企业风险管理——整合框架
2004年9月
目录
内容摘要 (3)
1 定义 (9)
2 内部环境 (30)
3 目标设定 (43)
4 事项识别 (53)
5 风险评估 (64)
6 风险应对 (74)
7 控制活动 (83)
8 信息与沟通 (93)
9 监控 (105)
10 职能与责任 (116)
11 企业风险管理的局限 (130)
12 该做些什么 (136)
内容摘要
企业风险管理的基础性前提是每一个主体的存在都是为它的利益相关者提供价值。所有的主体都面临不确定性，管理当局所面临的挑战就是在为增加利益相关者价值而奋斗的同时，要确定承受多大的不确定性。不确定性可能会破坏或增加价值，因而它既代表风险，也代表机会。企业风险管理使管理当局能够有效地应对不确定性以及由此带来的风险和机会，增进创造价值的能力。
当管理当局通过制订战略和目标，力求实现增长和报酬目标以及相关的风险之间的最优平衡，并且在追求所在主体的目标的过程中高效率和有效地调配资源时，价值得以最大化。企业风险管理包括：
?协调风险容量（risk appetite）与战略——管理当局在评价备选的战略、设定相关目标和建立相关风险的管理机制的过程中，需要考虑所在主体的风险容量。
?增进风险应对决策——企业风险管理为识别和在备选的风险应对——风险回避、降低、分担和承受——之间进行选择提供了严密性。
?抑减经营意外和损失——主体识别潜在事项和实施应对的能力得以增强，抑减了意外情况以及由此带来的成本或损失。
?识别和管理多重的和贯穿于企业的风险——每一家企业都面临影响组织的不同部分的一系列风险，企业风险管理有助于有效地应对交互影响，以及整合式地应对多重风险。
?抓住机会——通过考虑全面范围内的潜在事项，促使管理当局识别并积极地实现机会。
?改善资本调配——获取强有力的风险信息，使得管理当局能够有效地评估总体资本需求，并改进资本配置。
企业风险管理所固有的这些能力帮助管理当局实现所在主体的业绩和赢利目标，防止资源损失。企业风险管理有助于确保有效的报告以及符合法律和法规，还有助于避免对主体声誉的损害以及由此带来的后果。总之，企业风险管理不仅帮助一个主体到达期望的目的地，还有助于避开前进途中的隐患和意外。
事项——风险与机会
事项可能会带来负面的影响，也可能会带来正面的影响，抑或二者兼而有之。带来负面影响的事项代表风险，它会妨碍价值创造或者破坏现有价值。带来正面影响的事项可能会抵消负面影响，或者说代表机会。机会是一个事项将会发生并对目标——支持价值创造或保持——的实现产生正面影响的可能性。管理当局把机会反馈到战略或目标制订过程中，以便制订计划去抓住机会。
所定义的企业风险管理
企业风险管理处理影响价值创造或保持的风险和机会，定义如下：
企业风险管理是一个过程，它由一个主体的董事会、管理当局和其他人员实施，应用于战略制订并贯穿于企业之中，旨在识别可能会影响主体的潜在事项，管理风险以使其在该主体的风险容量之内，并为主体目标的实现提供合理保证。
这个定义反映了几个基本概念。企业风险管理是：
?一个过程，它持续地流动于主体之内；
?由组织中各个层级的人员实施；
?应用于战略制订；
?贯穿于企业，在各个层级和单元应用，还包括采取主体层级的风险组合观；
?旨在识别一旦发生将会影响主体的潜在事项，并把风险控制在风险容量以内；
?能够向一个主体的管理当局和董事会提供合理保证；
?力求实现一个或多个不同类型但相互交叉的目标。
这个定义比较宽泛。它抓住了对于公司和其他组织如何管理风险至关重要的关键概念，为不同组织形式、行业和部门的应用提供了基础。它直接关注特定主体既定目标的实现，并为界定企业风险管理的有效性提供了依据。
目标的实现
在主体既定的使命或愿景（vision）范围内，管理当局制订战略目标、选择战略，并在企业内自上而下设定相应的目标。企业风险管理框架力求实现主体的以下四种类型的目标：
?战略（strategic）目标——高层次目标，与使命相关联并支撑其使命；
?经营（operations）目标——有效和高效率地利用其资源；
?报告（reporting）目标——报告的可靠性；
?合规（compliance）目标——符合适用的法律和法规。
对主体目标的这种分类可以使我们关注企业风险管理的不同侧面。这些各不相同但却相互交叉的类别——一个特定的目标可以归入多个类别，反映了主体的
不同需要，而且可能会成为不同管理人员的直接责任。这个分类还有助于区分从每一类目标中能够期望的是什么。一些主体采用的另一类目标——保护资源也包含在上述类别之内。
因为有关报告的可靠性和符合法律、法规的目标在主体的控制范围之内，所以可以期望企业风险管理为实现这些目标提供合理保证。但是，战略目标和经营目标的实现取决于并不一定总在主体控制范围之内的外部事项，对于这些目标而言，企业风险管理能够合理地保证管理当局和起监督作用的董事会及时地了解主体朝着实现目标前进的程度。
企业风险管理的构成要素
企业风险管理包括八个相互关联的构成要素。它们来源于管理当局经营企业的方式，并与管理过程整合在一起。这些构成要素是：
?内部环境——内部环境包含组织的基调，它为主体内的人员如何认识和对
待风险设定了基础，包括风险管理理念和风险容量、诚信和道德价值观，以及他们所处的经营环境。
?目标设定——必须先有目标，管理当局才能识别影响目标实现的潜在事
项。企业风险管理确保管理当局采取适当的程序去设定目标，确保所选定的目标支持和切合该主体的使命，并且与它的风险容量相符。
?事项识别——必须识别影响主体目标实现的内部和外部事项，区分风险和机会。机会被反馈到管理当局的战略或目标制订过程中。
?风险评估——通过考虑风险的可能性和影响来对其加以分析，并以此作为决定如何进行管理的依据。风险评估应立足于固有风险和剩余风险。
?风险应对——管理当局选择风险应对——回避、承受、降低或者分担风险——采取一系列行动以便把风险控制在主体的风险容限（risk
tolerance）和风险容量以内。
?控制活动——制订和执行政策与程序以帮助确保风险应对得以有效实施。
?信息与沟通——相关的信息以确保员工履行其职责的方式和时机予以识别、获取和沟通。有效沟通的含义比较广泛，包括信息在主体中的向下、平行和向上流动。
?监控——对企业风险管理进行全面监控，必要时加以修正。监控可以通过持续的管理活动、个别评价或者两者结合来完成。
企业风险管理并不是一个严格的顺次过程，一个构成要素并不是仅仅影响接下来的那个构成要素。它是一个多方向的、反复的过程，在这个过程中几乎每一个构成要素都能够、也的确会影响其他构成要素。
目标与构成要素之间的关系
目标是指一个主体力图实现什么，企业风险管理的构成要素则意味着需要什么来实现它们，二者之间有着直接的关系。这种关系可以通过一个三维矩阵以立方体的形式表示出来。
四种类型的目标——战略、经营、报告和合规——用垂直方向的栏表示，八个构成要素用水平方向的行表示，而一个主体内的各个单元则用第三个维度表示。这种表示方式使我们既能够从整体上关注一个主体的企业风险管理，也可以从目标类别、构成要素或主体单元的角度，乃至其中的任何一个分项的角度去加以认识。
有效性
认定一个主体的企业风险管理是否“有效”，是在对八个构成要素是否存在和有效运行进行评估的基础之上所作的判断。因此，构成要素也是判定企业风险管理有效性的标准。构成要素如果存在并且正常运行，那么就可能没有重大缺陷，而风险则可能已经被控制在主体的风险容量范围之内。
如果确定企业风险管理在所有四类目标上都是有效的，那么董事会和管理当局就可以合理保证他们了解主体实现其战略和经营目标、主体的报告可靠以及符合适用的法律和法规的程度。
八个构成要素在每个主体中的运行并不是千篇一律的。例如，在中小规模主体中的应用可能不太正式，不太健全。尽管如此，当八个构成要素存在且正常运行时，小规模主体依然会拥有有效的企业风险管理。
局限
尽管企业风险管理带来了重要的好处，但是仍然存在着局限。除了前面讨论过的因素之外，局限还导源于下列现实：人类在决策过程中的判断可能有纰漏，有关应对风险和建立控制的决策需要考虑相关的成本和效益，类似简单误差或错误的个人缺失可能会导致故障的发生，控制可能会因为两个或多个人员的串通而被规避，以及管理当局有能力凌驾于企业风险管理决策之上。这些局限使得董事会和管理当局不可能就主体目标的实现形成绝对的保证。
涵盖内部控制
内部控制是企业风险管理不可分割的一部分。这份企业风险管理框架涵盖了内部控制，从而构建了一个更强有力的概念和管理工具。内部控制是在《内部控制——整合框架》中加以定义和描述的。由于该框架经受了时间的考验，并且成为现行规则、法规和法律的基础，因此那份文件对内部控制的定义和框架依然有效。尽管《内部控制——整合框架》的正文中只有一部分被本框架所引用，但是本框架通过参考的方式把该框架整体融合了进来。
职能与责任
主体中的每个人都对企业风险管理负有一定的责任。首席执行官（CEO）负有首要责任，并且应当假设其拥有所有权。其他管理人员支持主体的风险管理理念，促使符合其风险容量，并在各自的责任范围内依据风险容限去管理风险。风险官、财务官、内部审计师等通常负有关键的支持责任。主体中的其他人员负责按照既定的指引和规程去实施企业风险管理。董事会对企业风险管理提供重要的监督，并察觉和认同主体的风险容量。很多外部方面，例如顾客、卖主、商业伙伴、外部审计师、监管者和财务分析师常常提供影响企业风险管理的有用信息，但是他们不但不对主体的企业风险管理的有效性承担任何责任，而且也不是它的组成部分。
本报告的结构
本报告分两卷。第一卷包括“基本框架”和本部分“内容摘要”。“基本框架”给企业风险管理下定义，并讲述原则和概念，为企业和其他组织中的各级管理人员提供用来评价和增进企业风险管理有效性的指导。“内容提要”是一个针对首席执行官、其他高级管理人员、董事会成员和监管者的高度概括。第二卷《应用技术》（Application Techniques），讲解在应用本框架各个要素的过程中有用的技术。
本报告的使用
根据本报告的建议所可能采取的行动，取决于相关方面的地位和职责：
?董事会——董事会应当与高级管理人员讨论主体企业风险管理的现状，并提供必要的监督。董事会应当确信知悉最重大的风险，以及管理当局正在采取的行动和如何确保有效的企业风险管理。董事会应当考虑寻求内部审计师、外部审计师和其他方面的参与。
?高层管理当局——本项研究建议首席执行官评估组织的企业风险管理能力。方法之一是，首席执行官把业务单元（business unit）领导和关键
职能机构人员召集到一起，讨论对企业风险管理能力和有效性的初步评
价。不管采取什么方式，初步评估应该确定是否需要以及如何进行更广泛、
更深入的评价。
?主体中的其他人员——管理人员和其他人员应该考虑如何根据本框架去履行他们的职责，并与更高层的人员讨论有关加强企业风险管理的看法。
内部审计师应该考虑他们关注企业风险管理的范围。
?监管者——本框架能增进有关企业风险管理的共识，包括它能干什么，以及它的局限。监管者在对他们所监管的主体采用规则或指南等形式设定期望，或进行检查时，可以参考本框架。
?专业组织——为财务管理、审计和相关领域提供指南的规则制定机构和其他专业组织应该对照本框架去考虑它们的准则和指南。消除概念和术语方面的差别，对所有各方都有好处。
?教育机构——本框架可以作为学术研究和分析的对象，以便探讨在哪些方面还能作进一步的改进。假设本报告能够被普遍接受的话，它的概念和术语应该设法进入大学的课程之中。
有了这个共同理解的基础，所有各方将能够用同一种语言讲话，更有效地进行沟通。企业的执行官将能够对照一套标准去评估他们公司的企业风险管理过程，强化这个过程从而使他们的企业朝着既定的目标迈进。将来的研究可以建立在一个既定的基础之上。立法者和监管者将能够获得对企业风险管理的更深入的理解，包括它的好处和局限。如果所有各方都利用共同的企业风险管理框架，这些好处都将实现。
1 定义
1. DEFINITION
Chapter Summary: All entities face uncertainty, and the challenge for management is to determine how much uncertainty it is prepared to accept as it strives to grow stakeholder value. Enterprise risk management enables management to identify, assess, and manage risks in the face of uncertainty, and is integral to value creation and preservation. Enterprise risk management is a process, effected by an en tity’s board of directors, management and other personnel, applied in strategy setting and across the enterprise. It is designed to identify potential events that may affect the entity, and manage risk to be within the entity’s risk appetite, to provide re asonable assurance regarding the achievement of entity objectives. It consists of eight interrelated components, which are integral to the way management runs the enterprise. The components are linked and serve as criteria for determining whether enterprise risk management is effective.
本章摘要：所有的主体都面临不确定性，对于管理当局的挑战在于确定在追求增加利益相关者价值的同时，准备承受多少不确定性。企业风险管理使管理当局能够识别、评估和管理面对不确定性的风险，它对于价值创造和保持而言是必不可少的。企业风险管理是一个过程，它由一个主体的董事会、管理当局和其他人员实施，应用于战略制订并贯穿于企业之中，旨在识别可能会影响主体的潜在事项，管理风险以使其在该主体的风险容量之内，并为主体目标的实现提供合理保证。它包括八个相互关联的构成要素，它们与管理当局经营企业的方式密不可分。这些构成要素联系起来，成为确定企业风险管理是否有效的标准。
A key objective of this framework is to help managements of businesses and other entities better deal with risk in achieving an entity’s objectives. But enterprise risk management means different things to different people, with a wide variety of labels and meanings preventing a common understanding. An important goal, then, is to integrate various risk management concepts into a framework in which a common definition is established, components are identified, and key concepts are described. This framework accommodates most viewpoints and provides a starting point for individual entities’ assessment and enhancement of enterprise risk management, for future initiatives of rule-making bodies, and for education.
本框架的一个关键目标是帮助企业和其他主体的管理当局在实现主体目标的过程中更好地处理风险。但是企业风险管理有许多不同的称谓和解释，难以形成共同的理解，因而对于不同的人而言意味着不同的含义。因此，一个重要的目的在于把各种不同的风险管理概念整合到一个构架之中，在这个构架中构建一个共同的定义，辨别构成要素，并讲述关键概念。这个构架容纳大多数观点，为各个主体评估和增进企业风险管理，为规则制定团体和教育机构的未来行动提供一个出发点。
Uncertainty and Value
不确定性与价值
An underlying premise of enterprise risk management is that every entity, whether
for-profit, not-for-profit, or a governmental body, exists to provide value for its stakeholders. All entities face uncertainty, and the challenge for management is to determine how much uncertainty the entity is prepared to accept as it strives to grow stakeholder value. Uncertainty presents both risk and opportunity, with the potential
to erode or enhance value. Enterprise risk management enables management to effectively deal with uncertainty and associated risk and opportunity and thereby enhance the entity’s capacity to build value.
企业风险管理的一个基本前提是每一个主体，不管是营利性的、非营利性的，还是政府机构，存在的目的都是为它的利益相关者提供价值。所有的主体都面临不确定性，对于管理当局的挑战在于确定在追求增加利益相关者价值的同时，准备承受多少不确定性。不确定性潜藏着对价值的破坏或增进，既代表风险，也代表机会。企业风险管理使管理当局能够有效地处理不确定性以及由此带来的风险和机会，从而提高主体创造价值的能力。
Enterprises operate in environments where factors such as globalization, technology, restructurings, changing markets, competition, and regulation create uncertainty. Uncertainty emanates from an inability to precisely determine the likelihood that events will occur and the associated impacts. Uncertainty also is presented and created by the entity’s strategic choices. For example, an entity has a growth strateg y based on expanding operations to another country. This chosen strategy presents risks and opportunities associated with the stability of the country’s political environment, resources, markets, channels, workforce capabilities, and costs.
在企业经营所处的环境中，诸如全球化、技术、重组、变化中的市场、竞争和管制等因素都会导致不确定性。不确定性来源于不能准确地确定事项发生的可
能性以及所带来的影响。不确定性也是主体的战略选择所带来和导致的。举例来说，一个主体采取基于向其他国家拓展业务的增长战略。所选择的这个战略带来了与该国政治环境的稳定性、资源、市场、渠道、劳动力技能和成本相关的风险和机会。
Value is created, preserved, or eroded by management decisions in all activities, from strategy setting to operating the enterprise day-to-day. Value creation occurs through deploying resources, including people, capital, technology, and brand, where the benefit derived is greater than resources used. Value preservation occurs where created value is sustained through, among other things, superior product quality, production capacity, and customer satisfaction. Value can be eroded where these goals are not achieved due to poor strategy or execution. Inherent in decisions is recognition of risk and opportunity, requiring that management consider information about internal and external environments, deploy precious resources, and recalibrate activities to changing circumstances.
从战略制订到企业的日常经营，在所有的活动中，管理当局的决策都会创造、保持或破坏价值。通过把资源，包括人、资本、技术和品牌，调配到能够产生比过去更多的利益的地方，就会发生价值创造。当创造的价值通过更高的产品质量、生产能力和顾客满意度以及其他方式得以维持时，就会发生价值保持。当由于糟糕的战略或执行导致这些目标不能达成时，价值就会被破坏。决策中伴生着对风险和机会的认识，要求管理当局有关内部和外部环境的信息，调配宝贵的资源，并针对变化的环境重新校准行动。
Value is maximized when management sets strategy and objectives to strike an optimal balance between growth and return goals and related risks, and efficiently and effectively deploys resources in pursuit of the entity’s objectives. Enterprise ris k management encompasses:
当管理当局制订战略和目标，去追求增长和报酬目的以及相关的风险之间的最优平衡，并且为了实现主体的目标而提高效率和有效地配置资源时，价值得以最大化。企业风险管理包括：
? Aligning risk appetite and strategy – Management consider s the entity’s ris k appetite first in evaluating strategic alternatives, then in setting objectives aligned
with the selected strategy and in developing mechanisms to manage the related risks. For example, a pharmaceutical company has a low risk appetite relative to its brand value. Accordingly, to protect its brand, it maintains extensive protocols to ensure product safety and regularly invests significant resources in early-stage research and development to support brand value creation.
●协调风险容量与战略——管理当局首先要在评价备选战略的过程中考虑主体
的风险容量，然后在设定与选定的战略相协调的目标的过程中，以及在构建管理相关风险的机制的过程中，也要考虑主体的风险容量。例如，一家制药公司与其品牌价值相关的风险容量较低。因此，为了保护它的品牌，它坚持了大量的规程以确保产品的安全性，并且经常性地投入巨额的资源用于早期的研究与开发以支持品牌价值创造。
? Enhancing risk response decisions – Enterprise risk management provides the rigor to identify and select among alternative risk responses – risk avoidance, reduction, sharing, and acceptance. For example, management of a company that uses company
owned and operated vehicles recognizes risks inherent in its delivery process, including vehicle damage and personal injury costs. Available alternatives include reducing the risk through effective driver recruiting and training, avoiding the risk by outsourcing delivery, sharing the risk via insurance, or simply accepting the risk. Enterprise risk management provides methodologies and techniques for making these decisions.
●增进风险应对决策——企业风险管理为识别和在备选的风险应对——风险回避、降低、分担和承受——之间进行选择提供了严密性。例如，一家利用公司自有和运营的车辆的公司的管理当局认识到在其运送过程中存在的风险，包括车辆损坏和人身伤害成本。可能的选择包括通过有效的司机招聘和培训来降低风险，通过外包运送业务来回避风险，通过保险来分担风险，或者简单地承担风险。企业风险管理为这些决策提供方法和技巧。
? Reducing operational surprises and losses – Entities gain enhanced capability to identify potential events, assess risk, and establish responses, thereby reducing the occurrence of surprises and related costs or losses. For example, a manufacturing company tracks production parts and equipment failure rates and deviation around averages. The company assesses the impact of failures using multiple criteria, including time to repair, inability to meet customer demand, employee safety, and cost of scheduled versus unscheduled repairs, and responds by setting maintenance schedules accordingly.
●抑减经营意外和损失——主体增强了识别潜在事项、评估风险和加以应对的能力，从而降低意外的发生和由此带来的成本或损失。例如，一家制造公司调整生产部件和设备故障率和误差使其接近正常水平。该公司采用多重标准来评估故障的影响，包括维修时间、不能满足客户需要、员工案例以及预定维修与非预定维修的成本，并据此制订维护方案来加以应对。
? Identifying and managing cross-enterprise risks – Every entity faces a myriad of risks affecting different parts of the organization. Management needs to not only manage individual risks, but also understand interrelated impacts. For example, a bank faces a variety of risks in trading activities across the enterprise, and management developed an information system that analyzes transaction and market data from other internal systems, which, together with relevant externally generated information, provides an aggregate view of risks across all trading activities. The information system allows drilldown capability to department, customer or counterparty, trader, and transaction levels, and quantifies the risks relative to risk tolerances in established categories. The system enables the bank to bring together previously disparate data to respond more effectively to risks using aggregated as well as targeted views.
●识别和管理贯穿于企业的风险——每一个主体都面临着影响组织的不同部分的无数风险。管理当局不仅需要管理个别风险，还需要了解相互关联的影响。例如，一家银行面临着贯穿于企业的交易活动的一系列风险，管理当局开发一套信息系统来分析来自其他内部系统的交易和市场数据，它与外部生成的有关信息一起，提供了关于贯穿于所有交易活动的风险的整体看法。这个信息系统可以向下追溯到部门、客户或同行、交易商和交易层次，并针对既定类别的风险容量对风险进行量化。这个系统使该银行能够把先前分隔的数据凑到一起，从而采用整体
的和有目的性看法来更加有效地应对风险。
? Providing integrated responses to multiple risks – Business processes carry many inherent risks, and enterprise risk management enables integrated solutions for managing the risks. For instance, a wholesale distributor faces risks of over- and under-supply positions, tenuous supply sources, and unnecessarily high purchase prices. Mana gement identified and assessed risk in the context of the company’s strategy, objectives, and alternative responses, and developed a far-reaching inventory control system. The system integrates with suppliers, sharing sales and inventory information and enabling strategic partnering, and avoiding stock-outs and unneeded carrying costs, with longer-term sourcing contracts and enhanced pricing. Suppliers take responsibility for replenishing stock, generating further cost reductions.
●提供对多重风险的整体应对——经营过程带来许多固有的风险，而企业风险管理能够为管理这些风险提供整体解决方案。例如，一个批发本着商面临着供货过量和不足、薄弱的供货来源以及不必要的高采购价格等方面的风险。管理当局以公司战略、目标和备选的应对为背景识别和评估风险，开发了一套广泛拓展的存货控制系统。这个系统与供货商相整合，共享销售和库存信息，帮助选择战略伙伴，并通过更长期间的进货合同和改进的定价方式，避免缺货和不必要的运送成本。由供应商负责补足库存，从而进一步降低了成本。
? Seizing opportunities – By considering a full range of potential events, rather than just risks, management identifies events representing opportunities. For example, a food company considered potential events likely to affect its sustainable revenue growth objective. In evaluating the events, management determined that the company’s primary consumers are increasingly health conscious and changing thei r dietary preferences, indicating a decline in future demand for the company’s current products. In determining its response, management identified ways to apply its existing capabilities to developing new products, enabling the company not only to preserve revenue from existing customers, but also to create additional revenue by appealing to a broader consumer base.
●抓住机会——通过考虑潜在事项的各个方面，而不仅仅只是风险，管理当局就能识别代表机会的事项。例如，一家食品公司考虑可能影响其收入持续增长的潜在事项。在评价这些事项的过程中，管理当局认识到该公司主要消费者的健康意识越来越强，正在改变他们的饮食偏好，对公司现有产品的未来需求呈现下降的趋势。在确定应对的过程中，管理当局明确了通过利用其现有的生产能力去开发新产品的方法，从而使公司不仅能保持来自现在消费者的收入，而且还能通过吸引更广泛的消费者来创造额外的收入。
? Improving deployment of capital – Obtaining robust information on risk allows management to effectively assess overall capital needs and enhance capital allocation. For example, a financial institution became subject to new regulatory rules that would increase capital requirements unless management calculated credit and operational risk levels and related capital needs with greater specificity. The company assessed the risk in terms of system development cost versus additional capital costs, and made an informed decision. With existing, readily modifiable software, the institution developed the more precise calculations, avoiding a need for additional capital sourcing.
●改善资本调配——获取关于风险的有分量的信息，可以使管理当局有效地评估总体资本需求，并改进资本配置。例如，一家金融机构面临新的监管，除非管理当局更加精确地计算信用和经营风险水平以及相关的资本需求，否则就要提高资本要求量。该公司根据系统开发成本以及追加的资本成本评估了风险，作出了一个有信息支持的决策。利用现有的可修改软件，该机构开发了更加精确的计算工具，避免了寻求额外资本的需要。
These capabilities are inherent in enterprise risk management, which helps management achieve the entity’s performance and profitability targets and preven t loss of resources. Enterprise risk management helps ensure effective reporting. And it helps ensure that the entity complies with laws and regulations, avoiding damage to its reputation and associated consequences. In sum, enterprise risk management helps an entity get to where it wants to go and avoid pitfalls and surprises along the way.
企业风险管理固有这些能力，它能帮助管理当局实现主体的业绩和赢利目标，并防止资源的损失。企业风险管理有助于确保有效的报告。它还有助于确保主体符合法律和法规，避免对主体声誉的损害以及由此带来的后果。总之，企业风险管理不仅帮助一个主体到达期望的目的地，还有助于避开前进途中的隐患和意外。
Events – Risks and Opportunities
事项——风险与机会
An event is an incident or occurrence from internal or external sources that affects achievement of objectives. Events can have negative impact, positive impact, or both. Events with negative impact represent risks. Accordingly, risk is defined as follows: 事项是源于内部或外部的影响目标实现的或事件。事项可能有负面影响，也可能有下面影响，或者两者兼而有之。带来负面影响的事项代表风险。因此，可以定义如下：
Risk is the possibility that an event will occur and adversely affect the achievement of objectives.
风险是一个事项将会发生并给目标实现带来负面影响的可能性。Events with adverse impact prevent value creation or erode existing value. Examples include plant machinery breakdowns, fire, and credit losses. Events with an adverse impact can derive from seemingly positive conditions, such as where customer demand for product exceeds production capacity, causing failure to meet buyer demand, eroded customer loyalty, and decline in future orders.
带有负面影响的事项阻碍价值创造，或者破坏现有的价值。例子包括机器设备故障、火灾和信用损失等。带有负面影响的事项可能源于看似正面的情况，比如客户对产品的需求超过了生产能力，就会导致不能满足买方的需求，从而损害客户忠诚度和减少未来的订单。
Events with positive impact may offset negative impacts or represent opportunities. Opportunity is defined as follows:
Opportunity is the possibility that an event will occur and positively affect the achievement of objectives.
带有正面影响的事项可以消弭负面影响，或带来机会。机会的定义如下：机会是一个事项将会发生并给目标实现带来正面影响的可能性。
Opportunities support value creation or preservation. Management channels opportunities back to its strategy or objective-setting processes, so that actions can be formulated to seize the opportunities.
机会支持价值创造或保持。管理当局把机会反馈到战略或目标制订过程中，以便规划行动去抓住机会。
Definition of Enterprise Risk Management
企业风险管理的定义
Enterprise risk management deals with risks and opportunities to create or preserve value. It is defined as follows:
Enterprise risk management is a process, effected by an entity’s board o f directors, management and other personnel, applied in strategy setting and across the enterprise, designed to identify potential events that may affect the entity, and manage risk to be within its risk appetite, to provide reasonable assurance regarding the achievement of entity objectives.
企业风险管理处理风险和机会，以便创造或保持价值。它的定义如下：企业风险管理是一个过程，它由一个主体的董事会、管理当局和其他人员实施，应用于战略制订并贯穿于企业之中，旨在识别可能会影响主体的潜在事项，管理风险以使其在该主体的风险容量之内，并为主体的实现提供合理保证。
This definition reflects certain fundamental concepts. Enterprise risk management is: ? A process, ongoing and flowing through an entit y
? Effected by people at every level of an organization
? Applied in strategy settin g ? Applied across the enterprise, at every level and unit, and includes taking an Entity level portfolio view of risk
? Designed to identify potential events affecting the entity and manage risk within it s risk appetite
? Able to provide reasonable assurance to an entity’s management and boar d
? Geared to the achievement of objectives in one or more separate but overlappin g categories – it is a means to an end, not an end in itself
这个定义反映了几个基本概念。企业风险管理是：
●一个过程，它持续地流动于主体之内；
●由组织中各个层级的人员实施；
●应用于战略制订；
●贯穿于企业，在各个层级和单元应用，还包括采取主体层级的风险组合观；●旨在识别一旦发生将会影响主体的潜在事项，并把风险控制在风险容量以内；
●能够向一个主体的管理当局和董事会提供合理保证；
●力求实现一个或多个不同类型但相互交叉的目标——它只是实现结果的一种手段，并不是结果本身。
This definition is purposefully broad for several reasons. It captures key concepts fundamental to how companies and other organizations manage risk, providing a basis for application across types of organizations, industries, and sectors. It focuses
directly on achievement of objectives established by a particular entity. And, the definition provides a basis for defining enterprise risk management effectiveness, discussed later in this chapter. The fundamental concepts outlined above are discussed in the following paragraphs.
这个定义之所以比较宽泛，是出于几个方面的原因。它抓住了对于公司和其他组织如何管理风险至关重要的关键概念，为不同组织形式、行业和部门的应用提供了基础。它直接关注特定主体既定目标的实现，并为界定将在本章后文中讨论的企业管理的有效性提供了依据。以上所列示的基本概念将在下面各个段落予以讨论。
A Process
一个过程
Enterprise risk management is not static, but rather a continuous or iterative interplay of actions that permeate an entity. These actions are pervasive and inherent in the way management runs the business.
企业风险管理并不是静止的，而是渗透于一个主体的各种活动的持续的或反复的相互影响。这些活动渗透和潜藏于管理当局经营企业的方式之中。Enterprise risk management is different from the perspective of some observers who view it as something added on to an entity’s activities. That is not to say effective enterprise risk management does not require incremental effort, as it may. In considering credit and currency risks, for example, incremental effort may be required to develop needed models and make necessary analyses and calculations. However, these enterprise risk management mechanisms are intertwined with an entity’s operating activities and exist for fundamental business reasons. Enterprise risk management is most effective when these mechanisms are built into the entity’s infrastructure and are part of the essence of the enterprise. By building in enterprise risk management, an entity can directly affect its ability to implement its strategy and achieve its mission.
企业风险管理并不像一些观察家所认为的那样是加在主体活动之上的东西。这并不是说有效的企业风险管理不要求进一步的努力，它可能会那样要求。例如，在考虑信用和货币风险时，可能需要进一步努力去开发所需的模型和进行必要的分析和计算。但是，这些企业风险管理机制与主体的经营活动交织在一起，为了基本的经营理由而存在。当这些机制被构建到主体的结构之中，并成为企业核心要件的一部分时，企业风险管理就会更加有效。通过建立企业风险管理，一个主体能够直接影响其执行战略和实现使命的能力。
Building in enterprise risk management has important implications for cost containment, especially in the highly competitive marketplaces many companies face. Adding new procedures separate from existing ones adds costs. By focusing on existing operations and their contribution to effective enterprise risk management, and integrating risk management into basic operating activities, an enterprise can avoid unnecessary procedures and costs. And, a practice of building enterprise risk management into the fabric of operations helps identify new opportunities for management to seize in growing the business.
建立企业风险管理对于抑制成本具有重要意义，尤其是在许多公司所面临的高度竞争的市场中更是如此。在现有程序之外增加新的程序会增加成本。通过关注现有的经营业务以及它们对有效的企业风险管理的贡献，并将风险管理整合到基本的经营活动之中，企业就能够避免不必要的程序和成本。而且，把企业风险管理建立在经营业务的基本构架之中的做法，可以帮助管理当局识别新的机会，以便抓住这些机会实现业务增长。
Effected by People
由人员来实施
Enterprise r isk management is effected by an entity’s board of directors, managemen t and other personnel. It is accomplished by the people of an organization, by what they do and say. People establish the entity’s mission, strategy, and objectives, and pu t enterprise risk management mechanisms in place.
企业风险管理由一个主体的董事会、管理当局和其他人员实施。它是通过一个组织中的人、通过他们的言行来完成的。人制订主体的使命、战略和目标，并使企业风险管理机制得以落实。
Similarly, enterprise risk management affects people’s actions. Enterprise ris k management recognizes that people do not always understand, communicate, or perform consistently. Each individual brings to the workplace a unique background and technical ability, and has different needs and priorities.
同样，企业风险管理也会影响人的行动。企业风险管理认识到人们并不总是始终如一地理解、沟通和行动。每个人都会给工作场所带来一个独特的背景和技术能力，他们有着不同的需要和偏好。
These realities affect, and are affected by, enterprise risk management. Each person has a unique point of reference, which influences how he or she identifies, assesses, and responds to risk. Enterprise risk management provides the mechanisms needed to help pe ople understand risk in the context of the entity’s objectives. People mus t know their responsibilities and limits of authority. Accordingly, a clear and close linkage needs to exist between people’s duties and the way in which they are carrie d out, as wel l as with the entity’s strategy and objectives.
这些现实影响企业风险管理，同时也受到企业管理的影响。每个人都有一个独特的参照点，它影响他或她怎样去识别、评估和应对风险。企业风险管理提供所需的机制，帮助在主体目标的背景下去理解。人们必须知道他们的责任和权力的局限。因此，在人们的职责和他们履行职责的方式以及主体的战略和目标之间，需要有一个而又密切的联系。
An organization’s people include the board of directors, management and other personnel. Although directors primarily provide oversight, they also provide direction and approve strategy and certain transactions and policies. As such, boards of directors are an important element of enterprise risk management.
一个组织中的人包括董事会、管理当局和其他人员。尽管董事主要是提供监督，他们也提供指导，审批战略和特定的交易与政策。因此，董事会是企业风险管理的一个重要的要素。
Applied in Setting Strategy
应用于战略制订
An entity sets out its mission or vision and establishes strategic objectives, which are the high-level goals that align with and support its mission or vision. An entity establishes a strategy for achieving its strategic objectives. It also sets related objectives it wants to achieve, flowing from the strategy, cascading to entity business units, divisions, and processes.
一个主体设定其使命或愿景，并制订战略目标，它们是协调和支撑其使命或愿景的高层次的目的。主体为了实现其战略目标而制订战略。它还设定所希望实现的相关目标，上至战略，下至主体的业务单元、分部和流程。
Enterprise risk management is applied in strategy setting, in which management considers risks relative to alternative strategies. For instance, one alternative may be
to acquire other companies in order to grow market share. Another may be to cut sourcing costs in order to realize higher gross margin percentage. Each of these strategic choices poses a number of risks. If management selects the first strategy, it may have to expand into new and unfamiliar markets, competitors may be able to gain share in the company’s existing markets, or the company might not have th e capabilities to effectively implement the strategy. With the second, risks include having to use new technologies or suppliers, or form new alliances. Enterprise risk management techniques are applied at this level to assist management in evaluating and selecting the entity’s strategy and related objectives.
企业风险管理应用于战略制订之中，此时管理当局考虑与备选战略相关的风险。举例来说，一个选择可能是收购其他公司以扩大市场份额。另一个可能是削减采购成本以实现更高的毛利率。这些战略选择中的每一个都会带来许多风险。如果管理当局选择第一个战略，就可能必须向新的和不熟悉的市场拓展，竞争者就可能会占取公司目前市场的份额，或者公司可能没有能力去有效地实施这一战略。对于第二个而言，风险包括必须利用新的技术或供应商，或者建立新的联盟。企业风险管理技术被应用在这个层次上，以帮助管理当局评价和选择该主体的战略和相关的目标。
Applied Across the Enterprise
应用贯穿于企业
In applying enterprise risk management, an entity should consider its entire scope of activities. Enterprise risk management considers activities at all levels of the organization, from enterprise-level activities such as strategic planning and resource allocation, to business unit activities such as marketing and human resources, to business processes such as production and new customer credit review. Enterprise risk management also applies to special projects and new initiatives that might not yet have a designated place in the e ntity’s hierarchy or organization chart.
在应用企业风险管理时，主体应该考虑其全部活动。企业风险管理考虑组织的各个层级的活动，从诸如战略和资源配置等企业层次的活动，到诸如市场营销和人力资源等业务单元的活动，再到诸如生产和新客户信用评价等经营流程。企业风险管理还应用于特殊项目和目前在主体的层级和组织结构图中还没有一个
明确位置的新的活动。
Enterprise risk management requires an entity to take a portfolio view of risk. This might involve each manager responsible for a business unit, function, process, or other activity developing an assessment of risk for the activity. The assessment may be quantitative or qualitative. With a composite view at each succeeding level of the organization, senior management is positioned to make a determination whether the entity’s overall risk portfolio is commensurate with its risk appetite.
企业风险管理要求主体对风险采取组合的观念。这可能要求负责一个业务单元、职能机构、流程或其他活动的每一名管理人员对各自的活动形成一个风险评估。这种评估可能是定量的，也可能是定性的。高层管理当局采用复合的观念看待组织中的所有层级，以便确定该主体的整体风险组合是否与它的风险容量相称。
Management considers interrelated risks from an entity-level portfolio perspective. Risks for individual units of the entity may be within the units’ risk tolerances, bu t taken together may exceed the risk appetite of the entity as a whole. Or, conversely, potential events may represent an otherwise unacceptable risk in one business unit, but with an offsetting effect in another. Interrelated risks need to be identified and acted on so that the entirety o f risk is consistent with the entity’s risk appetite.
管理当局从主体层次组合的角度考虑相互关联的风险。主体中单个单元的风险可能在该单元的风险容限范围之内，但是凑到一起可能会超出该主体作为一个整体的风险容量。或者刚好相反，潜在事项在一个业务单元中可能意味着不可接受的风险，但是在其他业务单元中存在抵消效应。相互关联的风险需要识别和发挥作用，以便使整体风险符合主体的风险容量。
Risk Appetite
风险容量
Risk appetite is the amount of risk, on a broad level, an entity is willing to accept in pursuit of value. It reflects the entity’s risk management philosophy, and in tur n influences the entity’s culture and operating style. Many entities consider risk appetit e qualitatively, with such categories as high, moderate, or low, while others take a quantitative approach, reflecting and balancing goals for growth, return, and risk. A company with a higher risk appetite may be willing to allocate a large portion of its capital to such high-risk areas as newly emerging markets. In contrast, a company with a low risk appetite might limit its short-term risk of large losses of capital by investing only in mature, stable markets.
风险容量是一个主体在追求价值的过程中所愿意承受的广泛意义的风险的数量。它反映了主体的风险管理理念，进而影响主体的文化和经营风格。许多主体采用诸如高、适中或低之类的分类定性地考虑风险容量，而其他主体则采用定量的方法，反映和平衡增长、报酬和风险目标。具有较高风险容量的公司可能愿意把它的大部分资本配置到诸如新兴市场等高风险领域。反过来，具有低风险容量的公司可能会仅仅投资于成熟的、稳定的市场，以便限制其短期的巨额资本损失风险。
Risk appetite is directly related to an entity’s strategy. It is considered in strateg y
setting, as different strategies expose an entity to different risks. Enterprise risk management helps management select a strategy that aligns anticipated value creation with the entity’s risk appetite.
风险容量与一个主体的战略直接相关。它在战略制订过程中予以考虑，因为不同的战略会使主体面临不同的风险。企业风险管理可以帮助管理当局选择一个将期望的价值创造与主体的风险容量相协调的战略。
Risk appetite guides resource allocation. Management allocates resources among business units and initiatives with consideration of the entity’s risk appetite and th e unit’s plan for generating desired return on invested resources. Ma nagement considers its risk appetite as it aligns its organization, people, and processes, and designs infrastructure necessary to effectively respond to and monitor risks.
风险容量指导资源配置。管理当局通过考虑主体的风险容量和业务单元为实现投入资源的期望报酬而制订的计划，把资源配置到业务单元和活动之中。管理当局考虑容量，使其与组织、人员和流程相适应，并设计的基础结构以便有效地应对和监控风险。
Risk tolerances relate to the entity’s objectives. Risk tolerance is the acceptable leve l of variation relative to achievement of a specific objective, and often is best measured in the same units as those used to measure the related objective.
风险容限与主体的目标相关。风险容限是相对于实现一项具体目标而言，可以接受的偏离程度，它通常最好采用那些与度量相关目标相同的单位进行度量。In setting risk tolerance, management considers the relative importance of the related objective and aligns risk tolerances with risk appetite. Operating within risk tolerances helps ensure that the entity remains within its risk appetite and, in turn, that the entity will achieve its objectives.
在设定风险容限的过程中，管理当局要考虑相关目标的相对重要性，并使风险容限与风险容量相协调。在风险容限范围内经营有助于确保该主体能保持在它的风险容量之内，进而确保该主体将会实现其目标。
Provides Reasonable Assurance
提供合理保证
Well-designed and operated enterprise risk management can provide management and the board of directors reasonable assurance regarding achievement of an entity’s objectives. Reasonable assurance reflects the notion that uncertainty and risk relate to the future, which no one can predict with precision.
设计和运行良好的企业风险管理能够为管理当局和董事会提供关于主体目标实现的合理保证。合理保证意味着与未来相关的不确定性和风险，因为没有人能够准确地预知未来。
Reasonable assurance does not imply that enterprise risk management frequently will fail. Many factors, individually and collectively, reinforce the concept of reasonable assurance. The cumulative effect of risk responses that satisfy multiple objectives and the multipurpose nature of internal controls reduce the risk that an entity may not achieve its objectives. Furthermore, the normal everyday operating activities and responsibilities of people functioning at various levels of an organization are directed
一、导言 中航油巨亏事件,对国内外相关各方都产生了重大冲击和深远影响。由于中航油的国企背景,该事件对我国的国家信用以及我国企业海外上市前景都产生了负面作用。与中航油事件几乎同期发生在国内的伊利股份高管被拘风波、创维数码董事局主席被捕以及金正数码和深圳石化原董事长被捕等事件,也给我们提出了一个相同的问题:我们的企业到底出了什么问题?就在此时,国际著名的反虚假财务报告委员会(即Treaday委员会)于2004年年底,针对国际企业界频繁发生的高层管理人员舞弊现象,废除了沿用很久的企业内部控制报告,颁布了一个概念全新的COSO报告:即《企业风险管理——总体框架》(Enterprise Risk Management,简称ERM)。此报告虽然保留了部分传统内部控制的某些概念,但不论在框架上、还是在要素方面,均有相当大的突破。 在如此赞誉之下的新内部控制框架,它出台的背景与动机又是什么?其具体内容究竟是什么?它能为我国企业内部控制的改善带来什么意义?这是我们需要分析的内容。 二、COSO委员会新报告《企业风险管理——总体框架》解读
内部控制理论是随着企业内控实践经验的丰富而逐渐发展起来的,大致经历了内部牵制、内部控制系统、内部控制结构和内部控制整体框架四个理论阶段(储稀梁,2004)。由美国注册会计师协会(AICPA)、美国会计学会(AAA)、财务经理协会(FEI)、国际内部审计师协会(IIA)和管理会计师协会(IMA)五大学会共同组成的Treadway 委员会,于1992年发表,并于1994年修订的《内部控制——整体框架》报告,标志着内部控制理论与实践进入了整体框架的新阶段,并被世 界上许多企业所采用。尽管如此,理论界和实务界还是认为该内部控制框架有些局限性,如对风险强调不够,使得内部控制无法与企业的 风险管理相结合(朱荣恩,贺欣,2003)。2004年10月份发布的企业风险管理(Enterprise Risk Management,ERM)框架就是在1992年报告的基础上,结合《萨班斯一奥克斯法案》(Sarbanes—Oxley Act)的相关要求扩展研究得到的。与传统内部控制内容相比,新框架有了较多的变化。这些变化主要包括如下几个方面: (一)企业风险管理对内部控制内涵的发展 1992年COSO报告对内部控制的定义是:“内部控制是一个受到董事会、经理层和其他人员影响的过程,该过程的设计是为了提供实现以下三类目标的合理保证:经营的效果和效率、财务报告的可靠性、法律法规的遵循性。”内部控制的定义明确了四个要点:(1)是一个过程;(2)受人为影响;(3)为了达到三个目标;(4)合理保证。 这个定义尽管非常宽,但从某种角度来说,又比较模糊,存在某些片面性。故原COSO报告1992年出版后不久,就有声音批评该报告缺
全面风险管理体系建设 方案 内部编号：（YUUT-TBBY-MMUT-URRUY-UOOY-DBUYI-0128）
我们侧重从企业整体层面制定风险战略、完善内控体系、设计风险管理流程和组织职能等。我们帮助企业搭建风险管理的综合架构，建立风险管理的长效机制，从根本上提升风险管理的效率和效果。 全面风险管理体系建设将帮助企业达到以下目标： ·从企业战略出发，统一风险度量，建立风险预警机制和应对策略 ·明确风险管理职责，将所有风险的管理责任落实到企业的各个层面 ·形成风险信息的收集、分析、报告系统，为风险的实时有效监控和应对提供依据 ·避免企业重大损失，支持企业战略目标的实现 ·使所有企业利益相关人了解企业的风险，满足股东以及监管机构的要求 ·形成一套自我运行、自我完善的风险管理机制 · 风险评估 系统辨识客户企业面临的风险，将辨识出的风险进行定性和定量的分析，评价风险对企业目标的影响。 ·统一的风险语言 ·确定风险列表和坐标图
·确定企业风险管理的重点 ·明确风险的价值 · 风险管理诊断 评估企业风险管理体系的整体水平，诊断对于重大风险管理的应对手段，把握企业了解当前的风险管理现状，提出改进的建议方案。 ·评估核心风险的管理状况 ·满足合规的要求 ·找出风险管理现状与最佳管理实践之间的差距 · 风险战略设计 根据企业的发展战略，结合企业自身的管理能力，明确风险管理目标，并针对不同的风险，引入量化分析工具，确定风险偏好和承受度，设计保证战略目标实现的风险管理战略。 ·确定风险管理指导方针 ·确定风险偏好及风险承受度 ·确定企业整体风险模型 ·确定风险预警体系 · 风险文化建设 统一企业的风险意识和风险语言，培养企业员工的风险责任感，建设与企业风险战略相符合的风险文化。 ·普及风险管理知识 ·强化全员风险意识
建筑施工企业风险分析及控制 在当前建筑业市场经济环境下，施工企业承担的风险是巨大的。首先，由于建筑市场供求关系严重失衡，“僧多粥少”导致了过度竞争甚至是恶性竞争，这种无序竞争使得施工企业风险无处不在并越来越加剧；其次，从施工企业本身来说，资本规模实力与承建的工程项目规模是很不匹配的，年施工产值通常是其注册资本的十几倍以上，企业自我保护能力和承受能力都较弱。另外，建设工程项目规模的不断大型化和技术复杂化，也为施工企业带来了更多的风险。因此，如何分析和控制风险就成为施工企业管理工作的重要内容。本人认为施工企业的风险主要应从经营、管理和财务三个方面进行控制。 一、经营风险及控制 (一)业主风险 工程项目的顺利实施自始至终离不开施工企业与业主的紧密合作，有的业主实力较弱，相应地工程项目的风险也就加大；有的业主虽然有一定实力，但信誉较差，与这样的业主合作风险控制就更加重要；有的业主利用虚假工程信息虚假发包，招摇撞骗，骗取保证金。因此业主风险是建设企业经营生产中的一个重要风险。要规避此类风险，在承接项目的前期要进行认真细致的考察和调研是十分必要的。主要是业主的信誉和实力，也包括业主的资金状况，注册资本及到位情况，投资主体，资产负债状况，以及工商、银行、税务及合作伙伴对其的评价等。最好是能由业主提供工程款支付保函。如果业主的信誉较好，实力较强，项目容易成功，而且施工企业的风险也能得到有效控制。 (二)项目风险 工程项目自身的好坏也是关系到施工企业风险的重要因素。要控制这种风险，就必须对项目的策划定位，所处地段，市场环境进行评估，对相关证件是否齐
全，土地款是否已付，工程资金是否到位等进行考察。如房地产开发项目，如果业主的信誉和实力一般，而项目本身评价较好时，风险控制相对比较容易，即使业主违约，施工企业可以接盘运作，挽回损失。 (三)法律风险 主要是指合同的风险。当前建筑市场存在的许多问题，如工程质量问题、工程款拖欠问题、原材料价格问题等，都与合同履行不良有着密切的关系。许多业主利用施工企业急于揽到工程任务的迫切心理，在签订合同时附加某些不平等条款，致使施工企业在承接工程初期时就处于非常不利的地位，甚至陷入合同陷阱。合同是施工企业一切风险的源头，如果合同“先天不足”，势必会造成以后工程项目实施中的被动。因此经营人员，项目班子人员一定要提高法律意识、履约意识，对合同的重要条款严格把关，在一些关键性问题上一定要坚持原则。 二、管理风险及控制 (一)质量与安全风险 质量与安全是施工企业永恒的生命线，质量与安全管理是工程项目重要的管理内容，一旦发生质量与安全事故，不仅给伤者本人造成巨大的痛苦，给其家庭带来长期的不幸，也给企业带来直接和间接的经济损失。轻则罚款、通报批评，重则停止市场活动，降级甚至吊销，直接关系到企业的生死存亡。要控制质量与安全风险，一定要警钟长鸣，常抓不懈，居安思危。项目部主要管理和技术人员一定要到位并达到相应任职资格要求，严格按照国家强制性规范操作，特种作业人员必须持证上岗。同时要利用保险机制保障劳动人员遭遇工作伤害后及时获得经济补偿。即以工伤社会保险为基础层次，以建筑意外伤害保险为工伤保险的补充形式。 (二)项目施工管理风险
P109 企业风险管理—整合框架和内部控制—整合框架之间的关系 1992年，COSO（反虚假财务报告委员会的赞助组织委员会）发布了《内部控制—整合框架》，该框架建立了内部控制结构，并提供评价工具，从而使企业和其他主体可以评估其控制系统。该框架定义了有效进行内部控制的五个相互关联的要素。 内部控制—整合框架将内部控制定义为一个过程，该控制过程受到企业董事会、管理层和全体职工的影响，旨在提供合理保证，以实现下列目标： ?经营的效率和效果 ?财务报告的可靠性 ?法律法规的遵循性 本附录概述了内部控制框架和企业风险管理框架之间的关系。 对内部控制的拓展 内部控制是企业风险管理的主要组成部分。相比较而言，企业风险管理的内容则更为深入，它扩展和详述了内部控制的范畴，这使企业风险管理成为了更加全面关注风险的更加健全的概念。由于企业主体和其他组织只关注自身的内部控制，从而使内部控制—整合框架仍然有重要的影响。 目标分类 内部控制—整合框架细分了三种目标—运营目标，财务报告目标和合规性目标。企业风险管理也细分了三种类似的目标类别—运作目标，报告目标和合规目标。在内部控制框架中，报告类别被认为与公布的财务报表的可靠性相关。在企业风险管理框架中，报表的范畴被明显的扩展，涉及了主体编制的所有在内部和外部使用的报表。包括管理层内部使用的报告和那些对外发布的报告,以及给其他利益相关者的报告和监管申报材料等, 其范围也从财务报表拓展为不仅包含更加广泛的财务信息,而且还包含非财务信息。 P110 企业风险管理—整合框架增加了一个高层次的目标，即战略目标。战略目标来源于主体的规划，同时运营、报表和合规性的目标都要与之一致。企业风险管理被应用于战略制定以及其他三类目标的实现。 企业风险管理框架还引入了风险偏好和风险承受能力的概念。风险偏好是在主体实现目标或制定规划过程中所愿意承担的广义风险的数量，它为战略制定及相关目标的实现提供了参考。在确定风险承受能力过程中，管理层需考虑相关目标的重要性，并将其与企业风险偏好相协调。在风险承受能力范围内经营有助于确保该主体能保持在它的风险偏好之内，进而确保该主体将会实现其目标 风险组合观点 风险组合未包含在内部控制框架之内。对企业内每个单位而言，其风险可能落在该单位的风险容忍度范围内，但从企业总体来看，总风险可能超过企业总体的风险偏好范围。因此，应从企业总体的风险组合的观点看待风险。 组成部分 在加强关注风险的同时，企业风险管理框架将内部控制的风险评估扩展为四个组成部分—目标设定（内部控制的先决条件）、事项识别、风险评估和风险应对。 内部环境 在论述环境组成方面，企业风险管理框架讨论了一种主体风险管理理念，即一整套共同的信念和态度。描述了主体如何考虑风险，反映了它的价值观，并影响其文化和经营风格。如上所述，此框架包含了风险偏好的概念，风险承受能力更加明确的印证了这一点。 考虑到董事会的决定性作用及其构成，为了使企业风险管理更加有效，企业风险管理框架将
建筑施工企业面临的主要风险及风险管理措施与对 策 This model paper was revised by the Standardization Office on December 10, 2020
建筑施工企业面临的主要风险及风险管理措施与对策 摘要在市场经济体制逐步规范和完善的过程中，由于建筑市场日益国际化和竞争日趋激烈，建筑施工企业面临的不确定因素和经营风险日渐增多。如何正确识别、评估风险因素建立起科学的风险管理体系，加强对风险的预防、控制和转移，最大限度地减少和避免风险损失，全面提升企业的竞争力，确保企业的经济效益、社会效益，不断推动企业科学发展是当前建筑施工企业面临的重要课题。 关键词建筑施工企业风险管理措施与对策 一、建筑施工企业风险管理概述 所谓风险管理，是指企业通过对潜在风险的识别和衡量，采用合理的经济和技术手段对风险加以处理，以最小的成本获得最大的安全保障。通过风险管理，可以对威胁到企业资产和盈利能力的风险进行识别、分析并选择最经济的办法加以控制，从而一方面把不固定的风险变为固定的风险费用支出，以保证企业的稳定运营；另一方面尽量减少风险发生的可能性和一旦发生可能造成的破坏，同时也可以凭借良好的风险管理而争取到更低的概率，缩减风险费用开支。 二、我国建筑施工企业风险管理工作中存在的问题我国的许多建筑施工企业对风险管理尚处于初步认识和依靠经验积累，方法上简单操作，缺少规范、有效的科学管理程序，抵御风险能力弱。 1.缺乏风险管理意识。我国建筑施工企业在风险管理方面起步较晚，存在着对风险管理的认识还不到位，风险控制体系不完善，全员、全方位参与不够等问题，尽管有一些风险管理的措施，但缺乏系统性和明确的风险管理目标。风险管理活动往往是临时性或剪断性的，缺乏对风险进行定期而系统全面的分析和评估，降低了企业适应环境变化、管理风险和规避风险的能力。
企业风险管理整合框架及其评价 在内部控制标准制定方面,美国发起人组织委员会(COSO) 一直是国际公认的权威机构,自其成立以来，一直致力于内部控制标准的制定，引导和代表着内部控制的发展趋势。1992年,COSO提岀了《内部控制——整合框架》,经过十多年的应用.已成为业界普遍认可的一个标准。2004 年9月,COSO又提岀了《企业风险管理一一整合框架》，它既是对《内部控制一一整合框架》的超越，也标志着内部控制的转型,在内涵界定、目标体系、构成要素等方面都进行了拓展和延伸。 一、企业风险管理的性质(n ature)与定位 这些年来.一系列财务失败事件的发生以及对企业风险管理的关注,使人们越来越清楚地认识 到需要一个强有力的框架以便有效地识别、评估和控制风险。2001年,COSO开展了一个项目， 委托普华永道开发一个对于管理当局评价和改进他们所在组织的企业风险管理的框架。但在开发这个框架期间,又发生了一系列令人瞩目的企业丑闻和失败事件,投资者、公司员工和其他利益相 关者因此而遭受了巨大的损失。随之而来的便是对采用新的法律、法规和上市准则来加强公司治 理和风险管理的呼吁。人们迫切需要一个能够提供关键原则和概念、共同的语言以及明晰的方向和指南的企业风险管理框架。美国在2002 年颁布了《萨班斯-奥克斯利法案》,其他国家也已经通过或正在考虑类似的立法。这部法律扩充了长期持续的对公众公司保持内部控制制度的规定 , 要求管理当局证实、并由独立审计师鉴证这些制度。2004 年9 月,COSO 发布了《企业风险管理——整合框架》,它拓展了内部控制框架,更关注于企业风险管理这一更加宽泛的领域。按照COSO 的设想,他们不打算、也的确没有用企业风险管理框架取代内部控制框架,而是将内部控制框架纳 入其中,公司不仅可以借助这个企业风险管理框架来满足它们内部控制的需要,还可以借此转向一
我们侧重从企业整体层面制定风险战略、完善内控体系、设计风险管理流程和组织职能等。我们帮助企业搭建风险管理的综合架构，建立风险管理的长效机制，从根本上提升风险管理的效率和效果。 全面风险管理体系建设将帮助企业达到以下目标： ·从企业战略出发，统一风险度量，建立风险预警机制和应对策略 ·明确风险管理职责，将所有风险的管理责任落实到企业的各个层面 ·形成风险信息的收集、分析、报告系统，为风险的实时有效监控和应对提供依据 ·避免企业重大损失，支持企业战略目标的实现 ·使所有企业利益相关人了解企业的风险，满足股东以及监管机构的要求 ·形成一套自我运行、自我完善的风险管理机制 · 风险评估 系统辨识客户企业面临的风险，将辨识出的风险进行定性和定量的分析，评价风险对企业目标的影响。 ·统一的风险语言 ·确定风险列表和坐标图 ·确定企业风险管理的重点 ·明确风险的价值 · 风险管理诊断 评估企业风险管理体系的整体水平，诊断对于重大风险管理的应对手段，把握企业了解当前的风险管理现状，提出改进的建议方案。 ·评估核心风险的管理状况
·满足合规的要求 ·找出风险管理现状与最佳管理实践之间的差距 · 风险战略设计 根据企业的发展战略，结合企业自身的管理能力，明确风险管理目标，并针对不同的风险，引入量化分析工具，确定风险偏好和承受度，设计保证战略目标实现的风险管理战略。 ·确定风险管理指导方针 ·确定风险偏好及风险承受度 ·确定企业整体风险模型 ·确定风险预警体系 · 风险文化建设 统一企业的风险意识和风险语言，培养企业员工的风险责任感，建设与企业风险战略相符合的风险文化。 ·普及风险管理知识 ·强化全员风险意识 ·建立道德诚信准则 · 风险管理规划 帮助企业制订全面风险管理体系建设的总体规划，建立一套长效机制并协助客户将总体规划分解落实，明晰每步的工作内容和里程碑。 ·明确全面风险管理的最终目标 ·确定预期效果与评估标准 ·确定实施的步骤 ·确定组织方式 ·确定资源配置方案 · 风险流程设计 基于企业现有的内控流程，结合已评估出的风险，找出流程中的关键风险控制点，梳理并细化具体控制内容，修改制度，增加监控指标，强化业务和管理流程中的内部风险控制。
建筑施工企业面临的主要风险及风险管理措施与对策 欧阳光明（2021.03.07） 摘要在市场经济体制逐步规范和完善的过程中，由于建筑市场日益国际化和竞争日趋激烈，建筑施工企业面临的不确定因素和经营风险日渐增多。如何正确识别、评估风险因素？建立起科学的风险管理体系，加强对风险的预防、控制和转移，最大限度地减少和避免风险损失，全面提升企业的竞争力，确保企业的经济效益、社会效益，不断推动企业科学发展是当前建筑施工企业面临的重要课题。 关键词建筑施工企业风险管理措施与对策 一、建筑施工企业风险管理概述 所谓风险管理，是指企业通过对潜在风险的识别和衡量，采用合理的经济和技术手段对风险加以处理，以最小的成本获得最大的安全保障。通过风险管理，可以对威胁到企业资产和盈利能力的风险进行识别、分析并选择最经济的办法加以控制，从而一方面把不固定的风险变为固定的风险费用支出，以保证企业的稳定运营；另一方面尽量减少风险发生的可能性和一旦发生可能造成的破坏，同时也可以凭借良好的风险管理而争取到更低的概率，缩减风险费用开支。
二、我国建筑施工企业风险管理工作中存在的问题我国的许多建筑施工企业对风险管理尚处于初步认识和依靠经验积累，方法上简单操作，缺少规范、有效的科学管理程序，抵御风险能力弱。 1.缺乏风险管理意识。我国建筑施工企业在风险管理方面起步较晚，存在着对风险管理的认识还不到位，风险控制体系不完善，全员、全方位参与不够等问题，尽管有一些风险管理的措施，但缺乏系统性和明确的风险管理目标。风险管理活动往往是临时性或剪断性的，缺乏对风险进行定期而系统全面的分析和评估，降低了企业适应环境变化、管理风险和规避风险的能力。 2.风险管理的组织机构不完善。目前，一些建筑施工企业对风险管理没有明确的定位，没有建立完整的风险控制体系，风险管理职能分散，在企业总部和分支机构的组织机构设置上未考虑风险管理部门和职能，缺乏专职部门和人员来履行风险管理职责。 3.风险管理的制度建设有差距。对风险管理的制度设计有缺陷，制定的一些风险管理制度缺乏系统性、规范性和可操作性，影响了制度整体效应的发挥。对风险管理缺乏必要的问责制、考核制及其相应的奖惩制度，不能通过各种形式的责任约束、限制和规范内部人员的行为，弱化和模糊责任，影响了风险管理的效果。 三、目前建筑施工企业面临的主要风险
《企业风险管理——整合框架》读书笔记 广西博林企业会计服务有限公司36号李春玲 曾今有人说过，在中国每10秒就有一家公司死掉，而这惨象在2018年底不断上演，中小企业大规模倒闭裁员，而各大名企也未放缓裁员的步伐，以此削减成本来渡过经济寒冬。 在经济下行，人人自危的情况下，作为一个企业的掌舵人，详细的学习《企业风险管理——整合框架》一书尤其重要。以下读书笔记，是我在学习此书的感想和结合企业管理过程中所得： 一、企业风险管理的意义 在这样一个瞬息万变的时代，没有企业能一直躲在稳定的舒适区，失败和成功有时就是一念之差。 1、企业风险管理存在的问题 与国外的企业相比，我国除了金融、保险等高风险行业十分重视风险管理外，其余大部分企业对风险管理都不够重视，风险管理还处于起步阶段。 （1）分不清风险与内控的关系。在书中有明确写到，其实风险管理包含内部控制，风险是通过各要素在管理中做正确的事，内控是利用规章制度正确的做事。 （2）主体人员不能正确地认识风险管理的重要性。其中包括风险管理部门的设置、流程、工作标准、权限设置模糊、风险预警机制和人员风险意识的培训等。 （3）对风险片面理解。框架也强调风险有很多，通常我们会对投资风险、财务风险比较重视，而忽略了如：外部风险中的竞争对手、政治环境、法律环境等；内部风险中的产品、营销、人事等。 2、企业加强风险管理的必要性 风险的本质是一种不确定性，这就意味着，风险既包含了闻风丧胆的危险，也包括了绝处逢生的机会。还记得曾经的乳制品行业巨头吗？在三聚氰胺事件后，三鹿集团连翻身的机会都没有，人们不会给一个没诚信没道德的企业任何的
生存环境。 今年3月底，“碧生源上市9年亏损超4亿元总部大厦被变卖”的消息一出，其实大家并不是特别吃惊。有分析表明，碧生源的亏损是综合因素所致。最关键的原因是广告的夸大宣传，另外，随着消费者健康意识的加强，已经不太能继续忽悠消费者。 诚信和道德价值观是一个主体内部环境的关键要素，影响其他要素的设计、管理和监控。 一个企业风险发生之前，已经呈现亚健康状态，各个环节出现的问题没有得到应有的重视。 企业风险管理使管理层能够识别、评估和管理面对不确定性的风险，它对于价值创造和保持而言有重要意义，可见懂得风险管理对企业来说多么重要。 二、财会服务企业必须具备风险管理技能 企业风险管理框架的要素包括8个：内部环境、目标设定、事项识别、风险评估、风险应对、控制活动、信息与沟通、监督；内部控制框架包括5个要素：内部环境、风险评估、控制活动、信息与沟通、监督。内部控制是企业风险管理不可分割的一部分。 我在阅读风险管理框架的时候，结合财会服务业风险管理进行了适当的理解和分析。 1、加强专业人才队伍建设 内部环境，包括风险管理理念和风险容量、诚信和道德价值观，以及所处的经营环境。而人是企业的生命所在，因此团队建设培养要把好关，建立良好的氛围。 财会服务业对财务管理工作人员的要求较普通企业更高，在聘请财务人员时，优先录取经验丰富的应聘者，毕竟丰富的财务风险管控经验是十分难得的。另外，要注重培训，有计划地加强进行风险管控的实战训练，以提高公司的风险防控能力。 2、准确地表述企业的目标 目标设定是事件识别、风险评估和风险应对的前提，目标的实现又分为：战
解析企业安全生产风险管理体系 企业安全生产风险管理体系是对企业设计、建设、生产、销售各个环节中有可能出现损害生命与财产的因素进行分析、评价、干预、监督和管理的一个整体，是预防企业发生安全事故，造成人员生命和财产损失的一种管理方法。 企业应如何建立安全生产风险管理体系呢？首先要从设计就开始进行风险管理，然后是生产装置的施工过程的风险管理，接着是生产过程中的风险管理，最后是销售、使用过程中的风险管理，整个过程必须形成一个横到边，纵到底的风险管理体系。任何一个环节留下安全隐患，都有可能造成生命财产损失。 企业风险管理体系主要包括四部分：设计阶段安全风险管理、建设施工阶段安全风险管理、生产阶段安全风险管理和销售使用阶段安全风险管理。 一、项目设计阶段安全风险管理。项目设计阶段安全风险主要对项目选址、工艺流程、物料、产品和防火防爆措施进行危险有害因素分析。项目设计阶段安全风险管理主要靠设计单位和评价机构来把关，企业主要是对设计单位、安全评价机构的资质和信誉进行审查。在安全设施设计专篇中提出一些安全要求和建议。 二、建设施工阶段安全风险管理。施工过程中的安全主要是施工承包单位进行安全管理，而业主主要抓的是设备、设施、材料的质量和施工质量。这两方面控制不好，将会构成较大的安全隐患，随时都有可能在生产过程中产生安全事故。加强设备、设施、材料质量和施工质量的风险管理是防止物的不安全状态的重要措施之一。 1、设备、设施、材料质量安全风险管理。设备、设施、材料质量安全风险管理主要是对建设期设备、设施和材料质量进行管理，对不符合设计要求的设备、设施和新材料进行安全分析。新设备、新设施、新材料的使用也要进行技术分析，评价其成熟性。严格设备、设施、材料质量管理，建立设备、设施、材料质量评价档案，防止质量安全隐患。 2、施工质量安全风险管理。施工质量安全风险管理是根据工艺设计、质量和安全设计专篇的要求对施工过程中的偏离进行检查、分析、控制、纠正。建立数据档案，为以后的安全管理提供风险评价依据。 三、生产阶段安全风险管理：生产阶段安全风险管理主要从物的不安全状态、人的不安全行为和管理上的缺陷进行安全风险管理。 造成物的不安全状态主要有设备设施缺陷或故障。设备、设施缺陷是由于设计、制造、安装等在设备设施本身存在的不安全状态。设备、设施故障是指设备、设施在运行过程中不能实行预期功能的现象。生产过程中企业要想更好地控制设备设施缺陷或故障引起的物的不安全状态，必须进行备品、备件、材料质量安全风险管理、特种设备安全风险管理、设备设施维护保养安全风险管理、切
c o s o企业风险管理整合 框架 集团标准化办公室：[VV986T-J682P28-JP266L8-68PNN]
公司治理·内部控制前沿译丛 企业风险管理——整合框架 （美）COSO 制定发布 方红星王宏译 大连 制定发布机构简介 COSO是Treadway委员会（Treadway Commission，即反欺诈财务报告全国委员会（National Commission on Fraudulent Financial Reporting），通常根据其首任主席的姓名而称为Treadway委员会）的发起组织委员会（Committee of Sponsoring Organizations）的简称。Treadway委员会由美国注册会计师协会（AICPA）、美国会计学会（AAA）、国际财务经理协会（FEI）、内部审计师协会（IIA）和管理会计师协会（IMA）等5个组织于1985年发起成立。1987年，Treadway委员会发布一份报告，建议其发起组织共同协作，整合各种内部控制的概念和定义。1992年，COSO发布了着名的《内部控制——整合框架》（1994年作出局部修订），成为内部控制领域最为权威的文献之一。2003年7月，COSO发布了《企业风险管理——整合框架（征求意见稿）》，经过一年多的意见反馈、研究和修改，2004年9月发布了最终的文本。本书就是按照2004年9月正式发布的文本进行翻译的。 译者简介
方红星，东北财经大学会计学院教授，博士，兼任东北财经大学出版社社长，编审，东北财经大学内部控制与风险管理研究中心研究员，三友会计研究所所长。主要学术兼职有财政部会计准则委员会咨询专家、中国会计学会理事、中国成本研究会理事、中国注册会计师审计准则组成员、中国会计学会财务成本分会常务理事及多家学术期刊编委。 王宏，西南财经大学会计学院博士研究生，现就职于财政部会计司综合处，近年来主要致力于内部会计控制等方面的理论和政策研究。 中文版前言 在内部控制和风险管理的演进过程之中，COSO的突出贡献是举世公认的。它在1992年所发布的、并于1994年作出局部修正的《内部控制——整合框架》，已经成为世界通行的内部控制权威文献，被国际和各国审计准则制定机构、银行监管机构和其他方面所采纳。 2003年7月，COSO发布了《企业风险管理——整合框架》的征求意见稿，引起了广泛的关注，我国也有一些学者撰文介绍了相关的情况。诚然，企业风险管理整合框架并没有立即取代内部控制整合框架，但是它涵盖和拓展了后者。因此，对新的框架进行深入研究和探讨，具有十分重要的价值。2004年9月，正式的最终文本发布之后，由于着作权保护和其他方面的原因，在国内很难取得该框架最终定稿的版本。而许多学者继续按照征求意见稿来进行转述、介绍和研究，已经显得不合适了。为此，我们通过积极联络和多方努力，最终获得了正式授权，得以将这份重要的文献翻译成中文并在国内公开出版。 长期以来，尤其是在2001年前后一系列令人瞩目的公司丑闻爆发之后，关于内部控制的研究和立法行动深受社会各界的重视和关注，我国也概莫能外。我国的有关部门在几年前就已经开始了制定企业内部会计控制规范的积极尝试。目前，关于研究和制定企业内部控制指
龙源期刊网 https://www.doczj.com/doc/ff16254971.html, 浅谈建筑施工企业全面风险管理与防控 作者：张涛 来源：《管理观察》2012年第06期 摘要：建筑施工企业在当前复杂的经济形势和激烈的市场竞争环境下，企业改革发展面 临着重重阻力和风险，加强企业全面风险管理和防控对于建筑施工企业的可持续发展，具有举足轻重的作用。本文分析了建筑施工企业面临的问题，对建筑施工企业风险管理与内控建设的程序、对策和措施进行了探讨。 关键词：建筑施工企业风险管理内控对策 随着国际国内形势复杂多变，全球经济增长疲弱，国际金融市场剧烈动荡，国内的财政政策由积极走向紧缩，由投资拉动改为控制通胀，国内建筑市场尤其是铁路市场由大规模投资转向了急刹车，建筑企业的生存和发展面临着前所未有的压力和挑战，面临着经营、安全、质量、资金、法律、“走出去”风险等诸多风险，加强以“控制企业重大风险，防止重大风险事件，避免重大风险损失”为主要内容的企业风险管理与内控建设迫在眉睫。 1.当前建筑施工企业发展中存在的问题 1.1建筑施工企业旧体制遗留问题多，资源配置不充分，用人机制不灵活，垫资施工现象严重，工程拖欠款回收困难。 1.2企业制度的设计制定缺乏科学性，缺乏人性化管理，基层管理者对企业制度的贯彻执行不到位，制度执行力差。 1.3企业面临的不确定因素多，风险预测、评估和应对困难，抗风险能力差。 1.4基础设施建设市场竞争激烈，招标中恶性竞争，低价中标，增大了企业盈利风险。 1.5工程项目多，分布范围广，施工时间长，控制措施不到位，导致部分项目失控，增大了项目风险。 2.建筑施工企业开展风险管理和内控的意义 开展和加强企业风险管理既是国家监督管理的要求，也是企业自身发展的需要。一是加强风险管理和内控是国家“五部委”监管的要求；二是加强风险管理和内控是国资委的明确要求；三是加强风险管理和内控是两地交易所对上市公司监管的要求；四是加强风险管理和内控是企
新版COSO《企业风险管理框架》：有哪些变化？ 2016-12-15 6月24日，反虚假财务报告委员会下属发起组织委员会（COSO）发布《企业风险管理：风险与战略和绩效的协调》，以向公众征求意见，截止日期为2016年9月30日。1熟悉2004版《企业风险管理综合框架》的人可能不会将以此为更新基础的新版框架视为“全新” 概念，但他们会发现新框架的关注点已截然不同，它所关注的是如何使企业风险管理（ERM）在组织机构真正行之有效。 为什么要更新？对过去十年的回顾与总结 自原始框架于2004年刊发以来，实施该框架的企业便面临各种问题，而最大的干扰来自在美国上市的企业不得不全力以赴应对《萨班斯法案》合规工作。 当然框架的实施还面临其他挑战： ?企业风险管理的实施围往往并不面向整个组织机构，并且很少被运用到战略制定中。 如此一来，COSO框架在对企业风险管理进行定义时所强调的最重要亦是最独具一格的一点——“应用于战略制定过程中和整个企业中”在实践中却被误读或无视。 ?COSO最初在编制框架时采用了类似于部控制框架所使用的立方体。虽然COSO对立方体右侧的容进行了修改，删除了有关活动和流程，改为侧重于围更广的实体和运营单位及分支机构，但许多企业依然试图在过于细微的层面实施该框架，例如运用于流程层面而非
战略制定。企业风险管理的实施活动也因此陷于细节的泥潭，令许多C级高管迅速失去兴趣。 ?许多组织机构将企业风险管理作为一种保证活动来实施，而不是将其视为一种更佳的企业管理方式。在和运营单位的领导们打交道时，这种方法无疑是失败的，特别是在有关活动又由部审计部门主导的情况下。 ?2008年金融危机所引发的经济大萧条令许多企业进入危机应对模式，企业风险管理的实施也因此受到影响。 ?最终，还是影响深远的突发性重大事件重新引起了对企业风险管理的真正兴趣，包括2008年的金融危机和2011年的日本海啸。 简而言之，在COSO公布框架之初高管人员对它的关注度便有限，实施活动自那时起就参差不齐。 鉴于上述原因，企业风险管理框架在早些年并未获得施展拳脚的机会。直至金融危机爆发，许多企业高管都并不知晓该框架抑或不确定应如何应对。然而，金融危机爆发后，有关问题和价值主便开始明朗起来。
(精编)企业风险管理整合框架 第二章《企业风险管理——整合框架》基本理论 一、《企业风险管理——整合框架》（简称ERM框架）的颁布 1992年COSO发布的《内部控制——整合框架》虽然被许多企业采用，但理论界和实务界纷纷提出改进建议，认为其对风险强调不够，使得内部控制无法与企业风险管理相结合。2001年，COSO委托普华永道开发一个对于管理层评价和改进他们所在组织的企业内部控制的简便易行的框架。在此期间出现了安然公司破产事件、美国国会2002年出台了《2002公众公司会计改革和投资者保护法案》（萨班斯——奥克斯利法案），该法案是继美国《1933年证券法》、《1934年证券交易法》以来又一部具有里程碑意义的法律，该法案强调了公司内部控制的重要性，从管理层、内部审计以及外部审计等几个层面对公司内部控制做了具体规定，并设置了问责机制和相应的惩罚措施，成为继20世纪30年代美国经济危机以来，政府制定的涉及范围最广、处罚最严厉的公司法律。 2004年，Treadway 委员会下属的发起组织委员会(COSO)发布了《企业风险管理——整合框架》（ERM）①，该框架是在1992年COSO委员会颁布的内部控制框架基础上，吸收各方风险管理研究成果基础上提出的，是内部控制整体框架的延伸和扩展，一经推出，就迅速得到了推广。这个框架的显著变化是将内部控制上升至全面风险管理的高度来认识。........................................... COSO发布《企业风险管理——整合框架》的目的与当初发布风险管理框架的目的相似，是由于实务界存在对统一的概念性指南的需要。COSO希望新框架能够成为组织董事会和管理者的一个有用工具，用来衡量组织的管理团队处理风险的能力，并希望该框架能够成为衡量企业风险管理是否有效的一个标准。........................................... 二、企业风险管理的定义 《企业风险管理——整合框架》（简称ERM框架）指出，“全面风险管理是一个过程，它由一个主体的董事会、管理层和其他人员实施，应用于战略制定并贯穿于企业之中，旨在识别可能会影响主体的潜在事项、管理风险，以使其在该主体的风险容量之内，并为主体目标的实现提供合理保证”。........................................... 定如何应对及报告影响组织目标实现的机遇和威胁。 ①本人认为COSO发布的《企业风险管理——整合框架》，具有较强的理论可取性和实践可行性，不但涵盖了内部控制整体框架的全部内容，而且有了更多的创新，必将全面替代COSO发布的内部控制整合框架，所以本书按照COSO发布的《企业风险管理——整合框架》来阐述。
企业安全风险分级管控体系建设指南
目录 1.适用范围 (1) 2.编制依据 (1) 3.总体要求、目标与原则 (1) 4.危害辨识、风险评价和风险控制管理 (1) 4.1危害辨识、风险评价和风险控制的基本要求 (1) 4.2危害辨识、风险评价和风险控制的基本步骤; (2) 4.3危害辨识、风险评价和风险控制的记录 (2) 5.风险点识别方法 (3) 5.1风险点识别范围的划分要求 (3) 5.2风险点识别方法 (3) 6.风险评价方法 (3) 7.风险分级及管控原则 (3) 8.风险控制措施策划 (4) 9.风险分级管控考核方法 (5) 10.风险点识别及分级管控记录使用要求 (5) 附件 (5) 附件A: 风险点分类标准 (6) 附件B：作业条件风险程度评价（LEC） (17) 附件C：作业风险分析法（风险矩阵） (20) 附件D：风险分级管控建设（示范）企业成果 (24) 附件E 风险分级管控程序框图 (28) 附件F：几种常用评价方法 (29) F.1 定性评价方法 (29) F.2 定量评价方法 (29) F.3 常用评价方法适用范围 (29)
1 适用范围 本实施指南适用于秦皇岛市各行业企业的风险识别、评价、分级、管控。 2 编制依据 《国务院安委会办公室关于印发标本兼治遏制重特大事故工作指南的通知》（安委办[2016]3号）；《关于印发<河北省安全生产攻坚行动方案>的通知》（冀安委[2016]5号）及其他国家相关法规、标准、相关政策等要求。 3 总体要求、目标与原则 明确开展该项工作的严肃性和总体要求，以及开展该项工作要实现的最终目标和应坚持的原则，确保该项工作开展的长期性、有效性。 4 危害辨识、风险评价和风险控制管理 4.1 危害辨识、风险评价和风险控制的基本要求 为保证危害辨识、风险评价和风险控制满足实际需要，组织应： a）指定组织内的一名管理人员促进和管理评估活动； b）征询相关人员的意见，讨论应计划做什么并得到其建议和承诺； c）确定危害识别的方法； d）鼓励员工参与危害辨识； e）选择评价方法，确定风险可容许的标准； f）风险评价应包括活动、产品和服务的影响以及安全技术措施 g）评价人员应接受风险评价培训； h）制定控制措施将风险降到可容许程度； i）将风险管理活动的过程形成文件。
风险控制体系 第一部分：风险类别 依照风险的内容和来源，根据《中央企业全面风险管理指引》将企业风险分为：1．战略风险 2．财务风险 3．市场风险 4．运营风险 5．法律风险 结合我司现发展阶段，将公司风险控制系统主要划分为两大板块，即公司内部风险控制体系与公司业务风险控制体系。
? ?第二部分：内部控制体系的建立
一、战略风险控制 （详见行业分析调研报告） 二、财务风险控制 （详见公司财务管理制度） 三、运营风险控制 （详见公司各项管理制度） （一）建立内控岗位授权制度。对内控所涉及的各岗位明确规定授权的对象、条件、范围和额度等，任何组织和个人不得超越授权做出风险性决定； （二）建立内控报告制度。明确规定报告人与接受报告人，报告的时间、内容、频率、传递路线、负责处理报告的部门和人员等； （三）建立内控批准制度。对内控所涉及的重要事项，明确规定批准的程序、条件、范围和额度、必备文件以及有权批准的部门和人员及其相应责任； （四）建立内控责任制度。按照权利、义务和责任相统一的原则，明确规定各部门、岗位、人员应负的责任和奖惩制度； （五）建立内控考核评价制度。适当考虑把各业务风险管理执行情况与绩效薪酬挂钩； 四、法律风险
建立健全以总法律顾问制度为核心的企业法律顾问制度。大力加强企业法律风险防范机制建设，形成由企业决策层主导、企业法律顾问牵头、企业具体业务部分提供业务保障、全体员工共同参与的法律风险责任体系。 对合同审批的内部控制（关键词“公司公章、合同章的管理”）公司应制定严格的合同审批程序，以防止随意签署合同。 公司合同涉及到公司的法律责任、资金收付、税收支出等等，因此，必须严格执行完善的审批流程：此时的低效率有助于控制公司的风险、降低经办人员的责任。 1、对于常规合同，公司内部确定经领导、律师审核通过的标准文本；如果对方提出修改部分条款，需要走审批程序； 2、对于非常规合同，需要走经办人、经办部门经理、（财务总监）、法律顾问、总经理（乃至董事长）审批后，公司办公室、业务部门方可予以盖章。 3、主要审查： （1）合同主体；（2）业务的合法合规性；（3）交易价格是否公允、是否浮动、浮动的条款；（4）涉及到的全部税收计算；（5）相关约束商务条款是否合理；（6）权责利是否明确对等；（7）是否超过总经理、董事长、董事会的审批权限等等 第二部分：业务控制体系的建立
建筑施工企业财务风险管理策略 公司决策风险防范和国有资产流失的问题随着建筑施工行业的不断变革而日益受到社会各界的重视。目前，大多数财务经理以及财务人员关注的是，怎样才能按照预期的目标使建筑施工企业的财务结构发生转变，并且从根本上防范建筑企业财务风险。在激烈竞争环境中，要建立有效的现代企业竞争模式和管理制度，财务风险是企业必然面对的问题，财务风险状况本身也在一定程度上反映了建筑施工企业的经营状况。 近年来，国家经济的快速发展为建筑施工企业的发展提供了物质基础，但是目前建筑施工企业面临的市场竞争环境错综复杂，其潜在的财务风险也与日俱增。建筑施工企业应该进一步加强内部的财务风险管理水平，挖掘企业日常经营过程中的薄弱环节，从实质出发，降低企业的财务风险，提高生产运营水平，增强企业综合竞争力。建筑施工企业应该树立正确的财务风险观念，建立并不断完善内部控制制度，而且构建财务预警机制，进一步实施全面预算管理，完善内部财务控制制度，定期对公司的财务状况进行分析评价，通过科学、合理的策略和方法及时、有效地防范和控制财务风险，量力而作，稳中求进，这样才能在竞争中立于不败之地。 融资风险管理对策 建筑施工企业为了满足生产经营和扩大生产的需要，在成立之初或成立之后，需要不断地进行融资，而建筑施工企业主要的融资渠道有：发行债券、银行贷款和融资租赁等。因此，企业内部应该建立完善的融资管理机制，规范行为，进一步控制融资风险。企业的融资过程应该注意以下几个方面： 第一，企业的融资渠道和融资方式应该严格遵守国家法律、法规和股份公司制度规范，避免政策风险，防范风险；第二，从全局考虑，企业的融资要以合理、科学为原则，进一步控制融资的预算，做好融资的决策管理；第三，企业要合理利用企业的信用资源，建立和巩固与金融机构的合作伙伴关系，调整融资结构，降低融资成本。 为了进一步避免融资风险，施工企业应该建立科学的融资管理机制，首先由财务部组织成立融资团队，负责做好前期融资方案制定，负责与金融机构的谈判工作。在有重大项目成果上报时，还要负责编制风险评估报告和融资报告的修订，以保证融资方案在国家有关法规规定的范围之内，并根据计划对融资成本、潜在风险和防范措施的实施进行部署和监控。最后，股份有限公司的相应部门应该实行监督管理重大项目资金，具体内容有：项目资金预算的管理(由下级部门编制的资金预算表，并全部上报资金管理部审批，包括项目资金总体计划、年度和月度资金预算表)、项目使用过程的监管(将项目资金录入公司资金管理系统，通过财务公司对资金收支进行集中结算)、项目资金回收管理(通过下级部门编制的资金回收方案、风险应对预案等资料，全部上报有关部门备案，然后，落实自己回收方案)和资金分析报告(下级部门提供项目进展情况、偿债及融资情况、资金预算情况等资料进行定期分析，并及时反馈给资金管理部，以便及时调整融资管理方案)。