寻找一流的风险管理
纵观世界一流企业，往往具备卓越的风险管理能力和健全的自我更新的全面风险管理体系。
国资委“十二五”规划提出“做强做优、培育具有国际竞争力的世界一流企业”的目标，这一核心目标的提出，在中央企业引起广泛共鸣，在社会各界引起广泛关注。笔者从事风险管理工作多年，这期间有了一些心得体会。
世界一流企业有一些共同的特点，不仅经营业绩领先、品牌价值突出、行业地位显著、国际化经营程度高，往往还具备先进的企业文化、优秀的风险管理能力和卓越的创新能力。去年《财富》发布的2011年世界500强企业的最新排名中，中国上榜公司再创新纪录，达到69家，其中，国务院国资委监管的中央企业达到38户，中央企业在营业收入、利润、资产等“硬实力”上已经跻身世界前列。许多企业在某些方面已经接近或达到世界领先水平，具备了发展成为具有国际竞争力的世界一流企业的基础和条件。
在国际市场上与跨国公司同台竞争，开展对标特别是与世界一流企业对标，是一项重要而有效的举措。与世界一流企业对标不仅要注重硬实力的对比，更要注重对比软实力。国务院国资委副主任邵宁在中央企业管理创新暨全面风险管理经验交流会议上的讲话强调，没有世界级的管理水平，就不可能造就世界一流的企业。世界一流企业不仅硬实力领先，先进的管理水平更是其持续发展的关键，中央企业要从软的方面逐渐缩小与世界先进水平的差距，包括企业文化、风险管理能力、创新能力的差距，最终达到世界一流水平。
一、全面风险管理是企业管理的核心内容和最佳实践
全面风险管理作为一种崭新的管理理念，近十年来在全世界范围内得到了广泛和迅猛的发展。理论上，以美国为代表的西方发达国家对风险管理进行了多年的探索，各国的监管要求陆续出台：美国、澳大利亚、新西兰、日本、欧盟，以及我国的《中央企业全面风险管理指引》及风险管理国家标准《GB/T 24353—2009风险管理原则与实施指南》等，风险管理的国际标准IS031000也于2009年出台。实践中，世界上以财富500强为代表的大企业多数已经实施或正在实施全面风险管理。国外机构一些关于风险管理的价值的研究结果显示，风险管理在企业中得到更多的应用，风险管理为企业带来了越来越多的价值。
（一）风险管理的价值业已体现
与2009年相比，有更多的企业认可风险管理的价值：除了降低风险保有成本外，风险管理的价值还体现在辅助企业战略决策、改进经营策略、提升内部控制、提升公司治理、增加股东价值等方面。调查还显示，与没有专门设置风险管理职能部门的公司相比，那些设置了风险管理职能部门的公司，该部门在为企业决策提供风险依据、降低风险保有成本等方面能发挥更大作用。
（二）风险管理在业绩领先的企业中得到更为广泛和深入的应用
风险管理已经成为企业高管层、董事会和股东们的主要议程；同时，公司规模越大，业务、组织结构越复杂，其风险管理实践的成熟度越高，即风险管理能在企业中得到更广泛更深入的应用，包括风险治理（Risk Governance）、风险沟通（Risk Communication）。
（三）企业的风险管理组织职能逐步确立
营业收入越高的公司设立风险管理职能部门的越普遍，如年营业收入在250亿美元以上的公司，98%都设立了风险管理职能部门。同时，首席风险官的角色也已走上历史舞台、地位不断提高。2009年只有25%的被调查企业有首席风险官，而这一数字在2011年上升到了31%。这一发现再次证明在公司管理层中风险官的价值以及对风险管理作为商业成功核心功能的认同。
二、央企必须自我更新风险管理体系
纵观世界一流企业，往往具备卓越的风险管理能力和健全的自我更新的全面风险管理体系：包括明确的风险管理策略、健全的风险管理组织职能、统一的风险管理文化、贯穿企业并高效运转的风险管理机制。同时，在企业环境的不断变化发展和长期的实践中不断完善、自我提升，帮助企业及时应对经营发展中的各类风险。
而近年来我们经常谈论的企业失败案例中的主角，如安然、世通、雷曼等，在硬指标上具有非常强的实力，软实力的许多方面也为业界树为标杆，如管理能力、创新能力等，但恰恰是风险管理能力缺失导致失败，无一例外。要么就是风险文化（冒险文化、造假文化），要么就是风险评估（没有全面分析个别风险给企业带来的影响），要么就是风险策略（没有明确底线、缺少有效的应对机制），要么就是风险管理机制（制度缺失、责任不明、违规、越权），问题都出在风险管理上。风险管理能力薄弱、风险管理文化不强、缺乏自我更新的风险管理机制，即使是昔日的领先企业也会陷入难以挽回的危机。
（一）明确的风险管理策略
明确的风险管理策略指企业根据自身条件和外部环境，围绕企业发展战略目标，确定风险偏好、风险承受度、风险管理有效性标准，即企业愿意承担哪些风险，可以承担这些风险到什么水平。从而进一步确定以何种工具管理风险，如风险承担、风险规避、风险转移、风险转换、风险对冲、风险补偿、风险控制等，并确定风险管理所需人力和财力资源的配置。
（二）健全的风险管理组织职能
健全的风险管理组织职能则是通过企业设置专职的风险管理组织机构或者确定相关职能部门履行全面风险管理的职责，与其他部门一起形成风险管理组织体系，在明确风险管理责任的同时使风险管理有了统筹的安排，将风险管理责任落实到每一个岗位，从而保证风险管理工作的顺利进行。
（三）统一的风险管理文化
风险管理文化源于公司的风险哲学，统一的风险管理文化表现为公司日常运营中员工的风险意识、对待风险的态度、对风险价值的理解及风险管理工作实践中的行为表现有一致性。
（四）贯穿企业并高效运转的风险管理机制
企业通过健全的风险管理组织职能、合理的风险管理流程、有效的风险管理报告等，建立起贯穿企业并高效运转的风险管理机制。使得企业的董事会和管理层以至全体员工始终清楚了解企业各层面各自负责的风险，包括风险是否在可承受的范围内以及可能发生的变化，并将风险状况及时报告给有关的利益相关人，从而使风险得到有效的管理。
三、风险管理能力是世界一流企业持续发展的核心能力
风险管理能力强的企业一般都具备完备的风险管理体系以及运转有效的风险管理机制，帮助企业及时应对发展中的各类风险，在长期的市场竞争中保持有利地位。国务院国资委主任王勇在2010年底中央企业负责人会议上的讲话中对中央企业提出了“四强四优”的要求，风险管控能力强就是其中之一。以下是几个世界一流企业风险管理的例子。
（一）荷兰皇家壳牌石油公司（Royal Dutch Shell）
壳牌长年位居财富500强前三甲及石油行业首位，壳牌建立了全球层面的风险管理组织、报告体系，设定了风险管理策略，并通过风险管理手册予以落实，其贯穿集团和业务流程的风险管理文化为达成业务目标提供了合理保证。
壳牌的风险管理手册描述了管理风险、达成目标需要遵循的方法论，控制架构由一系列风险标准，即全面风险管理的规则和说明支撑，并且要求在集团内贯彻执行。
石油工业是世界上最具风险的行业之一，战争和将要发生战争的传闻是石油工业公司最常遇到的、难于对付的危机。壳牌集团采用了三种重要的策略应对各种风险：地理上分散，产品合理多样化，迅速适应变化。例如，为了对付突然发生的情况，壳牌要求各地的公司定期举行石油供应中断“演习”，公司拥有122艘油轮，船员每年会遇到4次突如其来的模拟意外。“演习”多次模拟石油供应突然中断时如何采取措施确保供应，以增强地方公司对不测事件的反应能力。海湾战争给世界石油市场造成了巨大冲击，但是，对于壳牌集团来说，由于从以往的演习中摸索出了一套对付危机的有效办法，所以尽管每天失去由科威特和伊拉克供应的几十万桶原油，壳牌集团依然没有受到危害性的影响。
（二）思科系统公司（CiSCO）
思科（Cisco）是全球领先的网络和通讯设备提供商，长年入选财富500强。思科建立了风险管理委员会，用风险管理整合内控、萨班斯合规和计划，其完备的风险管理组织、报告体系甚至延伸至了价值链的上下游环节，为达成业务目标提供了合理保证。
思科通过董事会和风险管理团队（风险检查工作组）决定全面风险管理的工作重点，认定高级管理层中相应的风险责任人；访谈关键经理人，了解其对所负责管理的风险的各方面的认知程度，包括风险量化的性质及目前的管理有效性等；整合访谈结果和风险情况，向相应高管责任人汇报，并听取反馈意见，整理结果向公司董事会审计委员会和COO及CFO汇报；协调风险责任人组织跨职能部门的讨论，以决定风险应对方案；设定公司范围内用于衡量风险管理计划的有效性的衡量标准，通过运营回顾跟踪风险管理的情况，将结果整合到经营计划之中。通过有效的风险管理机制为决策过程提供支持，帮助董事会掌控风险时机实现业务与技术创新，股东价值得以增加，思科也得以保持其行业领导地位。
思科在管理价值链的风险方面也走在了前列。思科的风险评估扩展到了客户、合作伙伴、供应商、服务提供商、政府健康与安全组织，以及其他利益相关方。思科的业务弹性团队（business resiliencyteam）与业务单位协商制定支持思科业务连续性战略的计划和行动。业务连续性管理涉及到评估和降低风险、保持组织稳定性、为发生中断之后关键业务流程的继续做好安排，并定期测试这些计划。
（三）必和必拓集团（BHP Billiton）
必和必拓（BHP Billiton）多年入选财富500强并位居采矿业前列，必和必拓建立了以董事会为主导的风险管理组织体系，并且设定了风险管理承受度和风险管理策略，其风险管理已融入企业文化，变成“the BHP Billiton Way”（“BHPB之道”）。
必和必拓董事会明确要求建立风险管理体系，建立覆盖全公司的风险管理专家网络。必和必拓在整个公司范围所有业务板块建立本板块的业务风险库，但是所有数据在公司集中管理；在公司层面制定对整体风险的风险承受度及整体应对方针；在板块层面，根据评估结果和风险承受度，排定治理优先顺序，制定解决方案；在公司层面，整合各板块的风险数据，建立公司的风险库；每半年重新评估一次风险，更新板块风险库，对风险管理的效果进行评价，最终报告给CEO和董事会风险委员会和审计委员会，并更新公司的风险库；每年更新公司层面的风险承受度和总体应对计划；板块层面负责制定危机处理计划和应急计划。经过多年风险管理的实施，风险管理“已经融入我们所做的一切事情。”
（四）微软公司（Microsoft）
微软（Microsoft）多年入选财富500强并位居计算机软件行业首位，同时，微软也是风险管理领域成功的先锋，建立了风险管理组织、报告体系，并且设立了风险应对策略，注重整个公司风险管理文化的培养。
微软的风险管理开始于20世纪90年代，1997年成立了正式的风险管理团队，直接向CFO报告，并定期向董事会报告风险管理情况。微软风险管理团队的主要目标和任务是：识别、衡量和管理风险，使得业务风险的衡量和管理水平达到财务风险领域的水平。风险管理团队致力于在整个公司进行风险意识的培养和风险管理的执行，在公司内部建立风险管理的网络，与公司的每个业务单位进行面对面的交流和接触，目标是使得公司的每一个单位的人员在做日常决策时都将风险考虑进去。微软风险管理的重点在业务风险和财务风险，依靠健全的风险管理组织、有效运转的风险管理流程，运用财务信息系统、VAR、压力测试、内联网、情景分析等工具方法，微软有效的风险管理，曾使其在亚洲金融危机和巴西金融危机中不但没有损失，反而获利显著。
综上所述，风险管理能力是世界一流企业的核心能力，全面提升风险管理能力是培育世界一流企业的重要途径和手段。当然，任何事物都不是一成不变的，风险管理能力亦如此。随着内外部环境的变化，企业战略的调整，风险管理能力也要与之相匹配。作为世界一流企业，不仅是今天建立了有效的风险管理体系和具有很强的风险管理能力，更重要的是，具有能够自我调整、自我完善、自我提升的可持续的风险管理机制。
（作者为北京第一会达风险管理科技有限公司总裁、国资委一流企业课题组成员）