企业构建全面风险管理体系的实践探索

杨 龙 茶云坡 张 伟 中航西安飞机工业集团股份有限公司

一、体系建设背景

党的十九大报告明确提出，要坚决打好防范化解重大风险、精准扶贫、污染防治三大攻坚战，并把防范化解重大风险摆在了打赢“三大攻坚战”的首要位置。承接党中央要求，航空工业集团在风控工作会上指出，到2035年，与初步建成航空强国目标相适应，实现风控工作达到国际一流水平；到本世纪中叶，与全面建成航空强国目标相匹配，实现风控工作达到国际领先水平。

中航西飞(下称公司)承担着党和国家赋予的“航空报国，航空强国”的使命任务，在全球价值链不确定性剧增的大背景下，加之工作本身所具有的较多的突发性、意外性和偶然性，项目研制和生产交付任务都面临着很大的风险。无论是“有风有雨是常态”的外部环境，还是充满挑战的复杂系统任务目标，都要求我们做好风险管理，把防范化解重大风险落到实处，建立健全有效的全面风险管理体系，打造一套“体系引领、上下联动、资源整合、高效流通”的一体化管理平台，构筑防范化解重大风险的重要保障机制，以适应瞬息万变的运营环境下高质量发展的刚性需求。

二、体系建设过程

公司按照“对标国际先进、符合外部要求、满足管理需求、重塑业务流程、统一执行标准、持续优化提升”的构建思路，确立了“统筹规划、体系引领、分级负责、业务实施”的构建原则，以流程为主轴，将全面风险管理与业务风险管理进行深度融合，对业务风险实施拉动管理，构建“融合、务实、高效、开放、共享”的全面风险管理体系，打造风险管理软实力，提升公司核心竞争力。

(一)对体系文件进行总体布局

公司首先建立全面风险管理体系制度“金字塔”模型[1]，由上往下按层级布局，由下往上形成托举支撑，确立了“管理手册-架构方法-管理规定-实施细则-操作方法”的制度架构。将分属各业务模块/外部体系的业务风险管理制度调入全面风险管理体系，根据其业务属性，划归实施细则或操作方法类文件，统一按全面风险管理体系制度编号规则编号，运行机制受管理规定类文件的指导和约束。

(二)系统梳理现行的风险管理制度

结合“运营管理体系业务流程框架”，公司对17个业务模块和16个外部体系风险管理制度进行梳理，全面风险管理体系本身制定制度11份，建立管理流程6项、工作表单15份；其它业务模块、外部体系梳理出业务风险管理制度18份、管理流程12项、工作表单48份。18份业务风险管理制度由3类制度组成，分属10个业务模块/外部体系，涉及10个业务部门。根据体系文件总体布局，按业务属性确定制度类别，对“越级”制度进行调整，并结合相关业务管理需求，增补业务风险管理制度。按照“业务谁主管、风险谁负责、制度谁主编”的原则，各相关业务模块/外部体系负责编制本业务风险管理制度。

(三)建立风险管理基础语境

公司全面风险管理体系建设以顶层手册为纲领，在手册中明确体系构建的框架与逻辑，统一基础术语和定义，制定风险评估标准、风险描述格式等，通过总结先进管理理念，引导各层级管理人员统一认识，树立正确的风险观。通过管理规定类文件，建立基础性管理流程、工作表单，各单位根据自身业务特点，基于已经确定的基础管理标准，建立具有本业务特色的风险管理运行机制，最大程度满足本业务的风险管理需求。对于基础术语和定义，一经确定，禁止各单位擅自修改或自行定义。

(四)开辟一、二道防线风险管理流程接口

在各业务风险管理流程中“风险评估”活动后增加与公司重大风险管理流程的接口，使一道防线风险管理流程与二道防线风险管理流程实现了无缝衔接。一道防线在运行本业务风险管理流程，开展日常风险管理工作过程中，当发现内外部环境发生突变，所产生的不稳定因素可能会对公司运营活动造成较大不良影响时，由主管部门自动触发公司重大风险管理流程，风险管理行为由“部门级”上升至“公司级”，并按相应的管理程序开展风险管理工作。

(五)增加一道防线风险管理制度风险专业化审核

针对一道防线风险管理制度的标准、设计水平、可操作性等方面参差不齐的问题，调整文件发布流程，增加风险专业化控制与审核，提升全面风险管理体系对业务风险管理工作的指导和约束能力。首先，在全面风险管理体系制度立项流程中，统一将“模块负责人”设定为体系负责人，由体系负责人对业务风险管理制度新建、换版、更改、作废原因进行审核，其它审核环节由制度主管部门按公司《业务架构调整任务单》中规定的审批权限配置审批人。其次，在制度评审流程中，必须选择至少1名风控业务主管作为评审专家，参与制度内容的评审。最后，在制度新建、换版、更改、作废审批流程中，将“审核”角色设定为体系负责人，由其对制度内容进行审核，其它审批环节由制度主管部门按照《运营管理体系文件架构分册》中规定的审批权限配置审批人。

(六)定期开展风险管理体系评估

公司以由各业务风险主管单位为成员，成立体系评价小组，根据业务相似性对风险管理制度进行合理分工，各小组对相关风险管理制度的设计有效性和运行有效性进行评价，查找在体系建设及运行方面存在的问题，提出改进建议。公司根据各组评价结果，出具体系评价报告，并督促责任单位完成问题整改，从而不断促进风险管理体系的健全完善，持续提升体系运行效能。

三、体系建设成果

(一)制度建设，构筑全面风险管理总体框架

公司风控体系隶属运营管理体系合规管理模块下的第8个业务域。公司对标先进管理理念，以价值创造为中心、以战略目标为导向、以业务流程为抓手，构建全面风险管理体系，通过“制度管制度”、“流程扣流程”，将风险管理工作深度融入业务运营管理，分层分类建立了完备的风险管理运行机制，形成了有效的“失败防御”体系，实现了对风险的自动控制和“自组织”管理。

(二)体系融合，完成全面风险管理一体化平台构建

公司依托运营管理体系，按照“统筹规划、体系引领、分级负责、业务实施”的原则，重构业务风险管理模式，分阶段将业务风险管理由各业务模块/外部体系调入风控体系。根据业务属性，统筹制度层级，以风险管理专业化视角优化业务风险管理运行机制，统一风险管理基础“语境”。充分发挥风控体系的牵引作用，以流程为主轴，在全面风险管理、业务风险管理、业务运营管理之间开辟流程接口，弥补流程断点，完成了基于一体化平台的全面风险管理体系构建，实现了全面风险管理与业务风险管理的深度融合，保证了公司风险管理工作运行高效、步调一致、节奏统一。

(三)体系运行，为运营管理目标实现保驾护航

风控管理唯有紧扣经营目标，方能凸显价值。年度运营计划是企业发展规划的主要载体，更是实现当期经营目标的行动纲领。公司将其作为风控“目标设定”的唯一输入，针对年度运营目标，确定风控项目和管控方案，在面风险管理体系一体化平台的基础上，通过第一、第二道防线协同化运行，让风险管理与经营活动紧密结合，切实发挥出了风险管理体系的防控效能，在公司年度运营目标实现过程中发挥了有效的保障作用。

四、体系建设感悟

(一)体系构建实施指导思想

基于一体化平台的全面风险管理体系构建与实施，运用了架构理论和系统工程思想，承接内外部需求，遵循“合法合规、价值导向、全面性、重要性、制衡性、适应性、成本与效益”七大体系构建原则，以公司运营管理体系为依托，以COSO委员会(全称“发起机构委员会”)发布的“企业风险管理整合框架”八要素作为体系构建的基本框架[2]，对原有管理体系中的风险管理职能进行整合、优化，建立起职责明确、流程清晰、全员参与、循环运转的全面风险管理体系。

(二)体系构建实施策略

一体化平台风险管理体系构建遵循“管理制度化、制度流程化、流程表单化、表单信息化”的运营管理体系建设“四化”理念，紧扣战略目标，用制度搭台、流程牵线、表单唱戏，通过统筹规划业务风险管理模式再造，搭建一体化的风险管理平台，将风险管理与运营管理深度融合，实现风险管理工具、方法的标准化应用，从而有效破除业务壁垒和部门壁垒，促进风险信息的流通、开放与共享，打造一套上下联动、资源整合、高效流通的全面风险管理机制，推动第一、第二道防线协同化运行。通过持续开展风控体系建设，在公司各业务模块之间建立一套通用的思维方法及高效的“失败防御”体系，形成一个统一的行动框架，以便在众多“灰犀牛”奔袭而来时[3]，能够自动开启应对程序，有效改变事件进程，将风险控制在公司可接受的水平。

(三)通过体系构建实施不断提升公司风险防控能力

构建全新的全面风险管理体系，既是一次对公司风险防控能力的深刻检视，也是一次风险管理资源配置的再优化，成为公司创新发展、转型升级的有力推手。依托全面风险管理体系，倒逼管理者克服拖延症，主动作为，摒弃敲响警钟的文化禁忌，引导其正视可能的负面结果、提防集体思维，树立“越早发现警报越好，越早处理潜在的威胁越好”“未雨绸缪远胜于亡羊补牢”“一分预防远胜于十分治疗”的危机意识，从而加强公司对内外部环境变化以及风险发展趋势的预判能力，增进各部门对风险信息捕捉、辨识、评估的主动性，提升公司风险管理资源的配置能力和重大风险的处置能力，为公司实现治理体系和治理能力现代化，持续保持高质量发展强基固本。■