全面風險管理體系架構(gòu)圖
風險管理與內(nèi)控控制不是孤立存在于企業(yè)內(nèi)的，它更多的是從一個獨特的角度觀察、檢視企業(yè)管理的全部。風險管理與內(nèi)部控制天然有著嵌入性的特征。雖然有專門的理論、方法、技術(shù)、工具，但正如所有管理一樣，風險管理與內(nèi)部控制真實的發(fā)生在所有的業(yè)務(wù)、管理活動中（事實上這也是ISO31000倡導(dǎo)的）?；诠芾淼南到y(tǒng)思想，我想，其構(gòu)建與運行也應(yīng)當不是單獨而存在，它的運行勢必會與其他管理內(nèi)容相互融合、相互促進。本文站在風險管理與內(nèi)控控制規(guī)范體系構(gòu)建及運行的角度，嘗試著構(gòu)建一個內(nèi)控的全框架，試著告訴自己內(nèi)控以后究竟是個什么樣。
框架邏輯構(gòu)成圖示如下：
各板塊構(gòu)成如下：
框架要素功能作用、內(nèi)在機理、構(gòu)成要素如下：
序號
要素
功能作用及內(nèi)在機理
構(gòu)成/相關(guān)機制
目標
激勵
約束
（宏觀機制）
01
戰(zhàn)略規(guī)劃
指引方向、提供目標。
內(nèi)在機理：將內(nèi)控與風險管理提升到戰(zhàn)略高度，將其上升為戰(zhàn)略實現(xiàn)的風險識別、分析、評價、應(yīng)對及預(yù)警、監(jiān)控的常態(tài)機制。
促進戰(zhàn)略實現(xiàn)是風險管理及內(nèi)部控制的最高目標，是中國內(nèi)部控制規(guī)范、COSO-ERM的內(nèi)在要求。戰(zhàn)略為風險管理及內(nèi)部控制提供目標、指引方向。作為一項不斷優(yōu)化、持續(xù)改進的工作，建立戰(zhàn)略規(guī)劃有助于樹立風控建設(shè)的發(fā)展觀、有助于提升風險管理及內(nèi)部控制的重視程度、有助于保障風險管理及內(nèi)部控制機制的執(zhí)行。
1、 基于中長期戰(zhàn)略規(guī)劃，建立與戰(zhàn)略規(guī)劃匹配的風險管理職能子戰(zhàn)略，對公司戰(zhàn)略實施過程中預(yù)估的重大風險進行分析預(yù)測，制定并執(zhí)行主要應(yīng)對策略及方案、并在滾動期間更新；
2、 結(jié)合戰(zhàn)略及年度計劃，開展公司風險識別、分析、評估，確定公司重大風險相關(guān)的重大領(lǐng)域（產(chǎn)業(yè)板塊、業(yè)務(wù)領(lǐng)域、業(yè)務(wù)單元、管理領(lǐng)域、流程…）；
3、 在集團范圍內(nèi)選取風險焦點（產(chǎn)業(yè)板塊、業(yè)務(wù)領(lǐng)域、業(yè)務(wù)單元、管理領(lǐng)域、流程…）做專項風險識別、分析、評估，并制定工作計劃；
4、 結(jié)合子戰(zhàn)略、年度計劃、年度公司層面風險評估制定年度工作計劃（包括重大風險應(yīng)對策略及解決方案及具體工作計劃、內(nèi)部控制監(jiān)督檢查計劃）；
02
績效考核
激勵約束。
內(nèi)在機理：對于比較陌生或抵觸或不支持的風險管理而言，激勵及約束機制的必要的。這是基于X理論的機制設(shè)計。
1、包含內(nèi)部控制與風險管理有效性的績效考核體系及薪酬體系；
可采取在考核體系中預(yù)留內(nèi)控與風險管理有效性的分值及比例，可按照設(shè)計及執(zhí)行有效性兩個維度，分別設(shè)計考核指標。落實到子公司、到中高級管理人員、到每一位員工。
可逐級實施。
03
監(jiān)督
監(jiān)督強化。
內(nèi)在機理：風險管理三道防線：業(yè)務(wù)單位及職能部門；風險管理、內(nèi)部控制、合規(guī)等職能部門、風險管理委員會等；審計監(jiān)察、紀委等職能部門、審計委員會、董事會等。第一道防線外的第二及第三道防線為公司風險管理的監(jiān)督部門。
基于風險導(dǎo)向，對全公司的全管理領(lǐng)域、全業(yè)務(wù)、全過程實施全面監(jiān)督。全面覆蓋+重點突破。
1、 公司風險預(yù)警體系；
2、 跟蹤并督辦公司或成員單位重大風險應(yīng)對策略及解決方案；
3、 覆蓋全管理領(lǐng)域、全業(yè)務(wù)、全過程的全面風險管理（含組織及責權(quán)、含流程、含制度、信息系統(tǒng)、含風險點、含控制點、含知識…..）體系運行的監(jiān)督檢查稽核機制（含優(yōu)化）；
4、 內(nèi)部審計
全面風險管理（執(zhí)行機制）
04
風險評估
識別重點。
內(nèi)在機理：風險無時無處不在，風險有大有小、有可容忍的有難以承受的，風險導(dǎo)向的內(nèi)部控制或者經(jīng)營管理尤其獨特的可為之處。實施全面覆蓋+重點突破。
1、 公司風險評估（戰(zhàn)略規(guī)劃、年度經(jīng)營工作）；
2、 流程風險評估（針對單個末級流程、針對端到端的高級流程）；
3、 “三重一大”專項風險評估；
05
流程
基礎(chǔ)、是核心。
內(nèi)在機理：流程作為經(jīng)濟業(yè)務(wù)及管理活動的直接反映，其具有連續(xù)性、真實性的特征?；诹鞒踢M行風險管理及內(nèi)部控制現(xiàn)狀的梳理，是非常好的入手路徑。
當然現(xiàn)狀梳理，還需要加上隱藏在制度、組織架構(gòu)及責權(quán)、表單、信息系統(tǒng)等方面的控制設(shè)計，才能反映公司風險管控全貌。但無論如何，基于流程進行內(nèi)控梳理，是個非常好的，易于操作和接受的路徑。
同理，風險與內(nèi)控的有效落地，也很大程度上依賴于流程的設(shè)計與執(zhí)行。風險點在流程里、控制點也在流程里。魔鬼在細節(jié)里，細節(jié)決定成敗。
1、 流程框架PCF-主流程-子流程-SOP；
流程圖、流程描述、流程績效指標
2、 RCM風險控制矩陣；
3、 全面風險管理手冊；
06
內(nèi)控評價
自我評估（自己號號脈）。
內(nèi)在機理：自我檢視機制。
1、 自查自糾：執(zhí)行層季度開展執(zhí)行有效性測試，自查制度、流程、外部規(guī)范等執(zhí)行情況，并組織改進；
執(zhí)行層季度自省流程、制度、控制、組織、信息系統(tǒng)等設(shè)計有效性缺陷；
2、 獨立評價：公司至少統(tǒng)一組織年度評價，全面評價公司風險管理及內(nèi)部控制有效性；運作良好的公司至少每半年獨立開展一次評價。
保障及支持
（保障機制）
07
組織架構(gòu)
組織保障。
內(nèi)在機理：重視程度及企業(yè)文化決定了大環(huán)境，具備勝任力的人才以及執(zhí)行者的權(quán)責安排決定了風控是否能邁開步子一步一步走起來。
1、 組織：
（1） 治理層：風險管理委員會或風險與審計委員會；
（2） 管理層：風險管理與內(nèi)部控制領(lǐng)導(dǎo)小組或總經(jīng)理辦公會；專項風險管理小組；風險管理部門、審計部門；
（3） 執(zhí)行層：各業(yè)務(wù)單位及職能部門；
2、 崗位及人員構(gòu)成：
（1） 風險管理委員會需內(nèi)外董事結(jié)合；
（2） 領(lǐng)導(dǎo)小組為公司高管及相關(guān)中層，領(lǐng)導(dǎo)小組總負責人應(yīng)當為董事長或CEO，執(zhí)行負責人以精通公司管理及業(yè)務(wù)運營者為佳，可以為執(zhí)行董事、CEO、COO、CFO等；
專項風險管理小組由公司專項風險管理負責人擔當，成員至少相關(guān)職能部門或單位負責人；
管理部門專人專崗專門部門；
（3） 執(zhí)行層部門領(lǐng)導(dǎo)主責、配備專人或兼任，業(yè)務(wù)單位要求領(lǐng)導(dǎo)掛帥、專人專崗或?qū)ｉT部門；
組織及相應(yīng)的人才應(yīng)當保持一定的穩(wěn)定性，管理部門的專職人員應(yīng)當具備相應(yīng)的勝任能力等職業(yè)道德特征。
3、 權(quán)責：
（1） 治理層：監(jiān)督權(quán)及決策權(quán)；總體負責、提要求、批準規(guī)劃計劃、定期審視風險管理及內(nèi)部控制現(xiàn)狀；
（2） 領(lǐng)導(dǎo)小組：重大事項或爭議決策及支持、定期研究并審查管理現(xiàn)狀；
（3） 管理層：組織實施、牽頭研究、日常負責，擁有全公司風險干預(yù)權(quán)、風險管理相關(guān)體系的管理權(quán)、風險考核權(quán)；
（4） 執(zhí)行層：配合、執(zhí)行、對本部門本單位風險管理有效性負責、牽頭研究、建議權(quán)；
4、 公司擁有一套科學合理的組織、權(quán)責體系、人才梯隊，用于保障在經(jīng)營管理的具體業(yè)務(wù)或事項中保持風險管理及內(nèi)部控制的勝任力。
08
制度
機制保障
內(nèi)在機理：風控機制的合法化。
1、 全面風險管理與內(nèi)部控制運行機制本身的制度保障：包括全面風險管理與內(nèi)部控制的目標、組織架構(gòu)及責權(quán)、規(guī)劃計劃、構(gòu)建、運行維護、監(jiān)督檢查、評價、審計、績效考核、優(yōu)化等各環(huán)節(jié)的內(nèi)容及機制的規(guī)范；
2、 相關(guān)配套的制度保障：公司的制度體系及制度的生命周期管理；
09
企業(yè)文化
文化保障、根本保障、提供風控運行的土壤、空氣，營造的是工作氛圍和內(nèi)部環(huán)境。
內(nèi)在機理： 風控長效機制的根本保障。風控是否能在企業(yè)落地生根，最終是否能變成公司及其員工的一舉手一抬頭一蹙眉，皆在于文化。
1、風險管理文化：科學看待風險，以風險為導(dǎo)向、基于風險評估制定決策，人人考慮風險、人人應(yīng)對風險，將風險探討及應(yīng)對融入日常工作，不僅防范控制純粹風險，更利用機會風險獲得成功
2、流程型工作文化：顧客為中心、關(guān)注價值、持續(xù)改進；
固化
進化
（固化進化機制）
10
IT信息系統(tǒng)
固化、讓內(nèi)控真的落地。
內(nèi)在機理： 讓風險管理及內(nèi)部控制融入業(yè)務(wù)、嵌入管理、變成企業(yè)及員工的日常行為，it無疑是最好的工具利器。
利用信息系統(tǒng)形成的管道，固化風險管理及內(nèi)控制，提升風險管理智能。
1、 建立融合公司管治、風險管理、內(nèi)部控制、合規(guī)機制的GRC信息系統(tǒng)，實現(xiàn)風險管理等工作本身的信息化，固化落地全面風險管理機制；
2、 基于信息化整體架構(gòu)、信息化基礎(chǔ)設(shè)施及基礎(chǔ)平臺，構(gòu)建以BPMS、ERP、GRC等為核心的，覆蓋企業(yè)業(yè)務(wù)、管理活動的管理信息系統(tǒng)（MIS），對組織風險管理及內(nèi)部控制狀況進行動態(tài)監(jiān)控
11
知識管理
積累、讓內(nèi)控變得更聰明、進化之源。
內(nèi)在機理：風險無時無處不在。風險的識別、分析及應(yīng)對需要每一業(yè)務(wù)板塊、每一管理領(lǐng)域、每一操作過程的知識作為支持。風險及其應(yīng)對的進化，亦需要知識的不斷創(chuàng)造、分享、推廣、應(yīng)用、沉淀、更新。
通過不斷積累、沉淀而形成的知識管理體系，將全面內(nèi)控工作推向不斷深化、不斷提高的永續(xù)管理軌道，永不滿足，永不停歇。
1、 全業(yè)務(wù)、全管理領(lǐng)域、全過程的旨在實現(xiàn)目標、管理風險的知識體系。
2、 全面風險管理、內(nèi)部控制本身的理念、方法、工具、模板、制度、流程、經(jīng)驗、技能的不斷總結(jié)沉淀；
具體構(gòu)建可能以流程、或以崗位、或以某項專門風險為基礎(chǔ)構(gòu)建風險管理知識地圖、知識歷程圖，構(gòu)建風險管理及內(nèi)部控制知識的需求識別、創(chuàng)造或引進、分享或推廣、使用、積累沉淀、更新等一系列機制等；
