爱华网金融危机余波未歇，高管以及董事会明白只是针对特定风险的管理方式不再适用，现行的风险管理流程在今日风云变化莫测的商界也不再有效。然而，思想上能够意识到，行动上却难以落实。对于大多数企业，特别是非金融企业，加强风险管理是一桩令人气馁的任务。 要做好战略风险管理，理解以下两个方面很重要：1.公司战略风险以及相关风险管理流程；2.公司在战略制定和绩效评估时如何考量风险，如何将风险管理融入其中。这两个方面不仅值得董事会关注，而且与董事会的风险监督职能契合。 战略风险管理与董事会角色 企业风险管理（ERM）以及一般风险管理囊括任何组织都会面临的各种风险。其中有些风险并不会威胁企业的整体健康，或者影响组织最终达成商业目标的能力。例如，临时数据中心停运，其可能导致短期的问题或者客户的不满，然而一旦恢复，企业很快就能回到正常的运营轨道。而有些风险则可能是毁灭性的，将导致巨大损失，不仅会削弱组织达成目标的能力，而且可能威胁组织的生存。当前的信用危机即是一例。这些严重风险的暴露引起了企业对“战略风险及其管理”的重视。 “战略风险”是指对公司执行战略、达成目标至关重要的风险。这些风险的暴露将最终影响股东价值和公司稳定性。“战略风险管理”则被定义为识别、评估和管理企业商业风险的流程，包括在风险发生时采取迅速行动。 标普2008年宣布，在公司评级中进行企业风险分析，包括如下内容：管理层对公司所面临的大型风险的看法、风险发生的可能性、风险的潜在影响；对这些重大风险更新识别的频率和性质；风险敏感度对稳定性管理和财务决策的影响；战略决策制定中风险管理的角色。 在董事会层面，战略风险管理是一项必要的核心组成部分。Ram Charan在《坦陈：每个董事都应该提的14个问题》一书中提问道：“我们是否强调了那些会把公司推上悬崖的风险？”在Charan看来，董事会需要关注内生于战略及其执行中的风险：“风险是每一个公司战略不可或缺的部分；在审核战略时，董事会必须让CEO指出战略中的内生风险，并进行压力测试。”同时，他还指出了风险文化的重要性：“董事会也必须小心有毒文化。”公司制定规则，而文化则决定了员工如何对待和执行这些规则。鉴于文化在战略风险管理中的重要作用，其必须作为战略风险评估的一部分。 如何评估 董事会的第一步应该是进行战略风险评估，系统、持续地评估企业面临的重大风险，并将其锚定于公司核心战略。在执行评估工作时，高层管理人员和董事会都要参与，进行完整、透彻的审视与讨论。这些讨论、对话将帮助高管和董事会在风险及其管理的问题上达成一致。战略风险管理流程应设计稳妥，符合公司特定需求，特别是要反映和支持企业文化。不然，很快就会失去作用。一般而言，执行战略风险评估有7个基本步骤。 1.深入了解公司的战略。对公司的战略与目标须了然于胸，有些公司的战略计划和目标清晰明确，有些则表达得不那么正式。无论在哪种情况下，评估必须建立在公司的核心战略和商业目标基础上。这一步骤十分重要，因为若没有关注要点，评估很容易演变成一份又长又臭的风险清单，无法排定优先顺序。同时，这一步骤还为结合风险管理与公司战略奠定了基础。 2.搜集战略风险数据与观点。该步骤所需的信息可以通过采访主要高管、董事，进行调研以及分析财务报告等方式获取。在搜集数据的过程中，应加入内、外部审计人员，并邀请其他与风险有关的部门（如合规部）等参加。充分利用第一步骤中获得的信息，设计调查框架，将之与核心战略关联。在此过程中，还可以询问关键个人对于潜在风险的看法。 3.准备初步的战略风险档案。综合分析第一、二步搜集到的数据，组织起初步的公司战略风险档案；细节程度和表述方式根据组织的文化来量体裁衣。有些公司只需要简单列表即可，而有些则需要更多细节内容。至少，档案要提供一份清晰的主要风险列表，揭示潜在危害。彩印报告或者热度图形式都有助于后期交流。 4.确认战略风险档案有效性。初始的战略风险档案必须经过证实、修改和最终确认。具体实施过程取决于数据搜集是如何完成的，并需要部分乃至全部董事和高管参与、完成好这一步骤，这有助于避免在风险档案的终稿上出现重大分歧。 5.制定战略风险管理行动计划。这一步骤紧跟第四步，是第四步的实际产物，有助于管理和监督风险。 6.就战略风险档案和管理行动计划进行讨论。这一步骤有助于培育、加强公司的风险文化：第一，通过就公司的主要风险和战略风险管理行动计划进行沟通，让员工知道风险的种类、影响和管理方式；第二，加强员工的风险意识，引起每个人的重视。
7.实施战略风险管理行动计划。如前所述，风险评估流程的实际价值来自风险管理与监督行动计划的实施；其是一个持续的过程，而非一次性事件，反映着风险的动态性质；七个步骤组成一个闭合回路式流程，在公司内部循环。 七条法则 战略风险管理是一个持续过程，需要建立起与战略制定、绩效评估的不间断联系。对某些公司而言，只要在年度商业计划中添加一页纸或者一个章节即可。而对于采用更先进绩效评估流程的企业，可以采用卡普兰?诺顿（Kaplan Norton）战略执行模型，在此框架上寻找可以镶嵌战略风险管理板块的合适之处。 对于刚刚开始进行风险管理的企业，以下7条法则可以借鉴：1.必须获得上层的支持；2.按部就班建立起企业风险管理系统；3.一开始只关注主要风险中的一小部分就可以；4.平衡现存资源；5.应建立在现有的风险管理活动基础上；6.将企业风险管理植入公司的业务构建中；7.提供持续的企业风险管理内容更新，不间断地教育董事和高层领导。
