风险管理控制过程例1

银行管理过程控制重要性和紧迫性

在经济高速增长的背景下，银行高盈利能力和盈利高增长可以将许多管理问题和风险消化掉，但是在经济形势较为复杂的环境中，银行进入微利化的阶段时，管理的过程控制不仅是风险控制的需要，也是成本控制的需要，是银行有效度过相对危机环境的必然选择。

银行的业务以经营风险为本，缺乏过程控制将意味着业务风险无法有效控制。银行的传统核心业务贷款是典型的以风险为本的业务，贷款发放的每一个环节都需要控制，稍有控制不当，都可能引发信贷风险；即使存款业务的操作也有存单欺诈、假钞、点钞失误等风险；传统上认为中间业务风险很低，甚至有人认为中间业务几乎没有风险，但是从最近以来的保险、基金、理财业务等都发生了一些消费者投诉或者群体抗辩事件；银行内部的财务管理也同样可能发生违规风险。尤其是在大型银行体系中，总部与基层分支机构管理距离较远，一些银行为了充分调动基层机构的积极性，充分授权分支机构，使得管理的过程控制难以落实或者被疏忽，其结果是基层机构违规事件时有发生，甚至给整个银行的声誉和经济带来较大损失。

银行日益严峻的行为风险形势呼唤管理的过程控制。有别于传统资产风险的行为风险日益渗透到银行经营管理的各个领域，尤其是随着银行资产规模和组织管理体系的日益庞大和复杂，银行监管法规体系日益健全和复杂化，银行内部行为和外部行为的适当性和合规性问题日益突出，银行表外资产权重的大幅度提升，无法反映到资产负债表上的各种风险往往与银行的销售、履职和服务行为有着密切的关联性。行为风险无法直接通过数字化的模式表现，需要银行行为的控制。实际上，在柜面或者柜面外的各种销售不当行为，不仅无法在资产负债表中体现，而且甚至很难在银行电子化的有效监控范围内。一些理财产品销售中对产品特点或风险披露不充分，销售后出现约定或法定需要披露的重大变化未能及时进行披露，一些产品合约缺乏完整的签字手续或者合约重要条款疏漏等，都可能引发巨大的声誉风险甚至经济损失。

银行面临因管理过程失控引发挑战，特别是发生了高管违纪，重大额违规贷款事件之后。在大数据时代，银行管理的过程更为透明，客户与银行关系、内部员工与客户的关系均可能通过电子化的媒介来承载，如果某一个管理环节缺乏控制，这些问题就马上通过网络、纸质等媒体迅速广泛地在国内国际范围传播开来，从而给银行的声誉带来严重的挑战。这不仅会引起国内银行监管机构的关注，也会引起上市公司监管机构的关注，特别是对于境外上市或境外有业务的银行，还会受到境外相关监管机构的关注、监督和处罚，上市银行则可能直接导致银行股价大跌，乃至引发股东的群体诉讼。此类例子在国际银行市场中时有发生。

消费者维权意识显著提升，诉求方式灵活化、便捷化和复杂化。在大数据时代，消费者在网络媒体为代表的各种舆论支持和引导下，其权利意识明显提升，而且其维护自身权益的知识和技能也大大增长。另外，大数据时代一旦发生消费者个别或群体投诉，有关投诉可能在开放的互联网中透明化。信息化社会中消费者诉求的实现已经超越了传统的面对面或纸质化的主张方式，借助微信、微博、博客、短信息、邮件等等低成本而传播速度极快的媒介。这种投诉不仅可能引起监管当局的关注、直接介入调查直至采取严厉的执法行动，有的个别或群体性投诉事件还可能引发中央政府高层的关注。

银行管理过程的控制失当容易产生大面积风险。大数据时代银行业务的格式化、普遍化、电子化特点进一步加强，一旦银行发生某个环节的管理失控或无效问题，则往往可能引发大面积相类似的风险和问题。例如某个理财产品销售环节存在违规，可能引发群体性投资者的质疑和抗辩，甚至可能追溯到已经终止产品的类似情形的问责，从而给银行带来很大的声誉风险和经济风险。

银行如何强化管理过程控制

强化管理的过程控制意识。首先，公司治理层面上有必要适当强化对重大管理事项有效控制的监督，尤其是董事会和监事会有必要针对一些具有普遍性且影响大的管理控制疏忽、无效等问题履行监督职责，促成高级管理层对管理控制的高度重视。针对高级管理层的考核评价也有必要适当强化过程控制效应的评估分析，而不囿于数据化业绩的评价，在公司战略规划上也有必要适当定位管理过程控制的战略性部署。其次，各层级的主要管理者均应该有清晰的管理意识，无论机构大小，无论出于哪一个管理层级的主要负责人（即主要管理者）均应该有较强的管理意识，不能简单地把自己的管理职能看成是管理目标实现，更不宜简单地把管理目标量化为某一个时点的业绩数字，需要设置综合化的管理目标，也需要有管理的过程控制，风险和效益兼顾，近期效益和长远效益兼顾。再次，管理者尤其是高层管理者要有效实施过程控制不能依靠面面俱到的管理理念，其时间和管理幅度决定了无法管控所有的过程，而只能选择重点事项的过程来控制，而且还只能是这些事项的重点环节、重点问题。银行各级机构管理者的过程控制应该借助相对专业化的力量来规划其过程控制的要事，这些要事的确定需要缜密的分析和慎重选择，上级机构可对下级机构主要负责人要事选择进行适当指导。在确定要事之后的管理过程控制中，还需对其管理要素进行梳理和分析，过程控制应更多地集中于要素所处的环节，特别是各级机构的主要负责人，因其时间和经历等的局限，更需要抓过程控制的要素。

要从管理人员的准入和准入后评价环节上强化管理过程控制的理念和文化。上级机构在选拔下级机构主要负责人的环节，必须重视候选人的管理过程控制意识和控制能力的综合分析和考虑，并应将过程控制能力的分析要素及评价标准精细化设计，以便为各级机构主要负责人的准入选择奠定基础。对机构主要负责人、风险控制部门或营销负责人等在过程控制理念和能力方面应差别化对待，对于前两者应该高度重视，并在准入条件中设置较高的权重，对于营销负责人可适当弱化。在管理人员选拔之后的考核评价环节，也应重视管理控制能力的综合考核，阶段性或时点性的数字业绩固然重要，但不宜因此而忽视对主要负责人的管理过程控制效果和能力的分析与评价，在考核指标体系中应设置适当的指标来表征管理过程控制意识和能力。尤其是在管理人员的升迁和职位下迁环节中更应充分评估分析有关人员的管理控制能力。

管理过程控制的核心问题是流程管理问题。鉴于银行作为企业以经营和管控风险为本。正是由于风险在银行经营管理的各个环节无处不有，管理流程成为有效过程控制的核心问题。流程管理则是一种以规范化的构造端到端的卓越业务流程为中心，以持续的提高组织业务绩效为目的的系统化方法，没有流程的业务管理将会出现无序状态。鉴于此，管理者借助流程控制管理过程，既要充分运用流程，更要充分认识流程需要适应管理变化而不断地检视和优化；既要构造健全的流程体系以适应管理过程控制的需要，更要监测、分析和评估流程在管理过程控制中的真实效应。当然，流程的提炼、设计和最终实施，需要较为科学的管理体制机制来保障，仅仅口头或形式上重视流程，很难最终确保流程的优化提炼、构建和实现。银行的各条线、各部门、各级分支机构应该充分发挥智慧，既要借鉴国内外先进同业某些流程的优点，也要兼顾自身和属地的特色管理情境和文化环境特点；上级机构要善于梳理、提炼、总结、试点和推广内外先进的流程经验。

要重视通过管理创新来化解管理过程的有效控制问题。银行各级机构的主要负责人均应该重视将管理问题、难题通过管理创新来化解。处于管理体系较高层级的管理人对于下级机构发生的各种管理事件或者管理目标难于实现等问题时，不宜简单化地通过问责有关管理人来应对，而应该在深入分析原因的基础上通过管理技能和举措方面的帮扶来促成下级机构化解问题。在各级一线管理人员面临的本级机构的各种管理困境或难题，同样不宜采取简单化的处罚或经济激励来解决问题，而应该重视分析问题的根源，有针对性地在机制、措施、方法方面下功夫，要当成一个管理问题来解决，而且要重视根本性、制度性、机制性的解决。

培养管理人员和员工过程控制的规范意识、文化和机制。规范意识与诚信意识、社会法治意识水平有着密切的关联性。规范和控制也有着密不可分的关系，控制更多的是依靠规范来制约和实现，但是控制也可能依靠权力、权威或非制度化的习惯来推动和实施；通过规范来承载的控制，具有更强的可持续性，也易于为控制所涉及当事人的理解和接受。在我国整体社会诚信体系尚处于培育和发展过程中，社会的诚信环境制约着银行内部员工诚信和规范意识的水平。管理人员和员工的规范意识关系到过程控制的成本和效果。为此，管理者要积极培育员工的规范意识，在管理过程中强化对规范的尊重，妥善处理规范与规范外的变通关系。员工的规范意识培育需要管理者尤其是主要负责人的率先垂范，朝令夕改或者仅仅试图约束普通员工的规则，势必导致管理控制的无效。银行各级机构的主要管理人员要有很强的检视管理过程控制有效、无效的意识，要逐步建立健全监测、评估、分析和督导过程控制的机制，并促成各级机构检视本单位本部门管理过程控制的习惯和文化。银行的各业务条线和各部门要结合风险事件来深入分析管理过程控制存在的不足和局限，适时提出预警和改进建议。尤其是在银行机构的财务、信贷审批、风险管理等领域更需要有常态化的过程控制监测机制和文化。实际上即使一个较小的机构部门的财务管理也容易因控制不当或不充分而引发道德风险甚至违规违纪风险。要把过程控制的监督纳入到机构内部执行力监督体系中，并应将其置于重要地位。纪检和合规部门更有必要强化管理过程控制的常态化监督和问责，不宜局限于风险或违规违纪事件发生事后的处罚或问责。

风险管理控制过程例2

档案安全是对档案实体和信息采取防范措施，避免受到自然灾害、人为事故和突发事件的破坏，减少档案在管理过程中的损坏，使档案处于安全状态，确保不发生档案丢失和损毁，以及信息泄密事件。明确档案安全职责，控制安全风险，消除安全隐患，维护档案管理全过程的安全，是档案部门的基本任务和第一要求，也是档案工作者的基本职责。

1档案全过程管理及其安全风险隐患

1.1档案全过程管理

实施档案工作全过程管理，是新时期档案工作新的理念，其目标在于对档案的收集、整理归档、保管、利用，以及迁移等工作状态，采取标准化的过程管理，确保档案管理工作业态的科学化与规范化。档案全过程管理一般有三个阶段：一是档案的前端管理；二是档案的库房保管；三是档案的后程监管.档案全过程管理，与过去通常的档案管理相比，主要有以下三个方面的变化：（1）档案工作环境的扩展。档案安全保护的工作视野不仅关注于档案在库房内的安全，同时也密切关注档案在库外活动，特别是脱离了档案适宜环境，即库外运行状态及其影响破坏作用。（2）档案工作业态的延伸。档案安全管理活动是全方位地覆盖档案的各个工作业态，对档案的“收、管、用”环节中的档案收集、整理归档、编研、保管保护、开发利用、展览陈列、移交转移等，都给予高度关注，确保不发生任何安全事故。（3）档案工作目标的提升。档案的绝对安全，不仅要确保档案在工作活动中不出现档案的损坏、损毁和丢失等事故或事件，同时还要求消除档案工作中存在的、潜在的不安全因素，及时化解档案工作层面的风险隐患和不利因素，使档案始终处在一种安全的、无害的适宜环境中。

1.2档案全过程管理中的隐患和风险

档案全过程管理活动涉及的工作环节多，制约因素多，可能出现的状况和产生的变化也多，这些制约因素和影响情况，会弱化档案管理工作，降低档案安全保障的效率。档案全过程管理中易出现的档案风险和事故隐患，潜伏在档案利用、档案保管及档案日常管理的多个方面，这些管理隐患和风险因子主要有：（1）档案接收征集工作中，未能依据档案标准与规范的要求，严格执行档案的相关管理规章制度，造成工作的失误和疏忽，从而造成档案的破坏和损坏。（2）档案处在不适宜保管条件下，使得档案的自然老化加剧，特别是不适宜的温湿度、光、空气污染物及害虫、霉菌等因素的影响，会造成档案出现纸张的变黄发脆、字迹变色褪色、胶片霉烂、磁带粘连变质，以及光盘的腐蚀等现象。（3）档案利用过程是一个多样的复杂过程，这个阶段的破坏程度差异很大，有时会出现档案的缺页和破裂，有时会出现档案字迹的褪变和信息的失真，有时会出现档案秩序的错乱，甚至于出现档案的丢失和彻底损毁。（4）档案管理疏忽，工作人员大意马虎，管理不善，监管不力，也会造成档案安全漏洞很多，档案破坏和损失的安全隐患不少，如档案人员私自有偿向国外研究人员提供档案数据。（5）备份修复时出会现不当的损害，有的档案已经破损，有的出现生虫、发霉情况且未得到及时修复；以及修复过程中的方法与措施不妥当、不合适、不安全，也会对档案安全造成威胁；有的对电子文件既无备份，也无过硬的保护、保密措施。

2档案全过程安全管理的方式与途径

档案全过程安全管理是指在档案的收集、整理归档、保管、利用以及迁移等管理过程中不发生破坏性事件或事故，化解和消除管理活动中存在的安全风险和隐患，使保管和利用的档案没有危险，不受威胁，不出事故。档案管理部门主要有档案馆和档案室两种形式，其全过程管理表现为两种明显不同的工作状态：一种是库房内的相对稳定的环境，保管条件适宜，档案受损、破坏的概率比较低；另一种是处在动态的库外工作状态，环境条件不稳定，在动态过程中（一些过程变化还比较频繁）容易受到不利因素或有害因子的破坏，如图2所示。在确保档案绝对安全的条件下，根据这两种不同的环境和工作状态需要进行相应的安全管理。

2.1档案前端控制的安全管理

2.1.1档案接收时的安全保护

接收的档案需要加强管理与保护，以利于后期档案的利用与保存。一是制定档案接收进馆质量标准和检查验收制度，保证接收进馆的档案符合安全要求。二是档案部门按有关规定和标准进行档案检查和验收，对新接收的档案，一般应进行消毒灭菌处理，做到先消毒、后入库。三是检查合格后，连同案卷目录、卷内文件目录和检索工具，一并接收入馆。

2.1.2档案征集时的安全保护

档案收集是档案安全管理的一个重要环节，确保收集的档案完好无损是档案安全的基本要求。一是建立档案征集的安全管理制度。二是征集档案进馆前，要严密包装，妥善运输，专人护送，保证档案安全。三是征集来的档案要及时归档，有关部门应及时向档案管理部门移交。

2.1.3整理档案时的安全保护

一是应当做到分类准确、编排有序、目录清楚、填写规范、装订整齐、格式统一。档案的目录、内容、填写要求等，符合规范，利于长久安全保存。二是档案整理归档时，应当按照档案安全要求逐卷逐件进行，慎重处理档案原件。三是加强档案整理中的保护，清除有破坏作用的文件装订物、添加物等；对有些档案进行舒展平整、表面去污和修裱等保护性处理；规范档案装入盒的操作；单独对有潜在危害的档案立卷。四是防范人为灾害、突发事件，以及不当操作造成档案的丢失、破坏或损毁。档案文件在整理完毕后，应当及时归档。

2.2档案库房保管的安全管理

档案库房的安全管理工作，主要是通过档案库房的安全工作来实施的。主要有两方面的工作。

2.2.1配备档案安全的设备设施

档案库房安全管理的基础性条件，是具备必要和必需的档案安全设备设施。主要包括：安装库房的安全监控系统，配备库房的消防设备，配置档案的保护与管理维护设备，建立和完善档案数字信息安全设施。

2.2.2加强库房保管中的安全措施

强化档案保管的工作效率，需要建立相应的管理制度，保障库房安全管理工作的有效开展。主要包括：建立健全档案库房安全管理制度；注重保管中的档案实体与信息安全；加强档案规范化管理，严格执行规章制度，建立岗位责任制，做到责任到人。

2.3库外后程监管的安全管理

2.3.1档案利用中的安全管理

注重利用中的档案安全，确保档案不丢失、不损坏，档案信息不失密泄密。一是做好档案利用登记，限定用户利用范围，严格审批手续。严格控制档案原件的利用，对档案复制件的使用，也应履行相关手续。建立完整的登记、借用、归还等手续。二是使用单位对摘录、复制的档案要严格登记，妥善保管，不得散存在个人手中，不得扩散和转让。严禁擅自摘抄、复制档案，因工作需要从档案中取证的，必须按查阅档案审批权限经审查批准后才能复制（或拍摄）。三是在档案利用场所安装摄像监视器，严防利用者在档案上涂改、圈画、抽取、折叠、裁剪、撤换。用户利用档案时，必须爱惜档案，不准向无关人员泄露档案内容。四是收回档案时，仔细翻阅检查被利用的案卷和摘抄的内容。

2.3.2档案编研时的安全保护

一是应当依据档案法规，遵循档案保护的标准与技术规范，遵守档案利用与安全的相关规章制度。二是规范管理，避免使用不当或过度造成损伤及损毁。三是从保护档案、方便利用的原则出发，更多采取档案的数字形式、复制件形式，尽量避免档案原件的重复使用，减少利用损伤。

2.3.3档案展览中的安全管理

档案展览活动范围广、接触对象多、档案展览形式多样，增加了档案受损和破坏的概率。一是档案展览场所应配备安全设施和保护设备，防止档案被盗、被损坏、被破坏情况发生。二是监管展览中的档案安全，防止档案展览过程中人为损伤、展览环境变化、用户不当操作等因素对档案的破坏。三是制订档案展览中灾害防护和突发事件应急处置方案，确保档案安全。

2.3.4档案外借（转递）中的安全管理

档案馆（室）要检查与控制借出的档案，履行手续，规范操作，保证安全。一是出借给单位或个人的档案复制件、摘抄材料，必须加盖档案馆（室）公章。二是利用单位或个人借用的档案，要严格登记，妥为保管，不得扩散和转让。三是不允许利用单位或个人长期保存，用毕一律退回。此外，转递档案时，应当依据安全保密要求，履行审批手续，依章规范操作，防止出现档案丢失或损坏的情况发生。

2.3.5档案移交的安全管理

档案室应依法定期将具有长远保存价值的档案向档案馆移交。一是做好交接前的准备工作，对所有保存档案进行一次全面清理，做到账物相符。二是对借出的档案要及时催还，一时归还不了的要问明原因，整理好档案借阅查询登记簿，并在档案借阅查询登记簿上注明原因及催还情况。三是按档案移交要求编制移交清单，有特殊情况需要说明的附于清单后。

2.3.6档案转移运输中的安全管理

一是档案转移运输时，使用牢固、干燥的包装材料和装载形式对被送档案进行包装，并进行档案安全检查，防止转运过程中档案的损失。二是档案转运中包装箱应符合档案安全要求，全程注意档案的完好与完整，避免发生档案损坏、被盗、丢失事件。三是档案远距离运输转移，应考虑天气变化，防范暴雨、冰雪或大风等恶劣天气，以及突发事件可能对档案造成的损失和危害。

3档案安全风险控制指标及其实施方式

3.1风险控制方式

确保档案安全，需要消除安全事故隐患，化解安全风险。全过程管理中档案安全的风险控制，作为常态化的风险控制，是档案安全重要性和长期性的体现，是档案安全体系建设中的重要内容。档案安全的风险控制指标是一种对档案安全事故发生和发展能够作出基本判别的评估指标。借助量化的风险控制指标，能区分档案安全风险隐患，确定事故的破坏程度，预判危害的发展态势，达到减少灾害发生的概率和控制风险的目的。

3.2风险控制指标的制定与作用

设计全过程档案安全管理的风险控制指标，需要依据国家档案安全战略、本单位所属系统的发展需求、面临的安全工作形势和现实情况，从降低档案安全风险的要求出发，认真研究制定考核依据、考核内容、办法及评分标准、考核成绩及否决条款等内容。全过程档案安全管理的风险控制指标可以设定成三级指标，其内容涉及档案的安全防护与风险控制，针对档案的实体管理与信息安全。档案安全风险控制指标，主要涉及全过程管理中安全防护、隐患消除、风险控制，以及数字信息安全等内容。档案安全风险控制指标的主要内容与工作目标详见表1。档案馆（室）风险控制指标的核心内容，是档案保管和档案利用的安全。风险控制指标包括档案安全隐患和潜在风险的工作环节、人员和场所。控制风险的范围包括库房基础设施、配置的设备设施，也包括档案前端与后端管理，以及档案减灾处突和档案抢救修复等内容。设计风险控制指标需要以档案总体安全为目标，从时间周期、保护措施、控制风险效果等方面，加强档案安全管理，并通过档案安全状态的实时监控，及时分析档案安全态势及发展状况，调整与评估档案风险控制指标的实施效果。风险控制指标的作用，是档案行政管理部门指导和监督档案馆（室）开展档案安全工作的依据，成为衡量各级单位档案安全工作开展情况的评估标准；也是各级各类档案馆（室）进行档案安全工作自查、实施自我监督的工作标准。

风险管理控制过程例3

近年，随着国内经济高速发展，市场竞争加剧，企业并购数量成倍增长，通过投资实现快速扩张已是众多企业寻求自身发展的首要选择。 因此，投资管理过程的风险控制也显得尤为重要。企业投资的成败关系着企业未来的生存与发展，如何有效地防范和降低企业投资风险，使投资收益最优化，这是值得每个企业深入研究的。

一、企业投资风险的成因

（一）企业投资环境的复杂化

随着全球经济一体化进程，企业所处环境复杂多变，面临国内外政治、经济、军事、人文等多种因素的综合影响，任一方面细微的变化，都会使企业投资环境发生质的改变，带来不可预估的风险。例如可能发生的国家宏观经济政策、货币政策的调整，导致企业财务环境的不确定，企业的投资规模、投资方向等若不及时调整，投资风险亦会随之增高。

（二）追求高回报投资带有盲目性

一般情况下，投资和收益是成正比的，但企业在投资时往往为了追求较高的投资回报却忽略了投资的风险。企业在接受投资时如果只考虑到回报而忽略了企业本身体制和结构是否符合投资项目，那么企业的投资风险会陡然增大，势必会造成经济损失。

（三）国家政策变动导致利率升降

国家宏观调控和市场行情都会影响利息的升降，使其处于不稳定状态。我国市场利率化改革过程中，对于企业风险利率宽度增加。随之，企业在利息风险方面缺少管理经验，也缺乏应对的价格机制，利率风险计量和相应的监视系统对于我国企业来说是一个严峻的考验。

（四）企业管理者缺乏投资风险意识

企业缺少科学的投资管理机制，企业管理者又不具备投资风险控制理论。为了节省决策时间，管理者大都不愿意进行经济政策研究，不做市场调查，对企业投资前自身和投资后自身情况及经营影响考虑不健全，加之管理者缺少应对风险的经验，使企业投资产生风险。

二、企业投资风险的识别

（一）市场风险识别

巨大的投资发展空间不代表具有较大的市场份额，只有先前做好市场调查和市场战略研究，并对同行业的企业状况及潜在的其他竞争对手做好分析，才能高效准确的发现适宜于企业本身的投资机会。理顺投资市场的发展趋势，运用有效资源，做出合理决策，避免无效投资，投资才不会成为无源之水，获得最大的投资收益。

（二）资源风险识别

对投资进行可行性研究时，要统筹好资源与投资的关系。首要是从投资的客观要求着手，研究资源和上下级产业链的制约度；再次，要从企业履行的社会责任角度，投资项目是有利于建立资源节约型社会，是可持续发展之路。因此整个投资项目的资源供应是否能满足生产所需要的时间，资源是否最合理最节约的加以利用，在投资进行初期要认真贯彻落实。

（三）技术风险识别

投资是企业更新能力自主创造的重要途径，在投资可行性研究时，既要做好技术与投资项目的适用度分析，也要考虑技术在可行性的基础要推陈出新。通过在投资中接触到的先进技术，在实际生产中实习领会，有可能产生更新能力自主创造的机会，在市场的推动下，能力切实提高，会加快产生企业效益。

（四）资金风险识别

投资过程中，资金投入是关键。根据投资项目情况，企业会筹集银行及非银行资金或外商资金。完善企业投资资金风险识别，需重点分析资金筹集是否稳定，严格遵守科学合理性原则。要尽量选择筹集资金成本较低的途径，减少在筹集资金环节的风险。

三、企业投资风险的应对

（一）控制企业投资资金风险

控制投资资金风险的一个主要办法是，正确地筹措资金和使用资金，发挥好资金的效益。资本密集型企业普遍具有的特点是资金筹集密集、流动性较强、不容易控制。想要避免投资资金风险，必须使企业投资的管理以企业资金管理为中心。为了更好的促进企业的未来发展，必须有效的加强企业投资资金和运用资金之道。

（二）提高管理者水平和风险意识

管理者是否具有较高的素质和水平直接关系着企业的成败，他是赋予企业生命力的重要因素，没有管理者的企业，如同生命没有了灵魂。高素质的管理者会使企业蓬勃发展，具有对潜在风险认识识别的能力也是优秀领导者所要具备的能力。作为企业的领导者，要能全面了解在投资中将面临的风险，高度认识风险的客观性，采用科学的方法预测、防范、规避投资过程中的风险。

（三）注重加强企业投资组合

投资组合是种行之有效的降低风险方法，将资金分布在企业发展的各个阶段，分配在不同的项目上，这样可以将风险分散。投入部分资本，却不用承担全部风险，只要有些投资成功就会弥补某个失败投资造成的损失，防止投资孤注一掷，确保了企业在整体上的盈利目的，保证了企业投资收益。

（四）建立企业风险预警机制

建立健全企业风险意识和预警系统。预警系统对潜在的现实风险能进行量化评估，分析出投资项目可能存在的根源因素，向领导层发出信号并及时采取预防对策，有效规避风险。企业所建立的预警系统要想合理，需注意明确投资预警的应有目标，建立确定预控措施。

由此可见，企业投资风险的控制贯穿投资管理的全过程，从立项到最后的投资回收，不同的环节面临不同的风险，对投资风险合理评估、恰当应对，才能最终实现投资预期收益。

参考文献：

风险管理控制过程例4

1概述

我们可以将合同管理划分为四个阶段：合同准备阶段，包括合同的前期调研、初步确定准合同对象、谈判、拟订合同文本、审核等程序；合同签署阶段，包括正式签署合同、将合同分送相关部门等程序；合同履行阶段，包括合同履行、变更或转让、终止、处理纠纷等程序；合同履行后管理阶段，包括合同归档保管、执行情况评价等程序。

2合同管理流程中的风险分析及控制手段

合同管理风险包含在整个合同管理流程的各个阶段当中，所以分析合同管理风险，可以从合同管理流程入手。我们将合同风险分为合同准备阶段的风险、合同签署阶段的风险、合同履行阶段的风险和合同履行后管理阶段的风险。

2.1合同准备阶段的风险

合同准备阶段的风险是指在合同准备过程中存在不当行为的风险，包括合同尽职调查风险、谈判风险、合同文本风险、审核风险等。

合同调查风险是指在合同调查过程中对被调查对象做出不当评价的风险。这种风险主要体现在对被调查对象的主体资格、资质、资信情况及履约能力给予不当评价的风险。要控制这类风险，主要是提高合同管理员的专业素质和责任心，在充分收集相关证据的基础上做出恰当的判断，如调查是否已办理油田准入证；调查合同相对人的主体资格等，重要交易合同和诉讼、担保等或有事项，环境保护、税务、劳动关系状况；建立合同对象的信用档案等。

合同谈判风险主要表现为：对合同标的、产品和服务的数量、产品或服务的质量或技术标准、价款或酬金的确定方式与支付方式、履约期限和地点及方式、违约责任的主要类型及其承担方式、争议的解决方法和地点等涉及合同内容和条款的核心部分，乃至关键细节等的忽略或做出了不当的让步，可能导致企业权益受损的风险；对可能存在的不符合国家产业政策和法律法规要求之事项的忽略。控制合同谈判风险的主要方法是组建素质结构合理的谈判小组，如要求谈判小组中应当有谈判经验丰富的技术、财会、审计、法律等方面的人员参与谈判，必要时还应当聘请外部专家参与合同的相关工作；在谈判过程中，谈判小组及时总结谈判过程中的得失，研究确定下一步谈判的策略等，充分发挥团队的智慧；在整个过程中，强调并做好保密工作。

合同文本风险是指合同内容和条款不当的风险。这种风险主要表现为：合同内容和条款可能存在的不合理、不严密、不完整、不明确或表述不当，可能导致重大误解；合同内容违反国家法律法规或国家产业政策等。控制这类风险的主要方法是严格执行合同审核制度。

合同审核风险是指在合同审核过程中没有发现或纠正合同不当内容和条款的风险。这种风险主要表现为：合同审核人员因专业素质或工作态度的原因未能发现合同文本中的内容和条款不当的风险；虽然发现了问题但未提出恰当的修订意见的风险；合同起草人员没有充分考虑合同审核人员提出的改进意见或建议，导致合同中的不当内容和条款未被纠正等。控制此类风险的主要方法是提高合同审核人员的专业素质；划分合同起草人员和审核人员的责任；制定合同审核操作指南；建立合同审核工作底稿；实施合同管理责任追究制度等。

2.2合同签署阶段的风险

合同签署阶段的风险是指在合同签署阶段存在不当行为的风险，主要包括合同正式签署风险等。

合同正式签署风险是指正式签署合同过程中存在不当行为的风险。这种风险主要表现为：合同印章管理不当，为不符合管理程序的合同加盖了合同印章；签署后的合同被篡改等。

采油院合同专用章实行集中管理，由合同管理部门统一保管与使用。建立合同专用章使用登记台账，如实记录登记盖章时间、合同名称、对方名称、标的额、经办人、盖章人等内容。合同必须由双方当事人当面签订；采取恰当措施，防止已签署的合同被篡改，如在合同各页码之间加盖骑缝章、使用防伪印记、使用纸质合同书、加盖骑缝章，防止对方单方面改动合同文书等。

2.3合同履行阶段的风险

合同履行阶段的风险是指在合同履行阶段中存在不当行为的风险，包括合同履行过程中的风险、合同变更或转让风险、合同终止风险、合同纠纷处理不当的风险等。

合同履行过程中的风险是指在合同履行过程中存在的风险，主要表现为违约风险，即本企业或对方没有恰当地履行合同中约定的义务。控制违约风险的主要方法是：签约前认真调查对方的履约能力和商业信誉等情况，尽量只与具有良好履约能力和商业信誉的单位签订合同；在合同中明确规定违约责任；要求对方为履行合同提供相应的担保措施；对合同履行过程进行监督，一旦发现对方有违约的可能或违约行为，则采取相应措施将合同损失降到最低等。

采油院加强监督检查和验收结算环节，监督检查环节包括合同管理部门对将要到期的合同督促经办单位按期履行，对部分不能按期履行的合同查清原因，进行整改。在验收结算环节方面，合同履行完毕，经办单位及时验收，对复杂合同和重大的合同组织有关部门参加验收，经办单位持合同履行结算报告单到合同部门签署意见后再到财务部门办理结算。

合同终结风险是指在办理合同终止手续过程中存在不当行为的风险。这种风险主要表现为：未达到终止条件的合同终止；合同终止未办理相关的手续等。控制此类风险的主要方法是：明确规定合同终止的条件以及应当办理的相关手续；指定专人对合同终止手续进行复核等。

合同纠纷处理不当的风险是指在处理合同纠纷过程中存在不当行为的风险。这种风险主要包括：未及时向相关领导报告合同纠纷和拟采取的对策；未及时采取有效措施防止纠纷的扩大和发展；未与对方有效协商合同纠纷解决办法，或合同纠纷解决办法未得到授权批准；未收集充分的对方违约行为的证据，导致本企业在纠纷处置过程中处于举证不力的地位；未按照合同约定追究对方的违约责任等。控制此类风险的主要方法是明确规定合同纠纷的处置办法；明确各类人员在合同纠纷处置中的责任等。采油院2012年全年在合同管理中未发生一起法律纠纷案件。

2.4合同履行后管理阶段的风险

合同履行后管理阶段的风险即在合同履行完毕或终止后管理过程中存在的风险，包括合同归档保管的风险、执行情况评价的风险等。

合同归档保管的风险是指在合同归档保管过程中存在的风险。这种风险主要包括合同丢失或泄密；合同被滥用等。控制此类风险的主要方法是明确规定合同管理人员的职责；实施合同管理的责任追究制度；对合同保管情况实施定期和不定期的检查等。

采油院经营管理部通过生产经营监督系统建立合同管理台账，充分利用信息化手段，定期对合同进行统计、分类和归档，详细登记合同的订立、履行和变更等情况，实行合同的全过程闭环管理。并向法

（下转第79页）

（上接第74页）

律事务处定期报送合同统计分析情况，做到信息准确，内容完整。

3 结论

风险管理控制过程例5

中图分类号：F273 文献识别码：A 文章编号：1001-828X（2017）015-0-01

前言

构成质量管理工作的重要组成部分就是外包产品质量管理。近年来随着航天事业的快速发展，航天产品的外包范围也在不断拓展，但是随之而来的是频繁发生的外包产品质量问题，其在一定程度上阻碍了航天事业的发展[1]。

一、航天产品外包过程存在的质量管理风险

（一）部分供方没有根据航天产品的要求进行管理模式

部分供方在对航天产品的研制任务进行承担时，只是利用项目组的形式进行，而且在参与的过程严重缺乏供方的相关职能部门，这就导致研发活动主要是流于形式，对其进行敷衍[2]。同时部分供方的研发队伍具有极大的流动性，因此其经常出现的一种情况就是人员不足或者变动，而且具有较长的研发周期是航天产品的特点，但是这两者之间是不一致的。另一方面，由于部分供方自身的习惯，在管理过程中误将系统外产品当做横向产品，从而使严格控制质量的程度大大降低。这些问题都会使研发的航天产品具有较低的质量和较差的可靠性。

（二）任务双方没有明确产品的需求

任务双方没有明确产品的需求主要体现在两个方面：1.任务方没有对供方及时传递相关的产品质量的管理要求。对任务技术指标过于重视，忽视管理方面等是任务方主要传递给供方关于研制产品的任务要求内容，因此供方根据得到的相关内容对相关产品进行研发的过程中出现的一种现象就是对产品的功能达标过于重视，而对质量管理却进行了忽视[3]。2.供方粗略的策划航天产品的质量。由于供方没有足够重视和了解航天产品的质量管理，所以供方在策划产品的过程中，没有保障航天产品极强的可行性和针对性的要求，从而使供方用广泛的管理体系管理航天产品的质量，而且对于特殊性产品的相关要求也严重缺乏。另一方面，对于航天产品质量的相关要求，在策划外包产品的过程中也没有进行清晰和有效的展示，从而使其实际工作难以落实，只是流于形式。

（三）质量管理风险受到供方分散性的影响

供方对较少的航天产品成本风险进行承担。在对航天产品进行研发的过程中，供方的基础设备要完善、对特殊的管理要求进行明确和严格执行以及对合格的人才队伍进行培养等这些要求是由航天产品较高的技术含量、较长的研发周期和较高的成本投入等特点决定的[4]。如，某单位的电装生产线的防静电和清洁度等方面的基础设备与航天生产产品的要求不一致，这时就需要供方对基础设备进行升级，使其与实际的生产需求相符合，这个过程中的资金都是由供方出资的。

二、航天产品外包过程质量管理风险的解决对策

（一）对供方的入场资质进行明确

任务方要从以下几点对供方的入场资质进行明确：1.要利用武器装备质量管理体系对整机研发单位和拟承制产品进行相关的认证；2.要利用国防武器装备保密资格方式对整体研制单位、级别和拟承担任务密级契合度进行认证；3.要根据任务的最低要求对外包供方的专业技术水平和实际生产能力进行检测，淘汰不合格的供方。供方准入的要求要与《质量管理体系要求》中的通用要求和产品质量保证大纲中的具体规定相一致。

（二）对产品的策划进行注重

在验证产品样机以后，要同时验证供方研发产品的水平和保证质量的能力，这样可以使工作步骤减少，使工作进度大大加快。而且，要在合同中添加航天产品质量管理要求的相关文本，同时要让供方准确的得知，让供方在执行过程中严格根据合同进行[5]。对供方的质量监管主要是在策划产品的阶段，要对供方质量监管的加强发挥促进作用，使其对合同中的相关规定能够严格执行，将质量问题在研制产品以前进行有效的避免。

（三）任务双方的沟通要加强

对于供方的质量会议要及时召开，及时分析研发产品的质量状况，将质量管理工作落实在研发过程中的各个环节中，而且要鼓励和支持优秀的供方，这样可以对其它供方的质量管理工作发挥激励作用。另外，质量管理的相关培训工作要定期开展，使研发人员和管理人员的凝聚力大大增强，对研发产品的风险进行准确的评估，使双方之间的沟通大大加强。

任务双方要对快速传递信息系统进行建立和完善。首先任务双方样对相关的工作人员进行确定，如项目的负责人、质量管理负责人以及计划和技术的负责人等；其次要将相关的信息要求传递给已经确定的相关工作人员，这样可以使传递信息的效率和准确性都大大提高，使研发产品过程中的质量监管工作得到增强。

（四）对经济管理方法进行充分的应用

主要从两个方面对经济管理方法进行充分的应用：1.要奖钇兰畚优秀的供方，主要的奖励措施有优先选用、优先付款以及对预付款比例进行提高等；惩罚评价为落后的供方，惩罚的措施主要有任务量的安排进行减少以及对预付款比例进行降低等。2.要将质量保证金在合同中进行明确，质量保证金的范围包括任务提出方因外包产品质量问题造成的质量损失费等。

三、结语

综上所述，通过对外包过程质量管理工作进行具体的研究，对航天产品外包过程质量管理中存在的风险进行了分析，如部分供方没有根据航天产品的要求进行管理模式、监督供方的方法单一以及任务双方没有明确产品的需求等，根据存在的风险，提出了针对性的解决措施，即对供方的入场资质进行明确、任务双方加强沟通以及对经济管理方法进行充分的应用等，通过这些措施可以有效的控制航天产品外包过程的质量，从而可以促进航天事业的进一步发展。

参考文献：

[1]石峰，于玮.航天产品外包过程质量管理风险及控制措施[J].质量与可靠性，2016，2（1）：39-41.

风险管理控制过程例6

中图分类号：F273 文献标识码：A

0.前言

从过去5年中的统计结果来看，外包产品质量问题在问题总数中所占比重较高，已经超过了半数，这对于航天事业的发展是较为不利的，因为外包产品质量管理一直以来都是质量管理工作的重要构成部分。根据航天科技集团公司出台的加强质量管理要求等相关规定，我们公司在结合企业自身发展情况的基础上，对外包过程中面临的质量管理风险进行分析，同时提出合适的控制措施，从而确保产品质量合格，满足顾客需求，促进航天事业整体顺利发展。

1.外包过程中面临的质量管理风险

现阶段，我国的航天产品行业已经积累了不少针对外包过程的质量管理经验，其中涵盖了：提前检查供方资质；对外包产品生产进行监督；按期对产品进行验收；每年年末对供方进行综合评估等。不过，从外包产品近期不断增加的质量问题数量和对供方研制过程的监督结果来看，外包产品在质量管理方面还面临着不少风险。

1.1 某些供方管理模式达不到航天产品要求

某些供方只是通过项目组的形式来承担航天产品的研制任务，在供方单位相关职能部门缺少参与的情况下，其研发活动更多是以敷衍了事、走过程为主；某些供方研发队伍流动性大，经常出现人员变动或人手不足的情况，与航天产品研发周期长的特点是相悖的；某些供方会根据习惯，把系统外产品列为横向产品实施管理，降低了质量控制的严格程度等等。上述的这些问题都是造成航天产品研发质量低、可靠性差的主要原因。

1.2 任务双方对产品需求理解不够明确

（1）任务方没有把对产品质量管理的要求按时传递给供方。任务房关于产品研制任务要求的传递内容，通常有重任务技术指标、轻管理等情况，这样会使得供方在研发产品过程中单纯地注重产品功能达标，忽视质量管理。同时，任务提出方一般是在研发过程的节点，甚至是直到验收时才将质量管理要求都清晰地告诉供方，这样对于供方来说，许多需要在研发过程中就进行控制的质量要求，包括强制检验点、风险分析、元器件选择等内容，被迫延后，在研发工作结束后才能进行。

（2）供方对航天产品质量策划太粗糙。供方对航天产品质量管理不够重视或是不够了解，因此其产品策划中往往没有针对航天产品详细的、可行性强的产品质量保证要求，从而造成供方的质量管理体系对航天产品质量管理要求太过宽泛，缺少针对产品特殊性的相关要求。同时，外包产品策划过程中也没有详细、清晰地展示怎样有效地达到这些要求，从而导致空有一纸文书要求，却无法有效落实。

1.3 供方分散带来风险

（1）供方承担较少的航天产品面临成本风险。在研发航天产品过程中，由于产品的科技含量高、研发周期长、投入成本高，因此供方通常需要有足够的基础设施、确定并严格执行特殊的管理要求、培养合格的人才队伍等，例如某单位的电装生产线与航天产品的要求有着较大的出入，防静电、洁净度等方面的基础设施达不到航天产品生产的严格要求，就需要供方自行投入资金，以升级基础设施，满足生产的实际需求。不过从实践来看，有些供方供应的产品合同数额太少，对于研制方的研发任务难以提供足够的资金支持，这样，就形成了两难局面。

（2）培养供方投入成本提高。按照型号研发的实际需求，近期以来，合格供方数量有着逐渐扩大的趋势，而任务方为了培养供方所付出的时间、精力、资金也不在少数。从相关统计结果来看，承担整机研发的新选供方至少需要有着整体产品研发周期的磨合经历，才可以真正掌握航天产品质量管理要求，积累足够的经验，确保下次合作的顺利进行。而每次新选供方的磨合经历，都是任务提出方耐心指导，提供相应的帮助，这样对于任务方而言无疑是较大的成本支出。

1.4 供方的监督手段不够丰富

一直以来对供方的质量监督以验收时的结果为主，方法太过简单，不够丰富，对于大多数的供方监督是缺少威慑力的，这也是近些年来外包产品质量问题频发的主要原因。同时，由于没有一个完善的竞争机制，因此供方单位为了争夺外包机会采取了诸多违规甚至违法行为，搅乱整个市场的秩序。所以，这就要求任务提出方、供方、政府监管机构以及社会舆论等共同对供方的产品研发和质量管理进行监督，通过明确的经济手段，包括在合同中加入质量保证金、细化质量要求等方法，来加大对供方的监管力度。

2.应对外包过程质量管理风险的手段

2.1 明确供方入场资质

对于供方准入需要明确量化门槛，包括以下几项内容：

（1）整机研发单位需要通过武器装备质量管理体系认证，同时认证产品范围包括拟承制产品。

（2）整体研制单位需要通过国防武器装备保密资格认证，同时认证级别和拟承担任务的密级相契合。

（3）外包供方的专业技术水平、实际生产能力等需要达到所申请任务的最低要求，检测不合格者被立即淘汰。

对供方准入的具体要求不但需要符合GJB9001B《质量管理体系要求》中的通用要求，还需要结合产品质量保证大纲中的具体规定，在了解产品情况和研发过程的基础上确定需要关注的检查项目，包括电装生产过程、元器件的采购、试验过程等内容，在对这些内容进行充分检查后再对供方资质进行合理评估。

2.2 关注产品策划

在产品样机在得到验证以后，需要对供方产品的研发水平和质量保证能力一起认证，加快工作进程，减少工作步骤。同时，把航天产品质量管理要求编制成合格的文本，添加到合同中，并明确地告知供方，要求供方按照合同严格执行。在产品策划阶段就对供方进行质量监管，能够及时地督促供方加强质量监管，严格执行合同中的相关规定，在产品研制以前就杜绝质量问题的发生。

2.3 任务双方加强沟通

（1）按时召开供方质量会议，对于产品的研况及时地实施质量分析，通过明确每个环节的质量要求，做好质量管理工作，同时，对于优秀合格的供方需要进行鼓励，从而激励其他供方做好质量管理工作。此外，按期、积极地实施质量管理培训，从而让研发工作人员和管理人员上下一心，评估产品研发风险，加强相互沟通，促进彼此合作。

（2）任务双方建立并完善信息快速传递系统。任务双方需要先确定项目负责人以及质量管理、计划和技术工作者等相关人员，在确定了彼此的工作人员后再开展信息传递工作，确保信息及时有效地传递到对方手中，提高信息传递的效率和准确性，以加强产品研发时的质量监管工作。

结语

本公司通过实施上述外包管理实践工作，分析了供方质量管理存在的风险，并提出对应的措施。外包单位应按照质量保证、可靠性、维修性、标准化等大纲要求，结合本单位产品特点制定工作要求或实施细则，并纳入本单位的质量管理体系程序文件或作业文件。为加强型号外包任务的质量管理，需对外协单位的质量监督检查、质量体系建设、工艺过程控制情况等进行综合评价、打分，从而有效地控制外包过程中的质量管理风险。

参考文献

风险管理控制过程例7

中图分类号：F407.22 文献标识码： A

一、前言

随着社会的不断进步，社会生产力的逐渐提高，一些大型项目的规模及复杂性也在逐渐加大，而面临金融危机的到来，为了避免一些随机干扰因素的影响，减少企业项目的风险，对项目的风险进行管理就显得特别的重要。

二、认识国际海洋石油工程项目中存在的风险种类

1、技术方面风险

从技术方面考虑，主要包括标准、能力、技术、复杂性与界面、质量、安全等方面的风险。如外方业主要求的技术标准为国际通用标准或施工当地标准，与我国施工标准差异性大；如选择当地人员施工，如何进行管理或对其技术能力可能需要进行再次培养；如果从当地采办材料，质量合格率是否达到标准，供货周期是否符合要求。再如设备供应是否如期到位、项目经理业务能力和管理水平是否高效、工人现场施工操作能力是否专业、施工器械的保养维修是否完善等属于技术管理层次上的未知风险。

2、外部风险

从外部管理方面存在的风险主要从分包商、供应商、业主、气候、政治与社会、税务与汇率几方面进行评估。

如海外海洋石油工程所在国多在中东等国家，易发生战争或内乱，造成社会动荡、政权更迭；施工所在国家政府政策颁布如何，政府官员是否有高水准的办事效率与执政能力；当地劳动力整体素质和价格是否满足工程的需要，当地劳务的工会组织对境外项目的持什么样的态度；工程所在国与邻国相处是否友好安定，边境稳定情况如何等都是有可能影响甚至决定整个工程建设还能不能继续进展的关键所在；再如施工所在地政府（海岸警卫队、海关等）部门规定繁多，甚至有些国家部门规定经常变化，施工方如不前期进入当地深入了解，易因对规则不熟悉（签证办理，海员证件使用），造成施工中与政府部门界面不衔接，影响施工进度。

海外海洋石油工程除考虑陆地自然风险外，在海上作业施工时更要考虑不同海域不同季候窗口下的海域环境，如不深入了解施工海域季候窗口规律，极易造成施工计划窗口不能按期施工的情况（如遭遇台风、风暴潮等），如果合同签署的保护条款不完善，除延误海上作业工期外，船舶费将损失更加严重。如海上施工船舶为中国籍，或从中国海域调至国外施工海域，还要充分考虑海盗风险，确保船舶及施工人员安全。

同时，通货膨胀、拖欠付款、外汇浮动和保护主义等经济风险也必须充分考虑。海外海洋石油工程承包商除了要遵守正常的税收法令义务缴税外，还经常被强行索要税法之外的种种摊排及不合理、不合法的保护费用。除以上四大项之外，海关手续办理、保函风险、世界经济危机等都是制约国外工程建设的经济因素种类，必须要引起国际项目管理者的高度重视，以防患于未然。

3、内部风险

除外部风险外，针对海外施工的海洋石油工程企业，更应充分评估企业自身人力资源、设备资源、场地资源是否满足施工计划需求，职能部门间是否能够有效协调、沟通，流动资金是否满足海外施工应急需求。

4、项目管理方面风险

如进行海外海洋石油工程施工，施工企业应充分评估项目管理人员资质与能力，选择有海外施工经验的人员（最好是选择在施工当地进行过项目管理的人员），了解国际惯例与当地文化，具备一定英语水平及合同管理能力；避免选择无海外施工经验项目管理人员，以预防沟通不畅、组织协调能力欠缺、服务水平不高而造成项目进度滞后或与当地政府部门沟通出现阻碍等情况发生。

三、我国国际海洋石油工程项目风险管理中存在的不足

1、缺乏风险识别意识

风险识别意识是项目风险管理成功的第一步，也是最关键的一步，目的在于及时发现在项目质量、进度、投资等方面存在的风险隐患，提高项目风险管理的深度和广度。在国际化项目投资管理中，我国三大石油公司普遍存在的问题是缺乏石油项目的风险识别意识和国际石油市场风险识别能力，过度重视股东投资回报率，对潜在的风险缺少高瞻远瞩的判断、定性定量的分析和科学理性的预防，甚至存在侥幸心理，对已经出现的问题放任自流、不闻不问。在施工环境日益复杂、国际竞争日益激烈的石油工程项目中，一旦风险爆发，将带来不可估量的财产损失和资源损失，导致项目整体的失败。

2、确乏专业的风险评估机构

在前期风险预测和风险识别的基础上，采集广泛的资料，并对其进行定性定量的分析，对风险发生的概率和风险的灾害程度有一个整体的评估和了解，从而确定关键风险因素，能够为风险处置提供必要的科学依据。在国际风险管理研究和风险评估研究趋向系统化、专业化的同时，我国才刚刚着手建立专业风险评估机构。因此，专业的石油项目风险评估机构及从业人员大量匮乏，项目风险评估缺少实战经验，常处于粗放状态。

3、风险管理手段单一

风险管理是指人们采取各种行之有效的方法对项目管理中的风险进行识别、评估、预防和控制的过程。从设计、采办到施工各个环节进行风险识别，并在此基础上建立项目风险管理体系对成功实现项目目标有至关重要的作用。但我国项目风险管理方法不够全面，掺杂了管理者的主观情绪、经验、个人知识、冒险精神等大量主观因素和情感因素。

四、探讨在国际海洋石油工程项目中进行风险管理的策略

成功地进行企业经营和风险管理对国际工程项目的重要性不言而喻。既然国际石油工程项目处处有风险、时时有危机，我们就不能消极接受、坐以待毙，反而应该树立信心，实施积极有效的风险管理，争取化风险为机遇，确保境外工程建设顺利实施，保障企业的合法利益。

1、风险识别

由于任何一个项目都有自己的特点，所以每个项目的风险也各不相同，正确识别有可能出现的风险是整个项目风险管理的基础。而风险识别的参与者可以包括：项目经理、项目团队成员、专门风险管理团队、业主、项目之外的专家、用户、各参与项目的单位、分包商、供货商及其他干系人。

2、风险评价

项目风险是一个潜在的威胁与项目利益相结合的整体，对风险进行评价既包括对风险发生概率的考察又包括风险发生后后果损失的考察，所以风险评价环节侧重于风险管理的技术手段，必须要采取多种多样的国际项目评估方法。在国际海洋石油工程项目风险管理研究中，风险评估是很重要的一环，其功能在于对各种类型的风险进行定性和定量的分析，整体掌握风险发生的概率和损失后果，对后期风险控制管理和风险监控提供科学必要的依据。石油工程承包商必须要对国际海洋石油工程风险有一个全面详尽的了解，正确划分风险构成，客观掌握可能发生的事故原因以及导致的灾害程度，对国际石油工程项目得出一个整体性、综合性的评价，不断降低企业的海外工程风险，获得效益最佳化。

3、建立风险预警机制

在企业的内部应该建立风险管理小组。小组的成员应具有敢于创新、善于沟通、临阵不乱以及亲和力这些素质，并且熟知企业以及行业的外部环境，有着比较高职位的管理人员以及较高业务素质的专业人员也应该参与到其中。应该建立预警管理的计划，并且进行风险管理的模拟训练。即定期确定危机的主题，来进行危机处理的训练，这样可以有效提高危机管理的快速反应能力，还可以监测已经设定的管理计划是否可行。

4、把握市场的信息

国际海洋石油工程项目的发展应充分了解市场信息，企业如果要发展壮大，应该以专业队伍为主、使用信息化、规模化集团来进行。实施具有特色发展的路子。只有形成资产、人力、物力的规模效应，发展才会实现质的飞跃。国际海洋石油工程项目掌握、利用市场信息，显得尤为重要。石油企业应该及时掌握外部信息，同时依据市场供求关系的变化，选择多渠道以及全方位的展开经营活动，这样不仅可以大力开展合作经营、分包施工以及配合工作，还可以保证规模效应以及较好的收益。而且通过掌握项目东道国的新政策以及新动向，同国际上先进技术相联系，将会提高专业水平，并且强化资源的最佳配置，这也是追求规模经济效益最大化，发现风险转移以及控制的最佳途径。

5、加大风险管理体系建设的投入

我国应该根据企业自身条件来借鉴国外的经验，不断实现国际海洋石油工程项目经营管理的信息化，建立起国际海洋石油工程项目风险管理的模块，设立风险防范预案以及应急系统，用来对海洋石油工程项目有可能发生的风险做出反应，准确把握，在第一时间内处理。

五、结语

综上所述，在国际市场上，在巨大的经济利润面前，企业需具备的风险防范意识要更强。只有审时度势、随机而定，树立防范意识、敢于正视风险、积极采取应对措施，将冒险精神与谨慎行为相结合才能化风险为利润，在国际海洋石油工程承包市场上占据一席之地。

参考文献：

[1] 臧子东：《国际石油工程项目风险管理问题及对策研究》，《齐齐哈尔大学学报(哲学社会科学版)》，2009年03期

[2] 赵小丽 赵伟奇：《石油项目投资的风险评估》，《科技和产业》，2007年06期

[3] 马如平：《浅谈石油工程物资招标管理中存在的风险与应对策略》，《商业文化(上半月)》，2011年03期

风险管理控制过程例8

一、内部控制在企业应用中的局限

内部控制是社会经济发展和企业管理实践的必然产物，是企业制度的重要反映，经历了内部牵制、控制制度、会计控制、整合控制、风险管理等发展阶段。1992年COSO的《企业内部控制――综合框架》①强调对企业经营的效率效果、财务报告的可靠性和相关法规的遵循性等目标，该框架一经即被企业广泛接受和采用。2002年美国国会和政府通过的萨班斯―奥克斯利法案（简称SOX法案）②对企业财务报告的可靠性和信息披露提出了严格要求，并将COSO《企业内部控制――综合框架》作为企业合规要求的主要参考标准，该法案进一步推动了内部控制在企业的实施。2004年COSO的《企业风险管理――整合框架》强调风险管理对战略制定和实施过程的保证，体现了内部控制向风险管理的演变，但该框架由于是主要延伸了内部控制的思路和方法，大多企业在实施过程中与内部控制的差异不大。

内部控制对企业控制风险、完善内部制度和规范管理程序等发挥了重要作用，但随着内外部环境的不确定对企业影响的加剧，内部控制的局限性制约了复杂风险的管理需要。

（一）风险观的局限

内部控制将风险的概念定位于损失的可能性这一表述，关注于管理中可能存在的缺陷、制度和流程的遵循等流程层面的风险，但对制度和流程之间的联系、决定制度与流程的企业因素、外部环境的影响等方面的整体层面风险关注不足，而这些风险恰恰是企业影响最大、最应关注的风险。

（二）控制手段的局限

内部控制手段往往局限于规范流程上的审批、审核、权责配置等有限手段，缺乏针对战略及业务等整体层面风险的战略性措施和结构性管理手段，如业务结构的调整、客户导向的管理机制、外部合作关系变化等高级手段，而这些是解决整体层面风险的必需手段，也是落实流程内部控制的基本依据。

（三）控制机制的局限

内部控制强调以制度和流程为基础的日常控制程序，主要体现在对业务流程固有风险的常态化控制，对流程相关企业整体层面的风险和需要整合管理的风险通常无能为力，并难以适应环境变化和企业风险管理能力、资源变化而需要实现的优化控制。

2006年国务院国资委的《中央企业全面风险管理指引》 ③提出了一套系统的风险管理框架，更加关注于企业整体层面的风险管理，并将内部控制作为风险管理体系的重要组成部分，但仍未具体明确与内部控制的整合方法，因此在复杂的业务流程风险控制上仍主要借助内部控制的方法。2008年财政部等五部委的《企业内部控制基本规范》④是对传统内部控制的继承和发扬，并借鉴了《中央企业全面风险管理指引》中的一些风险管理方法，拓展了内部控制对企业战略和整体风险的关注，但在如何实现对企业整体层面风险与业务流程的内部控制之间的联系仍未具体明确。

二、基于风险管理的内部控制方法

传统的内部控制难以适应风险的变化和整体层面风险管理的需要，发展中的全面风险管理方法对业务流程上的风险控制缺乏有效手段，因此，综合内部控制与全面风险管理方法成为企业的必然选择。笔者在研究中发现，内部控制与风险管理的方法可以通过整合实现优势互补，可以通过风险管理的方法解决整体层面的风险管理，并以其形成的风险解决方案为基础，结合内部控制落实流程上的风险控制，即通过基于风险管理的内部控制整合解决企业各层面的风险。同时，基于风险管理的内部控制进一步强调以风险为导向，以风险识别和评估为基础控制风险，继而分析、设计和实施内部控制。

基于风险管理的内部控制主要包括三个方面的内涵：一是以风险管理的方法解决传统内部控制的局限，特别是解决企业整体层面风险；二是在业务流程上相应采用内部控制的手段落实整体风险解决方案，并解决流程层面的风险；三是强调风险为导向的控制策略与内部控制措施。基于风险管理的内部控制主要方法结构如图1所示。

具体来讲，基于风险管理的内部控制需要在风险评估、风险控制策略和控制方案、风险管理组织职责、内部控制手段等方面实现整合，表现为一个闭环的管理过程（如图2所示）。

（一）整合风险评估

风险评估以业务目标为基准，考虑到业务活动中的内外部风险因素，从风险的不确定性对业务目标的影响角度实现对整体层面风险与流程层面风险的整合评估。同时，分析风险的具体成因和影响方式，并确定需要重点管理的风险。

（二）制定风险控制策略与控制方案

基于风险管理目标和不同的风险及其特征，特别是针对重大风险，制定相应的控制策略，包括规避、接受、控制、转移等，以及实现控制策略的具体风险控制方案。风险控制方案包括整体层面风险的风险管理措施、流程层面风险的内部控制措施等，为优化组织职责和具体落实流程内部控制提供指导方向。

（三）优化风险管理组织职责

根据风险控制方案调整或优化具体的组织职责，并利用内部控制的方法明确业务活动的制衡关系、重要的决策授权权限和关键业务环节的分工界面等。特别需要强调，在业务流程中落实风险管理三道防线的职责关系，根据风险控制职责分工、风险管理专责机构的定位等，将具体职责与关键控制环节结合起来落实。

（四）落实流程内部控制

根据风险控制方案，实现内部控制措施对风险控制方案在具体业务流程中的承接和落实。同时，在流程上设置关键控制点，具体规范控制措施、控制责任、控制方式以及控制检查手段等，并修订和完善相关制度及标准。

（五）监督与改进

强调风险管理第二、三道防线的作用，通过关键控制点的控制检查及时监督内部控制的执行情况，同时，采用内控自评价和内控审计等实现内部控制的改进及持续提升。

三、供电企业业扩报装业务流程的应用实践

供电企业的业扩报装业务是指为客户提供新装、增容及变更用电，从受理申请到正式供电的全过程，包括为客户提供用电咨询、受理用电申请、设计供电方案、供电工程设计与施工管理、装表接电等14个主要流程的全过程服务，涉及营销、客服中心、生产技术部、发展策划部、计量中心、调度中心等多个职能与业务管理领域，业务与管理的复杂程度较高。其中，客户服务中心履行业务的主体职责，发展策划部、生产技术部、调度中心、计量中心、招投标管理中心、法律部履行辅助职责，营销部履行政策及制度标准制定和监督检查职责，但基建部、监察部、风险管理主责部门的职责在现有业务中未有体现。

供电企业的业扩报装业务主要采用传统的内部控制方法，有着一套相对完整的制度体系和流程体系，遵循国家和地方相关行政法规、国家电网公司相关规章制度以及企业自身的管理制度，已经实现了对一般流程风险的有效控制。然而，随着业务环境的变化，不确定因素对业务的影响显著，传统的内部控制已难以适应风险管理的要求。

（一）业扩报装业务主要风险与风险特征

通过对业扩报装业务风险的整合评估，确定了业务相关的12项风险和若干风险点，包括客户服务风险、依法合规风险、工程设计与可研风险、工程招标及采购风险、多经风险、生产运行风险、电能计量风险、管理机制风险、工程概预算管理风险、廉政监察风险、工程施工风险、生产设备设施风险等。其中，风险主要集中在确定供电方案与收费方案、供电工程设计与审查、供电工程施工、电费管理与监督检查等几个关键环节。各项风险反映了不同的风险特征，主要表现在如下方面：

多经风险、管理机制风险、廉政监察风险、工程招标及采购风险反映出的风险特点主要是影响整个业务流程的整体层面风险。其中，多经风险反映了供电企业与附属多经企业之间的管控关系模糊、关联交易不规范和供电企业对多经企业保护等问题对业扩报装业务优质服务的不利影响，并可能由此产生违规和廉政风险；管理机制风险主要反映了流程部分管理职责缺失、部分部门的职责定位不合理、组织职责不明确和流程环节工作界面不清晰等问题对业务流程的影响；廉政监察风险主要反映在业务流程廉政问题显现和相关廉政监察机制缺失方面的问题，可能仍将产生廉政风险；工程招标及采购风险主要反映了客户招标和直接收取工程款项的管理方式可能违背“三不指定”（即不指定工程设计单位、不指定队伍、不指定设备材料）的要求，并可能产生廉政风险。

・生产设备设施风险反映了供电企业因电网基础设施的投入不足、电网布局不合理等原因产生的供电能力不足的问题，在短期内难以解决。

・其他风险，包括客户服务风险、依法合规风险、工程设计与可研风险、工程概预算管理风险、工程施工风险、生产运行风险、电能计量风险等，主要反映了供电企业在业务活动的流程设计与执行方面的问题。

（二）风险控制策略与控制方案

为有效控制业扩报装业务风险，采用基于风险管理的内部控制方法，优化和提升供电企业业扩报装业务流程内部控制。首先明确业扩报装业务风险控制的主要目标：

・保证符合国家、行业法律法规要求，满足国网公司基本政策和公司内部制度规定。

・确保接电运行后电网安全可靠。

・合理控制接电成本、线损成本等，并努力提高业务收益。

・客户导向，为客户提供高效和高质量服务。

・杜绝业务过程中的廉政与行风问题。

基于风险控制的目标要求和风险偏好，以风险为导向，并根据各项风险的特征，制定风险控制策略和控制方案，其中：

・多经风险采用风险控制策略，调整与多经企业的业务管控关系，规范关联交易和业务过程，从而降低风险发生的可能性和影响，并在设计与施工单位资质管理、工程招标、工程施工质量控制等活动中按调整后的方案控制。

・管理机制风险采用风险控制策略，增加基建部门、纪检监察部和风险管理专职机构在业务流程相关环节中的作用，优化客服中心在业务中的定位及具体职责，明确业务相关各个部门的具体职责和关键环节的工作界面。

・廉政监察风险采用风险规避策略，增加纪检监察部在易产生廉政问题流程环节的监督与检查职责，并规范具体的检查措施。

・工程招标及采购风险采用风险规避策略，调整客户招标模式，规避合同风险，并取消代收工程款项的规定。

・生产设备设施风险采用短期风险接受的策略，短期内接受该风险对企业的不利影响，长期通过设备设施的发展、更替等降低风险的可能性及影响。

・客户服务风险、依法合规风险、工程设计与可研风险、工程概预算管理风险、工程施工风险、生产运行风险、电能计量风险等各项流程层面的风险根据其风险特征，分别采用风险规避或控制等策略措施，并明确具体的风险控制措施。

（三）风险管理的组织职责

根据风险控制策略和控制方案，具体调整和优化业务相关部门的风险管理组织职责，包括：增加基建部对工程设计图的审核职责，增加风险管理专职部门对关键控制点的风险控制检查职责和监察部的廉政风险检查职责，调查客户服务中心独立现场勘察和中间检查的职责，强化营销部业务程序与标准的控制职责，强化发展策划、生产技术、调度中心和计量中心在相关环节中的风险控制职责等。

同时，具体明确业扩报装的不相容职责、主要授权审批权限，并规范各部门在关键流程上的分工界面等，其中：

・不相容职责包括供电方案设计与供电方案审批、供电方案设计与供电合同审批、工程咨询与工程招标、设计图审核与工程招标、工程招标与中间检查及竣工验收、装表接电与运行检查等。

・授权权限包括受理客户申请、确定供电方案与收费方案、设计图审核、施工单位审核、中间检查、竣工验收、确定计量方案、供电合同审批等权限，在企业内部领导层和部门间合理分配相应的授权。

・工作分工界面包括客户中心、营销部、发展策划部、生产部、基建部、调度中心、计量中心、经法部、风险管理专职部门、监察部等部门在前期咨询、用电申请与受理、现场勘察、供电方案与收费方案设计、供电方案与收费方案审批、工程设计与施工招标、工程设计图审核、工程施工、中间检查、竣工验收、签订供电合同、装表接电、常规运行等环节的具体工作分工界面。

（四）流程内部控制

基于风险控制策略与控制方案，并在完善风险控制职责的基础上，采用流程内部的方法具体落实风险控制方案，包括：

・明确业扩报装各项流程的流程目标，流程相关部门的工作职责，并以流程图和流程说明的方式规范具体流程程序。

・确定各项流程的关键控制点，规范控制点的控制部门和控制岗位、具体的控制措施和控制标准、控制的制度与标准依据、控制频率和控制方式等，形成内控矩阵。

・选择关键控制点，确定控制点的检查方法、检查责任和检查频率，作为内部控制的保障措施。

・根据确定的流程内部控制措施，修订和完善相关的制度和标准，落实业扩报装业务流程内部控制的制度保障。

（五）监督与改进

业扩报装业务流程的内部控制采用过程监督、内控自评估和内控审计的方式保证内部控制的有效性。

・过程监督主要基于内部控制检查的方法，由风险管理专责部门按照关键控制点的检查方法检查关键控制点的执行情况，并由纪检监察部检查廉政情况，根据检查结果做出及时改进。

・内控自评估主要由业务流程相关部门定期对本部门的内控执行情况做出评估，并提出自我改进的意见。

・内控审计主要由内审部门根据年度风险评估情况，选择业扩报装业务相关重大风险，执行重大风险相关内控审计。

风险管理控制过程例9

一、全面风险管理和内部控制概念

（一）全面风险管理的概念

全面风险管理是一个持续的实施过程，紧密结合在企业经营战略的设定之中，是企业的董事会、管理层和其他员工共同参与的协作执行，应用于企业的战略制定和企业的各个部门及各项经营活动，用于确定可能影响企业的潜在事项，并在其风险偏好范围内管理风险，从而对企业目标实现提供合理保证。

根据企业管理层经营的方式划分，全面风险管理包括八个要素，内部环境识别、制定经营目标、企业风险评估、经营事项评估、风险应对方案、风险控制措施、信息获取与沟通以及风险效果监控，上述要素之间相互关联，相互协作，始终贯穿于企业生产经营活动中。

（二）内部控制的概念

内部控制是一个动态的全过程，包括控制环境、风险评估、控制活动、信息与沟通及监控五个互相联系的要素，体现于管理层经营企业活动中。企业内部控制由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。这一定义突出强调内部控制是由企业董事会、监事会、经理层和全体员工实施的，旨在实现控制目标的过程，有利于梳理全面、全过程控制的理念。

笔者认为，内部控制的基本出发点是以预防为主，贯穿于企业生产经营的始终，内部控制需通过事前、事中、事后的过程性的控制手段，对内部控制设计及执行过程进行评估，从中获得当前内部控制体系的有关信息，及时对内部控制体系进行修订、完善和补充，确保企业管理的完整性，有利于充分发挥审计职能、提供各方决策依据等内容，以达到整体控制的效果。

二、全面风险管理和内部控制的关系

全面风险管理与内部控制既相互联系又存在一定差异，具体情况如下。

（一）管控实施主体一致

从实施主体上看，企业风险管理和内部控制管控主体都是企业董事会管理层及各息与沟通及监控五个互相联系的要素，体现于管理层经营企业活动中。企业内部控制由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。这一定义突出强调内部控制是由企业董事会、监事会、经理层和全体员工实施的，旨在实现控制目标的过程，有利于梳理全面、全过程控制的理念。

笔者认为，内部控制的基本出发点是以预防为主，贯穿于企业生产经营的始终，内部控制需通过事前、事中、事后的过程性的控制手段，对内部控制设计及执行过程进行评估，从中获得当前内部控制体系的有关信息，及时对内部控制体系进行修订、完善和补充，确保企业管理的完整性，有利于充分发挥审计职能、提供各方决策依据等内容，以达到整体控制的效果。

二、全面风险管理和内部控制的关系

全面风险管理与内部控制既相互联系又存在一定差异，具体情况如下。

（一）管控实施主体一致

从实施主体上看，企业风险管理和内部控制管控主体都是企业董事会管理层及各员工，其管控主体为公司全体员工，为公司战略目标实现提供合理保证。

（二）管控范围相互包含

从管控范围上看，企业的内部控制体系是企业全面风险管理体系中重要的组成部分之一，而内控体系建设的动因则来自企业对风险的认识和管理。内部控制是管理的一项职能，而全面风险管理贯穿于企业经营管理过程的各个方面。

（三）管控视角侧重不同

从管控视角上看，全面风险管理强调通过前瞻性的视角去积极应对企业内外各种可控和不可控的风险，侧重于战略、市场及法律等领域。而内部控制主要通过防范性的视角去降低企业内部可控的各种风险，侧重于财务和运营。

（四）管控目的存在差异

从管控目的上看，企业通过对全面风险管理的战略风险、财务风险、市场风险、运营风险及合规风险等多项风险进行分析、评估获取机遇，规避或预知影响。而内部控制则没有对风险和机遇进行明确的区分。

综上所述，能够对风险包括风险偏好、风险应对策略、风险零容忍度等战略要素，进行准确全面的度量和评估，建立初始信息框架，是全面风险管理工作流程起始点，因此，要确保企业在风险偏好及运营发展战略方面保持一致。内部控制则是在对企业内部风险和机遇分析的基础上，提出各种应对措施及方法，内部控制措施其必要性与风险系数呈正相关的关系，并依据风险内容制定控制机制与实施，企业在生产运营管理中，通过使用具体的内部控制措施的有效工具，对各类风险进行控制、评估，从而监控管理潜在的各类风险爆发隐患。

三、企业内部控制体系实施

随着国家有关部门和资本市场监管要求日趋严格，以及全面风险管理与内部控制理论的特性，为企业建立风险管控体系提供了指导依据。同时，将风险管理理念列为管理重点，以有效的内部控制为基础，科学融合了现代企业管理体系中的风险管理理念，促使企业充分审视、完善和加强自身内部控制管理工作。

建立以风险管理为导向的内部控制体系，从而不断提升企业自身的风险管控能力，其发展历经了SOX内控体系到全面风险管理内控体系演进的过程。

（一）基于财务报告相关基础的SOX内控体系

初步建立以《萨班斯》财务报告为基础的一套内控体系，主要关注内控组织和制度的建设，完成体系的搭建，内外部审计中，均顺利过关，遵循工作总体有效，主要建设效果如下。

1.搭建内部控制体系组织架构和体系

内控体系从组织架构上实行两条线管理机制。一方面，财务部门作为内控职能管理部门与业务部门（虚拟团队）作为运动员，分别负责公司内控体系的设计和执行；另一方面，内审部及外部审计师作为裁判员，负责内控体系的监督和检查。

按照内部控制建设目标和原则，通过统一、规范、系统化的与财务报告相关的内部控制体系制度的建设，完善了基本的内部控制设计，业务流程范围覆盖了企业所有业务部门，形成资本性支出流程、收入和计费业务流程、存货管理流程、营运支出业务流程、货币资金管理流程、固定资产和无形资产管理业务流程、人工成本管理业务流程、会计和财务报告、筹资业务流程、关联交易业务流程、法律法规遵循业务流程、税务管理业务流程及信息技术整体控制等十三大主要内控流程及关键控制点，形成内部控制手册和矩阵。

2.梳理规范业务操作

梳理及规范了业务执行层面各类操作，实现了风险评估、制度设计、业务执行、监督报告的闭环管理流程。通过业务访谈及专业判断进行了业务流程的风险评估，通过内控文档的优化更新及内控制度办法的建立完善了制度设计，通过明确落实关键控制点责任部门和责任人保证执行落地，通过内外部内控审计测试及业务自查加强了监督检查力度，通过定期内控体系建设情况报告形式明确了管理要求。

3.提升风险管理意识

通过结合基于财务报告相关的内控建设初步的风险管理体系，深化了内控的管理细度，实现了将与财务报告相关的内控要求融入日常工作，与业务运营融合，提升了业务执行效率与效果，增强了风险管理意识。

4.内部控制落实

企业通过部门层面内控常态化管理项目的实施，将公司层面的控制落实到部门层面，控制的执行更加明确，转换部门角色，把部门由受控主体转变为控制的主体，形成部门内控闭环管理体系，实现部门内部控制的建立、执行、测试及跟进闭环管理，将控制真正融入到日常工作之中，避免内控管理与生产管理“两张皮”。同时，建立并完善内部信息沟通渠道即内控月报制度，内控月报涵盖了各部门日常工作中涉及的相关内控工作，实现与公司内控职能管理部门财务部的有效沟通。

5.加强内控执行监督

为加强对内控业务执行的监督力度与执行效果，设置考核体系和评价体系，企业采用了将内控业务执行监督纳入公司各部门关键绩效指标考核体系的方式，以加强业务部门对内控管理工作的重视程度；在日常监督检查方面，采取了部门层面内控闭环管理体系，通过明确各部门内控自测要求，促进业务部门开展自测，并与内外部审计等检查实行有效衔接，主动发现风险，从而达到关注重点、聚焦实质的目标，将内控风险管理工作和业务管理工作有机的结合在一起。

（二）以风险为导向、面向业务运营的全面内控体系

开展企业层面的风险评估，编制全面风险评估报告，全面优化SOX内控，梳理、搭建业务风控框架，以风险管理控制为核心，面向生产运营内控体系逐渐过渡到以风险为导向的内部控制体系建设，建立全面内控体系，其主要效果如下。

1.搭建业务框架

内控体系框架不再以存货、资金等会计视角为主线，而是从市场营销、采购等公司具体业务视角搭建。同时，从全生命周期出发，在各关键环节设置数据稽核的控制要求，区分实物管理和数据管理采集稽核样本，从而加强全流程的风险管理控制，提升数据真实性。

2.增设关键控制，注重前后评估

一方面，由于业务合作形式日趋多样，多渠道整合营销及联合促销等合作模式对双方资金、资产安全提出了更高的控制要求。如，对于代销商与营业厅合作业务，对代管存货明确了控制措施，明确控制要求；另一方面，结合原则性控制要求，针对具体方式进一步细化控制要求，提高关键环节控制力度。如，对于采购业务，鉴于采购方式及业务流程不同，区分了招标采购、非招标采购与集中采购三类模式，细化控制要求。

根据业务流程进行梳理发现，部分业务流程未明确事前评估及事后监控的闭环要求。基于此，在业务流程评估的基础上，对部分业务流程增加了前后评估环节，提升了效率效果。

3.合并同质控制

通过长期的业务实践来看，对于同类业务，放在不同的流程中，出现了不同业务部门的认识不统一，导致管理方式不一致。通过业务流程的删繁就简，归并整理了同类型业务控制。

4.梳理标准规范

考虑系统维护量增加，效率降低，以及未来的可扩展性，兼顾控制基线要求，适当强化部分控制，为不断增多的系统提供统一、标准的控制规范，统一了各信息系统的整体控制要求。此外，通过梳理与财务报告相关性系统，考虑其是否产生计费话单或生成财务数据，是否传输或存储财务数据，对与财务报告无直接关联的系统不再纳入内控手册矩阵关键控制系统范畴，而是纳入日常管理流程。

5.实施内控系统固化

伴随企业内控管理制度的逐步规范以及信息系统建设的不断完善，内控制度和流程相对明确，内控工作的重心从内控手册矩阵优化转到控制要求的落实执行上。如何通过信息化手段将内控管理制度落实到实际执行中，将内部控制矩阵中的关键控制点在业务系统中予以固化，以建立常态化的内控执行体系，既是进一步改善内控措施执行的效率和效果，又是实现内部控制和风险管理的智能化和标准化的要求。内控固化管理也是顺应持续性审计、惩防体系建设等内外部监管领域发展趋势，并为业务的健康成长和管理效率的提升提供支撑保障。

（三）以全面风险管理为视角的内控体系

遵循COSOII框架的全面风险管控体系，组织开展重大风险管控项目试点，促进风险管理工作与业务的深度融合，主要关注风险评估和风险应对，实现向全面风险管理过渡，不断完善其风险体系和内控体系建设，构建与以全面风险管理视角的内控体系，其主要建设效果如下。

1.深化风险文化

作为企业文化建设的重要部分，企业已将风险管理文化建设纳入企业文化标杆管理体系，从制度层面上保障风险管理文化的建设，并将风险管理与绩效考核相结合，对于不符合风险管理要求、违反商业道德和诚信原则的行为进行处罚，促进风险责任的落实。公司管理层和风险管理专职人员作为传播企业风险管理文化的两种基本力量，分别通过自上而下和由点及面的推动方式，传播公司的风险管理文化。通过风险管理文化建设与培训，风险管理意识日趋深入人心，风险文化逐步形成。

2.构建风险体系

企业以国资委的《中央企业全面风险管理指引》中确定的分类为参考，结合企业行业特点及其实际业务情况，主要风险主要划分为战略风险、财务风险、市场风险、运营风险、法律风险和信息技术风险等六类风险。

全面风险管理工作从上述六类风险角度出发，营造企业自身文化；梳理公司各业务和内外部环节存在的风险，健全风险防范制度，构建风险防范体系。通过与利益相关方的沟通，提升公司形象，加强公司的廉政建设。

首先，企业根据业务发展需求，围绕中心，服务大局，联系实践，落实企业文化规划，完成企业文化发展规划，提升企业文化知晓率和认同度。

其次，企业通过梳理公司业务管理、网络运营等各方面存在的风险点及薄弱环节，提升全员信息安全意识，以风险管理为核心开展信息安全管理工作。

再次，企业通过加强反腐倡廉建设，廉洁自律，强化纪检监察、内审、安全生产、法律和社会责任风险管理，构建全面风险管理体系。

最后，加强利益相关方沟通管理和需求回应，全面提升社会形象。

企业通过上述措施制订执行全面风险管理工作计划，明确责任，评估各项风险发生的可能性和发生后对公司的影响程度，并对风险的重要性程度排序，确定公司面临的各种风险，细化落实相关计划与措施，定期开展回顾总结，监督执行情况、提出改进建议，完善风险管理的闭环管理机制，将风险管理的工作要求与业务运营管理相融合，切实做好日常的风险管理控制。

3.提升管理水平

通过规范业务流程，促进公司精细化管理水平的提升。在以价值为导向的全面风险管理体系建设阶段，实现了风险评估、制度设计、执行、监督检查及报告的闭环管理的新的提升。在以风险为导向的内控体系建设的基础上，通过风险量化分析工具及效益评价开展风险评估，建立风险评估标准完善了制度设计，通过专项风险管理加强执行，建立风险信息数据库方式增强监督检点，通过定期编制全面风险管理报告提升风险管理水平。

4.关注重点风险，内控业务对标

随着企业管理日益精细化，相关内控要求与业务制度也在持续优化更新。在生产经营过程中，运用正向、逆向思维，梳理内部控制制度和业务管理制度，内控制度设计覆盖业务管理全过程，关注重点高风险和舞弊领域，业务制度是内控制度执行依据，内控制度是将业务制度中与内控相关条款归纳、整合。基于此，从内控合规角度出发，查找设计不合规或两者不一致的内容，进而完善内控要求与业务制度，实现全部内控业务流程对标，并将此项工作纳入内控常态化管理工作范围，不断完善内控体系。

上述内控体系特点为，建立企业统一的、标准化的内控手册和矩阵；控制点要求落实到具体部门和责任人，确保有效落地执行；内控管理执行部门和风险管理监督部门各司其职，相互制衡；全面覆盖涉及企业所有业务单元，涵盖生产、市场和管理等各业务线条；采用风险评估的方法，以风险为导向，关注关键环节风险管控；将内控与业务活动的紧密融合，避免“两张皮”；利用信息化手段固化内控要求，充分发挥信息系统优势。

四、未来全面风险管理内控体系的实施建议

（一）将企业风控管理和战略管理结合在一起

战略管理、风险管理是企业整个治理过程中的重要环节，企业战略管理的终极目标是为了实现企业价值的可持续增长，企业价值创造的路径是“股东价值客户价值业务流程核心资源”，所以企业必须具有高效、快捷、有可靠质量的业务管理流程，是企业价值链的形成途径，企业风控管理也应遵循这一路径而展开。这就需要企业结合整体战略规划对本企业的风控管理目标、建设原则、建设步骤及建设蓝图等进行评估、设计与决策，并且企业还需结合已确定的内部控制体系建设规划，审核建设方案和实施计划，监督内部控制管理机制的日常运行和持续改进，从而实现自上而下的风控管理与战略管理相结合的管理机制。

为实现企业战略目标，一方面将风控管理偏好和企业的战略结合在一起，将企业成长、风险和收益联系起来，增加风控反应决策，使企业的经营意外和损失最小化，减少企业生产、运营管理风险盲点；另一方面确认和管理企业的总体风险，合理配置风控管理领域的资源，抓住机遇，针对多重风险提供完整的应对反应方案。

（二）全员参与自主风控

全面风险管理是长期性工作，涉及企业生产和管理整个过程，需要全员上下共同参与实施，也是与日常生产和管理活动紧密相关联的。通过有效运用风险管理和内部控制的相关手段和要求，评估企业关键性业务的状态，避免业务执行和风控执行信息不对称；实行自主动态风控管理，使业务制度涵盖内控要求、业务流程符合内控要求和业务系统固化内控要求，从而不断提升全员风险管控意识，做好重大风险自主评估；增强内控与业务融合度，确保关键业务自主内控合规；深化内控管理信息化的建设，实现内控要求系统自动控制；推动审计发现问题整改复查，发挥审计检察闭环监督价值。

（三）强化风险监控预警，有效完善内控体系

企业的风险监控是风险预警的关键部分，结合企业内外部环境、行业特点，通过一定的评估方法或模型来确定风险监控指标的权重，充分利用统计分析的决策支持、工具和系统，从生产管理多维度入手，如运用年度绩效考核指标分析，监控企业经营业绩、发展效益、网络质量等；通过年度全面预算标杆管理体系，对标分析查找差距，突出价值导向优化资源配置；利用对业财半年报表和日常管理情况分析，监控业财指标，从财务角度进行风险分析和提示；透过月度/季度统计数据，分析企业日常生产经营风险，并将监测动态数据进行统计、分析，得出风险的变化趋势，定期进行汇总提出分析报告，为企业决策和风险管控提供参考依据，也为业务流程和内控体系持续优化提供有效信息，切实起到风险把控作用。

风险管理控制过程例10

针对多业态跨区域经营特点，为加强企业风险管控，公司结合生产经营实际，积极探索适合企业发展需要的以风险为导向的内部控制体系建设及管控模式。经过几年的探索实践，增强了企业风险管控能力，提升了企业经营管理水平，为实现公司战略目标起到了积极的促进作用。

一、建立以风险为导向的内控体系是提升公司风险防控能力的客观需要

（一）防控风险已经成为公司管理的重要目标

世界经济进入全球化时代，企业经营业务多元，地域分散，复杂的社会经济环境影响着公司的经营、稳定和发展。随着企业经营规模扩张，交易金额增大，交易频率加快，企业面临的不确定性因素增多，传统的企业管理制度局限性日益凸显。分析国内外企业倒闭或衰败的例证，总结本公司多年经营中的经验和教训，无不与企业风险管控密切相关，经营过程中的风险防控已经成为企业管理的重要目标和焦点。建设和完善风险为导向的内部控制体系已成为企业防控风险重要措施。

（二）防控企业风险要靠严密的内部控制体系做保障

公司风险管控经历了三个阶段，一是凭经验管理（公司初创时期），对有风险的业务选派“经验丰富”的人去管理，经营决策靠有经验的领导把关，被称为经验管控阶段。二是靠单项制度控制，针对高风险业务制定专门的控制措施，做到一事一制度，方法虽然简单，但由此步入了制度控制阶段。经过一段时间摸索，积累了一套行之有效的管理制度，在规范企业管理和防控风险中发挥了重要的作用。但由于规章制度多为单项规定，程序性规定很少，标准制度没有流程保证，且各专业部门颁布的管理制度都带有不同程度的局限性，缺乏系统性、全局性，已不能适应企业全面风险管理的要求。三是进入了体系控制阶段，为做好企业风险防控工作，公司结合不同风险特征，对现有的制度、标准和程序进行了完善，对业务流程进行了重构，提高了制度的可操作性、严谨性和规范性。将原有的内控制度提升以风险为导向内部控制体系，实现了风险管理多维度的体系控制。

（三）防控风险是提升公司综合管理能力有力手段

以风险为导向的内部控制体系建设及实施，不仅提升风险管控能力，而且提升了公司的综合管控能力，该体系明确了控制活动的对象，规范了交易活动源头控制的业务流程，强化了控制主体责任，使公司各种经济活动实现了全面受控。通过系统严谨闭环管控措施的落实，很好的与企业经营活动结合起来，逐步改善企业的内控管理，使公司综合管理能力不断提高。

二、以风险为导向的内部控制体系框架及做法

公司借鉴国内外内部控制实践经验，以COSO框架及财政部等五部委颁发的《企业内部控制基本规范》和国资委的《中央企业全面风险管理指引》为基础，结合企业实际，建立以公司战略为核心，以风险为导向，以责任为主线，以业务流程管控为方法，以监督与评价为手段，注重管理改进的企业内部控制管理系统。从确定内部控制体系的目标、辨识评估风险、梳理管控流程、制定控制措施、开展内控监督与评价和持续改进等五个方面，推动、构建和完善了以风险为导向的内部控制体系建设。

（一）确定以风险为导向的内部控制目标

目标设定是以风险为导向的内部控制体系建立的前提条件，在风险管理过程中是一个重要环节。首先是在设定内部控制目标的过程中，要充分考虑各种风险对企业经营管理的影响程度，把握对重大风险的判断。其次是要根据内部控制目标设定，确定内部控制实施方案，并随着目标改变适时进行必要的调整。三是风险控制措施根据内部控制目标的存在而确定，随着目标的改变而改变，只有先明确了内部控制目标，才能对识别出的风险制定相应控制措施。

公司围绕经营及管理风险，确立以资产的存在、完整、归属、计价正确和收益等属性的落实为风险控制的现实目标，以实现“体系可靠、风险可控、运行可持续”为体系规划目标。总目标是：以国家相关法律法规为依据，以公司现有资源为基础，以财务报告风险、法律风险、经营风险为切入点，以源头治理和过程控制为核心，以防范风险为重点，对企业现有管理制度、职责分工、权限分配和业务流程进行全面梳理，建立起设计科学、简洁适用、运行有效的内部控制体系，推进科学治企。

（二）建立风险数据库

通过收集风险事件，确定公司层面风险分类和风险名称，形成公司层面风险事件库和风险数据库。针对风险事件关联性，主要收集了连续三年公司内部风险事件案例、行业内相关历史事件和未来风险预测，包括公司相关材料记载的相关事件、内外部审计发现的问题、各业务部门存在的重大问题或隐患等。通过分析筛选，选取具有代表性的、对公司影响较大的事件共77条，形成公司层面的《风险事件库》。

在收集风险信息过程中。按照内外部、业务板块、部门单位等条件将各类风险因素进行分类汇总，厘清各个问题之间的因果关系，方便从整体上把握风险和机会，有助于各职能部门更好地认识和关注与其直接相关的风险。经过比对分析，确定公司各项业务、重要经营活动及重要业务流程中的风险，并予以客观准确地表述。通过与各职能部门以及所属单位反复沟通，识别出可能影响公司实现经营目标的风险因素，进行整理分析并编制《风险汇总表》，最终确定了公司层面风险分类和风险名称，共4大类24个风险，形成公司层面的《风险数据库》。

（三）识别与评估风险

风险是指可以识别的不确定性事项，它能对企业经济利益造成有利或不利影响，其来源及影响具有不确定性。风险评估的目的是对影响公司的不确定性因素进行识别，对其进行科学评估、量化，指导对不确定性因素的把控。

风险识别是风险评估的基础，其结果直接影响着整个风险管理流程的节点设置，公司各职能部门及所属各单位运用确定的风险识别方法，结合内外部风险事件信息，对本部门及本单位业务涉及的风险事项进行识别、归类，在分析的基础上确定本部门及本单位公司层面、业务活动层面、信息层面的风险。根据各部门及各单位识别出的风险，进行分类整理、分析汇总，确定公司存在的各类风险。

风险评估。在编制公司层面风险事件库和风险数据库的基础上，根据获得的历史数据和行业资料等信息，查找风险发生的内外部原因，组织开展公司风险发生的可能性及影响程度评分分析，对公司层面24个风险发生的可能性和影响程度进行评分，并计算个体评分的风险值。按照风险评分人员的业务能力、技术水平和工作经历等，对参与风险评分人员划分类别，设置相应权重，并采用加权平均的方法计算风险等级分值，评估公司面临的风险。按照上述方法计算24个风险的加权平均风险值并排序，依据公司风险等级标准，确定公司层面重要风险12个。

（四）梳理管控流程

按照《企业内部控制基本规范》，遵循内部控制体系固定的框架及文本模板，编制组织结构图，描述部门及岗位职责，建立起业务管理流程。公司针对确定的各类风险，按照规范及重要性原则，以实现业务不交叉、管理不重叠和责任不遗漏为前提，实现各类资源的优化配置，提升管理效率和市场反应速度，防控风险的目的。业务流程管理遵循风险导向、业务驱动、规范描述和强化执行的原则，突出流程与业务与管理的深度融合，将业务操作、管理制度、工作职责和信息化建设有机结合起来，形成了脉络清晰的流程架构。公司共梳理一级流程22个，二级流程165个，三级流程553个。设置318个风险点。建立了一套清晰顺畅、完整严密的业务及管理流程体系。

（五）制定控制措施

根据风险评估的结果制定控制措施是内控体系的关键环节，一是要针对重要业务流程，分析控制重点，按照公司各项规章规章制度，制定控制措施。二是参照《企业内部控制基本规范》，查找现有控制措施中的缺项和遗漏，设计改进措施方案。三是落实相关部门和责任岗位，固化到内部控制的各环节中。四是根据控制措施的描述，补充相关管理制度，完善以风险导向的内部控制体系的各项控制措施。五是对公司层面的控制主体、信息系统和内部监督等总体控制进行系统衔接，形成完备的内部控制措施体系。

制定公司层面风险管理策略。各责任部门根据风险的定义、影响因素及风险表现，结合本业务的风险偏好，确定应对风险的具体策略。根据业务流程确定风险领域和风险源，依据风险源来找寻关键风险成因，并确定相应的风险预警指标数值或区间，从控制风险的目的、组织、方式和监督等方面制定风险管理策略70条，关键控制点240个，制定控制措施368条。

基于风险导向的内控体系是以风险识别、评估为基础，进而分析、设计和实施内部控制的风险管理行为，亦是以流程为载体，管理界面、岗位职责、管理权限和控制措施清晰，满足风险控制要求及涵盖经营管理全部业务的内部控制体系，是公司实施对风险有效管控的制度保证。

三、以风险为导向的内部控制体系的运行管理

内部控制体系重在建设、关键是执行。公司在内部控制体系的建设过程中，根据内部控制体系建设总体要求，统筹安排各项具体工作。公司对颁布《内部控制管理手册》、内部控制体系组织实施、内部控制体系监督、测试、评价及改进等工作进行了周密部署，提出了加强内部控制环境建设的要求，制定了打造内部控制支持系统的具体措施，确定了内部控制体系推行的阶段性目标。

（一）颁布并全面实施内部控制管理手册

按照内部控制体系建设总体实施方案，公司把内部控制体系的执行作为内控管理的关键环节来抓。落实过程中，一是由公司总经理签发，以公司文件形式颁布内部控制体系实施令，确保内部控制管理手册的权威性和各单位、各业务层面及各管理岗位的全面执行。二是充分考虑企业整体经营管理现状，采取近期目标和远期目标相结合，优先解决风险管理中的薄弱环节，突出对重要单位、重要业务、重要流程和重要风险点的管控，实现将企业的风险控制在合理水平的目标，力求取得控制实效。三是根据公司业务发展的不同阶段，在内部控制基本手册推广执行基础上，结合海外后勤服务和房地产开发业务的特殊管理需要，分别编制公司海外后勤服务和房地产开发业务内部控制分册，在相关业务领域实施。四是统筹公司总部、各单位和各经营业务内部控制管理手册执行的管理，疏通内部职能部门之间、上下游业务之间及横向同级单位之间的流程管理接口，形成较为畅通的运行管道，使内部控制管理体系的管控触角横向到边，纵向到底，不留死角。

（二）编制年度风险管理报告，实施风险动态评估

公司为推动以风险为导向的内部控制体系建设，使风险管理向规范化、科学化和常态化方向发展。公司每年开展一次包括所属单位在内的风险管理报告编制工作，完善企业重大风险管理报告机制。一是强调全面反映本单位存在所有风险，明确面临重大风险，剖析风险产生的原因，反映造成直接和间接经济损失的量化指标，以及对企业的影响程度。二是报告内容要突出风险管理的动态、量化和信息化控制目标。三是对公司重大风险，要明确责任单位和人员，提出风险管控要求，完善风险应对措施，建立风险预警指标体系，合理配置管控资源，确保重大风险管理责任到位。

公司每年编制并风险管理报告，拓展对企业风险认识的深度和广度，并以风险管理报告为抓手，对重大风险统筹管控，确定管控目标，明晰管控措施，制定管控责任，实现对公司风险评估的持续推进和对风险的动态监控。

（三）开展内部控制体系运行控测试及评价

按照内部控制体系建设总体要求，公司依据《公司风险管理与内部控制体系评价管理办法》每年一次对内部控制体系运行情况进行测试及评价，并出具对风险管控体系设计科学性与运行有效性的评价结论。测试主要围绕公司层面，包括职业道德、高管基调、权利及责任分配、举报与违规处理、反舞弊程序和控制；业务活动层面，包括财务管理（资金管理、资产管理、会计核算、财务报告）、物资管理、合同管理；信息系统层面，包括控制环境、信息安全、变更管理、项目管理、日常运维和最终用户操作等六个部分进行测试。并根据公司主营业务，对重要业务流程进行跟单和关键控制测试，同时对电子表格的内容、密码保护、保存地点、变更和备份等进行符合测试。

通过持续开展内部控制体系的运行测试、内部控制审计和内部控制综合检查，全方位督促内部控制体系的落实，切实提高了内部控制体系的运行效果。几年来，公司层面风险由4大类24个风险，下降为3大类12个风险。公司内部控制体系运行总体评价一直保持在“良好”以上水平。

（四）持续修订完善《内部控制管理手册》

针对公司经营业务变化调整和企业管理提升，不可避免存在已实施的《风险管理与内部控制管理手册》与企业发展及管理强化不相适应的矛盾。因此，要保证内部控制体系持续有效运行。一是根据国家法律法规等政策调整，对内部控制体系的合法性控制条款进行补充修订，增强内部控制体系条法约束。二是在公司经营和管理等环境发生重大变化或部门职责、流程和人员等发生调整时，及时对涉及的相关业务流程重新进行梳理、评估及修订，并适当增加关键控制措施。三是针对内部控制体系评价中发现的管控缺陷和提出的管理建议，制定切实可行的改进措施和方案，对管控体系进行持续完善，优化控制措施，形成内部控制提升管理、管理推动内部控制的互动机制。四是在总结海外后勤基地服务和房地产开发业务内部控制管理分册运行成果的基础上，加大对包括酒店物业等公司内部控制手册分册的编制和推广力度，增加内部控制手册专业分册的覆盖面，提高特殊专业领域关键控制措施的针对性，增强控制效果，推进公司内部控制手册向专业化管理方向发展。

公司通过以风险为导向的内控体系建设实践，企业员工风险意思普遍增强，风险管控措施得到了较好的落实，企业风险得到了有效控制，内部控制管理能力大幅提高，公司以风险为导向的内部控制管理为企业效益提升和稳步发展做出了积极的贡献。

参考文献：

[1]《企业内部控制基本规范》.