关于企业全面风险管理的理论与实践梳理【分享】解读

第一篇：关于企业全面风险管理的理论与实践梳理【分享】解读

作者：乞建勋张丽英刘严杨尚东

[论文关键词]全面风险管理理论框架实践经验

[论文摘要]本文对国内外企业风险管理理论研究和企业实践进行梳理，归纳 主流理论框架和实践经验，为企业加强风险管理体系建设提供参考。

1引言

企业全面风险管理是经济全球化背景下国际大型企业面对日益复杂的外部 环境所做出的现实选择。美国世通公司与安然公司丑闻事件、日本住友巨亏事 件、英国巴林银行倒闭、中国中航油新加坡公司巨亏事件相继发生后，美国、中

国、英国、澳大利亚、日本等国家日益重视企业的全面风险控制。COSO 企业风

险管理整合框架、萨班斯法案的颁布实施以及中国《中央企业全面风险管理指 引》的出台，表明各国政府、监管机构对企业的风险控制能力与防范体系提出了

更高的耍求。越来越多的国际大公司重视和加强全面风险管理。据普华永道 2004年对世界上1400个大中型公司的CEO 进行的调查结果看, 接近四分之三的

企业已经建成或部分建成全面风险管理体系, 实施全面风险管理已经成为国际企

业风险管理的发展趋势。

中航油巨亏事件发生后，我国中央企业的风险管理问题日益得到各方重视。国资委研究出台了《中央企业全而风险管理指引》，并拟将风险管理纳入中央企

业负责人业绩考核指标。2企业全面风险管理主流理论框架

国际上主流的风险管理理论框架包括美国C0S0的《企业风险管理一整合框 架》，我国国资委《中央企业全面风险管理指引》，澳大利亚一新西兰的澳新标

准等。

2.1 C0S0企业风险管理框架

C0S0是美国反虚假财务报告委员会管理组织，它于2004年9月发布《企业 风险管理一整合框架》，是目前美国上市公司风险管理的参照性标准。该框架的

本质是建立一个各方通用的共同语言，为企业风险管理提供清晰的方向和指南。它通过风险组合观点，要求企业管理层必须考虑风险与风险之间如何相互关联，并从业务单元层面和公司内部各个实体层而决定风险组合。该框架包含四个目 标(战略、经营、报告和合规目标 和八个相互关联的要素（内部环境、目标设定、事件识别、风险评估、风险对策、控制活动、信息和沟通、监控，并考虑了一 个组织内部所有层面的活动(公司层面、职能部门、事业部、分公司等业务单元 和子公司）。

2.2澳新企业风险管理标准

澳新标准是由澳大利亚与新西兰联合标准委员会于2005年9月发布，澳新 标准认为，企业风险管理是一个逻辑和系统的方法, 包括建立风险管理基础、风 险识别、风险分析、风险评估、风险应对、监督与协商、沟通与评价等，穿插于 公司各个业务活动、职能部门和业务流程，使得公司能够达到损失最小化和机遇 最大化。

2.3国资委《中央企业全面风险管理指引》

2006年6月，国务院国有资产监督管理委员会出台《中央企业全面风险管 理指引》（以下简称《指引》）。《指引》借鉴了美国C0S0内控框架、C0S0全 面风险管理框架、萨班斯法案、澳大利亚和新西兰联合发表的国家风险管理标 准(AS/NZS 4360、英国风险管理标准、英国公司治理法典、新加坡上市公司治 理法规等，又考虑了我国公司治理法规等现有规定和我国企业的实际情况。

归纳起来，《指引》包括了三大部分和八个方面具体内容。三大部分是:风 险管理流程、风险管理体系和风险管理文化。其中，风险管理流程包括:风险管 理初始信息、风险评估、风险管理策略、风险管理解决方案、风险管理的监督 与改进;风险管理体系包括风险管理组织体系、风险管理信息系统;风险管理文 化包括风险管理文化的目标、内涵和培育方法。这三大部分及其具体内容，共同 构成了国资委风险管理指引。

3国际一流企业全面风险管理现状和经验

风险管理制度是否健全，能否落实到位是关系全面风险管理机制建设目标实 现的关键。“中航油事件”、“世通事件”充分体现严格执行风险管理制度的 重要性。总结国际企业风险管理经验, 主要有以下六个方面经验：

(1 建立完整权威的风险管理组织架构是有效贯彻全面风险管理制度体系的 重要保障。许多成功实施全面风险管理的大企业都在董事会下成立了风险管理 委员会，由董事长兼任委员会主席。此外，这些公司大多还设立了首席风险官，对 风险管理进行集权管理，以增强风险管理机构的权威性。实践表明，建立完整、权威的风险管理组织架构，有利于充分整合和调配企业资源，确保既定的全面风 险管理各项制度能够得到有力执行，促进全面风险管理工作得以有效开展。

(2 加强风险管理委员会与审计部门的独立性是实施全面风险管理的基础。

国际上成功企业在保障企业全面风险管理体系执行的时候，大都注重风险管理委 员会和审计部门的独立性，其风险管理委员会都是在董事会的领导下直接工作，不受公司执行层的影响。这样就能够确保风险管理委员会在整个公司全面风险 管理体系中的独立性，以确保能够客观、公正地审视公司的风险。同样，这些公 司还注重对全而风险管理体系运作的审计, 成立了独立的、由董事会直接领导的 审计委员会进行负责，保证了对风险审计的独立性和客观性，保证其能向董事会 和风险管理委员会提供独立客观的风险控制改进建议，如意大利的爱迪森集团公 司。此外, 在这些公司的风险管理委员会和审计委员会中，明确要求引入一定数

量的独立董事或外部的风险管理专家和审计专家，以确保对公司风险管理和风险 控制的独立性、客观性、科学性。

(3 注重对风险的量化评估，加强风险管理人才培养和储备，是充分发挥全面 风险管理作用的必然要求。国际上，如欧洲、美国、澳大利亚的企业，非常重视 对企业面临风险的量化评估, 注重借鉴和吸收金融、保险领域对于企业风险量化 描述的方法和手段。这有利于提高风险决策的科学性，从根本上提升了全面风险 管理体系执行科学性。要做到风险相对精准的量化描述，就需要专业的风险管理 人才。这些公司非常重视对于在全而风险管理体系执行过程中关键的风险管理 技术人才的培养和储备，特别注重专业审计人才和风险精算人才的培养、引进和 任用，从而为全面、科学地认识和管理风险奠定了人才基础。

(4 构筑风险管理信息化系统，是提升风险决策和风险应对能力的有效途径。信息系统可以让风险管理部门尽快地掌握企业各个环节的风险苗头。以美国花 旗银行为例, 行长可以通过“集中风险监控系统”显示出来的风险分布图、当前 热点风险事件等来及时、直观地掌握企业目前所处的风险状态。这样的工具对 于提高企业经营者对风险的感知度和决策的科学性是非常重要的。信息系统还 可以成为风险应对的支撑工具和平台, 这一特点在国外一些能源供应企业和公共

产品提供商的公共事件应急响应平台中已经得到体现。

(5 坚持风险管理独立性与开放性的统一，是确保风险管理发挥实效的一项 重要原则。风险管理独立性是风险管理有效性的核心，是风险管理权威性的根本

保证，要求有独立的机构、人员，对业务发展中存在的风险进行独立客观的识别、度量和控制。同时，国际上成功实施全面风险管理的大企业，大都在保证独立性 的前提下，注重保持风险管理的适度开放性。这些企业的实践表明，通过风险管

理方法的创新和完善，努力做到风险管理与业务发展的整合，实现风险管理独立

性和开放性的统一, 企业才能适应不断变化的市场、客户和同业竞争。(6 坚持统一性和差别化的统一，是提升全面风险管理效果的现实要求。国 际上大型企业实施全面风险管理体系的成功经验表明，一个大型企业管理的理念、战略应当是统一的，企业承担什么样的风险、承担多大的风险、追求什么样的风 险收益配比是企业经营管理的基本原则, 任何部门和业务都应贯彻这个原则。但 经营领域的广泛性、客户需求的复杂性，客观上需要实行差别化的风险管理政策，做到风险管理的统一性和差别化的统一。

第二篇：企业全面风险管理

企业全面风险管理报告

一、xxxx企业全面风险管理工作回顾

（一）企业全面风险管理工作计划完成情况。

1．重大风险情况

xxxx公司对重大风险管理采取提前预防、重点控制、专人监控、专项处理的管理策略。公司对风险控制措施得当，运行有效，未发生风险事件。对于重大风险的应对方案，公司采取演练重大风险发生，寻找处理过程中的不足，对应对方案进行优化和改进，同时加强风险知识学习与经验交流，树立风险意识和危机意识，提前做好重大风险的预防工作。

（二）企业重大风险管理情况。

做好了重大风险预警机制。公司风险管理小组对已确立的风险事件进行监控，定期对风险事件发生的可能性进行评估，当估值达到预警指标值时启动预警机制，根据预警机制对风险事件因素进行处理，防范避免风险事件发生。本企业在2012无重大风险情况。

（三）风险管理体系建立运行情况。

1、风险管理组织体系

公司经营班子设置总经办，下设综合管理部，生产部、

第三篇：2015企业全面风险管理报告

2015企业全面风险管理报告（模板）

一、2014企业全面风险管理工作回顾

（一）企业全面风险管理工作计划完成情况。简要说明本企业2014全面风险管理工作计划执行情况,以及企业董事会对全面风险管理工作成效的评价。

（二）企业重大风险管理情况。

逐一简要说明2014本企业重大风险的管理情况。如有重大风险事件发生，要至少就1件事件说明产生原因、事件经过、对本企业目标产生的影响、处理措施及效果，防范类似风险事件再次发生或者降低影响程度的应对措施。

（三）风险管理体系建立运行情况。1.组织体系建立及运行情况。

简要说明本企业（含所属二级单位）风险管理组织架构设置情况和从事风险管理工作人员情况，风险管理职能部门的职责定位、业务内容和工作机制等。

2.常态化风险评估机制建立及运行情况。

简要说明本企业定期和不定期风险评估制度的建立及运行情况，重大事项专项风险评估制度的建立及运行情况，风险量化分析工具应用情况等。

3.风险管理沟通与报告制度的建立与执行情况。简要说明本企业全面风险管理报告制度建立与执行情况，重大风险的监控、预警、报告等机制的建立与运行情况，重大风险监控预警指标建立情况，风险信息数据库建立情况。

4.专项风险评估和日常风险评估情况。

简要说明本企业开展专项风险管理和日常风险管理情况，包括措施、手段、过程等内容。

5.内部控制建立与实施情况。

简要说明本企业建立并实施以风险管理为导向的内部控制工作情况。

6.风险管理评价或考核工作情况。

简要说明本企业开展风险管理工作评价的评价范围、评价标准、评价方法与程序，以及评价结果纳入绩效考核体系的有关情况。

7.风险管理文化建设情况。

简要说明本企业风险管理政策的宣贯情况，风险管理工作的宣传培训机制，风险管理文化与业务融合情况等。

（四）风险管理信息化有关情况。

简要说明本企业风险管理信息系统的建设情况、覆盖范围、主要功能、运行效果、与现有管理信息系统对接情况等。

（五）全面风险管理专项提升工作情况。

将全面风险管理作为管理提升活动重点领域开展专项提升的企业，简要说明专项提升工作情况以及下一步工作安排等。

二、2015企业风险评估情况

（一）结合2015本企业经营目标，简要描述本企业2015年面临的内外部环境因素的变化，并就其对经营目标的影响进行总体研判和简要分析。

（二）企业开展2015风险评估的范围、方式及参与人员等有关情况。

（三）按照企业风险分类，列示企业2015风险评估的结果，以及经评估确定的重大风险（以附件形式说明风险评估的方法和重大风险的评判标准）。

（四）按照风险事件发生的可能性和发生后对企业目标的影响程度两个维度，将企业评估出的2015重大风险绘制成风险坐标图。

（五）企业2015重大风险同2014相比的变动情况及原因。

（六）简要说明企业对重大风险关键成因进行量化分析的情况（包括建立量化分析、预测模型等）。

三、2015全面风险管理工作安排

（一）2015全面风险管理工作计划。

简要说明董事会、党政联席会或工作会议对本企业2015全面风险管理工作提出的安排部署和工作要求，以及落实相关部署和要求的工作计划。

（二）2015重大风险管理工作安排。1.重大风险描述。

从风险类别、风险源（要求具体到产生的单位、项目、业务、管理活动）、风险成因、风险发生后对企业目标的影响等方面，逐一对本企业2015重大风险进行简要描述。

2.重大风险管理策略和解决方案。

（1）风险管理策略。简要说明本企业对每项重大风险的风险偏好、风险承受度及据此确定的风险预警指标等。

（2）风险解决方案。简要说明每项重大风险的管理现状（已有的相关制度、流程、控制措施的设计与执行情况）、责任主体，拟采取的应对措施、应急处理计划等。

3.监督保障机制。简要说明企业对执行重大风险管理策略和解决方案的监督保障机制。

四、有关意见和建议

（一）需要集团股份公司协调解决的有关重大风险问题。

（二）对集团股份公司推动风险管理体系建设工作的意见和建议。

（三）对建立和完善本企业风险管理体系建设工作的设想和计划。

第四篇：企业全面风险管理2

XX全面风险管理报告

运输部、质量部和销售部，组织结构图如下：

公司领导对全面风险管理工作高度重视，公司专门成立了全面风险管理小组，总经理和副总经理直接指导，各部门负责人为成员，主管部门为综合部，运输部外勤事务兼任安全员，负责风险管理工作，不断组织和推动公司的风险管理工作。

公司全面风险管理的职责落实到相应的职能部门，由指定人员负责全面风险管理工作的实施。全面风险管理的理念已在逐步树立，风险防范意识也在各级领导及工作人员的思想中进一步强化。

（二）风险管理职能部门和风险管理信息化有关情况。

公司风险管理的职能部门为综合管理部，运输部外勤事务兼职风险管理员。办公室具体履行以下职责：

第五篇：企业全面风险管理：识别、评估与控制

企业全面风险管理：识别、评估与控制

从风险的识别、评估和控制三个方面对全面风险管理的理念和内涵进行系统阐述，并对其与传统风险管理的区别与联系进行简要分析，对我国企业全面风险管理体系的建立具有重要借鉴意义

企业全面风险管理：识别、评估与控制

企业全面风险管理是指企业围绕总体经营目标，通过在企业管理的各个环节和经营过程中执行风险管理的基本流程，培育良好的风险管理文化，建立健全全面风险管理体系，包括风险管理策略、风险理财措施、风险管理的组织职能体系、风险管理信息系统和内部控制系统，从而为实现风险管理的总体目标提供合理的过程和方法。与传统风险管理相比较，在管理模式上，全面风险管理强调对各种风险，包括战略风险、营运风险以及财务风险等的综合统一管理，强调把风险管理的各项要求融入企业管理和业务流程中;在风险的处理方式上，全面风险管理在强调防范和化解风险的同时，把机会风险视为企业的特殊资源，强调通过对其的管理，为企业创造价值，促进经营目标的实现。

全面风险管理是对传统风险管理的继承和发展，赋予了风险识别、风险评估以及风险控制新的内涵。

一、以构建企业风险“全景图”为目标的风险识别 风险识别是进行有效风险管理的基础和关键。风险管理第一步，就是要对企业面临的各种风险进行识别，将风险分门别类，并追溯导致风险产生的各种因素。风险识别工作做得扎实，风险评估和控制的工作效果才有保障。在全面风险管理框架下，风险识别的目标，就是要广泛、持续地收集与本企业风险和风险管理相关的内部、外部初始信息，发现企业面临的各种风险，并构建反映各种风险的风险“全景图”。

（一）企业风险“全景图”

所谓风险“全景图”，就是将本企业面临的各种风险反映到统一框架内，为风险评估提供坚实的基础。企业面临的风险，从整体来看可分为外部风险和内部风险两大类，参见图

1、图2。

（二）完善的全面风险管理组织体系是风险识别的依托

全面风险管理组织体系是有效识别、评估和控制风险的制度保障，它包括以下几个方面：一是规范的公司法人治理结构。股东大会、董事会、监事会和经理层要依法履行职责，形成高效运转、有效制衡的监督机制。董事会负责确定企业风险管理总体目标、风险偏好、风险承受程度，批准风险管理策略和重大风险管理解决方案及风险管理监督评价审计报告；董事会下设风险管理委员会，风险管理委员会对董事会负责，并提交全面风险管理报告、审议风险管理策略和重大风险管理解决方案以及风险评估报告；企业总经理对全面风险管理工作的有效性向董事会负责。二是企业应设立专职部门或确定相关职能部 门履行全面风险管理职责。该部门对总经理或其受委托的高级管理人员负责，职责包括：研究提出全面风险管理工作报告；提出重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制;提出重大决策风险评估报告并对日常的企业风险进行监控。三是企业应在董事会下设立审计委员会，企业内部审计部门对审计委员会负责。内部审计部门在风险管理方面，主要负责研究提出全面风险管理监督评价体系，制定监督评价相关制度，开展监督与评价，出具监督评价审计报告。四是企业其他职能部门及各业务单位在全面风险管理工作中，应接受风险管理职能部门和内部审计部门的组织、协调、指导和监督。

（三）全体员工的风险意识是有效风险识别的保障

风险意识是风险管理过程的出发点，在有风险意识的环境里，很多风险问题在变成更大的问题之前，都能得到有效地处理。让所有员工知晓他们个人职责对公司风险有怎样的影响，以及在公司内他们的作用和责任与他人有怎样的关系，是企业风险管理的一个重要方面，也是风险识别工作充分有效进行的前提。在企业风险管理过程中，要努力让每一位员工具备充分的风险意识，使“风险无处不在”的理念遍及企业的每一个角落，只有如此，全面风险管理才能名副其实。从这个意义上说，未能了解自己的企业是基德•皮博迪和德国石油及金属集团发生灾难的主要原因。

（四）通用风险语言是风险识别的基础

构建风险“全景图”应使用通用风险语言。通用风险语言，使得来自不同 部门、使用不同术语的人之间的交流成为可能。顺畅有效的交流，能够持续促进公司不同级别人员风险认识能力的提高，减少达成共识的成本，促成公司各部门一致对待风险，提高风险管理的效率。可以说，没有通用的商业风险语言，没有对风险在一个公司的角色的理解，公司的控制流程就将是空中楼阁，失去成长的基础。

（五）恰当的风险识别途径是风险识别工作高效进行的基本保证

构建风险“全景图”需优化风险识别途径。风险识别的途径很多，从公司业务的战略规划和盈利预测，到公司各个主要业务执行层面的管理和流程控制，都为风险事件的识别提供了按图索骥的指引。笔者认为，最直接的途径往往也是最有效的。具体而言，企业在风险管理的过程中，应注重从基本业务单位的经营情况去分析风险，与基层业务人员交流风险，在业务分析报告中找寻风险。比如微软公司的风险管理部门非常重视与业务部门面对面地交流。按照微软公司财务总监的说法，通过这样的方式，风险管理部门至少可以掌握企业所面对的90%的风险。在实践中，从业务报告中分析风险已成为绝大多数企业识别风险的重要途径。

（六）先进的识别工具为风险识别提供了充分有效的技术保障

构建风险“全景图”需运用恰当的风险识别工具。用于进行风险识别的工具很多，常见的主要包括: 风险检索列表、PEST问卷、SWOT问卷以及风险数据库等。其中风险检索列表是由公司经理层基于丰富的工作经验而开发的，它 给公司内部人员以相应的告示和提醒，避免今后的工作重蹈覆辙;PEST问卷主要分析公司所面临的外部风险，包括对政治、经济、社会和科技等因素的分析；SWOT问卷主要是对公司的优势、劣势、机会和威胁等问题进行分析。

此外，现场分析、自我评估、集体讨论和情景模拟等方法也都被广泛地运用在风险识别的工作中。这些方法各有侧重，企业应根据管理的需要，选择恰当的方法组合。

二、重视风险之间关系的风险评估

对企业面临的风险进行有效识别后，应对各种风险发生的可能性及其对公司运营造成威胁的大小进行衡量和评估。按重要性、严重性或者对企业影响的大小，对风险进行排序，形成企业风险评估报告，为风险控制决策提供科学依据。

（一）风险分析和评价是风险评估的基本环节

风险分析就是对识别出的各种风险的特征进行明确描述，分析其发生的可能性和发生的条件。具体体现在如下几个方面：一是无论事件是否会导致财务损失，都应在当期的风险分析报告中加以反映。风险事件可以包括重要的顾客账目损失、政策违犯、系统失效、舞弊以及官司等。对于重要的风险事件，其潜在的影响、根源和商业反应等事项也应包括在风险分析报告之中；二是由信用、市场和营运风险导致的损失应该系统地从损失数据库中获取并总结在风险 报告中。风险分析的注意力应重点放在超出某一限制上的特别损失以及与收入或销售量相关的总损失上;三是风险分析应给管理层提供风险的前瞻性评估，主要是对现有风险的发展趋势及将来可能出现的风险进行预测，为管理层提供参考。

风险分析和评价后，可以根据风险发生可能性的大小、对企业影响程度的高低，将风险反映到风险坐标图中，如图3所示，A、B、C、D分别代表了风险发生可能性的大小及影响程度高低的不同组合，对于发生可能性较大且影响程度较高的风险，应重点关注。

（二）全面风险管理应重视风险之间关系的评估

企业面临的风险不是孤立的，它们之间或相互促成，或相互消减，或不相关。风险的变动性、流动性和高度互相依存的特性，使得企业在进行风险评估时，不仅要评估风险本身，还应对风险之间的关系进行充分评价。在此基础上，从资产组合的角度去管理风险，既可以利用风险之间相互抵消的关系，节约企业管理资源，又可以防范风险的相互促成，从而酿成更大的风险。风险分析应包括风险之间的关系分析，以便发现各风险之间的自然对冲、风险事件发生的正负相关性等组合效应，从风险策略上对风险进行集中管理。

（三）掌握恰当的分析、评价工具

随着管理技术的不断发展，风险评估工具也日渐丰富，常见的有以下几种：

1．风险影响概率矩阵。风险影响概率矩阵对于风险所导致负面影响的量化，从严重性和发生概率两方面同时描述，使得对风险的刻画更为有效和清晰。

2．风险指标分析。依据行业和企业自身情况，选取系列指标，根据对指标的分析，提出可能的症状或警告信号。风险指标还可以与从外部渠道中获得的主要变量的变动结合起来，提供风险变动的早期警告。实际使用中，可以根据经验对指标定义不同的重要权数，还可以通过风险诊断获得附加数据，确认或拒绝前期风险绘制图中的评级，见表1。

3．风险评级或打分。用既定的标准对风险水平“评级”或“打分”，经常被用来以一致的标准给客户的信用风险进行评价，支持并监督信用决策，详见表2。

4．表现测量。许多情况下，风险不能直接测量，依靠该风险引起的企业经营业绩的变动可以对风险本身进行间接和相对有效的测量。例如，客户满意程度风险就是通过结合公司内部运营统计数字及其他客户反馈信息做出的。这样，公司可以评估客户满意程度，了解客户的需求，使客户能够接受。

5．风险模型测试。对数据便于收集，便于量化的风险而言，通过严密的评估模型和分析方法来支持风险的测试，是风险评估中行之有效的方法，对金融服务企业而言更是如此。至于选取何种模型，应视企业的具体情况而定。值得注意的是，风险评估工具是为评估风险服务的。企业经营发展战略、风险管理的目标和业务流程的特殊性等，都是使用风险评估工具时必须考虑的因素。

（四）形成风险评估报告

风险评估报告是对风险识别和风险评估工作的总结和归纳。风险评估报告应该运用通用风险语言、合理的评估方法，为企业全面风险管理提供一个整体的参照。在传统的管理体系下，要么无人负责整体的风险报告，要么各风险管理部门提供了不一致的、有时甚至还互相矛盾的报告。而全面风险管理体系则有效地克服了这一问题，在确保精炼、明确、全面的前提下，风险评估报告能够涵盖企业面临的所有风险类别、风险事件和损失程度，并能指出问题的关键所在，在为企业管理层风险管理决策提供基本依据的同时，也让企业的每一位员工对企业所面临的风险有个整体的了解，让他们更直观地了解到自己处在企业风险的哪个环节，从而有利于激励他们积极参与到风险管理中来。

三、视风险为企业特殊资源的风险控制

全面风险管理，就是要保持企业所面临的风险与可能的收益之间的平衡，风险控制是落实风险管理目标的最关键、最直接的方式。“企业开展全面风险管理工作，应注重防范和控制风险可能造成的损失和危害，也应把机会风险视为企业的特殊资源，通过对其进行管理，为企业创造价值，促进经营目标的实现。”

（一）风险控制原则

鉴于风险控制在企业风险全面管理中的重要意义，在进行风险控制时，应该坚持以下几个原则：

1．区别对待风险。经过风险识别和评估后，各种风险发生的可能性及影响大小都形成了明显的区分，要优化利用资源，对不同的风险采取不同的策略。

2．风险与收益相平衡。风险会给企业带来损失，也可能给企业带来收益。企业全面风险管理与传统的风险管理最重要的不同之处就在于，前者对风险进行了更仔细的划分，能够积极地从风险中创造价值，而不是对所有的风险都防范、化解。全面风险管理的核心就是要维持好风险与收益之间的平衡。

3．积极应对。积极应对风险就是要建立起业务单位与风险管理的伙伴关系模式，即“业务单位与风险管理部门一起评估和解决风险管理问题并且拥有共同的目标”。在伙伴关系模式中，业务单位与风险管理部门既拥有各自的绩效目标，同时也共有一些重要的绩效计量目标。

（二）确定风险偏好和风险承受程度

企业作为一个经济体，在处理风险时，首先应明晰自身的风险偏好，明确风险的承受程度。明晰自身风险偏好，就是企业要对自身的经营战略和风险理 念有清晰的认识，根据其发展战略要求确定风险偏好标准，并参照此标准决定愿意或不愿意承受哪些风险。笔者认为，企业在确定自身的风险偏好时应理性适中，不易过于保守或冒险。过分地冒险，会较大地增强企业遭受损失的可能性，使企业面临的风险过于外溢，加大企业持续发展的不确定性;过于规避风险则会使企业在经营发展过程中束手束脚，丧失一些具有一定风险但收益极为可观的发展机会，不利于企业的快速成长。

明确自身的风险承受程度，就是指企业在风险偏好基础上设定的，对目标实现过程中所出现的差异可容忍限度。在确定各目标的风险容忍度时，企业应考虑相关目标的重要性，并将其与企业风险偏好联系起来。

（三）制定风险应对策略

风险控制的核心，就是制定出适当的风险应对策略。策略的制定必须遵守一些基本原则，特别是在商业运作中，有些风险是无法避免的。

根据风险发生的可能性及对企业造成影响的大小，结合公司风险偏好和风险承受程度，处理风险的策略主要有: 避免、转移、小心管理或可接受等，见图4。

(1)对于发生可能性较大、且影响程度极深的风险，企业应当尽量避免，以免损失惨重，危及生存。(2)对于影响程度较低、发生可能性较大的风险，可以采取转移的策略。相应的方法主要有：与财务独立且有赔偿能力的实体签 订保险合同，进入资本市场利用衍生金融工具对冲风险，通过有效的定价机制将风险资产证券化，通过外包非核心业务来转移风险等。(3)对于影响程度较高、发生的可能性较小的风险，应当小心管理，力求将风险控制在合理范围内。可以采取分散或控制的方法: 分散是指在地理区域或客户构成上将业务进行合理组合，适当降低产品或服务的客户集中度和区域集中度;控制是指通过内部流程或行动，使负面事件出现的可能性降低到一个可以接受的水平。(4)对影响程度和发生可能性都较低的风险，可以选择承担的策略。相应的方法有: 分配，即在公司内部适当分配资金，为所承担的风险融资并取得预期回报；扩展，即通过投资新行业、新的市场及新的客户群扩展商业组合；创新，即创造新的产品、拓展新的服务及渠道；定价，即通过对产品定价来影响客户的选择等。

（四）充分利用机会风险的价值

全面风险管理要求从资产组合的角度看待和处理企业所面对的各种风险。在单一的风险管理中，风险策略只在单一交易或单一层面实施，这样就忽视了各风险类型之间或许能相互分散的关系，容易引起过度的对冲及过多的保护。因而，在对风险之间的关系进行充分评估的基础上，风险控制应合理利用这种关系，从资产组合的角度看待公司所面临的各种风险，以达到扩大收益与降低风险的双赢目标。

（五）控制不利风险 在实际操作上，可选取先进的技术指标对不利风险进行控制，如止损限额、灵敏度限制等。止损限额即是将上述风险承受程度数量化、具体化，对每一重要的风险敞口，都可以在充分考虑收益及企业承受能力的基础上制定具体的止损指标，当实际的损失或表现触及这一限额时，企业则应做出一些决策或行动，包括管理回顾审查、对冲策略、紧急应变预案以及退出策略等。企业还可以尝试在止损限额之下设立“预警”限制，就像在红色交通信号之前设立黄色信号一样。灵敏度限制则主要用于避免风险过度集中，在已知风险头寸和经济环境的不利变化的情况下，控制企业拥有的风险资本数量。当然，设立风险限制只是整体风险管理过程的一个环节，其作用的发挥依赖于有关限制的信息（特别是限制被突破的信息）能否及时报告给管理层，且管理层是否能依据该信息果断地做出应对措施。