一，风险的概念与构成要素
（一）风险的概念
国资委 2006 年发布的《中央企业全面风险管理指引》将企业风险定义为“未来的不确定性对企业实现其经营目标的影响”，并以能否为企业带来盈利等机会为标志，将风险分为纯粹风险（只有损失） 和机会风险（“带来损失”和“盈利”的可能性并存）。
理解这个定义需要把握以下几个方面：
（1）企业风险与企业战略相关。
（2）风险是一系列可能发生的结果，不能简单理解为最有可能的结果。“范围”这个概念对应了众多的不确定性
（3）风险既具有客观性，又具有主观性。
（4）风险往往与机遇并存。
（二）风险的构成要素
风险因素、风险事件（事故）、损失三个基本要素构成。
1，风险要素
风险因素是指促使某一风险事件发生，或增加其发生的可能性，或提高其损失程度的原因或条件。它是风险事件发生的潜在原因，是造成损失的内在或间接原因。
根据其性质，可以分为有形风险因素和无形风险因素（道德风险因素和心理风险因素）。
2，风险事件（事故）
风险事件是指造成损失的偶发事故。
风险事件的发生使潜在的危险转化成为现实的损失。风险事件是导致损失的直接原因。
风险事件发生的根源主要有自然力作用、社会经济变动、人的行为等。火灾 、洪水、地震、车祸、核泄漏、疾病、股市崩盘等都是导致财产损失的风险事件。
3，损失
损失是指非故意的、非预期的、非计划的经济价值的减少。
包括两方面：一是非故意的、非预期的和非计划的；二是经济价值（即能以货币衡量的价值）的减少，二者缺一不可。
折旧和馈赠不含有第一个方面的内容；某人因受到惊吓而精神失常，不属于经济价值减少的情况。均不能称其为损失。 损失可分为直接损失和间接损失两种类型
直接损失是实质损失；间接损失是派生损失，包括额外费用损失、收入损失和责任损失等。间接损失有时大于直接损失。
4，风险因素、风险事件、损失三者的关系
风险因素、风险事件和损失相互依存、相互作用。
风险因素引起风险事件发生或增加其发生的概率；
风险事件的发生造成损失；
损失的发生使风险因素和风险事件得以呈现或暴露，使风险最终形成。
二，风险管理的概念，目标和演进
（一）风险管理的概念
1.风险管理的定义与特征
《中央企业全面风险管理指引》对风险管理给出如下定义：“全面风险管理，指企业围绕总体经营目标，通过在企业管理的各个环节和经营过程中执行风险管理的基本流程，培育良好的风险管理文化，建立健全全面风险管理体系，包括风险管理策略、风险理财措施、风险管理的组织职能体系、风险管理信息系统和内部控制系统，从而为实现风险管理的总体目标提供合理保证的过程和方法。”
全面风险管理具有以下特征：
（1）战略性。主要运用于企业战略管理层面。
（2）全员性。由企业治理层、管理层和所有员工参与的。
（3）专业性。专业人才实施专业化管理。
（4）二重性。既要管理纯粹的风险，也要管理机会风险。
（5）系统性。有系统规范的方法体系。
2.风险偏好与风险承受度
风险偏好是企业希望承受的风险范围，公司希望承担什么风险和承担多少风险。
风险承受度是指企业风险偏好的边界，分析风险承受度可以将其作为企业采取行动的预警指标， 企业可以设置若干承受度指标，以显示不同的警示级别。
风险偏好是一个企业运营风格的体现，受到企业利益相关各方价值取向和利益追求方式的影响和调节。
风险偏好和风险承受度概念提出的意义在于研究企业风险和收益的关系，明确了企业的风险偏好和风险承受度，企业就能够把握在风险和收益之间如何选择平衡点。
（二）风险管理的目标
①确保将风险控制在与公司总体目标相适应并可承受的范围内；
②确保内外部，尤其是企业与股东之间实现真实、可靠的信息沟通，包括编制和提供真实、可靠的财务报告；
③确保遵守有关法律法规；
④确保企业有关规章制度和为实现经营目标而采取重大措施的贯彻执行，保障经营管理的有效性， 提高经营活动的效率和效果，降低实现经营目标的不确定性；
⑤确保企业建立针对各项重大风险发生后的危机处理计划，保护企业不因灾害性风险或人为失误而遭受重大损失。
（三）风险管理的演进与新发展
1，风险管理的演进
1992 年 COSO 委员会发布《企业内部控制——整合框架》。
2004 年 COSO 委员会发布《企业风险管理——整合框架》。
2006 年 6 月我国国务院国资委以通知的形式，印发《中央企业全面风险管理指引》。
2008 年 5 月我国财政部会同证监会、审计署、银监会、保监会制定并印发了《企业内部控制基本规范》，自 2009 年 7 月 1 日起在上市公司范围内施行，并鼓励非上市的大中型企业执行。
2，风险管理的新发展
2013 年 12 月 COSO 委员会正式发布新内控框架。
2017 年发布《企业风险管理—— 整合战略和绩效（2017）》。
2018 年国际标准化委员会发布新版《ISO31000：组织的风险管理国际标准》。
2019 年我国国资委印发给中央企业《关于加强中央企业内部控制体系建设与监督工作的实施意见》。
2015 年 COSO 委员会发布《网络时代的内部控制》白皮书。相关国际标准有 ISO27000 系列标准和信息及相关技术的控制目标 COBIT。
第二节 企业面对的主要风险
一，外部风险
（一）政治风险。
是指完全或部分由政府官员行使权力和政府组织的行为而产生的不确定性。适用于国内外所有市场。
主要表现：
（1）限制投资领域。
（2）设置贸易壁垒。
（3）外汇管制的规定。欠发达国家外汇管制规定更严格。
（4）进口配额和关税。
（5）组织结构及要求最低持股比例。
（6）限制向东道国的银行借款。
（7）没收资产。
（二）法律风险与合规风险
合规风险是指因违反法律或监管要求而受到制裁、遭受金融损失以及因未能遵守所有适用法律、法规、行为准则或相关标准而给企业信誉带来的损失的可能性。
法律风险是指企业在经营过程中因自身经营行为的不规范或者外部法律环境发生重大变化而造成的不利法律后果的可能性。
法律风险通常包括以下三方面：
一是法律环境因素，包括立法不完备、执法不公正等；
二是市场主体自身法律意识淡薄，在经营活动中不考虑法律因素等；
三是交易对方的失信、违约或欺诈等。
合规风险侧重于行政责任和道德责任的承担，而法律风险侧重于民事责任的承担。合规风险和法律风险有时会同时发生。
依据《中央企业全面风险管理指引》，法律风险与合规风险至少要考虑以下几个方面：
（1）国内外与企业相关的政治、法律环境可能引发的风险；
（2）影响企业的新法律法规和政策可能引发的风险；
（3）员工的道德操守可能引发的风险；
（4）企业签订的重大协议和有关贸易合同可能引发的风险；
（5）企业发生重大法律纷案件可能引发的风险；
（6）企业和竞争对手的知识产权可能引发的风险。
（三）社会文化风险
文化风险就是指文化这一不确定性因素给企业经营活动带来的影响。
从文化风险成因来看，主要有以下方面：
（1）跨国经营活动引发的文化风险。文化的差异直接影响着管理的实践，构成经营中的文化风险。
（2）企业并购活动引发的文化风险。并购活动导致企业双方文化的直接碰撞与交流。
（3）组织内部因素引发的文化风险。组织文化的变革、组织员工队伍的多元文化背景会导致个人层面的文化风险。
（四）技术风险
广义的技术风险是指某一种新技术对另一个行业或另一些企业形成巨大的威胁。
狭义的技术风险就是技术在创新过程中，由于技术本身复杂性和其他相关因素变化产生的不确定性而导致技术创新遭遇失败的可能性。（技术创新风险）
从技术活动过程所处的不同阶段考察，可以划分为
技术设计风险
技术设计风险是指技术在设计阶段，由于技术构思或设想的不全面性致使技术及技术系统存在先天“缺陷”或创新不足而引发的各种风险。
技术研发风险
技术研发风险是指在技术研究或开发阶段，外界环境变化的不确定性、技术研发项目本身的难度和复杂性、技术研发人员自身知识和能力的有限性都可能导致技术的研发面临着失败的危险。
技术应用风险
技术应用风险是指技术成果在产品化、产业化的过程中由一系列不确定性带来的负面影响或效应。
（五）市场风险
指企业所面对的市场复杂性和变动性所带来的与经营相关的风险。
市场风险可以考虑以下几个方面：
（1）产品或服务的价格及供需变化带来的风险。
（2）能源、原材料、配件等物资供应的充足性、稳定性和价格的变化带来的风险。
（3）主要客户、主要供应商的信用风险。
（4）税收政策和利率、汇率、股票价格指数的变化带来的风险。
（5）潜在进入者、竞争者与替代品的竞争带来的风险。
二，内部风险
（一）战略风险
战略风险至少要考虑以下几个方面∶
（1）国内外宏观经济政策和经济运行情况、企业所在产业的状况、国家产业政策可能引发的风险；
（2）科技进步、技术创新可能引发的风险；
（3）市场对企业产品或服务的需求可能引发的风险；
（4）与企业战略合作伙伴的关系、寻求战略合作伙伴可能引发的风险；
（5）企业主要客户、供应商及竞争对手可能引发的风险；
（6）与主要竞争对手相比，企业实力与差距可能引发的风险；
（7）企业编制发展战略和规划、投融资计划、年度经营目标、经营战略可能引发的风险；
（8）企业对外投融资过程中曾发生或易发生错误的业务流程或环节可能引发的风险
企业战略风险具体体现在以下三个方面：
（1）缺乏明确的发展战略或发展战略实施不到位，可能导致企业盲目发展，难以形成竞争优势， 丧失发展机遇和动力。
（2）发展战略过于激进，脱离企业实际能力或偏离主业，可能导致企业过度扩张，甚至经营失败。
（3）发展战略因主观原因频繁变动，可能导致资源浪费，甚至危及企业的生存和持续发展。
（二）运营风险
运营风险是指企业在运营过程中，由于内外部环境的复杂性和变动性以及主体对环境的认知能力和适应能力的有限性，而导致运营失败或使运营活动达不到预期目标的可能性及损失。
（1）运营风险至少要考虑：
①企业产品结构、新产品研发方面可能引发的风险
②企业新市场开发，市场营销策略方面可能引发的风险；
③企业组织效能、管理现状、企业文化，高、中层管理人员和重要业务流程中专业人员的知识结构、专业经验等方面可能引发的风险；
④期货等衍生产品业务发生失误带来的风险
⑤质量、安全、环保、信息安全等管理发生失误导致的风险；
⑥因企业内外部人员的道德风险或业务控制系统失灵导致的风险。
⑦给企业造成损失的自然灾害等风险。
⑧企业现有业务流程和信息系统操作运行情况的监管、运行评价及持续改进能力方面引发的风险；
（2）从内部控制角度展开 14 个主要运营风险。
①组织架构。需关注的主要风险包括：
第一，治理结构形同虚设，缺乏科学决策、良性运行机制和执行力，可能导致企业经营失败，难以实现发展战略。
第二，内部机构设计不科学，权责分配不合理，可能导致机构重叠、职能交叉或缺失、推诿扯皮， 运行效率低下。
②人力资源。需关注的主要风险包括：
第一，人力资源缺乏或过剩、结构不合理、开发机制不健全，可能导致企业发展战略难以实现。（招人）
第二，人力资源激励约束制度不合理、关键岗位人员管理不完善，可能导致人才流失、经营效率低下或关键技术、商业秘密和国家机密泄露。（用人）
第三，人力资源退出机制不当，可能导致法律诉讼或企业声誉受损。（辞人）
③社会责任。需关注的主要风险包括：
第一，安全生产措施不到位，责任不落实，可能导致企业发生安全事故。
第二，产品质量低劣，侵害消费者利益，可能导致企业巨额赔偿、形象受损，甚至破产。
第三，环境保护投入不足，资源耗费大，造成环境污染或资源枯竭，可能导致企业巨额赔偿、缺乏发展后劲，甚至停业。
第四，促进就业和员工权益保护不够，可能导致员工积极性受挫，影响企业发展和社会稳定。
④企业文化。需关注的主要风险包括：
第一，缺乏积极向上的企业文化，可能导致员工丧失对企业的信心和认同感，企业缺乏凝聚力和竞争力。
第二，缺乏开拓创新、团队协作和风险意识，可能导致企业发展目标难以实现，影响可持续发展。
第三，缺乏诚实守信的经营理念，可能导致舞弊事件的发生，造成企业损失，影响企业信誉。
第四，忽视企业间的文化差异和理念冲突，可能导致并购重组失败。
⑤采购业务。需关注的主要风险包括：
第一，采购计划安排不合理，市场变化趋势预测不准确，造成库存短缺或积压，可能导致企业生产停滞或资源浪费。（采购前）
第二，供应商选择不当，采购方式不合理，招投标或定价机制不科学，授权审批不规范，可能导致采购物资质次价高，出现舞弊或遭受欺诈。（采购中）
第三，采购验收不规范，付款审核不严，可能导致采购物资、资金损失或信用受损。（收货后）
⑥资产管理。需关注的主要风险包括：
第一，存货积压或短缺，可能导致流动资金占用过量、存货价值贬损或生产中断。
第二，固定资产更新改造不够、使用效能低下、维护不当、产能过剩，可能导致企业缺乏竞争力、资产价值贬损、安全事故频发或资源浪费。
第三，无形资产缺乏核心技术、权属不清、技术落后、存在重大技术安全隐患，可能导致企业出现法律纠纷、缺乏可持续发展能力。
⑦销售业务。需关注的主要风险包括：
第一，销售政策和策略不当，市场预测不准确，销售渠道管理不当等，可能导致销售不畅、库存积压、经营难以为继。（卖不出去）
第二，客户信用管理不到位，结算方式选择不当，账款回收不力等，可能导致销售款项不能收回或遭受欺诈。（收不回钱）
第三，销售过程存在舞弊行为，可能导致企业利益受损。（舞弊）
⑧研究与开发。需关注的主要风险包括：
第一，研究项目未经科学论证或论证不充分，可能导致创新不足或资源浪费。（研发前）
第二，研发人员配备不合理或研发过程管理不善，可能导致研发成本过高、舞弊或研发失败。（研发中）
第三，研究成果转化应用不足、保护措施不力，可能导致企业利益受损。（研发后）
⑨工程项目。需关注的主要风险包括：
（1）立项缺乏可行性研究或者可行性研究流于形式，决策不当，盲目上马，可能导致难以实现预期效益或项目失败。（立项）
（2）项目招标“暗箱操作”，存在商业贿赂，可能导致中标人实质上难以承担工程项目、中标价格失实及相关人员涉案。（招标）
（3）工程造价信息不对称，技术方案不落实，概预算脱离实际，可能导致项目投资失控。（造价）
（4）工程物资质次价高，工程监理不到位，项目资金不落实，可能导致工程质量低劣，进度延迟或中断。（建设）
（5）竣工验收不规范，最终把关不严，可能导致工程交付使用后存在重大隐患。（验收）
⑩担保业务。需关注的主要风险包括：
第一，对担保申请人的资信状况调查不深。审批不严或越权审批，可能导致企业担保决策失误或遭受欺诈。（担保前）
第二，对被担保人出现财务困难或经营陷入困境等状况监控不力，应对措施不当，可能导致企业承担法律责任。（担保中）
第三，担保过程中存在舞弊行为，可能导致经办审批等相关人员涉案或企业利益受损。（舞弊）
⑪业务外包。需关注的主要风险包括：
第一，外包范围和价格确定不合理，承包方选择不当，可能导致企业遭受损失。（外包前）
第二，业务外包监控不严、服务质量低劣，可能导致企业难以发挥业务外包的优势。（外包中）
第三，业务外包存在商业贿赂等舞弊行为，可能导致企业相关人员涉案。（舞弊）
⑫合同管理。需关注的主要风险包括：
第一，未订立合同、未经授权对外订立合同、合同对方主体资格未达要求、合同内容存在重大疏漏和欺诈，可能导致企业合法权益受到侵害。（合同前）
第二，合同未全面履行或监控不当，可能导致企业诉讼失败、经济利益受损。（合同中）
第三，合同纠纷处理不当，可能损害企业利益、信誉和形象。（纠纷）
⑬内部信息传递。需关注的主要风险包括：
第一，内部报告系统缺失、功能不健全、内容不完整，可能影响生产经营有序运行。（管道有问题）
第二，内部信息传递不通畅、不及时，可能导致决策失误、相关政策措施难以落实。（管道不通畅）
第三，内部信息传递中泄露商业秘密，可能削弱企业核心竞争力。（漏）
⑭信息系统。需关注的主要风险包括：
第一，信息系统缺乏或规划不合理，可能造成信息孤岛或重复建设，导致企业经营管理效率低下。（基础差）
第二，系统开发不符合内部控制要求，授权管理不当，可能导致无法利用信息技术实施有效控制。（开发和管理不当）
第三，系统运行维护和安全措施不到位，可能导致信息泄露或毁损，系统无法正常运行。（维护和安全不到位）
（三）财务风险
财务风险是指企业在生产经营过程中，由于内外部环境的各种难以预料或无法控制的不确定性因素的作用，使企业在一定时期内所获取的财务收益与预期收益发生偏差的可能性。
客观存在，只能降低，不可能完全消除。
1，财务风险所要考虑的主要方面。
（1）企业负债、负债率、偿债能力方面可能引发的风险；
（2）现金流、应收账款及其占销售收入的比重、资金周转率方面可能引发的风险；
（3）产品存货及其占销售成本的比重、应付账款及其占购货额的比重方面可能引发的风险；
（4）制造成本和管理费用、财务费用、营业费用方面可能引发的风险；
（5）盈利能力方面可能引发的风险；
（6）成本核算、资金结算和现金管理业务中曾发生或易发生错误的业务流程或环节可能引发的风险；
（7）与企业相关的产业会计政策、会计估算，与国际会计制度的差异与调节（如退休金、递延税项等）等信息方面可能引发的风险。
2，从内部控制角度展开 3 个主要财务风险。
（1）全面预算。需关注的主要风险包括：
①不编制预算或预算不健全，可能导致企业经营缺乏约束或盲目经营。（没有或不全）
②预算目标不合理、编制不科学，可能导致企业资源浪费或发展战略难以实现。（有，但不科学）
③预算缺乏刚性、执行不力、考核不严，可能导致预算管理流于形式。（落实有问题）
（2）资金活动。需关注的主要风险包括：
①筹资决策不当，引发资本结构不合理或无效融资，可能导致企业筹资成本过高或债务危机。
②投资决策失误，引发盲目扩张或丧失发展机遇，可能导致资金链断裂或资金使用效益低下。
③资金调度不合理、营运不畅，可能导致企业陷入财务困境或资金冗余。
④资金活动管控不严，可能导致资金被挪用、侵占、抽逃或企业遭受欺诈。
（3）财务报告。需关注的主要风险包括：
①编制财务报告违反会计法律法规和国家统一的会计准则制度，可能导致企业承担法律责任和声誉受损。
②提供虚假财务报告，误导财务报告使用者，造成决策失误，干扰市场秩序。
③不能有效利用财务报告，难以及时发现企业经营管理中存在的问题，可能导致企业财务和经营风险失控。
第三节 风险管理基本流程
一、收集风险管理初始信息
要广泛地、持续不断地收集相关的内部外部初始信息，包括历史数据和未来预测。收集职责分工落实到各有关职能部门和业务单位。
根据所分析的风险类型具体展开：
（1）分析战略风险。
（2）分析财务风险。
（3）分析市场风险。
（4）分析运营风险。
（5）分析法律风险。
二、进行风险评估
风险辨识是指查找企业各业务单元、各项重要经营活动及其重要业务流程中有无风险，有哪些风险。
风险分析是对辨识出的风险及其特征进行明确的定义描述，分析和描述风险发生可能性的高低、风险发生的条件。
风险评价是评估风险对企业实现目标的影响程度、风险的价值等。评估多项风险时，应初步确定管理优先顺序和策略。
三、制定风险管理策略
风险管理策略，是指企业根据自身条件和外部环境，围绕企业发展战略，确定风险偏好、风险承受度、风险管理有效性标准，选择风险承担、风险规避、风险转移、风险转换、风险对冲、风险补偿、风险控制等适合的风险管理工具的总体策略，并确定风险管理所需人力和财力资源的配置原则。
根据风险的不同类型选择其适宜的风险管理策略。
一个关键环节是企业应根据不同业务特点统一确定风险偏好和风险承受度。正确认识和把握风险与收益的平衡，防止和纠正两种错误倾向：一是忽视风险；二是单纯为规避风险而放弃发展机遇。
在制定风险管理策略时，还应根据风险与收益相平衡的原则以及各风险在风险坐标图上的位置，进一步确定风险管理的优选顺序，明确风险管理成本的资金预算和控制风险的组织体系、人力资源、应对措施等总体安排。
对于已经制定和实施的风险管理策略，企业应定期总结和分析已制定的风险管理策略的有效性和合理性，结合实际不断修订和完善。
四、提出和实施风险管理解决方案
（一）风险管理解决方案的两种类型
1.外部解决方案。
外部解决方案一般指外包。
2.内部解决方案。
风险管理体系：风险管理策略；组织职能；内部控制（简称“内控”），包括政策、制度、程序； 信息系统，包括报告体系；风险理财措施。
企业制定内控措施，一般至少包括以下内容：
（1）建立内控岗位授权制度。
（2）建立内控报告制度。
（3）建立内控批准制度。
（4）建立内控责任制度。
（5）建立内控审计检查制度。
（6）建立内控考核评价制度。
（7）建立重大风险预警制度。
（8）建立健全以总法律顾问制度为核心的企业法律顾问制度。
（9）建立重要岗位权力制衡制度，明确规定不相容职责的分离。
（二）关键风险指标管理
关键风险指标管理是对引起风险事件发生的关键成因指标进行管理的方法。
关键风险指标管理可以管理单项风险的多个关键成因，也可以管理影响企业主要目标的多个主要风险。
1.关键风险指标管理的步骤
（1）分析风险成因，从中找出关键成因；例如，假设公司现在关心的主要目标是年度盈利指标， 那么影响年度盈利指标的风险因素有许多，包括年度销售额、原材料价格、制造成本、销售成本、投资收入、利息、应收账款等。经过数据分析，认定影响盈利的主要风险是信用风险，其代表性的风险事件是客户还款不及时，导致应收账款大量增加。
（2）将关键成因量化，确定其度量，分析确定导致风险事件发生（或极有可能发生）时该成因的具体数值。上例中，将应收账款进一步量化，得到月度坏账损失额、每日未回收的应收账款和客户结构变化率等三个量化指标，并得出预警值。
（3）以该具体数值为基础，以发出风险信息为目的，加上或减去一定数值后形成新的数值，该数值即为关键风险指标。
（4）建立风险预警系统，即当关键成因数值达到关键风险指标时，发出风险预警信息。
（5）制定出现风险预警信息时应采取的风险控制措施。
（6）跟踪监测关键成因的变化，一旦出现预警，即实施风险控制措施。
2.关键风险指标分解
关键风险指标的分解要注意职能部门和业务单位之间的协调。关键是从企业整体出发和把风险控制在一定范围内。对一个具体单位而言，不可采用“最大化”的说法。比如，信用管理部门负责信用风险的管理，如果其强调最小化信用风险，紧缩信用，则会给负责扩大市场占有率和销量的市场和销售部门造成伤害，从而影响公司整体目标的实现。
对于关键风险指标的分解，要兼顾各职能部门和业务单位的诉求。一个可行的方法是在企业的总体领导和整体战略的指导下进行部门和业务单位间的协调。
（三）落实风险管理解决方案
（1）高度重视风险管理，充分认识风险管理是企业时刻不可放松的工作，是企业价值创造的根本源泉。
（2）风险管理是企业全员的分内工作，没有风险的岗位是不创造价值的岗位，没有理由存在。
（3）将风险管理方案落实到各级各类组织，明确分工和责任。
（4）对风险管理解决方案的实施进行持续监控改进，并把实施情况与绩效考核联系起来，以确保工作的效果。
五，风险管理的监督与改进
企业应以重大风险、重大事件和重大决策、重要管理及业务流程为重点，对实施情况进行监督，采用压力测试、返回测试、穿行测试以及风险控制自我评估等方法对风险管理的有效性进行检验，根据变化情况和存在的缺陷及时加以改进。
有关部门和业务单位：自查和检验，报告报送风险管理职能部门。风险管理职能部门：检查和检验有效性，评估建议，报高管。
内部审计部门：每年至少一次对包括风险管理职能部门在内的各有关部门和业务单位进行监督评价，报董事会或董事会下设的风险管理委员会和审计委员会。
企业可聘请有资质、信誉好、风险管理专业能力强的中介机构对企业全面风险管理工作进行评价， 出具风险管理评估和建议专项报告。
报告一般应包括以下几方面的实施情况、存在缺陷和改进建议：
（1）风险管理基本流程与风险管理策略；
（2）企业重大风险、重大事件和重要管理及业务流程的风险管理及内部控制系统的建设；
（3）风险管理组织体系与信息系统；
（4）全面风险管理总体目标。
第四节 风险管理体系
一，风险管理策略
（一）风险管理策略总体定位与作用
风险管理策略，指企业根据自身条件和外部环境，围绕企业发展战略，确定风险偏好、风险承受度、风险管理有效性标准，选择风险承担、风险规避、风险转移、风险转换、风险对冲、风险补偿、风险控制等适合的风险管理工具的总体策略，并确定风险管理所需人力和财力资源的配置原则。
风险管理策略的总体定位：
（1）是根据企业经营战略制定的总体策略；
（2）在整个风险管理体系中起着统领全局的作用；
（3）在企业战略管理过程中起着承上启下的作用，制定与企业战略保持一致的风险管理策略减少了企业战略错误的可能性。
风险管理策略的总体定位决定了风险管理策略的作用：
（1）为企业的总体战略服务，保证企业经营目标的实现；
（2）连接企业的整体经营战略和运营活动；
（3）指导企业的一切风险管理活动；
（4）分解为各领域的风险管理指导方针。
（二）风险管理策略的组成部分
（1）风险偏好和风险承受度。明确要承担什么风险，承担多少。
（2）全面风险管理的有效性标准。明确怎样衡量成效。
（3）风险管理的工具选择。明确怎样管理重大风险。
（4）全面风险管理的资源配置。明确如何安排风险管理资源。
（三）风险管理策略的工具
风险管理工具共有七种：
①风险承担。
②风险规避。
③风险转移。
④风险转换。
⑤风险对冲。
⑥风险补偿。
⑦风险控制。
详细解释：
1，风险承担。风险保留、风险自留。A→A
【解释】A→A：以前的风险是 A，现在的风险仍然是 A，风险还是那个风险。企业对所面临的风险采取接受的态度，承担风险带来的后果。
【适用条件】
A：对未能辨识出的风险，企业只能采用风险承担。
B：对于辨识出的风险，原因如下：
①缺乏能力进行主动管理，对这部分风险只能承担；
②没有其他备选方案；
③从成本效益考虑，这一方案是最适宜的方案。
重大风险，影响到目标实现的风险，一般不应采用风险承担。
2，风险规避。A→0
【解释】A→0：风险 A 直接变为 0。
企业回避、停止或退出蕴含某一风险的商业活动或商业环境，避免成为风险的所有人。例如：
（1）退出某一市场以避免激烈竞争；
（2）拒绝与信用不好的交易对手进行交易；
（3）外包某项对工人健康安全风险较高的工作；
（4）停止生产可能有潜在客户安全隐患的产品；
（5）禁止各业务单位在金融市场进行投机；
（6）不准员工访问某些网站或下载某些内容。
3，风险转移。A→－p
【解释】A→－p：以前的风险是 A，我们通过支付一定的费用（-P）转移给第三方。
企业通过合同将风险转移到第三方，企业对转移后的风险不再拥有所有权。转移风险不会降低其可能的严重程度，只是从一方转移到另一方。例如：
（1）保险：保险合同规定保险公司为预定的损失支付补偿，投保人要向保险公司支付保险费。
（2）非保险型的风险转移：将风险可能导致的财务风险损失负担转移给非保险机构。例如，服务保证书等。
（3）风险证券化：将风险事件作为保险标的，通过构造和在资本市场上发行保险连接型证券，使保险市场上的风险得以分散。这种证券的利息支付和本金偿还取决于某个风险事件的发生或严重程度。
4，风险转换。A1→A2
【解释】A1→A2：由以前的风险 A1 转换成了现在的风险 A2。 风险转换指企业通过战略调整等手段将企业面临的风险转换成另一个风险。风险转换的手段包括战略调整和衍生产品等。
风险转换一般不会直接降低企业总的风险，其简单形式就是在减少某一风险的同时，增加另一风险。例如，通过放松交易客户信用标准，增加了应收账款，但扩大了销售。
企业可以通过风险转换在两个或多个风险之间进行调整，以达到最佳效果。可以在低成本或者无成本的情况下达到目的。
5，风险对冲。A1＋A2→0
【解释】A1＋A2→0：企业曾经的风险是 A1，企业不愿承担 A1 的风险，企业可以通过引进 A2 的风险，使得 A2 和原来的 A1 进行对冲进而使风险变为 0。
风险对冲是指采取各种手段，引入多个风险因素或承担多个风险，使得这些风险能够互相冲抵，也就是使这些风险的影响互相抵销。组合分散
常见的例子有资产组合使用、多种外币结算的使用和战略上的多种经营等。在金融资产风险管理中，对冲也包括使用衍生产品，如利用期货进行套期保值。
在企业面临的风险中，有些风险具有自然对冲的性质，应当加以利用。例如，不同行业的经济周期风险对冲。
风险对冲不是针对单一风险，而是涉及风险组合；对于单一风险，只能采用风险规避、风险控制等其他工具。
【注意】风险规避是曾经有风险 A1，现在企业不要 A1 了，不冒 A1 的险，从而使得风险变为了 0。而风险对冲是 A1 的风险企业依然有，而且企业还引入了 A2 的风险，这两个风险合在一起变成 0 了。
6，风险补偿。A→A＋m
【解释】A→A+m：企业以前的风险是 A，现在对风险 A 可能造成的损失主动采取适当的措施 m。风险补偿是指企业对风险可能造成的损失采取适当的措施进行补偿。风险补偿表现在企业主动承担风险，并采取措施以补偿可能的损失。
风险补偿的形式有财务补偿、人力补偿、物资补偿等。
财务补偿是损失融资，包括企业自身的风险准备金或应急资本等。
7，风险控制。A→A－
【解释】A→A－：由原来的风险 A 变成了A－，减少了发生的概率和发生的损失。
风险控制是指控制风险事件发生的动因、环境、条件等，来达到减轻风险事件发生时的损失或降低风险事件发生的概率的目的。
通常影响某一风险的因素有很多。风险控制可以通过控制这些因素中的一个或多个来达到目的。如：室内使用不易燃地毯、山上禁止吸烟，修建水坝防洪，设立质量检查防止次品出厂。
风险控制对象一般是可控风险，包括多数运营风险，如质量、安全和环境风险，以及合规性风险。
风险管理策略工具的表示
①风险承担：A→A 未辨识，没能力，没选择，成本高
②风险规避：A→0 stop
③风险转移：A→－p 大挪移：保险、非保险，证券化
④风险转换：A1→A2 手套换兜子
⑤风险对冲：A1＋A2→0 资产组合，分散，衍生品
⑥风险补偿：A→A＋m 主动承担并补偿 人财物＋外部资源
⑦风险控制：A→A－ 降低损失或概率
一般情况下：
对战略、财务、运营和法律风险，可采取风险承担、风险规避、风险转换、风险控制等方法。
对能够通过保险、期货、对冲等金融手段进行理财的风险，可以采用风险转移、风险对冲、风险补偿等方法。
（四）确定风险偏好和风险承受度
风险偏好和风险承受度是风险管理策略的重要组成部分。针对公司的重大风险制定。
一般来讲，风险偏好和风险承受度是针对公司的重大风险制定的，对非重大风险不一定要十分明确， 甚至可以先不提出。 企业风险偏好依赖于企业风险评估的结果，持续评估，并调整自己的风险偏好。重大风险的风险偏好是企业的重大决策，应由董事会决定。
（五）风险度量
1，关键在于量化
风险承受度的表述需要对所针对的风险进行量化描述。风险偏好可以只定性，但风险承受度一定要定量。
2，风险度量方法
常用的风险度量方法包括：
①最大可能损失：不考虑概率；
②概率值：损失发生的概率或可能性；
③期望值：概率乘以影响；
④波动性：反映数据的离散程度；
⑤在险值：又称 VaR，在正常的市场条件下，在给定的时间段和给定的置信区间内，预期可能发生的最大损失；
⑥直观方法：专家意见法、层次分析法（AHP）。
3，选择适当的风险度量模型
4，风险量化的困难
方法误差、数据、信息系统、整合管理。
（六）风险管理的有效性标准。原则如下:
（1）风险管理的有效性标准要针对企业的重大风险，能够反映企业重大风险管理的现状；
（2）风险管理有效性标准应当对照全面风险管理的总体目标，在所有五个方面保证企业的运营效果；
（3）风险管理有效性标准应当在企业的风险评估中应用，并根据风险的变化随时调整；
（4）风险管理有效性标准应当用于衡量全面风险管理体系的运行效果。
（七）风险管理的资源配置
（八）确定风险管理的优先顺序
1，风险管理的优先顺序
风险管理的优先顺序体现了企业的风险偏好。因此要找到一种普适性的方法来确定风险管理的优先顺序是很困难的。
一个很重要的原则是，风险与收益相平衡的原则。
首先解决“颠覆性”风险问题，保证企业持续发展。
2，确定风险管理的优先顺序应考虑的因素
根据风险与收益平衡原则，确定风险管理的优先顺序可以考虑以下几个因素：
（1）风险事件发生的可能性和影响；
（2）风险管理的难度
（3）风险的价值或管理可能带来的收益；
（4）合规的需要；
（5）对企业技术、人力、资金的需求；
（6）利益相关者的要求。
（九）风险管理策略检查
企业应定期总结和分析已制定的风险管理策略的有效性和合理性，结合实际不断修订和完善。其中， 应重点检查依据风险偏好、风险承受度和风险控制预警线实施的结果是否有效，并提出定性或定量的有效性标准。
二，风险理财措施
（一）风险理财概述
1，风险理财的一般概念
风险理财是用金融手段管理风险。
2，风险理财的必要性
风险理财是全面风险管理的重要组成部分。
3，风险理财的特点
（1）风险理财的手段既不改变风险事件发生的可能性，也不改变风险事件可能引起的直接损失程度。
（2）风险理财需要判断风险的定价，因此量化的标准较高，即不仅需要风险事件的可能性和损失的分布，更需要量化风险本身的价值。
（3）风险理财的应用范围一般不包括声誉等难以衡量价值的风险，也难以消除战略失误造成的损失。
（4）风险理财手段技术性强，许多风险理财工具本身具有比较复杂的风险特性，使用不当容易造成重大损失。
4，风险理财与公司理财
风险理财过去被认为是公司财务管理的一部分，现在则认为其在很多情况下超出了公司财务管理的范畴。具体表现在：
（1）风险理财注重风险因素对现金流的影响；
（2）风险理财影响公司资本结构，注意以最低成本获得现金流；
（3）风险理财成为公司战略的有机部分，其风险经营的结果直接影响公司整体价值的提升。
5，风险理财创造价值
传统的风险理财是损失理财，即为可能发生的损失融资，补偿风险造成的财务损失，如购买保险。传统的风险理财的目的是降低公司承担的风险。
与损失理财相反，公司可能通过使用金融工具来承担额外的风险，改善公司的财务状况，创造价值。
（二）选择风险理财策略与方案的原则和要求
1，与整体风险管理策略一致。
2，与公司所面对风险的性质相匹配。
3，选择风险理财工具的要求。选择风险理财工具时，要考虑如下几点：合规的要求；可操作性；法律法规环境；企业的熟悉程度；风险理财工具的风险特征。不同的风险理财手段可能适用同一风险。
4，成本和收益的平衡。
（三）两类主要的风险理财措施：
1，损失事件管理
（1）损失融资
损失融资是为风险事件造成的财物损失融资，是从风险理财的角度进行损失事件的事前、事后管理， 是损失事件管理中最有共性，也是最重要的部分。
企业损失分为预期损失和非预期损失，损失事件融资分为预期损失融资和非预期损失融资。预期损失融资一般作为运营资本的一部分，而非预期损失融资则是属于风险资本的范畴。
（2）风险资本
风险资本即除经营所需的资本之外，公司补偿风险造成的财务损失而需要的资本，是使一家公司破产的概率低于某一给定水平所需的资金，因此取决于公司的风险偏好。
（3）应急资本
应急资本是一个金融合约，规定在某一时间段内、某个特定事件发生的情况下公司有权从应急资本提供方处募集股本或贷款（或资产负债表上的其他实收资本项目），并为此按时间向资本提供方缴纳权力费，这里特定事件称为触发事件（触媒）。
应急资本费用、利息和额度在合同签订时约定。
应急资本最简单的形式是公司为满足特定条件下的经营需要而从银行获得的信贷额度，一般通过与银行签订协议加以明确，比如信用证、循环信用工具等。
应急资本具有如下特点：
①应急资本的提供方并不承担特定事件的风险，只是在事件发生并造成损失后提供用于弥补损失、持续经营的资金。事后公司要向资本提供者归还这部分资金，并支付相应的利息。
②应急资本是一个综合运用保险和资本市场技术设计和定价的产品。与保险不同，应急资本不涉及风险的转移，是企业风险补偿策略的一种方式。
③应急资本是一个在一定条件下的融资选择权，公司可以不使用这个权利。
④应急资本可以提供经营持续性的保证。
（4）保险
保险是一种金融合约。保险是风险转移的传统手段。
保险合同降低了购买保险一方的风险，因为他把损失的风险转移给了保险公司。而保险公司则是通过损失的分散化来降低自己的风险。
可保风险是纯粹风险：机会风险不可保。运用保险这种工具实施风险转移策略只适合一定的条件。
（5）专业自保
专业自保公司又称专属保险公司，是非保险公司的附属机构，为母公司提供保险，并由其母公司筹集保险费，建立损失储备金。几乎所有的大跨国公司都有专业自保公司。
专业自保的特点是：由被保险人所有和控制，要承保其母公司的风险，但可以通过租借的方式承保其他公司的保险，不在保险市场上开展业务。
2，套期保值
（1）对金融衍生产品的选择
①金融衍生产品的概念和类型。
衍生产品是其价值决定于一种或多种基础资产或指数的金融合约。包括：远期合约、互换交易、期货、期权。
第一、远期合约。
远期合约指合约双方同意在未来日期按照事先约定的价格交换金融资产的合约， 该合约会指明买卖的商品或金融工具的种类、价格及交割结算的日期。远期合约是必须履行的协议。
与期货不同，其合约条件是量身定制，通过场外交易达成，而期货是交易所买卖的标准化合约。远期合约是现金交易，是场外交易。
主要有远期利率协议、远期外汇合约、远期股票合约。
第二、互换交易。
互换交易主要是指对相同货币的债务和不同货币的债务通过金融中介进行互换的一种行为。
种类包括：
利率互换：货币相同，固定利率和浮动利率互换。
货币互换：不同货币的本金和固定利息交换。
商品互换。
其他互换：股权互换、信用互换、气候互换（碳互换）和期权互换等。
第三、期货。
期货是指在约定的将来某个日期按约定的条件买入或卖出某种一定标准数量、质量的资产。标准化合约。期货价格通过公开竞价而达成。集中在交易所，但也有柜台交易。
主要类型：商品期货、外汇期货、利率期货、股票指数期货。
第四、期权。
期权是在某一特定日期或该日期之前的任何时间以规定的价格购买或者出售某种规定的资产的权利。
最大魅力在于买方将风险锁定在一定范围之内。
期权合约内容一般包括：标的，执行价格，到期日，行权方式（美式欧式），期权价格。
期权包括看涨期权和看跌期权。
②运用衍生产品进行风险管理的主要思路是：
第一、增加自己愿意承担的风险；
第二、消除或减少自己不愿承担的风险；
第三、转换不同的风险。
③衍生产品及其交易的特点是：
第一、未来性。
第二、灵活性。
第三、杠杆性。
第四、风险性。
第五、虚拟性。
④运用衍生产品进行风险管理要满足以下条件：
第一、合法合规；
第二、与公司的业务和发展战略保持一致；
第三、建立完善的内部控制措施，包括授权、计划、报告、监督、决策等流程和规范；
第四、采用能够准确反映风险状况的风险计量方法，明确头寸、损失、风险限额；
第五、建立完善的信息沟通机制，保证头寸、损失、风险敞口的报告及时可靠；
第六、合格的操作人员。
（2）套期保值与投机
套期保值是为冲抵风险，相反的是投机。
套期保值的目的是降低风险，投机的目的是承担额外的风险以盈利。套期保值的结果是降低了风险，投机的结果是增加了风险。
（3）期货套期保值
①期货价格与现货价格。
绝大多数期货合约不会在到期日用标的物兑现。期货价格表现的是市场对标的物的远期预期价格。“基差”的概念用来表示标的物的现货价格与所用合约的期货价格之差。基差在期货合约到期日为零，在此之前可正可负。一般而言，离到期日越近，基差（绝对值）就越小。
②期货的套期保值。
期货的套期保值亦称为期货对冲，是指为配合现货市场上的交易，而在期货市场上做与现货市场商品相同或相近但交易部位相反的买卖行为，以便将现货市场的价格波动的风险在期货市场上抵销。
保值基本原理就在于某一特定商品的期货价格和现货价格受相同的经济因素影响和制约。利用期货套期保值有两种方式：
第一、空头期货套期保值（怕下跌）；
第二、多头套期保值（怕上涨）。
③期货投机的风险。
（4）期权套期保值
①利用期权套期保值。
期权作为对冲的工具可以起到相似保险的作用。
②期权投机的风险。
期权也可以作为投机的工具，但风险更大。
综上所述，运用风险理财措施要明确以下几点：
（1）风险理财是全面风险管理的重要组成部分，在对许多风险的管理上，有着不可替代的地位和作用；
（2）风险理财形式多样，应用灵活，时效性强，具有许多其他手段不可比拟的优点；
（3）风险理财技术性强，需要相关人才、知识、组织结构、程序和法律环境；
（4）风险理财手段的不当使用，包括策略错误和内控失灵，可能带来巨大的损失。因此风险理财本身的风险管理尤为重要。
三，风险管理的组织职能体系
（一）规范的公司法人治理结构
企业应建立健全规范的公司法人治理结构，形成高效运转、有效制衡的监督约束机制。同时，还应建立外部董事、独立董事制度，以保证董事会能够在重大决策、重大风险管理等方面做出独立于经理层的判断和选择。
董事会就全面风险管理工作的有效性对股东（大）会负责。
董事会在全面风险管理方面主要履行以下职责：
（1）审议并向股东（大）会提交企业全面风险管理年度工作报告；
（2）确定企业风险管理总体目标、风险偏好、风险承受度，批准风险管理策略和重大风险管理解决方案；
（3）了解和掌握企业面临的各项重大风险及其风险管理现状，做出有效控制风险的决策；
（4）批准重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制；
（5）批准重大决策的风险评估报告；
（6）批准内部审计部门提交的风险管理监督评价审计报告
（7）批准风险管理组织机构设置及其职责方案；
（8）批准风险管理措施，纠正和处理任何组织或个人超越风险管理制度做出的风险性决定的行为；
（9）督导企业风险管理文化的培育；
（10）全面风险管理的其他重大事项。
（二）风险管理委员会
具备条件的企业，董事会可下设风险管理委员会。该委员会的召集人应由不兼任总经理的董事长担任；董事长兼任总经理的，召集人应由外部董事或独立董事担任。该委员会成员中需有熟悉企业重要管理及业务流程的董事，以及具备风险管理监管知识或经验、具有一定法律知识的董事。
风险管理委员会对董事会负责，主要履行以下职责：
（1）提交全面风险管理年度报告；
（2）审议风险管理策略和重大风险管理解决方案；
（3）审议重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制，以及重大决策的风险评估报告；
（4）审议内审部门提交的风险管理监督评价审计综合报告；
（5）审议风险管理组织机构设置及其职责方案
（6）办理董事会授权的有关全面风险管理的其他事项。
（三）风险管理职能部门
企业应设立专职部门或确定相关职能部门履行全面风险管理的职责。该部门对总经理或其委托的高级管理人员负责，主要履行以下职责：
（1）研究提出全面风险管理工作报告；
（2）研究提出跨职能部门的重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制；
（3）研究提出跨职能部门的重大决策风险评估报告；
（4）研究提出风险管理策略和跨职能部门的重大风险管理解决方案，并负责该方案的组织实施和对该风险的日常监控；
（5）负责对全面风险管理有效性的评估，研究提出全面风险管理的改进方案；
（6）负责组织建立风险管理信息系统；
（7）负责组织协调全面风险管理日常工作；
（8）负责指导、监督有关职能部门、各业务单位以及全资、控股子企业开展全面风险管理工作；
（9）办理风险管理的其他有关工作。
（四）审计委员会
企业应在董事会下设立审计委员会，企业内部审计部门对审计委员会负责。内部审计部门在风险管理方面，主要负责研究提出全面风险管理监督评价体系，制定监督评价相关制度，开展监督与评价， 出具监督评价审计报告。
1，审计委员会履行职责的方式
董事会应决定委派给审计委员会的责任。
审计委员会每年至少举行三次会议，并于审计周期的主要日期举行。审计委员会应每年至少与外聘及内部审计师会面一次，讨论与审计相关的事宜，但管理层无须出席。
审计委员会应每年对其权限及其有效性进行复核，并就必要的人员变更向董事会报告。
2，审计委员会与合规
审计委员会的主要活动之一是核查对外报告的情况。审计委员会一般有责任确保企业履行对外报告的义务。审计委员会应结合企业财务报表的编制情况，对重大的财务报告事项和判断进行复核。管理层的责任是编制财务报表，审计师的责任是编制审计计划和执行审计。
审计委员会应倾听审计师对于这些问题的看法。如果对拟采用的财务报告的任何方面不满意，审计委员会应告知董事会。
3，审计委员会与内部审计
确保充分且有效的内部控制是审计委员会的义务，其中包括负责监督内部审计部门的工作。审计委员会应监察和评估内部审计职能。它批准对内部审计主管的任命和解聘，并确保内部审计部门能直接与董事长或董事会主席接触。
审计委员会复核及评估年度内部审计工作计划。审计委员会还应确保内部审计部门提出的合理建议得到执行。审计委员会有助于保持内部审计部门对压力或干涉的独立性。审计委员会在四个主要方面对内部审计进行复核，即组织中的地位、职能范围、技术才能和专业应尽义务。
（五）企业其他职能部门及各业务单位
（1）执行风险管理基本流程；
（2）研究提出本职能部门或业务单位重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制；
（3）研究提出本职能部门或业务单位的重大决策风险评估报告；
（4）做好本职能部门或业务单位建立风险管理信息系统的工作；
（5）做好培育风险管理文化的有关工作；
（6）建立健全本职能部门或业务单位的风险管理内部控制子系统；
（7）办理风险管理其他有关工作。
（六）下属公司
企业应通过法定程序，指导和监督其全资、控股子企业建立与企业相适应或符合全资、控股子企业自身特点、能有效发挥作用的风险管理组织体系。
四，风险管理信息系统
企业应将信息技术应用于风险管理的各项工作。
企业应采取措施确保向风险管理信息系统输入的业务数据和风险量化值的一致性、准确性、及时性、可用性和完整性。对输入信息系统的数据，未经批准，不得更改。
风险管理信息系统应能够进行对各种风险的计量和定量分析、定量测试。 风险管理信息系统应实现信息在各职能部门、业务单位之间的集成与共享。
企业应确保风险管理信息系统的稳定运行，并根据实际需要不断进行改进、完善或更新。
已建立的企业，应补充、调整、更新已有的管理流程和管理程序，建立完善的风险管理信息系统； 尚未建立的，应将风险管理与企业各项管理业务流程、管理软件统一规划、统一设计、统一实施、同步运行。
五，内部控制系统
内部控制系统，指围绕风险管理策略目标，针对各项重要业务及其管理，通过执行风险管理基本流程，制定并执行的规章制度、程序和措施。
（一）COSO 委员会关于内部控制的定义与框架
定义是“公司的董事会、管理层及其他人士为实现以下目标提供合理保证而实施的程序：运营的效益和效率，财务报告的可靠性和遵守适用的法律法规。”
COSO 委员会特别指出：
（1）是一个实现目标的程序及方法，而其本身并非目标；
（2）只提供合理保证，而非绝对保证；
（3）要由企业中各级人员实施与配合。
COSO 委员会提出的《内部控制——整合框架》提出了内部控制的三项目标和五大要素：
内部控制的三项目标包括：取得经营的效率和有效性；确保财务报告的可靠性；遵循适用的法律法规。
内部控制的五大要素包括：控制环境、风险评估、控制活动、信息与沟通、监控
五要素的关系
（二）我国内部控制规范体系
我国企业内部控制规范体系由《基本规范》、《企业应用指引》、《评价指引》和《审计指引》构成。
《基本规范》的目标和五大要素：
内部控制的目标包括：合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整；提高经营效率和效果；促进企业实现发展战略。
内部控制的五大要素包括：内部环境、风险评估、控制活动、信息与沟通、内部监督。
（三）内部控制的要素
1，控制环境
（1）COSO《内部控制框架》的要求与原则要求：
控制环境决定了企业的基调，直接影响企业员工的控制意识。控制环境提供了内部控制的基本规则和构架，是其他四要素的基础。控制环境包括员工的诚信度、职业道德和才能；管理哲学和经营风格； 权责分配方法、人事政策；董事会的经营重点和目标等。
原则：
①企业对诚信和道德价值观做出承诺。
②董事会独立于管理层，对内部控制的制定及其绩效实施监控。
③管理层在董事会的监控下，确立目标实现过程中所涉及的组织架构、报告路径以及适当的权利和责任。
④企业致力于吸引、发展和留任优秀人才，以配合企业达成目标。
⑤企业根据其目标，使员工各自担负起内部控制的相关责任。
（2）我国《基本规范》的要求
①企业应当建立规范的公司治理结构和议事规则。
②董事会负责内部控制的建立健全和有效实施。监事会对董事会建立与实施内部控制进行监督。经理层负责组织领导企业内部控制的日常运行。
③企业应当在董事会下设立审计委员会。
④企业应当结合业务特点和内部控制要求设置内部机构，明确职责权限，将权利与责任落实到各责任单位。
⑤企业应当加强内部审计工作，保证内部审计机构设置、人员配备和工作的独立性。
⑥企业应当制定和实施有利于企业可持续发展的人力资源政策。
⑦企业应当将职业道德修养和专业胜任能力作为选拔和聘用员工的重要标准，切实加强员工培训和继续教育，不断提升员工素质。
⑧企业应当加强文化建设，企业员工应当遵守员工行为守则，认真履行岗位职责。
⑨企业应当加强法制教育。
2，风险评估
（1）COSO《内部控制框架》的要求与原则要求：
风险评估的前提是使经营目标在不同层次上相互衔接，保持一致。风险评估指识别、分析相关风险以实现既定目标，从而形成风险管理的基础。
由于经济、产业、法规和经营环境的不断变化，需要确立一套机制来识别和应对由这些变化带来的风险。
原则：
①企业制定足够清晰的目标，以便识别和评估有关目标所涉及的风险。
②企业从整个企业的角度来识别实现目标所涉及的风险，分析风险，并据此决定应如何管理这些风险；
③企业在评估影响目标实现的风险时，考虑潜在的舞弊行为；
④企业识别并评估可能会对内部控制系统产生重大影响的变更。
（2）我国《基本规范》的要求
①企业应当根据设定的控制目标，全面系统持续地收集相关信息。
②企业开展风险评估，应当准确识别与实现控制目标相关的内部风险和外部风险，确定相应的风险承受度。
③企业识别内部风险。
④企业识别外部风险。
⑤企业应当采用定性与定量相结合的方法，按照风险发生的可能性及其影响程度等，对识别的风险进行分析和排序，确定关注重点和优先控制的风险。
⑥企业应当根据风险分析的结果，结合风险承受度，权衡风险与收益，确定风险应对策略。企业应当合理分析、准确掌握董事、经理及其他高级管理人员、关键岗位员工的风险偏好，采取适当的控制措施，避免因个人风险偏好给企业经营带来重大损失。
⑦企业应当综合运用风险规避、风险降低、风险分担和风险承受等风险应对策略，实现对风险的有效控制。
⑧企业应当结合不同发展阶段和业务拓展情况，持续收集与风险变化相关的信息，进行风险识别和风险分析，及时调整风险应对策略。
3，控制活动
（1）COSO《内部控制框架》关于控制活动要素的要求与原则要求：
控制活动指那些有助于管理层决策顺利实施的政策和程序。
控制行为有助于确保实施必要的措施以管理风险，实现经营目标。控制行为体现在整个企业的不同层次和不同部门中。
包括诸如批准、授权、查证、核对、复核经营业绩、资产保护和职责分工等活动。
原则：
①企业选择并制定有助于将目标实现风险降低至可接受水平的控制活动。
②企业进行技术选择并制定一般控制政策。
③企业通过政策和程序来部署控制活动：政策用来确定所期望的
目标；程序则将政策付诸于行动。
（2）我国《基本规范》关于控制活动的要求
①企业应当结合风险评估结果，将风险控制在可承受度之内。控制措施一般包括：不相容职务分离控制、授权审批控制、会计系统控制、财产保护控制、预算控制、运营分析控制和绩效考评控制等。
②不相容职务分离控制要求企业全面系统地分析、梳理业务流程中所涉及的不相容职务，实施相应的分离措施，形成各司其职、各负其责、相互制约的工作机制。
③授权审批控制要求企业根据常规授权和特别授权的规定，明确各岗位办理业务和事项的权限范围、审批程序和相应责任。企业各级管理人员应当在授权范围内行使职权和承担责任。
④会计系统控制要求企业严格执行国家统一的会计准则制度，加强会计基础工作，明确会计凭证、会计账簿和财务会计报告的处理程序，保证会计资料真实完整。
⑤财产保护控制要求企业建立财产日常管理制度和定期清查制度，采取财产记录、实物保管、定期盘点、账实核对等措施，确保财产安全。企业应当严格限制未经授权的人员接触和处置财产。
⑥预算控制要求企业实施全面预算管理制度，明确各责任单位在预算管理中的职责权限，规范预算的编制、审定、下达和执行程序，强化预算约束。
⑦运营分析控制要求企业建立运营情况分析制度，经理层应当综合运用生产、购销、投资、筹资、财务等方面的信息，通过因素分析、对比分析、趋势分析等方法，定期开展运营情况分析，发现存在的问题，及时查明原因并加以改进。
⑧绩效考评控制要求企业建立和实施绩效考评制度，科学设置考核指标体系。
⑨企业应当根据内部控制目标，结合风险应对策略，综合运用控制措施，对各种业务和事项实施有效控制。
⑩企业应当建立重大风险预警机制和突发事件应急处理机制，明确风险预警标准，对可能发生的重大风险或突发事件，制定应急预案、明确责任人员、规范处置程序，确保突发事件得到及时妥善处理。
4，信息与沟通
（1）COSO《内部控制框架》关于信息与沟通要素的要求与原则要求：
公允的信息必须被确认、捕获并以一定形式及时传递，以便员工履行职责。
信息系统产出涵盖经营、财务和遵循性信息的报告，以助于经营和控制企业。信息系统不仅处理内部产生的信息，还包括与企业经营决策和对外报告相关的外部事件、行为和条件等。
有效的沟通从广义上说是信息的自上而下、横向以及自下而上的传递。所有员工必须从管理层得到准确的信息，认真履行控制职责；员工必须理解自身在整个内控系统中的位置，理解个人行为与其他员工工作的相关性。员工必须有向上传递重要信息的途径。同时，与外部诸如客户、供应商、管理当局和股东之间也需要有效的沟通。
原则：
①企业选择、制定并实行持续及/或单独的评估，以判定内部控制各要素是否存在日发挥效用。
②企业及时评估内部控制缺陷，并将有关缺陷及时通报给负责整改措施的相关方，包括高级管理层和董事会（如适当）。企业选择并制定有助于将目标实现风险降低至可接受水平的控制活动。
（2）我国《基本规范》关于信息与沟通要素的要求
①企业应当建立信息与沟通制度，明确内部控制相关信息的收集、处理和传递程序，确保信息及时沟通，促进内部控制有效运行。
②企业应当对收集的各种内部信息和外部信息进行合理筛选、核对、整合，提高信息的有用性。企业可以通过财务会计资料、经营管理资料、调研报告、专项信息、内部刊物、办公网络等渠道，获取内部信息。企业可以通过行业协会组织、社会中介机构、业务往来单位、市场调查、来信来访、网络媒体以及有关监管部门等渠道，获取外部信息。
③企业应当将内部控制相关信息在企业内部各管理级次、责任单位、业务环节之间，以及企业与外部投资者、债权人、客户、供应商、中介机构和监管部门等有关方面之间进行沟通和反馈。信息沟通过程中发现的问题，应当及时报告并加以解决。重要信息应当及时传递给董事会、监事会和经理层。
④企业应当利用信息技术促进信息的集成与共享，充分发挥信息技术在信息与沟通中的作用。
⑤企业应当建立反舞弊机制，明确反舞弊工作的重点领域、关键环节和有关机构在反舞弊工作中的职责权限，规范舞弊案件的举报、调查、处理、报告和补救程序。
⑥企业应当建立举报投诉制度和举报人保护制度，设置举报专线，明确举报投诉处理程序、办理时限和办结要求，确保举报、投诉成为企业有效掌握信息的重要途径。
5，监控
（1）COSO《内部控制框架》关于监控要素的要求与原则要求：
内部控制系统需要被监控，即对该系统有效性进行评估的全过程。可以通过持续性的监控行为、独立评估或两者的结合来实现对内控系统的监控。
持续性的监控行为发生在企业的日常经营过程中，包括企业的日常管理和监督行为、员工履行各自职责的行为。
独立评估活动的广度和频度有赖于风险预估和日常监控程序的有效性。内部控制的缺陷应该自下而上进行汇报，性质严重的应上报最高管理层和董事会。
原则：
①企业选择、制定并实行持续及/或单独的评估，以判定内部控制各要素是否存在且发挥效用。
②企业及时评估内部控制缺陷，并将有关缺陷及时通报给负责整改措施的相关方，包括高级管理层和董事会（如适当）。企业选择并制定有助于将目标实现风险降低至可接受水平的控制活动。
（2）我国《基本规范》关于内部监督要素的要求
①企业应当根据本规范及其配套办法，制定内部控制监督制度，明确内部审计机构（或经授权的其他监督机构）和其他内部机构在内部监督中的职责权限，规范内部监督的程序、方法和要求。
②企业应当制定内部控制缺陷认定标准，对监督过程中发现的内部控制缺陷，应当分析缺陷的性质和产生的原因，提出整改方案，采取适当的形式及时向董事会、监事会或者经理层报告。
③企业应当结合内部监督情况，定期对内部控制的有效性进行自我评价，出具内部控制自我评价报告。内部控制自我评价的方式、范围、程序和频率，由企业根据经营业务调整、经营环境变化、业务发展状况、实际风险水平等自行确定。国家有关法律法规另有规定的，从其规定。
④企业应当以书面或者其他适当的形式，妥善保存内部控制建立与实施过程中的相关记录或者资料，确保内部控制建立与实施过程的可验证性。
第五节 风险管理技术与方法
一、头脑风暴法
又称智力激励法、BS 法、自由思考法，是指刺激并鼓励一群知识渊博、知悉风险情况的人员畅所欲言，开展集体讨论的方法。
适用范围：
适用于在风险识别阶段充分发挥专家意见，对风险进行定性分析。
实施步骤：
（1）会前准备：确定参与人、主持人和要讨论识别的风险主题。
（2）风险主题展开探讨：由主持人公布会议主题并介绍与风险主题相关的情况；突破思维惯性， 大胆进行联想；主持人控制好时间，力争在有限的时间内获得尽可能多的创意性设想。
（3）风险主题探讨意见分类与整理。
主要优点：
（1）激发了专家想象力，有助于发现新的风险和全新的解决方案；
（2）主要的利益相关者参与其中，有助于进行全面沟通；
（3）速度较快并易于开展。
局限性：
（1）参与者可能缺乏必要的技术或知识，无法提出有效的建议；
（2）头脑风暴法的实施过程和参与者提出的意见容易分散，较难保证全面性；
（3）集体讨论时可能出现特殊情况，导致某些有重要观点的人保持沉默而其他人成为讨论的主角。
二、德尔菲法（DELPHI METHOD）
又名专家意见法，是在一组专家中取得可靠共识的程序，其基本特征是专家单独、匿名表达各自的观点，同时随着过程的进展，他们有机会了解其他专家的观点。德尔菲法采用背对背的通信方式征询专家小组成员的意见，专家之间不得互相讨论，不发生横向联系，只能与调查人员发生关系。通过反复填写问卷，搜集各方意见，以形成专家之间的共识。
适用范围：
适用于在专家一致性意见基础上，对风险进行定性分析。逐轮收集意见并为专家反馈信息是德尔菲法的主要环节。
主要优点：
（1）由于观点是匿名的，因此更有可能表达出那些不受欢迎的看法；
（2）所有观点有相同的权重，避免重要人物占主导地位；
（3）专家不必一次聚集在某个地方，比较方便；
（4）这种方法具有广泛的代表性。
局限性：
（1）权威人士的意见影响他人的意见；
（2）有些专家碍于情面，不愿意发表与其他人不同的意见；
（3）出于自尊心而不愿意修改自己原来不全面的意见。
三、失效模式、影响和危害度分析法（FMECA）
失效模式影响及危害度分析法（故障模式，影响及危害性分析），可用来分析、审查系统的潜在故障模式。
适用范围：
适用于对失效模式、影响及危害进行定性或定量分析，还可以对其他风险识别方法提供数据支持。广泛应用于产品的设计与开发、生产和使用等阶段的风险管理，旨在发现缺陷和薄弱环节，为提高产品或服务质量和可靠性水平提供改进依据。
实施步骤：
（1）将系统分成组件或步骤，并确认各部分出现明显故障的方式，造成这些失效模式的具体机制，故障可能产生的影响。
（2）根据故障结果的严重性，将每个识别出的失效模式进行分类并确定风险等级。
（3）识别风险优先级。
（4）列出一份失效模式、失效机制及其对系统影响的清单，该清单将包含系统失效的可能性、失效模式导致的风险程度等结果，如果使用合适的故障率资料和定量后果，FMECA 可以输出定量结果。
主要优点：
（1）广泛适用于人力，设备和系统失效模式，以及硬件、软件和程序；
（2）识别组件失效模式及其原因和对系统的影响，同时用可读性较强的形式表现出来；
（3）能够在设计初期发现问题，避免了开支较大的设备改造；
（4）识别单个失效模式适应系统安全的需要。
局限性：
（1）只能识别单个失效模式，无法同时识别多个失效模式；
（2）除非得到充分控制并集中充分精力，否则采用此法较耗时且开支较大。
四、流程图分析法（FLOW CHARTS ANALYSIS）
对流程的每一阶段、每一环节逐一进行调查分析，从中发现潜在风险，找出导致风险发生的因素， 分析风险产生后可能造成的损失以及对整个组织可能造成的不利影响。
适用范围：
通过业务流程图方法，对企业生产或经营中的风险及其成因进行定性分析。
实施步骤：
（1）根据企业实际绘制业务流程图；
（2）识别流程图上各业务节点的风险因素，并予以重点关注；
（3）针对风险及产生原因，提出监控和预防的方法。
主要优点：
流程图分析法是识别风险最常用的方法之一。它清晰明了，易于操作，且组织规模越大，流程越复杂，流程图分析法就越能体现出优越性。
局限性：
使用效果依赖于专业人员的水平。
五、马尔科夫分析法（MARKOV ANALYSIS）
如果系统未来的状态仅取决于其现在的状况，那么就可以使用马尔科夫分析。
适用范围：
适用于对复杂系统中不确定性事件及其状态改变的定量分析。
实施步骤：
（1）调查不确定性事件各状态及其变化情况；
（2）建立数学模型；
（3）求解模型，得到风险事件各个状态发生的可能性。
主要优点：
能够计算出具有维修能力和多重降级状态的系统的概率。
局限性：
（1）无论是故障还是维修，都假设状态变化的概率是固定的；
（2）所有事项在统计上具有独立性，因此未来的状态独立于一切过去的状态，除非两个状态紧密相接；
（3）需要了解状态变化的各种概率；
（4）有关矩阵运算的知识比较复杂，非专业人士很难看懂。
六、风险评估系图法
风险评估系图可以识别某一风险是否会对企业产生重大影响，并将此结论与风险发生的可能性联系起来，为确定企业风险的优先次序提供框架。
适用范围：适用于对风险初步的定性分析。
通过风险评估系图可以分析每种风险的重大程度及影响。同时在风险评估系图中可以做更细致的划分，便于对风险进行比较。
主要优点：
作为一种简单的定性方法，为企业确定各项风险重要性等 级提供了可视化的工具，直观明了。
局限性：
（1）需要主观判断，可能影响使用的准确性;
（2）所确定的风险重要性等级是通过相互比较确定的，因而无法将列示的个别风险重要性等级通过数学运算得到总体风险的重要性等级;
（3）如需要进一步探求风险原因，则采用该方法过于简单，缺乏经验证明和数据支持。
七、情景分析法
情景分析法可用来预计威胁和机遇可能发生的方式。
在周期较短及数据充分的情况下，可以从现有情景中推断出未来可能出现的情景。对于周期较长或数据不充分的情况，情景分析法的有效性更依赖于合乎情理的想象力。
适用范围：适用于对企业面临的风险进行定性和定量分析。
实施步骤：
（1）建立团队和相关沟通渠道，确定需要处理的问题和事件的背景。
（2）确定可能出现的变化的性质。
（3）对主要因素、趋势变化的可能进行研究、预测。
主要优点：对于未来变化不大的情况能够给出比较精确的模拟结果。
局限性：
（1）在存在较大不确定性的情况下，模拟有些情景可能不够现实；
（2）对数据的有效性以及分析师和决策者开发现实情境的能力有很高的要求；
（3）将情景分析法作为一种决策工具，所用情景可能缺乏充分的基础，数据可能具有随机性。
八、敏感性分析法
敏感性分析是针对潜在的风险性，研究项目的各种不确定因素变化至一定幅度时，计算其主要经济指标变化率及敏感程度的一种方法。敏感性分析是在确定性分析的基础上，进一步分析不确定性因素对项目最终效果指标的影响及影响程度。
适用范围：适用于对项目不确定性对结果产生的影响进行的定量分析。
实施步骤：
（1）选定不确定因素，并设定这些因素的变动范围；
（2）确定分析指标；
（3）进行敏感性分析；
（4）绘制敏感性分析图；
（5）确定变化的临界点。
主要优点：
（1）为决策者提供有价值的参考信息；
（2）可以清晰地为风险分析指明方向；
（3） 可以帮助企业制定紧急预案。
局限性：
（1）分析所需要的数据经常缺乏，无法提供可靠的参数变化；
（2）分析时借助公式计算，没有考虑各种不确定因素在未来发生变动的概率，无法给出各参数的变化情况，因此其分析结果可能和实际相反。
九、事件树分析法（ETA）
事件树（EVENT TREE ANALYSIS，ETA）是一种表示初始事件发生之后互斥性后果的图解技术。适用范围：适用于具有多种环节的故障发生以后，对各种可能后果进行定性和定量分析。
实施步骤：
（1）挑选初始事件。初始事件可能是粉尘爆炸这样的事故或是停电这样的事项。
（2）顺序列出那些旨在缓解结果的现有功能或系统。用一条线来表示每个功能或系统成功（用“是”表示）或失败（用“否”表示）。
（3）在每条线上标注一定的失效概率，同时通过专家判断或故障树分析的方法来估算这种条件概率。这样，初始事件的不同途径就得以建模。
注意，事件树的可能性是一种有条件的可能性。
主要优点：
（1）ETA 以清晰的图形显示了经过分析的初始事项之后的潜在情景，以及缓解系统或功能成败产生的影响；
（2）它能说明时机、依赖性，以及很繁琐的多米诺效应；
（3）它生动地体现事件的顺序。
局限性：
（1）为了将 ETA 作为综合评估的组成部分，一切潜在的初始事项都要进行识别，这可能需要使用其他分析方法（如危害及可操作研究法），但总是有可能错过一些重要的初始事项；
（2）事件树只分析了某个系统的成功及故障状况，很难将延迟成功或恢复事项纳入其中；
（3）任何路径都取决于路径上以前分支点处发生的事项。因此，要分析各可能路径上众多从属因素。然而，人们可能会忽视某些从属因素，如常见组件、应用系统以及操作员等。如果不认真处理这些从属因素，就会导致风险评估过于乐观。
十、决策树法
在不确定性情况下，以序列方式表示决策选择和结果。类似于事件树，决策树开始于初因事项或是最初决策，同时由于可能发生的事项及可能做出的决策的各种路径和结果进行建模。
适用范围：适用于对不确定性投资方案期望收益的定量分析。
主要优点：
（1）为决策问题的细节提供了一种清楚的图解说明；
（2）能够计算得到一种情形的最优路径。
局限性：
（1）大的决策树可能过于复杂，不容易与其他人交流；
（2）为了能够用树形图表示，可能有过于简化环境的倾向。
十一、统计推论法
统计推论是进行项目风险评估和分析的一种十分有效的方法，是根据过去和现在的发展趋势推断未来的一类方法的总称，它可分为前推、后推和旁推三种类型。
适用范围：适合于各种风险分析预测。
实施步骤：
（1）收集并整理与风险相关的历史数据；
（2）选择合适的评估指标并给出数学模型；
（3）根据数学模型和历史数据预测未来风险发生的可能性和损失大小。
主要优点：
（1）在数据充足可靠的情况下简单易行；
（2）应用领域广泛
局限性：
（1）由于历史事件的前提和环境已发生了变化，不一定适用于今天或未来；
（2）没有考虑事件的因果关系，使外推结果可能产生较大偏差。为了修正这些偏差，有时必须在历史数据的处理中加入专家或集体的经验修正。
第六章 风险与风险管理
第一节 风险与风险管理概述
一，风险的概念与构成要素
（一）风险的概念
国资委 2006 年发布的《中央企业全面风险管理指引》将企业风险定义为“未来的不确定性对企业实现其经营目标的影响”，并以能否为企业带来盈利等机会为标志，将风险分为纯粹风险（只有损失） 和机会风险（“带来损失”和“盈利”的可能性并存）。
理解这个定义需要把握以下几个方面：
（1）企业风险与企业战略相关。
（2）风险是一系列可能发生的结果，不能简单理解为最有可能的结果。“范围”这个概念对应了众多的不确定性
（3）风险既具有客观性，又具有主观性。
（4）风险往往与机遇并存。
（二）风险的构成要素
风险因素、风险事件（事故）、损失三个基本要素构成。
1，风险要素
风险因素是指促使某一风险事件发生，或增加其发生的可能性，或提高其损失程度的原因或条件。它是风险事件发生的潜在原因，是造成损失的内在或间接原因。
根据其性质，可以分为有形风险因素和无形风险因素（道德风险因素和心理风险因素）。
2，风险事件（事故）
风险事件是指造成损失的偶发事故。
风险事件的发生使潜在的危险转化成为现实的损失。风险事件是导致损失的直接原因。
风险事件发生的根源主要有自然力作用、社会经济变动、人的行为等。火灾 、洪水、地震、车祸、核泄漏、疾病、股市崩盘等都是导致财产损失的风险事件。
3，损失
损失是指非故意的、非预期的、非计划的经济价值的减少。
包括两方面：一是非故意的、非预期的和非计划的；二是经济价值（即能以货币衡量的价值）的减少，二者缺一不可。
折旧和馈赠不含有第一个方面的内容；某人因受到惊吓而精神失常，不属于经济价值减少的情况。均不能称其为损失。 损失可分为直接损失和间接损失两种类型
直接损失是实质损失；间接损失是派生损失，包括额外费用损失、收入损失和责任损失等。间接损失有时大于直接损失。
4，风险因素、风险事件、损失三者的关系
风险因素、风险事件和损失相互依存、相互作用。
风险因素引起风险事件发生或增加其发生的概率；
风险事件的发生造成损失；
损失的发生使风险因素和风险事件得以呈现或暴露，使风险最终形成。
二，风险管理的概念，目标和演进
（一）风险管理的概念
1.风险管理的定义与特征
《中央企业全面风险管理指引》对风险管理给出如下定义：“全面风险管理，指企业围绕总体经营目标，通过在企业管理的各个环节和经营过程中执行风险管理的基本流程，培育良好的风险管理文化，建立健全全面风险管理体系，包括风险管理策略、风险理财措施、风险管理的组织职能体系、风险管理信息系统和内部控制系统，从而为实现风险管理的总体目标提供合理保证的过程和方法。”
全面风险管理具有以下特征：
（1）战略性。主要运用于企业战略管理层面。
（2）全员性。由企业治理层、管理层和所有员工参与的。
（3）专业性。专业人才实施专业化管理。
（4）二重性。既要管理纯粹的风险，也要管理机会风险。
（5）系统性。有系统规范的方法体系。
2.风险偏好与风险承受度
风险偏好是企业希望承受的风险范围，公司希望承担什么风险和承担多少风险。
风险承受度是指企业风险偏好的边界，分析风险承受度可以将其作为企业采取行动的预警指标， 企业可以设置若干承受度指标，以显示不同的警示级别。
风险偏好是一个企业运营风格的体现，受到企业利益相关各方价值取向和利益追求方式的影响和调节。
风险偏好和风险承受度概念提出的意义在于研究企业风险和收益的关系，明确了企业的风险偏好和风险承受度，企业就能够把握在风险和收益之间如何选择平衡点。
（二）风险管理的目标
①确保将风险控制在与公司总体目标相适应并可承受的范围内；
②确保内外部，尤其是企业与股东之间实现真实、可靠的信息沟通，包括编制和提供真实、可靠的财务报告；
③确保遵守有关法律法规；
④确保企业有关规章制度和为实现经营目标而采取重大措施的贯彻执行，保障经营管理的有效性， 提高经营活动的效率和效果，降低实现经营目标的不确定性；
⑤确保企业建立针对各项重大风险发生后的危机处理计划，保护企业不因灾害性风险或人为失误而遭受重大损失。
（三）风险管理的演进与新发展
1，风险管理的演进
1992 年 COSO 委员会发布《企业内部控制——整合框架》。
2004 年 COSO 委员会发布《企业风险管理——整合框架》。
2006 年 6 月我国国务院国资委以通知的形式，印发《中央企业全面风险管理指引》。
2008 年 5 月我国财政部会同证监会、审计署、银监会、保监会制定并印发了《企业内部控制基本规范》，自 2009 年 7 月 1 日起在上市公司范围内施行，并鼓励非上市的大中型企业执行。
2，风险管理的新发展
2013 年 12 月 COSO 委员会正式发布新内控框架。
2017 年发布《企业风险管理—— 整合战略和绩效（2017）》。
2018 年国际标准化委员会发布新版《ISO31000：组织的风险管理国际标准》。
2019 年我国国资委印发给中央企业《关于加强中央企业内部控制体系建设与监督工作的实施意见》。
2015 年 COSO 委员会发布《网络时代的内部控制》白皮书。相关国际标准有 ISO27000 系列标准和信息及相关技术的控制目标 COBIT。
第二节 企业面对的主要风险
一，外部风险
（一）政治风险。
是指完全或部分由政府官员行使权力和政府组织的行为而产生的不确定性。适用于国内外所有市场。
主要表现：
（1）限制投资领域。
（2）设置贸易壁垒。
（3）外汇管制的规定。欠发达国家外汇管制规定更严格。
（4）进口配额和关税。
（5）组织结构及要求最低持股比例。
（6）限制向东道国的银行借款。
（7）没收资产。
（二）法律风险与合规风险
合规风险是指因违反法律或监管要求而受到制裁、遭受金融损失以及因未能遵守所有适用法律、法规、行为准则或相关标准而给企业信誉带来的损失的可能性。
法律风险是指企业在经营过程中因自身经营行为的不规范或者外部法律环境发生重大变化而造成的不利法律后果的可能性。
法律风险通常包括以下三方面：
一是法律环境因素，包括立法不完备、执法不公正等；
二是市场主体自身法律意识淡薄，在经营活动中不考虑法律因素等；
三是交易对方的失信、违约或欺诈等。
合规风险侧重于行政责任和道德责任的承担，而法律风险侧重于民事责任的承担。合规风险和法律风险有时会同时发生。
依据《中央企业全面风险管理指引》，法律风险与合规风险至少要考虑以下几个方面：
（1）国内外与企业相关的政治、法律环境可能引发的风险；
（2）影响企业的新法律法规和政策可能引发的风险；
（3）员工的道德操守可能引发的风险；
（4）企业签订的重大协议和有关贸易合同可能引发的风险；
（5）企业发生重大法律纷案件可能引发的风险；
（6）企业和竞争对手的知识产权可能引发的风险。
（三）社会文化风险
文化风险就是指文化这一不确定性因素给企业经营活动带来的影响。
从文化风险成因来看，主要有以下方面：
（1）跨国经营活动引发的文化风险。文化的差异直接影响着管理的实践，构成经营中的文化风险。
（2）企业并购活动引发的文化风险。并购活动导致企业双方文化的直接碰撞与交流。
（3）组织内部因素引发的文化风险。组织文化的变革、组织员工队伍的多元文化背景会导致个人层面的文化风险。
（四）技术风险
广义的技术风险是指某一种新技术对另一个行业或另一些企业形成巨大的威胁。
狭义的技术风险就是技术在创新过程中，由于技术本身复杂性和其他相关因素变化产生的不确定性而导致技术创新遭遇失败的可能性。（技术创新风险）
从技术活动过程所处的不同阶段考察，可以划分为
技术设计风险
技术设计风险是指技术在设计阶段，由于技术构思或设想的不全面性致使技术及技术系统存在先天“缺陷”或创新不足而引发的各种风险。
技术研发风险
技术研发风险是指在技术研究或开发阶段，外界环境变化的不确定性、技术研发项目本身的难度和复杂性、技术研发人员自身知识和能力的有限性都可能导致技术的研发面临着失败的危险。
技术应用风险
技术应用风险是指技术成果在产品化、产业化的过程中由一系列不确定性带来的负面影响或效应。
（五）市场风险
指企业所面对的市场复杂性和变动性所带来的与经营相关的风险。
市场风险可以考虑以下几个方面：
（1）产品或服务的价格及供需变化带来的风险。
（2）能源、原材料、配件等物资供应的充足性、稳定性和价格的变化带来的风险。
（3）主要客户、主要供应商的信用风险。
（4）税收政策和利率、汇率、股票价格指数的变化带来的风险。
（5）潜在进入者、竞争者与替代品的竞争带来的风险。
二，内部风险
（一）战略风险
战略风险至少要考虑以下几个方面∶
（1）国内外宏观经济政策和经济运行情况、企业所在产业的状况、国家产业政策可能引发的风险；
（2）科技进步、技术创新可能引发的风险；
（3）市场对企业产品或服务的需求可能引发的风险；
（4）与企业战略合作伙伴的关系、寻求战略合作伙伴可能引发的风险；
（5）企业主要客户、供应商及竞争对手可能引发的风险；
（6）与主要竞争对手相比，企业实力与差距可能引发的风险；
（7）企业编制发展战略和规划、投融资计划、年度经营目标、经营战略可能引发的风险；
（8）企业对外投融资过程中曾发生或易发生错误的业务流程或环节可能引发的风险
企业战略风险具体体现在以下三个方面：
（1）缺乏明确的发展战略或发展战略实施不到位，可能导致企业盲目发展，难以形成竞争优势， 丧失发展机遇和动力。
（2）发展战略过于激进，脱离企业实际能力或偏离主业，可能导致企业过度扩张，甚至经营失败。
（3）发展战略因主观原因频繁变动，可能导致资源浪费，甚至危及企业的生存和持续发展。
（二）运营风险
运营风险是指企业在运营过程中，由于内外部环境的复杂性和变动性以及主体对环境的认知能力和适应能力的有限性，而导致运营失败或使运营活动达不到预期目标的可能性及损失。
（1）运营风险至少要考虑：
①企业产品结构、新产品研发方面可能引发的风险
②企业新市场开发，市场营销策略方面可能引发的风险；
③企业组织效能、管理现状、企业文化，高、中层管理人员和重要业务流程中专业人员的知识结构、专业经验等方面可能引发的风险；
④期货等衍生产品业务发生失误带来的风险
⑤质量、安全、环保、信息安全等管理发生失误导致的风险；
⑥因企业内外部人员的道德风险或业务控制系统失灵导致的风险。
⑦给企业造成损失的自然灾害等风险。
⑧企业现有业务流程和信息系统操作运行情况的监管、运行评价及持续改进能力方面引发的风险；
（2）从内部控制角度展开 14 个主要运营风险。
①组织架构。需关注的主要风险包括：
第一，治理结构形同虚设，缺乏科学决策、良性运行机制和执行力，可能导致企业经营失败，难以实现发展战略。
第二，内部机构设计不科学，权责分配不合理，可能导致机构重叠、职能交叉或缺失、推诿扯皮， 运行效率低下。
②人力资源。需关注的主要风险包括：
第一，人力资源缺乏或过剩、结构不合理、开发机制不健全，可能导致企业发展战略难以实现。（招人）
第二，人力资源激励约束制度不合理、关键岗位人员管理不完善，可能导致人才流失、经营效率低下或关键技术、商业秘密和国家机密泄露。（用人）
第三，人力资源退出机制不当，可能导致法律诉讼或企业声誉受损。（辞人）
③社会责任。需关注的主要风险包括：
第一，安全生产措施不到位，责任不落实，可能导致企业发生安全事故。
第二，产品质量低劣，侵害消费者利益，可能导致企业巨额赔偿、形象受损，甚至破产。
第三，环境保护投入不足，资源耗费大，造成环境污染或资源枯竭，可能导致企业巨额赔偿、缺乏发展后劲，甚至停业。
第四，促进就业和员工权益保护不够，可能导致员工积极性受挫，影响企业发展和社会稳定。
④企业文化。需关注的主要风险包括：
第一，缺乏积极向上的企业文化，可能导致员工丧失对企业的信心和认同感，企业缺乏凝聚力和竞争力。
第二，缺乏开拓创新、团队协作和风险意识，可能导致企业发展目标难以实现，影响可持续发展。
第三，缺乏诚实守信的经营理念，可能导致舞弊事件的发生，造成企业损失，影响企业信誉。
第四，忽视企业间的文化差异和理念冲突，可能导致并购重组失败。
⑤采购业务。需关注的主要风险包括：
第一，采购计划安排不合理，市场变化趋势预测不准确，造成库存短缺或积压，可能导致企业生产停滞或资源浪费。（采购前）
第二，供应商选择不当，采购方式不合理，招投标或定价机制不科学，授权审批不规范，可能导致采购物资质次价高，出现舞弊或遭受欺诈。（采购中）
第三，采购验收不规范，付款审核不严，可能导致采购物资、资金损失或信用受损。（收货后）
⑥资产管理。需关注的主要风险包括：
第一，存货积压或短缺，可能导致流动资金占用过量、存货价值贬损或生产中断。
第二，固定资产更新改造不够、使用效能低下、维护不当、产能过剩，可能导致企业缺乏竞争力、资产价值贬损、安全事故频发或资源浪费。
第三，无形资产缺乏核心技术、权属不清、技术落后、存在重大技术安全隐患，可能导致企业出现法律纠纷、缺乏可持续发展能力。
⑦销售业务。需关注的主要风险包括：
第一，销售政策和策略不当，市场预测不准确，销售渠道管理不当等，可能导致销售不畅、库存积压、经营难以为继。（卖不出去）
第二，客户信用管理不到位，结算方式选择不当，账款回收不力等，可能导致销售款项不能收回或遭受欺诈。（收不回钱）
第三，销售过程存在舞弊行为，可能导致企业利益受损。（舞弊）
⑧研究与开发。需关注的主要风险包括：
第一，研究项目未经科学论证或论证不充分，可能导致创新不足或资源浪费。（研发前）
第二，研发人员配备不合理或研发过程管理不善，可能导致研发成本过高、舞弊或研发失败。（研发中）
第三，研究成果转化应用不足、保护措施不力，可能导致企业利益受损。（研发后）
⑨工程项目。需关注的主要风险包括：
（1）立项缺乏可行性研究或者可行性研究流于形式，决策不当，盲目上马，可能导致难以实现预期效益或项目失败。（立项）
（2）项目招标“暗箱操作”，存在商业贿赂，可能导致中标人实质上难以承担工程项目、中标价格失实及相关人员涉案。（招标）
（3）工程造价信息不对称，技术方案不落实，概预算脱离实际，可能导致项目投资失控。（造价）
（4）工程物资质次价高，工程监理不到位，项目资金不落实，可能导致工程质量低劣，进度延迟或中断。（建设）
（5）竣工验收不规范，最终把关不严，可能导致工程交付使用后存在重大隐患。（验收）
⑩担保业务。需关注的主要风险包括：
第一，对担保申请人的资信状况调查不深。审批不严或越权审批，可能导致企业担保决策失误或遭受欺诈。（担保前）
第二，对被担保人出现财务困难或经营陷入困境等状况监控不力，应对措施不当，可能导致企业承担法律责任。（担保中）
第三，担保过程中存在舞弊行为，可能导致经办审批等相关人员涉案或企业利益受损。（舞弊）
⑪业务外包。需关注的主要风险包括：
第一，外包范围和价格确定不合理，承包方选择不当，可能导致企业遭受损失。（外包前）
第二，业务外包监控不严、服务质量低劣，可能导致企业难以发挥业务外包的优势。（外包中）
第三，业务外包存在商业贿赂等舞弊行为，可能导致企业相关人员涉案。（舞弊）
⑫合同管理。需关注的主要风险包括：
第一，未订立合同、未经授权对外订立合同、合同对方主体资格未达要求、合同内容存在重大疏漏和欺诈，可能导致企业合法权益受到侵害。（合同前）
第二，合同未全面履行或监控不当，可能导致企业诉讼失败、经济利益受损。（合同中）
第三，合同纠纷处理不当，可能损害企业利益、信誉和形象。（纠纷）
⑬内部信息传递。需关注的主要风险包括：
第一，内部报告系统缺失、功能不健全、内容不完整，可能影响生产经营有序运行。（管道有问题）
第二，内部信息传递不通畅、不及时，可能导致决策失误、相关政策措施难以落实。（管道不通畅）
第三，内部信息传递中泄露商业秘密，可能削弱企业核心竞争力。（漏）
⑭信息系统。需关注的主要风险包括：
第一，信息系统缺乏或规划不合理，可能造成信息孤岛或重复建设，导致企业经营管理效率低下。（基础差）
第二，系统开发不符合内部控制要求，授权管理不当，可能导致无法利用信息技术实施有效控制。（开发和管理不当）
第三，系统运行维护和安全措施不到位，可能导致信息泄露或毁损，系统无法正常运行。（维护和安全不到位）
（三）财务风险
财务风险是指企业在生产经营过程中，由于内外部环境的各种难以预料或无法控制的不确定性因素的作用，使企业在一定时期内所获取的财务收益与预期收益发生偏差的可能性。
客观存在，只能降低，不可能完全消除。
1，财务风险所要考虑的主要方面。
（1）企业负债、负债率、偿债能力方面可能引发的风险；
（2）现金流、应收账款及其占销售收入的比重、资金周转率方面可能引发的风险；
（3）产品存货及其占销售成本的比重、应付账款及其占购货额的比重方面可能引发的风险；
（4）制造成本和管理费用、财务费用、营业费用方面可能引发的风险；
（5）盈利能力方面可能引发的风险；
（6）成本核算、资金结算和现金管理业务中曾发生或易发生错误的业务流程或环节可能引发的风险；
（7）与企业相关的产业会计政策、会计估算，与国际会计制度的差异与调节（如退休金、递延税项等）等信息方面可能引发的风险。
2，从内部控制角度展开 3 个主要财务风险。
（1）全面预算。需关注的主要风险包括：
①不编制预算或预算不健全，可能导致企业经营缺乏约束或盲目经营。（没有或不全）
②预算目标不合理、编制不科学，可能导致企业资源浪费或发展战略难以实现。（有，但不科学）
③预算缺乏刚性、执行不力、考核不严，可能导致预算管理流于形式。（落实有问题）
（2）资金活动。需关注的主要风险包括：
①筹资决策不当，引发资本结构不合理或无效融资，可能导致企业筹资成本过高或债务危机。
②投资决策失误，引发盲目扩张或丧失发展机遇，可能导致资金链断裂或资金使用效益低下。
③资金调度不合理、营运不畅，可能导致企业陷入财务困境或资金冗余。
④资金活动管控不严，可能导致资金被挪用、侵占、抽逃或企业遭受欺诈。
（3）财务报告。需关注的主要风险包括：
①编制财务报告违反会计法律法规和国家统一的会计准则制度，可能导致企业承担法律责任和声誉受损。
②提供虚假财务报告，误导财务报告使用者，造成决策失误，干扰市场秩序。
③不能有效利用财务报告，难以及时发现企业经营管理中存在的问题，可能导致企业财务和经营风险失控。
第三节 风险管理基本流程
一、收集风险管理初始信息
要广泛地、持续不断地收集相关的内部外部初始信息，包括历史数据和未来预测。收集职责分工落实到各有关职能部门和业务单位。
根据所分析的风险类型具体展开：
（1）分析战略风险。
（2）分析财务风险。
（3）分析市场风险。
（4）分析运营风险。
（5）分析法律风险。
二、进行风险评估
风险辨识是指查找企业各业务单元、各项重要经营活动及其重要业务流程中有无风险，有哪些风险。
风险分析是对辨识出的风险及其特征进行明确的定义描述，分析和描述风险发生可能性的高低、风险发生的条件。
风险评价是评估风险对企业实现目标的影响程度、风险的价值等。评估多项风险时，应初步确定管理优先顺序和策略。
三、制定风险管理策略
风险管理策略，是指企业根据自身条件和外部环境，围绕企业发展战略，确定风险偏好、风险承受度、风险管理有效性标准，选择风险承担、风险规避、风险转移、风险转换、风险对冲、风险补偿、风险控制等适合的风险管理工具的总体策略，并确定风险管理所需人力和财力资源的配置原则。
根据风险的不同类型选择其适宜的风险管理策略。
一个关键环节是企业应根据不同业务特点统一确定风险偏好和风险承受度。正确认识和把握风险与收益的平衡，防止和纠正两种错误倾向：一是忽视风险；二是单纯为规避风险而放弃发展机遇。
在制定风险管理策略时，还应根据风险与收益相平衡的原则以及各风险在风险坐标图上的位置，进一步确定风险管理的优选顺序，明确风险管理成本的资金预算和控制风险的组织体系、人力资源、应对措施等总体安排。
对于已经制定和实施的风险管理策略，企业应定期总结和分析已制定的风险管理策略的有效性和合理性，结合实际不断修订和完善。
四、提出和实施风险管理解决方案
（一）风险管理解决方案的两种类型
1.外部解决方案。
外部解决方案一般指外包。
2.内部解决方案。
风险管理体系：风险管理策略；组织职能；内部控制（简称“内控”），包括政策、制度、程序； 信息系统，包括报告体系；风险理财措施。
企业制定内控措施，一般至少包括以下内容：
（1）建立内控岗位授权制度。
（2）建立内控报告制度。
（3）建立内控批准制度。
（4）建立内控责任制度。
（5）建立内控审计检查制度。
（6）建立内控考核评价制度。
（7）建立重大风险预警制度。
（8）建立健全以总法律顾问制度为核心的企业法律顾问制度。
（9）建立重要岗位权力制衡制度，明确规定不相容职责的分离。
（二）关键风险指标管理
关键风险指标管理是对引起风险事件发生的关键成因指标进行管理的方法。
关键风险指标管理可以管理单项风险的多个关键成因，也可以管理影响企业主要目标的多个主要风险。
1.关键风险指标管理的步骤
（1）分析风险成因，从中找出关键成因；例如，假设公司现在关心的主要目标是年度盈利指标， 那么影响年度盈利指标的风险因素有许多，包括年度销售额、原材料价格、制造成本、销售成本、投资收入、利息、应收账款等。经过数据分析，认定影响盈利的主要风险是信用风险，其代表性的风险事件是客户还款不及时，导致应收账款大量增加。
（2）将关键成因量化，确定其度量，分析确定导致风险事件发生（或极有可能发生）时该成因的具体数值。上例中，将应收账款进一步量化，得到月度坏账损失额、每日未回收的应收账款和客户结构变化率等三个量化指标，并得出预警值。
（3）以该具体数值为基础，以发出风险信息为目的，加上或减去一定数值后形成新的数值，该数值即为关键风险指标。
（4）建立风险预警系统，即当关键成因数值达到关键风险指标时，发出风险预警信息。
（5）制定出现风险预警信息时应采取的风险控制措施。
（6）跟踪监测关键成因的变化，一旦出现预警，即实施风险控制措施。
2.关键风险指标分解
关键风险指标的分解要注意职能部门和业务单位之间的协调。关键是从企业整体出发和把风险控制在一定范围内。对一个具体单位而言，不可采用“最大化”的说法。比如，信用管理部门负责信用风险的管理，如果其强调最小化信用风险，紧缩信用，则会给负责扩大市场占有率和销量的市场和销售部门造成伤害，从而影响公司整体目标的实现。
对于关键风险指标的分解，要兼顾各职能部门和业务单位的诉求。一个可行的方法是在企业的总体领导和整体战略的指导下进行部门和业务单位间的协调。
（三）落实风险管理解决方案
（1）高度重视风险管理，充分认识风险管理是企业时刻不可放松的工作，是企业价值创造的根本源泉。
（2）风险管理是企业全员的分内工作，没有风险的岗位是不创造价值的岗位，没有理由存在。
（3）将风险管理方案落实到各级各类组织，明确分工和责任。
（4）对风险管理解决方案的实施进行持续监控改进，并把实施情况与绩效考核联系起来，以确保工作的效果。
五，风险管理的监督与改进
企业应以重大风险、重大事件和重大决策、重要管理及业务流程为重点，对实施情况进行监督，采用压力测试、返回测试、穿行测试以及风险控制自我评估等方法对风险管理的有效性进行检验，根据变化情况和存在的缺陷及时加以改进。
有关部门和业务单位：自查和检验，报告报送风险管理职能部门。风险管理职能部门：检查和检验有效性，评估建议，报高管。
内部审计部门：每年至少一次对包括风险管理职能部门在内的各有关部门和业务单位进行监督评价，报董事会或董事会下设的风险管理委员会和审计委员会。
企业可聘请有资质、信誉好、风险管理专业能力强的中介机构对企业全面风险管理工作进行评价， 出具风险管理评估和建议专项报告。
报告一般应包括以下几方面的实施情况、存在缺陷和改进建议：
（1）风险管理基本流程与风险管理策略；
（2）企业重大风险、重大事件和重要管理及业务流程的风险管理及内部控制系统的建设；
（3）风险管理组织体系与信息系统；
（4）全面风险管理总体目标。
第四节 风险管理体系
一，风险管理策略
（一）风险管理策略总体定位与作用
风险管理策略，指企业根据自身条件和外部环境，围绕企业发展战略，确定风险偏好、风险承受度、风险管理有效性标准，选择风险承担、风险规避、风险转移、风险转换、风险对冲、风险补偿、风险控制等适合的风险管理工具的总体策略，并确定风险管理所需人力和财力资源的配置原则。
风险管理策略的总体定位：
（1）是根据企业经营战略制定的总体策略；
（2）在整个风险管理体系中起着统领全局的作用；
（3）在企业战略管理过程中起着承上启下的作用，制定与企业战略保持一致的风险管理策略减少了企业战略错误的可能性。
风险管理策略的总体定位决定了风险管理策略的作用：
（1）为企业的总体战略服务，保证企业经营目标的实现；
（2）连接企业的整体经营战略和运营活动；
（3）指导企业的一切风险管理活动；
（4）分解为各领域的风险管理指导方针。
（二）风险管理策略的组成部分
（1）风险偏好和风险承受度。明确要承担什么风险，承担多少。
（2）全面风险管理的有效性标准。明确怎样衡量成效。
（3）风险管理的工具选择。明确怎样管理重大风险。
（4）全面风险管理的资源配置。明确如何安排风险管理资源。
（三）风险管理策略的工具
风险管理工具共有七种：
①风险承担。
②风险规避。
③风险转移。
④风险转换。
⑤风险对冲。
⑥风险补偿。
⑦风险控制。
详细解释：
1，风险承担。风险保留、风险自留。A→A
【解释】A→A：以前的风险是 A，现在的风险仍然是 A，风险还是那个风险。企业对所面临的风险采取接受的态度，承担风险带来的后果。
【适用条件】
A：对未能辨识出的风险，企业只能采用风险承担。
B：对于辨识出的风险，原因如下：
①缺乏能力进行主动管理，对这部分风险只能承担；
②没有其他备选方案；
③从成本效益考虑，这一方案是最适宜的方案。
重大风险，影响到目标实现的风险，一般不应采用风险承担。
2，风险规避。A→0
【解释】A→0：风险 A 直接变为 0。
企业回避、停止或退出蕴含某一风险的商业活动或商业环境，避免成为风险的所有人。例如：
（1）退出某一市场以避免激烈竞争；
（2）拒绝与信用不好的交易对手进行交易；
（3）外包某项对工人健康安全风险较高的工作；
（4）停止生产可能有潜在客户安全隐患的产品；
（5）禁止各业务单位在金融市场进行投机；
（6）不准员工访问某些网站或下载某些内容。
3，风险转移。A→－p
【解释】A→－p：以前的风险是 A，我们通过支付一定的费用（-P）转移给第三方。
企业通过合同将风险转移到第三方，企业对转移后的风险不再拥有所有权。转移风险不会降低其可能的严重程度，只是从一方转移到另一方。例如：
（1）保险：保险合同规定保险公司为预定的损失支付补偿，投保人要向保险公司支付保险费。
（2）非保险型的风险转移：将风险可能导致的财务风险损失负担转移给非保险机构。例如，服务保证书等。
（3）风险证券化：将风险事件作为保险标的，通过构造和在资本市场上发行保险连接型证券，使保险市场上的风险得以分散。这种证券的利息支付和本金偿还取决于某个风险事件的发生或严重程度。
4，风险转换。A1→A2
【解释】A1→A2：由以前的风险 A1 转换成了现在的风险 A2。 风险转换指企业通过战略调整等手段将企业面临的风险转换成另一个风险。风险转换的手段包括战略调整和衍生产品等。
风险转换一般不会直接降低企业总的风险，其简单形式就是在减少某一风险的同时，增加另一风险。例如，通过放松交易客户信用标准，增加了应收账款，但扩大了销售。
企业可以通过风险转换在两个或多个风险之间进行调整，以达到最佳效果。可以在低成本或者无成本的情况下达到目的。
5，风险对冲。A1＋A2→0
【解释】A1＋A2→0：企业曾经的风险是 A1，企业不愿承担 A1 的风险，企业可以通过引进 A2 的风险，使得 A2 和原来的 A1 进行对冲进而使风险变为 0。
风险对冲是指采取各种手段，引入多个风险因素或承担多个风险，使得这些风险能够互相冲抵，也就是使这些风险的影响互相抵销。组合分散
常见的例子有资产组合使用、多种外币结算的使用和战略上的多种经营等。在金融资产风险管理中，对冲也包括使用衍生产品，如利用期货进行套期保值。
在企业面临的风险中，有些风险具有自然对冲的性质，应当加以利用。例如，不同行业的经济周期风险对冲。
风险对冲不是针对单一风险，而是涉及风险组合；对于单一风险，只能采用风险规避、风险控制等其他工具。
【注意】风险规避是曾经有风险 A1，现在企业不要 A1 了，不冒 A1 的险，从而使得风险变为了 0。而风险对冲是 A1 的风险企业依然有，而且企业还引入了 A2 的风险，这两个风险合在一起变成 0 了。
6，风险补偿。A→A＋m
【解释】A→A+m：企业以前的风险是 A，现在对风险 A 可能造成的损失主动采取适当的措施 m。风险补偿是指企业对风险可能造成的损失采取适当的措施进行补偿。风险补偿表现在企业主动承担风险，并采取措施以补偿可能的损失。
风险补偿的形式有财务补偿、人力补偿、物资补偿等。
财务补偿是损失融资，包括企业自身的风险准备金或应急资本等。
7，风险控制。A→A－
【解释】A→A－：由原来的风险 A 变成了A－，减少了发生的概率和发生的损失。
风险控制是指控制风险事件发生的动因、环境、条件等，来达到减轻风险事件发生时的损失或降低风险事件发生的概率的目的。
通常影响某一风险的因素有很多。风险控制可以通过控制这些因素中的一个或多个来达到目的。如：室内使用不易燃地毯、山上禁止吸烟，修建水坝防洪，设立质量检查防止次品出厂。
风险控制对象一般是可控风险，包括多数运营风险，如质量、安全和环境风险，以及合规性风险。
风险管理策略工具的表示
①风险承担：A→A 未辨识，没能力，没选择，成本高
②风险规避：A→0 stop
③风险转移：A→－p 大挪移：保险、非保险，证券化
④风险转换：A1→A2 手套换兜子
⑤风险对冲：A1＋A2→0 资产组合，分散，衍生品
⑥风险补偿：A→A＋m 主动承担并补偿 人财物＋外部资源
⑦风险控制：A→A－ 降低损失或概率
一般情况下：
对战略、财务、运营和法律风险，可采取风险承担、风险规避、风险转换、风险控制等方法。
对能够通过保险、期货、对冲等金融手段进行理财的风险，可以采用风险转移、风险对冲、风险补偿等方法。
（四）确定风险偏好和风险承受度
风险偏好和风险承受度是风险管理策略的重要组成部分。针对公司的重大风险制定。
一般来讲，风险偏好和风险承受度是针对公司的重大风险制定的，对非重大风险不一定要十分明确， 甚至可以先不提出。 企业风险偏好依赖于企业风险评估的结果，持续评估，并调整自己的风险偏好。重大风险的风险偏好是企业的重大决策，应由董事会决定。
（五）风险度量
1，关键在于量化
风险承受度的表述需要对所针对的风险进行量化描述。风险偏好可以只定性，但风险承受度一定要定量。
2，风险度量方法
常用的风险度量方法包括：
①最大可能损失：不考虑概率；
②概率值：损失发生的概率或可能性；
③期望值：概率乘以影响；
④波动性：反映数据的离散程度；
⑤在险值：又称 VaR，在正常的市场条件下，在给定的时间段和给定的置信区间内，预期可能发生的最大损失；
⑥直观方法：专家意见法、层次分析法（AHP）。
3，选择适当的风险度量模型
4，风险量化的困难
方法误差、数据、信息系统、整合管理。
（六）风险管理的有效性标准。原则如下:
（1）风险管理的有效性标准要针对企业的重大风险，能够反映企业重大风险管理的现状；
（2）风险管理有效性标准应当对照全面风险管理的总体目标，在所有五个方面保证企业的运营效果；
（3）风险管理有效性标准应当在企业的风险评估中应用，并根据风险的变化随时调整；
（4）风险管理有效性标准应当用于衡量全面风险管理体系的运行效果。
（七）风险管理的资源配置
（八）确定风险管理的优先顺序
1，风险管理的优先顺序
风险管理的优先顺序体现了企业的风险偏好。因此要找到一种普适性的方法来确定风险管理的优先顺序是很困难的。
一个很重要的原则是，风险与收益相平衡的原则。
首先解决“颠覆性”风险问题，保证企业持续发展。
2，确定风险管理的优先顺序应考虑的因素
根据风险与收益平衡原则，确定风险管理的优先顺序可以考虑以下几个因素：
（1）风险事件发生的可能性和影响；
（2）风险管理的难度
（3）风险的价值或管理可能带来的收益；
（4）合规的需要；
（5）对企业技术、人力、资金的需求；
（6）利益相关者的要求。
（九）风险管理策略检查
企业应定期总结和分析已制定的风险管理策略的有效性和合理性，结合实际不断修订和完善。其中， 应重点检查依据风险偏好、风险承受度和风险控制预警线实施的结果是否有效，并提出定性或定量的有效性标准。
二，风险理财措施
（一）风险理财概述
1，风险理财的一般概念
风险理财是用金融手段管理风险。
2，风险理财的必要性
风险理财是全面风险管理的重要组成部分。
3，风险理财的特点
（1）风险理财的手段既不改变风险事件发生的可能性，也不改变风险事件可能引起的直接损失程度。
（2）风险理财需要判断风险的定价，因此量化的标准较高，即不仅需要风险事件的可能性和损失的分布，更需要量化风险本身的价值。
（3）风险理财的应用范围一般不包括声誉等难以衡量价值的风险，也难以消除战略失误造成的损失。
（4）风险理财手段技术性强，许多风险理财工具本身具有比较复杂的风险特性，使用不当容易造成重大损失。
4，风险理财与公司理财
风险理财过去被认为是公司财务管理的一部分，现在则认为其在很多情况下超出了公司财务管理的范畴。具体表现在：
（1）风险理财注重风险因素对现金流的影响；
（2）风险理财影响公司资本结构，注意以最低成本获得现金流；
（3）风险理财成为公司战略的有机部分，其风险经营的结果直接影响公司整体价值的提升。
5，风险理财创造价值
传统的风险理财是损失理财，即为可能发生的损失融资，补偿风险造成的财务损失，如购买保险。传统的风险理财的目的是降低公司承担的风险。
与损失理财相反，公司可能通过使用金融工具来承担额外的风险，改善公司的财务状况，创造价值。
（二）选择风险理财策略与方案的原则和要求
1，与整体风险管理策略一致。
2，与公司所面对风险的性质相匹配。
3，选择风险理财工具的要求。选择风险理财工具时，要考虑如下几点：合规的要求；可操作性；法律法规环境；企业的熟悉程度；风险理财工具的风险特征。不同的风险理财手段可能适用同一风险。
4，成本和收益的平衡。
（三）两类主要的风险理财措施：
1，损失事件管理
（1）损失融资
损失融资是为风险事件造成的财物损失融资，是从风险理财的角度进行损失事件的事前、事后管理， 是损失事件管理中最有共性，也是最重要的部分。
企业损失分为预期损失和非预期损失，损失事件融资分为预期损失融资和非预期损失融资。预期损失融资一般作为运营资本的一部分，而非预期损失融资则是属于风险资本的范畴。
（2）风险资本
风险资本即除经营所需的资本之外，公司补偿风险造成的财务损失而需要的资本，是使一家公司破产的概率低于某一给定水平所需的资金，因此取决于公司的风险偏好。
（3）应急资本
应急资本是一个金融合约，规定在某一时间段内、某个特定事件发生的情况下公司有权从应急资本提供方处募集股本或贷款（或资产负债表上的其他实收资本项目），并为此按时间向资本提供方缴纳权力费，这里特定事件称为触发事件（触媒）。
应急资本费用、利息和额度在合同签订时约定。
应急资本最简单的形式是公司为满足特定条件下的经营需要而从银行获得的信贷额度，一般通过与银行签订协议加以明确，比如信用证、循环信用工具等。
应急资本具有如下特点：
①应急资本的提供方并不承担特定事件的风险，只是在事件发生并造成损失后提供用于弥补损失、持续经营的资金。事后公司要向资本提供者归还这部分资金，并支付相应的利息。
②应急资本是一个综合运用保险和资本市场技术设计和定价的产品。与保险不同，应急资本不涉及风险的转移，是企业风险补偿策略的一种方式。
③应急资本是一个在一定条件下的融资选择权，公司可以不使用这个权利。
④应急资本可以提供经营持续性的保证。
（4）保险
保险是一种金融合约。保险是风险转移的传统手段。
保险合同降低了购买保险一方的风险，因为他把损失的风险转移给了保险公司。而保险公司则是通过损失的分散化来降低自己的风险。
可保风险是纯粹风险：机会风险不可保。运用保险这种工具实施风险转移策略只适合一定的条件。
（5）专业自保
专业自保公司又称专属保险公司，是非保险公司的附属机构，为母公司提供保险，并由其母公司筹集保险费，建立损失储备金。几乎所有的大跨国公司都有专业自保公司。
专业自保的特点是：由被保险人所有和控制，要承保其母公司的风险，但可以通过租借的方式承保其他公司的保险，不在保险市场上开展业务。
2，套期保值
（1）对金融衍生产品的选择
①金融衍生产品的概念和类型。
衍生产品是其价值决定于一种或多种基础资产或指数的金融合约。包括：远期合约、互换交易、期货、期权。
第一、远期合约。
远期合约指合约双方同意在未来日期按照事先约定的价格交换金融资产的合约， 该合约会指明买卖的商品或金融工具的种类、价格及交割结算的日期。远期合约是必须履行的协议。
与期货不同，其合约条件是量身定制，通过场外交易达成，而期货是交易所买卖的标准化合约。远期合约是现金交易，是场外交易。
主要有远期利率协议、远期外汇合约、远期股票合约。
第二、互换交易。
互换交易主要是指对相同货币的债务和不同货币的债务通过金融中介进行互换的一种行为。
种类包括：
利率互换：货币相同，固定利率和浮动利率互换。
货币互换：不同货币的本金和固定利息交换。
商品互换。
其他互换：股权互换、信用互换、气候互换（碳互换）和期权互换等。
第三、期货。
期货是指在约定的将来某个日期按约定的条件买入或卖出某种一定标准数量、质量的资产。标准化合约。期货价格通过公开竞价而达成。集中在交易所，但也有柜台交易。
主要类型：商品期货、外汇期货、利率期货、股票指数期货。
第四、期权。
期权是在某一特定日期或该日期之前的任何时间以规定的价格购买或者出售某种规定的资产的权利。
最大魅力在于买方将风险锁定在一定范围之内。
期权合约内容一般包括：标的，执行价格，到期日，行权方式（美式欧式），期权价格。
期权包括看涨期权和看跌期权。
②运用衍生产品进行风险管理的主要思路是：
第一、增加自己愿意承担的风险；
第二、消除或减少自己不愿承担的风险；
第三、转换不同的风险。
③衍生产品及其交易的特点是：
第一、未来性。
第二、灵活性。
第三、杠杆性。
第四、风险性。
第五、虚拟性。
④运用衍生产品进行风险管理要满足以下条件：
第一、合法合规；
第二、与公司的业务和发展战略保持一致；
第三、建立完善的内部控制措施，包括授权、计划、报告、监督、决策等流程和规范；
第四、采用能够准确反映风险状况的风险计量方法，明确头寸、损失、风险限额；
第五、建立完善的信息沟通机制，保证头寸、损失、风险敞口的报告及时可靠；
第六、合格的操作人员。
（2）套期保值与投机
套期保值是为冲抵风险，相反的是投机。
套期保值的目的是降低风险，投机的目的是承担额外的风险以盈利。套期保值的结果是降低了风险，投机的结果是增加了风险。
（3）期货套期保值
①期货价格与现货价格。
绝大多数期货合约不会在到期日用标的物兑现。期货价格表现的是市场对标的物的远期预期价格。“基差”的概念用来表示标的物的现货价格与所用合约的期货价格之差。基差在期货合约到期日为零，在此之前可正可负。一般而言，离到期日越近，基差（绝对值）就越小。
②期货的套期保值。
期货的套期保值亦称为期货对冲，是指为配合现货市场上的交易，而在期货市场上做与现货市场商品相同或相近但交易部位相反的买卖行为，以便将现货市场的价格波动的风险在期货市场上抵销。
保值基本原理就在于某一特定商品的期货价格和现货价格受相同的经济因素影响和制约。利用期货套期保值有两种方式：
第一、空头期货套期保值（怕下跌）；
第二、多头套期保值（怕上涨）。
③期货投机的风险。
（4）期权套期保值
①利用期权套期保值。
期权作为对冲的工具可以起到相似保险的作用。
②期权投机的风险。
期权也可以作为投机的工具，但风险更大。
综上所述，运用风险理财措施要明确以下几点：
（1）风险理财是全面风险管理的重要组成部分，在对许多风险的管理上，有着不可替代的地位和作用；
（2）风险理财形式多样，应用灵活，时效性强，具有许多其他手段不可比拟的优点；
（3）风险理财技术性强，需要相关人才、知识、组织结构、程序和法律环境；
（4）风险理财手段的不当使用，包括策略错误和内控失灵，可能带来巨大的损失。因此风险理财本身的风险管理尤为重要。
三，风险管理的组织职能体系
（一）规范的公司法人治理结构
企业应建立健全规范的公司法人治理结构，形成高效运转、有效制衡的监督约束机制。同时，还应建立外部董事、独立董事制度，以保证董事会能够在重大决策、重大风险管理等方面做出独立于经理层的判断和选择。
董事会就全面风险管理工作的有效性对股东（大）会负责。
董事会在全面风险管理方面主要履行以下职责：
（1）审议并向股东（大）会提交企业全面风险管理年度工作报告；
（2）确定企业风险管理总体目标、风险偏好、风险承受度，批准风险管理策略和重大风险管理解决方案；
（3）了解和掌握企业面临的各项重大风险及其风险管理现状，做出有效控制风险的决策；
（4）批准重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制；
（5）批准重大决策的风险评估报告；
（6）批准内部审计部门提交的风险管理监督评价审计报告
（7）批准风险管理组织机构设置及其职责方案；
（8）批准风险管理措施，纠正和处理任何组织或个人超越风险管理制度做出的风险性决定的行为；
（9）督导企业风险管理文化的培育；
（10）全面风险管理的其他重大事项。
（二）风险管理委员会
具备条件的企业，董事会可下设风险管理委员会。该委员会的召集人应由不兼任总经理的董事长担任；董事长兼任总经理的，召集人应由外部董事或独立董事担任。该委员会成员中需有熟悉企业重要管理及业务流程的董事，以及具备风险管理监管知识或经验、具有一定法律知识的董事。
风险管理委员会对董事会负责，主要履行以下职责：
（1）提交全面风险管理年度报告；
（2）审议风险管理策略和重大风险管理解决方案；
（3）审议重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制，以及重大决策的风险评估报告；
（4）审议内审部门提交的风险管理监督评价审计综合报告；
（5）审议风险管理组织机构设置及其职责方案
（6）办理董事会授权的有关全面风险管理的其他事项。
（三）风险管理职能部门
企业应设立专职部门或确定相关职能部门履行全面风险管理的职责。该部门对总经理或其委托的高级管理人员负责，主要履行以下职责：
（1）研究提出全面风险管理工作报告；
（2）研究提出跨职能部门的重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制；
（3）研究提出跨职能部门的重大决策风险评估报告；
（4）研究提出风险管理策略和跨职能部门的重大风险管理解决方案，并负责该方案的组织实施和对该风险的日常监控；
（5）负责对全面风险管理有效性的评估，研究提出全面风险管理的改进方案；
（6）负责组织建立风险管理信息系统；
（7）负责组织协调全面风险管理日常工作；
（8）负责指导、监督有关职能部门、各业务单位以及全资、控股子企业开展全面风险管理工作；
（9）办理风险管理的其他有关工作。
（四）审计委员会
企业应在董事会下设立审计委员会，企业内部审计部门对审计委员会负责。内部审计部门在风险管理方面，主要负责研究提出全面风险管理监督评价体系，制定监督评价相关制度，开展监督与评价， 出具监督评价审计报告。
1，审计委员会履行职责的方式
董事会应决定委派给审计委员会的责任。
审计委员会每年至少举行三次会议，并于审计周期的主要日期举行。审计委员会应每年至少与外聘及内部审计师会面一次，讨论与审计相关的事宜，但管理层无须出席。
审计委员会应每年对其权限及其有效性进行复核，并就必要的人员变更向董事会报告。
2，审计委员会与合规
审计委员会的主要活动之一是核查对外报告的情况。审计委员会一般有责任确保企业履行对外报告的义务。审计委员会应结合企业财务报表的编制情况，对重大的财务报告事项和判断进行复核。管理层的责任是编制财务报表，审计师的责任是编制审计计划和执行审计。
审计委员会应倾听审计师对于这些问题的看法。如果对拟采用的财务报告的任何方面不满意，审计委员会应告知董事会。
3，审计委员会与内部审计
确保充分且有效的内部控制是审计委员会的义务，其中包括负责监督内部审计部门的工作。审计委员会应监察和评估内部审计职能。它批准对内部审计主管的任命和解聘，并确保内部审计部门能直接与董事长或董事会主席接触。
审计委员会复核及评估年度内部审计工作计划。审计委员会还应确保内部审计部门提出的合理建议得到执行。审计委员会有助于保持内部审计部门对压力或干涉的独立性。审计委员会在四个主要方面对内部审计进行复核，即组织中的地位、职能范围、技术才能和专业应尽义务。
（五）企业其他职能部门及各业务单位
（1）执行风险管理基本流程；
（2）研究提出本职能部门或业务单位重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制；
（3）研究提出本职能部门或业务单位的重大决策风险评估报告；
（4）做好本职能部门或业务单位建立风险管理信息系统的工作；
（5）做好培育风险管理文化的有关工作；
（6）建立健全本职能部门或业务单位的风险管理内部控制子系统；
（7）办理风险管理其他有关工作。
（六）下属公司
企业应通过法定程序，指导和监督其全资、控股子企业建立与企业相适应或符合全资、控股子企业自身特点、能有效发挥作用的风险管理组织体系。
四，风险管理信息系统
企业应将信息技术应用于风险管理的各项工作。
企业应采取措施确保向风险管理信息系统输入的业务数据和风险量化值的一致性、准确性、及时性、可用性和完整性。对输入信息系统的数据，未经批准，不得更改。
风险管理信息系统应能够进行对各种风险的计量和定量分析、定量测试。 风险管理信息系统应实现信息在各职能部门、业务单位之间的集成与共享。
企业应确保风险管理信息系统的稳定运行，并根据实际需要不断进行改进、完善或更新。
已建立的企业，应补充、调整、更新已有的管理流程和管理程序，建立完善的风险管理信息系统； 尚未建立的，应将风险管理与企业各项管理业务流程、管理软件统一规划、统一设计、统一实施、同步运行。
五，内部控制系统
内部控制系统，指围绕风险管理策略目标，针对各项重要业务及其管理，通过执行风险管理基本流程，制定并执行的规章制度、程序和措施。
（一）COSO 委员会关于内部控制的定义与框架
定义是“公司的董事会、管理层及其他人士为实现以下目标提供合理保证而实施的程序：运营的效益和效率，财务报告的可靠性和遵守适用的法律法规。”
COSO 委员会特别指出：
（1）是一个实现目标的程序及方法，而其本身并非目标；
（2）只提供合理保证，而非绝对保证；
（3）要由企业中各级人员实施与配合。
COSO 委员会提出的《内部控制——整合框架》提出了内部控制的三项目标和五大要素：
内部控制的三项目标包括：取得经营的效率和有效性；确保财务报告的可靠性；遵循适用的法律法规。
内部控制的五大要素包括：控制环境、风险评估、控制活动、信息与沟通、监控
五要素的关系
（二）我国内部控制规范体系
我国企业内部控制规范体系由《基本规范》、《企业应用指引》、《评价指引》和《审计指引》构成。
《基本规范》的目标和五大要素：
内部控制的目标包括：合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整；提高经营效率和效果；促进企业实现发展战略。
内部控制的五大要素包括：内部环境、风险评估、控制活动、信息与沟通、内部监督。
（三）内部控制的要素
1，控制环境
（1）COSO《内部控制框架》的要求与原则要求：
控制环境决定了企业的基调，直接影响企业员工的控制意识。控制环境提供了内部控制的基本规则和构架，是其他四要素的基础。控制环境包括员工的诚信度、职业道德和才能；管理哲学和经营风格； 权责分配方法、人事政策；董事会的经营重点和目标等。
原则：
①企业对诚信和道德价值观做出承诺。
②董事会独立于管理层，对内部控制的制定及其绩效实施监控。
③管理层在董事会的监控下，确立目标实现过程中所涉及的组织架构、报告路径以及适当的权利和责任。
④企业致力于吸引、发展和留任优秀人才，以配合企业达成目标。
⑤企业根据其目标，使员工各自担负起内部控制的相关责任。
（2）我国《基本规范》的要求
①企业应当建立规范的公司治理结构和议事规则。
②董事会负责内部控制的建立健全和有效实施。监事会对董事会建立与实施内部控制进行监督。经理层负责组织领导企业内部控制的日常运行。
③企业应当在董事会下设立审计委员会。
④企业应当结合业务特点和内部控制要求设置内部机构，明确职责权限，将权利与责任落实到各责任单位。
⑤企业应当加强内部审计工作，保证内部审计机构设置、人员配备和工作的独立性。
⑥企业应当制定和实施有利于企业可持续发展的人力资源政策。
⑦企业应当将职业道德修养和专业胜任能力作为选拔和聘用员工的重要标准，切实加强员工培训和继续教育，不断提升员工素质。
⑧企业应当加强文化建设，企业员工应当遵守员工行为守则，认真履行岗位职责。
⑨企业应当加强法制教育。
2，风险评估
（1）COSO《内部控制框架》的要求与原则要求：
风险评估的前提是使经营目标在不同层次上相互衔接，保持一致。风险评估指识别、分析相关风险以实现既定目标，从而形成风险管理的基础。
由于经济、产业、法规和经营环境的不断变化，需要确立一套机制来识别和应对由这些变化带来的风险。
原则：
①企业制定足够清晰的目标，以便识别和评估有关目标所涉及的风险。
②企业从整个企业的角度来识别实现目标所涉及的风险，分析风险，并据此决定应如何管理这些风险；
③企业在评估影响目标实现的风险时，考虑潜在的舞弊行为；
④企业识别并评估可能会对内部控制系统产生重大影响的变更。
（2）我国《基本规范》的要求
①企业应当根据设定的控制目标，全面系统持续地收集相关信息。
②企业开展风险评估，应当准确识别与实现控制目标相关的内部风险和外部风险，确定相应的风险承受度。
③企业识别内部风险。
④企业识别外部风险。
⑤企业应当采用定性与定量相结合的方法，按照风险发生的可能性及其影响程度等，对识别的风险进行分析和排序，确定关注重点和优先控制的风险。
⑥企业应当根据风险分析的结果，结合风险承受度，权衡风险与收益，确定风险应对策略。企业应当合理分析、准确掌握董事、经理及其他高级管理人员、关键岗位员工的风险偏好，采取适当的控制措施，避免因个人风险偏好给企业经营带来重大损失。
⑦企业应当综合运用风险规避、风险降低、风险分担和风险承受等风险应对策略，实现对风险的有效控制。
⑧企业应当结合不同发展阶段和业务拓展情况，持续收集与风险变化相关的信息，进行风险识别和风险分析，及时调整风险应对策略。
3，控制活动
（1）COSO《内部控制框架》关于控制活动要素的要求与原则要求：
控制活动指那些有助于管理层决策顺利实施的政策和程序。
控制行为有助于确保实施必要的措施以管理风险，实现经营目标。控制行为体现在整个企业的不同层次和不同部门中。
包括诸如批准、授权、查证、核对、复核经营业绩、资产保护和职责分工等活动。
原则：
①企业选择并制定有助于将目标实现风险降低至可接受水平的控制活动。
②企业进行技术选择并制定一般控制政策。
③企业通过政策和程序来部署控制活动：政策用来确定所期望的
目标；程序则将政策付诸于行动。
（2）我国《基本规范》关于控制活动的要求
①企业应当结合风险评估结果，将风险控制在可承受度之内。控制措施一般包括：不相容职务分离控制、授权审批控制、会计系统控制、财产保护控制、预算控制、运营分析控制和绩效考评控制等。
②不相容职务分离控制要求企业全面系统地分析、梳理业务流程中所涉及的不相容职务，实施相应的分离措施，形成各司其职、各负其责、相互制约的工作机制。
③授权审批控制要求企业根据常规授权和特别授权的规定，明确各岗位办理业务和事项的权限范围、审批程序和相应责任。企业各级管理人员应当在授权范围内行使职权和承担责任。
④会计系统控制要求企业严格执行国家统一的会计准则制度，加强会计基础工作，明确会计凭证、会计账簿和财务会计报告的处理程序，保证会计资料真实完整。
⑤财产保护控制要求企业建立财产日常管理制度和定期清查制度，采取财产记录、实物保管、定期盘点、账实核对等措施，确保财产安全。企业应当严格限制未经授权的人员接触和处置财产。
⑥预算控制要求企业实施全面预算管理制度，明确各责任单位在预算管理中的职责权限，规范预算的编制、审定、下达和执行程序，强化预算约束。
⑦运营分析控制要求企业建立运营情况分析制度，经理层应当综合运用生产、购销、投资、筹资、财务等方面的信息，通过因素分析、对比分析、趋势分析等方法，定期开展运营情况分析，发现存在的问题，及时查明原因并加以改进。
⑧绩效考评控制要求企业建立和实施绩效考评制度，科学设置考核指标体系。
⑨企业应当根据内部控制目标，结合风险应对策略，综合运用控制措施，对各种业务和事项实施有效控制。
⑩企业应当建立重大风险预警机制和突发事件应急处理机制，明确风险预警标准，对可能发生的重大风险或突发事件，制定应急预案、明确责任人员、规范处置程序，确保突发事件得到及时妥善处理。
4，信息与沟通
（1）COSO《内部控制框架》关于信息与沟通要素的要求与原则要求：
公允的信息必须被确认、捕获并以一定形式及时传递，以便员工履行职责。
信息系统产出涵盖经营、财务和遵循性信息的报告，以助于经营和控制企业。信息系统不仅处理内部产生的信息，还包括与企业经营决策和对外报告相关的外部事件、行为和条件等。
有效的沟通从广义上说是信息的自上而下、横向以及自下而上的传递。所有员工必须从管理层得到准确的信息，认真履行控制职责；员工必须理解自身在整个内控系统中的位置，理解个人行为与其他员工工作的相关性。员工必须有向上传递重要信息的途径。同时，与外部诸如客户、供应商、管理当局和股东之间也需要有效的沟通。
原则：
①企业选择、制定并实行持续及/或单独的评估，以判定内部控制各要素是否存在日发挥效用。
②企业及时评估内部控制缺陷，并将有关缺陷及时通报给负责整改措施的相关方，包括高级管理层和董事会（如适当）。企业选择并制定有助于将目标实现风险降低至可接受水平的控制活动。
（2）我国《基本规范》关于信息与沟通要素的要求
①企业应当建立信息与沟通制度，明确内部控制相关信息的收集、处理和传递程序，确保信息及时沟通，促进内部控制有效运行。
②企业应当对收集的各种内部信息和外部信息进行合理筛选、核对、整合，提高信息的有用性。企业可以通过财务会计资料、经营管理资料、调研报告、专项信息、内部刊物、办公网络等渠道，获取内部信息。企业可以通过行业协会组织、社会中介机构、业务往来单位、市场调查、来信来访、网络媒体以及有关监管部门等渠道，获取外部信息。
③企业应当将内部控制相关信息在企业内部各管理级次、责任单位、业务环节之间，以及企业与外部投资者、债权人、客户、供应商、中介机构和监管部门等有关方面之间进行沟通和反馈。信息沟通过程中发现的问题，应当及时报告并加以解决。重要信息应当及时传递给董事会、监事会和经理层。
④企业应当利用信息技术促进信息的集成与共享，充分发挥信息技术在信息与沟通中的作用。
⑤企业应当建立反舞弊机制，明确反舞弊工作的重点领域、关键环节和有关机构在反舞弊工作中的职责权限，规范舞弊案件的举报、调查、处理、报告和补救程序。
⑥企业应当建立举报投诉制度和举报人保护制度，设置举报专线，明确举报投诉处理程序、办理时限和办结要求，确保举报、投诉成为企业有效掌握信息的重要途径。
5，监控
（1）COSO《内部控制框架》关于监控要素的要求与原则要求：
内部控制系统需要被监控，即对该系统有效性进行评估的全过程。可以通过持续性的监控行为、独立评估或两者的结合来实现对内控系统的监控。
持续性的监控行为发生在企业的日常经营过程中，包括企业的日常管理和监督行为、员工履行各自职责的行为。
独立评估活动的广度和频度有赖于风险预估和日常监控程序的有效性。内部控制的缺陷应该自下而上进行汇报，性质严重的应上报最高管理层和董事会。
原则：
①企业选择、制定并实行持续及/或单独的评估，以判定内部控制各要素是否存在且发挥效用。
②企业及时评估内部控制缺陷，并将有关缺陷及时通报给负责整改措施的相关方，包括高级管理层和董事会（如适当）。企业选择并制定有助于将目标实现风险降低至可接受水平的控制活动。
（2）我国《基本规范》关于内部监督要素的要求
①企业应当根据本规范及其配套办法，制定内部控制监督制度，明确内部审计机构（或经授权的其他监督机构）和其他内部机构在内部监督中的职责权限，规范内部监督的程序、方法和要求。
②企业应当制定内部控制缺陷认定标准，对监督过程中发现的内部控制缺陷，应当分析缺陷的性质和产生的原因，提出整改方案，采取适当的形式及时向董事会、监事会或者经理层报告。
③企业应当结合内部监督情况，定期对内部控制的有效性进行自我评价，出具内部控制自我评价报告。内部控制自我评价的方式、范围、程序和频率，由企业根据经营业务调整、经营环境变化、业务发展状况、实际风险水平等自行确定。国家有关法律法规另有规定的，从其规定。
④企业应当以书面或者其他适当的形式，妥善保存内部控制建立与实施过程中的相关记录或者资料，确保内部控制建立与实施过程的可验证性。
第五节 风险管理技术与方法
一、头脑风暴法
又称智力激励法、BS 法、自由思考法，是指刺激并鼓励一群知识渊博、知悉风险情况的人员畅所欲言，开展集体讨论的方法。
适用范围：
适用于在风险识别阶段充分发挥专家意见，对风险进行定性分析。
实施步骤：
（1）会前准备：确定参与人、主持人和要讨论识别的风险主题。
（2）风险主题展开探讨：由主持人公布会议主题并介绍与风险主题相关的情况；突破思维惯性， 大胆进行联想；主持人控制好时间，力争在有限的时间内获得尽可能多的创意性设想。
（3）风险主题探讨意见分类与整理。
主要优点：
（1）激发了专家想象力，有助于发现新的风险和全新的解决方案；
（2）主要的利益相关者参与其中，有助于进行全面沟通；
（3）速度较快并易于开展。
局限性：
（1）参与者可能缺乏必要的技术或知识，无法提出有效的建议；
（2）头脑风暴法的实施过程和参与者提出的意见容易分散，较难保证全面性；
（3）集体讨论时可能出现特殊情况，导致某些有重要观点的人保持沉默而其他人成为讨论的主角。
二、德尔菲法（DELPHI METHOD）
又名专家意见法，是在一组专家中取得可靠共识的程序，其基本特征是专家单独、匿名表达各自的观点，同时随着过程的进展，他们有机会了解其他专家的观点。德尔菲法采用背对背的通信方式征询专家小组成员的意见，专家之间不得互相讨论，不发生横向联系，只能与调查人员发生关系。通过反复填写问卷，搜集各方意见，以形成专家之间的共识。
适用范围：
适用于在专家一致性意见基础上，对风险进行定性分析。逐轮收集意见并为专家反馈信息是德尔菲法的主要环节。
主要优点：
（1）由于观点是匿名的，因此更有可能表达出那些不受欢迎的看法；
（2）所有观点有相同的权重，避免重要人物占主导地位；
（3）专家不必一次聚集在某个地方，比较方便；
（4）这种方法具有广泛的代表性。
局限性：
（1）权威人士的意见影响他人的意见；
（2）有些专家碍于情面，不愿意发表与其他人不同的意见；
（3）出于自尊心而不愿意修改自己原来不全面的意见。
三、失效模式、影响和危害度分析法（FMECA）
失效模式影响及危害度分析法（故障模式，影响及危害性分析），可用来分析、审查系统的潜在故障模式。
适用范围：
适用于对失效模式、影响及危害进行定性或定量分析，还可以对其他风险识别方法提供数据支持。广泛应用于产品的设计与开发、生产和使用等阶段的风险管理，旨在发现缺陷和薄弱环节，为提高产品或服务质量和可靠性水平提供改进依据。
实施步骤：
（1）将系统分成组件或步骤，并确认各部分出现明显故障的方式，造成这些失效模式的具体机制，故障可能产生的影响。
（2）根据故障结果的严重性，将每个识别出的失效模式进行分类并确定风险等级。
（3）识别风险优先级。
（4）列出一份失效模式、失效机制及其对系统影响的清单，该清单将包含系统失效的可能性、失效模式导致的风险程度等结果，如果使用合适的故障率资料和定量后果，FMECA 可以输出定量结果。
主要优点：
（1）广泛适用于人力，设备和系统失效模式，以及硬件、软件和程序；
（2）识别组件失效模式及其原因和对系统的影响，同时用可读性较强的形式表现出来；
（3）能够在设计初期发现问题，避免了开支较大的设备改造；
（4）识别单个失效模式适应系统安全的需要。
局限性：
（1）只能识别单个失效模式，无法同时识别多个失效模式；
（2）除非得到充分控制并集中充分精力，否则采用此法较耗时且开支较大。
四、流程图分析法（FLOW CHARTS ANALYSIS）
对流程的每一阶段、每一环节逐一进行调查分析，从中发现潜在风险，找出导致风险发生的因素， 分析风险产生后可能造成的损失以及对整个组织可能造成的不利影响。
适用范围：
通过业务流程图方法，对企业生产或经营中的风险及其成因进行定性分析。
实施步骤：
（1）根据企业实际绘制业务流程图；
（2）识别流程图上各业务节点的风险因素，并予以重点关注；
（3）针对风险及产生原因，提出监控和预防的方法。
主要优点：
流程图分析法是识别风险最常用的方法之一。它清晰明了，易于操作，且组织规模越大，流程越复杂，流程图分析法就越能体现出优越性。
局限性：
使用效果依赖于专业人员的水平。
五、马尔科夫分析法（MARKOV ANALYSIS）
如果系统未来的状态仅取决于其现在的状况，那么就可以使用马尔科夫分析。
适用范围：
适用于对复杂系统中不确定性事件及其状态改变的定量分析。
实施步骤：
（1）调查不确定性事件各状态及其变化情况；
（2）建立数学模型；
（3）求解模型，得到风险事件各个状态发生的可能性。
主要优点：
能够计算出具有维修能力和多重降级状态的系统的概率。
局限性：
（1）无论是故障还是维修，都假设状态变化的概率是固定的；
（2）所有事项在统计上具有独立性，因此未来的状态独立于一切过去的状态，除非两个状态紧密相接；
（3）需要了解状态变化的各种概率；
（4）有关矩阵运算的知识比较复杂，非专业人士很难看懂。
六、风险评估系图法
风险评估系图可以识别某一风险是否会对企业产生重大影响，并将此结论与风险发生的可能性联系起来，为确定企业风险的优先次序提供框架。
适用范围：适用于对风险初步的定性分析。
通过风险评估系图可以分析每种风险的重大程度及影响。同时在风险评估系图中可以做更细致的划分，便于对风险进行比较。
主要优点：
作为一种简单的定性方法，为企业确定各项风险重要性等 级提供了可视化的工具，直观明了。
局限性：
（1）需要主观判断，可能影响使用的准确性;
（2）所确定的风险重要性等级是通过相互比较确定的，因而无法将列示的个别风险重要性等级通过数学运算得到总体风险的重要性等级;
（3）如需要进一步探求风险原因，则采用该方法过于简单，缺乏经验证明和数据支持。
七、情景分析法
情景分析法可用来预计威胁和机遇可能发生的方式。
在周期较短及数据充分的情况下，可以从现有情景中推断出未来可能出现的情景。对于周期较长或数据不充分的情况，情景分析法的有效性更依赖于合乎情理的想象力。
适用范围：适用于对企业面临的风险进行定性和定量分析。
实施步骤：
（1）建立团队和相关沟通渠道，确定需要处理的问题和事件的背景。
（2）确定可能出现的变化的性质。
（3）对主要因素、趋势变化的可能进行研究、预测。
主要优点：对于未来变化不大的情况能够给出比较精确的模拟结果。
局限性：
（1）在存在较大不确定性的情况下，模拟有些情景可能不够现实；
（2）对数据的有效性以及分析师和决策者开发现实情境的能力有很高的要求；
（3）将情景分析法作为一种决策工具，所用情景可能缺乏充分的基础，数据可能具有随机性。
八、敏感性分析法
敏感性分析是针对潜在的风险性，研究项目的各种不确定因素变化至一定幅度时，计算其主要经济指标变化率及敏感程度的一种方法。敏感性分析是在确定性分析的基础上，进一步分析不确定性因素对项目最终效果指标的影响及影响程度。
适用范围：适用于对项目不确定性对结果产生的影响进行的定量分析。
实施步骤：
（1）选定不确定因素，并设定这些因素的变动范围；
（2）确定分析指标；
（3）进行敏感性分析；
（4）绘制敏感性分析图；
（5）确定变化的临界点。
主要优点：
（1）为决策者提供有价值的参考信息；
（2）可以清晰地为风险分析指明方向；
（3） 可以帮助企业制定紧急预案。
局限性：
（1）分析所需要的数据经常缺乏，无法提供可靠的参数变化；
（2）分析时借助公式计算，没有考虑各种不确定因素在未来发生变动的概率，无法给出各参数的变化情况，因此其分析结果可能和实际相反。
九、事件树分析法（ETA）
事件树（EVENT TREE ANALYSIS，ETA）是一种表示初始事件发生之后互斥性后果的图解技术。适用范围：适用于具有多种环节的故障发生以后，对各种可能后果进行定性和定量分析。
实施步骤：
（1）挑选初始事件。初始事件可能是粉尘爆炸这样的事故或是停电这样的事项。
（2）顺序列出那些旨在缓解结果的现有功能或系统。用一条线来表示每个功能或系统成功（用“是”表示）或失败（用“否”表示）。
（3）在每条线上标注一定的失效概率，同时通过专家判断或故障树分析的方法来估算这种条件概率。这样，初始事件的不同途径就得以建模。
注意，事件树的可能性是一种有条件的可能性。
主要优点：
（1）ETA 以清晰的图形显示了经过分析的初始事项之后的潜在情景，以及缓解系统或功能成败产生的影响；
（2）它能说明时机、依赖性，以及很繁琐的多米诺效应；
（3）它生动地体现事件的顺序。
局限性：
（1）为了将 ETA 作为综合评估的组成部分，一切潜在的初始事项都要进行识别，这可能需要使用其他分析方法（如危害及可操作研究法），但总是有可能错过一些重要的初始事项；
（2）事件树只分析了某个系统的成功及故障状况，很难将延迟成功或恢复事项纳入其中；
（3）任何路径都取决于路径上以前分支点处发生的事项。因此，要分析各可能路径上众多从属因素。然而，人们可能会忽视某些从属因素，如常见组件、应用系统以及操作员等。如果不认真处理这些从属因素，就会导致风险评估过于乐观。
十、决策树法
在不确定性情况下，以序列方式表示决策选择和结果。类似于事件树，决策树开始于初因事项或是最初决策，同时由于可能发生的事项及可能做出的决策的各种路径和结果进行建模。
适用范围：适用于对不确定性投资方案期望收益的定量分析。
主要优点：
（1）为决策问题的细节提供了一种清楚的图解说明；
（2）能够计算得到一种情形的最优路径。
局限性：
（1）大的决策树可能过于复杂，不容易与其他人交流；
（2）为了能够用树形图表示，可能有过于简化环境的倾向。
十一、统计推论法
统计推论是进行项目风险评估和分析的一种十分有效的方法，是根据过去和现在的发展趋势推断未来的一类方法的总称，它可分为前推、后推和旁推三种类型。
适用范围：适合于各种风险分析预测。
实施步骤：
（1）收集并整理与风险相关的历史数据；
（2）选择合适的评估指标并给出数学模型；
（3）根据数学模型和历史数据预测未来风险发生的可能性和损失大小。
主要优点：
（1）在数据充足可靠的情况下简单易行；
（2）应用领域广泛
局限性：
（1）由于历史事件的前提和环境已发生了变化，不一定适用于今天或未来；
（2）没有考虑事件的因果关系，使外推结果可能产生较大偏差。为了修正这些偏差，有时必须在历史数据的处理中加入专家或集体的经验修正。