同許多人一樣，我研讀了Sarbanes-Oxley法案（注1）及其合規性要求的文件。我的第一反應是為自己從事風險管理而榮幸。

　　在過去幾年里，我幫助協會建立“管理層自我評價程序”，意識到積極建立這些草案是具有遠見卓識的。從這一法案，我看到了內部審計的發展前景，風險控制將會得到充分重視。直到某次談話才令我從這種樂觀情緒中冷靜下來。

　　冷靜的觀點

　　當我與一位財務服務公司的高級經理談及SOA法案時，他非常平靜但是堅定地說：“這不過又是一項法案而已。”我知道他是對的。同許多其他行業一樣，財務服務行業處于嚴格管制中。幾年來，銀行業必須遵循FDICIA報告制度；保險業必須服從眾多的聯邦和各州的規定；經紀業則面對著證券交易委員會、證券交易商協會以及聯邦和各州的法規。

　　所有這些監管措施的終極目標就是：讓公司做正確的事。這位高級經理令我冷靜地認識到：僅僅通過簡單立法，是無法讓管理層做正確的事的，其中也包括營運風險管理。

　　管理者如何看待風險

　　在過去的二十年中，我的職業生涯中有一半時間用來幫助內部審計師拓展更為有效的風險評估方法以及控制評價方法。我的工作處在一個非常獨特的位置上，要在高管層和直接業務管理者之間取得平衡。基于對雙方的了解，我得出以下結論：

　　直接業務管理者希望用最少的時間和金錢完成工作。他們不會想認為健全的風險控制是達成目標的不可分割的部分。控制是有成本的，并不是每一個人都認同應該付出這部分額外的成本。對業務收入指標和利潤指標的追求更加劇了這一局面，管理者在降低成本時便會減少控制。

　　部分忽略了風險控制需求的管理理論錯誤地將審計職能等同于組織控制。職能部門的名稱加強了上述結論。例如，銷售部負責銷售產品，人資部負責支付員工工資，信息系統部負責建立和維護信息系統。同理推出：審計部負責控制體系。

　　管理層并不總是認同有效的控制體系與降低風險之間的因果關系。管理層撤銷基本控制的例子數不勝數。聽上去難以置信，是么？我曾經參與過一個制造型企業的工作流程再造，通過增加控制活動令產品更加適時、完善和精確。在六個星期后，我對該流程做了跟進。當被詢問到新流程效果如何時，管理層表示他們計劃做些改變以節約費用，特別要縮減那些控制職位。他的理論是：在過去幾周，工作已經顯著提高，那些控制職位變得多余。同時，大量減少了管理層的監控——因為工作已經做的夠好了。

　　基本上，部分管理者不理解控制體系正發揮著管理職能——預防和發現風險。當問題解決后，管理者常常會錯誤地認為控制職能也可以撤銷了，因此取消了監督崗位、控制活動以及監控職能。恰恰因為控制效果良好，這部分管理者錯誤地相信固有風險已經不存在了。

　　還有，“控制”的含義在管理者和審計師之間有很大的差別。當管理者被告知需要提高控制水平時，往往意味著采用直接的、集權式的管理方式，并且不肯改變。他們堅信應該信任員工，或者雇用不需要監管的精英員工。他們也不理解有效的控制始終與分權式管理和授權體系共存。

　　管理者對風險的容忍程度要高過相應的審計工作。他們的口頭禪是：“風險是經營行為的一部分”。這些管理者每天面對風險，以至于習慣處于風險之中。基本上，存在這種觀點的原因是因為審計師未能有效地量化風險影響。

　　六種舉諫風險管理的方法

　　造成上述差異的原因之一是管理者和審計師采用了不同的思維方式，導致二者分析問題的出發點存在差異。絕大多數管理者，除非出身于內部審計，幾乎從未學習過風險管理。想想你們公司的管理職能描述或是領導培訓計劃吧，幾乎都將管理者的角色定位于領導、指導和控制工作，培訓的核心幾乎都是訓練、咨詢、面試和評價等等。這些都是重要的課題，但是同樣重要的風險評價和控制制度卻幾乎從未被提及。一個經理人若非在學徒階段學習這些技能（或者與內部審計輪崗），以后將永無機會。

　　既然我們無法改變管理層現狀，我們應該采取可行的方案。作為風險管理和內部審計的專業人員，下面提及的幾點技巧將有利于雙方達成共識：

　　1.直截了當地談論風險管理，用簡單的、日常用詞來代替審計術語所要表達的信息。應杜絕的用詞包括：“職責劃分”（聽起來象是雇員違規）：“雙重監管”等等。

　　2.明確闡明內控制度運行所必需的基礎環境。不要假設管理者都能理解特殊控制制度的目標。讓我用實例來說明當管理者不理解基礎環境時的后果：在與某個對帳的負責人會見時，了解到該賬目已經有八個月沒有核對上了。這個負責人告訴我她新近才來，并且只要求核對最近三個月的賬目。當我瀏覽她的近期工作時，發現帳目差異在擴大，同時這個月和上個月的差異金額也有非常大的變動。她的解釋是她沒有注意到這個變動，由于存在太多未對帳科目，所以要花費大量時間才能找出變動原因。

　　3.直接分析風險，以及風險發生的原因和狀況，而不是僅僅指出違反了哪些控制要求。這一點非常重要，因為我們的目的是幫助管理層加強控制，以便有效地控制風險源頭。

　　4.多了解業務流程，用多種方式表達審計信息。在不熟悉客戶經營環境和業務流程時，必須清楚地理解業務的原動力和阻礙所在，才能成為可信的控制評價者和風險管理者。在無法確定時，不妨采用“金錢至上”原則，清楚地了解業務是如何進行以及如何造成損失，包括對營商環境的認識。

　　5.采用多種有效的方法來描述控制是什么，以及控制如何令管理層獲益。我最常用的一句話是——控制就是“檢察你的期望”。管理層，特別是高管層，很大程度上依賴于直接報告。當他們被問道“你如何檢察你的期望”時，也就是間接地詢問了管理層的評價績效方法以及確保目標實施的方法。

　　6.分析激勵管理層行動的原因，并將之運用到對現有風險和控制環境的預警信息中。如果獲知某個經理人具有成本意識，那么審計師應該注重節約成本和有效控制等方面，指出與客戶滿意度低下、返工以及其他負面因素相關的成本變動趨勢。如果經理人注重客戶滿意度，那么審計師應該指出如何設置控制體系以提供客戶服務的前瞻性和一貫性指標。

　　上述這些技巧并不總是奏效的，能夠偶爾行之有效已經是我們最好的期望了。風險管理的氛圍還有待培養，首先要做的是獲得管理層的共識。

　　注1：2002年7月25日通過的Sarbanes-Oxley Act法案，涵蓋了眾多方面，并尋求促進公司職責，加強信息披露，提高信息質量和報表透明度的方法。