支东生

如果说风险管理是过程规范，内部控制是制度规范，那么这一切要取决于公司治理的结构规范。其中，董事会对有效开展风险管理发挥着极其重要的作用，一方面是要把握战略风险和重大事项的风险防控；另一方面就是对管理层的管理行为进行有效监督，使内部控制得以实现，使企业能够对各类风险采取积极有效的防控措施

今年1月召开的“中央企业、地方国资委负责人工作会议”提出，要在防范化解重大风险方面主动作为，着力抓好重点领域风险防控，进一步筑牢不发生重大风险底线，这对提高企业抗风险能力提出了新的更高的要求。2018年全国两会，国务院国资委主任肖亚庆在记者会上表示，“对中央企业来讲，加大风险的控制，降杠杆、减负债、防风险仍然是我们今年和今后一段时间一个很重要的任务。”从2006年6月国资委颁布《中央企业全面风险管理指引》至今已12年，不少中央企业经过实践探索，建立了与企业运行相适应的风险管理体系，熟练掌握了各种风险管理工具和方法，应对各类风险的能力不断增强。从这些年中央企业风险管理的实践经验看，增强企业抗风险能力应关注四个要点。

培育风险管理文化，

将风险管理“嵌入”日常经营管理

一些企业的经验表明，有效的风险管理是以良好的风险管理文化为核心，通过在企业管理和经营过程中执行风险管理基本流程而实现的。因此，增强企业风险管理能力的首要工作是培育良好的风险管理文化，企业管理者和员工要对不确定性有足够的意识，具备管控好风险的意愿。

强调风险管理，不是要在企业管理系统之外再加一个管理系统，而是要将风险管理融合在企业现有管理各环节之中。只有将风险管理完全“嵌入”企业日常经营管理，才能使风险管理流程真正发挥作用。风险管理是以风险为导向对现有管理流程、管理要素的重新定位，要求企业管理者和员工要保持对风险的警觉，要创造“居安思危”的氛围，并使之成为全体员工的行为习惯，以把控住未来的不确定性对企业发展的影响。

优秀的风险管理文化表现在三个方面，即善于沟通、风险警觉、快速反应。风险管理重在信息对称，因此风险文化特别强调沟通的作用，注重跨部门、跨区域、跨级别、跨层面的沟通。同时，风险文化也是高度警觉的文化，它使企业每临重大决策，做到“必问风险，必评风险，必管风险”。此外，要求员工具备快速反应的能力，具有处理重大风险和应对突发危机事件的方法和手段。正是这种风险管理文化，将企业各个职能部门以及各级公司横向纵向沟通起来，保持风险警觉和快速反应能力，使风险管理基本流程得以有效执行。

完善法人治理结构，

将风险管理职责落实到位

有效的风险管理必须以风险管理体系建设为保障，即为风险管理流程提供制度保障、组织保障，同时提供风险管理必要的方法、工具和手段。没有健全的风险管理体系，风险管理流程就难以实施。比如，风险管理组织体系的作用和地位就非常突出。健全的风险管理组织体系，能够使风险管理职能部门、内部审计部门、法律事务部门及有关业务单位，在风险管理流程中发挥应有的作用。

企业风险管理的核心问题就是董事会、管理层及员工在各自岗位上把控好内外部不确定性对业务的影响，使企业避免损失从而得以持续发展，由此看来，法人治理结构是构建风险管理体系的基础。完善的公司治理结构，有利于充分发挥董事会战略决策作用、监事会的监督作用、党委会把方向管大局的作用以及经理层的执行作用，各司其职，相互监督，共同促进。因此，对于企业风险管理的评价，必须从治理结构角度出发，审视各方是否将各自风险管理职责落到实处。

企业风险管理工作的系统性原则，要求公司治理与内部控制等公司规范相辅相成。如果说风险管理是过程规范，内部控制是制度规范，那么这一切要取决于公司治理的结构规范。其中，董事会对有效开展风险管理发挥着极其重要的作用，一方面是要把握战略风险和重大事项的风险防控；另一方面就是对管理层的管理行为进行有效监督，使内部控制得以实现，使企业能够对各类风险采取积极有效的防控措施。

加强内部控制，

在“做正确的事”基础上“正确地做事”

企业的内部控制是风险管理的重要组成部分，两者是相辅相成的，即风险管理强调“做正确的事”，内部控制强调“正确地做事”。风险管理从战略角度考虑如何把企业的整体风险控制在可承受范围内，在战略制定时就考虑如何规避或承担风险，或利用风险的两重性特点，更好地把握战略机遇，同时关注重大决策及执行之后的评估。内部控制则更关注效益、有效经营、合规和财务报告的真实性。

加强企业内部控制有利于增強企业风险管理的执行力。企业内部控制体系建设，有助于强化企业自身的管理基础。通过健全企业各项规章制度、改进各项流程、完善标准体系等工作，提高企业整体管理水平。以便在风险事件发生的前、中、后期，采取相应的有效应对措施，避免重大损失，真正实现风险管理控制损失、创造价值的原则。

操作手段来讲，加强内部控制可以充分发挥规章制度和优化工作流程的作用；就管理对象来说，从制度和程序角度首先控制住内部风险，在此基础上有效应对外部风险；就控制范围来说，强调把人管好，使各个岗位执行好风险管理职责。

发挥风险信息系统作用，

加强风险评估和风险监测预警

风险管理信息系统是开展风险评估和建立风险监测预警系统必不可少的工具，有些企业把风险管理和信息部门的职能放在一起管理，充分发挥了信息技术对于风险管理的支撑作用。风险管理信息系统不仅可被用于识别、计量、评价、监测和控制企业运营过程中面临的所有风险，更能帮助企业贯彻风险战略、实施有效管理、固化风险管理流程。

从一些企业的经验看，完备的风险管理信息系统是开展风险管理的基础，风险分类、风险事件、风险识别与评估、风险解决方案都要依靠信息系统支撑。风险管理信息系统运用多种工具和手段对各类风险进行评估，尤其在开展重大项目定量风险分析时，利用数据模型开展如压力测试、情景分析等，信息手段更是必不可少。同时，风险管理信息系统为风险动态监测和风险预警提供了必要保证，通过在系统内对关键控制环节和控制点的设置，实现了风险管理关口前移的管理目标。

从目前企业实际情况看，不少企业在风险管理信息系统建设方面一直是弱项。为发挥风险管理信息系统对风险管理的支撑作用，企业应增强对风险信息系统建设的重视程度，加大人才培养力度，使技术力量和基础设施的投入保持良好的水平。

企业的风险管理都是个性化的，每个企业所处的行业不同，实施风险管理的基础不同，开展风险管理的手段也不尽相同，不可能采取完全相同的形式，也不会一蹴而就。企业要根据自身情况，探索适合自身条件的风险管理路径，根据自身特点找准切入点，真正将风险管理“嵌入”日常经营管理中，将风险管理和企业内部控制体系有机结合，全面增强防范化解重大风险的能力。

作者系国务院国资委研究中心研究员