Part 1为什么要开展风控体系建设?最基本的、首先我们必须明确的是:风控是企业管理的重要抓手。正因为企业运行中会遇到各种风险,所以我们要采取措施控制风险,但不可忽略的是,企业控制风险是有代价的、是需要付出成本的,而且风险是不可能完全被消灭的,那么控制的目的究竟在何处?我们认为,风险控制并不是要将风险完全消灭,而是为企业提供一个抓手。在企业逐渐发展的过程中,无论是外部的变化、内部的变化、模式的变化、层级的变化、业务的变化,良好的风控体系建设始终是帮助企业动态管理、控制、减轻风险的一种手段。 当前,企业业态向多元化方向发展,越来越多的企业开启了转型之路,而随着企业不断扩张,企业管理层级逐渐增多,管控难度增加,在转型过程中,企业也会面临各项新的问题,特别是综合性的大型企业集团,成员单位众多、组织庞大、管理层级复杂,再加上走出去战略及海外业务的实施,容易出现管理上的漏洞和不足。同时,大型企业集团往往容易出现先做大、后做强、风险管理薄弱的情况。为什么?因为运营思想首先聚焦的是生存、是发展、是壮大,然而在粗放式发展、规模增长的背后,就容易导致集团“集而不团,大而不强”,并给企业带来生存危机。因此,企业在不断发展壮大的同时,风控能力水平和关注度也要跟着走。也许有些时候我们会疑惑风险管理是不是能够给企业带来实质真金白银的价值。事实上,好的风控体系建起来,或许不能让企业收入增长多少,利润提高多少,但一定能让企业损失减少多少,风险降低多少,也就是一种机会成本,只是它不一定真正体现在财务报告和经营业绩上。同时,完善的风控体系是实现企业战略目标的前提和保障。企业战略决定了企业前进的方向,战略的制定和决策依靠什么?创新能力、品牌客户、人才管理、领导力、公司治理等内部的核心竞争力。持续的核心竞争力依靠什么?我们知道,一家企业要成为百年老店是很不容易的,需要积累底蕴、文化、能力、人才、客户、供应商,其中肯定会遇到各种各样的风险,如何支撑企业往正确的轨道前进?答案就是风险管理与内部控制,它是支撑企业不断成为百年老店的驱动体系。Part 2风控体系解决什么问题?何谓风险?风险的定义是不确定性,是可能与不可能,而不是非黑即白的好与不好,很多企业就是在风险中发展成长的。风控体系的作用是什么?让我们想象这样一个场景:地震来临的时候,提前知道、提前预防与事后知道、事后预防有区别吗?由于提前知道地震的发生,我们就会有相应的提前准备措施、补给、疏散、撤离、预防,尽管地震最后还是八级登陆,但其造成的影响和损失是不一样的。地震来临可称之为固有风险,提前预防部署就是风险控制,最后的伤亡损失为剩余风险,固有风险不变时,风险控制的力度越大,剩余风险会下降,而决策者心中的风险一定是考虑了现有管控措施后的剩余风险。因此,风控需要的做的,就是将风险控制在决策者心中的红线之下,注意是控制,而不是消灭,即风险提高时需要预警,需要加大管控力度,风险降低时需要检验管控是否一贯有效。 公司治理、风险管理和内部控制被认为是现代企业管理的三驾马车。公司治理的范畴最大,它是制度,是顶层设计,是一个企业是不是正的标准。而风险管理与内部控制为公司治理能够达到实现经济利益的目标而保驾护航,内部控制是针对企业内部可控风险的有效防范体系,但企业面临的所有风险并不都能靠内部控制减轻和管控,企业还面临很多外部风险,因此,风险管理的范畴大于内部控制,它还针对企业外部的各种风险开展风险应对管理。总体而言,风控体系就是把大部分企业内部的经营风险都管住,管不住的外部风险则依靠预警、保险、转移、转换、分包等风险应对策略再控制它。风险管理与内部控制的关系还有一个侧重点,风险管理是做正确的事,内部控制是正确的做事,风险管理是顶层,解决的不仅是流程问题,更是战略决策问题、应急处理问题;不仅是当前的问题,更是预测和应对将来可能发生的问题,风险管理更加偏向于前端,对影响目标实现的因素进行分析、评估与应对,防止重大决策失误和重大危机问题。内部控制更多的是流程问题,包括业务流程、管理流程中的风险控制,它更加重视实施,而且嵌入到企业各业务流程的具体业务活动中、融合在企业各项规章制度之中,使企业在正常运营过程中自发地防止错误,确保合规和真实,从而合理保证目标的实现。具体而言,风险控制管理帮助企业解决的问题主要包括:
问责和担责是企业正常的运营成本,为什么国家会发各种各样的监管规定,要求企业承担这部分运营成本,除了担心由于违规造成的社会乱象,更多的是为塑造一个良性市场秩序而考虑,正如王石在总结万科的发展历程时说:“市场是很公平的,万科曾经因为做贸易获得过暴利,但后来因盲目扩张又全部还给市场了。”由此万科在总结所经历的各种风险后,提出企业整体的风险应对策略,即“做简单而不做复杂、做透明而不做封闭、做公平而不做暴利、做规范而不做权谋。” Part 3企业建设风控体系的启示下面我们通过一些案例提出企业在建设风控体系中值得思考的一些启示: