企业风险管理基础理论和实践方向浅析

张伟 肖春颖/中航西安飞机工业集团股份有限公司

近年来，无论是基于国家层面的要求，还是发展环境变化带来的客观需求，企业风险管理工作的重要性都在被不断抬升，而随着企业推进风险管理的逐渐深入，过程中的各类问题也愈发凸显，成为制约风险管理理论高效指导企业实践的关键因素。通过对这些问题进行分析，可以发现其表现形式虽然是多样的，但是所产生的基础即客观规律是统一的。因此，在现有理论基础上，对风险管理客观规律做进一步研究，以更好地指导风险管理实践，符合企业管理的现实需求。具体研究成果可用于解决实际问题、化解长期矛盾，助力企业防范化解重大风险，进而实现稳健运营、高质量发展。

一、当前面临的主要困境

2006 年，国资委发布《中央企业全面风险管理指引》，国内央企、地方国企和部分大型企业按照指引要求，开始建设全面风险管理体系，截至目前已形成大量理论和实践成果，风险管理体系框架也趋于成熟化。但是，在体系建设之初，受制于理论和实践的固有矛盾，一些结构性问题既已出现且随着体系拓展而不断放大，受其负面作用影响，风险管理体系效用的边际递减愈发明显，风险管理工作陷入了一些困境。

（一）风险损失论

虽然国资委将风险分为了纯粹风险（只有损失一种可能性）和机会风险（带来损失和盈利的可能性并存）［1］，COSO 新版企业风险管理框架也指出风险带来影响存在双面性［2］，但是受中国文化和词义的影响，“风险”一直以来留给人的印象都是造成“损失”，这种潜意识导致企业在实践中更加关注可能造成负面影响的风险，而忽视了风险的价值创造作用。管理大师彼得·德鲁克认为“风险是商业的本质，追逐和承受风险是企业的最基本职能”，风险承担是企业利润的来源，而在片面的风险观下，趋向于保守的风险偏好和管理策略无疑会让企业错失良机。

（二）风险无用论

风险损失论的衍生品是风险无用论，其表现形式有两种：正向作用发挥方面，有人提出“在企业运营过程中，风险管理无法直接促进生产要素投入、产业升级或者技术进步，无法直接创造价值，对于企业生产力提升来说，风险管理无用武之地”；反向作用发挥方面，有人提出“风险管理的目的是控制损失，但是即便没有风险管理，也不会有企业放任损失自流，因此，风险管理只是锦上添花，而不是‘治疗’损失的必备良药”。

（三）风险无限论

若真放开来论，风险可以无所不容，小到吃馒头被噎住，大到陨石撞击地球，都可以归类于风险，亦即企业方方面面的事务都可以和风险扯上关系，这就是所谓“大风险”；但同时，风险管理只是一门非常专业的理论，风险管理工作也只局限于业务工作本身，这就是所谓“小风险”。在实际工作中，因为定位不清，风险管理常在“大风险”和“小风险”之间摇摆，时常面临要用“小风险”来掌控“大风险”的难题，实践中有时会横冲直撞，有时又畏首畏尾，进而给企业风险管理体系带来巨大困扰。

（四）风险形式论

风险管理部门是支撑企业风险管理实践的主体，因为风险管理部门普遍存在熟悉风险理论、缺乏专业业务知识的客观特性，就导致在实践中，风险管理部门依据理论指导业务职能部门开展工作时，往往无法实现与专业业务的有效融合，提出的要求常浮于宏观层面，就像拿把菜刀削苹果，刀绕着苹果舞得飞起，刀刃就是落不到苹果皮上。这一点在业务职能部门看来，就是“风险管理工作形式化，内容泛泛没有实际效果”，长此以往必然导致风险管理的弱化和边缘化。

二、困境中存在的辨证关系

马克思主义哲学认为“世界上的任何事物和现象，包括精神现象，都包含着既对立又统一的辨证矛盾关系”［3］，企业风险管理当前面临的主要困境同样符合这一规律，而深刻挖掘其内在矛盾，就成为进一步解析其内涵理论的基本前提。

（一）“风险”与“获益”的辨证关系

在欧洲资本主义发展过程中，首先明确提出“企业风险”这一概念，其原本出发点是为了“获益”，而“损失”只是附带品。例如某企业有一项投资，计划投入100 万，期望的回报是150 万，收益50 万，但是受未来不确定性影响，最后的回报也可能只有50 万，即损失50 万。例中的投资是一项风险行为，其目标是收益50万，假设概率平均，即该投资收益50万和损失50万的可能性各占50%，那么该投资的风险值就是50 万损失×50%=25 万损失。当企业对该投资进行决策时，就要判断一是能否承受住25 万的损失（即企业的风险承受度），二是在“收益50 万的可能性是50%”的情况下，是否愿意承受25 万的损失（即企业的风险偏好），判断的结果作为企业决策的依据。

从示例可以看出，提出“风险”的初始目的是用于判断是否应该抓住“获益”的机会，“风险”与“获益”相交融，不分彼此，而“损失”仅是二者联系性的度量［4］，只有理解了这一辨证关系，在运用风险管理理论指导业务实践时，才能保持更平衡的心态，用更恰当的方式去和“风险”相处。

（二）风险管理与经济增长的辨证关系

经济增长要素主要包括生产要素、产业结构、技术、制度等四个方面［5］（如图1 所示），其中生产要素、产业结构和技术共同构成经济增长基础，经济基础决定上层建筑，上层建筑主要包括有形的制度和无形的文化、意识形态等两个方面。可见，制度虽然是经济增长要素之一，但是其根源是在经济基础上产生，进而再对经济产生利好或损害的间接反作用。

图1 经济增长要素的构成及作用关系

风险管理主要分为“技术型风险管理”和“制度型风险管理”两个类型。“技术型风险管理”适用于证券、保险、银行等金融行业，在这些行业中，“风险管理技术”的进步（比如概率论的不断发展），意味着对风险控制能力的增强，可以直接刺激资本投入，推动产业结构升级，进而创造有形效益。“制度型风险管理”适用于制造业等，在企业中，“风险管理制度”的进步在与经济基础相适应的前提下，有利于促进生产要素投入和产业结构升级，但是无论是刚性要求还是柔性引导，其对经济增长的作用都是间接的，价值创造也是间接的。

此处引出一个问题：在企业中，如果没有风险管理，经济是否会停止增长？按照上述理论，答案必然是否定的，这也就是绝大多数人（甚至包括风险管理人员自身）感觉不到风险管理价值的根本原因。

其实，只要再扩大类比范围，甚至于将“制度”这一要素全部“砍掉”，我们可以发现，理论上都不会影响到生产要素、产业结构以及技术作用的发挥。我们需要认识到，制度的存在是客观规律使然，制度对经济的反作用也是客观规律使然。在人类发展日新月异，国际环境波诡云谲，经济形势跌宕起伏的新时代，风险管理的出现及其地位的提高，不是某一些人的主观构想，而是经济发展的衍生产物，其存在是客观事实，需要对其研究、掌握其规律、发挥其作用也是客观需求，不以人的主观意志为转移。因此，企业的风险管理人员必须清醒认识到自身所处的客观劣势，同时要深刻明白自身存在的客观价值，这样才能摆脱“风险无用论”的影响，在工作实践中更充分地发挥主观能动性，进而实现助力经济增长、实现价值创造的既定目标。

（三）风险管理部门与业务职能部门的辨证关系

企业在进行风险管理实践时必然同时涉及风险管理部门和业务职能部门，而两者之间一直是一对矛盾的综合体。风险管理部门掌握风险管理理论，缺乏业务专业知识；业务职能部门掌握业务专业知识，缺乏风险管理理论，这是二者的重要联系性，是二者可优势互补、实现统一的前提。但也正是此联系性的存在，导致在实践过程中，风险管理部门工作容易流于形式化（上文已有阐述）；反观业务职能部门，虽然其能意识到“出现风险意味着业务存在缺项”，但是强行在已然熟练的业务流程上增加风险管理的行为，无不被视为一种额外的枷锁、负担；如此形成的风险管理部门与业务职能部门之间严重的对立性，成为阻碍二者深度协作、优势互补的主要原因。上述联系性与对立性的辨证统一，是二者矛盾综合体的具体表现，是风险管理实践过程必然存在的客观规律。

把握住风险管理部门与业务职能部门的辨证关系，在进行实践时，二者就都可以更清晰地找准自身的定位，明确需要共同推进的方向，比如风险管理部门工作的目标是要不断强化联系性，弱化对立性。不过，需要认识到，“彻底消除对立性”的思想是错误的，一是因为联系和对立都是矛盾综合体存在的必要条件，如果对立性不存在了，即证明业务职能部门已经不需要风险管理部门就可以开展好专项业务风险管理工作，那么风险管理部门也就没有存在的必要了，矛盾综合体自然也就不存在了；二是因为联系性是相对的，对立性是绝对的，即便风险管理部门和业务职能部门都能做到风险管理和业务管理样样精通，二者也会在新的联系性条件下，产生新的对立性，这一点可以参考金融行业，目前企业中还难以做到这一步，所以对于新形势下的矛盾综合体还没有清晰的认识和了解。

三、对风险管理理论的再解析

上文对企业风险管理存在的主要矛盾进行了分析，本章则是在风险管理现有理论基础上，对其进行进一步解析，进而为风险管理实践提供更为准确、可靠的理论依据。

（一）风险管理的思想本质

想要做好风险管理工作，首先必须抓住风险管理的本质，本质是客观规律产生的基础，是风险管理辨证统一的核心。

我们常说“要用风险管理思想指导业务实践”，那么风险管理思想到底是什么？很多人的第一反应是风险识别、评估、应对、监督改进全过程，但是这个“过程”仅是人的一种思维方式即神经反射的体现，并非思想的根本。

风险是从概率计算演变而来，最初仅是为确定某一事项提供数学支撑，比如针对“曲别针废品问题”：A 厂生产的曲别针废品率为5%，B 厂生产的曲别针废品率为10%，从A、B 厂各买50 个曲别针，出现5 个废品应该找谁赔？这个问题是概率和风险的综合体，看似简单内涵却很丰富。后来，当人们发现概率即“发生的可能性”可以用均值定理等进行精确逼近时，人的行为就从“拍脑袋”转变成了依据概率抉择，比如某项目70%可能获利100万，30%可能损失200万，则是否执行该项目？这类决策过程充分体现了风险管理的思想，风险也成为了对未来的一种衡量。

上述风险发展历程赋予了风险管理最基本的定义：衡量未来，决策当下［4］——这就是风险管理的思想本质。用因果论来描述，就是从“果”的可能性来回溯选择不同的“因”，改变从“因”出发，向期望的“果”前进的思维方式，比如买股票时，如果单凭自己的主观期望，从“因”出发，往往会被购买的股票兜头浇一盆凉水。

因此，当我们“用风险管理思想指导业务实践”时，只要实践过程能够体现出“衡量未来，决策当下”，即是践行了风险管理思想，并不是必须严格按照COSO《风险管理整合框架》或者国资委《中央企业全面风险管理指引》来执行一成不变的固定模式或者规范性动作。

（二）风险管理的艺术本质

风险管理首先是一种思想，是从人类行为中总结出的客观规律，是对世界的一种诠释，就像物理学对世界的诠释一样，只是关注的角度和重点不同。风险管理其次是一门艺术，思想是从事物中提炼规律的过程，艺术则是用规律指导事物实践的应用过程，二者相辅相成，互为补充［6］。

体现风险管理“艺术”性的一个很好案例是“期货”。期货其实并不是证券交易所的创新，在证券交易还不存在时，有农民因为担心年末收割时粮价暴跌，于是在年初就与粮食收购商（比如面包店）约定：不论年末粮价是涨是跌，面包店都以某一固定的约定价格收购粮食，这样农民就把粮价暴跌的风险转嫁给了面包店；而对于面包店来说，也不需要再担心年末粮价暴涨而导致成本增大，即面包店把粮价暴涨的风险转嫁给了农民。最终农民和面包店实现了风险管理的双赢，这就是“期货”最初的本质。

在期货的基础上，极具创造性的人类发明了“期权”，期权的本质虽然依附于实体，但是期权的实际运用已经脱离了实体，甚至可以说期权是将“风险”作为货物摆上了“柜台”。感兴趣的读者可以了解一下期权的迭代应用过程，相信会让你大开眼界。笔者是在了解期权之后，方才第一次深刻领会到风险管理的魅力，风险管理不仅仅是在面临风险时想出几条强化管控的措施，更深层次是从博弈论的视角，创造性地寻求控制风险甚至是将风险转化为盈利的手段，就像相互转嫁风险的农民和面包店一样，而在这过程当中，就充分展现了风险管理的“艺术”性。

当风险管理从事物中提取、凝炼之后，它必然去除了事物之间的差异，留下了共同点，否则就无法形成统一的规律。相对的，当把风险管理应用于不同事物时，必须再把事物的特性添加融入进去，这样才能够适用，否则“风险管理”就是华丽的辞藻，说起来头头是道，用起来笨手笨脚。企业开展风险管理工作时，这一点尤其需要注意，只有与业务深度融合的风险管理才有望升级为一门艺术，否则永远都只是停留在思想层面，这也是很多人感到“有没有风险管理好像没什么区别”的深层原因。

（三）风险管理的变化需求

辨证唯物主义指出“任何事物都是绝对运动和相对静止的辨证统一，整个世界都是绝对运动和相对静止的辨证统一”［3］。即世界是在不断发展变化的，昨日与今日的同一个事物必然有所差异，“人无法踏进同一条河流”，从短期看尚无明显迹象，从长期看则必定截然不同。那些认为现时影响世界的实践方式在长时间后依然有效的人，必定错的离谱，而且要摔跟头。更遑论“风险”研究的是“不确定性”，本身即具有未来的波动性，这就导致风险管理的过程必然是一个动态变化的过程，今天有效的体制机制，一段时期后就很难再适应新的环境，为了保持与动态环境的相对静止，风险管理自身必须被赋予动态变化性即不确定性。但同时，“风险”代表不确定性，风险管理的目的就是用“确定性”来降低“不确定性”，从这个角度讲，风险管理本身又应包含确定性。因此，风险管理在时间段内应以确定为主，在时间线上则应以变化为主，风险管理要不断顺应、研判内外部演变，及时调整自身体制机制，要勇于持续革除旧的结构，建立新的结构，这样才能保持生命力之不朽。

四、风险管理的实践方向

（一）实践是唯一的要求

“实践是检验真理的唯一标准”，理论讲的再好，没有实践做支撑，也终究是一句空话。“风险管理脱胎于实际业务，最终必须再回归业务实际”的客观要求，就决定了风险管理必须在实践中运用才能得到验证、拓展和提升。在实践中，风险管理人员作为重要的实践主体，对风险管理工作的效能发挥起着关键性作用。风险管理人员的实践动力主要来自“义务”和“责任”两个方面，义务是前提，责任是保障。目前，大多数企业在风险管理的机构设置上，赋予了风险管理人员管控风险的义务，但是由于风险依托于业务，风险管控主要责任往往落到业务人员身上，风险管理人员更多的肩负“组织、协调、支持、配合”等非必要责任，这种义务与责任的不对等虽是基于客观实际需要而产生，但无疑不利于风险管理实践的切实落地。因此，在风险管理实践过程中，风险管理人员应该更多地发挥主观能动性，主动寻找有助于风险责任承担的方式方法，拉近自身与风险的距离，真正实现“从风险中来，到风险中去”。此处如果把风险比作盘中的弹珠，业务人员就是拨动弹珠的手，风险管理人员则要做抓住业务人员手腕的另一只手，虽不向弹珠直接施力，但会对弹珠的运动方向产生重要影响。

（二）改革是唯一的方向

与1994 年国家因面临结构性困境而不得不强力推进金融、财政和计划体制改革［7］一样，企业风险管理体系也因存在的“损失、无用、无限、形式”等困境而不得不进行深层次改革。多年来，按照中央企业全面风险管理指引，各大央企陆续建立起了基于战略维度的重大决策风险管理、进程维度的重大运营风险管理、节点维度的重大突发风险管理以及风险管理的末端整合落地机制，在企业宏观层面搭建起了较为完整的风险管理框架。但是该框架与风险管理的“艺术本质”存在明显脱节，也无助于解决企业内风险管理部门与业务部门之间的辨证矛盾，进而弱化了风险管理在经济增长、企业盈利等主价值链条上的效用发挥。鉴于此，企业必须深刻认识风险管理的变化需求，推动构建新型风险管理体系，构建过程要坚持“风险与业务互利共生”的工作原则，按照“衡量未来，决策当下”的指导思想，在风险分类框架的基础上，指导建立充分融合不同业务特征的风险管理机制，从而促进各业务更好地运用风险管理方法，进一步提升识别自身风险、管控自身风险的能力。

（三）需要规避的两个误区

在风险管理与业务融合过程中，大多数企业会要求业务部门建立风险管理制度，其初始目的是希望业务部门能够自觉运用风险管理方法开展工作，这种方法可以通过一套流程来实体化，即可以依托于一份制度而成为工作标准。但我们需要认识到，方法是对理论的应用，方法侧重于实践，理论侧重于抽象。在此处，作为一个实体——“业务风险管理制度”侧重的是方法，而不是理论，如果没有适宜有效的方法，即便理论讲得天花乱坠，也不过是无根之萍。因此，业务风险管理实践不能一味纠结于“有无制定风险管理制度”，此种纠结本质上是脱离具体而向抽象的错误演变，是形而上学。衡量业务风险管理有效性的标准应该是辨识其业务执行过程是否包含有风险管理方法，有则表示其已迈入了风险管理的门槛。

对于企业内风控职能部门来说，要深刻认识“反者道之动”的道理，在致力于寻求自身“义务、责任、权力”平衡的同时，不能为了平衡而深层次地陷入到业务风险管理当中，基于风险管理部门与业务职能部门的辨证关系，风控职能部门依然要以风险管理思想培育、组织构建、监控预警和监督改进为主体，全方位统筹各业务的风险信息收集、评估和应对过程［8］，反之则会事倍功半。

（四）发挥权力的正向效用

从企业角度，因为“责任”与“权力”对等，所以风险管理人员直接责任的发挥，更多的需要企业赋予直接性权力，可以对风险管控过程施加有力影响，否则责任挑起来容易卸下去难，可能会成为风险管理人员的不可承受之重，这也是大多数企业风险管理义务与责任不对等的直接成因。

在赋予了风险管理“权力”的企业，如何有效运用这种“权力”，则会成为风险管理人员面临的新难题，因为权力多与考核挂钩，而风险自带负面属性，正向考核会适得其反，反向考核则会产生悖论，问题的产生皆因将风险管理考核的导向基准定在了目标上。就像风暴中有一艘帆船，我们不应仅根据帆船最后是否倾覆，来判定帆船的韧性和船长的技巧，还必须考虑风暴的大小，即考核的标准是“风暴大小”与“存活结果”的综合体。风险管理考核应该“以风险为导向”，而不是“以目标为导向”，这是风险管理考核与运营计划考核等常规考核最大的区别。在实践过程中，我们要充分运用博弈理论，合理确定考核基准加减分、风险管控成效、管控成本之间的逻辑关系，进而才能定量设置考核分值，最终起到激励业务部门“主动暴露风险，积极管控风险”的正向考核效果。

五、结论

本文的论述目的，是提升读者的风险管理实践能力，不过对风险管理的良好实践，首先要求对风险管理的理论有更深层次的掌握。具体来说，面对如此多截然不同的风险，如何实施有效的风险管理是一门艺术，而有效风险管理的基础，是由一些通用性的基本原理组成［9］，即本文所指出的“衡量未来，决策当下”的思想本质、风险管理与经济增长的辨证关系等，这些原理对于破解企业风险管理现有困境均有一定的指导和实践意义。

目前普遍认同的风险管理逻辑非常简单，识别、分析、评估、应对、监控、改进［10］，仅此而已，但是每一项简单的步骤，想要取得实效却特别困难，相信每一位企业风险管理实践人士都深有体会。换句话说，风险管理必须跳出抽象理论，落实到具体业务实践上，而企业千变、实践万化，几乎没有穷尽的可能，如何在此不可穷尽中寻找到一条具有高度通用性、实效性的实践道路（或者体制机制），就成为风险管理人员需要进一步深入研究、重点探索的关键性课题。