遠光軟件（來源：普華永道中國  作者：佚名）

    金融危機、自然災害、全球變暖、計算機病毒……使得21世紀的企業處在高度“不確定性”的風險社會中，可以說我們現在已經進入全面風險管理的時代。因此，不管是國有大中型企業還是越來越多的中型民營企業，都希望自己具有“先知先覺”的特殊本領，從而有效規避風險，抓住難得的發展機遇。

    從2006年6月6日國資委《中央企業全面風險管理指引》的頒布開始，到2008年5月22日五部委的《企業內部控制基本規范》、2010年4月26日頒布的《企業內部控制配套指引》，再到國務院國資委《關于2012年中央企業開展全面風險管理工作有關事項的通知（國資廳發改革[2011]74號）》等，都說明中國企業的風險管理工作已經步入實操階段。在此基礎上，很多企業也都紛紛在自己的企業當中開始嘗試著實施相關的風險管理工作，然而也有很多企業管理人員在實際操作中對風險管理存在一些普遍認識上的誤區，使得風險管理更多的變成一種“概念”，從而沒有切實享受到風險管理的益處。

    分裂應對

    風險應對不應將各種風險視為獨立的存在，更為優化的做法是圍繞管理目標，對風險進行整體系統的分析并采取應對措施。

    我們曾經為一家公司（以下稱“A公司”）提供風險管理架構的構建/實施咨詢服務，A公司希望根據其經營特點來構建和實施企業風險管理框架，評估、識別和應對公司面臨的風險，從而增強公司應對當今動態環境快速變化的能力。

    在項目的風險識別階段，管理層認為“原材料供應”是其面臨的重大風險之一。由于日益激烈的行業競爭，管理層發現每年業內協商確定的原材料供應地中出現了競爭對手的身影，重要原材料的供應被競爭對手無序爭搶，原材料外流現象嚴重。這類風險事件被管理層定義為“原材料供應”風險下需要亟待解決的問題。然而，隨著進一步分析，我們發現“原材料外流”固然主要是因為同行公司的激烈競爭、跨界爭搶原材料供應地導致的，但從另一方面來看，原材料供應地本應是由當地政府根據相關政策在各個同業企業之間進行過清楚的劃分的，但是當部分競爭對手在利益驅動下，爭搶原本不屬于它的那部分原材料供應地，光靠企業自身的力量難以從根本上解決這個問題，而更需要政府職能部門的介入才可能制止甚至防止這種情況的發生。這里面就牽扯到一個問題，如何協調并通過當地政府解決A公司的“原材料外流”問題？這個時候與政府部門打交道的公共關系部就要派上用場了。

    回顧企業之前識別的風險中，“公共關系風險”也是相當重要的一點，然而在初步分析時，兩者之間是割裂后分別進行的。單憑“原材料風險”的主管部門——采購部一己之力，“原材料外流”事件根本無法解決。而只有通過與公共關系部甚至企業高管充分溝通，合作協調引入相關政府部門的介入，才可能從根本上解決這個問題。在這里，我們看到“原材料風險”和“公共關系風險”在一定的領域是相關的，必須綜合分析。“頭痛醫頭、腳痛醫腳”的風險分析方式是不可取的，只有充分考慮各個風險之間存在的聯系并進行分析和應對，才是全面風險管理和之前各種風險管理模式的不同之處。

    唯業務層面

    風險管理不能僅關注業務層面的風險，有效的風險管理可以在戰略決策層面發揮積極的作用。

    有些企業在開展風險管理工作時，非常關注業務層面的風險，通過組織架構、制度建設等內控提升與完善的手段來實現對風險的應對。這其實有些“大材小用”，有效的全面風險管理更重要的其實是可以在戰略決策層面發揮積極的作用。例如航運行業的業務價格和市場需求的波動非常大。很多航運企業往往注重與加強流程要求，比如要求每天匯報價格，強化報價審批，然而這些舉措是不是能夠解決價格和需求波動的固有風險呢？也許能夠保證他們能夠及時獲得最及時的相關信息，還能保證企業的報價都經過了有效的審批，但是這些及時的市場信息和有效的價格審批可能都抵擋不了航線布局決策失誤帶來的后果。只有把風險管理和公司的戰略目標結合在一起，自上而下的分解公司層面風險，才能在業務操作層面上對具體的內控需求提出要求。

    我們都知道，風險研討會作為一種風險識別的辦法常被使用。我們在為客戶提供風險管理咨詢服務時也多次使用風險研討會的形式。舉一個風險研討會的例子。某公司(以下稱“B公司”)為識別風險而舉辦的一場風險研討會，所有部門經理級別以上的人員都被要求參加，風險研討會持續了8個小時仍然滔滔不絕。每個部門根據自己日常工作中遇到的工作難點紛紛提出所謂的“風險”，比如：財務部門強調匯率波動、生產部門強調生產安全和工人操作不當、銷售部門強調客戶投訴難以應對等等，結果所有的“風險”都被記錄下來，一場研討會下來，共提及了一百多條風險。會后公司高管的進一步討論中，居然沒有一條是他們關注的。

    其實如果能夠請企業高管根據既定的戰略發展目標分析企業的風險，也許能夠更有針對性地識別公司面臨的“大風險”，而在此基礎上引入風險研討會這個平臺，讓每個部門的人員可以有機會發表自己的觀點，從多個維度對“大風險”進行深入探討甚至爭論，這樣不但在一定程度上可以提升公司的風險管理文化意識，更能對“大風險”進行自上而下的細化，形成系統的“小風險”，從而保證之后擬定的風險應對計劃既有針對性，也不會偏離企業高管最為關注的重要風險領域。

    止于風險管理部門

    風險監控不能僅停留在風險管理部門，職能部門也能承擔一定的風險管理功能，風險管理部門應將評估分析結果也傳達至職責部門以確保風險得到合理應對。

    很多時候我們都會引用“扁鵲三兄弟”的故事來詮釋風險管理之于企業管理。魏文王問名醫扁鵲說：“你們家兄弟三人，都精于醫術，到底哪一位醫術最好呢？”扁鵲回答說：“大哥最好，二哥次之，我最差。”文王再問：“那么為什么你最出名呢？”扁鵲答說：“我大哥治病，是治病于病情發作之前。由于一般人不知道他事先能鏟除病因，所以他的名氣無法傳出去，只有我們家里的人才知道。我二哥治病，是治病于病情剛剛發作之時。一般人以為他只能治輕微的小病，所以他只在我們的村子里才小有名氣。而我扁鵲治病，是治病于病情嚴重之時。一般人看見的都是我在經脈上穿針管來放血、在皮膚上敷藥等大手術，所以他們以為我的醫術最高明，因此名氣響遍全國。”這個故事寓意深刻，正所謂事后控制不如事中控制，事中控制不如事前控制。

    我們看到不少公司在開展風險管理工作的初期，各職能部門通常把風險管理相關工作跟日常業務工作分離開來，認為風險管理工作就是風險管理部或者項目組的工作，而他們的任務就是完成分配下來的額外工作。很明顯，在這種心態下，風險管理工作就是多出來的“行政任務”。這其實是對風險管理工作的最大誤解，而帶來的就是各級人員對風險管理工作的有意識或無意識的抵制。其實風險管理絕不是一項額外的工作，風險管理作為企業管理的重要部分，應該是一項長期、系統、并融合在各項企業建設中的有機組成部分。而風險管理部門在全面風險管理過程中更多的工作是協調、監控與匯報。風險評估、分析以至風險的有效應對都需要職能部門的參與，才能使得風險管理工作做到實處。只有創造性的把全面風險管理工作有機的結合在職能部門的日常工作中，才有可能消除各職能部門的抵制心理，才有可能持續的把全面風險管理推行下去。

    靜態處理

    風險管理并非靜態的，風險是隨時發生變化的，企業需要時時觀察有關變化趨勢，及時評估相應風險。

    我們常常會碰到客戶有這樣的要求，“希望在幾個月時間內完成風險管理項目，從此提高企業的管理水平、改變企業的管理面貌”，而這幾乎是一個不可能完成的任務。

    所謂“全面風險管理”，是指企業圍繞總體經營目標，通過在企業管理的各個環節和經營過程中執行風險管理的基本流程，培育良好的風險管理文化，建立健全全面風險管理體系，包括風險管理策略、風險管理的組織職能體系、風險管理信息系統和內部控制系統，從而為實現風險管理的總體目標提供合理保證的過程和方法。風險管理絕不是一蹴而就的，而是一個動態的系統化的工程。任何一家公司都不可能在幾個月的時間內徹底完成企業風險管理文化的轉變和管理水平的提升，這是一個需要若干年時間完成的“變革”；并且需要經常與時俱進地對風險進行重新的識別與評估。

    有一家專為某國內機場提供服務的公司(以下稱“C公司”)，它的業務規模在兩年前發生了很大的變化：由只為原機場提供服務擴展至兼向其他機場提供服務，由于公司業務范圍與規模的變化，公司員工規模有了很大的提升，從幾十人的團隊擴展至上百人。C公司的這一變化使得公司的風險分布從新洗牌，曾經“風險水平”評級為低的競爭對手風險、資金風險、人力資源風險在新的評估中驟升為高風險，而一個新的風險，公司戰略風險也被納入了風險評估考量。如果該公司只是按照以前的風險評估結果實施風險管理工作，很明顯，風險應對措施會跟不上企業的發展，甚至會制約企業的擴張。企業就是一個不斷成長的有機實體，它所面臨的風險不是一成不變的。可以相信，內因和外因的變化都會導致企業風險發生變化。業務規模、業務范圍、法律法規、規章制度等的變化都會導致風險類別、風險分布、風險評級發生變化。而相對的，風險識別、風險評估以及有效的風險都會需要進行更新安排。這也是為什么我們看到不少企業會進行年度性地開展風險研討會、更新風險清單和應對方案等。

    上文列舉的只是我們在過去的工作中發現的不少企業管理層對風險管理工作理解和操作上的誤區。很多時候這些認識上的失誤往往導致了風險管理工作難以推進或者效果不佳。因此，企業應該理清對風險管理的正確認識，建立風險管理組織體系，制定切實有效的風險管理策略/方法，定期進行風險管理監督/檢查，培育風險管理文化，使得風險管理作為企業管理的常態工作契合到日常工作過程中，以支持公司治理、保持業務增長，并增強公司應對當今動態環境快速變化的能力。