风险管理框架

一：什么是风险管理框架

(简体中文翻译:中国东北财经大学方红星教授) 内容摘要企业风险管理的基础性前提是每一个主体的存在都是为它的利益相关者提供价 值.所有的主体都面临不确定性,管理当局所面临的挑战就是在为增加利益相关者价 值而奋斗的同时,要确定承受多大的不确定性.不确定性可能会破坏或增加价值,因 而它既代表风险,也代表机会.企业风险管理使管理当局能够有效地应对不确定性以 及由此带来的风险和机会,增进创造价值的能力. 当管理当局通过制订战略和目标,力求实现增长和报酬目标以及相关的风险之间 的最优平衡,并且在追求所在主体的目标的过程中高效率和有效地调配资源时,价值 得以最大化.企业风险管理包括: 协调风险容量(risk appetite)① 与战略——管理当局在评价备选的战略,设定 相关目标和建立相关风险的管理机制的过程中,需要考虑所在主体的风险容 量. 增进风险应对决策——企业风险管理为识别和在备选的风险应对——风险回 避,降低,分担和承受——之间进行选择提供了严密性. 抑减经营意外和损失——主体识别潜在事项和实施应对的能力得以增强,抑减 了意外情况以及由此带来的成本或损失. 识别和管理多重的和贯穿于企业的风险——每一家企业都面临影响组织的不同 部分的一系列风险,企业风险管理有助于有效地应对交互影响,以及整合式地 应对多重风险. 抓住机会——通过考虑全面范围内的潜在事项,促使管理当局识别并积极地实 现机会. 改善资本调配——获取强有力的风险信息,使得管理当局能够有效地评估总体 资本需求,并改进资本配置. 企业风险管理所固有的这些能力帮助管理当局实现所在主体的业绩和赢利目标, 防止资源损失.企业风险管理有助于确保有效的报告以及符合法律和法规,还有助于 避免对主体声誉的损害以及由此带来的后果.总之,企业风险管理不仅帮助一个主体 到达期望的目的地,还有助于避开前进途中的隐患和意外. 事项——风险与机会 事项可能会带来负面的影响,也可能会带来正面的影响,抑或二者兼而有之.带 来负面影响的事项代表风险,它会妨碍价值创造或者破坏现有价值.带来正面影响的 事项可能会抵消负面影响,或者说代表机会.机会是一个事项将会发生并对目标—— 支持价值创造或保持——的实现产生正面影响的可能性.管理当局把机会反馈到战略 或目标制订过程中,以便制订计划去抓住机会. ① 也有人将其翻译为"风险偏好","风险需求","风险承受能力"等——译者注. 所定义的企业风险管理 企业风险管理处理影响价值创造或保持的风险和机会,定义如下: 企业风险管理是一个过程,它由一个主体的董事会,管理当局和其他人员实施, 应用于战略制订并贯穿于企业之中,旨在识别可能会影响主体的潜在事项,管理风险 以使其在该主体的风险容量之内,并为主体目标的实现提供合理保证. 这个定义反映了几个基本概念.企业风险管理是: 一个过程,它持续地流动于主体之内; 由组织中各个层级的人员实施; 应用于战略制订; 贯穿于企业,在各个层级和单元应用,还包括采取主体层级的风险组合观; 旨在识别一旦发生将会影响主体的潜在事项,并把风险控制在风险容量以内; 能够向一个主体的管理当局和董事会提供合理保证; 力求实现一个或多个不同类型但相互交叉的目标. 这个定义比较宽泛.它抓住了对于公司和其他组织如何管理风险至关重要的关键 概念,为不同组织形式,行业和部门的应用提供了基础.它直接关注特定主体既定目 标的实现,并为界定企业风险管理的有效性提供了依据. 目标的实现 在主体既定的使命或愿景(vision)①范围内,......余下全文>>

二：全面风险管理的管理框架

COSO的ERM框架是个三维立体的框架。这种多维立体的表现形式，有助于全面深入地理解控制和管理对象，分析解决控制中存在的复杂问题。第一个维度（上面维度）是目标体系，包括四类目标：(1) 战略(Strategic)目标，即高层次目标，与使命相关联并支撑使命；(2) 经营(operations)目标，高效率地利用资源；(3) 报告(reporting)目标，报告的可靠性；(4) 合规(compliance)目标，符合适用的法律和法规。第二个维度（正面维度）是管理要素，包括八个相互关联的构成要素,它们源自管理当局的经营方式，并与管理过程整合在一起，具体为： 整个企业风险管理处于监控之下,必要时还会进行修正。这种方式能够动态地反应风险管理状况，并使之根据条件的要求而变化。监控通过持续的管理活动、对企业风险管理的单独评价或者两者的结合来完成。第三个维度（侧面维度）是主体单元，包括集团、部门、业务单元、分支机构四个层面。在中国银行业从业人员资格认证的相关书籍中，将全面风险管理要素表述为1、内部环境和目标设定2、事件识别和风险评估3、风险反映和控制活动4、信息和交流以及监控 1、风险辨识 2、风险评价3、风险诊断4、风险战略设计5、风险文化建设6、风险防范管理规划7、风险流程设计8、组织职能设计9、风险理财设计10、信息系统建设

三：企业风险管理体系包括哪些

风险管理体系包括风险识别、风险估计、风险驾驭、风险监控等一系列活动。

风险管理的各个步骤

对于现代企业来说，风险管理就是通过揣险的识别、预测和衡量、选择有效的手段，以尽可能降低成本，有计划地处理风险，以获得企业安全生产的经济保障。这就要求企业在生产经营过程中，应对可能发生的风险进行识别，预测各种风险发生后对资源及生产经营造成的消极影响，使生产能够持续进行。可见，风险的识别、风险的预测和风险的处理是企业风险管理的主要步骤。

风险的识别

风险的识别是风险管理的首要环节。只有在全面了解各种风险的基础上，才能够预测危险可能造成的危害，从而选择处理风险的有效手段。 　　风险识别方法很多，常见的方法有： 　　2.1.1◆生产流程分析法 　　生产流程分析法是对企业整个生产经营过程进行全面分析，对其中各个环节逐项分析可能遭遇的风险，找出各种潜在的风险因素。生产流程分析法可分为风险列举法和流程图法。 　　1.风险列举法指风险管理部门根据本企业的生产流程，列举出各个生产环节的所有风险。 　　2.流程图法指企业风险管理部门将整个企业生产过程一切环节系统化、顺序化，制成流程图，从而便于发现企业面临的风险。 　　2.1.2◆财务表格分析法 　　财务表格分析法是通过对企业的资产负债表、损益表、营业报告书及其他有关资料进行分析，从而识别和发现企业现有的财产、责任等面临的风险。 　　2.1.3保险调查法 　　采用保险调查法进行风险识别可以利用两种形式： 　　通过保险险种一览表，企业可以根据保险公司或者专门保险刊物的保险险种一览表，选择适合本企业需要的险种。这种方法仅仅对可保风险进行识别，对不可保风险则无能为力。 　　委托保险人或者保险咨询服务机构对本企业的风险管理进行调查设计，找出各种财产和责任存在的风险。

风险的预测

风险预测实际上就是估算、衡量风险，由风险管理人运用科学的方法，对其掌握的统计资料、风险信息及风险的性质进行系统分析和研究，进而确定各项风险的频度和强度，为选择适当的风险处理方法提供依据。风险的预测一般包括以下两个方面： 　　2.2.1预测风险的概率：通过资料积累和观察，发现造成损失的规律性。一个简单的例子：一个时期一万栋房屋中有十栋发生火灾，则风险发生的概率是1/1000。由此对概率高的风险进行重点防范。 　　2.2.2预测风险的强度：假设风险发生，导致企业的直接损失和间接损失。对于容易造成直接损失并且损失规模和程度大的风险应重点防范。

风险的处理

风险的处理常见的方法有： 　　2.3.1避免风险：消极躲避风险。比如避免火灾可将房屋出售，避免航空事故可改用陆路运输等。因为存在以下问题，所以一般不采用。 　　可能会带来另外的风险。比如航空运输改用陆路运输，虽然避免了航空事故，但是却面临着陆路运输工具事故的风险。 　　会影响企业经营目标的实现。比如为避免生产事故而停止生产，则企业的收益目标无法实现。 　　2.3.2预防风险：采取措施消除或者减少风险发生的因素。例如为了防止水灾导致仓库进水，采取增加防洪门、加高防洪堤等，可大大减少因水灾导致的损失。 　　2.3.3自保风险：企业自己承担风险。途径有： 　　小额损失纳入生产经营成本，损失发生时用企业的收益补偿。 　　针对发生的频率和强度都大的风险建立意外损失基金，损失发生时用它补偿。带来的问题是挤占了企业的资金，降低了资金使用的效率。 　　对于较大的企业，建立专业的自保公司。 　　2.3.4转移风险：在危险发生前，通过采取出售、转让、保险等方法，将风险转移出......余下全文>>

四：全面风险管理框架应包括以下哪些要素

合规风险管理体系应包括以下基本要素： 1、合规政策； 2、合规管理部门的组织结构和资源； 3、合规风险管理计划； 4、合规风险识别和管理流程； 5、合规培训与教育制度。

五：什么是风险管控体系

从风险管控体系建设的专业角度，通常我们可以将一个企业的风险类型分为五种常规类型：顶层风险、客观/外部环境风险、主观/内部环境风险、经营风险、管理风险。

广州中略企业管理咨询公司是进行“风险管控体系”咨询的专业机构，有几十家国有企业、大型民营企业委托中略咨询对其“风险管控体系”进行系统的专业化设计。中略咨询认为，集团型企业在建设风险管控体系过程中，应根据企业自身的行业特点和管控现状，针对性的制定科学、系统、有效的建设策略，为企业经营安全切实构建起“防火墙”。

六：风险管理基本流程和风险管理体系有什么不一样的吗？

风险管理基本流程指的是在进行风险管理时的基本步骤，第一步就是收集风险的初始信息，第二步就是对收集的信息进行评估，第三步是结合评估结果制定风险管理策略，第四步则是提出和实施风险管理的解决方案，最后一步就是对前面各步骤在实施过程中的监督和改进。

风险管理体系也就是风险管理的构成要求包括哪些，分别包括风险管理策略、组织职能体系、内部控制系统和风险理财措施这四个方面。

通俗的来说，风险管理基本流程也就是要进行风险管理应该怎么做，分几步去做。而风险管理体系则是说风险管理它包括什么，由哪几部分构成。

风险管理基本流程相当于是从纵向的角度，一步一步的，风险管理体系相当于是从横向的角度，都包含哪些内容。

七：什么是全面风险管理体系

全面风险管理体系

目前，国际先进银行已经普遍把风险管理贯穿到整个银行的经营管理之中，建立了全面的风险管理体系。全美反财务舞弊委员会的发起组织委员会认为，全面风险管理是一个受该实体的董事会、管理层和其他个人的影响，并应用在整个机构战略设定中的过程。

我们应清楚地认识到，商业银行所面临的风险是客观存在的，“零风险”是不存在的；实施全面风险管理的意义在于其能够培育全员的风险管理文化、建立起完善的组织架构和严密的风险控制体系，及时识别、管理和有效化解风险。更为完善的全面风险管理体系不是一种可有可无的奢侈品，而是银行赖以生存和发展的必需品。 全面风险管理框架的主要内容 　　从国际先进商业银行的实践来看，要建立和有效实施全面风险管理体系，应站在全行的高度，以全局视点审视体系建设，不能仅就风险管理而单一论之，重在全面风险管理的内涵要得到贯彻落实。全面的风险管理体系主要包括风险管理环境、风险管理流程、内部控制程序和风险审计等相互联系的子系统。

（一）风险管理环境。风险管理环境包括内、外部环境两个方面。外部环境是银行经营所处的宏观经济、社会文化以及监管要求等外部环境；内部环境主要包括风险文化、风险战略、风险偏好、风险管理组织架构、人员培养等。一位美国的银行家说：“一个金融机构的管理常常失败，其原因并不是因为它缺乏信用管理系统、政策及程序，而是因为它现有的占主导地位的企业文化不能使这些系统、政策、程序真正发挥出作用。”可见，风险管理环境对风险管理的效果具有重要影响。

（二）风险管理流程。所谓风险管理流程，是指从风险识别、风险评估到风险防范，以及贯穿其中的风险信息报告路径的管理全过程。虽然风险管理要保持与业务部门的独立性，但风险管理流程则必须建立在业务操作流程的基础上，实现和业务操作流程的有机结合。

（三）内部控制体系。内控体系的构建需要遵循全面性、独立性原则。内部控制应渗透到银行的各项业务过程和各个操作环节，做到全员参与、全程管理、全面覆盖。内部审计部门作为内控管理的核心部门，要保持相互独立，将内控评价结果直接向最高决策层负责。

（四）风险审计体系。风险审计的作用在于对全面风险管理体系及其运行进行后评价和持续改进，保持全面风险管理体系的稳定运行，是建立风险管理长效机制的重要保障。 国际知名银行业全面风险管理的启示

通过对国际先进商业银行风险管理模式的研究，可以总结出以下启示

一是重视风险文化和组织架构建设。风险管理能否发挥作用，以及在多大程度上发挥作用，是与该行的风险管理组织架构密切相关的，而组织架构相似的银行却可能因为风险文化、部门职责划分等因素而使风险管理效果差异甚巨。因此，商业银行必须重视风险文化和组织架构建设，二者相互协调，才能保证风险管理的效果。

二是强调对员工的培训、培养。要建立员工业务培训和风险培训计划，不断提高客户经理和风险经理的业务水平，强调客户经理和风险经理之间的沟通与配合，确保开发的客户是银行所需要的。

三是重视信息管理系统建设。即在业务流程分析整合的基础上，加强基础数据的分析整理，进行风险的量化、分析和评价，发挥信息技术在风险决策中的作用，使风险决策更具客观性。

八：风险管理整合框架执行的问题是什么

企业经营风险的识别　　企业的经营风险是蕴含在企业日常的管理经营过程之中，涉及到企业日常管理的各个方面，最重要的集中在能为企业创造效益的经营环节。由于利益的驱动，管理者们需要在经营管理中做出决策，确保企业的利益最大化。而这些决策或是战略往往是在市场信息不对称的情况下做出的，因此索要产生的风险，即决策失败会给企业带来的损失便是由于信息不对称而产生的成本，是企业为错误的决策所付出的代价。企业风险管理是建立在了解企业风险的各个层面，减少失败的可能性并将不确定的经营成果降低到可接受的范围内。　　通常企业的风险管理应该具备以下几个特点：　　1.风险管理过程化　　企业的风险管理是由降低和控制风险的一系列程序组成，其中包括：风险的识别与分解、风险管理目标的确定、风险管理方法的选择、风险管理的实施与修正和风险管理结果评估。在COSO发布的《COSO企业风险管理整合框架》一书中提到，企业风险管理框架包含8个要素：内部环境，目标设定，事项识别，风险评估，风险应对，控制活动，信息与沟通和监控;8个构成要素同时也是有效的企业风险管理的判断标准，如果这些构成要素存在且正常运行，那么就可能没有重大缺陷，而风险可能已经被控制在主体的风险容量之内。2011年12月安然事件爆发，一时间，企业风险管理成为了人们关注的焦点。自那以后美国越来越多的企业和机构采用了风险管理机制，通过对风险的化解和缩小，降低风险管理难度，达到管理效果，尤其是在风险预警方面，采取审计、商业调查等措施加大了风险的预防力度。　　2.风险管理源头化　　对于风险管理范围来讲，一方面要分业务、分部门、分层次管理风险;另一方面也需要将各个层次的风险加以汇总，站在全局的高度来定义和管理，从战略决策的源头对风险进行管控。以日本企业为例，日本的几家大型政府控股企业均设有“情报参事室”，专门收集企业外部环境信息以及变化情况，包括：宏观经济、地域政治、自然环境、人文社会等诸多方面。在汇总信息的基础之上，综合分析个因素之间的关系以及组合之后对战略实施产生的影响，为企业战略制定提出参照意见，以确保战略方向的正确和风险最携。　　3.风险管理全员化　　企业风险管理不仅仅是高层领导和管理人员的责任，而是涉及企业内部所有人员，从CEO到每一位普通员工。只有全体员工树立了风险管理意识，全员参与风险管理，才能取得最终的效果。例如丰田实行的“全面质量管理”中就根据每一位员工的工作内容，将质量指标和对应的失败风险分解，变成每一位员工的日常管理内容，每一个人都清楚自己的工作内容和不按照要求的方法操作会带来的各种质量风险。通过员工自行管理，品质人员集中管理，管理层监督执行的方式到达全面管理质量的提升。而松下电子，建立了完善的产品档案，为每一件产品和产品上的组件都进行了编号，并将相关的生产信息和操作人员信息输入OEM系统备案。在松下，一个螺丝钉或是一个焊接头都能根据编号在OEM系统里找到生产的时间、操作人员姓名、以及当时的质检结果。这样，企业的品质便和每一个人联系了起来，质量风险也得到了很好的管控。　　4.风险管理成本化　　风险管理并不是要消除全部风险或是不惜一切代价来降低风险，而是尽量使得风险缩小到可以承受的范围之内。在风险管理的过程中，需要合理调配投入的资源与产出的结果。美国通用电气的工程师们在实施SIXSIGMA管理的过程中发现，风险管理也同样存在着边际效益递减的规律：当管理风险的投入达到某一临界点的时候，再追加的投入所产生的管理效果将会逐渐缩小，最终造成资源的浪费。所以在风险管理的过程中依然要遵循的经济规律而并非一味加大投入。GE的前任CEO在谈到......余下全文>>

九：全面风险管理框架包括哪些主要内容

CERM的框架分为三个维度，目标，参与对象，要素。

十：在coso风险管理八要素框架，风险评估被细分为哪些

风险评估被分为三种。

基线评估

如果组织的商业运作不是很复杂，并且组织对信息处理和网络的依赖程度不是很高，或者组织信息系统多采用普遍且标准化的模式，基线风险评估（Baseline Risk Assessment）就可以直接而简单地实现基本的安全水平，并且满足组织及其商业环境的所有要求。

采用基线风险评估，组织根据自己的实际情况（所在行业、业务环境与性质等），对信息系统进行安全基线检查（拿现有的安全措施与安全基线规定的措施进行比较，找出其中的差距），得出基本的安全需求，通过选择并实施标准的安全措施来消减和控制风险。所谓的安全基线，是在诸多标准规范中规定的一组安全控制措施或者惯例，这些措施和惯例适用于特定环境下的所有系统，可以满足基本的安全需求，能使系统达到一定的安全防护水平。组织可以根据以下资源来选择安全基线：

国际标准和国家标准，例如BS 7799-1、ISO 13335-4；

行业标准或推荐，例如德国联邦安全局IT 基线保护手册；

来自其他有类似商务目标和规模的组织的惯例。

当然，如果环境和商务目标较为典型，组织也可以自行建立基线。

基线评估的优点是需要的资源少，周期短，操作简单，对于环境相似且安全需求相当的诸多组织，基线评估显然是最经济有效的风险评估途径。当然，基线评估也有其难以避免的缺点，比如基线水平的高低难以设定，如果过高，可能导致资源浪费和限制过度，如果过低，可能难以达到充分的安全，此外，在管理安全相关的变化方面，基线评估比较困难。

基线评估的目标是建立一套满足信息安全基本目标的最小的对策集合，它可以在全组织范围内实行，如果有特殊需要，应该在此基础上，对特定系统进行更详细的评估。

详细评估

详细风险评估要求对资产进行详细识别和评价，对可能引起风险的威胁和弱点水平进行评估，根据风险评估的结果来识别和选择安全措施。这种评估途径集中体现了风险管理的思想，即识别资产的风险并将风险降低到可接受的水平，以此证明管理者所采用的安全控制措施是恰当的。

详细评估的优点在于：

1、组织可以通过详细的风险评估而对信息安全风险有一个精确的认识，并且准确定义出组织目前的安全水平和安全需求；

2、详细评估的结果可用来管理安全变化。当然，详细的风险评估可能是非常耗费资源的过程，包括时间、精力和技术，因此，组织应该仔细设定待评估的信息系统范围，明确商务环境、操作和信息资产的边界。

组合评估

基线风险评估耗费资源少、周期短、操作简单，但不够准确，适合一般环境的评估；详细风险评估准确而细致，但耗费资源较多，适合严格限定边界的较小范围内的评估。基于次实践当中，组织多是采用二者结合的组合评估方式。

为了决定选择哪种风险评估途径，组织首先对所有的系统进行一次初步的高级风险评估，着眼于信息系统的商务价值和可能面临的风险，识别出组织内具有高风险的或者对其商务运作极为关键的信息资产（或系统），这些资产或系统应该划入详细风险评估的范围，而其他系统则可以通过基线风险评估直接选择安全措施。

这种评估途径将基线和详细风险评估的优势结合起来，既节省了评估所耗费的资源，又能确保获得一个全面系统的评估结果，而且，组织的资源和资金能够应用到最能发挥作用的地方，具有高风险的信息系统能够被预先关注。当然，组合评估也有缺点：如果初步的高级风险评估不够准确，某些本来需要详细评估的系统也许会被忽略，最终导致结果失准。...余下全文>>