企业财务风险分析与控制策略
一、COSO《企业风险管理——整合框架》介绍
企业风险管理—整合框架
(内容摘要)
企业风险管理的基础性前提是每一个主体的存在都是
为它的利益相关者提供价值。所有的主体都面临不确定性，
管理当局所面临的挑战就是在为增加利益相关者价值而奋
斗的同时，要确定承受多大的不确定性。不确定性可能会破
坏或增加价值，因而它既代表风险，也代表机会。企业风险
管理使管理当局能够有效地应对不确定性以及由此带来的
风险和机会，增进创造价值的能力。
当管理当局通过制订战略和目标，力求实现增长和报酬
目标以及相关的风险之间的最优平衡，并且在追求所在主体
的目标的过程中高效率和有效地调配资源时，价值得以最大
化。企业风险管理包括：
•协调风险容量(risk appetite)(也有人将其翻译为“风险偏
好”、“风险需求”、“风险承受能力”等—译者注)与战略—管
理当局在评价备选的战略、设定相关目标和建立相关风险的
管理机制的过程中，需要考虑所在主体的风险容量。
•增进风险应对决策—企业风险管理为识别和在备选的
风险应对—风险回避、降低、分担和承受—之间进行选择提
供了严密性。
•抑减经营意外和损失—主体识别潜在事项和实施应对
的能力得以增强，抑减了意外情况以及由此带来的成本或损
失。
•识别和管理多重的和贯穿于企业的风险—每一家企业
都面临影响组织的不同部分的一系列风险，企业风险管理有
助于有效地应对交互影响，以及整合式地应对多重风险。
•抓住机会—通过考虑全面范围内的潜在事项，促使管理
当局识别并积极地实现机会。
•改善资本调配—获取强有力的风险信息，使得管理当局
能够有效地评估总体资本需求，并改进资本配置。
企业风险管理所固有的这些能力帮助管理当局实现所
在主体的业绩和赢利目标，防止资源损失。企业风险管理有
助于确保有效的报告以及符合法律和法规，还有助于避免对
主体声誉的损害以及由此带来的后果。总之，企业风险管理
不仅帮助一个主体到达期望的目的地，还有助于避开前进途
中的隐患和意外。
事项—风险与机会
事项可能会带来负面的影响，也可能会带来正面的影响，
抑或二者兼而有之。带来负面影响的事项代表风险，它会妨
碍价值创造或者破坏现有价值。带来正面影响的事项可能会
抵消负面影响，或者说代表机会。机会是一个事项将会发生
并对目标—支持价值创造或保持—的实现产生正面影响的
可能性。管理当局把机会反馈到战略或目标制订过程中，以
便制订计划去抓住机会
所定义的企业风险管理
企业风险管理处理影响价值创造或保持的风险和机会，
定义如下：
企业风险管理是一个过程，它由一个主体的董事会、管
理当局和其他人员实施，应用于战略制订并贯穿于企业之中，
旨在识别可能会影响主体的潜在事项，管理风险以使其在该
主体的风险容量之内，并为主体目标的实现提供合理保证。
这个定义反映了几个基本概念。企业风险管理是：
•一个过程，它持续地流动于主体之内；
•由组织中各个层级的人员实施；
•应用于战略制订；
•贯穿于企业，在各个层级和单元应用，还包括采取主体
层级的风险组合观；
•旨在识别一旦发生将会影响主体的潜在事项，并把风险
控制在风险容量以内；
•能够向一个主体的管理当局和董事会提供合理保证；
•力求实现一个或多个不同类型但相互交叉的目标。
这个定义比较宽泛。它抓住了对于公司和其他组织如何
管理风险至关重要的关键概念，为不同组织形式、行业和部
门的应用提供了基础。它直接关注特定主体既定目标的实现，
并为界定企业风险管理的有效性提供了依据。
目标的实现
在主体既定的使命或愿景(vision)(也有人将其翻译为“远
景”、“远景规划”、“长远构想”等—译者注。)范围内，管理
当局制订战略目标、选择战略，并在企业内自上而下设定相
应的目标。企业风险管理框架力求实现主体的以下四种类型
的目标：
•战略(strategic)目标 —高层次目标，与使命相关联并支
撑其使命；
•经营(operations)目标—有效和高效率地利用其资源；
•报告(reporting)目标—报告的可靠性；
•合规(compliance)目标—符合适用的法律和法规。
对主体目标的这种分类可以使我们关注企业风险管理
的不同侧面。这些各不相同但却相互交叉的类别—一个特定
的目标可以归入多个类别，反映了主体的不同需要，而且可
能会成为不同管理人员的直接责任。这个分类还有助于区分
从每一类目标中能够期望的是什么。一些主体采用的另一类
目标—保护资源也包含在上述类别之内。
因为有关报告的可靠性和符合法律、法规的目标在主体
的控制范围之内，所以可以期望企业风险管理为实现这些目
标提供合理保证。但是，战略目标和经营目标的实现取决于
并不一定总在主体控制范围之内的外部事项，对于这些目标
而言，企业风险管理能够合理地保证管理当局和起监督作用
的董事会及时地了解主体朝着实现目标前进的程度。
企业风险管理的构成要素
企业风险管理包括八个相互关联的构成要素。它们来源
于管理当局经营企业的方式，并与管理过程整合在一起。这
些构成要素是：
•内部环境—内部环境包含组织的基调，它为主体内的人
员如何认识和对待风险设定了基础，包括风险管理理念和风
险容量、诚信和道德价值观，以及他们所处的经营环境。
•目标设定—必须先有目标，管理当局才能识别影响目标
实现的潜在事项。企业风险管理确保管理当局采取适当的程
序去设定目标，确保所选定的目标支持和切合该主体的使命，
并且与它的风险容量相符。
•事项识别—必须识别影响主体目标实现的内部和外部
事项，区分风险和机会。机会被反馈到管理当局的战略或目
标制订过程中。
•风险评估—通过考虑风险的可能性和影响来对其加以
分析，并以此作为决定如何进行管理的依据。风险评估应立
足于固有风险和剩余风险。
•风险应对—管理当局选择风险应对—回避、承受、降低
或者分担风险—采取一系列行动以便把风险控制在主体的
风险容限(risk tolerance)(也有人将其翻译为“风险容忍度”、“风
险承受力”等—译者。)和风险容量以内。
•控制活动—制订和执行政策与程序以帮助确保风险应
对得以有效实施。
•信息与沟通—相关的信息以确保员工履行其职责的方
式和时机予以识别、获取和沟通。有效沟通的含义比较广泛，
包括信息在主体中的向下、平行和向上流动。
•监控—对企业风险管理进行全面监控，必要时加以修正。
监控可以通过持续的管理活动、个别评价或者两者结合来完
成。
企业风险管理并不是一个严格的顺次过程，一个构成要
素并不是仅仅影响接下来的那个构成要素。它是一个多方向
的、反复的过程，在这个过程中几乎每一个构成要素都能够、
也的确会影响其他构成要素。
目标与构成要素之间的关系
目标是指一个主体力图实现什么，企业风险管理的构成
要素则意味着需要什么来实现它们，二者之间有着直接的关
系。这种关系可以通过一个三维矩阵以立方体
的形式表示出来。
四种类型的目标—战略、经营、报告和合规—用垂直方
向的栏表示，八个构成要素用水平方向的行表示，而一个主
体内的各个单元则用第三个维度表示。这种表示方式使我们
既能够从整体上关注一个主体的企业风险管理，也可以从目
标类别、构成要素或主体单元的角度，乃至其中的任何一个
分项的角度去加以认识。
有效性
认定一个主体的企业风险管理是否“有效”，是在对八个
构成要素是否存在和有效运行进行评估的基础之上所作的
判断。因此，构成要素也是判定企业风险管理有效性的标准。
构成要素如果存在并且正常运行，那么就可能没有重大缺陷，
而风险则可能已经被控制在主体的风险容量范围之内。
如果确定企业风险管理在所有四类目标上都是有效的，
那么董事会和管理当局就可以合理保证他们了解主体实现
其战略和经营目标、主体的报告可靠以及符合适用的法律和
法规的程度。
八个构成要素在每个主体中的运行并不是千篇一律的。
例如，在中小规模主体中的应用可能不太正式，不太健全。
尽管如此，当八个构成要素存在且正常运行时，小规模主体
依然会拥有有效的企业风险管理。
局限
尽管企业风险管理带来了重要的好处，但是仍然存在着
局限。除了前面讨论过的因素之外，局限还导源于下列现实：
人类在决策过程中的判断可能有纰漏，有关应对风险和建立
控制的决策需要考虑相关的成本和效益，类似简单误差或错
误的个人缺失可能会导致故障的发生，控制可能会因为两个
或多个人员的串通而被规避，以及管理当局有能力凌驾于企
业风险管理决策之上。这些局限使得董事会和管理当局不可
能就主体目标的实现形成绝对的保证。
涵盖内部控制
内部控制是企业风险管理不可分割的一部分。这份企业
风险管理框架涵盖了内部控制，从而构建了一个更强有力的
概念和管理工具。内部控制是在《内部控制—整合框架》中
加以定义和描述的。由于该框架经受了时间的考验，并且成
为现行规则、法规和法律的基础，因此那份文件对内部控制
的定义和框架依然有效。尽管《内部控制—整合框架》的正
文中只有一部分被本框架所引用，但是本框架通过参考的方
式把该框架整体融合了进来。
职能与责任
主体中的每个人都对企业风险管理负有一定的责任。首
席执行官(CEO)负有首要责任，并且应当假设其拥有所有权。
其他管理人员支持主体的风险管理理念，促使符合其风险容
量，并在各自的责任范围内依据风险容限去管理风险。风险
官、财务官、内部审计师等通常负有关键的支持责任。主体
中的其他人员负责按照既定的指引和规程去实施企业风险
管理。董事会对企业风险管理提供重要的监督，并察觉和认
同主体的风险容量。很多外部方面，例如顾客、卖主、商业
伙伴、外部审计师、监管者和财务分析师常常提供影响企业
风险管理的有用信息，但是他们不但不对主体的企业风险管
理的有效性承担任何责任，而且也不是它的组成部分。
本报告的结构
本报告分两卷。第一卷包括“基本框架”和本部分“内容摘
要”。“基本框架”给企业风险管理下定义，并讲述原则和概念，
为企业和其他组织中的各级管理人员提供用来评价和增进
企业风险管理有效性的指导。“内容提要”是一个针对首席执
行官、其他高级管理人员、董事会成员和监管者的高度概括。
第二卷《应用技术》(Application Techniques)，讲解在应用本
框架各个要素的过程中有用的技术。
本报告的使用
根据本报告的建议所可能采取的行动，取决于相关方面
的地位和职责：
•董事会—董事会应当与高级管理人员讨论主体企业风
险管理的现状，并提供必要的监督。董事会应当确信知悉最
重大的风险，以及管理当局正在采取的行动和如何确保有效
的企业风险管理。董事会应当考虑寻求内部审计师、外部审
计师和其他方面的参与。
•高层管理当局—本项研究建议首席执行官评估组织的
企业风险管理能力。方法之一是，首席执行官把业务单元
(business unit)领导和关键职能机构人员召集到一起，讨论对
企业风险管理能力和有效性的初步评价。不管采取什么方式，
初步评估应该确定是否需要以及如何进行更广泛、更深入的
评价。
•主体中的其他人员—管理人员和其他人员应该考虑如
何根据本框架去履行他们的职责，并与更高层的人员讨论有
关加强企业风险管理的看法。内部审计师应该考虑他们关注
企业风险管理的范围。
•监管者—本框架能增进有关企业风险管理的共识，包括
它能干什么，以及它的局限。监管者在对他们所监管的主体
采用规则或指南等形式设定期望，或进行检查时，可以参考
本框架。
•专业组织—为财务管理、审计和相关领域提供指南的规
则制定机构和其他专业组织应该对照本框架去考虑它们的
准则和指南。消除概念和术语方面的差别，对所有各方都有
好处。
•教育机构—本框架可以作为学术研究和分析的对象，以
便探讨在哪些方面还能作进一步的改进。假设本报告能够被
普遍接受的话，它的概念和术语应该设法进入大学的课程之
中。
有了这个共同理解的基础，所有各方将能够用同一种语
言讲话，更有效地进行沟通。企业的执行官将能够对照一套
标准去评估他们公司的企业风险管理过程，强化这个过程从
而使他们的企业朝着既定的目标迈进。将来的研究可以建立
在一个既定的基础之上。立法者和监管者将能够获得对企业
风险管理的更深入的理解，包括它的好处和局限。如果所有
各方都利用共同的企业风险管理框架，这些好处都将实现。■
(简体中文翻译：中国东北财经大学方红星教授)
二、可供企业建立风险管理基本制度参考的规章制度：
《中央企业全面风险管理指引》(国资发改革[2006]108 号)介
绍
国务院国有资产监督管理委员会文件
国资发改革[2006]108 号
关于印发《中央企业全面风险管理指引》的通知
各中央企业：
企业全面风险管理是一项十分重要的工作，关系到国有资
产保值增值和企业持续、健康、稳定发展。为了指导企业开
展全面风险管理工作，进一步提高企业管理水平，增强企业
竞争力，促进企业稳步发展，我们制定了《中央企业全面风
险管理指引》，现印发你们，请结合本企业实际执行。企业
在实施过程中的经验、做法及遇到的问题，请及时反馈我委。
国务院国有资产监督管理委员会
二○○六年六月六日
中央企业全面风险管理指引
第一章 总则
第一条 为指导国务院国有资产监督管理委员会(以下简
称国资委)履行出资人职责的企业(以下简称中央企业)开展
全面风险管理工作，增强企业竞争力，提高投资回报，促进
企业持续、健康、稳定发展，根据《中华人民共和国公司
法》、《企业国有资产监督管理暂行条例》等法律法规，制定
本指引。
第二条 中央企业根据自身实际情况贯彻执行本指引。中
央企业中的国有独资公司董事会负责督导本指引的实施；国
有控股企业由国资委和国资委提名的董事通过股东(大)会和
董事会按照法定程序负责督导本指引的实施。
第三条 本指引所称企业风险，指未来的不确定性对企业
实现其经营目标的影响。企业风险一般可分为战略风险、财
务风险、市场风险、运营风险、法律风险等；也可以能否为
企业带来盈利等机会为标志，将风险分为纯粹风险(只有带来
损失一种可能性)和机会风险(带来损失和盈利的可能性并
存)。
第四条 本指引所称全面风险管理，指企业围绕总体经营
目标，通过在企业管理的各个环节和经营过程中执行风险管
理的基本流程，培育良好的风险管理文化，建立健全全面风
险管理体系，包括风险管理策略、风险理财措施、风险管理
的组织职能体系、风险管理信息系统和内部控制系统，从而
为实现风险管理的总体目标提供合理保证的过程和方法。
第五条 本指引所称风险管理基本流程包括以下主要工
作：
(一)收集风险管理初始信息；
(二)进行风险评估；
(三)制定风险管理策略；
(四)提出和实施风险管理解决方案；
(五)风险管理的监督与改进。
第六条 本指引所称内部控制系统，指围绕风险管理策略
目标，针对企业战略、规划、产品研发、投融资、市场运营、
财务、内部审计、法律事务、人力资源、采购、加工制造、
销售、物流、质量、安全生产、环境保护等各项业务管理及
其重要业务流程，通过执行风险管理基本流程，制定并执行
的规章制度、程序和措施。
第七条 企业开展全面风险管理要努力实现以下风险管
理总体目标：
(一)确保将风险控制在与总体目标相适应并可承受的范围
内；
(二)确保内外部，尤其是企业与股东之间实现真实、可靠
的信息沟通，包括编制和提供真实、可靠的财务报告；
(三)确保遵守有关法律法规；
(四)确保企业有关规章制度和为实现经营目标而采取重大
措施的贯彻执行，保障经营管理的有效性，提高经营活动的
效率和效果，降低实现经营目标的不确定性；
(五)确保企业建立针对各项重大风险发生后的危机处理计
划，保护企业不因灾害性风险或人为失误而遭受重大损失。
第八条 企业开展全面风险管理工作，应注重防范和控制
风险可能给企业造成损失和危害，也应把机会风险视为企业
的特殊资源，通过对其管理，为企业创造价值，促进经营目
标的实现。
第九条 企业应本着从实际出发，务求实效的原则，以对
重大风险、重大事件(指重大风险发生后的事实)的管理和重
要流程的内部控制为重点，积极开展全面风险管理工作。具
备条件的企业应全面推进，尽快建立全面风险管理体系；其
他企业应制定开展全面风险管理的总体规划，分步实施，可
先选择发展战略、投资收购、财务报告、内部审计、衍生产
品交易、法律事务、安全生产、应收账款管理等一项或多项
业务开展风险管理工作，建立单项或多项内部控制子系统。
通过积累经验，培养人才，逐步建立健全全面风险管理体系。
第十条 企业开展全面风险管理工作应与其他管理工作
紧密结合，把风险管理的各项要求融入企业管理和业务流程
中。具备条件的企业可建立风险管理三道防线，即各有关职
能部门和业务单位为第一道防线；风险管理职能部门和董事
会下设的风险管理委员会为第二道防线；内部审计部门和董
事会下设的审计委员会为第三道防线。
第二章 风险管理初始信息
第十一条 实施全面风险管理，企业应广泛、持续不断地
收集与本企业风险和风险管理相关的内部、外部初始信息，
包括历史数据和未来预测。应把收集初始信息的职责分工落
实到各有关职能部门和业务单位。
第十二条 在战略风险方面，企业应广泛收集国内外企业
战略风险失控导致企业蒙受损失的案例，并至少收集与本企
业相关的以下重要信息：
(一)国内外宏观经济政策以及经济运行情况、本行业状况、
国家产业政策；
(二)科技进步、技术创新的有关内容；
(三)市场对本企业产品或服务的需求；
(四)与企业战略合作伙伴的关系，未来寻求战略合作伙伴
的可能性；
(五)本企业主要客户、供应商及竞争对手的有关情况；
(六)与主要竞争对手相比，本企业实力与差距；
(七)本企业发展战略和规划、投融资计划、年度经营目标、
经营战略，以及编制这些战略、规划、计划、目标的有关依
据；
(八)本企业对外投融资流程中曾发生或易发生错误的业务
流程或环节。
第十三条 在财务风险方面，企业应广泛收集国内外企业
财务风险失控导致危机的案例，并至少收集本企业的以下重
要信息(其中有行业平均指标或先进指标的，也应尽可能收
集)：
(一)负债、或有负债、负债率、偿债能力；
(二)现金流、应收账款及其占销售收入的比重、资金周转
率；
(三)产品存货及其占销售成本的比重、应付账款及其占购
货额的比重；
(四)制造成本和管理费用、财务费用、营业费用；
(五)盈利能力；
(六)成本核算、资金结算和现金管理业务中曾发生或易发
生错误的业务流程或环节；
(七)与本企业相关的行业会计政策、会计估算、与国际会
计制度的差异与调节(如退休金、递延税项等)等信息。
第十四条 在市场风险方面，企业应广泛收集国内外企业
忽视市场风险、缺乏应对措施导致企业蒙受损失的案例，并
至少收集与本企业相关的以下重要信息：
(一)产品或服务的价格及供需变化；
(二)能源、原材料、配件等物资供应的充足性、稳定性和
价格变化；
(三)主要客户、主要供应商的信用情况；
(四)税收政策和利率、汇率、股票价格指数的变化；
(五)潜在竞争者、竞争者及其主要产品、替代品情况。
第十五条 在运营风险方面，企业应至少收集与本企业、
本行业相关的以下信息：
(一)产品结构、新产品研发；
(二)新市场开发，市场营销策略，包括产品或服务定价与
销售渠道，市场营销环境状况等；
(三)企业组织效能、管理现状、企业文化，高、中层管理
人员和重要业务流程中专业人员的知识结构、专业经验；
(四)期货等衍生产品业务中曾发生或易发生失误的流程和
环节；
(五)质量、安全、环保、信息安全等管理中曾发生或易发
生失误的业务流程或环节；
(六)因企业内、外部人员的道德风险致使企业遭受损失或
业务控制系统失灵；
(七)给企业造成损失的自然灾害以及除上述有关情形之外
的其他纯粹风险；
(八)对现有业务流程和信息系统操作运行情况的监管、运
行评价及持续改进能力；
(九)企业风险管理的现状和能力。
第十六条 在法律风险方面，企业应广泛收集国内外企业
忽视法律法规风险、缺乏应对措施导致企业蒙受损失的案例，
并至少收集与本企业相关的以下信息：
(一)国内外与本企业相关的政治、法律环境；
(二)影响企业的新法律法规和政策；
(三)员工道德操守的遵从性；
(四)本企业签订的重大协议和有关贸易合同；
(五)本企业发生重大法律纠纷案件的情况；
(六)企业和竞争对手的知识产权情况。
第十七条 企业对收集的初始信息应进行必要的筛选、提
炼、对比、分类、组合，以便进行风险评估。
第三章 风险评估
第十八条 企业应对收集的风险管理初始信息和企业各
项业务管理及其重要业务流程进行风险评估。风险评估包括
风险辨识、风险分析、风险评价三个步骤。
第十九条 风险评估应由企业组织有关职能部门和业务
单位实施，也可聘请有资质、信誉好、风险管理专业能力强
的中介机构协助实施。
第二十条 风险辨识是指查找企业各业务单元、各项重要
经营活动及其重要业务流程中有无风险，有哪些风险。风险
分析是对辨识出的风险及其特征进行明确的定义描述，分析
和描述风险发生可能性的高低、风险发生的条件。风险评价
是评估风险对企业实现目标的影响程度、风险的价值等。
第二十一条 进行风险辨识、分析、评价，应将定性与定
量方法相结合。定性方法可采用问卷调查、集体讨论、专家
咨询、情景分析、政策分析、行业标杆比较、管理层访谈、
由专人主持的工作访谈和调查研究等。定量方法可采用统计
推论(如集中趋势法)、计算机模拟(如蒙特卡罗分析法)、失效
模式与影响分析、事件树分析等。
第二十二条 进行风险定量评估时，应统一制定各风险的
度量单位和风险度量模型，并通过测试等方法，确保评估系
统的假设前提、参数、数据来源和定量评估程序的合理性和
准确性。要根据环境的变化，定期对假设前提和参数进行复
核和修改，并将定量评估系统的估算结果与实际效果对比，
据此对有关参数进行调整和改进。
第二十三条 风险分析应包括风险之间的关系分析，以便
发现各风险之间的自然对冲、风险事件发生的正负相关性等
组合效应，从风险策略上对风险进行统一集中管理。
第二十四条 企业在评估多项风险时，应根据对风险发生
可能性的高低和对目标的影响程度的评估，绘制风险坐标图，
对各项风险进行比较，初步确定对各项风险的管理优先顺序
和策略。
第二十五条 企业应对风险管理信息实行动态管理，定期
或不定期实施风险辨识、分析、评价，以便对新的风险和原
有风险的变化重新评估。
第四章 风险管理策略
第二十六条 本指引所称风险管理策略，指企业根据自身
条件和外部环境，围绕企业发展战略，确定风险偏好、风险
承受度、风险管理有效性标准，选择风险承担、风险规避、
风险转移、风险转换、风险对冲、风险补偿、风险控制等适
合的风险管理工具的总体策略，并确定风险管理所需人力和
财力资源的配置原则。
第二十七条 一般情况下，对战略、财务、运营和法律风
险，可采取风险承担、风险规避、风险转换、风险控制等方
法。对能够通过保险、期货、对冲等金融手段进行理财的风
险，可以采用风险转移、风险对冲、风险补偿等方法。
第二十八条 企业应根据不同业务特点统一确定风险偏
好和风险承受度，即企业愿意承担哪些风险，明确风险的最
低限度和不能超过的最高限度，并据此确定风险的预警线及
相应采取的对策。确定风险偏好和风险承受度，要正确认识
和把握风险与收益的平衡，防止和纠正忽视风险，片面追求
收益而不讲条件、范围，认为风险越大、收益越高的观念和
做法；同时，也要防止单纯为规避风险而放弃发展机遇。
第二十九条 企业应根据风险与收益相平衡的原则以及
各风险在风险坐标图上的位置，进一步确定风险管理的优选
顺序，明确风险管理成本的资金预算和控制风险的组织体系、
人力资源、应对措施等总体安排。
第三十条 企业应定期总结和分析已制定的风险管理策
略的有效性和合理性，结合实际不断修订和完善。其中，应
重点检查依据风险偏好、风险承受度和风险控制预警线实施
的结果是否有效，并提出定性或定量的有效性标准。
第五章 风险管理解决方案
第三十一条 企业应根据风险管理策略，针对各类风险或
每一项重大风险制定风险管理解决方案。方案一般应包括风
险解决的具体目标，所需的组织领导，所涉及的管理及业务
流程，所需的条件、手段等资源，风险事件发生前、中、后
所采取的具体应对措施以及风险管理工具(如：关键风险指标
管理、损失事件管理等)。
第三十二条 企业制定风险管理解决的外包方案，应注重
成本与收益的平衡、外包工作的质量、自身商业秘密的保护
以及防止自身对风险解决外包产生依赖性风险等，并制定相
应的预防和控制措施。
第三十三条 企业制定风险解决的内控方案，应满足合规
的要求，坚持经营战略与风险策略一致、风险控制与运营效
率及效果相平衡的原则，针对重大风险所涉及的各管理及业
务流程，制定涵盖各个环节的全流程控制措施；对其他风险
所涉及的业务流程，要把关键环节作为控制点，采取相应的
控制措施。
第三十四条 企业制定内控措施，一般至少包括以下内容：
(一)建立内控岗位授权制度。对内控所涉及的各岗位明确
规定授权的对象、条件、范围和额度等，任何组织和个人不
得超越授权做出风险性决定；
(二)建立内控报告制度。明确规定报告人与接受报告人，
报告的时间、内容、频率、传递路线、负责处理报告的部门
和人员等；
(三)建立内控批准制度。对内控所涉及的重要事项，明确
规定批准的程序、条件、范围和额度、必备文件以及有权批
准的部门和人员及其相应责任；
(四)建立内控责任制度。按照权利、义务和责任相统一的
原则，明确规定各有关部门和业务单位、岗位、人员应负的
责任和奖惩制度；
(五)建立内控审计检查制度。结合内控的有关要求、方法、
标准与流程，明确规定审计检查的对象、内容、方式和负责
审计检查的部门等；
(六)建立内控考核评价制度。具备条件的企业应把各业务
单位风险管理执行情况与绩效薪酬挂钩；
(七)建立重大风险预警制度。对重大风险进行持续不断的
监测，及时发布预警信息，制定应急预案，并根据情况变化
调整控制措施；
(八)建立健全以总法律顾问制度为核心的企业法律顾问制
度。大力加强企业法律风险防范机制建设，形成由企业决策
层主导、企业总法律顾问牵头、企业法律顾问提供业务保障、
全体员工共同参与的法律风险责任体系。完善企业重大法律
纠纷案件的备案管理制度；
(九)建立重要岗位权力制衡制度，明确规定不相容职责的
分离。主要包括：授权批准、业务经办、会计记录、财产保
管和稽核检查等职责。对内控所涉及的重要岗位可设置一岗
双人、双职、双责，相互制约；明确该岗位的上级部门或人
员对其应采取的监督措施和应负的监督责任；将该岗位作为
内部审计的重点等。
第三十五条 企业应当按照各有关部门和业务单位的职
责分工，认真组织实施风险管理解决方案，确保各项措施落
实到位。
第六章 风险管理的监督与改进
第三十六条 企业应以重大风险、重大事件和重大决策、
重要管理及业务流程为重点，对风险管理初始信息、风险评
估、风险管理策略、关键控制活动及风险管理解决方案的实
施情况进行监督，采用压力测试、返回测试、穿行测试以及
风险控制自我评估等方法对风险管理的有效性进行检验，根
据变化情况和存在的缺陷及时加以改进。
第三十七条 企业应建立贯穿于整个风险管理基本流程，
连接各上下级、各部门和业务单位的风险管理信息沟通渠道，
确保信息沟通的及时、准确、完整，为风险管理监督与改进
奠定基础。
第三十八条 企业各有关部门和业务单位应定期对风险
管理工作进行自查和检验，及时发现缺陷并改进，其检查、
检验报告应及时报送企业风险管理职能部门。
第三十九条 企业风险管理职能部门应定期对各部门和
业务单位风险管理工作实施情况和有效性进行检查和检验，
要根据本指引第三十条要求对风险管理策略进行评估，对跨
部门和业务单位的风险管理解决方案进行评价，提出调整或
改进建议，出具评价和建议报告，及时报送企业总经理或其
委托分管风险管理工作的高级管理人员。
第四十条 企业内部审计部门应至少每年一次对包括风
险管理职能部门在内的各有关部门和业务单位能否按照有
关规定开展风险管理工作及其工作效果进行监督评价，监督
评价报告应直接报送董事会或董事会下设的风险管理委员
会和审计委员会。此项工作也可结合年度审计、任期审计或
专项审计工作一并开展。
第四十一条 企业可聘请有资质、信誉好、风险管理专业
能力强的中介机构对企业全面风险管理工作进行评价，出具
风险管理评估和建议专项报告。报告一般应包括以下几方面
的实施情况、存在缺陷和改进建议：
(一)风险管理基本流程与风险管理策略；
(二)企业重大风险、重大事件和重要管理及业务流程的风
险管理及内部控制系统的建设；
(三)风险管理组织体系与信息系统；
(四)全面风险管理总体目标。
第七章 风险管理组织体系
第四十二条 企业应建立健全风险管理组织体系，主要包
括规范的公司法人治理结构，风险管理职能部门、内部审计
部门和法律事务部门以及其他有关职能部门、业务单位的组
织领导机构及其职责。
第四十三条 企业应建立健全规范的公司法人治理结构，
股东(大)会(对于国有独资公司或国有独资企业，即指国资委，
下同)、董事会、监事会、经理层依法履行职责，形成高效运
转、有效制衡的监督约束机制。
第四十四条 国有独资公司和国有控股公司应建立外部
董事、独立董事制度，外部董事、独立董事人数应超过董事
会全部成员的半数，以保证董事会能够在重大决策、重大风
险管理等方面作出独立于经理层的判断和选择。
第四十五条 董事会就全面风险管理工作的有效性对股
东(大)会负责。董事会在全面风险管理方面主要履行以下职
责：
(一)审议并向股东(大)会提交企业全面风险管理年度工作
报告；
(二)确定企业风险管理总体目标、风险偏好、风险承受度，
批准风险管理策略和重大风险管理解决方案；
(三)了解和掌握企业面临的各项重大风险及其风险管理现
状，做出有效控制风险的决策；
(四)批准重大决策、重大风险、重大事件和重要业务流程
的判断标准或判断机制；
(五)批准重大决策的风险评估报告；
(六)批准内部审计部门提交的风险管理监督评价审计报告；
(七)批准风险管理组织机构设置及其职责方案；
(八)批准风险管理措施，纠正和处理任何组织或个人超越
风险管理制度做出的风险性决定的行为；
(九)督导企业风险管理文化的培育；
(十)全面风险管理其他重大事项。
第四十六条 具备条件的企业，董事会可下设风险管理委
员会。该委员会的召集人应由不兼任总经理的董事长担任；
董事长兼任总经理的，召集人应由外部董事或独立董事担任。
该委员会成员中需有熟悉企业重要管理及业务流程的董事，
以及具备风险管理监管知识或经验、具有一定法律知识的董
事。
第四十七条 风险管理委员会对董事会负责，主要履行以
下职责：
(一)提交全面风险管理年度报告；
(二)审议风险管理策略和重大风险管理解决方案；
(三)审议重大决策、重大风险、重大事件和重要业务流程
的判断标准或判断机制，以及重大决策的风险评估报告；
(四)审议内部审计部门提交的风险管理监督评价审计综合
报告；
(五)审议风险管理组织机构设置及其职责方案；
(六)办理董事会授权的有关全面风险管理的其他事项。
第四十八条 企业总经理对全面风险管理工作的有效性
向董事会负责。总经理或总经理委托的高级管理人员，负责
主持全面风险管理的日常工作，负责组织拟订企业风险管理
组织机构设置及其职责方案。
第四十九条 企业应设立专职部门或确定相关职能部门
履行全面风险管理的职责。该部门对总经理或其委托的高级
管理人员负责，主要履行以下职责：
(一)研究提出全面风险管理工作报告；
(二)研究提出跨职能部门的重大决策、重大风险、重大事
件和重要业务流程的判断标准或判断机制；
(三)研究提出跨职能部门的重大决策风险评估报告；
(四)研究提出风险管理策略和跨职能部门的重大风险管理
解决方案，并负责该方案的组织实施和对该风险的日常监控；
(五)负责对全面风险管理有效性评估，研究提出全面风险
管理的改进方案；
(六)负责组织建立风险管理信息系统；
(七)负责组织协调全面风险管理日常工作；
(八)负责指导、监督有关职能部门、各业务单位以及全资、
控股子企业开展全面风险管理工作；
(九)办理风险管理其他有关工作。
第五十条 企业应在董事会下设立审计委员会，企业内部
审计部门对审计委员会负责。审计委员会和内部审计部门的
职责应符合《中央企业内部审计管理暂行办法》(国资委令
第 8 号)的有关规定。内部审计部门在风险管理方面，主要负
责研究提出全面风险管理监督评价体系，制定监督评价相关
制度，开展监督与评价，出具监督评价审计报告。
第五十一条 企业其他职能部门及各业务单位在全面风
险管理工作中，应接受风险管理职能部门和内部审计部门的
组织、协调、指导和监督，主要履行以下职责：
(一)执行风险管理基本流程；
(二)研究提出本职能部门或业务单位重大决策、重大风险、
重大事件和重要业务流程的判断标准或判断机制；
(三)研究提出本职能部门或业务单位的重大决策风险评估
报告；
(四)做好本职能部门或业务单位建立风险管理信息系统的
工作；
(五)做好培育风险管理文化的有关工作；
(六)建立健全本职能部门或业务单位的风险管理内部控制
子系统；
(七)办理风险管理其他有关工作。
第五十二条 企业应通过法定程序，指导和监督其全资、
控股子企业建立与企业相适应或符合全资、控股子企业自身
特点、能有效发挥作用的风险管理组织体系。
第八章 风险管理信息系统
第五十三条 企业应将信息技术应用于风险管理的各项
工作，建立涵盖风险管理基本流程和内部控制系统各环节的
风险管理信息系统，包括信息的采集、存储、加工、分析、
测试、传递、报告、披露等。
第五十四条 企业应采取措施确保向风险管理信息系统
输入的业务数据和风险量化值的一致性、准确性、及时性、
可用性和完整性。对输入信息系统的数据，未经批准，不得
更改。
第五十五条 风险管理信息系统应能够进行对各种风险
的计量和定量分析、定量测试；能够实时反映风险矩阵和排
序频谱、重大风险和重要业务流程的监控状态；能够对超过
风险预警上限的重大风险实施信息报警；能够满足风险管理
内部信息报告制度和企业对外信息披露管理制度的要求。
第五十六条 风险管理信息系统应实现信息在各职能部
门、业务单位之间的集成与共享，既能满足单项业务风险管
理的要求，也能满足企业整体和跨职能部门、业务单位的风
险管理综合要求。
第五十七条 企业应确保风险管理信息系统的稳定运行
和安全，并根据实际需要不断进行改进、完善或更新。
第五十八条 已建立或基本建立企业管理信息系统的企
业，应补充、调整、更新已有的管理流程和管理程序，建立
完善的风险管理信息系统；尚未建立企业管理信息系统的，
应将风险管理与企业各项管理业务流程、管理软件统一规划、
统一设计、统一实施、同步运行。
第九章 风险管理文化
第五十九条 企业应注重建立具有风险意识的企业文化，
促进企业风险管理水平、员工风险管理素质的提升，保障企
业风险管理目标的实现。
第六十条 风险管理文化建设应融入企业文化建设全过
程。大力培育和塑造良好的风险管理文化，树立正确的风险
管理理念，增强员工风险管理意识，将风险管理意识转化为
员工的共同认识和自觉行动，促进企业建立系统、规范、高
效的风险管理机制。
第六十一条 企业应在内部各个层面营造风险管理文化
氛围。董事会应高度重视风险管理文化的培育，总经理负责
培育风险管理文化的日常工作。董事和高级管理人员应在培
育风险管理文化中起表率作用。重要管理及业务流程和风险
控制点的管理人员和业务操作人员应成为培育风险管理文
化的骨干。
第六十二条 企业应大力加强员工法律素质教育，制定员
工道德诚信准则，形成人人讲道德诚信、合法合规经营的风
险管理文化。对于不遵守国家法律法规和企业规章制度、弄
虚作假、徇私舞弊等违法及违反道德诚信准则的行为，企业
应严肃查处。
第六十三条 企业全体员工尤其是各级管理人员和业务
操作人员应通过多种形式，努力传播企业风险管理文化，牢
固树立风险无处不在、风险无时不在、严格防控纯粹风险、
审慎处置机会风险、岗位风险管理责任重大等意识和理念。
第六十四条 风险管理文化建设应与薪酬制度和人事制
度相结合，有利于增强各级管理人员特别是高级管理人员风
险意识，防止盲目扩张、片面追求业绩、忽视风险等行为的
发生。
第六十五条 企业应建立重要管理及业务流程、风险控制
点的管理人员和业务操作人员岗前风险管理培训制度。采取
多种途经和形式，加强对风险管理理念、知识、流程、管控
核心内容的培训，培养风险管理人才，培育风险管理文化。
第十章 附则
第六十六条 中央企业中未设立董事会的国有独资企业，
由经理办公会议代行本指引中有关董事会的职责，总经理对
本指引的贯彻执行负责。
第六十七条 本指引在中央企业投资、财务报告、衍生产
品交易等方面的风险管理配套文件另行下发。
第六十八条 本指引的《附录》对本指引所涉及的有关技
术方法和专业术语进行了说明。
第六十九条 本指引由国务院国有资产监督管理委员会
负责解释。
第七十条 本指引自印发之日起施行。
附录：风险管理常用技术方法简介
风险管理常用技术方法简介
一、风险坐标图
风险坐标图是把风险发生可能性的高低、风险发生后对
目标的影响程度，作为两个维度绘制在同一个平面上(即绘制
成直角坐标系)。对风险发生可能性的高低、风险对目标影响
程度的评估有定性、定量等方法。定性方法是直接用文字描
述风险发生可能性的高低、风险对目标的影响程度，如“极
低”、“低”、“中等”、“高”、“极高”等。定量方法是对风险发生可
能性的高低、风险对目标影响程度用具有实际意义的数量描
述，如对风险发生可能性的高低用概率来表示，对目标影响
程度用损失金额来表示。
下表列出某公司对风险发生可能性的定性、定量评估标
准及其相互对应关系，供实际操作中参考。
定 量 方
法一
评分 1 2 3 4 5
定 量 方
法二
一 定 时
期发生
的概率
10% 以
下
10% -
30%
30% -
70%
70% -
90%
90% 以
上
文 字 描
述一
极低 低 中等 高 极高
文 字 描
述二
一 般 情
况 下 不
会发生
极 少
情 况
下 才
发生
某 些
情 况
下 发
生
较 多
情 况
下 发
生
常常会
发生
定
性
方
法
文 字 描
述三
今后 10
年 内 发
生 的 可
今后 5
－ 10
年 内
今后 2
－5 年
内 可
今 后
1 年内
可 能
今后 1
年内至
少 发
能少于
1 次
可 能
发 生
1 次
能 发
生 1
次
发 生
1 次
生 1 次
下表列出某公司关于风险发生后对目标影响程度的定
性、定量评估标准及其相互对应关系，供实际操作中参考。
定量
方法
一
评分 1 2 3 4 5
定量
方法
二
企业财务
损失占税
前利润的
百 分 比
(%)
1%以
下
1%-5
%
6%-10
%
11%-20
%
20%
以上
文字描述
一
极 轻
微的
轻 微
的
中等的 重大的 灾 难
性的
文字描述
二
极低 低 中等 高 极高
适
用
于
所
有
企 业
日 常
运行
不 受
影响
轻 度
影 响
( 造 成
轻 微
的 人
中度影
响 ( 造
成一定
人身伤
害，需
严 重 影
响(企业
失 去 一
些 业 务
能力，造
重 大
影 响
(重大
业 务
失误，
身 伤
害，情
况 立
刻 受
到 控
制)
要医疗
救援，
情况需
要外部
支持才
能得到
控制)
成 严 重
人 身 伤
害，情况
失控，但
无 致 命
影响)
造 成
重 大
人 身
伤亡，
情 况
失控，
给 企
业 致
命 影
响)
财 务
损失
较 低
的 财
务 损
失
轻 微
的 财
务 损
失
中等的
财务损
失
重 大 的
财 务 损
失
极 大
的 财
务 损
失
行
业
定性
方法
文
字
描
述
三
企 业
声誉
负 面
消 息
在 企
业 内
部 流
传 ，
企 业
声 誉
负 面
消 息
在 当
地 局
部 流
传，对
企 业
声 誉
负面消
息在某
区域流
传，对
企业声
誉造成
中等损
害
负 面 消
息 在 全
国 各 地
流传，对
企 业 声
誉 造 成
重 大 损
害
负 面
消 息
流 传
世 界
各地，
政 府
或 监
管 机
没 有
受损
造 成
轻 微
损害
构 进
行 调
查 ，
引 起
公 众
关注，
对 企
业 声
誉 造
成 无
法 弥
补 的
损害
安 全
短 暂
影 响
职 工
或 公
民 的
健康
严 重
影 响
一 位
职 工
或 公
民 健
康
严重影
响多位
职工或
公民健
康
导 致 一
位 职 工
或 公 民
死亡
引 致
多 位
职 工
或 公
民 死
亡
适
用
于
开
采
业
定
性
与
定
量
-对营
运 影
- 对 营
运 影
- 减 慢
营业运
-无法达
到 部 分
-无法
达 到
、
制
造
业
结
合
营 运
响 微
弱
-在时
间 、
人 力
或 成
本 方
面 不
超 出
预 算
1%
响 轻
微
- 受到
监 管
者 责
难
- 在时
间、人
力 或
成 本
方 面
超 出
预 算
1%-5
%
作
- 受 到
法规惩
罚或被
罚款等
- 在 时
间、人
力或成
本方面
超出预
算
6%-10
%
营 运 目
标 或 关
键 业 绩
指标
-受到监
管 者 的
限制
-在时间、
人 力 或
成 本 方
面 超 出
预 算
11%-20
%
所 有
的 营
运 目
标 或
关 键
业 绩
指标
-违规
操 作
使 业
务 受
到 中
止
-时间、
人 力
或 成
本 方
面 超
出 预
算
20%
环 境
-对环
境 或
社 会
造 成
短 暂
的 影
响
-可不
采 取
行动
- 对环
境 或
社 会
造 成
一 定
的 影
响
- 应通
知 政
府 有
关 部
门
- 对 环
境造成
中等影
响
- 需 一
定时间
才能恢
复
- 出 现
个别投
诉事件
- 应 执
行一定
程度的
补救措
施
-造成主
要 环 境
損害
-需要相
当 长 的
时 间 来
恢复
-大规模
的 公 众
投诉
-应执行
重 大 的
补 救 措
施
-无法
弥 补
的 灾
难 性
环 境
損害
-激起
公 众
的 愤
怒
-潜在
的 大
规 模
的 公
众 法
律 投
诉
对风险发生可能性的高低和风险对目标影响程度进行定性
或定量评估后，依据评估结果绘制风险坐标图。如：某公司
对 9 项风险进行了定性评估，风险ⅰ发生的可能性为“低”，
风险发生后对目标的影响程度为“极低”；……；风险ⅰ发生
的可能性为“极低”，对目标的影响程度为“高”，则绘制风险
坐标图如下：
可能性
极
高
ⅰ
高 ⅰ ⅰ
中
等
ⅰ ⅰ
低 ⅰ ⅰ ⅰ
极
低
ⅰ
极低 低 中等 高 极高 影响程度
如某公司对 7 项风险进行定量评估，其中：风险ⅰ发生
的可能性为 83%，发生后对企业造成的损失为 2100 万元；
风险ⅰ发生的可能性为 40%，发生后对企业造成的损失为
3800 万元；…….；而风险ⅰ发生的可能性在 55%到 62%之间，
发生后对企业造成的损失在 7500 万元到 9100 万元之间，在
风险坐标图上用一个区域来表示，则绘制风险坐标图如下：
绘制风险坐标图的目的在于对多项风险进行直观的比
较，从而确定各风险管理的优先顺序和策略。如：某公司绘
制了如下风险坐标图，并将该图划分为 A、B、C 三个区域，
公司决定承担 A 区域中的各项风险且不再增加控制措施；严
格控制 B 区域中的各项风险且专门补充制定各项控制措施；
确保规避和转移 C 区域中的各项风险且优先安排实施各项
防范措施。
1
可能性(%)
●
● ●
●
● ●
风险 7
影响损失(亿元)
●
●●●
●
40
20
100
60
80
风险 1
风险 2
可能性
极
高
ⅰ
高 ⅰ ⅰ
中
等
ⅰ ⅰ
低 ⅰ ⅰ ⅰ
极
低
ⅰ
极低 低 中等 高 极高 影响程
度
二、蒙特卡罗方法
蒙特卡罗方法是一种随机模拟数学方法。该方法用来分
析评估风险发生可能性、风险的成因、风险造成的损失或带
来的机会等变量在未来变化的概率分布。具体操作步骤如下：
B 区域
A 区域
C 区域
B 区域
1.量化风险。将需要分析评估的风险进行量化，明确其
度量单位，得到风险变量，并收集历史相关数据。
2.根据对历史数据的分析，借鉴常用建模方法，建立能
描述该风险变量在未来变化的概率模型。建立概率模型的方
法很多，例如：差分和微分方程方法，插值和拟合方法等。
这些方法大致分为两类：一类是对风险变量之间的关系及其
未来的情况作出假设，直接描述该风险变量在未来的分布类
型(如正态分布)，并确定其分布参数；另一类是对风险变量
的变化过程作出假设，描述该风险变量在未来的分布类型。
3.计算概率分布初步结果。利用随机数字发生器，将生
成的随机数字代入上述概率模型，生成风险变量的概率分布
初步结果。
4.修正完善概率模型。通过对生成的概率分布初步结果
进行分析，用实验数据验证模型的正确性，并在实践中不断
修正和完善模型。
5.利用该模型分析评估风险情况。
正态分布是蒙特卡罗风险方法中使用最广泛的一类模
型。通常情况下，如果一个变量受很多相互独立的随机因素
的影响，而其中每一个因素的影响都很小，则该变量服从正
态分布。在自然界和社会中大量的变量都满足正态分布。描
述正态分布需要两个特征值：均值和标准差。其密度函数和
分布函数的一般形式如下：
密度函数：
分布函数：
其中 为均值，σ 为标准差。
由于蒙特卡罗方法依赖于模型的选择，因此，模型本身
的选择对于蒙特卡罗方法计算结果的精度影响甚大。蒙特卡
罗方法计算量很大，通常借助计算机完成。
三、关键风险指标管理
一项风险事件发生可能有多种成因，但关键成因往往只
有几种。关键风险指标管理是对引起风险事件发生的关键成
因指标进行管理的方法。具体操作步骤如下：
1.分析风险成因，从中找出关键成因。
2．将关键成因量化，确定其度量，分析确定导致风险
事件发生(或极有可能发生)时该成因的具体数值。
3.以该具体数值为基础，以发出风险预警信息为目的，
加上或减去一定数值后形成新的数值，该数值即为关键风险
指标。
4.建立风险预警系统，即当关键成因数值达到关键风险
指标时，发出风险预警信息。
5.制定出现风险预警信息时应采取的风险控制措施。
6.跟踪监测关键成因数值的变化，一旦出现预警，即实
施风险控制措施。
x
)()( xXPx x
,
2
1
)( 2
2
2
)(
x
ex
,2
2
2
)(
2
1 dte
t
x
以易燃易爆危险品储存容器泄漏引发爆炸的风险管理为例。
容器泄漏的成因有：使用时间过长、日常维护不够、人为破
坏、气候变化等因素，但容器使用时间过长是关键成因。如
容器使用最高期限为 50 年，人们发现当使用时间超过 45 年
后，则易发生泄漏。该“45 年”即为关键风险指标。为此，制
定使用时间超过“45 年”后需采取的风险控制措施，一旦使用
时间接近或达到“45 年”时，发出预警信息，即采取相应措施。
该方法既可以管理单项风险的多个关键成因指标，也可
以管理影响企业主要目标的多个主要风险。使用该方法，要
求风险关键成因分析准确，且易量化、易统计、易跟踪监测。
四、压力测试
压力测试是指在极端情景下，分析评估风险管理模型或
内控流程的有效性，发现问题，制定改进措施的方法，目的
是防止出现重大损失事件。具体操作步骤如下：
1.针对某一风险管理模型或内控流程，假设可能会发生
哪些极端情景。极端情景是指在非正常情况下，发生概率很
小，而一旦发生，后果十分严重的事情。假设极端情景时，
不仅要考虑本企业或与本企业类似的其他企业出现过的历
史教训，还要考虑历史上不曾出现，但将来可能会出现的事
情。
2.评估极端情景发生时，该风险管理模型或内控流程是
否有效，并分析对目标可能造成的损失。
3.制定相应措施，进一步修改和完善风险管理模型或内
控流程。
以信用风险管理为例。如：一个企业已有一个信用很好
的交易伙伴，该交易伙伴除发生极端情景，一般不会违约。
因此，在日常交易中，该企业只需“常规的风险管理策略和内
控流程”即可。采用压力测试方法，是假设该交易伙伴将来发
生极端情景(如其财产毁于地震、火灾、被盗)，被迫违约对
该企业造成了重大损失。而该企业“常规的风险管理策略和内
控流程”在极端情景下不能有效防止重大损失事件，为此，该
企业采取了购买保险或相应衍生产品、开发多个交易伙伴等
措施。
风险管理专业术语解释
1.风险理财：利用金融手段管理风险的方法，包括：预
提风险准备金、购买保险或使用专业自保公司、衍生产品交
易以及风险融资等。
2.情景分析：通过假设、预测、模拟等手段生成未来情
景，并分析其对目标产生影响的方法，包括：历史情景重演
法、预期法、因素分解法、随机模拟法等方法。
3．集中趋势法：指根据随机变量的分布情况，计算出
该变量分布的集中特性值(均值、中数、众数等)，从而预测
未来情况的方法。它是数据推论方法的一种。
4.失效模式与影响分析：通过辨识系统失去效用后的各
种状况，分析其影响，并采取相应措施的方法。
5.事件树分析：以树状图形方式分析风险事件间因果关
系的方法。
6．风险偏好：为了实现目标，企业在承担风险的种类、
大小等方面的基本态度。
7.风险承受度：企业愿意承担的风险限度，也是企业风
险偏好的边界。
8.风险对冲：通过承担多个风险，使相关风险能够互相
抵消的方法。使用该方法，必须进行风险组合，而不是对单
一风险进行规避、控制。如：资产组合、多种外币结算、战
略上的分散经营、套期保值等。
9．损失事件管理：对可能给企业造成重大损失的风险
事件的事前、事中、事后管理的方法。损失包括企业的资金、
声誉、技术、品牌、人才等。
10．返回测试：将历史数据输入到风险管理模型或内控
流程中，把结果与预测值对比，以检验其有效性的方法。
11．穿行测试：在正常运行条件下，将初始数据输入内
控流程，穿越全流程和所有关键环节，把运行结果与设计要
求对比，以发现内控流程缺陷的方法。
三、企业风险管理过程
这个词是从 COSO 的《企业风险管理—整合框架》直接
借用过来的。本专题讲座使用更加切合我国实际的另一个措
词——“企业风险管理基本制度”取而代之。
●案例分析
××企业制定的《风险管理基本制度》介绍。
(略)
四、企业若干重要风险控制重点与控制方法
(一)短期、长期投资风险控制
1.短期投资风险控制
(1)怎样“炒股”才能“炒成股东”?
(2)怎么才能成为养“基”专业户?
2.长期投资风险控制
(略)
(二)债权(信用)风险控制
1.信用管理要点
(略)
2.债权风险预警——账龄分析方法缺陷
(1)合同——运用账龄分析方法的重要依据
(略)
(2)账龄分析方法缺陷
(略)
(3)账龄分析方法改进
(略)
3.债权回收管理要点
(1)债务纠纷案例分析
广州贝氏药业有限公司与北京医药股份有限公司债务纠纷
案
上诉人(原审原告)广州贝氏药业有限公司，住所地广东
省广州市花都区新华镇东秀一横路 9 号。
法定代表人贝庆生，总经理。
委托代理人陈碧宁，广州贝氏药业有限公司职员。
被上诉人(原审被告)北京医药股份有限公司，住所地北
京市东城区安定门内大街 257 号。
法定代表人陈济生，董事长。
委托代理人王伟，北京市信利律师事务所律师。
委托代理人汪伟男，北京市信利律师事务所律师助理。
【以下广州贝氏药业有限公司简称贝氏公司，北京医药
股份有限公司简称医药公司】
Ⅰ 合同订立
2001 年 7 月 18 日、2002 年 6 月 3 日、2002 年 7 月 2 日、
2002 年 8 月 12 日、2003 年 1 月 14 日，贝氏公司、医药公
司陆续签订了 5 份买卖合同，合同均约定，贝氏公司向医药
公司提供减肥片等药品，结算方式为压批结。
Ⅰ 合同履行
上述合同签订后，贝氏公司于 2001 年 5 月、2002 年 6 月、
7 月、8 月、2003 年 1 月、8 月陆续向医药公司提供了价值 48
元的药品，医药公司收货后未结算货款。2007 年 12
月 4 日，贝氏公司向医药公司发出催款通知，医药公司收到
后未作任何答复。
Ⅰ 起诉
由于医药公司拒不付款，贝氏公司遂向法院提起诉讼，
要求医药公司给付货款 48 元，并负担诉讼费。
Ⅰ 本案例需要讨论的问题
Ⅰ 您认为本案例中，贝氏公司在债权管理方面存在哪些
问题?
答：
Ⅰ 您认为法院受理本案后，是否支持贝氏公司的诉讼请
求?为什么?
答：
Ⅰ 您认为从本案能得到哪些关于债权管理的启示?
答：
(2)债权回收管理要点
(略)
(三)担保风险控制
1.担保业务风险点
(略)
2.如何防范和控制担保风险
(略)
3.担保业务纠纷案例分析
北京中关村科技担保有限公司与北京隆仓天地科技发展有
限公司担保纠纷案
原告北京中关村科技担保有限公司,住所地北京市海淀
区中关村南大街 34 号。
负责人张利胜，董事长。
委托代理人刘艳华，北京市北方律师事务所律师。
委托代理人闫涛，北京市北方律师事务所实习律师。
被告北京隆仓天地科技发展有限公司,住所地北京市海
淀区北郊学院路 38 号。
法定代表人董哲，总经理。
【以下北京中关村科技担保有限公司简称担保公司，北
京隆仓天地科技发展有限公司简称北京隆仓公司】
Ⅰ 合同订立
ⅰ 2002 年 5 月 17 日北京大学医学部与太原天隆仓科
技实业有限公司(以下简称太原天隆仓公司)签订《建设项目
合同书》一份，约定共同组建并管理北大医学部留学生宿舍
等项目。《补充合同书》中约定：组建项目管理公司北京北
医隆仓科技发展有限公司(以下简称北医隆仓公司)负责基建
和物业管理。
ⅰ 太原天隆仓公司委托北京天隆仓公司为其代理人，
代为履行《建设项目合同书》项下的全部义务，享受合同项
下的全部权利。
ⅰ 2003 年 11 月 28 日，北京天隆仓公司向北京市商业
银行股份有限公司望京支行(以下简称北京商业银行望京支
行)借款人民币 3000 万元，全部用于项目建设。担保公司为
北京天隆仓公司贷款提供连带责任保证担保，北京天隆仓公
司以项目中的原海外学生公寓 A、B 座经营收益权和新建研
究生公寓的经营收益权向担保公司设定权利质押反担保。太
原天隆仓公司以保证形式向担保公司提供反担保。
北医隆仓公司在项目履行过程中，直接取得经营收益权，
并承诺为上述贷款履行清偿义务。
Ⅰ 担保纠纷
2006 年 3 月 15 日，因北京天隆仓公司未履行还款义务，
担保公司向贷款人北京商业银行望京支行代偿 万元。
Ⅰ 提起诉讼
担保公司为北京天隆仓公司承担贷款担保代偿责任后
有权向北京天隆仓公司追偿。太原天隆仓公司为反担保人，
需要承担连带赔偿责任。北京隆仓公司为太原天隆仓公司的
代理人和执行机构，直接收到并使用了相关款项，亦应承担
连带赔偿责任。依据担保法、合同法，故诉至法院。
●诉讼请求：请求判令北京隆仓公司连带赔偿担保公司
为北京天隆仓公司代偿的 万元及罚息；诉讼费由北
京隆仓公司负担。
●用以支持诉讼请求的证据
担保公司为证明其诉讼主张，向本院提交以下证据：
Ⅰ 2003 年 11 月 28 日北京天隆仓公司与北京商业银行
望京支行签订的借款人民币 3000 万元的《借款合同》；
Ⅰ 2003 年 11 月 28 日担保公司与北京商业银行望京支
行签订的《保证合同》，为北京天隆仓公司贷款提供连带责
任保证担保；
Ⅰ 2003 年 11 月 26 日太原天隆仓公司与担保公司签订
的《反担保(保证)合同》，太原天隆仓公司提供保证反担保；
Ⅰ 2003 年 11 月 26 日北京天隆仓公司与担保公司签订
的《反担保(权利质押)合同》，北京天隆仓公司提供权利质押
反担保，质押权利为坐落于北京大学医学部校园北侧(邻北四
环路)的海外学生公寓 A 座和 B 座的经营收益权、坐落于海
淀区学院路 38 号的研究生公寓的经营收益权；
Ⅰ 2003 年 12 月 1 日中国人民财产保险股份有限公司
出具的《财产保险基本险保险单》、《建筑工程一切险保险
单》，投保人北京天隆仓公司，投保标的北京市海淀区学院
南路 38 号北京大学医学院内 1 号和 2 号留学生公寓，第一
受益人为担保公司，危险种类：1、地震、海啸；2、洪水、
风暴、暴雨；
Ⅰ 2006 年 3 月 15 日北京商业银行望京支行向担保公
司出具的《全部收贷通知书》及北京商业银行望京支行从担
保公司划款 万元的进账单；
Ⅰ 2002 年 5 月 17 日北京大学医学部与太原天隆仓公
司签订的《建设项目合同书》及《补充合同书》，约定双方
共同组建并管理北大医学部留学生宿舍等项目，组建项目管
理公司北医隆仓公司负责基建和物业管理。
Ⅰ 2005 年 12 月 2 日北京大学医学部与太原天隆仓公
司签订的《合作终止合同书》及《终止合同结算书》、北京
大学医学部与太原天隆仓公司、北医隆仓公司签订的《还款
协议书》，约定双方解除合作关系，北大医学部将投资款拨
付至北医隆仓公司的账户；
Ⅰ 2003 年 11 月 17 日太原天隆仓公司出具的《委托代
理书》，委托北京天隆仓公司为其代理人，代为履行《建设
项目合同书》项下的全部义务，享受合同项下的全部权利。
Ⅰ 2003 年 9 月 19 日北医隆仓公司和北京大学医学部
向商业银行望京支行出具的函件，承诺北医隆仓公司将向海
外留学生收取的一切费用，全部存在该行的基本账户内。此
账户内的资金除截流总额的 15%用于公寓管理费用外，其余
款项将由北医隆仓公司直接划入北京天隆仓公司的还贷款“专
用账户”内；
ⅠⅠ 2003 年 12 月 15 日北京天隆仓公司、北医隆仓公
司向商业银行望京支行和担保公司出具“用款说明”，内容为
应支付工程阶段款项的明细。
ⅠⅠ 北医隆仓公司的营业执照，证明北大医学部海外
培训中心主任董哲也是北医隆仓公司的法定代表人。
ⅠⅠ 名称变更预先核准申请书、通知书及通知，证明
2006 年 1 月 5 日北医隆仓公司更名为北京隆仓公司。
Ⅰ 本案例需要讨论的问题
Ⅰ 您认为本案例中，担保公司在担保业务管理方面存在
哪些问题?
答：
Ⅰ 您认为法院受理本案后，是否支持担保公司的诉讼请
求?为什么?
答：
Ⅰ 您认为从本案能得到哪些关于担保业务管理的启示?
答：
(四)偿债风险控制
1.偿债业务中的风险点
(略)
2.如何控制偿债风险
(略)
(五)融资中的风险及其防范方法
1.融资业务中的风险点
(略)
2.融资业务中的风险控制
(略)
五、如何降低企业风险管理成本
(略)
六、如何结合本单位的实际建立健全企业风险管控体系
(关于建立健全企业风险管理机制的若干建议)
(略)
