企業(yè)風險管理的一攬子方案

　　風險管理措施不力會讓企業(yè)付出慘重的代價，這樣的例子我們見得不少：欺詐交易導致巴林銀行(BaringsBank)分崩離析，財務欺詐最終讓安然(Enron)轟然倒閉，殼牌公司(Shell)在虛報石油儲備丑聞曝光后不得不重編財務報表，在發(fā)展中國家的不當經(jīng)營讓耐克(Nike)和雀巢(Nestle)的品牌形象受損，而麥當勞(McDonalds)也遭到過危害公眾健康的指責。

　　當然，企業(yè)風險絕不僅指財務風險，也不局限于會計數(shù)據(jù)。企業(yè)需要考慮整個組織各個方面的風險，且必須制定出評估和管理風險的方法。風險本身并不一定是壞事，畢竟“不入虎穴，焉得虎子”，不冒風險，何來收益。但是關鍵在于，我們應該了解自己所選擇的風險，不做無謂的冒險。

    近期出臺的一系列備受矚目的法規(guī)和報告，推動了當前的風險管理的發(fā)展。這些法規(guī)報告包括旨在遏制財務報表欺詐問題的《薩班斯-奧克斯利法案》(Sarbanes-OxleyAct)、防范金融服務業(yè)財務和經(jīng)營風險的《新巴賽爾協(xié)議》(BaselIIAccord)、信息系統(tǒng)審計和控制協(xié)會(Information SystemsAudit and ControlAssociation)制定的信息技術風險框架Cobit(信息和相關技術的控制目標)以及聯(lián)合法案(Combined Code)，后者統(tǒng)合了該組織三個委員會??凱德伯里(Cadbury)、格林伯瑞(Greenbury)和哈姆派爾(Hampel)先前發(fā)布的公司治理報告。

　　這些規(guī)則和建議敦促企業(yè)在一貫實行的財務控制基礎上進一步加強風險管理措施。但是，人們往往狹隘地將重點放在圍繞現(xiàn)有財務風險報告體系改進財務報告和公司治理上，而并沒有樹立一個更具全局眼光的風險觀，從而平衡風險與機遇、財務和非財務要素。因此，制定這些監(jiān)管規(guī)則往往被視為成本高昂而利益不明的舉措。

　　企業(yè)全面風險管理(Enterprise Risk management，簡稱ERM)是指在宏觀層面上管理財務和非財務風險�！胺磳μ摷儇攧請蟾嫖瘑T會”(Committee of Sponsoring Organizationsof the Treadway Commission，簡稱Coso)是企業(yè)風險管理方面的一個思想領袖，它將ERM界定為應用于企業(yè)各層面的管理工具，其功能在于確認可能影響組織發(fā)展的潛在事件、將風險控制在可承受的范圍內(nèi)、并為公司實現(xiàn)目標提供合理保障。從本質(zhì)上說，ERM體現(xiàn)了對風險的一種全局觀念，考慮的是風險對整個企業(yè)、而非局部的潛在沖擊。另外，從這個廣義的角度來看，管理層就應該對組織準備承受的風險??即風險偏好了然于胸。

　　ERM理念為風險管理人員指明了方向，但是，要實際整合并量化公司所面對的整個風險組合仍是一項艱巨的挑戰(zhàn)。實際上，風險管理的應用往往還僅局限于具體的技術領域，如財務風險、法律風險或客戶流失風險等。因此，企業(yè)應當如何針對各層面的風險開發(fā)出一套評估、定位及管理的理論框架，從而把握ERM的真諦呢？

　　有效的ERM難覓蹤影

　　雖然目前風險管理備受關注，但是高質(zhì)量的ERM仍然難覓蹤影。麻省理工學院的研究科學家喬治?維斯特曼(George Westerman)認為，ERM讓他聯(lián)想起上世紀90年代的電子商務：“每個人都希望涉足其中，每個人都以為別人也在為之樂此不疲。然而，真正掌握要領的卻為數(shù)不多，而做得出色的更是鳳毛麟角。”那么，原因何在呢？我們認為，主要源于兩個方面。

　　中層管理的脫節(jié)

　　首先是缺乏整合。比如，人力資源專員僅負責評估人員管理風險??如技能的缺乏或者繼任計劃；信息技術專員則關注數(shù)據(jù)的整合；而財會人員則致力于改進發(fā)票審核程序。但是，我們卻缺乏一種標準的風險標尺去衡量哪個領域的風險更大或管理得更好，或者各領域的風險管理能否結合起來。

　　在研究ERM的過程中，我們發(fā)現(xiàn)風險管理在中層環(huán)節(jié)上存在相當大的脫節(jié)。如果針對不同類別的風險設定統(tǒng)一的標準度量，那么各種微觀層面的風險評估就能夠整合為一體，填補這中間環(huán)節(jié)的缺口。雖然在抽象的理論層面上我們已經(jīng)建立了一些ERM框架，但是它們對企業(yè)該如何開發(fā)統(tǒng)一的風險度量和報告體系卻無甚幫助。在微觀層面上，不同的行業(yè)和職能部門確實也開發(fā)了許多具體的風險度量工具，但是，它們不能幫助行業(yè)或部門間相互交流風險影響，也不能與其它微觀層面的風險評估相整合。市場調(diào)研公司顧能公司(Gartner Group)曾公布了它對美國各家銀行的調(diào)查，有半數(shù)的銀行將缺乏有效的風險標尺視為管理經(jīng)營風險的最大隱患。

　　好事達人壽保險公司(Allstate Life)的企業(yè)風險管理部負責人維納雅?莎瑪(VinayaSharma)在分析了保險行業(yè)當前的風險管理實踐后認為，問題的癥結在于風險被割裂開來看待了：每個產(chǎn)品都被單獨進行分析，很少有對風險的全面評估；即使有，也僅僅限于微觀層面。

　　風險和戰(zhàn)略之間的聯(lián)系薄弱

　　其二，風險評估常常與戰(zhàn)略脫節(jié)。Coso委員會發(fā)現(xiàn)，很多企業(yè)首先強調(diào)的是安全性，這意味著它們關注的是如何降低而不是管理風險，因此，即使某些冒險舉措對于企業(yè)的成長和成功來說十分必要，它們也敬而遠之。此類強調(diào)安全性的思維，將風險管理視為開展業(yè)務的間接成本，而非平衡機遇和風險的工具。換句話說，雖然適當承擔風險對企業(yè)成長來說大有裨益，但它們卻在風險面前裹足不前。 

    公司需要甄別兩大風險。一種是戰(zhàn)略風險，也就是公司為了追尋戰(zhàn)略目標而承擔的風險，比如進入新市場的風險。戰(zhàn)略風險既有負面影響，又有正面影響，通常都是由外部因素(如市場、客戶、供應商及監(jiān)管機構等)引起的。企業(yè)需要仔細評估這些風險，使之符合自身的戰(zhàn)略和風險偏好。

　　第二種風險被稱為無意識風險，比如欺詐或產(chǎn)品滯銷的風險。此類風險只有負面影響，通常是由內(nèi)部因素導致的，如財務欺詐風險或者由于人力資源部、運營部、信息技術部或戰(zhàn)略部門的問題。無意識風險構成企業(yè)經(jīng)營的間接成本。

　　那么，公司如何才能整合風險的度量和管理呢？首先，它們應該從利益相關者的角度來看待風險偏好，也就是說站在股東、管理層、客戶、監(jiān)管人員和其它重要參與方的立場上進行分析。

　　其次，要確保風險偏好對行動的指導作用，就需要以統(tǒng)一的標尺來對風險組合進行評估。一個成功的戰(zhàn)略依賴于企業(yè)職能的發(fā)揮和運營的成功，比如順利實施營銷和生產(chǎn)流程。而生產(chǎn)又進一步依賴于技術知識和技術人員，因此，戰(zhàn)略成功往往要依靠呈樹狀分布的各種流程的支持，我們可以通過構建一個“風險樹”來進行說明。

　　繪制風險樹

　　風險樹可以幫助利益相關人評估每種風險對戰(zhàn)略成敗可能造成的影響，因此所有風險都可以用統(tǒng)一的標尺進行衡量。另外，風險樹考慮到了對成功有利或不利的所有事件，因而可以幫助重建風險和機遇之間的平衡，有助于全面的風險管理。

　　繪制風險樹可以為企業(yè)制定風險策略提供一個參考依據(jù)。美國的健康醫(yī)療機構聯(lián)合健康集團(United Health Group)就很好地把握了戰(zhàn)略風險偏好和風險整合的基本原則。公司業(yè)務風險服務副總裁兼審計總監(jiān)比爾?波延(Bill Bojan)指出：“企業(yè)風險管理……必須是我們聯(lián)合健康集團的企業(yè)文化、決策過程和治理過程中不可或缺的一部分�！迸＝蚬芾碓u論[]

　　聯(lián)合健康集團意識到，戰(zhàn)略風險提供了創(chuàng)造價值的最好機遇，故而應該以最多的資源配置作為保障。通過整合各類風險，公司懂得了精簡的價值所在：它建立了一個涵蓋所有基本業(yè)務風險的標準數(shù)據(jù)庫，將原先考慮的100多類風險整合成40類。業(yè)務風險管理部的高級主管帕特里克斯瓊(PatrickStroh)強調(diào)，風險管理提高了企業(yè)對收益風險和損失風險的敏感度，同時改進了運營部門的質(zhì)量、成本和生產(chǎn)力。

　　在瞬息萬變的世界中，ERM是企業(yè)發(fā)展的必要工具。雖然實施ERM需要耗費成本，但是，只要我們超越狹隘的方式，不僅僅滿足于遵從規(guī)則、降低風險，ERM就一定能幫助企業(yè)在戰(zhàn)略風險和機遇之間找到更好的平衡點，實施更有效的控制。