全面风险管理体系的构建与实施

◎中国航天科工集团第二研究院审计与风险管理部

当前国内外经济增长减缓，市场竞争激烈，企业不确定因素增加，使企业的经营决策更加困难。在这种情况下，要充分发挥全面风险管理体系风险辨识、监控、预警和及时响应的作用，及时了解内外部环境的变化和企业自身存在的缺陷，才能在变幻莫测的经济环境中提升决策和规划的科学性，把握与风险并存的机遇，从而确保决策最优化和效益最大化。

近几年来，中国航天科工集团第二研究院处于高速发展和扩张时期，由此带来的投资并购、市场开发、成本管控和宏观政策应对等风险日益增加。因此，急需建立一套科学的、符合研究院实际的全面风险管理体系，以有效预防和控制风险，为研究院健康持续发展保驾护航。

一、全面风险管理体系的构建

研究院风险管理体系是将风险管理基础、管控流程和内部控制系统进行有机结合（见图1）。通过建立组织体系、人才队伍、制度体系、信息系统和风险文化，完善风险管理条件，强化运行基础；通过实施信息收集、风险评估、风险应对、监督与改进的风险管理流程，防控经营管理主要风险；通过内控流程的梳理、优化及缺陷整改，提升科学管控水平，以增强抗风险能力。该风险管理体系的特点包括：

全面覆盖，系统实施。风险管理体系面向各类风险、覆盖所有业务流程、全员参与实施，将过去被动、局部的管理模式转变为主动、一体化、系统的管理模式。

强基固本，预防为主。通过完善内控体系实现管理缺陷的减少和管理水平的提升，增强抵御风险的能力；通过早期预警和关口前移，改变过去“亡羊补牢”式的事后补救和处置方式。

融入实际，动态闭环。风险管理体系与现有管理体系紧密结合，将风险管控方法和要求融入到每一个管理环节和每一个管理岗位，实现风险管控落地；在日常经营管理活动中动态、连续地运行风险管理流程，形成闭环、持续改进的风险管理机制。

1.开展风险管理基础建设

构建风险管理机构。研究院风险管理组织机构包括院、所（厂）两个层面。各单位风险管理组织机构由风险管理委员会、风险管理部门及各业务部门共同组成，以构筑风险管理的三道防线。各业务部门作为风险管理的操作层，形成第一道防线；风险管理委员会和风险管理部门作为建设和管理层，形成第二道防线；内部审计部门作为体系运行的监督层，形成第三道防线。

宣传和培育风险管理的文化与理念。通过发行风险管理专刊或刊登风险管理文章，推广和普及风险管理知识；通过定期发布风险管理简报，让全体员工了解风险管理工作的进展情况；通过营造全员参与的风险管理文化氛围，树立起“风险无时不有、无处不在”、“审慎应对风险”、“业务谁主管、风险谁负责”的风险管理理念。

培养风险管理人才。根据院属单位多、业务特色差异大的特点，研究院摸索出“分单位、分阶段、有重点、多次数”的培训模式，采用授课、答疑和实际操作相结合的形式，针对不同级别人员开展风险管理专业培训。

图1 研究院风险管理体系建设的主要内容

近2年，研究院各级单位先后组织学习培训活动80余次，受训人员累计超过5000人次。先后组织院机关和院属单位60人参加了注册企业风险管理师的培训，并考取相应的职业资格，以打造专业人才队伍，有效推动了风险管理体系的建设工作。

规范风险管理手段。参考国际风险管理标准，研究院结合实际先后制定了《全面风险管理体系建设实施方案》、《全面风险管理办法》、《全面风险管理手册》、《风险管理及内部控制评价标准》、《风险管理工作考核实施细则》等制度，配套印发了统一的工作模板。通过建章立制，以明确研究院风险管理要求，统一各工作内容、方法和评价标准，规范风险管理工作。

2.有效实施风险管理流程

科学有效的流程是风险管理的核心要素。研究院建立了包括风险管理信息收集、风险分析评估、制定应对策略及解决方案、实施风险监控、风险管理监督及评价在内的风险管理流程。

收集风险管理信息。通过访谈、调查问卷的形式收集研究院经营管理现状和存在的问题，了解研究院的管理现状和面临的潜在风险与问题，以及各部门相关制度、业务政策和业务流程等基本情况，并由相关业务部门对自身存在的主要问题进行分析。将收集到的信息进行初步提炼、分类、组合，为后续评估研究院风险管理能力，开展风险辨识、评估提供基本信息和数据。

分析、识别和评估重大风险。首先结合前期的风险信息收集整理出研究院层面的风险调查问卷，并由各级管理人员对风险“发生可能性”和“影响重大性”两个维度进行打分。应用风险评估技术对评分结果进行统计、分析后，再由院领导对识别出的风险进行二次打分和排序，最终确定年度重大风险并将其作为管控重点。

制定风险管理策略及解决方案。研究院根据战略经营目标和自身风险承受度选择相应的风险管理策略，如对发生概率大、损失程度高的风险可采取风险规避、风险控制和风险转移等策略。针对研究院重大风险，分别从事前防范、事中控制和事后监督检查三个方面提出解决方案，并将风险管控措施融入相关业务，制定风险管理工作计划，以落实到具体岗位。

此外，研究院还针对风险等级高、跨部门的重要业务和重大风险开展专项风险管控。按照风险管理专业方法建立风险事件库，开展风险评估、监测和预警，细化风险管控措施并落实到具体岗位，制定专项风险管理手册和专项管控报告，从而形成有针对性、操作性强的专项风险管控机制。

建立风险管理监控和报告机制。针对关键业务风险和重大风险编制风险管理报告，包括现存和新出现的风险及其变化、风险管理措施与程序、风险管理设计和执行的有效性等。

年初，各业务部门针对本部门实际制定风险监控计划，明确监测指标和控制措施并组织实施。年底前根据实施情况形成业务风险管理报告，风险管理部门根据各部门的报告及风险管控有效性检查结果，编制年度风险管理报告并上报风险管理委员会审议。

3.强化风险管理内部控制

从梳理流程入手，发现日常管理中存在的缺陷和薄弱环节，通过业务流程优化和缺陷整改，对现有管理活动进行整合固化，以提升风险防范能力和科学管理水平。

梳理内控流程基础框架。研究院将所有的业务流程细化到第三级，如人力资源模块是一级流程，其包含人事管理等多个二级流程，人事管理又包含招聘实施等多个三级流程。每个三级流程都要求与基本规章制度一一对应，形成一个业务类别完整、层次清晰、制度与流程匹配的流程框架，如图2所示。

识别流程风险点。在风险管理部门的指导下，各业务部门开展了相应业务流程图的绘制和流程描述。流程图和流程描述包含了流程步骤、岗位人员、部门、适用的制度、输出的文档等，并标明了风险控制点，便于对流程进行符合性测试。通过确认控制目标、识别流程风险点、对流程风险评级，最终形成与研究院重大风险相互关联的流程风险数据库和风险控制措施。

缺陷分析及管理建议。对风险管理过程中发现的缺陷问题进行汇总，明确缺陷类型并提出制度修订或整改措施。责任部门根据缺陷建议填写改善计划，并明确完善的步骤、成果和时间，以确保流程中的问题能得到恰当整改。

建立监督评价机制。建立包括业务部门自我评价、风险管理部门检查评价、上级对下级监督评价在内的风险管理监督评价机制。研究院依据《企业内部控制规范》制定了内部控制评价标准，以内部控制“五要素”作为基础评价要素，从风险管理体系建设和业务风险管控情况两方面对各部门内部控制制度健全性、执行符合性和效果达成性进行评价，促进内部控制持续改进和管控效果的提升。

二、全面风险管理体系的实施效果

全面风险管理体系的内容贯穿研究院经营管理的全过程，覆盖了经营管理的各个方面，并以内部控制作为风险管理落地的主要手段，达到了合规、可靠、高效的内控目标。通过风险管理体系建设，研究院形成了符合自身实际的方法论，构建了一套符合研究院自身特点且有效运行的风险管理长效机制。研究院将风险意识和风险管理理念融入到企业文化之中，转化为员工的共同认识和自觉行为，提升了全员的风险管理意识。研究院全面风险管理体系运行以来，防范风险能力和控制风险能力明显增强，风险事件大幅减少，风险损失得到降低，实现了“损失最小化、利益最大化、绩效最优化”的风险管理使命。

风险管理体系有效地保障了研究院战略经营目标的实现，将目标的波动控制在合理范围内，为研究院健康、快速发展提供了合理保障。近年来，研究院营业收入年增长平均达到20%，成本所占比例逐年降低，利润递增幅度明显，经济运行质量大幅提升。与此同时，研究院风险管理体系取得的社会效益也很明显，研发风险得到有效控制，飞行试验成功率达到100%，使研究院信誉度和顾客满意度回升。民用产品的投资风险和项目风险的管控也取得实效，安保科技系统成功护航上海世博会和广州亚运会，受到党和国家的表彰。

图2 业务流程框架图