何为风险管理与内部控制

美国COSO定义，内部控制：是由董事会、管理当局和其他职员实施的过程，旨在为各类指标的目标提供合理保证：经营效果和效率;财务报告的可靠性;遵循适用的法律和法规。

企业风险管理：是一个过程，它是由一个主体的董事会、管理当局和其他人员实施，应用于战略制订并贯穿于企业之中，旨在识别可能会影响主体的潜在事项，管理风险以使其在该主体的风险容量之内，并为主体目标的实现提供合理保证。内部控制是企业风险管理的重要组成部分，做好风险管理必须要进行内控体系建设。

实施风险管理的障碍

虽然企业风险管理有很多重要益处，但是仍然存在局限性。由于人为判断决策本身的局 限性，应对风险的决策以及建立控制都需要考虑相对成本和效益。可能出现人为自身的失败，如简单失误或错误所造成的故障随时可能发生，两个或两个以上的人串通可以规避控制，并且管理层有能力凌驾于企业风险管理决策之上。这些局限性使得董事会和管理层不可能绝对保证实现企业的目标。企业风险管理要求对风险的看法和管理方式发生转变。因此，为主要的企业变革带来了挑战。此外，建议一个正确的组织模型本身也是一项艰巨的任务。

阻碍实施风险管理的例子或事项有：

 企业风险管理的目标有时和企业目标并不一致，在这种情况下，就会产生集体或个人之间的摩擦。

管理层的承诺并不充分。企业风险管理的实施需要来自高级管理层的全力支持。建立一种适当的企业风险管理模式并适应公司的目标是至关重要的。不足或不恰当的模式将不会带来期望的商业利益，甚至会影响整个计划。

统计分析的决策支持、工具和系统不太充分。在一个整体风险管理环境中，实施企业风险管理的最终产品要求有效的统计和分析工具来支持，以便进行明智的决策。如果没有这些工具，就可能无法得到最优决策。

文化有时是不匹配的。企业风险管理面临改变管理的所有挑战。如果这个文化变革没有得到很好的管理，这可能就是一个整体实施的问题。

实施风险管理的关键挑战

世界上大多数组织实施风险管理的关键挑战包括董事会/首席执行官的支持、责任和问责制、风险计量、与企业战略的关联、同良好公司治理的联系以及增加企业价值的挑战、企业风险管理意识、如何获取管理层认同、在控制方面的自我评价、风险报告、与技术的关联。

1. 董事会支持

有时很难获得董事会和管理层的支持。大多数组织认为管理层有必要表明风险管理的有形收益和获得关键的利益相关者支持。董事会必须将风险管理看做是降低或规避成本的途径，而非增加成本。

2. 责任和问责制

管理层应当考虑整合鉴证活动和风险管理以及合规活动的必要性来实施风险管理。这一过程也包括其他职能。此外，首席风险官的存在是非常重要的，因为他/她可以协助管理层监督企业的整体风险，并及时向董事会报告。

3. 风险计量

企业中的风险计量对利益相关者的影响是重要的，因为企业中的具体部门需要估计特定事件发生的概率及其后果。此外，从定性到定量估计的计量方法的转变在企业的风险计量及其影响中非常关键。

4. 与企业战略的关系

独立的风险管理是行不通的，它应与企业战略相结合。有时企业的战略目标是正确的， 但没有和经营能力联系起来。事实上，风险管理是自信地接受正确的风险并进行管理进而取得成功的一种途径。

5. 增加企业价值的挑战

管理层应当看到建立将战略风险管理和价值创造/竞争优势相联系的流程的必要性。这一结果不一定必须是财务上表现出来的，但是必须得到认同。

6. 风险管理意识

为了提高企业中的风险管理意识，管理应该看到沟通和报告一致的必要性，并运用风险管理方法。应以系统的方式进行风险管理。

7. 管理层认同

经营/管理层的认同有利于接受责任和积极参与，并因此减少变革的阻力。此外，企业在进行风险管理的过程中，应当通过使用分析技术识别、评估、管理风险并在适当情况下与利益相关者沟通来记录企业的风险。

8. 与控制自我评价的联系

管理层应该看到，有必要自上而下地整合和比较战略风险管理流程，来完成自下而上的控制/自我评估。他们应确定如何有效地管理和执行这些控制。他们必须确定这些流程是否支持或损害了企业的风险管理能力。

9. 风险报告

在风险管理过程中，有必要设计适当的报告，以协助管理并作出适当考虑风险管理原则的决策。其中一个关键性的挑战是在这个领域获得适当的工具，协助识别和报告风险，以确保数据能够易于用作管理信息。

10. 信息技术

一些管理层忽视了信息技术在风险管理中所起的作用和重要性。

微观上企业在发展过程中，面临以下问题：

企业发展战略计划难以实现;

企业运营效率低下;

企业高管、员工贪污舞弊;

内部人为控制现象泛滥，先斩后奏现象多发;

预算外资金外事项频发，事前和事中控制力度不够;

资产流失，资产安全无法保证;

集团对分子公司，特别是新兼并收购的子公司管理失控;

管理制度不全、陈旧、可操作性差;

信息系统各值其责，无法集成，信息孤岛长期存在;

会计报告失真，无法提供决策支持。

企业风险管理与内控现状是否符合相关法律法规要求?

企业风险管理与内控现状与行业平均水平存在的差距有哪些?

企业风险管理与内控现状是否符合企业战略发展的需求?

进行风险管理是否会无谓的增加企业的动作成本?

如何配置企业风险管理所需的人力和财务资源?

风险控制如何能与企业的日常业务实践结合?