带带你入你入门门 全面全面风险风险管理基管理基础础知知识识 目目 录录 一、一、风险风险管理的管理的发发展展 二、二、风险风险的基本概念的基本概念 1.风险的定义 2.风险的分类 3.企业面临的主要风险 三、全面三、全面风险风险管理的基本概念管理的基本概念 1.全面风险管理的定义 2.全面风险管理的目标 3.全面风险管理的必要性 四、全面四、全面风险风险管理体系的管理体系的组组成部分成部分 1.风险管理策略 2.风险管理组织职能 3.风险管理内部控制体系 4.风险理财 5.风险管理信息系统 五、全面五、全面风险风险管理的一般程序管理的一般程序 1.建立综合信息框架 2.风险评估 3.制定风险管理策略 4.制定实施解决方案 5.监控改进 6.全面风险管理的关键应用 六、六、风险风险管理的未来管理的未来 “确定确定现现代与代与过过去之分野的革去之分野的革 命性理念是命性理念是对风险对风险的掌握的掌握” 。 。 伯恩斯坦伯恩斯坦 与天与天为敌为敌 1 1 风险风险管理的管理的发发展展 人类认识风险的历史几乎与人类的文明一样久远。风险来自于未 来的不确定性。当人类的第一个成员思考明天的生存问题的时候，人 类对风险的认识就已经开始了。 对风险的认识必然成就文明的进步。诚如当代史学家伯恩斯坦在 论述人类文明史时所断言， “确定现代与过去之分野的革命性理念是对 风险的掌握” 。 然而，对风险的掌握是一个极其漫长的过程。人类活动的扩展引 起风险日趋复杂，其种类不断增加。同时，风险的发展刺激了风险管 理的发展，而风险管理的发展又推动人们向更高的目标登攀。 人人类类科学科学认识风险认识风险的的历历史可以从十八世史可以从十八世纪纪算起算起 历史上第一个准确、科学地描述风险的是瑞士数学家贝努利。 1705 年，贝努利发现了大数定律，该定律后来成为一切保险的计价基 础。几乎是在同时，世界上第一家保险企业于 1720 年在伦敦成立。 下一个关于风险的伟大发现则是在将近 250 年以后的 1952 年，马 柯维茨发表了“组合选择”理论，为现代金融风险管理奠定了基础。 1955 年，在美国宾夕法尼亚大学的沃顿商学院，施耐德教授提出了 “风险管理”的概念。 八十年代，随着金融市场的发展，特别是金融衍生产品的使用， 银行风险的增大引起了国际上的严重关注。国际清算银行于 1988 年 发表了第一个巴塞尔协议，提出了商业银行的经营规范。 与之相应，对一般非金融企业，各国的监管也在不断加强。为了 2 适应风险的发展水平，美国的 COSO 组织于 1992 年发表了综合内 控框架。 1995 年，世界上第一个国家风险管理标准诞生。由澳大利亚和新 西兰联合制订的 AS/NZS4360 明确定义了风险管理的标准程序。 在上个世纪末，受企业巨额亏损和金融丑闻的刺激，世界上出现了 许多以整合风险管理或企业整体风险管理等为主题的文章和实践，全 面风险管理的概念获得广泛认同。 全面全面风险风险管理的孕育和管理的孕育和诞诞生生标标志着志着风险风险管理走上了企管理走上了企业业管理的管理的 中心舞台，掀开了中心舞台，掀开了风险风险管理管理历历史的新的一史的新的一页页 新千年的开始并非如人们想象的美好。首先美国市场受到金融丑 闻和恐怖主义的双重打击：2001 年夏天，美国安然企业财务丑闻曝光， 涉案金额超过 10 亿美元。一年之内安然股票价值骤跌 99%。安然曾 是美国股市上第七大企业。安然丑闻给美国乃至全球金融市场带来了 巨大的冲击。紧接着，恐怖分子袭击了纽约世贸大厦和五角大楼。 “9.11”事件不仅改变了世界的政治格局，也极大影响了世界的经济体 系。 2001 年 12 月，中国正式加入 WTO。自此，中国企业在迎来发展 机遇的同时，也将置于是全球风险的漩涡之中。中国企业的整体风险 水平骤然升高，但是中国绝大多数企业家还没有认识现代风险管理的 概念。 美国国会于 2002 年 7 月通过了萨班斯法案。萨班斯法案的冲击 波及世界各地，影响深远。由此，企业有效的内部控制不再是企业的 3 自发行为，而成为企业经营的合规要求。 2003 年 4 月的中国，非典疫情突如其来，对正常的社会秩序和经 济生活造成巨大威胁。这次的非典危机是一次全民的风险文化启蒙， 其普及风险意识的作用影响深远。 2004 年发达国家中已有 73%的企业建立了全部或部分全面风险 管理体系，比 2001 年增加了 24%。 随着全面风险管理理论和实践的蓬勃发展，美国的 COSO 于 2004 年颁布了全面风险管理框架。全面风险管理框架扩展了 1992 年 COSO 的综合内控框架体系，对全面风险管理提出了详详尽的阐述。 COSO 框架的发表是全面风险管理走向成熟的标志。 2004 年，中航油（新加坡）企业违规越权进行原油期货期权投机， 造成巨额亏空。中航油事件在国内企业界引起了极大震撼， “风险管理” 的字眼在媒体上频繁出现，中央企业的风险管理得到了国资委乃至全 社会的高度重视。 从此，风险管理走进了中国大部分企业家的视野。 2 风险风险的基本概念的基本概念 2.1 风险风险的定的定义义 全面风险管理带来的变化之一就是对风险的态度的变化。首先是 对风险的定义的变化。历史上，对风险有过许多定义，至今没有统一 的定义。经济学家、统计学家、社会学家、精算师、保险经纪人以及政 治学家等对风险都有不同的定义。一个比较通用的定义是风险是损失 的可能性。具体到企业风险管理来讲，风险可以定义为未来的不确定未来的不确定 4 性性对对企企业实现业实现其既定目其既定目标标的影响。的影响。 现在无风险，过去无风险，只有将来有风险。而为了准确度量和 管理风险，风险总是定义在未来的某一个时间段内的。比如，企业职 工有人身安全的风险，为此要为职工买人身安全保险，保险合同总是 在一段时间内有效的，这就意味着风险具有时间价值。 风险是不确定性的表现，如果是确定的损失，就不是风险了。未 来的不确定性总是存在的，即使知道风险发生的概率，如果不是 0 或 100%，未来的结果还是不确定的，更何况风险事件的发生还存在波动 性的问题。 风险是相对于要实现的目标而言的。目标越高，风险就越大；目 标越小，风险就越小。所谓“指哪打哪”和“打哪指哪” 完全不同。风险 对实现目标的影响表现在实际的行为可能与我们的目标有差距。这种 差距可能不仅表现在最后结果的差距（如盈利额的差距、损益值），还 可能表现在路径的差距，即如何实现最后的结果，这同样是不确定性 的影响，使得人们对稳定的、可预期的表现要更看重一些，因为不确 定性越大，风险成本就越高。 如下图所示，图中的实线表示企业未来三年的计划，但实际上由 于各种因素的影响，企业实际的行为可能是按照这些虚线的轨迹运行 的，由于在未来几年内可能发生的情况具有不确定性，因此这些虚线 又有很多种，所有这些曲线构成了一个可能路径的空间，这空间的分 布就是企业在进行风险管理时的基本研究对象。 5 Y3Y2Y1Y0 行为目标曲线 可能的实际曲 线 可能路径的 概率分布 将风险对实现目标的影响进行量化的结果就是风险的价值。理论 上，股东期望看到企业承担足够的风险。实际上，没有风险就没有回 报，说明企业风险是资源，是产生回报的资源。由于风险是特殊的资 源，经营风险就与经营其他的资源不同。经营风险就要认识各种风险 的特性，如何识别，如何定价，如何处理，如何转换等。 有人把正面的影响叫做机会，而把负面的影响叫做风险或威胁。 而这里的定义是一般性的。好处是在概念上和技术上处理都比较容易 一些。例子如一般人总觉得企业现金赢余或者叫自由现金流越多越好， 实际上从长远看，当期赢余多也有问题，有可能是由于投资不足，或 错过市场机会，或计划不周，把明年的利润今年拿了，或引起市场的 过高预期，反而对今后有影响，还有就是，企业现金赢余多，可能引起 对手眼红，掀起恶意并购，总之， “过犹不及”。当然，把风险限制为负 面影响也有它的道理。因为，对于很多经济上的情形而言，正面和负 面不是完全对称的。比如，一个企业总资产是一个亿，如果它赚了一 个亿，不过是变成了一个大一点的企业，但是，如果它损失了一个亿， 那么它就要破产了。另外，在心理学上也证明了人们对所失去的东西 的感受比对所得到的东西的感受要强烈得多。 6 2.2 风险风险的分的分类类 风险的分类标准不是绝对的，国际上比较通用的分类是把风险分 为战略风险、财务风险、运营风险和危害性风险。战略风险是指满足 股东的要求，结合市场情况保持企业的核心竞争优势，选择合适的产 品组合，抓住发展机会，规避市场损失等方面的风险因素，如商业模 式的风险。财务风险包括各种利率风险、汇率风险、产品价格波动、销 售政策等对企业现金流的影响以及公司在理财方面的行为对财务指 标的影响等。运营风险包括供应链的管理、资源的合理调配、关键人 员的流失、合规、监督检查等涉及公司运营方面的风险因素。灾害性 风险包括水灾、火灾、车船事故、偷盗、人身伤亡、飓风、海啸、恐怖分 子袭击等。 风险按其来源分为外部风险和内部风险。企业的外部风险来自企 业经营的外部环境，包括外部环境本身和外部环境的变化对企业的影 响，如社会政治风险、供应链风险、市场风险、竞争对手风险、技术革 新风险、法律法规风险、自然地理环境风险、灾害风险。企业的内部风 险来源于企业的决策和经营活动。企业决策的风险一方面表现在与外 界环境不相适应，另一方面表现在企业本身的经营活动中，经营活动 中的风险来自企业的各个流程和各个部门。 在评价风险管理的有效性时，人们会用到固有风险和剩余风险的 概念。前者与后者是相对于某一风险管理的手段的应用实施而言的。 也就是说，在没有实施该风险管理手段时的风险称为固有风险，而实 施该风险管理手段后的风险称为剩余风险。应当指出，在给定风险管 7 理的现状时，固有风险和剩余风险是一样的。 风险按其是否有盈利的可能又分为纯粹风险和机会风险。纯粹风 险指不含盈利的可能性，如灾害性风险，大多数运营风险。机会风险 是盈利与损失的可能性并存的风险，如许多战略风险，市场风险。 风险按其风险事件的发生是否可控又分为可控风险和不可控风 险。可控风险指企业可以通过某些风险管理手段影响其风险事件发生 的可能性和发生方式；反之，则称为不可控风险。应当注意的是，可控 风险和不可控风险对企业的影响都是可以控制的。 2.3 企企业业面面临临的主要的主要风险风险 Tillinghast Towers-Perrin 2001 年的调查结果显示，跨国公司最关 心的十大风险依次为：盈利增长、销售增长、盈利一致性、资本回报、 技术成本、成本控制、人力成本、法律法规变化、产品定价以及投资管 理。 国资委企业全面风险管理研究课题组在 2004 年对部分中国企业 进行调研的结果表明，中国的经理们最关心的十大风险依次为：市场 竞争加剧、国家政策导向、战略决策失误、关键人才流失、WTO 及全 球一体化、环境保护、成本上升、客户需求发生转变、利率及汇率波动 以及坏账风险。 调查显示，按行业划分的五大风险的排序如下表所示： 风险 排序 金融 服务 零售生产 高科技 /电信 公共事业 /能源 化工/ 制药 1市场风险竞争风险宏观经济竞争风险市场风险环境风 8 股票、先 进和利率 的波动 风险 商品价格的 波动性 险 2客户风险人才风险竞争风险客户风险合规风险 合规风 险 3竞争风险操作风险操作风险合规风险竞争风险 客户风 险 4 宏观经济 风险 客户风险 供应链风 险 人才风险客户风险 研发风 险 5合规风险 宏观经济 风险 人才风险 供应链风 险 人才风险 操作风 险 资料来源：EIU（The Economist Intelligence Unit Limited） 3 全面全面风险风险管理的管理的基本概念基本概念 3.1 全面全面风险风险管理的定管理的定义义 全面风险管理，是指企业围绕风险管理的总体目标，在企业经营 管理的各个环节和业务过程中执行风险管理的基本流程