管理风险 第8期

企业风险不仅指财务风险，企业需要考虑整个组织各个方面的风险，且必须制定出评估和管理风险的方法。

风险管理措施不力会让企业付出惨重的代价，这样的例子屡见不鲜：欺诈交易导致巴林银行分崩离析，财务欺诈最终让安然轰然倒闭，壳牌公司在虚报石油储备丑闻曝光后不得不重编财务报表，在发展中国家的不当经营让耐克和雀巢的品牌形象受损，麦当劳也遭到过危害公众健康的指责。

企业风险绝不仅指财务风险，也不局限于会计数据。企业需要考虑整个组织各个方面的风险，且必须制定出评估和管理风险的方法。

近期出台的一系列备受瞩目的法规和报告，推动了当前风险管理的发展。这些法规报告包括旨在遏制财务报表欺诈问题的《萨班斯-奥克斯利法案》、防范金融服务业财务和经营风险的《新巴赛尔协议》、信息系统审计和控制协会制定的信息技术风险框架以及联合法案。这些规则和建议敦促企业在财务控制的基础上进一步加强风险管理措施。

企业全面风险管理是指在宏观层面上管理财务和非财务风险。“反对虚假财务报告委员会”是企业风险管理方面的一个思想领袖，它将企业全面风险管理界定为应用于企业各层面的管理工具，其功能在于确认影响组织发展的潜在事件、将风险控制在可承受的范围内、并为公司目标实现提供合理保障。从本质上说，企业全面风险管理体现了对风险的一种全局观念，考虑的是风险对整个企业、而非局部的潜在冲击。

企业全面风险管理理念为风险管理人员指明了方向，但是，要实际整合并量化公司所面对的整个风险仍是一项艰巨的挑战。事实上，风险管理的应用往往仅局限于具体的技术领域，如财务风险、法律风险或客户流失风险等。那么，企业如何针对各层面的风险开发出一套评估、定位及管理的理论框架，从而把握企业全面风险管理的真谛？

虽然目前风险管理备受关注，但是高质量的企业全面风险管理仍然难觅踪影。麻省理工学院的研究科学家乔治・维斯特曼认为，企业全面风险管理让他联想起上世纪90年代的电子商务：“每个人都希望涉足其中，每个人都以为别人也在为之乐此不疲。然而，真正掌握要领的却为数不多，做得出色的更是凤毛麟角。”原因何在？我们认为，主要有两个方面。

中层管理的脱节

通常情况下，人力资源专员仅负责评估人员管理风险――如技能的缺乏或者继任计划；信息技术专员则关注数据的整合；而财会人员则致力于改进发票审核程序。但是，我们却缺乏一种标准的风险标尺去衡量哪个领域的风险更大或管理得更好，或者各领域的风险管理能否结合起来。

在研究企业全面风险管理的过程中，我们发现风险管理在中层环节上存在相当大的脱节。如果针对不同类别的风险设定统一的标准度量，那么各种微观层面的风险评估就能够整合为一体，填补中间环节的缺口。虽然在抽象的理论层面上我们已经建立了一些企业全面风险管理框架，但是它们对企业该如何开发统一的风险度量和报告体系却无甚帮助。在微观层面上，不同的行业和职能部门确实也开发了许多具体的风险度量工具，但是，它们不能帮助行业或部门间相互交流风险影响，也不能与其它微观层面的风险评估相整合。市场调研公司顾能公司曾公布了它对美国各家银行的调查，有半数的银行将缺乏有效的风险标尺视为管理经营风险的最大隐患。

风险和战略之间的联系薄弱

“反对虚假财务报告委员会”发现，很多企业关注的是如何降低而不是如何管理风险。此类强调安全性的思维，将风险管理视为开展业务的间接成本，而非平衡机遇和风险的工具。

公司需要甄别两大风险。一种是战略风险，也就是公司为了追寻战略目标而承担的风险，比如进入新市场的风险。战略风险既有负面影响，又有正面影响，通常都是由外部因素引起的。企业需要仔细评估这些风险，使之符合自身的战略和风险偏好。

第二种风险被称为无意识风险，比如欺诈或产品滞销的风险。此类风险只有负面影响，通常是由内部因素导致的，如财务欺诈风险。无意识风险构成企业经营的间接成本。

那么，公司如何才能整合风险的度量和管理呢？首先，应该从利益相关者的角度来看待风险偏好，也就是说站在股东、管理层、客户、监管人员和其它重要参与方的立场上进行分析。

其次，需要以统一的标尺来对风险组合进行评估。一个成功的战略依赖于企业职能的发挥和运营的成功。而生产又进一步依赖于技术知识和技术人员，因此，战略成功往往要依靠呈树状分布的各种流程的支持，我们可以通过构建 “风险树”来说明。

风险树可以帮助利益相关人评估每种风险对战略成败可能造成的影响，因此所有风险都可以用统一的标尺进行衡量。另外，风险树考虑到了对成功有利或不利的所有事件，因而可以帮助重建风险和机遇之间的平衡，有助于全面的风险管理。

在瞬息万变的世界中，企业全面风险管理是企业发展的必要工具。虽然实施企业全面风险管理需要耗费成本，但是，只要我们超越狭隘的方式，不仅仅满足于遵从规则、降低风险，企业全面风险管理就一定能帮助企业在战略风险和机遇之间找到更好的平衡点，实施更有效的控制。

（稿件专供：FT中文网）