企业风险管理——整合框架

企业风险管理整合框架企业风险管理整合框架是一个完整的风险管理体系，用于统筹企业内部各方面风险因素，以有效地实施风险管理。

它依据企业的经营特性和发展目标，把企业风险管理工作融入企业的业务运作、财务报表和战略规划，将企业内部各类风险因素有机联系起来，形成一个完整的风险管理体系，以有效地实施企业风险管理工作。

企业风险管理整合框架的主要内容有：1.风险识别。

风险识别是指根据企业的实际情况，通过历史资料及年度审计报告，以及外部环境的变化，对企业内部和外部的风险因素进行识别、评估和分析，以便明确企业内外部可能存在的风险。

2.风险评估。

风险评估是指对风险因素进行深入分析，根据风险的程度、发生概率以及本质，将风险分类并确定其重要性，以便做出正确的决策。

3.风险规避。

风险规避是指采取措施，避免或减少可能发生的风险。

常见的措施包括：减少风险暴露的时间和频率；使用技术手段控制风险的发生；实施有效的风险处置措施；重新审查风险管理系统。

4.风险控制。

风险控制是指采取措施，控制发生未预期重大损失的可能性，以降低可能发生的损失。

常见的措施包括：制定风险控制政策和程序；实施财务限额；强化内部控制；实施完善的保险保障。

5.风险投资。

风险投资是指企业通过对风险因素进行精心考量，把已储备的资金和资源投入到有利可图的投资项目中，从而获得更多的回报。

6.风险管理审计。

风险管理审计是指定期或不定期地检查企业风险管理系统，以确保风险管理系统的有效性和完善性，并对风险管理系统中发现的缺陷或不足采取纠正措施，以保护企业利益。

企业风险管理整合框架是企业风险管理体系的基础，是实施企业风险管理工作的前提和基础。

它既可以作为企业内部风险管理的蓝图，也可以作为企业向外部报告的技术支持。

从而为企业的可持续发展提供了必要的保障。

企业风险管理-整合框架企业风险管理是指企业对各种风险进行识别、评估、控制和监控的一种综合性管理方法。

在当今竞争激烈的商业环境中，企业面临着复杂多变的风险，如市场风险、金融风险、技术风险、环境风险等。

为了有效应对这些风险，企业需要建立完善的风险管理体系，以便及时识别和处理各种风险，保护企业利益并促进企业可持续发展。

企业风险管理的目标是降低风险对企业经营活动的影响，并提高企业抵御风险的能力。

企业风险管理的核心思想是预知风险、控制风险和应对风险。

预知风险是通过市场调研、竞争分析、技术研发等手段，早期发现可能出现的风险。

控制风险是通过建立规章制度、设立岗位责任、加强内部控制等措施，降低风险发生的概率和影响程度。

应对风险是指应对已经发生的风险，通过保险、多元化经营、合理预留资金等方式来减轻损失，快速恢复企业经营活动。

企业风险管理的整合框架包括五个关键要素：风险识别、风险评估、风险控制、风险监控和应对风险。

首先，风险识别是指对企业所面临的各种风险进行全面分析和识别。

该过程需要对外部环境和内部情况进行调研，了解行业趋势、竞争格局、政策法规等信息，同时还需要对企业内部的各个环节进行审查，识别出潜在的风险点。

其次，风险评估是指对已经识别出的风险进行详细评估和分析，包括风险的概率、影响程度和可控性等方面。

通过风险评估的结果，可以对各个风险进行优先排序，确定哪些风险需要优先控制和处理。

第三，风险控制是指针对已识别和评估出的风险，采取相应的控制措施来减少风险的概率和影响程度。

风险控制可以包括提高产品质量，加强供应链管理，建立内部控制制度等。

同时，企业还可以通过购买保险、签订合同等方式来将风险转移给其他方。

第四，风险监控是指对已经采取的风险控制措施进行跟踪和监测，确保控制措施的有效性和及时调整。

企业可以通过设立风险监控指标，定期进行风险评估，及时发现风险的变化和新的风险点，从而采取相应的应对措施。

最后，应对风险是指在风险发生后，企业需要采取相应的措施来减轻损失和恢复经营活动。

第二章企业风险管理——整合框架基本理论一、企业风险管理——整合框架简称ERM框架的颁布1992年COSO发布的内部控制——整合框架虽然被许多企业采用,但理论界和实务界纷纷提出改进建议,认为其对风险强调不够,使得内部控制无法与企业风险管理相结合;2001年,COSO委托普华永道开发一个对于管理层评价和改进他们所在组织的企业内部控制的简便易行的框架;在此期间出现了安然公司破产事件、美国国会2002年出台了2002公众公司会计改革和投资者保护法案萨班斯——奥克斯利法案,该法案是继美国1933年证券法、1934年证券交易法以来又一部具有里程碑意义的法律,该法案强调了公司内部控制的重要性,从管理层、内部审计以及外部审计等几个层面对公司内部控制做了具体规定,并设置了问责机制和相应的惩罚措施,成为继20世纪30年代美国经济危机以来,政府制定的涉及范围最广、处罚最严厉的公司法律;2004年,Treadway 委员会下属的发起组织委员会COSO发布了企业风险管理——整合框架ERM①,该框架是在1992年COSO委员会颁布的内部控制框架基础上,吸收各方风险管理研究成果基础上提出的,是内部控制整体框架的延伸和扩展,一经推出,就迅速得到了推广;这个框架的显着变化是将内部控制上升至全面风险管理的高度来认识;COSO发布企业风险管理——整合框架的目的与当初发布风险管理框架的目的相似,是由于实务界存在对统一的概念性指南的需要;COSO希望新框架能够成为组织董事会和管理者的一个有用工具,用来衡量组织的管理团队处理风险的能力,并希望该框架能够成为衡量企业风险管理是否有效的一个标准;①本人认为COSO发布的《企业风险管理——整合框架》，具有较强的理论可取性和实践可行性，不但涵盖了内部控制整体框架的全部内容，而且有了更多的创新，必将全面替代COSO发布的内部控制整合框架，所以本书按照COSO发布的《企业风险管理——整合框架》来阐述。

▪ 这些局限使得董事会和管理当局不可能就主体 目标的实现形成绝对的保证。
2021/2/5
12
涵盖内部控制
▪ 内部控制是企业风险管理不可分割的一部分。这份企 业风险管理框架涵盖了内部控制，从而构建了一个更 强有力的概念和管理工具。
▪ 内部控制是在《内部控制—整合框架》中加以定义和 描述的。
▪ 由于该框架经受了时间的考验，并且成为现行规则、 法规和法律的基础，因此那份文件对内部控制的定义 和框架依然有效。
▪ 尽管《内部控制—整合框架》的正文中只有一部分被 本框架所引用，但是本框架通过参考的方式把该框架 整体融合了进来。
2021/2/5
13
职能与责任
▪ 主体中的每个人都对企业风险管理负有一定的责任。
➢ 首席执行官(CEO)负有首要责任，并且应当假设其拥有所 有权。其他管理人员支持主体的风险管理理念，促使符合 其风险容量，并在各自的责任范围内依据风险容限去管理 风险。
COSO内部控制框架能确认出内部控制的三大主要目标，即运营的 效率和效果，财务报告的可靠性，以及遵守适用的法律和规章。
此外，标准将控制环境、风险评估、控制活动、信息和沟通、监控 作为框架的五大组成要素，服务于上述三大目标。
2021/2/5
2
2003年7月，COSO发布了《企业风险管理—— 整合框架》的征求意见稿，引起了广泛的关注。
2021/2/5
6
目标的实现
▪ 在主体既定的使命或愿景(vision)①范围内，管理当局制订 战略目标、选择战略，并在企业内自上而下设定相应的目 标。企业风险管理框架力求实现主体的以下四种类型的目 标：
➢ 战略(strategic)目标 ——高层次目标，与使命相关联并支撑其使命；
➢ 经营(operations)目标——有效和高效率地利用其资源；

《企业风险管理——整合框架》读书笔记曾今有人说过，在中国每10秒就有一家公司死掉，而这惨象在2018年底不断上演，中小企业大规模倒闭裁员，而各大名企也未放缓裁员的步伐，以此削减成本来渡过经济寒冬。

在经济下行，人人自危的情况下，作为一个企业的掌舵人，详细的学习《企业风险管理——整合框架》一书尤其重要。

以下读书笔记，是我在学习此书的感想和结合企业管理过程中所得：一、企业风险管理的意义在这样一个瞬息万变的时代，没有企业能一直躲在稳定的舒适区，失败和成功有时就是一念之差。

1、企业风险管理存在的问题与国外的企业相比，我国除了金融、保险等高风险行业十分重视风险管理外，其余大部分企业对风险管理都不够重视，风险管理还处于起步阶段。

（1）分不清风险与内控的关系。

在书中有明确写到，其实风险管理包含内部控制，风险是通过各要素在管理中做正确的事，内控是利用规章制度正确的做事。

（2）主体人员不能正确地认识风险管理的重要性。

其中包括风险管理部门的设置、流程、工作标准、权限设置模糊、风险预警机制和人员风险意识的培训等。

（3）对风险片面理解。

框架也强调风险有很多，通常我们会对投资风险、财务风险比较重视，而忽略了如：外部风险中的竞争对手、政治环境、法律环境等；内部风险中的产品、营销、人事等。

2、企业加强风险管理的必要性风险的本质是一种不确定性，这就意味着，风险既包含了闻风丧胆的危险，也包括了绝处逢生的机会。

还记得曾经的乳制品行业巨头吗？在三聚氰胺事件后，三鹿集团连翻身的机会都没有，人们不会给一个没诚信没道德的企业任何的生存环境。

今年3月底，“碧生源上市9年亏损超4亿元总部大厦被变卖”的消息一出，其实大家并不是特别吃惊。

有分析表明，碧生源的亏损是综合因素所致。

最关键的原因是广告的夸大宣传，另外，随着消费者健康意识的加强，已经不太能继续忽悠消费者。

诚信和道德价值观是一个主体内部环境的关键要素，影响其他要素的设计、管理和监控。

一个企业风险发生之前，已经呈现亚健康状态，各个环节出现的问题没有得到应有的重视。

(精编)企业风险管理整合框架第二章《企业风险管理——整合框架》基本理论一、《企业风险管理——整合框架》（简称ERM框架）的颁布1992年COSO发布的《内部控制——整合框架》虽然被许多企业采用，但理论界和实务界纷纷提出改进建议，认为其对风险强调不够，使得内部控制无法与企业风险管理相结合。

2001年，COSO委托普华永道开发一个对于管理层评价和改进他们所在组织的企业内部控制的简便易行的框架。

在此期间出现了安然公司破产事件、美国国会2002年出台了《2002公众公司会计改革和投资者保护法案》（萨班斯——奥克斯利法案），该法案是继美国《1933年证券法》、《1934年证券交易法》以来又一部具有里程碑意义的法律，该法案强调了公司内部控制的重要性，从管理层、内部审计以及外部审计等几个层面对公司内部控制做了具体规定，并设置了问责机制和相应的惩罚措施，成为继20世纪30年代美国经济危机以来，政府制定的涉及范围最广、处罚最严厉的公司法律。

2004年，Treadway 委员会下属的发起组织委员会(COSO)发布了《企业风险管理——整合框架》（ERM）①，该框架是在1992年COSO委员会颁布的内部控制框架基础上，吸收各方风险管理研究成果基础上提出的，是内部控制整体框架的延伸和扩展，一经推出，就迅速得到了推广。

这个框架的显著变化是将内部控制上升至全面风险管理的高度来认识。

COSO发布《企业风险管理——整合框架》的目的与当初发布风险管理框架的目的相似，是由于实务界存在对统一的概念性指南的需要。

COSO希望新框架能够成为组织董事会和管理者的一个有用工具，用来衡量组织的管理团队处理风险的能力，并希望该框架能够成为衡量企业风险管理是否有效的一个标准。

二、企业风险管理的定义《企业风险管理——整合框架》（简称ERM框架）指出，“全面风险管理是一个过程，它由一个主体的董事会、管理层和其他人员实施，应用于战略制定并贯穿于企业之中，旨在识别可能会影响主体的潜在事项、管理风险，以使其在该主体的风险容量之内，并为主体目标的实现提供合理保证”。

一、企业风险管理框架概览
• 企业风险管理的主要内容：
– 协调风险容量（risk appetite ）与战略 – 增进风险应对（risk response）决策 – 抑减经营意外和损失 – 识别和管理多重的和贯穿于企业的风险 – 抓住机会 – 改善资本调配
一、企业风险管理框架概览
• 风险容量和风险容限 • 风险容量（risk appetite）：是一个组织在追求价值的
一、企业风险管理框架概览
• 企业管理的整体框架（安达信） • 经营战略为先导
–外部：机会？威胁？探讨企业未来发展目标和方向。
–竞争力：优势？劣势？明确企业的共同愿景并拟定具有 综合性及可行性的行动计划。
市
场
环
境
经营战略
业绩评估 组织架构 业务流程
信息技术
行 业
境 环
一、企业风险管理框架概览
• 价值模型（Boulton）
一、企业风险管理框架概览
• 汇丰集团主席庞·约翰认为：过去摧毁一座金融 帝国可能需要一个很漫长的过程，但是现在， 即使是经营了上百年的金融帝国也可以在一夜 之间倾塌。
安永的总结：中国企业应如何设立风 险防火墙——五大防线
• 防线1：企业须熟悉自身业务与相关风险 • 防线2：建立内控和相互制衡的机制 • 防线3：紧盯着现金 • 防线4：合理制定绩效评估与激励机制 • 防线5：深化企业风险管理文化
– 内部环境（Internal Environment） – 目标设定（Objective Setting） – 事项识别（Event Identification） – 风险评估（Risk Assessment） – 风险应对（Risk Response） – 控制活动（Control Activities） – 信息与沟通（Information and Communication） – 监控（Monitoring）

–董事会关于战略、计划和业绩同管理层探讨的深度。 –董事会和审计委员会与内部和外部审计师之间的交流。 –董事会成员必须包括外部董事。
二、内部环境
• （四）诚信与道德价值观
• 树立道德价值观，必须协调企业、雇员、供应商、客 户、竞争对手和公众的利益。
– CEO 通常设定了道德基调。
• 特定的组织因素也会导致舞弊财务报告行为。
–目标与企业的风险容量相互协调，风险容量决定了企业 的风险容限水平。
三、目标设定
• （二）战略目标
• 使命和战略目标比较稳定，但战略和相关目标却是动 态的。
–存在多个备选战略目标时，需要分析相关的风险。
愿景 使命 价值观 战略目标与衡量指标 主要战略 实施计划
企业未来的境界 业务定义与范围 企业经营理念
• 实施企业风险管理需要注意以下问题：
– 有效性（Effectiveness） – 局限性（Limitations） – 职能和职责（Roles and Responsibilities）
一、企业风险管理框架概览
• 专栏1-1 每一构件的主要要素
• 专栏1-1-1 企业风险管理的实施步骤
关于先进制造企业构建全面风险管理内控体系的思考 完善内控体系 加强公司治理——充州煤 业内部控制体系建设经验谈
– 内部环境（Internal Environment） – 目标设定（Objective Setting） – 事项识别（Event Identification） – 风险评估（Risk Assessment） – 风险应对（Risk Response） – 控制活动（Control Activities） – 信息与沟通（Information and Communication） – 监控（Monitoring）

内部控制理论与实务的发展内部控制理论的发展是一个逐步演变的过程，大致可以区分为内部牵制、内部控制制度、内部控制结构、内部控制整体框架、风险管理框架五个阶段。

相互核对是此阶段内部控制的主要内容，设定岗位分离是内控的主要方式, 这在漫长的几千年内被认为是一种最实用的控制方法。

1936年美国颁布了《独立公共会计师对财务报表的审查》，首次定义了内部控制：“内部稽核与控制制度是指为保证公司现金和其他资产的安全，检查账簿记录的准确性而采取的各种措施和方法”，此后美国审计程序委员会又经过了多次修改。

1973年在美国审计程序公告55号中，对内部控制制度的定义作了如下解释：“内部控制制度有两类：内部会计控制制度和内部管理控制制度，内部管理控制制度包括，不仅限于组织结构的计划，以及关于管理部门对事项核准的决策步骤上的程序与记录。

会计控制制度包括组织机构的设计以及与财产保护和财务会计记录可靠性有直接关系的各种措施。

”但是会计界对内部控制人为分为二部分会计控制和管理控制，遭到了企业实务界的反对。

3、内部控制结构1988年美国审计准则委员会发布的第55号审计准则公告《财务报表审计中内部控制结构的考虑》，较大幅度地修改了对内部控制的定义。

内部控制被认为是为合理保证企业特定目标的实现而建立的各种政策和程序，内部控制由三个要素组成：内控环境、会计制度和控制程序。

4、内部控制整体框架1985年，由美国注册会计师协会、会计协会、财务主管协会、内部审计师协会、管理会计师协会联合创建了反虚假财务报告委员会（由于该委员的委员长是J.C.Treadway ,故又称为Treadway Committee），该委员会旨在探讨财务报告中的舞弊产生的原因，并寻找解决措施。

基于该委员会的建议，成立COS（委员会（Committee of Spon sori ng Orga ni zati on of the Treadway Committee, 美国虚假财务报告全国委员会的发起组织委员会），专门研究内部控制问题。

浅议《企业风险管理——整合框架》作者：张洋来源：《时代经贸·北京商业》 2017年第33期企业作为现代经济运行体系中一个基本单位，在其生存、发展的过程中时刻面临着各种各样的风险，对这些风险的把握往往决定了企业的成功或失败与生死存亡。

近年来，由于企业缺乏风险意识，没有对风险实施实质管理而导致破产或整顿的事件时有发生，这促使中国企业越来越重视风险管理。

《企业风险管理——整合框架》是在1992年的《内部控制——整合框架》基础上发布的,是国际多个组织共同协作完成的,该框架整合了各种内部控制的概念和定义,当之无愧地成为内部控制领域最为权威的文献之一,对于企业的风险管理实践具有重要的意义。

框架中强调企业风险管理是一个过程，它由一个主体的董事会、管理当局和其他人员实施，应用于战略制订并贯穿于企业之中，旨在识别可能会影响主体的潜在事项，管理风险以使其在该主体的风险容量之内，并为主体的实现提供合理保证。

一个过程，它持续地流动于主体之间；由组织中各个层级的人员实施；应用于战略制订；贯穿于企业，在各个层级和单元应用，还包括采取主体层级的风险组合观；旨在识别一旦发生将会影响主体的潜在事项，并把风险控制在风险容量以内；能够向一个主体的管理当局和董事会提供合理保证；力求实现一个或多个不同类型但相互交叉的目标——它只是实现结果的一种手段，并不是结果本身。

这就是通过风险的综合处理与全面控制，把企业生产经营活动中面临的风险损失减小到最低程度，即使灾害发生后，也能及时采取补救措施，以最小的成本防范最大风险效果，促使企业提高经营效益。

确保企业经营目标的顺利实现。

企业风险管理要求主体对风险采取组合的观念。

这可能要求负责一个业务单元、职能机构、流程或其他活动的每一名管理人员对各自的活动形成一个风险评估。

这种评估可能是定量的，也可能是定性的。

高层管理当局采用复合的观念看待组织中的所有层级，以便确定该主体的整体风险组合是否与它的风险容量相称。

企业风险管理——整合框架内容摘要（简体中文翻译：中国东北财经大学方红星教授）内容摘要企业风险管理的基础性前提是每一个主体的存在都是为它的利益相关者提供价值。

所有的主体都面临不确定性，管理当局所面临的挑战就是在为增加利益相关者价值而奋斗的同时，要确定承受多大的不确定性。

不确定性可能会破坏或增加价值，因而它既代表风险，也代表机会。

企业风险管理使管理当局能够有效地应对不确定性以及由此带来的风险和机会，增进创造价值的能力。

当管理当局通过制订战略和目标，力求实现增长和报酬目标以及相关的风险之间的最优平衡，并且在追求所在主体的目标的过程中高效率和有效地调配资源时，价值得以最大化。

企业风险管理包括：• 协调风险容量（risk appetite）①与战略——管理当局在评价备选的战略、设定相关目标和建立相关风险的管理机制的过程中，需要考虑所在主体的风险容量。

• 增进风险应对决策——企业风险管理为识别和在备选的风险应对——风险回避、降低、分担和承受——之间进行选择提供了严密性。

• 抑减经营意外和损失——主体识别潜在事项和实施应对的能力得以增强，抑减了意外情况以及由此带来的成本或损失。

• 识别和管理多重的和贯穿于企业的风险——每一家企业都面临影响组织的不同部分的一系列风险，企业风险管理有助于有效地应对交互影响，以及整合式地应对多重风险。

• 抓住机会——通过考虑全面范围内的潜在事项，促使管理当局识别并积极地实现机会。

• 改善资本调配——获取强有力的风险信息，使得管理当局能够有效地评估总体资本需求，并改进资本配置。

企业风险管理所固有的这些能力帮助管理当局实现所在主体的业绩和赢利目标，防止资源损失。

企业风险管理有助于确保有效的报告以及符合法律和法规，还有助于避免对主体声誉的损害以及由此带来的后果。

总之，企业风险管理不仅帮助一个主体到达期望的目的地，还有助于避开前进途中的隐患和意外。

事项——风险与机会事项可能会带来负面的影响，也可能会带来正面的影响，抑或二者兼而有之。

企业风险管理框架(总136页)--本页仅作为文档封面，使用时请直接删除即可----内页可以根据需求调整合适字体及大小--企业风险管理——整合框架2004年9月目录内容摘要 (4)1 定义 (12)2 内部环境 (41)3 目标设定 (58)4 事项识别 (72)5 风险评估 (88)6 风险应对 (101)7 控制活动 (112)8 信息与沟通 (126)9 监控 (143)10 职能与责任 (158)11 企业风险管理的局限 (177)12 该做些什么 (185)内容摘要企业风险管理的基础性前提是每一个主体的存在都是为它的利益相关者提供价值。

所有的主体都面临不确定性，管理当局所面临的挑战就是在为增加利益相关者价值而奋斗的同时，要确定承受多大的不确定性。

不确定性可能会破坏或增加价值，因而它既代表风险，也代表机会。

企业风险管理使管理当局能够有效地应对不确定性以及由此带来的风险和机会，增进创造价值的能力。

当管理当局通过制订战略和目标，力求实现增长和报酬目标以及相关的风险之间的最优平衡，并且在追求所在主体的目标的过程中高效率和有效地调配资源时，价值得以最大化。

企业风险管理包括：•协调风险容量（risk appetite）与战略——管理当局在评价备选的战略、设定相关目标和建立相关风险的管理机制的过程中，需要考虑所在主体的风险容量。

•增进风险应对决策——企业风险管理为识别和在备选的风险应对——风险回避、降低、分担和承受——之间进行选择提供了严密性。

•抑减经营意外和损失——主体识别潜在事项和实施应对的能力得以增强，抑减了意外情况以及由此带来的成本或损失。

•识别和管理多重的和贯穿于企业的风险——每一家企业都面临影响组织的不同部分的一系列风险，企业风险管理有助于有效地应对交互影响，以及整合式地应对多重风险。

•抓住机会——通过考虑全面范围内的潜在事项，促使管理当局识别并积极地实现机会。

•改善资本调配——获取强有力的风险信息，使得管理当局能够有效地评估总体资本需求，并改进资本配置。

• 风险管理理念 风险管理理念是一整套共同的信念和态度，它 决定着主体在做任何事情 – 从战略制定和执行 到日常的活动时如何考虑风险。风险管理理念 反映了主体的价值观，影响它的文化和经营风 格，并且决定如何应用企业风险管理的构成要 素，包括如何识别风险。
• 风险容量 风险容量是一个主体在追求价值的过程中所愿意 承担的广泛意义上的风险的数量。它反映了企业 的风险管理理念，进而影响了主体的文化和经营 风格。
• 战略目标 是高层次的目标，它与主体的使命/愿景相协 调，并支持后者。战略目标反映了管理当局就 主体如何努力为它的利益相关者创造价值所作 出的选择。
• 经营目标 经营目标关系到主体的有效性和效率，主要反映 主体运营所处的特定的经营、行业和经济环境。
• 报告目标 可靠的报告目标为管理当局提供适合既定目的的 准确而完整的信息。它支持管理当局的决策和对 主体活动和业绩的监控。
十一、信息与沟通
每个企业都要识别和获取与管理该主体相关的设 计到外部和内部事项和活动的广泛的信息。这些 信息一保证员工能履行他们的企业风险管理和其 它职责的形式和时机传递给员工。
• 信息 来自内部的和外部来源的经营信息，包括财务的 和非财务的与多个经营目标相关。
设计和利用信息系统的目的是支持经营战略。
• 影响因素 管理当局需了解外部因素和内部因素以及由此可 能产生的事项的类型。 外部因素包括：经济因素、自然环境因素、政治 因素、社会因素、技术因素 内部因素包括：基础结构、人员、流程、技术
• 事项识别技术 主体的事项识别方法可能包含各种技术的组合， 以及支持性的工具。 事项识别既关注过去，也着眼于未来。
• 沟通
沟通渠道应该确保员工能够在各个业务单元、过 程或只能机构之间平行地以及向上沟通给予风险 的信息。

企业风险管理框架Company Document number：WUUT-WUUY-WBBGB-BWYTT-1982GT企业风险管理——整合框架2004年9月目录内容摘要企业风险管理的基础性前提是每一个主体的存在都是为它的利益相关者提供价值。

所有的主体都面临不确定性，管理当局所面临的挑战就是在为增加利益相关者价值而奋斗的同时，要确定承受多大的不确定性。

不确定性可能会破坏或增加价值，因而它既代表风险，也代表机会。

企业风险管理使管理当局能够有效地应对不确定性以及由此带来的风险和机会，增进创造价值的能力。

当管理当局通过制订战略和目标，力求实现增长和报酬目标以及相关的风险之间的最优平衡，并且在追求所在主体的目标的过程中高效率和有效地调配资源时，价值得以最大化。

企业风险管理包括：协调风险容量（risk appetite）与战略——管理当局在评价备选的战略、设定相关目标和建立相关风险的管理机制的过程中，需要考虑所在主体的风险容量。

增进风险应对决策——企业风险管理为识别和在备选的风险应对——风险回避、降低、分担和承受——之间进行选择提供了严密性。

抑减经营意外和损失——主体识别潜在事项和实施应对的能力得以增强，抑减了意外情况以及由此带来的成本或损失。

识别和管理多重的和贯穿于企业的风险——每一家企业都面临影响组织的不同部分的一系列风险，企业风险管理有助于有效地应对交互影响，以及整合式地应对多重风险。

抓住机会——通过考虑全面范围内的潜在事项，促使管理当局识别并积极地实现机会。

改善资本调配——获取强有力的风险信息，使得管理当局能够有效地评估总体资本需求，并改进资本配置。

企业风险管理所固有的这些能力帮助管理当局实现所在主体的业绩和赢利目标，防止资源损失。

企业风险管理有助于确保有效的报告以及符合法律和法规，还有助于避免对主体声誉的损害以及由此带来的后果。

总之，企业风险管理不仅帮助一个主体到达期望的目的地，还有助于避开前进途中的隐患和意外。

coso《企业风险管理——整合框架》在实践中存在的不足
《企业风险管理——整合框架》是一种综合性的管理方法，用于识别、评估和应对企业所面临的各种风险。

虽然这个框架在实践中具有一定的优势，但也存在一些不足之处。

以下是一些常见的不足：
1. 信息不足：企业风险管理需要大量的信息支持，但在实践中，由于信息不全或不准确，可能导致风险评估和决策的不准确性。

2. 管理层参与不足：企业风险管理的成功需要全面的参与和支持，但在实践中，管理层可能缺乏对风险管理的重视，导致风险管理计划的实施效果不佳。

3. 方法局限性：《企业风险管理——整合框架》虽然提供了一种综合性的管理方法，但仍存在一定的局限性。

例如，在风险评估方面，缺乏具体的量化方法，使得评估结果可能主观或不准确。

4. 缺乏跨部门合作：企业风险管理需要各部门之间的紧密合作和协调，但在实践中，由于各部门的利益差异和沟通不畅，可能导致风险管理计划的实施困难。

5. 需求不匹配：《企业风险管理——整合框架》是一种通用的管理方法，但在实践中，企业的需求可能各不相同。

因此，在具体应用时，需要根据企业的特点和需求进行适当的调整和定制。

综上所述，《企业风险管理——整合框架》在实践中存在一些不足，但这并不意味着该框架无用或不重要。

企业在应用这一框架时，应该充分考虑到具体情况，并针对不足之处采取相应的措施和改进措施。

企业风险管理——整合框架Enterprise Risk Management ——integrated framework2004年9月（美）COSO制定发布目录1、2、内部环境3、目标设定4、事项识别5、风险评估6、风险应对7、控制活动8、信息与沟通9、监控10、职能与责任11、企业风险管理的局限1 定义本章摘要所有的主体都面临不确定性，对于管理当局的挑战在于确定在追求增加利益相关者价值的同时，准备承受多少不确定性。

企业风险管理使管理当局能够识别、评估和管理面对不确定性的风险，它对于价值创造和保持而言是必不可少的。

企业风险管理是一个过程，它由一个主体的董事会、管理当局和其他人员实施，应用于战略制订并贯穿于企业之中，旨在识别可能会影响主体的潜在事项，管理风险以使其在该主体的风险容量之内，并为主体目标的实现提供合理保证。

它包括八个相互关联的构成要素，它们与管理当局经营企业的方式密不可分。

这些构成要素联系起来，成为确定企业风险管理是否有效的标准。

本框架的一个关键目标是帮助企业和其他主体的管理当局，在实现主体目标的过程中更好地处理风险。

但是企业风险管理有许多不同的称谓和解释，难以形成共同的理解，因此对于不同的人而言，意味着不同的含义。

同时，一个重要的目的在于把各种不同的风险管理概念整合到一个框架之中，在这个框架中构建一个共同的定义，辨别构成要素，并讲述关键概念。

这个框架容纳大多数观点，为各个主体评估和增进企业风险管理、为规则制定团体和教育机构的未来行动提供一个出发点。

不确定性与价值企业风险管理的一个基本前提是每一个主体，不管是营利性的、非营利性的，还是政府机构，存在的目的都是为它的利益相关者提供价值。

所有的主体都面临不确定性，对于管理当局的挑战在于：确定在追求增加利益相关者价值的同时准备承受多少不确定性。

不确定性潜藏着对价值的破坏或增进，既代表风险，也代表机会。

企业风险管理使管理当局能够有效地处理不确定性以及由此带来的风险和机会，从而提高主体创造价值的能力。

公司治理·内部控制前沿译丛企业风险管理——整合框架（美）COSO 制定发布方红星王宏译大连制定发布机构简介COSO是Treadway委员会（Treadway Commission，即反欺诈财务报告全国委员会（National Commission on Fraudulent Financial Reporting），通常根据其首任主席的姓名而称为Treadway委员会）的发起组织委员会（Committee of Sponsoring Organizations）的简称。

Treadway委员会由美国注册会计师协会（AICPA）、美国会计学会（AAA）、国际财务经理协会（FEI）、内部审计师协会（IIA）和管理会计师协会（IMA）等5个组织于1985年发起成立。

1987年，Treadway委员会发布一份报告，建议其发起组织共同协作，整合各种内部控制的概念和定义。

1992年，COSO发布了著名的《内部控制——整合框架》（1994年作出局部修订），成为内部控制领域最为权威的文献之一。

2003年7月，COSO发布了《企业风险管理——整合框架（征求意见稿）》，经过一年多的意见反馈、研究和修改，2004年9月发布了最终的文本。

本书就是按照2004年9月正式发布的文本进行翻译的。

译者简介方红星，东北财经大学会计学院教授，博士，兼任东北财经大学出版社社长，编审，东北财经大学内部控制与风险管理研究中心研究员，三友会计研究所所长。

主要学术兼职有财政部会计准则委员会咨询专家、中国会计学会理事、中国成本研究会理事、中国注册会计师审计准则组成员、中国会计学会财务成本分会常务理事及多家学术期刊编委。

王宏，西南财经大学会计学院博士研究生，现就职于财政部会计司综合处，近年来主要致力于内部会计控制等方面的理论和政策研究。

中文版前言在内部控制和风险管理的演进过程之中，COSO的突出贡献是举世公认的。

它在1992年所发布的、并于1994年作出局部修正的《内部控制——整合框架》，已经成为世界通行的内部控制权威文献，被国际和各国审计准则制定机构、银行监管机构和其他方面所采纳。