都說風險無處不在，但是，普華永道合伙人、COSO企業風險管理整體框架研究項目負責人Miles Everson先生卻告訴我們：只有不到三分之一的CFO（財務總監）相信他們的公司全面實施了企業風險管理并達到既定效果。

　　Miles是在上海國家會計學院2007年度CFO論壇上說這番話的。這個由上海國家會計學院和CIMA皇家特許管理會計師公會聯合主辦的論壇，就如何通過加強風險管理來創造公司價值展開研討，從專家們的口中吐出的，是“流程”、“價值觀”、“風險情景規劃”等詞語。

　　六成企業遭遇過重大風險

　　有一份和Miles 說法很相似的報告在2009年10月31日公布。這是IBM公司對全球79個國家和地區的1200多位首席財務官和資深財務負責人進行的調查。結果發現：在過去的三年時間中，收入超過50億美元的大型企業有62%的企業曾經遭遇過重大風險事件。然而，當真正發生重大風險事件時，全球42%的CFO和其他資深財務負責人都沒有準備好，不知如何應對和處理重大風險事件。而中國企業幾乎100%的首席財務官和其他高級財務經理都沒有為此做好準備。

　　該項研究結果證明：在過去的三年時間中，企業遭遇了一系列風險，其中包括戰略（32%）、地緣政治（17%）、環境/健康（17%）、財務（13%）、運營（13%）以及法律遵守（8%）等方面的風險。

　　“我們經常聽到風險是如何摧毀一家公司的故事。如果你不能很好地管理風險，那么公司一夜之間就完蛋了。這也就告訴我們，企業必須能經受三重挑戰：績效、規范、責任，要同時達到這三方面的要求。如果我們晚上要睡得安穩，就必須對公司有更好的治理。”CIMA皇家特許管理會計師公會亞太區發展總監Martin Fahy說。

　　將風險管理系統化

　　Miles 認為：很多公司以為風險管理是一個全新的東西，之前都沒有做過。但是實際上很多企業都不自覺地在進行這方面的管理。因為作為一個企業而言，每天都面臨風險，實際上每天都在進行風險管理。而要實現風險管理的有效性，關鍵是你要樹立一個企業層面的、全面的風險觀，“COSO 企業風險管理框架”正是這樣的一種風險管理指南。

　　據Miles介紹，“COSO 企業風險管理框架”是由COSO（Committee of Sponsoring Organization，COSO）委員會于1992年發布，并于2004年得到進一步修訂完善的。作為現代企業內部控制具有權威性的框架，“COSO 企業風險管理框架”在美國及全球得到廣泛推廣和應用。

　　“COSO 企業風險管理框架” 是一個原則性的、基礎的框架。不管你是哪種公司，不管你在管理哪種風險，也不管你的目標是什么，這些原則都是通用的。除了原則之外還有一些導則指南，可以幫助公司來實施這些原則。

　　在這些原則中，Miles特別強調的是兩點：對企業有潛在影響的事項進行識別，并且根據風險偏好進行風險管理，這是兩個非常根本的原則。他指出，事項是指一種意外或者突發的事件，它將會影響戰略的實施和目標的達成。風險是事項將會發生而且會給目標的達成帶來不利影響的概率，而事項也可能會有正面的影響，它可能代表一種機遇。所以我們要注意區分風險和機遇。

　　風險識別是風險管理中的重要步驟之一。“COSO 企業風險管理框架” 告訴我們，實施風險管理有五個關鍵環節：第一個階段是文化和治理階段，即要統一認識，讓企業上下都了解風險管理的重要性。

　　第二個階段就是風險的識別。其一是你必須要知道風險在哪里，并要探索風險會怎樣發展；其二是要確定風險組織，并開始設計制定一些對策，確定誰對哪一種風險負責。這一點以前是大多數企業最容易疏忽的，很多員工并不知道他們的職責所在。而如果在更早的階段讓他們了解自己的職責，那么對整個系統的順利實施是有幫助的。

　　第三個是定性管理階段，你可以對風險進行一些自測，建立一些關鍵的風險指標，這里采用的一些衡量措施都是定性的分析。

　　第四個階段是定量管理，要更精確地對風險進行計量分析，掌握數據，建立模型，從資本的角度、價值的角度來看看風險給我們帶來什么樣的影響。

　　第五是整合管理階段，即要將風險管理與現有的公司系統整合在一起，要對風險和回報進行測定，要有管理控制和糾錯措施，對管理層和股東還要進行報告。

　　“千萬別越過第四階段，直接進入第五階段。”Miles提醒說，風險的定量分析不可或缺。

　　規避風險，還是擁抱風險？

　　Miles講流程， Martin Fahy談起風險管理則更強調價值體系。

　　為什么許多公司的風險管理沒有效果呢？Martin 認為是因為沒有把風險管理嵌入到決策的核心環節之中。風險管理本身并不是一個目的，管理最終是為了讓我們做出更好的決策，只有能夠做出正確的決策才能夠確保公司獲得成功。“但是許多企業管理風險的流程和企業的現實是脫節的。他們自以為在進行風險管理，但是實際上并沒有正視現實，他們對企業所處的真實環境缺乏清醒的認識，他們和業務是脫節的，他們分析風險、計算風險，但是他們從不冒風險。” Martin說。

　　“對某些風險，我們應該去識別、衡量、通過一些流程來計算，但是大多數時候，我們的成功需要看是否有能力擁抱風險，并且從風險中賺錢、獲益。”Martin認為，把所有的流程標準化、組織運營的方式標準化固然理想，但是世界是雜亂無章的、缺少邏輯的，企業要做的是快速反應，去面對挑戰。“如果人類要前進的話，就必須要承擔風險。從歷史上看，每次突破都是因為人們愿意冒風險打破陳規。如果我們什么事情都不想冒險，那么生活肯定是非常的平淡無奇。真正要作杰出貢獻的話肯定要冒風險。”

　　從農夫和火雞的故事，可以看到Martin Fahy對風險的態度。他說，火雞是圣誕的一道大餐，在過去20周的時間里面，農夫每天都會喂食火雞。在這20周里，農夫是火雞最好的朋友，但是在20周以后農夫就要掐斷火雞的脖子，將它烹成大餐了。市場也一樣，一個產品在20周的時間里可能銷售情況不錯，但是20周后可能就有滅頂之災，漂亮的數據后面往往是殘酷，市場上那股使你成功的力量有可能最終使你失敗，在這個世界不斷會有創新顛覆性的產品或者事件出現，對于企業而言，要獲得成功，前提有可能就是失敗、挫折。而正因為成功和失敗，才說明這個市場是有效的，那些資本被最有效地配置到有價值的企業當中去了。

　　“過去對于風險，人們更加傾向于規避。但實際上要為股東創造更大的價值，我們只有勇于承擔風險。” Martin 說，他強調：公司的財務總監應該更加深入地參與到業務當中去，應該像越野賽車上的領航員一樣坐在司機的邊上，指導企業承擔風險、擁抱風險。“我相信不是工作越辛苦越好，也不是有更多的流程就越好。歸根到底我們要看的是：什么才能有效地影響人們的行為。這就是說，我們要思考的是價值觀、信念以及激勵措施。” Martin 說。如果人們受到鼓勵，就會勇于去承擔更大的風險，所以風險管理最重要的是信念、激勵和價值觀。

　　“確實我們對風險要有一個理性的認識，但是最終我們要的是為股東創造價值，只有建立起理想的價值體系，鼓勵人們采取合適的行動，才能幫助企業為股東創造價值。” Martin 總結道。

　　隔夜送達不懼天

　　在談到如何把風險管理融入到規劃、預算、報告和預測的流程之中時，IBM公司的高級管理顧問Terrence Hobdy為我們提供了一些工具和手段，如“戰略地圖”、“平衡計分卡”等等。IBM推行的“風險情景規劃”也十分有效。

　　所謂“風險情景規劃”就是通過可能發生的情景分析來進行風險控制，根據可能出現的情景制定一些應對措施。

　　FedEx就做過這樣的“風險情景規劃”：如果天氣情況惡劣，為實現隔夜送達， FedEx準備了許多修正性的方案，比如派卡車拉包裹去另一個機場；每晚有兩架飛機可以緊急調用；公司的飛機中有一架總是半空的，可以轉移到其他機場裝東西；在緊急情況下，可以調用已經退役的14架飛機中的一架來完成任務，FedEx會利用一些管理工具在風險事項和備選行動中進行成本效益分析，最終作出正確決策。

　　Terrence Hobdy還為我們提供了這樣一個自上而下的風險管理步驟：明確公司的戰略和關鍵目標—識別風險的特性—繪制風險經過價值動因到組織目標的地圖—在風險戰略上達成一致—編制每一風險的概要—確定對每一風險采取的行為—開始更新規劃、預算和預測—繼續監控所有的風險要素，然后開始又一個循環。