企业（全面）风险管理

企业风险管理是企业在实现未来战略目标的过程中，试图将各类不确定因素产生的结果控制在预期可接受范围内的方法和过程，以确保和促进组织的整体利益实现。本脑图主要站在银行业金融机构视角，如何践行全面风险管理，简要介绍风险管理内容、管理框架、工作职责等内容。

Enterprise Risk Management 企业（全面）风险管理

• 企业风险管理概述
  • 概述
    • 现代金融市场瞬息万变，金融市场的风险也是动态且相互影响的，而不是静止或相互割裂的
    • 在如今全球一体化的背景下，企业运作也需要更为全面的风险管理手段
  • 传统的风险管理体系
    • 不同种类的风险往往由不同的部门进行评估和管理
    • 传统体系优点
      • 相关部门仅需专注于某一类特定风险的管理，且相关部门往往比较熟悉该类风险的特性
    • 传统体系缺点
      • （1）传统的风险管理体系忽视了风险之间的相互关联性
        • 由于风险是动态且相互依赖的，某种风险发生变化会影响到另一种风险
      • （2）传统的风险管理体系往往对风险的相互依赖性以及动态的本质不予关注，从而导致公司过度对冲
      • （3）在传统风险管理体系下，各职能部门往往会根据自身需要使用不同的方法来评估和衡量风险，从而导致管理层对公司整体面临的风险无法进行统一的度量
  • ERM定义
    • 是一种综合的（Comprehensive）、一体化的（integrated），为实现经营目标而使风险最优化、企业价值最大化的风险框架
      • ISO 31000(国际标准化组织)给出的定义：风险是指“对目标产生的影响不确定",而风险管理指的是“协调机构或组织的相关活动来控制风险"。
      • COSO(全美反舞弊性财务报告委员会)2004年给出的定义：企业风险管理是指董事会、管理层和其他人员在制定整体企业战略时，在企业风险偏好范围内，识别并管理可能影响主体的潜在风险事件，为主体目标的实现提供合理保障。
  • ERM的核心
    • 全面风险管理的核心思想是一体化，主要表现在以下方面
      • 全面风险管理要求一个完整的、一体化的组织
        • （1）全面风险管理要求对在全公司（全行）角度的对风险采取一致的风险管理方法
        • （2）全面风险的一致性通过健康的风险文化和度企业的风险偏好和治理的坚持来实现
        • （3）缺乏一致性的风险管理，可能会出现一个业务部门因为风险而拒绝一次机会，而类似的机会被另一个部门接受
      • 全面风险管理要求一体化的风险转移策略
        • 风险转移策略是在交易的或单一的风险水平上执行，这往往会使投资组合的风险无法被充分分散
      • 全面风险管理要求将一体化的风险管理融入到公司的经营流程中
  • ERM的维度
    • 目标（target）
      • 风险偏好以及风险偏好与企业战略目标的关系
        • 风险偏好
        • 风险限额
        • 风险敏感的业务目标和战略制定
    • 结构（structure）
      • 董事会风险监督
      • 风险委员会
      • 首席风险官（CRO）
      • 公司治理架构
      • 报告线路与报告内容
    • 风险度量（metrics）
      • 场景分析
      • 压力测试
      • 综合风险度量
      • VaR
      • 总风险成本
      • 特定风险的指标
      • 整个公司的风险映射
    • ERM策略（strategies）
      • 风险转移策略
      • 风险转移工具
      • 风险监控手段
    • 文化（culture）
      • 强大的风险文化是指公司员工的行为建立在共同目标、实践和行为的普遍认识之上
        • 员工如何行事
        • 关键企业风险问责制
        • 开放和有效挑战
        • 风险补偿
        • 员工风险素养
        • 举报机制
      • 企业-团队-个人
      • 风险文化核心指标
        • 领导能力
        • 问责机制和风险监控机制
        • 开创性与有效性挑战
        • 一致的风险补偿
        • 风险偏好认知
        • 风险认知能力
        • 风险信息流
        • 风险决策
        • 风险声望
        • 风险升级/吹哨人（预警）
        • 董事会风险优先级
        • 针对风险冒犯者的行动
        • 风险事件和近漏响应
• 企业风险管理的优缺点
  • 传统风险管理与ERM比较
  • ERM的益处
    • 1.更高的组织效率(Increased Organizational Effectiveness)
    • 2.更优质的风险报告(Better Risk Reporting)
    • 3.更优异的业绩表现( Improved Business Performance)
    • 具体10个优点
      • (1)帮助企业定义和坚持企业的风险偏好
      • (2)重点监管最具威胁性的风险。
      • (3)识别在业务线级别生成的企业级风险。
      • (4)管理整个企业的风险集中度。
      • (5)管理新兴企业风险
        • 网络风险(cyber risk)
        • 反洗钱风险(anti-money laundering risk,AML)
        • 声誉风险
      • (6)支持遵从公司法规，保护利益相关者。
      • (7)帮助公司了解风险类型的相关性和交叉风险(cross-over risks)。
      • (8)根据风险规模和总成本优化风险转移费用。
      • (9)将压力情景中的资本成本考虑到公司产品定价和业务决策中。
      • (10)将风险合并到业务模型选择和战略决策中。
  • ERM的成本
    • ERM的成本(cost)即采用ERM体系在资本和人力资源方面都很昂贵，而且相当耗时
    • ERM的整个过程可能要持续几年，并需要高级管理层和董事会的持续支持
• ERM的组成和工具的运用
  • ERM的组成
    • （1）公司治理（corporate govemance）
    • （2）业务条线管理（line management）
    • （3）投资组合管理（porfolio management）
    • （4）风险转移（risk transfer）
    • （5）风险分析（risk analytics）
    • （6）数据和技术资源（data and technology resources）
    • （7）利益相关者管理（stakeholders management)）
  • ERM的工具
    • 敏感性测试
      • 定义
        • 敏感性分析是分析各种不确定性因素变化一定幅度时（或者变化到何种幅度），对方案经济效果的影响程度（或改变对方案的选择）
          • 一种分析计算模型最优解对模型参数变化的敏感程度的方法
          • 把不确定性因素当中对方案经济效果影响程度较大的因素，称之为敏感性因素
      • 分类
        • 单因素敏感性分析
          • 假定只有一个不确定性因素发生变化
        • 多因素敏感性分析
          • 类似于情景分析，多个不确定因素同时变化
      • 分析步骤
        • （1）确定分析指标
        • （2）设定不确定因素，设定其变化幅度
        • （3）计算影响程度
        • （4）寻找敏感因素
        • （5）综合评价
      • 分析方法
        • （1）相对测定法
        • （2）绝对测定法
      • 局限性
        • 无法说明不确定因素发生变动的情况的可能性大小，即没法确定不确定性因素在未来发生的概率
    • 情景分析
      • 1、情景分析的优缺点
        • （1）优点
          • 不需要考虑风险发生的频率；
          • 场景可以采取透明和直观的叙述形式；
          • 促进公司去想象最坏的情况并衡量其影响；
          • 允许公司专注于它们的关键风险敞口、关键风险类型以及风险随时间发展的方式；
          • 允许公司识别预警信号并制定应急计划；
          • 不依赖历史数据，可将历史事件或假设事件作为分析情景；
          • 进行复杂或直接的情景分析；
          • 压力测试结果会影响风险偏好、风险限制和资本充足率。
        • （2）缺点
          • 难以估计事件发生的概率，难以进行风险的量化；
          • 随着选择的增多，场景可能会变得复杂；
          • 公司可能会受到限制而无法发挥他们的想象力
            • 例如，场景可能会低估极端损失事件的影响或忽略重要的风险敞口
          • 只有有限数量的场景可以选择；
          • 所选择的情景往往是由上一次重大危机所引发的，想象的情景经常被认为是不可能的；
          • 场景分析在质量和复杂度方面各不相同，可信度和复杂性可能很难评估；
          • 有用性取决于公司压力测试程序的准确性、全面性。
      • 2、金融危机后的情景分析
    • 压力测试
      • 世界各地的监管机构开始坚持要求规模大、具有系统重要性的银行证明自己能够承受更严峻和更现实的情况
      • 美国
        • 美联储设定了三种由监管机构设计的宏观经济情景
          • 基准
            • 与主要银行经济学家的共识预测相一致
          • 不利
            • 经济适度衰退
          • 严重不利
            • 严重、广泛的全球经济衰退或萧条和长期固定收益投资需求的相应下降
        • 美联储的两项单独的年度压力测试
          • 《多德-弗兰克法案》压力测试(DFAST)
            • 针对资产超过100亿美元的银行
          • 综合资本分析和审查（CCAR）
            • 针对资产超过500亿美元的银行
      • 欧洲
        • 欧洲银行业管理局(European Banking Authority,EBA)的测试程序更显静态，不那么复杂，而且随着情况的发展，在改变风险和商业策略方面不太灵活
          • 面向对更大范围的银行进行压力测试
      • 未来
        • 银行可能会从数量有限的确定性情景测试转向更动态、更随机的方法
          • 这种方法将应用模拟技术来探索随着时间推移出现的许多不同场景
            • 宏观经济冲击
            • 地缘政治冲击
  • ERM的展望
    • 1、风险是多维的，全面思考十分重要
      • （1）通过一系列的风险指标来捕获风险的多个维度；开发新的场景分析和压力测试的形式，以补充总的统计数据
      • （2）情景分析、压力测试向更全面的方式转变
        • 更好的模拟技术
        • 更严格的场景选择方法
        • 更加动态的测试形式
      • （3）全面思考风险是管理前进的方向，传统的风险管理和全面风险管理并不是对立关系
    • 2、风险跨越商业模式和市场中的风险类型
      • （1）情景压力测试可以帮助银行了解风险在一段较长时间内是如何发展的，是如何在不同风险类型之间转变的
      • （2）风险模型必须在设定企业的风险偏好、分析每种业务模型的风险、解释风险如何相互作用以及规划或有事项等方面发挥关键作用
      • （3）公司需要提前确定当关键预警指标出现变动时应给予的反应
    • 3、将风险管理结合商业和统计分析
      • （1）未来的风险管理人员将在风险、数据科学、对人类行为的新理解和商业判断的交集上运作
      • （2）风险管理人员需要进行全面思考，并运用新的方法来制定公司的业务战略
      • （3）即使风险信号是模糊的，也需要确保公司对风险信号作出合理反应
• 首席风险官
  • 主要职责
    • （1）全面负责风险管理
    • （2）为企业所面临的各方面风险建议一个一体化的风险管理框架
    • （3）制定风险管理政策
    • （4）构建风险度量指标并撰写风险报告
    • （5）根据各业务部门面临的风险分配资本，通过业务活动和风险转移策略最优化公司的风险投资组合
    • （6）将公司的风险信息传达给主要的利益相关者
    • （7）开发分析系统和数据管理能力以支持风险管理项目；