爱华网德勤的研究成果表明：在过去的10年中，超过半数的公司曾经经历过股价的大跌，超过80%的损失是由那些跨分部的风险交互作用而导致的。
本期文章是德勤公司的一项新研究：超越风险管理，构建风险智能型企业。“风险智能”强调建立一种完善的风险管理实践、策略、评估等，更重要的是，要持有这样一种风险管理哲学：不仅要考虑规避风险，而且要将承担风险作为一种增加价值创造的手段。在本期文章中，德勤还提供了一个具体的行动策略：打造风险智能企业的五步骤。
对于历史并不悠久的中国企业而言，这份报告有助于他们解决一个现实难题：如何才能走上风险管理的正确之路？
本文由德勤公司授权刊登，文章有删节
中国企业风险管理的最大敌人是“人治”
文 ｜ 本刊记者 侯燕俐
“90％时间先想失败”。华人首富李嘉诚的这句名言曾被不少中国CEO推崇。但是，虽然中国CEO拥有较强的风险意识，却不善于风险管理。事实上，企业自初创之时就在与风险博弈，而随着商业环境的日益复杂和公司结构的不断壮大，企业的风险管理亟需战略制导、智能升级，从而化被动为主动。德勤会计师事务所企业风险管理服务华北区主管合伙人赵善强和北京合伙人薛梓源对“风险智能型企业”话题进行了解读，他们也提醒，“有的中国企业照搬西方管理的细节，却无法消化本质”。
《中国企业家》：与传统的风险管理相比，风险智能有何不同？
赵善强：传统的风险管理是自下而上的风险管理，仅仅关注影响企业运营、财务报告及合法合规三方面的风险，主要集中在维护现有企业价值。而风险智能管理则是自上而下的，提倡有回报的冒险，尝试新产品、新市场、新商业模式、新联盟及并购。这就如同人的器官感受到环境变化之后，传导到大脑，大脑作出反应，采取行动。所谓智能，就是不仅拥有数据、信息，还要进行消化、思考，从而采取行动，然后成为一种智慧。
《中国企业家》：与西方相比，中国企业在风险管理上有哪些具有“中国特色”的弱点？
赵善强：其实风险管理说到底还是一种企业管理。从2000年到2005年，企业界流行谈绩效考核。其背景是网络股泡沫、非典之后，业绩普遍不好。近几年，谈的比较多的是风险管理，业绩上去了，就要讨论如何避免“掉下来”。其实，绩效和风险是一个问题的两面。
中国企业的风险管理特色与西方不同，很大程度上也与其管理特色相关联。西方是注重流程、系统，看其规章制度、风险管理是否系统化。而中国式的风险管理还是“人治”，精细化不够。出了问题，不问流程只问人。
有的中国企业照搬西方管理的细节，却无法消化本质，没有“大图景”（big picture），其愿景、战略无法真正落地。在风险管理上，也是做了很多东西却没有思考。要知道，比数据关键的是背后的意义和思考。如果数据无法转化成思考、判断和行动，企业无法拥有真正的管理智慧。如何将自己的愿景和战略更加细化，落实到日常运营中以及如何将战略与流程、内控相结合，同时还要保证领先竞争对手一步，这都是中国企业在风险管理上需要思考的问题。
《中国企业家》：作为专业人士，您对中国CEO在风险管理方面最大的提醒是什么？
薛梓源：首先，中国企业与国际日益接轨，海外以萨班斯法案为标志的监管力度加大，企业需要进一步内控风险。其次，企业自身要加强公司治理，公司内部的董事会、中层管理、各个部门的职责划分要具体到位。同时企业要根据自身发展要求，进一步优化管理制度。再次，员工的培训很重要，培养其发现风险和应对风险的主观能动性。
总之，企业智能风险管理要考虑四个维度：一是自上而下，依据企业发展战略，针对性地寻找风险；二是自下而上，于日常操作中发现风险控制点；三是从左到右，从历史中总结经验；四是从右到左，由未来预测风险。
应对企业
“价值杀手”的新思维
企业“价值杀手”频繁来袭。
各种力量的综合作用使得管理层和董事会开始关注风险管理。其中最突出的原因可能就是最近铺天盖地的公司丑闻。同时，公司高管“跑路”的消息开始充斥着报纸和电视荧屏；没有任何CEO会愿意面对接踵而来的疯狂的媒体。
从长期来看，那些有效管理企业现有资产风险以及未来成长风险的公司必将强于那些未能有效管理风险的企业。
面对风险，如何才能走上一条企业风险管理的正确之路？
新思维：风险智能型企业
我们随机地请某一企业的领导对“企业风险管理”（Enterprise risk management，以下简称ERM）进行定义，每个人都会对此有着不同的理解。这是因为，虽然每本商业词典里都有“ERM”这个词语，然而，对它却始终没有一个标准化的定义。随着人们越来越重视对企业风险的有效管理，企业的ERM实践范围正逐步扩大到更多的领域。
一个完善的风险管理机制应该能够对企业所有的预期情况进行风险的评估和处理，能够突破模糊企业所面临风险的组织之间的界限，能够对所有潜在的重大风险进行预计并制定出相应的解决方案（参见图1）。
正是由于几乎没有什么企业可以制定一个完善的风险管理机制，一旦一个完善的ERM得以完成，企业应该对其进行特殊的指定。因此，我们可以称这种典型的企业为“风险智能企业”。
当然，实现这种高级的目标是一项长期而艰巨的任务。每一家企业都面临着独特的挑战，他们的竞争力及其所拥有的能力也各不相同，因此，他们会发现他们在完成这个任务的道路上所处的位置各不相同。然而，那些“风险智能企业”都有着共同的特征，如下所示：
● 要形成这样一种风险管理实践：贯穿于整个企业，并在企业内部所谓的那些大的、成熟的“竖井(silos)”之间建立联系。
● 要制定这样一种风险管理策略：涉及企业各个层次的风险，包括行业特有风险、合规性风险、竞争力风险、环境风险、安全性风险、保密风险、持续经营风险、战略风险、报告风险以及经营风险。
● 要建立这样一种风险评估过程：着力于企业的弱点，并强化一贯强调的风险发生可能性。
● 要树立这样一种风险管理方法：风险管理不是单独地去考虑某一件事情，而应该考虑一系列的事件，以及若干风险之间的相互作用。
● 要形成这样一种风险管理实践：将风险管理融入整个企业文化，这样风险管理策略以及决策的制定就可以发展成为一个全面控制风险的过程，而不是在事后才考虑风险的因素。
● 要持有这样一种风险管理哲学：不仅要考虑规避风险，而且要将承担风险作为一种增加价值创造的手段。
上面列出的这些条件您可能并不熟悉，但是我们坚信：这些都是一个风险智能企业所必备的条件，我们将在后面对这些条件逐一进行详细的讨论。
对风险的重新定义
在发展智能风险管理之前，我们首先要了解“风险”本身。对风险的定义已经有很多了，我们分析并消化吸收了许多，并结合我们自己的看法，提炼出如下观点：风险就是遭受损失的潜在可能。这种可能性是由严重影响企业目标实现的事件或一系列事件引起的。
请注意，这一定义不仅注重对企业现有资产的保护，而且也关注了企业未来发展的目标。也就是说，智能风险管理不仅涉及避免某些消极事项的发生的需求（如：阻止电脑黑客偷走你的客户信息数据库），还涉及获取某些积极信息的需求（如：成功地实现对被并购公司的整合）。风险智能企业将风险不仅看作是向下的一种弱点，也把它看作是向上的一种准备。
这种区别非常关键：风险智能企业认为，预见并对一个市场机会作出反应与对一个潜在的破坏性的商业事件做好准备是同样重要的。
风险智能企业的另一个重要的特征是，它们可以将风险的危害性和风险的交互作用与概率结合起来。在传统的风险管理模型中，概率是十分重要的，而且被很好地应用于模型中。事实上，许多风险的发生是有规律的，因此可以使用统计技术有效地加以模型化。然而，概率对于那些非常规发生的风险则显得无能为力。如：某些事件极少发生或根本没有前车之鉴，某些规则是未知的或变更得十分频繁，某些风险由外部原因导致而不受任何个人或企业的控制。
以卡特里娜（Katrina）飓风为例：概率模型清楚地显示，新奥尔良每百年至少要经历三次大飓风的侵袭。但是这些模型并不能确定地反映出飓风到底将在哪一年登陆，也不能很好地预测各种风险混在一起的情况。在这种情况下，风险的危害性和风险的交互作用应当在风险评估及管理模型中被评价为重要的水平。
“我们暴露的弱点有多大？”
一种可以评估高影响力/低可能性的事件的方法是运用系统性规划，它可以强化统计模型的作用，并帮助企业对特殊事件的发生做好准备。系统性规划可以让经理们回答这样一个问题：“什么可以打乱我们的计划？面对它，我们暴露的弱点有多大？”
企业长期以来一直在做预测和预算，尽管是以一种固定的模式来做的，仅仅考虑小范围的结果，仅仅关注直接的、底线的影响。不幸地，这种局限的观点会使得企业在面对那些未预期的重大情况发生时——无论是好的还是坏的——手足无措。
风险智能企业认为，例如，名誉的损失或顾客群的损失或面对需求的增长而产生的生产力的损失，都会导致间接的、长期的影响。类似的，这些企业会在更广的范围内考虑风险的诱因和影响，而不是仅仅从财务上的影响来考虑。一旦潜在的一系列风险被发现，也就意味着出现了一连串的“扳机”（例如货币量降到了某一界限之下，竞争企业获得了某一部分额外的市场份额），警示企业需要更进一步的风险评估并对此作出反应。
企业可以通过选择性地投资于风险事件发生时所必备的能力以增强其面临各种各样的系列事件时的反应速度。例如，一家制造企业可以部分地持有在其他市场或其他地区的另一家企业的股份，或者持有全部。一家传媒企业可以在标准制定出来之前同时投资于在线媒体的多种技术。
当然，系统性规划也会出现这样一个问题：现有的风险管理手段（如：依靠功能性部门）很难解决那些想象中的一系列风险问题。必须注重管理，并尝试去解决这一问题。这样做的话，就要求功能性部门的领导必须在必要的情况下参与整个系统性的规划，参与跨部门的解决方案的制定。任何不能被恰当解决的风险问题都应当提请适当的管理层知晓，以确保及时作出调整决策、明确职责。
值得警惕的“企业分部”
“分部”这个词描述了这样一种趋势：企业倾向于依据地区或产品将组织分割成一个个相对独立的分部。当风险管理变成“分部的”，每一个部门——例如：内部审计部、财务部、人力资源部和IT部——都会持有不同的看法和观点。极端点说，“分部”就像一个微型的生态系统，有着多元的文化、行为和实践。
由于“分部”，一系列的问题就会涌现出来：重复作业，增加企业负担，相互之间缺乏适当的协作，缺乏标准化的方法，也没有智能风险管理的共享。这些使得企业很难——如果还不是不可能的话——准确、全面地了解所面临的风险的性质和水平。
风险智能企业已经注意到了分部化的趋势，也采取了种种措施打破各机构间的界线，防止它们阻碍风险的协作管理。这些措施可能包括，建立跨部门的团队以共享信息、共同分析，进行系统性规划。
然而，也应当注意防止过度的集中化。有些企业曾试图将所有的涉及风险管理的部门置于一个“沙皇”的统一控制下，但是都失败了，因为，要么他们就试图将这些部门实现全部的整合，要么就将被该由各部门专家来处理的风险进行集中控制。但是，应该有一个负责集中协调的人（例如首席风险官），但这个角色不应该进行过度的控制。企业的每一个单位部门都应当保持对他们自己所承担的风险的所有权，并对承担和管理风险负责。
一个可以适当执行的打破分部管理的方案，就是要理解这样一种需求：形成统一的风险管理方法、术语，确保风险管理的协调解决和报告，同时，又要充分发挥各部门的能动性，发挥其专业知识和技能。
风险剖析
很多执行经理都错误地理解了他们的职责，他们应当去处理风险，而不是逃避风险。这是一个改正错误的处方：逃避风险，同时你也会逃避成功，明智地承担风险是资本化的基础，也是建立竞争优势的必要因素。
请注意，决定是逃避风险还是承受风险并不是一个“是非”的决策。不同的环境下需要作出不同的回应。有时候你赌出了全部家当，有时候你远离是非之地，但更多的时候你是在两个极端之间小心、谨慎地衡量着利弊而作出决策。事实上，在某些方面，极端的情况反而是一个比较容易的决策。在情况并不明了的情况下作出最佳选择的确是一个重大的挑战。
在执行官员的职责中，有一部分是理解风险的性质。并不是像谚语所说，不是风险的风险就不是风险。必须有清晰的界线来区分各种类型的风险：没有回报的风险和有回报的风险以及固有风险和剩余风险。
在一个未能充分开发其风险管理能力的企业中，不鼓励的风险几乎涉及他们管理风险的各种活动。不鼓励的风险得名于此：承担这种风险对企业没有任何好处（如：影响企业运营的风险、影响企业财务报表真实性的风险、影响企业遵循法律法规的风险）。
相反的，值得鼓励的风险着眼于价值的创造；它涉及为企业未来的成长而管理风险，包括风险性投资和投资于有利可图的机会。企业可以承担和管理那些值得鼓励的风险而获得很多好处，也可以在市场中获得支持——包括新产品、新市场、新的经营模式、企业联盟以及并购。
只有各种风险都被智能地识别、评估和管理，我们预期的成果才更有可能实现。这一论点可以由最近伦敦卡斯商学院和Towers Perrin的一项研究成果得以证明。他们发现，通过共同管理、交易选择以及合并后的整合可以降低购并失败的风险，并且在市场上会有良好的表现，可以增加企业价值。
固有风险是指在企业采取措施之前就已经存在的风险，也就是说，那些风险是企业采取任何措施也不可能改变其发生的可能性和影响的。每个行业的每个企业都会面临固有风险，但并不是每一个企业都会很好地管理这种风险。
剩余风险也被称为“风险头寸”或“企业的弱点”，也就是说，当你采取了一定的措施以降低固有风险后还依然存在的风险。企业在对固有风险采取了一定的措施后，就只能认识到剩余风险了。
风险智能企业会同时考虑固有风险和剩余风险，这个过程可以使经理和董事会都在评估风险头寸以及决定是否接受这个风险的时候，处于一个更加有利的位置。
图1 企业风险管理能力
组织部分 描述
治理和政策 治理和政策包含了企业力争实现的目标和价值观。通过清楚描述关于如何实现这些目标的原则和活动，
政策将这些目标和价值嵌入到企业中。政策是对战略和可实现性的链接——它们将战略置入实施。
流程和程序 流程是一组相关活动，它们共同向客户或股东产生一个价值结果。程序是书面详细记载的活动，具有
相关知识、技术和能力但是并不了解该活动的人员也能实施该活动。
人员和组织 人是任何组织成功的关键。随着过程变得越来越自动化，人的能力也相应地变得越来越重要，因为由
人实施的活动变得更精密并且需要作出判断和快速决策的能力。
技术和基础设施 技术是尽可能使流程更加高效和增值的核心。风险智能型的企业具有技术，这些技术不仅内部存储和
处理信息，而且还提供相关信息给其他功能，例如战略规划和财务。
运营风险：卡特里娜(Katrina)飓风和2003年8月大停电事故
卡特里娜飓风和2003年8月大停电事故是北美能源基础设施的运营风险的显著实例。在卡特里娜飓风之后三个星期，该区域中的55%的石油生产和34%的天然气仍然停产，同时提炼和管道容量大大降低。这导致美国政府动用战略石油储备，并且导致某些地区的油价上涨超过70%。能源基础设施的实际损失总计超过200亿美元，但是损失的经济机会估计超过1000亿美元。
在2003年8月的大停电事故中，由于天气条件、强制传输损坏、人工失误以及信息系统故障导致61800兆瓦电力断电，影响了美国中西部和东北部以及加拿大安大略省的5000万人。该事故导致了1890万工时的损失以及总计40亿美元至100亿美元范围内的经济损失。北美的传输网络的可靠性仍然是人们关注的焦点。
商品贸易风险：中航油的衍生交易
中航油(CAO)采用越来越多的由套期保值活动演化而来的衍生交易以保护中国的燃油成本，从而进行投机的衍生交易。在恢复公司此前的市场损失的尝试中，较大交易量的期权被出售以产生足够现金以解决当前位置的损失——这种行为导致了指数增长的风险暴露。现金短缺的情况未对市场显现并且收到的溢价被引入收入，从而交易员看起来正在挣钱。未实现的损失累积至补充保证金的要求越来越多而无法应付，并且CAO最终公开了对衍生工具的管理不善。CAO表示近18个月以来产生了5.54亿美元的损失，导致CEO被起诉并且使得该国有企业在理论上破产。
资料来源：德勤，The China Aviation Oil Debacle，2006
打造风险智能企业的五步骤
“接下来我该怎么做？”面对本文提出的风险智能企业的宏观概貌，不少读者会如此发问。
答案是，你下一步怎么做取决于你现在所处的位置。下面图中列示的风险智能企业成熟度模型展示了大多数风险智能企业必经的成长历程。（参见图2）
正如前面提到的，每一个企业都是独一无二的，因此，智能风险管理也必须根据企业的环境以及需求量身定做。有些企业可能会发现他们十分符合风险智能企业成熟度模型，而有的企业则仅仅处于起步阶段。
因此，这里所归纳的步骤，有的适用于您的企业，而有的可能早已运用于您的企业实践之中，但是无论如何，这些都是建立一个风险智能企业必不可少的步骤：
1. 建立评估及管理风险的全面框架、政策以及程序。
您公司是否已经建立了适用于企业所面临风险的全面的风险框架？这一框架是如何评价企业的风险的？又是如何管理风险的？您公司是否制定了风险管理政策？如果您公司的股票是在纽约证券交易所（NYSE）上市的话，那么要求企业必须有相关的风险管理政策。NYSE要求：监事会必须就企业所面临的风险以及风险管理方法与管理当局进行沟通，企业的风险评估及风险管理程序必须使监事会满意。凡是影响企业交易、经营、行业及财务状况的风险因素必须进行清楚地表述。
您公司是否制定了执行程序？仅仅制定风险管理政策是不能形成一个风险智能企业的。董事们会要求管理当局披露一个系统、可执行的程序以识别、评估风险，并对风险进行排序；对风险作出相应的反应；管理并报告风险。总经理应当适时地向董事会及监事会汇报最新的情况，包括：企业的风险管理程序是否按预期执行以及企业的风险报告是值得信赖的。
2. 识别关键的风险及企业的弱点，并制定应对风险的计划。评估企业价值，并对风险将如何影响企业价值作出判断。
制定以下一些特定的计划：未来还会出现哪些情况？什么可能导致失败？什么是会对企业价值以及战略目标产生最大负面影响的关键性的风险？企业在哪个方面最容易受到攻击？风险的早期预警征兆什么，如何识别？一个有效的智能风险管理的特征就是能够区分有用信息和无用信息。
在这个方面需要考虑的一个问题是，多数的风险会交叉在一起。要考虑风险之间的交互作用，并且牢记：风险从不会考虑到企业的界限。您如何处理这些风险？您的处理程序是否得以有效执行？
3. 确定企业的风险偏好。确定企业现在已经承担的风险，并判断企业可以承担更高的还是更低的风险程度。
企业一旦决定去承担一份风险，企业愿意接受多高的风险？企业自身的能力允许其承担多高的风险？企业能够拿出多少资本或现有的资产以承担一次风险？为了实现将来的增长，企业愿意承担多大的风险？企业从一次极端的事件中恢复的能力如何？
我们经常忽视的一个关键问题是：我们承担了足够的风险吗？回避了一项风险，不去追求风险带来的收益，可能意味着失去了一个商业机会，降低了企业的竞争力，并且最终丢掉这份生意。要在商场上具有竞争力，就不得不承担一定的风险。
4. 确定谁具有权利和职责来代表企业承担风险。
令人吃惊的是，很多企业在这个方面没有达到要求。有关风险的职务和职责往往不清楚甚至是令人误解的。如何在整个企业范围内协调和整合这一职责？以下是一些必要的特征：董事会保留了哪些权利？谁可以代表整个企业？什么时候可以有人代理行使职权？增强对“危险风险”的处理程序是什么？如果有一个人，那么是谁，可以“赌下这个庄园”？
5. 在一个综合的、可以承受的基础上确定企业管理风险的能力。
风险智能企业不可能在一夜之间造就。在绝大多数情况下，企业需要经历整个的发展阶段。风险管理的最低层次具有“专门”的特征，主要依赖于个体的反应，往往是“个人英雄主义”的努力成果，而不是系统化的处理方式。
一旦专家介入，下一个阶段就会使得风险管理跳出“专家团”的限制而扩展到整个企业的整合。在风险管理的最高层次上，企业将会把风险管理纳入企业战略以及决策制定过程，适当地强调为保证企业未来的发展而承担一定的风险，并适当地保护现有的资产。
在一个完全智能的风险管理企业中，风险管理不是被作为一个项目，而是作为企业文化的一个部分，作为企业经营的一种方式，智能风险管理与企业管理是息息相关的。
