1为什么要写这篇文章
谈到《企业全面风险管理指引》的由来，首先要从国资委说起。国资委成立于2003年，此前由于国资管理比较分散，出资人的权利被分解到多个部委——例如有些企业的资产权归财政部管，投资权归国家计委管，日常经营归经贸委管，人事权归企业工委管……实际上是处于一个多头管理的状态，包括资产重组在内的重大事项缺乏规范，积弊丛生。而随着2000年后国有经济有进有退的战略性调整陆续展开，国有企业战略性重组使国有资产之间、国有资产与民资、外资等非国有资产之间的产权交易规模越来越大，也使得国有资产流失的风险不断增加（著名的郎咸平炮轰德隆系也发生在这一时期），因此，成立国资委国资委的初衷，就是要理顺出资人职责，解决国有资产管理“五龙治水”又无人负责的弊端，建立一整套适合中国国情的国资集中管理模式，在迅速做大国资企业总规模的同时，实现国资的保值增值。
国资委在创立第一年的主要方向是“定规矩”——从2003年起先后出台了《企业国有资产监管条例》、《国有企业清产核资办法》、《企业负责人经营业绩考核暂行办法》、《关于规范国有企业改制工作的意见》、《企业国有产权转让管理暂行办法》等一系列制度文件，规范了原有混乱无序的国资管理机制，这对防范国有资产流失风险起到了积极意义。但与此同时，2003年间又发生了中储棉事件、中航油事件等一系列重大损失性风险事件（中储棉炒棉一度亏损10亿元人民币接近其注册资金；中航油衍生品期权巨亏5.54亿美元导致企业），这使得国资委注意到单纯规范管理还不够，在国有企业融入全球化格局的过程中，还需要企业管理者主动去管理好各种有颠覆性的风险——不仅仅是传统意义上的经营风险，还要包括市场风险和政策风险，否则因此带来的损失也会非常巨大。
然而彼时国资委刚刚成立，其身份是出资人，下属企业的情况又非常复杂，既想保持出资人的权益、控制好风险，又要做到不越位，还要让企业做大规模，这对国资委的是一个很大挑战。2003年8月，长年研究企业风险管理的吕多加博士（风险管理标准化技术委员会副秘书长、北京第一会达风险管理科技有限公司董事长）写信给国资委主任李荣融，建议国资委关注企业“全面风险管理”，倡导依靠一个系统化的手段来管理风险，将风险控制在可接受水平——这一建议得到了国资委有关领导的重视，随后迅速组织了由国资委及相关部委、中介机构、专家学者和试点企业的课题组
，开展了“企业全面风险管理指南”的专项研究。这一研究的过程非常细致，既研究了英国、美国、澳大利亚、奥地利、日本等出台的各类框架和标准，也在五矿集团、中广核集团等重要企业进行了调研，课题的研究成果经过系统归纳和多轮研讨，最终体现到了《指引》之中。
2006年6月，国资委正式发布文件（国资发改革[2006]108号，标志着《指引》正式面向全国企业。
2《指引》的主要内容
《指引》共分十章，七十条，并配有一个技术方法附录。作为一个指导性的文件，《指引》全文言简意赅，原理与操作并重。各章节主要内容归纳如下。
第一章 总则
介绍了风险管理目的、原则、基础概念、核心理念，回答为什么、是什么的问题。 其中重点阐述了什么是风险、什么是风险管理、什么是风险管理的基本流程、什么是内控系统。强调要按照从实际出发，务求实效的原则，以对重大风险的控制作为要点，把风险管理各项要求融入企业管理和业务流程中,通过三道防线来管理风险。第二到六章 风险管理基本流程
2-6章分别对应风险管理基本流程，全面阐述风险管理做什么。 强调了“风险管理初始信息、风险评估、风险管理策略、风险管理解决方案和风险管理监督改进”这五项工作，应该注意哪些方针，开展哪些必备活动，有哪些核心要求。第七章 风险管理组织体系
强调谁来做 强调企业要健全风险管理组织体系，包括规范的法人治理结构，风险管理职能部门、内部审计部门和法律事务部门以及其他有关职能部门、业务单位的组织领导机构及其职责。并提出了基本职责。 强调企业应指导和监督其全资、控股子企业建立与企业相适应或符合全资、控股子企业自身特点、能有效发挥作用的风险管理组织体系。第八章 风险管理信息系统
强调用什么技术手段来实现。 强调企业应将信息技术应用于风险管理的各项工作，建立涵盖风险管理基本流程和内部控制系统各环节的风险管理信息系统，包括信息的采集、存储、加工、分析、测试、传递、报告、披露等。 强调了风险管理信息系统在定量分析中的作用。第九章 风险文化
强调风险管理整体的文化氛围。 强调董事会应高度重视风险管理文化的培育，总经理负责培育风险管理文化的日常工作。董事和高级管理人员应在培育风险管理文化中起表率作用。 重要管理及业务流程和风险控制点的管理人员和业务操作人员应成为培育风险管理文化的骨干。第十章 附则
由于当时企业的现代治理机构尚未健全，因此指引强调企业中未设立董事会的国有独资企业，由经理办公会议代行本指引中有关董事会的职责，总经理对本指引的贯彻执行负责。 提供了专门的风险管理工具方法指南。3《指引》的主要贡献
尽管《指引》的发布已经过去了十多年，但其贡献绝不仅是国资委的第一份风险管理文件这样简单，实际上《指引》中闪光点和远见直至今天仍然有重大意义。
第一，第一次提出了“风险”和“全面风险管理”的概念
在十多年前，风险远不像今天这样被你我关注，更不会频繁在领导讲话和《人民日报》中露脸，那时候提到风险，大家往往想到的是事故、是保险、是损失。而《指引》第一次提出，所谓风险：“指未来的不确定性对企业实现其经营目标的影响。”这一概念打破了原有对风险的狭义理解，不仅仅指明了风险的来源（不确定性），也指出了不确定性对“目标的影响”才是真正的管理核心，不确定性本身没有好坏之分，只有与目标结合考虑才有意义。按照这个概念，企业非但不能把风险当做洪水猛兽，还要充分去理解风险背后的机遇与威胁，因为高收益背后必然要有风险，企业要发展就要面对风险挑战，而控制风险的过程，本身就是保证目标实现的过程——谁能发现不确定性背后的机遇，化解各项损失——谁就能够在竞争中取得先机。正如《指引》第八条中所述：“企业开展全面风险管理工作，应注重防范和控制风险可能给企业造成损失和危害，也应把机会风险视为企业的特殊资源，通过对其管理，为企业创造价值，促进经营目标的实现。”
在十多年前，这个概念与很多其他的概念产生了冲突，更多的人还是习惯了教科书的经典概念,或者是把风险单纯的看做一个负面的东西——但在十年后的今天，以uber、滴滴为代表的共享经济，其实是降低了人们在出行过程中“用户打不到车”、“司机空单往返”的风险，正是用双赢的、低成本方式克服了一个长期存在的固有风险，才使得它获得了爆发性的增长,数百亿美金的估值；而任正非提出的“现在的时代,科技进步太快,不确定性越来越多。华为已感到前途茫茫,找不到方向”实际上也是对风险的担心，这种担心绝不仅仅是对财务损失的忧虑，而是透露出一个企业家对战略选择上的忧虑——试问连不确定性在哪里都看不清，它和企业目标的关系都理不明，又该如何管风险？所以任正非提出要加大对不确定性研究的投入，通过持续创新找出一条道路来——这能否真的使华为持续成功我不好说,但这种积极管理风险的态度,恰恰是《指引》所希望的。
无数企业家用实践对《指引》中的“风险”概念进行了验证。而在理论界这一概念也得到了延伸，在2009年颁布的国家标准《风险管理原则与实施指南（gb/t24353-2009）》中，风险被定义为“不确定性对目标的影响”，而国际标准组织iso也将这个概念作为国际权威的《iso31000风险管理标准》通用概念。
第二，强调了风险管理的全面性和嵌入性原则，即真正“融入业务”
《指引》在第一章中就强调，企业开展全面风险管理工作“应与其他管理工作紧密结合，把风险管理的各项要求融入企业管理和业务流程中。具备条件的企业可建立风险管理三道防线，即各有关职能部门和业务单位为第一道防线；风险管理职能部门和董事会下设的风险管理委员会为第二道防线；内部审计部门和董事会下设的审计委员会为第三道防线。”
现如今，原本仅用于金融领域的“三道防线”概念已经深入人心，而风险管理融入业务，也成为很多国企领导挂在嘴边的一句话……虽然这些工作的实践并不容易，但可以说《指引》为这一氛围的形成起到了重要意义。按照《指引》的设计初衷，风险管理绝不是某一个人的责任，也不是某个领导层的责任，而是整个企业/组织的共同责任，每个人都应该清楚地了解自己面临什么风险，应该如何管理，并且有主动的意识、充足的资源和相应的能力去管理。在这样的环境下，风险信息能够被持续传递，每个人的责权利与风险紧密衔接，重要目标的风险能够这才是风险管理体系的理想状况。
第三，突出强调了领导层在风险管理工作中的责任
与一般的指导类文件不同，《指引》高度强调董事、高管层在风险管理工作中的价值。在《指引》第七章一开篇就提出“企业应建立健全规范的公司法人治理结构，股东（大）会、董事会、监事会、经理层依法履行职责，形成高效运转、有效制衡的监督约束机制……国有独资公司和国有控股公司应建立外部董事、独立董事制度，外部董事、独立董事人数应超过董事会全部成员的半数，以保证董事会能够在重大决策、重大风险管理等方面作出独立于经理层的判断和选择”。
回顾那些令人侧目重大决策风险和重大违规违纪风险，法人治理机制不健全、监督机制缺位、董监事不作为、针对高管层的内部控制缺失，都是主要原因——2003年以前清产核资发现的情况如此，近年来中纪委巡视组发现的问题更如此；不仅仅国资、传统行业有这样的问题，阿里、百度这类民营高科技企业，以及大量的上市公司，混合所有制公司同样可能有这类问题。
因此，虽然《指引》是国资委推出的文件，但其核心观点是有普适性的，任何企业都应该将对领导层在风险管理工作中的责任建设放在首位。不仅仅要做到上述的要求，还应该考虑《指引》中风险管理文化部分——“董事会会应高度重视风险管理文化的培育，总经理负责培育风险管理文化的日常工作”、“董事和高级管理人员应在培育风险管理文化中起表率作用。”——任何指责、制度和流程都是暂时的，只有营造一个长期良性的风险管理文化，企业的风险管理才能落地。
第四，强调风险理财的重要意义，强调要将风险控制在可接受程度
在很多人眼里，期货和金融衍生品交易都属于“高风险业务”，特别是中航油、中信泰富、东方航空等公司的交易巨亏之后，更是将这些业务与风险、损失、担责任联系起来。有些国企领导甚至能避则避，能不碰就不碰，然而《指引》并没有回避这个问题——在第四章风险管理策略中，明确指出“对能够通过保险、期货、对冲等金融手段进行理财的风险，可以采用风险转移、风险对冲、风险补偿等方法。”
实际情况证明，有大量风险是内部控制无法覆盖的，特别是在汇率风险、利率风险、信用风险、大宗商品价格风险等方面，有太多太多的黑天鹅。例如时间倒退10年，有哪个智库和财团能相信中东巨变？有谁敢预言油价跌会倒每桶35美元？即便时间倒退一年，很多人也不会相信资本市场的风暴会那样猛烈……在这些风险面前，期货、ndf/df、应收账款保险，其实都是常用甚至必备手段，因为它们都反映出风险管理的本质——风险管理从来不是让人实现最大的收益，而是在一个风险可接受的前提下，去实现尽量高的收益。
《指引》正是看到了这一点，才专门明确提出了“风险理财”的要求，并提出“企业应根据不同业务特点统一确定风险偏好和风险承受度，即企业愿意承担哪些风险，明确风险的最低限度和不能超过的最高限度，并据此确定风险的预警线及相应采取的对策。确定风险偏好和风险承受度，要正确认识和把握风险与收益的平衡，防止和纠正忽视风险，片面追求收益而不讲条件、范围，认为风险越大、收益越高的观念和做法；同时，也要防止单纯为规避风险而放弃发展机遇。”
因此，全面风险管理中的“全面”二字，绝不仅仅是指各种重大风险的考虑要全，也强调用全面的手段（包括“金融工具”
这些所谓的危险品）来降低风险，风险不是越小越好，不能为了控制风险而矫枉过正，这也是《指引》在风险管理策略方面的核心思想所在。
第五，高度重视风险管理信息系统的价值
在十年前，移动平台、大数据、人工智能、量化分析这些词儿远不像今天这样火热，非贸易、非金融类的企业能够用蒙特卡洛算法估算一个大型海外工程项目的风险成本，已经算是有创建性的工作了。
客观的说，当时有些国有企业领导对于风险尚不能充分理解，对于风险管理信息系统的价值更是无法接受，用置信度、var（在险值）来思考问题，往往都是论文中考虑的东西，至于什么风险管理大数据……那更是天方夜谭。甚至由于一些企业被erp实施折磨的死去活来，企业对与复杂信息系统也是谈之色变。
然而《指引》专门提出了一整章的内容，描述了企业风险管理信息系统的作用、应实现的功能：“应能够进行对各种风险的计量和定量分析、定量测试；能够实时反映……重大风险和重要业务流程的监控状态；能够对超过风险预警上限的重大风险实施信息报警；能够满足风险管理内部信息报告制度和企业对外信息披露管理制度的要求。”现在来看，随着风险环境的变化，这些要求非但没有过时，反而正在被越来越多的人所接受，包括sap、oracle、金蝶、浪潮、用友等软件在内的各种erp或财务软件公司，都在竞相将风险管理功能集成在系统之中。而随着大数据的采集和应用更加容易，一些专业的风险管理信息化服务正在展现全新的生命力，典型代表就是硅谷的palantir——它能够利用数据挖掘协助paypal化解了洗钱风险；甚至利用各种碎片化的数据协助cia分析恐怖活动风险，由此从200万美元风投起家，成长为200亿美元估值的公司，palantir成立于2004年，也就是国资委启动风险管理专题研究的那一年。
咨询> 18511112422 (同微信)拨打电话
