【摘要】目前，國外關于COSO企業風險管理框架應用于企業實踐的研究剛剛開始，但是國內這方面的實踐運用還很少。本文以撫順石化公司內部控制制度的建設和實施為例，僅就COSO企業風險管理報告提出風險識別與風險應對等，在我國加工制造企業的實際運用作一些探討。
引言：如果把市場比作大海，企業就是大海中乘風破浪的一艘艘帆船，無論大船還是小船，都要經歷市場風浪的考驗。而風險就是市場上一排排風浪與暗礁，他們隱匿于大海之中，不住地窺望著帆船，時時刻刻準備把帆船吞溺于汪洋大海之中。
風險與經營管理就像一對孿生兄弟一樣，隨著企業的發展壯大和市場的不斷變化而呈現出不同的面貌，企業的管理者在經營過程中通過各種手段力爭將風險控制到最低來保證經濟利益的流入。世界經濟邁入二十一世紀以來，美國境內發生的“安然”、“施樂”和“世通”等財務舞弊事件引發了社會公眾對保護投資者利益的爭議，公司財務信息披露的法律遵循性開始備受重視，財務信息披露的真實性和完整性受到了社會眾多的密切關注。2002年美國總統布什簽發了《薩班斯-奧克斯利法案》（簡稱薩奧法案），這對海外上市公司的經營管理提出了新的挑戰。由于各種不確定性因素的存在，企業面臨著客觀存在的各種風險，企業能否對風險進行有效的識別和應對，是企業能否生存發展、能夠實現企業預期目標的關鍵。企業的風險控制是企業內部控制體系的重要構成部分，無論是影響全球的COSO報告還是國家有關規范制度，都強調了對風險進行控制的重要性。
一、風險識別（risk idintification）
風險無處不在，有效地識別風險就會使風險的控制有的放矢，從而消滅這吞溺企業的風浪和暗礁。按照風險管理學科對風險的分類，企業的風險可劃分為市場風險、產品風險、經營風險、投資風險、外匯風險、人事風險、體制風險、購并風險、自然災害風險、公關風險、政策風險和外交風險等；按照能否為企業帶來盈利劃分，企業風險可劃分為純粹風險(只有帶來損失一種可能性)和機會風險(帶來損失和盈利的可能性并存)。按照企業實現目標層次劃分，企業風險相應劃分為企業戰略風險、企業日常經營管理風險和財務風險。但所有的風險都貫穿于企業經營的各個過程中。
風險識別是企業全面風險管理的第一步，是對企業面臨的、以及潛在的風險加以判斷、歸類和鑒定風險性質的過程。應遵循全面性、系統性、制度化和經常化等原則。由于風險隨時存在，因此風險識別和風險分析的過程是一個循環往復的過程。在撫順石化分公司的風險識別過程中，筆者將企業風險識別分成以下幾個步驟進行：
（一）按照全面性和系統性原則梳理業務范圍，建立風險控制流程
撫順石化公司是一家以石油加工煉制為主的特大型石油化工聯合企業，在風險控制流程的建立中，將經營活動劃分為規劃計劃、建設過程、物資采購、生產過程、產品銷售、存貨、財務資產、人力資源、內部審計和合同糾紛等幾大類，全面系統地梳理并確定了公司經營活動的業務流程。
在確定業務流程的基礎上，還對每一大類業務流程進行了細化，依據管理的細化程度，進一步劃分各級子流程，形成了層層嵌套的流程樹狀體系。如圖1所示。
（二）按照制度化和經常化原則，對風險控制流程建立風險數據庫
為了全面地評估風險數據，公司對每一個子流程都進行了風險分析，風險分析以“找出關鍵控制點，建立風險控制文檔和流程控制程序”為目的，建立并健全公司的風險數據庫。如圖2、圖3所示。
在風險控制文檔和流程控制程序中，針對每一個流程步驟，分別從是否為經營決策風險、是否違反了法律法規、是否致使財務報告失真、是否使資產安全受到了威脅和是否有營私舞弊的現象等五個方面進行歸類；同時，對于控制目標的類型從完整性控制（completely）、準確性控制（accurate）、有效性控制（valid）和接觸性控制（relative）四個方面進行分類。通過這些分類，將為每一個流程步驟設定出風險控制點，再對風險控制點進行全面歸集，就形成了完整的企業風險數據庫。
（三）對風險數據庫進行風險評估分析，設定關鍵風險控制點
撫順石化公司的風險數據庫建立在COSO框架的目標基礎上，COSO框架的風險應對目標主要有三個方面：
1.針對企業的基本目標來確保經營的效果和效率（Effectiveness and efficiency of operations），包括業績、盈利目標和資源的安全性；
2.確保財務報表的可靠性（Reliability of financial reporting）；
3.確保企業對法律法規的遵循性（Compliance with applicable laws and regulations）。
依據上述三項目標，對風險數據庫的各項風險數據進行了篩選，將影響上述三項目標的風險數據設定為關鍵風險控制點，建立了關鍵風險控制數據庫。
二、風險應對（risk response）
在對公司的經營風險進行了逐一識別后，公司需要樹立風險組合觀，按照“避免風險，減少風險，分擔風險，接受風險”原則，對公司的風險實施了有效控制。目前，各公司的現行做法各有不同，撫順石化分公司著重從以下幾個方面進行分析和控制。
（一）設立組織機構進行風險控制
加強對風險控制的組織領導，成立風險管理委員會，企業成立了以總經理為主任，分管業務的副總經理、財務總監或總會計師為副主任，各業務部經理、財務部經理以及外聘專家為成員的風險管理委員，其職責是審查批準企業風險管理體系方案，具有對風險業務的最終決策權。
（二）開展風險評價和風險應對，成立風險管理部門
以現行管理制度為基礎，建立企業統一的風險管理體系，提高經營管理水平，成立風險管理部門。直接對風險管理委員會負責，具體負責企業的風險管理工作。
（三）風險管理的指導思想、總體目標和基本步驟
1.企業風險管理的指導思想
以企業發展戰略為總體目標，達成共識，識別戰略風險，有效規避戰略風險；以提高企業自身管理水平的需求為動力，努力建立完善的企業風險管理體系，全面提升企業管理水平；以國家法律法規為依據，從管理理念、管理手段、管理方式入手，合理控制或規避企業法律風險；以企業管理和財務監督為中心，以日常企業管理檢查、考核為手段，針對企業日常管理中的薄弱環節和控制缺陷，實現全面風險管理體系與QHSE現行管理制度體系的有機結合；規范企業內部企業管理流程，完善管理方式和行為，有效防范經營風險，提高經營管理水平。
2.企業風險管理的總體目標（見圖4）
3.基本步驟
第一，建章建制，規范業務流程的操作。
規章制度的健全與有效執行，是企業內部操作的行為準則。根據風險管理記錄模板，將企業現有的控制措施與現有的規章制度進行對比，發現風險管理記錄的差異。風險管理記錄的差異一般有兩種情況：一是有管理，但沒有形成正式的規章制度；二是有管理，也有相關規章制度，但沒有達到所確定的風險管理記錄的要求。通過這兩個方面的差異分析，確定風險管理中存在的缺陷。
第二，對企業風險管理體系進行系統測試。
在企業風險管理體系的建立過程中，需要反復地進行系統測試。從業務流程描述、風險數據庫的建立最終到發布實施，都要有層次、分步驟地進行系統測試。一般做法中，主要的系統測試方法有以下幾種：跟單測試、關鍵控制測試、管理層測試、控制環境測試、信息系統測試和跟蹤測試等。
筆者以以撫順石化分公司的跟單測試流程為例，說明企業風險管理體系進行持續改進過程。如圖5所示。
第三，建立考核與評價機制。
為強化風險管理，企業實施了情況的檢查與考核制度，建立配套的獎懲制度，定期對風險管理制度的執行情況進行檢查和考核，對出現的問題及時整改解決，并在執行中逐步完善，對不執行或執行不力的，予以嚴懲。定期提出企業風險管理檢查結果，并向企業考核部門提出獎罰意見。
第四，利用信息化手段，加強企業風險管理。
企業以強化企業風險管理為契機，推進企業過程化控制和信息化管理。在保證企業風險管理有效運作的前提下，要求信息傳導和反饋要快捷、準確，利用信息化手段提升企業資源計劃（ERP）管理理念，結合企業管理實際，研發并推行適合企業自身發展的ERP軟件，提高企業風險管理水平。
第五，制定和實施企業戰略規劃，防止戰略風險。
企業推行了謹慎的發展戰略，突出主業，三思而后行。適度采用多元化經營，緊密圍繞主業，謹慎涉足自己不熟悉或者沒有競爭優勢的領域，并從人力資源、資金資源、資產資源和信息資源等多方面加強企業風險管理。
三、企業風險識別和風險控制的局限性
撫順石化分公司通過近兩年的風險控制管理，取得了一定的管理成績。
（一）有效的風險識別與應對，僅僅能幫助企業實現經營目標，但是有效的企業風險管理體系，不能使平庸的戰略目標變得卓越。由于政策的變化、競爭對手行為的不確定性以及經濟環境的變化等外因影響，不能保證企業一定成功。
（二）不能確保財務報告的可靠性和法律法規的遵循性。內控制度是企業目標的實現向管理層和董事會提供合理的、而非絕對的保證。內控系統的內在局限性包括以下現實情況：決策判斷可能失誤以及簡單的人為錯誤可能導致重大紕漏。
（三）無法保證合伙同謀繞過風險應對措施規定。
總之，我國企業內部控制普遍薄弱，尤其入世以來，我國企業在國際競爭市場這片大海中揚帆遠航，不斷面對來自國際市場競爭壓力和經營發展不確定性因素的風浪與暗礁，企業的掌舵人開始將目光轉向建立和完善企業風險管理體系，以確保在風浪和暗礁出擊下，企業這艘帆船穩健前行，持續改進健康生存發展能力，實現預期的戰略目標。
