企业风险管理中的事件确认

沸点

在上一讲中，我们讨论了企业的战略目标及相关目标的设定。
    当企业的目标确定后，接下来的风险管理工作就是预测并确认未来可能发生、会影响目标实现的各种事件，评估这些事件发生的可能性。这就是企业风险管理中事件确认的内容。
影响企业目标实现的因素可能来自外部。例如，某一房地产上市公司为了增加土地储备，计划下一年向银行贷款5亿元人民币。在这种情况下，该公司需要对来自外部因素影响的一系列事件发生的可能性进行分析，以确定这一财务计划是否能够实现。
 国家是否会对房地产企业实行宏观调控政策？
 具体的调控政策是什么？是紧缩银行贷款、提高贷款利率，还是压缩土地供给？或是两者兼而有之？
企业内部因素的影响也可能带来一些事件的发生。例如，企业的产品供不应求，销路很好，公司计划由过去的“二班倒”改成“三班倒”，鼓励员工加班加点，并提高加班工薪，但是，管理者要考虑以下问题：
 员工加班加点，是否会引起健康与安全问题？
 如果员工因劳累、生病而不能上班的比例上升，是否有补救措施？
 机器设备连续运转，是否会突然出现故障？等等。
为保证目标实现和战略实施，管理者必须对未来各种潜在的事件进行确认。

1．事件确认与目标
企业在进行事件确认时，应结合其经营目标、战略、经营计划，对内外部各种可能影响战略实施或目标实现的事件进行系统的分析。仍以我们上一讲中的某中药制造和销售厂商为例，该公司的使命、目标和相关的事件确认详见下表。
表1 事件确认
使命 以卓越的经营引领现代中药，推进中国健康产业的发展
战略目标 成为中国中药制造业销售收入前三名
相关目标  运营目标：制造部门新聘合格员工200名；人工成本占产品成本的比率维持现有水平（20%）
 其他运营目标（略）
 报告目标：（略）
 遵循目标：（略）
衡量指标  合格的新员工数
 产品成本中人工成本比率
风险承受度  合格的新员工数180—200名
 产品成本中人工成本的比例为20%-22%
潜在事件及其影响  劳动力市场变化，制造行业的技工和毕业生紧缺，导致招聘困难
 不适当的职位描述，导致人员招聘不足
 招聘中对学历的过高要求，导致人工成本超出预算
从表1中可以看出，只有企业有明确具体的目标，才能够分析与确认哪些潜在的事件会影响到目标的实现与战略的实施。目标不明确、不具体，事件的确认也就无从谈起。
事件确认不仅在企业层面开展，还需要在活动层面加以确认。只有对公司主要业务单元和职能部门（如销售、生产、营销、技术开发和R&D等）存在的各种不确定性事件进行预测、分析和确认后，企业经营战略与职能战略的实施才有更加可靠的保证。

2．事件确认技术
确认事件的技术或方法多种，COSO在《企业风险管理——整体框架》中列举了以下几种方法，并在《企业风险管理——应用技术》一书中进行了详细的举例与说明。
事件清单。对某一特定行业的企业，或不同行业的特定流程或活动所共同面临的潜在事件进行详细的列表分析。
内部分析。这一方法可以作为日常内部计划流程中的一个组成部分。例如，通过业务单元的员工会议来进行分析，确认潜在事件。内部分析有时也使用来自利益相关者（客户、供应商等）、内部或外部的专家与审计师提供的一些信息。又如，公司考虑引进一种新产品，就会使用其历史的经验，以及外部市场调查来确定影响竞争对手相似产品的成功事件。
面谈与问卷调查。除召开小型研讨会外，内部分析还可以采用面谈、调查问卷的方式，就影响公司战略实施或目标实现的一些潜在事件取得公司管理者、员工和其他利益相关者见解与经验，集思广益。
流程图分析。典型的流程分析一般要绘制流程图，以利于对流程中各要素（输入、任务、输出以及职责等）有更好的理解。流程图绘制完成后，通过对各个因素的分析以及与目标的比较，可以方便地确认影响流程目标实施的各种潜在事件。
领先事件指标分析。通过监控与事件相关的一些数据，企业可以确认哪些环境因素的存在会导致某类事件的发生。例如，对金融企业来说，客户违约不付款这一事件与贷款的延期支付有很大的相关性，早一些干预就会取得比较好的效果。因此，监控客户的付款型式，及时行动，可以大大减轻客户违约还款的可能性。再如，对于房地产企业来说，钢材、水泥价格的变化会对商品房的成本产生巨大影响，因而需要对原料价格的信息进行及时（按月、按周、按天甚至实时）的采集与分析。
损失事件数据分析。例如，某出租车公司建立了一个事故索赔的数据库，通过数据分析，可以将事故发生的异常比率（通过次数或货币金额）追溯到某一特定单位、某一区域或某一年龄段的司机群体。通过这种分析有利于管理者确认事件产生的根本原因并采取相应的对策措施。
当然，事件确认的深度、广度、时间耗费，以及确认中采用的技术、遵循的原则在不同企业是不相同的。企业的管理者应该选取适合本公司风险管理哲学的技术与方法，并保证公司已经具有识别潜在事件的能力以及相应的技术支撑。

3．事件分类与关联
将各种各样的事件进行分类是有意义的。通过事件分类，可以对企业各个分部面临的风险进行横向加总，或者对某一业务单元、某一职能面临的风险进行纵向加总，这样，管理者可以更好地理解事件之间的联系，为下一步的风险评估取得更多有效的信息。
将事件进行归类，还有利管理者检查所确认事件的完整性，避免对重大事件的遗漏。
表2 影响因素与事件
外部因素 内部因素
经济
 资本的可获得性
 客户违约风险
 流动性风险
 并购风险
自然环境
 污染与废弃物
 能源
 自然灾害
 可持续发展
法律、政治
 立法，如反垄断法、反商业贿赂法
 规则
社会
 人口分布
 消费偏好
 恐怖行为
技术
 电子商务
 外部数据
 新出现的技术 基础设施
 资产的可获得性
 资产能力
 改进客户满意度
人员
 员工能力
 欺诈行为
 健康与安全
流程：
 能力
 设计
 执行
技术
 数据整合
 系统选择
 维护
各种事件并不是孤立地发生的。一种事件的发生可能会触发其他事件，不同的事件可能会同时发生。企业的管理者应该了解各种事件之间的相互关联。例如，央行利率调整不仅会引起企业贷款利息支付的变化，对有进出品业务的企业来说，利率的变化也会引起汇率变动，从而产生汇兑的利得或损失。又如，增加对销售人员的市场培训会改进销售能力和服务质量，从而会增加客户订单的数量。再如，公司进入一个新的行业，如果过分地根据经营业绩来激励经理，可能会导致会计原则的滥用以及虚假的财务报告。

4．确认风险与机遇
将相同的事件归为一类，还有利于管理者更好地确定事件所带来的机遇与风险。某些事件的发生，有可能产生积极影响，也可能产生消极影响，或者两者兼而有之。
会带来不利影响的事件发生的可能性就是风险，需要管理者进行评估与应对。例如，如果银行贷款利率，向上变动（利率上升），则对借款企业产生不利影响（财务费用上升）；如果利率下降，则对借款企业有利（财务费用下降）。再如，原材料价格的不确定性也会对企业目标的实现产生重大影响。如果供应商降低原材料价格，则有利于采购企业降低成本；反之则成本上升，利润减少。
会带来有利影响的事件发生的可能性就是机遇，需要管理者将其融进战略制定与目标设定的流程之中；对于企业的风险管理来说，主要是对有不利影响的与风险潜在事件加以确定。在确认了风险事件后，接下来的事情就是要对这些事件进行风险评估并采取相应的管理策略。对此，我们将在下一讲中进行讨论。
（作者系财政部财政科学研究所教授）

沸点

在上一讲中，我们讲到在确认了风险事件后，要对这些事件进行风险评估并采取相应的管理策略。
风险评估就是考虑潜在事件对企业目标实现的影响程度。管理者从两个角度来评估事件：一是发生的可能性；二是影响程度。如上所述，不管是有利的事件，还是不利的事件，都需要单个或分类地进行审视。

1.内在风险与剩余风险

管理者在评估风险时，既评估内在风险，也评估剩余风险。内在风险指管理者不采取相应的风险管理措施情况下的风险。

表1 内在风险的评估

运营目标  制造部门新聘合格员工200名

 人工成本占产品成本的比率维持现有水平（约20%）

衡量指标  合格的新员工数

 产品成本中人工成本比率

风险承受度  合格的新员工数180—200名

 产品成本中人工成本的比例为20%—22%

风险 内在风险评估

可能性 影响程度

合格员工招聘不足 40% 员工招聘数短缺25%，24个岗位的需求无法满足

学历要求过高，人员结构失衡 50% 高学历人员比例提高30%，人工成本占产品总成本比率提高3%

剩余风险指管理者采取对策后的风险。评估风险时首先评估的是内在风险，当风险管理策略确定后，再考虑剩余风险。假设某中药制造与销售厂商，计划期药品出口的收入约为100万美元，如果汇率风险发生变化，势必会影响外汇收益。该事件的内在风险和剩余风险如表2。


表2 剩余风险的评估

运营目标 药品出口收入US$100万

衡量指标 汇率变动率

风险 汇率变动对经营性外汇收益的不利影响

风险承受度 ±US$50000

风险 内在风险评估 风险反应 剩余风险评估

可能性 影响 可能性 影响

汇率90天内向浮动1% 80% 10000 无 80% 10000

汇率90天内向浮动2% 30% 50000 运用汇率套期或其他衍生金融工具控制影响 5% 10000

汇率90天内向浮动3% 5% 100000 运用汇率套期或其他衍生金融工具控制影响 1% 20000

发生可能性较小、对目标实现的影响不大的事件，管理者并不需要花费太多的时间进行考虑。发生可能性大、影响严重的事件，管理者需慎重应对。在这两个极端之间，往往需要管理者理性、谨慎的分析和判断。

风险评估的时间跨度应当与企业相关战略与目标的时间跨度相一致。由于一般企业的战略与目标大都侧重于短期或中期，管理者自然更多关注这一时间范围的风险。但企业的战略方向及目标的某些方面会涉及到更长时期，所以，管理者也不应忽视更长时期内的重大风险因素。

管理者通常使用一些绩效指标来衡量目标的实现程度，相应地，在考虑风险对某一特定目标的潜在影响时，也应使用一致的指标。例如，某企业用客户满意度指标、投诉率等衡量对客户服务的水平，在评估风险对服务目标的影响时，如公司网站出现事故而造成客户不能登录，也应使用相同的指标。

2．风险评估技术

对风险的评估技术包括定性技术和定量技术。

当风险无法定量，或者定量分析的数据可靠性太弱，或者数据采集成本大于收益时，管理者一般会使用定性分析方法对风险进行评估。

企业对风险进行定性分析时，可以采用与事件确认相同的方式，如召开小型研讨会、面谈等。这种风险的自我评估流程可以获取参与者对未来事件发生的可能性与影响程度的认识与估计。

定量分析更为精确，适用于较为复杂的情况，是对定性分析的补充。定量分析耗时费力，也更为严格，有时需要使用复杂的数学模型。定量分析技术是否适用取决于数据和假设的质量。常用的定量分析技术有：标杆法、概率模型、非概率模型等。

标杆法：指管理者将衡量指标与本公司其他部门、竞争对手或行业平均、行业内最优秀公司的指标值进行比较，以评估某一或某类事件发生的可能性和影响程度。

概率模型包括：风险定价法，现金流量法、损失分布法等。

非概率模型包括：敏感性分析、图景分析、压力测试等。

3．风险评估与事件之间的关联性

如果事件之间互不相关，则可单独进行风险评估。但如上所述，事件之间有时相互关联，某一事件的发生可能会触发另一事件。就风险评估来说，某一单独事件，风险可能不大，但各个关联事件发生后的总体影响或后果可能重大。例如，某一企业在海外建厂、雇用当地的经理、对这一分部的报告系统尚未进行测试、因而对其业绩评估也就缺乏坚实的基础。从单个事件看，风险都不大；但从总体上看，则可能会产生重大的误报风险或虚假的财务报告。

如果某类风险会影响到企业的多个业务单元，管理者一般会从业务单元层次分析与评估风险，然后再从公司总体层面上加以考虑。

事件的性质或者相互之间是否存在关联会影响到具体风险评估技术的采用。例如，对于影响非常重大的事件，管理者可能使用压力测试技术；而对于多个事件的关联影响和总体后果，管理者可能会觉得模拟分析或图景分析更加适用。

4．风险评估的结果描述

对事件发生的可能性及影响程度进行定性或定量评估后，可以采用风险图、数量表等方式将其描述出来，以利于管理者针对不同的风险类型采用不同的风险管理策略。

例如，某公司对以下9项事件发生的可能性和影响程度进行了定性评估，风险①发生的可能性为“低”，风险发生后对目标的影响程度为“极低”；……；风险⑨发生的可能性为“极低”，对目标的影响程度为“高”……。绘制风险图如图1。


可能性


极高 ⑥


高 ②

⑧


中等 ⑤

③


低 ①

④

⑦


极低 ⑨


极低 低 中等 高 极高 影响程度

图1

通过图1可以直观地看出各类风险的大小，从而确定风险管理的优先顺序和策略。对风险①公司可以采用风险接受的策略，即不再增加相应的管理措施；对风险⑥、⑧应给予高度重视，可以采用风险规避或风险转移策略；对其他风险可以通过优化控制流程等管理方式来减少或控制风险。


风险反应

所谓风险反应，就是在对风险从单独或关联角度、业务层次和公司总体层次进行评估后，根据各类风险的大小而采取的相应的管理策略。

管理者会采用整体风险或组合风险的观点，根据风险的评估结果，通过成本与收益分析确定相应的风险管理策略，将公司剩余风险控制在可承受范围内并与公司风险偏好相一致。

1．风险反应的类型

企业的风险对策大致有四种类型：

风险回避。企业现有的活动会带来风险，管理策略之一就是回避这种风险。例如，IT企业考虑到软件外包业务的激烈竞争而不参与；再如，企业剥离并出售既有的风险较大的业务或分部等。

风险减少。这一风险管理策略是为了减少风险发生的可能性或后果，或两者兼而有之。例如，企业从事的某项研发活动存在较大风险，公司管理者不是不搞研发，而是对研发投入设计一个上限（如一年最多投入1000万元人民币等），并通过完善研发流程来提高研发的效率与效果，通过设限和完善内部流程来降低风险。再如，根据公司各业务单元的风险分布，调整战略，重新分配资源等。

风险分散。通过转移或共享风险来减少风险发生的可能性或后果。例如，公司的某种设备比较关键，可以通过购买相应的财产险等来减少风险；为降低汇率变动对公司出口收益的影响，可以采用相应的套期管理办法；对某些重大的加工或制造业务可以采用分包经营策略；与其他厂商成立合资公司共同经营或战略合作关系，等等。

风险接受。不采取相应的对策，一切顺其自然。比如，公司有一批使用多年、尚未进行处理的电脑，其市场价值已经较小（仅值几万元），存放在公司的一个仓库中。公司如果雇一员工专门履行保管责任，则得不偿失。对于存在的失窃风险，公司接受而不采用相应的对策。

上述企业风险管理的四种策略都是根据企业的风险偏好或风险承受度来制定的。风险回避策略指采用其他的任何风险管理方式，都不能使风险降低到企业可接受的水平上。风险减少和风险分散管理策略就是通过这些策略的实施，使剩余风险与公司的风险偏好或者说风险承受度保持一致。风险接受意味着内在风险已在公司的风险可承受范围之内。

某些风险的管理策略比较容易确定，例如，对于一些市场价值较小、非主要存货的失窃的管理等；而对于另一些风险来说，相应的管理策略的确定比较困难，例如研发风险、新产品推出时间、价格方面的风险管理等。

2．评估风险管理策略

对同类的风险，可以有不同的风险管理策略。比如，对于出口企业来说，汇率变动对其影响较大，企业可以采用套期、利率互换、或者在合同中约定固定汇率等方式来管理风险。同样，对不同的风险，也可以采用相同的管理策略。比如运用风险分散策略（如购买各种保险、与其他公司建立战略合作关系）等来降低或管理经营风险、财产风险或财务风险等。

因此，我们需要根据风险的性质与大小，选择不同的风险管理策略：

 首先考虑风险管理策略实施后对风险可能性与后果的影响，确保这种风险管理策略与企业的风险承受度相一致；

 对风险管理策略进行成本与收益分析。风险管理策略的成本包括直接成本，间接成本，有时还需要包括机会成本。风险管理策略收益的计算往往比较困难。例如，对员工培训的投入，肯定有收益，但收益有多大？常常难以量化。在许多情况下，风险管理策略的收益是结合相关目标的实现来进行评估的。

 在处理特定风险时不能忽略潜在的一些机遇。事件有有利事件和不利事件，风险管理策略的目的也不能仅为了降低已确认的风险。企业管理者可以根据实现情况，采取一些创新的管理策略。比如，汽车保险公司对于某些事故高发的路口，可以提供资金来改善交通信号灯，以此减少事故发生的频率，减少事故赔付。

3．选择管理策略

在对风险管理的各种策略进行评估后，管理者需要确定某一风险管理策略或策略组合，以使风险发生的可能性与后果在公司可承受的范围内。仍续前例见表3。

表3 目标、事件、风险评估与风险反应

运营目标  制造部门新聘合格员工200名

 人工成本占产品成本的比率维持现有水平（约20%）

衡量指标  合格的新员工数

 产品成本中人工成本比率

风险承受度  合格的新员工数180—200名

 产品成本中人工成本的比例为20%—22%

风险 内在风险评估 风险反应 剩余风险评估

可能性 影响 可能性 影响

合格员工招聘不足 40% 员工招聘数短缺25%，24个岗位的需求无法满足 与第三方签订合同，招聘员工 20% 员工招聘数短缺10%，9个岗位的需求无法满足

学历要求过高，人员结构失衡 50% 高学历人员比例提高30%，人工成本占产品总成本的比例将提高3% 重新审视招聘，每年修订职位说明 20% 高学历人员比例提高10%，人工成本占产品总成本的比例将提高1%

与风险承受度的一致 预计风险管理策略实施后，公司的该类风险控制将被控制在可承受范围内

需要注意的是，风险管理策略并不需要将风险降低到最低。风险管理的真正含义是当某一风险管理策略实施后的剩余风险高于公司的风险承受度时，公司的管理者需要重新审视相应的管理策略，修正管理策略以使剩余风险与公司的风险承受度相一致。在某些情况下，重新考虑公司的风险偏好与风险承受度。

当一个企业的风险管理策略确定后，下一步就是考虑如何实施，这构成我们下一讲的内容。

4．组合风险

企业的风险应当从公司整体（组合风险）角度来加以考虑。管理者一般是先对各业务单元风险、部门风险或职能风险进行分析，然后再从整体上看公司的剩余风险是否与公司的风险偏好相一致，是否能够保证公司目标的实现。

从各个单元来看，其剩余风险可能在单元的风险承受范围内，但各单元的剩余风险相加，可能超过公司整体的风险偏好，这时就需要追加采用相应的风险管理策略，或改变原先确定的风险管理策略。相反，各单元之间的风险也可能互相抵消，或者一个单元的风险较高而另一单元的风险较低。当公司整体风险在公司的风险偏好范围内时，不需要再采用另外的风险管理策略。

（作者系财政部财政科学研究所教授）

lyb

风险管理在中国企业还没有流行起来，不过好一点企业已经开始启动了