內控-風險-合規一體化建設100問（44-47）

44.風險管理體系建立的背景是什么？

2004年，美國的COSO委員會（全美反舞弊性財務報告委員會發起組織）提出了《企業風險管理—整體框架》，其中明確規定：“企業風險管理是一個過程，受企業董事會、管理層和其他員工的影響，包括內部控制及其在戰略和整個公司的應用，旨在為實現經營的效率和效果、財務報告的可靠性以及現行法規的遵循提供合理保證。”同時，該《框架》將風險管理的要素分為八個方面：內部環境、目標制定、事件識別、風險評估、風險反應、控制活動、信息與溝通、監督。

2006年6月，國務院國有資產監督管理委員會印發《中央企業全面風險管理指引》（國資發改革[2006]108號）明確規定：“企業風險是指未來的不確定性對企業實現其經營目標的影響。企業風險一般可分為戰略風險、財務風險、市場風險、運營風險、法律風險等；也可以能否為企業帶來盈利等機會為標志，將風險分為純粹風險(只有帶來損失一種可能性)和機會風險(帶來損失和盈利的可能性并存)?！?/p>

同時，該《指引》明確規定：“全面風險管理是指企業圍繞總體經營目標，通過在企業管理的各個環節和經營過程中執行風險管理的基本流程，培育良好的風險管理文化，建立健全全面風險管理體系，包括風險管理策略、風險理財措施、風險管理的組織職能體系、風險管理信息系統和內部控制系統，從而為實現風險管理的總體目標提供合理保證的過程和方法?！辈娘L險信息、風險評估、管理策略、解決方案、監督與改進、組織體系、信息系統、風險文化等方面進行了規范和要求。

45.風險管理的內涵包含哪些？

在內容上，風險管理具有全面性和總體性的特征。全面性體現在一方面風險管理是一種持續性行為，貫穿于企業經營管理全過程，對各項業務管理、環節、流程等全面風險控制，對企業內外部風險全面把控，對歷史、現在及未來全生命周期的風險分析預測等；另一方面風險管理本身的全流程性，從組織、制度、程序、措施、系統、文化，到建立、評估、執行、解決、處置、監督、評價、改進等全方位的管理系統和體系，識別企業所面臨的各類風險。總體性體現在圍繞企業總體經營目標和戰略發展，關注的是企業整體風險，整體宏觀上實現經營管理戰略目標。

在設置上，風險管理具有獨立性和權威性的特征。一方面將風險管理職能提升到高級管理層，體現出權威性，另一方面企業要獨立于業務部門設置職責清晰、權責明確的風險管理部門，并直接從屬于高級管理層管理，體現出獨立性，不受其他部門影響，以保證其客觀性和公正性。

在效果上，風險管理具有合目的性和價值性特征。首先，風險管理是一個動態的過程，強調風險管理與企業經營管理過程相結合，并受人、文化等因素影響，強調“軟控制”（即精神層面的內容，例如管理層的風格和理念、企業文化等）的作用和風險意識，即不同企業的風險管理都深深烙上企業文化的印記。其次，風險管理受目標驅動，并明確組織中的每一個人對風險管理負有責任，且由于內部控制的固有限制，風險管理只能提供合理保證，而非絕對保證。最后，風險管理的最終目標與企業目標一致，在現代社會中，企業目標已不僅僅是追求利潤最大化、價值最大化，而是追求構建起一個和諧的內部控制機制，考慮所有利益相關者的利益，改進和提高內部控制的效率和效果，也是風險管理價值所在。

46.風險管理的定義是什么？

國務院國資委的頒布的《全面風險管理指引》將全面風險管理定義為:企業圍繞總體經營目標，通過在企業管理的各個環節和經營過程中執行風險管理體系，為實現風險管理的總體目標提供合理保證的過程和方法。COSO用過程來描述全面風險管理，是目前比較通行的做法。這個定義反映了以下幾方面的基本概念:

1、企業風險管理是一個過程，一個流程，它持續作用于企業，并滲透于企業的各項活動中，是降低和控制風險的一系列程序。

2、企業風險管理不僅僅是企業管理層或風險管理機構的職責，同時需要企業各個層級幾乎所有的員工共同參與實施。

3、企業風險管理應當在企業戰略的制定過程中被應用。

4、由于風險的客觀存在性，風險管理并不能給企業提供絕對的保證，而只能為企業實現其經營目標提供一個合理的保證。

5、企業風險管理旨在識別將會影響企業的潛在事項，并將風險控制在風險承受能力之內。

47.風險管理框架的8要素是指什么？

2004年9月，COSO結合《薩班斯—奧克斯利法案》的相關要求，頒布了一個概念全新的報告，即《企業風險管理—整體框架》(以下簡稱“ERM”框架)?？蚣艿某雠_順應了各方需求。與1992年的《內部控制—整體框架》相比，ERM 框架在內部控制的內涵、目標、要素以及內部控制責任承擔等層面作了全新突破，對企業風險管理作出了更為詳盡的闡述。ERM 框架并沒有取代《內部控制—整體框架》，而是基于該框架并將其融入其中，全面推進了內部控制標準的發展。

在ERM中明確提出了風險管理的8要素，即：內部環境、目標設定、事件識別、風險評估、風險應對、控制活動、信息與溝通、內部監督。