企业推进风险管理的“七步成诗法”

我们怎么推进风险管理呢？有一个“七步成诗法”。

第一步，做好内部组织与文化建设。比如就文化建设方面，你的高层领导是否关注这个事情，是否愿意投入资源和精力推这个事情？核心是企业有没有一个环境来做风险管理。其次，有没有专门的团队和专门的机构来做这些事。没有资源投入和文化支撑，一切都是空谈。

第二步，要有规划和计划。有了这个环境和组织以后，你要清楚给你高层领导规划出来，我们未来要做哪些事情，什么时候来做，做到什么标准和要求，投入多少资源，谁参与其中做？这就是规划和计划。

第三步，要有战略梳理和风险目标的设定。这是结合了中国国情的，在中国国情里面，我们不仅把内控当作控制风险的工具，还要当作战略落地的保障。如果有人问你的企业战略是什么？你说不知道，那么怎么会有保障呢。所以做风险管理的时候有一个很重要的差异——我们首先是战略梳理。我们知道这个企业转型期存在什么样的挑战，期望达到什么目标，在大的战略背景下对于风险管理的要求是什么。这些必须要搞清楚，这样就把握住了风险管理的方向和灵魂。

第四步，要有公司级的内控建设。包括人力资源政策、组织结构、管理风格、公司治理等。

第五步，要有流程级的内控建设。你希望风险控制在哪里？风险管理一定在每个动作里面发现风险。所谓的风险事件是什么，风险事件是当几个风险点在一个事件上发生了共振的时候，风险事件出现了，并不是所有的风险点一定出风险，但是谁知道哪几个点会在哪个时点出现风险呢？所以必须深入业务流程中，去减少和控制风险点，不要有侥幸心理。

第六步，IT内控建设。怎么采用IT信息系统对于我们风险管理进行控制，包括IT系统本身有什么风险，值得我们去思考。

第七步，内控运行体系的测试和系统整改。很多咨询机构帮助企业做内控的时候，仅仅做一套很漂亮的内控体系，检查的时候一看这套东西很好，没有设计缺陷，但是无法保障企业的体系运行当中没有运行缺陷。这个要通过运行测试和系统整改。我们要看看每个流程，每个关键的业务流程里面规定的风险控制点有没有得到控制。这是运行测试的一部分，很多企业不会去做这些事。

另外，我还要强调以下几点：

第一，要有一张战略地图，你希望企业未来三五年怎么发展，如何保证发展。你的核心价值理念是什么，从你的客户方面、市场运营方面，内部管理方面，哪个方面是你的核心保障？例如为了实现战略目标，你一定要保证大客户比例从5%增长到8%。再比如，西安一家上市公司，它上市的核心风险问题是前几个大客户占的比重太高，达到了70%。他提出一个要求就是要把供应商的占比降下来，降到30%以下，这就是风险管理的战略保障。

第二，要有一张流程地图。基于刚才所说的这些点，每个点是一组流程的保障。战略地图下面就是流程地图。战略地图里要明确关键控制区，明确你的流程地图。每个高层领导要有一张表，知道这家企业哪些点控制住了就不会出大事儿，我们叫做RCM矩阵。一次运行的测试和系统整改，每年一定要做一次系统的测试和整改，你要看看说得天花乱坠的东西在你的企业是否真正在用。

第三，要有一套内控手册，一个持续优化的机制。你要建立自我评估的机制，要知道每年几月份到几月份是自我评估的周期。在你的外部审计机构进来之前，所有东西都要心中有数，存不存在重大缺陷，哪些在整改之中，所有内部运行测试的脚本，每一步做了什么工作都要很清楚。

推进外部监管，强化内部抑租，风险管理势在必行

从主观来说，法律法规让大家不敢犯错误，职业道德是不愿意犯错误，内部控制使人不能犯错误。对决策层的作用是让决策层更科学地决策，对经营层的作用是控制生产经营里面的各种风险，包括成本控制、技术风险、目标设定、竞争者、市场定位等等。

外部加强监管，内部加强溢出，企业在加强内部管理和内部控制两个方面一定要高度关注。外部的监管始终在加强，比如工业凝胶事件，可以看出我们的控制环境发生了变化，但是很多企业并没有意识到。如果这件事放在十年前会怎么样？一定会被压下来，然后约谈相关领导，最后消失于无形之中。我们的监管环境比过去严格得多，很多企业没有意识到，为什么这次的国有企业和制药厂一开始都保持缄默，因为它不适应了，不知道今天为什么是这样的环境。

内控建设通常存在的问题是为建体系而建体系，求权导致成果比较虚。有些内控建设贪大求全，涉及范围广，抓不住重点。比如要想企业快速成长，投资是关键问题，还有资金保障、融资等等；不同的企业是不一样的，你必须识别出来，不要求全。

还有一个问题是内控的成果脱离业务，我们通常说做内控的人不懂业务，懂业务的人不懂内控。很多企业做内控落不到实处是很严重的问题。另外，内控体系满意度比较低，即使做了，高层领导也会觉得这玩意没什么价值，而基层员工也会觉得是件麻烦的事。

内控建设的关键问题是在于抓住一个核心，围绕一个业务，从业务当中来，回到业务当中去，建立一个体系，构建一种机制，自我约束、自我发展的长效机制。