作者:白万纲(华彩咨询)

在这个研讨过程中，大家能够群策群力，进行一个完善，我们首先来看一下风险管理的定义，我们现在可以说，比较权威的是国内和国外的两套版本，然后所有的风险管理框架是2004年，是在扩特的企业风险框架里头体现的，它是一个核心要素，我们如果把这块理解，它有四个地方我们可以重点关注，一个它强调，风险管理是一个过程，也就是说它也是渗透到企业的一个经营管理活动当中去的，它不是一个点状的，或者只是在面上的体现。第二个，我们要重点关注的，就一个风险管理的实施主体，大家可以看到，它基本上是把企业相关最密切的定义给涵盖了，包括作为一个决策代表的董事会，包括我们作为一个经营和执行的最高层面的管理当局，以及所有的职能人员，全部涵盖在内，它一个核心的目标，是围绕着四大目标开展的，包括战略目标、经营目标和报告目标，和合规目标。所有企业风险管理的一个核心使命也好，它的核心目的也好，它就是对一些影响目标达成的这种潜在影响进行识别，而且分析它一个可能性的影响，以及造成的效果，从而针对这个对风险目标的纠偏，进行相应的应对，这是它在扩特的体现。

而在2006年6月6日出台的中央企业的一个全面风险管理指引中，我们也看到，它一个风险管理的范围，跟扩特的观点是有很大的类似处，它总体也是围绕总体经营目标，然后从总体的经营目标，体现在下面具体的五点。它也是按照强调制度和流程的保障，包括一个文化体系的建设，从而形成一个全面的风险体系，这么一个合理保障的过程和方法。

所以从两种定义看到，我们对于风险管理，它已经不仅仅是从职能点上突破，而是上升到一个企业经营管理全局的高度，特别是我们做集团管控的角度，我们可以看到，我们虽然在这个扩特或者中央企业里头，都没有提到集团公司或者母公司的概念，但其实我们在项目运作中，我们可以用股东、出资人利益，或者是通过作为一个决策层的一个董事会，代表股东的利益，我们可以把这个进行一个代入思考。

而内部控制这块，相对来说，对大家可能熟悉程度更高，这块可以说是财务系统的一个点。在扩特1996年提出的内部控制一个框架里头，它是给一个很宽泛的定义，它的广义定义为一个受企业董事会、经营层和其他人员影响的，为达到下列目标提供合理的保证的一个程序。大家也可以看到，它与风险管理的实施主体也是一致的，它的一个目标是更加激烈和更加精准，围绕一个经营的效果和效率，以及财务报告的一个可靠性、法律法规的尊严性来考虑。

我们也可以回顾一下扩特出台的背景，那个时候正好是一向作为一个治理比较优秀的美国企业，面临着很多财务舞弊的丑案，如果大家有印象的话，那段时间集中爆发了像安然事件、世风事件，然后生产胶卷的柯达事件，都是通过那种激进的财务数量刺激，然后大家来做假账，然后通过一些复杂的金融衍生产品，通过未来现金流的一个计算，从而区分它的市场的股市市值，所以美国在维护一些中小股东，特别是一些作为上市公司的角度来说，它在扩特内部控制里头，对这种内控进行了进一步的提炼，在随后出台的一个《萨班斯法案》里头，特别有名的就是一个404条款，也就明确规定了作为企业最高，经营执行层的首席执行官和财务总监，对于财务报表必须先组一个行动，即它的内控活动是健全的，是符合法规约束的，如果这块出现了问题，他要负上连带的刑事责任，从这个里头来说，扩特的一个条款以及后续的《萨班斯法案》，对内控设置了一个比较高的门槛，包括我们国内在很多海外上市公司，比如说中旅、中石油，它为了迎合扩特框架，以及《萨班斯法案》，至少都付出了几百万美元的代价，在它的内部经营活动中，通过内部控制活动的一个改善，来达到美国上市公司要求的规范的门槛。

而我们也可以看到，在去年5月22号出台的五部委的《企业内部基本控制规范》里头，它下达的一个定义是，内部控制是由企业董事会、监事会、经营层和全体员工实施的实战、实时控制目标的过程，这点大家可以看到，这块跟扩特的内部控制是非常相似的，只不过它中间强调一个监事会，因为在中国和美国的治理架构里头，有一个很大的差异，美国是不存在监事会的，它是董事会下面的一个审计委员会，类似于中国的监事会所发挥的功能。从这里头我们看到，内控的一个目标，它也是强调一个经营管理的合法合规，财务报表相关性的真实完整，提高经营效率和效果。这块我们可以看到，跟扩特框架基本是一脉相承，没有太大的差异。

而在《中央企业全面风险管理指引》里头，它对内控的描述，是基于央企的特点，采用一种罗列式的描述，把它认为经营活动中与内控比较相关的这种比如说战略规划问题，产品研发、投融资、市场运营、财务，这块他都进行了一个详细的描述。在过去的时候，我们也可以看到，在《企业内部控制基本规范》的基础上，又出台了相应的企业内部控制的基本体系，而这块类似于会计准则一样，它对应着每一个我们常说的条件，比如说次级贷的一个内部控制，这块也是有一个完整的体系来支撑，所以在内部控制这块，很多国内目前的理解还是三个字：做规矩，有些是硬梆梆的，有些是用一些比较指引性，这种柔和性的说法，是一个倡导性的，不是一个强制性的，但如果是一个上市公司，上交股和深交股，它都有专门的一个内部控制的指引，而你如果作为一个上市公司，你在主导企业的时候，它就会要求你按照这个上市公司指引，来对照你的经营管理思维，哪些地方需要改善，必须在你上市之初，由独立第三方，一般是一个审计事务所，出台一个内控的审核报告，如果这个内控审核报告，它签署了一个符合性的意见，然后证监会才能点头，然后你才能挂牌交易，所以由于有了这么一个准入门槛，我们也看到不少企业，是冲着合规性这个目的，就像当年做ISO质量体系一样的，它并不是出于内部一个管理的需要，只是单纯地为了满足哪一个硬门槛，这样而言来进行内部控制的建设。

而第二个我们来看，就内部控制和风险管理的一个关系。我们刚才从定义里，大家也看到它里头很多概念，是具有一个联通性和一贯性的，我们只是说，从一个体系的发展来看，内部控制是风险管理的一个初级阶段，它的一个核心思想是出现那么多的财务舞弊，出现那么多侵害股东利益，那么多使监管层被动，所以它采取一个亡羊补牢的措施，所以它的一个核心的观点是防范风险。而风险管理并不是视同为一个贬义词，它是一个中性的判断，它是把一个风险理解为一个机会风险和一个纯粹风险，只有纯粹风险才是我们通常所说的可能会造成损失的可能性。而如果是一个机会风险，它只能说它的一个发展的设想，和我们原先所预计的出现了偏差，比如说我们计的是500万的收入，如果我们做了750万，这块也可以说是一个风险，但是对我们来说，某种程度，有可能是一个有利风险，但是我们有的时候，从另外一种角度，如果你只有500万的生产能力，你接一个750万的订单，如果你又没有通过一个外包的形式进行消化的话，构成你的违约风险，所以从这个里头，我们可以看到，风险它是基于一个时点的判断，它如果在不同的时空，甚至是一个不同的风险偏好，不同的风险体量上面，都会带来一个认知上的差异。

我们可以看到，内部控制的话，它三大目标，经营的一个效率和效果，财务报表的一个真实可靠，以及法律法规的一个合规性。而在风险管理的话，它定义的是四大目标，战略目标、经营目标、报告目标、合规性目标，它核心的在我们集团管控里头，我们要重点关注的是战略目标里头，我们昨天讨论也强调了，我们的一个战略目标，子公司它在集团框架内，并不是按照他自己的发展设想，来为所欲为进行外部扩大，或者进行一个收缩。有的可能在集团内部，你只是扮演内部产业链的一个环节，你可能本身要求就是一个战略性亏损，你不再以盈利为目的，所以这块你的战略愿景是不一样的。同样而言，一个单体公司，它的一个风险认知和它作为一个母公司庇护效应下的母公司，它的一个风险的认识也是不一样的。这块我们在做浦发项目的时候也有一个例子，它下面有一个三级房地产公司，是做高尔夫周边的别墅社区的，它说如果，它是作为一个单体的房地产的企业，包括复合型的房地产，在当前这种经济形势下，它最大的风险是财务风险，因为目前从它经营以来，反应的财务报表都是入不敷出的，它没有经营性的现金流，每年的这种经营性的现金流缺口是6000万，但是由于它是在集团内部，有集团的财力在支撑，所以这个风险并不是对它而言，他会认为这块是首要风险，把它降为次要风险，所以这次我们不能孤立看，特别是在一个集团公司的框架内，我们可以看到，在内部控制阶段，它由五个要素构成，包括监控、信息沟通、控制活动、风险评估与控制环境。而在风险管理的话，这块有八个活动，这八个活动和五个活动，它是一个包容性的关系，基本上我们可以看到，它比较特别的是，比如说控制环境和内部环境里头，控制环境更多指的是在内部控制过程中，它的一些基本架构，包括它的一个组织架构和员工的配置，包括它的一个人力资源政策，而包括它的一个董事会的目标和主要活动，而董事会的目标和主要活动，在风险管理，有专门的一项要求，目标识别来对应，特别是如果站在我们母子公司的框架来，我们认为目标虽然是通过董事会，或者通过股东下达的，但它更多的是体现了母公司的意志，所以整体的风险管理活动的起点，就是由母公司来发起的。而在四项识别里头的话，这块我们在后面会进行一个强调，风险的方法论我们可以看到，内部环境属于一个即时性的硬件和软件的保障，由目标识别再到一些事项的目标设定，到事项的识别，再到风险评估，到风险应对，到控制活动，然后配合信息沟通与监控，大家可以看到，所有的这种比较典型的全面性的管理体制的描述，其实都和质量管理的PDCH循环有异曲同工之妙，所以我们在理解一个风险事件也好，或者说我们在和客户沟通方面，我有一个建议，就是说如果表现出来，有一个问题的解答，比较有逻辑性，你基本上都可以从PDCH四个方面来进行一个寻找相应的层次。

作者介绍:

白万纲（中央党校国资委分校、国家会计学院客座教授）

工商管理博士,华彩咨询集团董事。曾就职国际咨询公司与多家集团型企业高层，十数年咨询经验。目前担任中央党校国资委分校、浦东干部学院、三大国家会计学院（上海、北京、厦门）、清华、北大、复旦、上交大、浙大等学府客座教授，国务院国资委和北京、上海、山东、江苏、天津等多个省市国资委、经贸委的管控顾问，同时他还是多家超大型企业集团的外部董事。他带领华彩研究院，集中于集团管控体系研究，创始“集团管控”、“国家管控”、“四层级战略”、“组织智商”、“管理型企业文化”等管理体系。他带领的咨询团队已为400余家集团型企业提供集团管控咨询和培训服务，包括中石油集团、中粮集团、中移动集团、招商局集团、五矿集团、长城资产、中国邮政、东风汽车集团、宝钢集团、中集集团、粤电集团、中金岭南、沙钢集团、广厦控股等。

专著：《咨询的力量》、《总裁制造》、《锻造高智商企业》、《母子公司管控109问》、《大国的崛起——国家管控》、《集团管控职能系列（10本）》。系列管理音像教材：《集团管控系统篇》、《集团管控职能篇》、《总裁修炼》、《集团利润模式》、《集团管控十大问题》、《组织智商》、《国家管控》等。

    白万纲邮箱:mars.bay@china-co.com