何為風險管理與內部控制

美國COSO定義，內部控制：是由董事會、管理當局和其他職員實施的過程，旨在為各類指標的目標提供合理保證：經營效果和效率;財務報告的可靠性;遵循適用的法律和法規。

企業風險管理：是一個過程，它是由一個主體的董事會、管理當局和其他人員實施，應用于戰略制訂并貫穿于企業之中，旨在識別可能會影響主體的潛在事項，管理風險以使其在該主體的風險容量之內，并為主體目標的實現提供合理保證。內部控制是企業風險管理的重要組成部分，做好風險管理必須要進行內控體系建設。

實施風險管理的障礙

雖然企業風險管理有很多重要益處，但是仍然存在局限性。由于人為判斷決策本身的局 限性，應對風險的決策以及建立控制都需要考慮相對成本和效益。可能出現人為自身的失敗，如簡單失誤或錯誤所造成的故障隨時可能發生，兩個或兩個以上的人串通可以規避控制，并且管理層有能力凌駕于企業風險管理決策之上。這些局限性使得董事會和管理層不可能絕對保證實現企業的目標。企業風險管理要求對風險的看法和管理方式發生轉變。因此，為主要的企業變革帶來了挑戰。此外，建議一個正確的組織模型本身也是一項艱巨的任務。

阻礙實施風險管理的例子或事項有：

 企業風險管理的目標有時和企業目標并不一致，在這種情況下，就會產生集體或個人之間的摩擦。

管理層的承諾并不充分。企業風險管理的實施需要來自高級管理層的全力支持。建立一種適當的企業風險管理模式并適應公司的目標是至關重要的。不足或不恰當的模式將不會帶來期望的商業利益，甚至會影響整個計劃。

統計分析的決策支持、工具和系統不太充分。在一個整體風險管理環境中，實施企業風險管理的最終產品要求有效的統計和分析工具來支持，以便進行明智的決策。如果沒有這些工具，就可能無法得到最優決策。

文化有時是不匹配的。企業風險管理面臨改變管理的所有挑戰。如果這個文化變革沒有得到很好的管理，這可能就是一個整體實施的問題。

實施風險管理的關鍵挑戰

世界上大多數組織實施風險管理的關鍵挑戰包括董事會/首席執行官的支持、責任和問責制、風險計量、與企業戰略的關聯、同良好公司治理的聯系以及增加企業價值的挑戰、企業風險管理意識、如何獲取管理層認同、在控制方面的自我評價、風險報告、與技術的關聯。

1. 董事會支持

有時很難獲得董事會和管理層的支持。大多數組織認為管理層有必要表明風險管理的有形收益和獲得關鍵的利益相關者支持。董事會必須將風險管理看做是降低或規避成本的途徑，而非增加成本。

2. 責任和問責制

管理層應當考慮整合鑒證活動和風險管理以及合規活動的必要性來實施風險管理。這一過程也包括其他職能。此外，首席風險官的存在是非常重要的，因為他/她可以協助管理層監督企業的整體風險，并及時向董事會報告。

3. 風險計量

企業中的風險計量對利益相關者的影響是重要的，因為企業中的具體部門需要估計特定事件發生的概率及其后果。此外，從定性到定量估計的計量方法的轉變在企業的風險計量及其影響中非常關鍵。

4. 與企業戰略的關系

獨立的風險管理是行不通的，它應與企業戰略相結合。有時企業的戰略目標是正確的， 但沒有和經營能力聯系起來。事實上，風險管理是自信地接受正確的風險并進行管理進而取得成功的一種途徑。

5. 增加企業價值的挑戰

管理層應當看到建立將戰略風險管理和價值創造/競爭優勢相聯系的流程的必要性。這一結果不一定必須是財務上表現出來的，但是必須得到認同。

6. 風險管理意識

為了提高企業中的風險管理意識，管理應該看到溝通和報告一致的必要性，并運用風險管理方法。應以系統的方式進行風險管理。

7. 管理層認同

經營/管理層的認同有利于接受責任和積極參與，并因此減少變革的阻力。此外，企業在進行風險管理的過程中，應當通過使用分析技術識別、評估、管理風險并在適當情況下與利益相關者溝通來記錄企業的風險。

8. 與控制自我評價的聯系

管理層應該看到，有必要自上而下地整合和比較戰略風險管理流程，來完成自下而上的控制/自我評估。他們應確定如何有效地管理和執行這些控制。他們必須確定這些流程是否支持或損害了企業的風險管理能力。

9. 風險報告

在風險管理過程中，有必要設計適當的報告，以協助管理并作出適當考慮風險管理原則的決策。其中一個關鍵性的挑戰是在這個領域獲得適當的工具，協助識別和報告風險，以確保數據能夠易于用作管理信息。

10. 信息技術

一些管理層忽視了信息技術在風險管理中所起的作用和重要性。

微觀上企業在發展過程中，面臨以下問題：

企業發展戰略計劃難以實現;

企業運營效率低下;

企業高管、員工貪污舞弊;

內部人為控制現象泛濫，先斬后奏現象多發;

預算外資金外事項頻發，事前和事中控制力度不夠;

資產流失，資產安全無法保證;

集團對分子公司，特別是新兼并收購的子公司管理失控;

管理制度不全、陳舊、可操作性差;

信息系統各值其責，無法集成，信息孤島長期存在;

會計報告失真，無法提供決策支持。

企業風險管理與內控現狀是否符合相關法律法規要求?

企業風險管理與內控現狀與行業平均水平存在的差距有哪些?

企業風險管理與內控現狀是否符合企業戰略發展的需求?

進行風險管理是否會無謂的增加企業的動作成本?

如何配置企業風險管理所需的人力和財務資源?

風險控制如何能與企業的日常業務實踐結合?