1、,企业全面风险管理,柳 絮,讲义内容,企业风险管理的必要性 案例分析 教训与启示企业风险管理框架 股东对企业风险管理最关心的四个问题 风险管理框架：一个基础、三道防线 构建风险管理的关键成功要素财务报告系统的内部控制 财务报告系统的功能 财务报告系统的典型问题,第一部分 企业风险管理的必要性,企业风险管理的必要性,案例分析：回顾事件发生的经过 了解引致公司倒闭或严重损失的内控缺陷 从案例中吸取的教训,教训与启示 常言：智者从别人失败经验中吸取教训，聪明者从自己失败经验中吸取教训，愚者则永不懂从经验中学习。,我们可以从上述案例中吸取什么教训？1. 熟悉企业本身的业务与相关风险 切记：避免制定不切
2、实际的目标或盲目扩展投资，使企业承受无谓的风险 建立内控和相互制衡的机制 切记：权力过分集中就会出现腐败的情况 紧盯着现金 所有犯案、挪用公款和偷窃行为均与现金有关 常言：“会计数字只是参考意见，现金才真正令你感到踏实。”,合理制定绩效评估与激励机制 “如果你发现精明的员工做出蠢事，你应意识到这可能是因为他们受到公司的绩效与激励机制的诱导而产生的结果。” 5. 建立规范和健全的财务报告系统 财务报告系统必须有能力为企业提供及时、准确和具高分析性的财务资料，以帮助管理层管理业务和赢取股东的信心,6. 深化企业风险管理文化 要建立健康的企业文化及价值观，企业必须： 由上而下，身体力行，建立严谨的“
3、风纪” ，使员工能上行下效 订立管理原则和行为规范 通过绩效管理的方法，鼓励正确的行为和态度 加强培训和沟通 企业必须建立有效机制，使员工能从企业本身或其他企业所犯的错误(或接近犯错)的经验中，吸取教训,第二部分 企业风险管理框架,什么是风险管理？,企业风险管理是一套由企业董事会与管理层共同设立、和与企业战略相结合的管理流程。它的功能是识别那些会影响企业运作的潜在事件和把相关的风险管理到一个企业可接受的水平，从而帮助企业达至它的目标。美国内控研究委员会,企业为何要建立风险管理？,因为企业的股东与管理层常常要面对一些令他们寝食难安的问题。因此，企业需要系统化地建立一套风险管理体制，从而识别影响企
4、业盈利的关键因素，并对那些会影响企业达标的风险进行监控及管理,股东对企业风险管理最关心的四个问题：,企业知道它所面对的主要风险吗？例如：什么风险正在或将会影响企业的业务？企业的品牌新产品、新市场的开发战略联盟客户或供应链的管理,理想的情况： 企业能开发一套标准的、共通的风险语言，从而识别企业所面对的风险，并就其严重的程度进行排序。共通的风险语言亦有利于企业上下层就风险的管理进行沟通,企业是否已对这些风险设置内部控制？企业需要就各业务单位在日常运作中所面对的风险(战略性风险、业务性风险、流程性风险)，构建内部控制(包括预防性控制及觉察性控制) ，以确保企业能实现目标和符合各方面的法律、法规,理想
5、的情况： 企业就其所面对的风险和采取的内控，编制一套完整的文档，并借鉴国际最佳的实务不断进行检讨,企业的内部控制有效吗？企业要对其内控系统不间断地进行监控和测试，以确保其对风险控制的能力,理想的情况： 企业把各类风险控制在可接受的水平，并在这基准上赚取合理的回报,哪一些内部控制必须改进？企业内部和内部环境的变化会不停地影响企业所面对的风险和所应采取的监控措施,理想的情况： 企业能建立一套具前瞻性的信息管理系统和预警系统，使企业能及时识别新生的风险，并对相关的业务计划、政策和程序进行修正,企业风险管理框架,一个基础 三道防线,一个基础：公司治理结构,什么是公司治理？ 公司治理是涉及公司的表现：它
6、关系到一家公司如何得到有效的管理，从而发挥最佳表现 公司治理是涉及责任的问题：它关系到董事会及管理层如何向股东负责，而使股东能从公司的表现中得益,第一道防线：业务单位防线,业务单位包含了企业大部分的资产和业务，它们在日常工作中面对各类的风险，是企业的前线 企业必须把风险管理的手段和内控程序融入到业务单位的工作与流程中，才能建立好防范风险的第一道防线,如何建立第一道防线 了解企业战略目标及可能影响企业达标的风险 识别风险类别 对相关风险作出评估 决定转移、避免或减低风险的策略 计设及实施风险策略的相关内部控制,(风险宇宙TM ),资信,制度,知识产权,财务,流动资产与 信贷,资本结构,市场,财务
7、报告,营运,法律,生产程序,营商环境,市场结构,民风与文化,管治,策略,董事会活动,交易,并购,变卖,声誉,道德,社区责任,风险管理,董事会及 管理层业绩,组织结构,监察与沟通,执行,筹划与开发,利益有关方,供应商,政府,顾客,股东,经济情况,国家情况,市场变化,竞争对手,人才资源,雇员,沟通,有形资产,机器、厂房 与土地,其他 有形资产,负债,合约,法规,市场与销售,生产及流通,商品/服务开发,流程,估值与 选择买家,评估与甄选,尽职调查,并购后整合,资信管理,运营,组织与监察,硬件,软件,网络,无形资产,知识管理,信息,现金管理,对冲,融资,股东资本,债务,商品,利率,外汇,税务,会计,合
8、规,风险宇宙,战略性风险是指公司因作出战略性错误的决定而导致经济上的损失 战略性风险是业务单位、高级管理层和董事会的共同责任 常见的战略性风险包括： 企业的目标与方针 市场潜在的威胁 业务的范围(深度与广度) 品牌及形象的建立,战略性风险,与战略性伙伴的合作 投资和融资的策略 员工的素质和雇员关系 企业的信息及监控系统,信贷风险是指贷款人或合同的另一方因不能履行合约而使公司产生经济损失的风险 常见的信贷风险包括： 贷款未能回收 应收帐款未能回收 债券跌价 (因信贷评级的减值或债务人未能履行付款义务) 买卖金融市场产品而未能兑现 企业因合资、合作、联盟、外包等经济活动而产生或暴露的信贷风险,信贷
9、风险,市场风险是指因市场价格或利率波动而使公司产生经济损失的风险 构成市场风险的三大因素： 因买卖或投资金融产品而产生的风险 因资产与负债错配、或原材料与产成品价格不能同步浮动而产生的风险 资金流动性风险 常见的市场风险包括： 利率风险 外汇风险 股票与债券市场风险 商品价格风险 期货、期权与衍生工具风险,市场风险,操作风险是指企业内部流程、人为错误或外部因素而令公司产生经济损失的风险，它包括了公司的流程风险、人为风险、系统风险、事件风险和业务风险等 流程风险是指交易流程中出现错误而引致损失的风险，流程包括如：销售、定价、记录、确认、出货/提供服务等环节。流程风险也包括合规性风险 人为风险概指
10、因员工缺乏知识和能力、缺乏诚信或道德操守而引致损失的风险 系统风险是指因系统失灵、数据的存取和处理、系统的安全和可用性、系统的非法接入与使用而引致损失的风险 事件风险是指因内部或外部欺诈、市场扭曲、人为或自然灾害而引致损失的风险 业务风险是指因市场或竞争环境出现预期以外的变化而引致损失的风险，所涉及的问题包括市场策略、客户管理、产品开发、销售渠道和定价等领域,操作风险,风险发生的可能性,风险对企业造成的影响,风险处理方法的效果,风险地图(或风险共同语言),影响程度,几乎 肯定,极可能,可能,低,极低,B,C,A,G,I,D,J,K,H,E,F,可能性,说明: A 人力资源风险 B 财务风险 C
11、 竞争风险 D 开发风险 E 过度自信风险 F 系统故障风险 G 主要客户风险 H 欺诈风险 I 政治风险 J 薪酬奖励风险 K 科技风险,风险处理策略,第二道防线：风险管理单位防线,第二道防线是在业务单位之上建立一个更高层次的风险管理功能，它的组成部份可能包括风险管理部门、信贷审批委员会、投资审批委员会风险管理部的责任是领导和协调公司内各单位在管理风险方面的工作，它的职责包括： 编制规章制度 对各业务单位的风险进行组合管理 度量风险和评估风险的界限 建立风险信息系统和预警系统 、厘定关键风险指标 负责风险信息披露、沟通、协调员工培训和学习的工作 按风险与回报的分析，为各业务单位分配经济资本金
12、,第三道防线：内审单位防线,第三道防线涉及一个独立于业务单位的部门，监控企业内控和其他企业关心的问题 内部审计的定义：,构建企业风险管理的关键成功要素,1. 股东确立对企业监督的机制，考虑是否需要在集团层面： 引入以董事会领导的管理体制 聘任有经验的外部董事，来加强对企业的监督 要求企业建立风险管理和内控系统，并对其运作及有效性作出定期的汇报,2. 管理高层的支持和参与 确立方向和目标 营造必要的环境 为平衡风险与回报作出战略性的决定,风险,调整风险 后的回报,3. 建立风险管理文化 风险管理的手段，必须融入日常的管理流程 通过讨论和培训，使风险管理的实施得到“全民” 的支持 通过经验的分享，
13、不断加强风险管理的认同性4. 采用先进的风险管理的实施方法 借鉴如美国 Treadway 委员会所提出的COSO内控框架 采用各种识别和度量风险的先进的方法 采用标准的模板和程序确认风险、评估风险、建立记录和文档、参考国际最佳实务，构建信息管理系统和预警系统,第三部分 财务报告系统的内部控制,财务报告系统的功能,股东,监管部门,其他利益相关者,分析和修正,企业远景、 战略和目标,企业经营、 管理和控制,企业业绩的 度量和报告,财务报告系统,财务信息披露和报告,财务报告系统管理,财务报告系统和内部控制的关系,财务报告系统是为企业内部管理提供信息和与外部利益相关者(如股东、监管机构)沟通的主要工具
14、和媒介 财务报告系统需要一个完善的内部控制环境，才能及时和有效地执行和发挥它应有的作用,内部控制的作用,内部控制的作用在于保证/保护： 信息（会计信息和经营信息）的可靠性和完整性 遵循政策、计划、程序、法律和法规 资产的安全 提高经营效益和效能 实现经营的目标和防止浪费资源,内部控制不能： 将一个原本拙劣的管理体系改变成一个优良的管理体系 影响环境因素，如政府的法规和政策、竞争对手的行动或经济状况 保证企业的成功或不会面临倒闭的命运 杜绝员工或管理层舞弊和欺诈的行为,美国索克斯法的主要规定及要求,第404节(a) 要求企业在提交年报时(20-F)一并提交内部控制及财务报告程序的有效性管理报告。
15、 第404节(b) 要求审计师就管理层内控报告出具验证意见。 SOA404生效日期： 美国本土上市公司：于2004年11月15日或以后的财务年度； 非美国本土上市公司：于2006年7月15日或以后的财务年度(此日期已再次延后)。,SOA404法案总体要求,SOA 404 的要求,要求年度报告中要包括“内部控制报告”, 其具体内容为:,管理层责任的声明：管理层有责任建立和维护健全的内部控制制度以确保财务报表的合理和准确性； 管理层的评价的声明：关于在财政年度末有关财务报表的内部控制有效性的评价； 评价框架的说明：明确指出管理层适用于评价有关财务报表的内部控制有效性的框架； 关于外部审计师已出具关
16、于管理层评价的鉴定报告的声明。,该准则不允许管理层在已发现内部控制制度有一处或多处“重大缺陷”时，作出有关财务报表内部控制有效的认定。该准则同时要求管理层披露评价过程中发现的任何“重大缺陷”。 尽管准则中没有明确说明，但是通常认为，财政年度中已发现并已纠正的“重大缺陷”不影响管理当局在财政年度末作出有关财务报表的内部控制有效的评价。,SOA 404 要求(续),合理地保证会计记录合理、准确、详细并公允地反映公司的日常交易和资产处理； 合理地保证对所有交易都作了必要适当的记录以便于按照公认会计准则编制财务报表，并且收入和支出活动均经管理当局和董事会的适当授权； 合理地保证防止或及时发现对财务报表
17、有重大影响的未经授权的资产采购、使用或处置。,准则对“有关财务报表的内部控制”的定义为：“公司主要的管理人员或者主要的财务管理人员设计内控政策和控制程序，并监督其执行，以便对财务报告是按照公认会计准则编制以及财务报表的可靠程度做出合理的保证。” 该控制政策和控制程序主要包括：,对形成、记录、处理和调节账户余额、交易的分类和披露以及财务报表的相关认定的控制。 对形成和处理非常规交易和非系统化交易的控制； 对防止、确认和发现舞弊的控制。,评价有关财务报表的内部控制： 准则强调指出管理层必须制定并保存有关内部控制的书面文件, 包括关于内部控制设计和测试程序的文件, 从而为管理当局评价有关财务报表的内
18、部控制有效性提供合理的保证。这些书面文件是有效的内部控制的首要条件。 管理当局的评价必须基于评价内部控制设计的有效性和测试其执行的有效性的程序。询问本身并不能为内部控制的评价提供足够的基础。 有关评价的内部控制包括：,SOA 404 要求(续),如何建立内控以满足索克斯法的要求,COSO内控框架,Committee of Sponsoring Organisation of The Treadway Commission (COSO)为内控开发了一个全面的框架 这个内控框架是唯一被美国证监会确认为完整、全面和不偏依的内控框架 构建内部控制须分两个层面： 公司层面 流程、交易及资讯科技应用层面,
19、组织项目小组进行评估,高层参与 各业务部门之参与 财务、内审、计算机管理部门之参与,公司层面的内控控制环境,企业道德规范与价值观 员工的行为操守与企业文化 公司治理结构和政策 董事会及各委员会的构成 企业规章制度 董事会与管理层之间的关系、权力和职责,公司层面的内控风险评估,企业是否拥有既定的程序以确定、评估和度量影响企业达标的风险？ 先进的内审部门？ 风险管理部门？ 全面风险评估？ 企业有否详细记录评估风险的结果？有否进行详细的讨论和沟通？,公司层面的内控信息和沟通,企业的架构是否能够令各部门及业务单位明确各自的职责及促进沟通 企业是否拥有一个合适的电子平台 处理管理信息和数据 确保信息能够
20、及时发放 确保各类信息和报告的准确性和可用性,规章制度 审批程序 资产实物的安全 特殊报告 表现指标 信息系统控制 职责划分,公司层面的内控控制活动,公司层面的内控控制活动,审批程序 一种预防性的控制措施 确保规章制度得以落实执行 知识与经验分享 责任的承担,公司层面的内控控制活动,资产实物的安全 档案/库存上锁 减少利用现金交易 办工室安全系统 / 警铃 资料数据库进入的限制 保安人员 员工身份证 机器上的标记 隐型录相机,公司层面的内控控制活动,特殊报告 逾期应收款报告 工作超时完成报告 原材料不合格报告 机器故障报告 产品不合格或退货报告 存货台帐红字报告,公司层面的内控控制活动,表现指
21、标 预算与实际比较 项目管理报告 财务指标报告 系统可用性报告 员工利用率报告,公司层面的内控控制活动,职责划分 一种员工之间相互制约的控制， 以减少出错或越权的情况 不能由同一人发起、批准和记录一宗交易 不能由同一人保管和记录资产 定期轮换职责，在日常运作中的主要控制点应有高管人员的参与或由独立的人员作出审查,公司层面的内控控制活动,监控是对一定时期内内部控制执行质量的评价程序，考虑相关内部控制是否能够满足最初设计的目标，并保证在不同情况下进行适当的修改。 考虑并记录是否定期对内部控制进行评价；管理层是否采纳内部和外部审计师关于内部控制的建议；是否存在内部审计部门以协助管理层进行监控。,公司
22、层面的内控监控,重要性,Staff Accounting Bulletin No. 99 -“重要性”指引 上市公司和审计人员在估计项目的重要性时必须同时考虑金额的和性质的因素。,404的要求管理层有责任建立和维护健全的内部控制制度以确保财务报表所有重大方面的合理和准确性,重要性 指引,不能完全依赖金额标准-上市公司在判断某一项目对财务报表是否重要时不能完全依赖金额标准，而应同时考虑金额和性质的因素； 蓄意的错误-蓄意的错误，无论重要与否，都是不可接受的； 蓄意违反联邦法律的故意错报-上市公司须遵守1934年颁布的证券交易法第13章(b) (2)-(7)的规定。即使某一项目的错报并不重要，但是
23、其违反了联邦法律，这种蓄意的错报都是不可接受的； 操纵利润-凡是操纵利润导致的错报，无论金额大小都是不可接受的； 错报个体和总体-上市公司应单独考虑每一项错报的重要性，并考虑其对错报总体的影响； 小金额错报-性质重要的小金额错报也应当引起重视。,识别交易和流程的类别,识别影响各个重要科目的主要交易和流程的类别 基于以下因素决定重要的交易和流程： 交易、会计处理和报告的复杂程度 交易活动的风险程度和发生重大错误的固有可能性 业务的规模、组成和交易数量 对人为操纵和损失的敏感性 管理层监督的程度和汇报流程,X,重要科目,识别业务和认定,在每一个重要地点和业务部门，识别影响每个重要科目及其相关披露的
24、关键业务流程和业务活动 基于以下因素决定有哪些认定与每项流程活动相关联：,交易、会计处理和报告的复杂程度 交易活动的风险程度和发生重大错误的固有可能性 对人为操纵或损失的敏感性,重要项目 发电机及相关机器和设备,关键业务流程 购置及应付 折旧及计提 减值准备,详细业务流程 评估新项目投资的建议 采办订单管理 供应商资料库的管理 应付款程序管理,评估整体控制的有效性，确定应改进的地方并建立监督系统,内控设计缺陷之弥补 业务流程之穿行测试 主要内控点之测试策略 主要内控点实际操作之测试 内控实际操作缺陷之弥补及再测试 评估整体财务报告内控的有效性,管理层出具 内部控制 报告,评估整体控制的有效性，
25、确定应改进的地方并建立监督系统,理解并分别评估程序、交易及应用层面的风险,评估公司层面的控制,组织项目小组进行评估,理解内部控制的概念,挑战成本和效益,管理层面对的挑战 为了进行评价和支持其声明，管理层必须了解、记录、评估、测试和监督公司内部控制的有效性； 管理层须要在公司层面以及每个重要程序层面(影响所有重要科目的程序)开展广泛的内控文档化及评估程序，并建立监督该些控制的程序。 目前大部分公司在这些方面并不具备详细程度足够的文档； 大量的初期和持续资源投入。,使管理层能将注意力集中在影响财务报告的关键风险范畴; 确保存在于不同层面的所有关键风险范畴均得到处理； 向所有员工传达关键风险的概念，提高其控制意识； 提高公司的形象和加强投资者的信心。,挑战成本和效益,除了法规的遵循，公司应考虑从404项目的实施实现其他效益，其中可能包括:,案例分析,
