内控优秀论文：《漫谈风控与效率的平衡之美》

注册内控网账号，海量行业内控测评表单内控课程学习尽在内控网www.neikong.com

内控网摘要：该论文从评价任正非“决不允许为了风险控制，把业务部门逼上梁山，金融合规的目标是多产粮食，而不是影响或阻碍粮食的生产”的讲话入手，阐述了内部控制与运营效率的关系，结合境内外监管机构对内部控制和风险管理的强制要求，进而参照国际内控协会（ICI）五大业务循环控制的原理，开展定量分解-平衡点的理论建模探索，建立“风控与效率的平衡模型”，并从企业五大业务循环、计算机ERP、OA嵌入和反舞弊几个方面定性分解-影响平衡点因素，提出风险点梳理及风险容忍度组合原则。
该论文重点诠释了企业高级管理层所需的“效率优先”内部控制体系，进一步完善“风险导向”内部控制体系的最终目的，对探讨企业内控体系的发展方向有积极的指导意义。

漫谈风控与效率的平衡之美

作者：大健康国际集团控股有限公司  葛俊明  徐燕

     一般情形下，在企业运营中，风险控制部门与业务部门的关系大约是对立的，是对立统一的哲学关系。风险控制部门往往通过一系列的内部控制制度的落实来监督业务部门执行，促使业务部门通过遵守相应流程减少失误和损失。在这种制约的背后，会有一部分效率的牺牲。这是对立方面的关系，而所谓统一，就是两者的目标是一致的，那就是减少企业的风险，谋求更大的发展。而如何能在风控与效率之间，寻求一种平衡之美，而不是距离之美，是很多企业都想做的一件事。

一、解析任正非先生的风控理念

     前不久看到“深圳供应链”微信公众号于2017年11月2日发的一则微文：《华为任正非签发112号文：决不允许为了风险控制，把业务部门逼上梁山，金融合规的目标也是多产粮食，而不是影响或阻碍粮食的生产》，这是任正非先生在伦敦财务风险控制中心（FRCC）听取贸易合规和金融合规汇报的讲话，共十个方面，对理解风险控制与运营效率的关系很有启示，体现了华为风险管理的“高层基调”。

    1、肯定风控业绩：

    任正非先生首先肯定了风控业绩，也就是在华为“伦敦风险控制中心成立4年以来，公司没有出现大的问题，这就是成绩”，“小漏洞就很容易被抓住和放大”。这实际上是说明了风险管理的价值和意义，那就是：风险无时不在、无处不在，通过风险管理，规避威胁的诱因，使风险最小化（就是任正非先生所说的公司没有出现大的问题），从而顺利实现组织目标。

    2、突出效率优先：

    这是任正非先生此篇讲话的核心精神。“金融合规要服务于业务”，“金融合规的管理要适度”，“金融合规的目标也是多产粮食，而不是影响或阻碍粮食的生产”，“文件不要面面俱到，否则会抓不到重点”，“集团和一线都是我们的服务对象，为集团服务，价值要体现在有效控制上，为一线服务，价值要体现在多产粮食上”，。这些理念是站在管理者的角度对风险控制和运营效率之间关系的把握，具有重要的指导意义。试想，如果出现官僚主义或本位主义的风险管控过严（咱不说其他经营及环境等因素），而使企业效率低下，市场拓展不利，竞争力下降，被对手超越，企业生存受到威胁，这是决策者不愿看到的，在经营者的心中，效率是第一位的，风险控制是要以不能严重阻碍业务为条件的和有度的。这也是管理者和风控者的视角不同而形成的：

    ·管理者看待控制--以效率为导向--正面的角度

    ·风控者看待控制--以风险为导向--负面的角度

    3、对风险管理者提出了更高的要求，赋予了更多期待：

    “台风来了，不是放弃水稻，还要把水稻扶起来，这样虽然会减产，但还是会有粮食。”“必要时，你们要背上书包，拿上铁锹，奔赴战场，与业务部门一同在战壕中解决问题”，“专家要到一线去蹲点，要知晓业务，业务也要知晓风险管控的要点，这样循环迭代管理矩阵就建立起来了”，“风控中心要走出围墙，要走到现实生活中去”，“滚上一身泥巴，就是真正的专家”，“蓝军不仅要挑战红军，而且要拿出比红军更优的方案，怎样去合规产粮”。任正非先生的这些论断，给风险控制部门赋予了危机管理的职责，不仅要进行风险分析、建立内控制度及监督执行，还要预订危机出现后的反应计划，既要系统化，有专家高度和专业水准，又要理论联系实际，到一线体验风控情境，在成功完成组织目标也就是多产粮食的基础上，将风险控制在可接受范畴，将风险控制融合在管理流程中。

    4、动态平衡的决策者宽容：

    在高层基调所决定的内控环境下，决策者对风险好恶程度也决定了风险控制部门对风险把控的“松紧度”。“法律上有风险和障碍的地方，不能一概说NO，而是要找到合规方案，指导一线如何合规地将业务做成，最终目标还是要紧紧锁定在多产粮食上”，“不要把业务逼上梁山”，“减少报表数量”。这是任先生对风险承受度的基本态度，也是给予经营业务效率优先的权益保障。很多有成就的企业家对风险度的喜好是偏中上水平，认为没有风险就没有收益，敢冒风险才能前进，一点风险都没有可能就会停滞，而过度控制风险就束缚了业务部门的手脚，导致效率方面的问题，从而对业务部门诸如市场营销部门就会给予一定的宽容，允许他们在前进中犯错（并非原则性触及底线的错误），在动态中纠错。

    在此情况下，风险控制部门的专家一方面要通过决策者的风险偏好度，来设计整体风险控制的强度，一方面也要争取决策者对风险控制部门的宽容度，也就是较客观地计算出适当控制的强度下可能出现的宽容风险额度，给决策者呈报以进行心理上的接受。否则一旦出现风险事件，造成风险损失，可能会归咎于风控部门没有把好关，即便这些事件是在风险容忍度之内的。这样，风控与效率之间是一种竞合的和谐关系，其适当性表现为：

    ·控制适当--风险减少

    ·控制过度--效率降低

    ·控制不足--财产损失

二、内部控制与风险管理的强制要求

    实施内部控制和风险管理一定程度上是企业内部的自然需求，而进行系统化、科学化、高水平的内部控制和风险管理，除了企业提高运营水平、防范公司风险的目标外，还要符合监管需要，特别是上市公司。

    1、在美国：

    美国是较早系统性重视内部控制及风险管理的国家。根据《国际注册内部控制师通用知识与技能指南》的阐述，进入21世纪美国出现了安然、世通、安达信等公司欺诈及破产等丑闻，干扰了市场秩序、重创了投资者信心，由此催生了《2002年上市公司会计改革和投资者保护法案》，也称《萨班斯-奥克斯利法案》（简称《萨-奥法案》或《萨班斯法案》），由于该法案80%的内容或措施与内部控制有关，故也称内部控制法案。该法案开启了美国加强内部控制和风险管理的法规整合时代。此后，位于美国佛罗里达奥兰多的国际内部控制协会（ICI）因运而生，该协会开发研制出以《萨-奥法案》和COSO（美国反虚假财务报告委员会发起组织委员会）内部控制框架为基础的世界一流水平的内部控制和公司治理指南以及专业评估技术和解决方案，作为一个职业团体成为国际内部控制领域的代表。

    如今，在美国上市的公司必须遵从《萨-奥法案》等规范要求，提供公司内部控制的评估及报告，作为上市文件的一部分（404内控），而该法案的意向目标也被更多国家或地区效仿和借鉴，其意向目标基本为七个方面：

    ·改善公众对公司会计和报告的信任感；

    ·使公司高级管理层能够对其行为更加负责；

    ·增强财务系统、披露及内部控制措施；

    ·鼓励和支持自行检举者；

    ·确保保留必需的证据；

    ·增强董事会，尤其是董事会审计委员会的监管职责；

    ·增强独立审计师的独立性

    2、在中国香港

    2005年，香港联合交易所有限公司（以下简称“联交所”）推出了证券上市规则附录十四：《企业管治守则》和《企业管治报告》（以下合称《守则》）。2016年1月1日起的会计期间，实施了新修订的守则。体现了香港对上市公司的内部控制和风险管理的监管路径。主要修订的方面有：

    ·趋向国际惯例，将其中内部监控（即“内部控制”）小标题扩展为《风险管理及内部监控》；

    ·界定董事会及管理层就发行人的风险管理及内部监控系统的角色与职责；

    ·厘清董事会有持续责任监察发行人的风险管理及内部监控系统；

    ·提升发行人风险管理及内部监控系统的披露责任；

    ·提升发行人内部审核（即“内部审计”）的责任，以加强对发行人风险管理及内部监控系统的监察；

    ·新增审核委员会（即“审计委员会”）的职权范围（即增加“风险管理”的内容）。

    3、在中国内地

    2008年6月，我国财政部、审计署、证监会、银监会、保监会五部委联合印发了《企业内部控制基本规范》（财会[2008]7号），被称为中国版《萨-奥法案》，是我国第一部加强和完善企业内部控制系统，提高企业经营管理水平和风险防范能力，促进企业可持续发展，维护社会主义市场经济秩序和社会公众利益的重要法规文件。并在其后陆续发布了18项应用指引，1项评价指引，1项审计指引；上交所、深交所、国资委又分别发布《上海证券交易所上市公司内部控制指引》、《深圳证券交易所上市公司内部控制指引》、《中央企业全面风险管理指引》等文件，形成了比较完备的内部控制及风险管理法规制度系统。

    可以说，对于企业内部控制和风险管理的监管，已经成了很多国家经济治理的共识。

三、探求风控与效率的平衡模型

     1、风控的金字塔层级内涵：

    有风险，才有控制。而控制，是为了降低风险。而风险控制包含了三个方面的层级，如下图：

    2、定量分解-平衡点的理论建模探索

   ·坐标图（探索性地设立）：

    对于风险控制部门来说，如何寻找到风控与效率的平衡点，以此为依据进行相应的制度设计和控制实施，是比较重要而又有一定难度的事情。

    本文假设控制成本与风险损失是一种线性的反比例关系，建立图形如下：

    这里，L为控制总成本曲线，H为风险损失曲线，O为两条曲线的交点，即平衡点。随着控制总成本的减低，相应地风险损失会上升；如果决策者的风险偏好较高，风险曲线H就会右移，交点移至O2，相应地控制投入总成本可以或可能偏低；反之，如果决策者的风险喜好较低，则风险曲线H就会左移，交点移至O1，相应地控制投入总成本可以或可能偏高。

    ·平衡点公式（探索性地设立）

    风险管理涉及三项活动：识别风险、确定该风险的重要程度、确定该风险发生的概率。根据上述平衡点的原理，我们设置基本公式如下：

    K=r（S+G）

    这里，S-实际风险损失额=已经列支的非常损失+诉讼损失+外部风险因素导致的收入减少等

    G-概率损失额=风险事件发生的概率x每次发生的损失

    r-风险容忍系数五级为（低）0-0.25-0.5-0.75-1（高）

    K-控制成本= 企业文化推广费用额+制度成本额+风控导致效率的减低额等

    3、定性分解-影响平衡点因素的风险点梳理

    经营循环中的风险节点及在不同风险容忍度情况下的组合示例如下表（本表举例是不完全的，甚至是探索性的，但是能说明一种思考思路和方法以供参考，而且不同性质、不同行业的企业所关注点还会有区别）

表1 风险点梳理及风险容忍度组合原则

四、体会与意义

    对于一个规模较大的跨地区或跨行业的集团企业来说，如果没有风险管理将是难以想象的，一旦出现风险事件，在信息发达的现今时代，对企业的打击将可能是毁灭性的。

    而将风险控制与运营效率的对立统一关系处理好，找到动态的平衡点，减少执业冲突，有效发挥风控的作用，促进企业运营的进步，符合监管要求，使风控与效率的关系从哲学境界上升到美学境界。这对于风险管理和内部控制从业人员来讲，是需要训练的基本功之一。而这方面的探索，从华为任正非先生有关风控与效率关系的论断中，会得到相应启发。所进行的动态平衡点模型的探索，将对探求这个平衡点在思路上有所帮助，。但限于笔者的水平，不当之处难免，仅意在抛砖引玉，以引起同道重视，不当之处还望多多指正！

附录1 参考文献：

1、《国际注册内部控制师通用知识与技能指南》，国际内部控制协会著，邱健庭、徐莉莉译，张玉审校，中国财政经济出版社，2009年7月第1版，第1次印刷。

2、《企业内部控制基本规范 企业内部控制配套指引 2016年版》，中华人民共和国财政部 中国证券监督管理委员会 中华人民共和国审计署 中国银行业监督管理委员会 中国保险监督管理委员会制定，立信会计出版社，2016年2月第1版，第1次印刷。

3、《华为任正非签发112号文：绝不允许为了风险控制，把业务部门逼上梁山，金融合规的目标也是多产粮食，而不是影响或阻碍粮食的生产》，李海平，微信公众号“深圳供应链”，2017年11月2日。

4、《联交所<企业管治守则>风险管理与内部控制章节修订解读》，百度文库，jijya2上传，https://wenku.baidu.com/view/20a7ee02f524ccbff0218461.html###，2017年11月10日。

附录2 作者简介：

葛俊明，大健康国际集团控股有限公司，公司秘书（即董事会秘书）

徐燕，大健康国际集团控股有限公司，内部审计总监，财务副总。

注册内控网账号，海量行业内控测评表单内控课程学习尽在内控网www.neikong.com

近期课程安排：北京、杭州、上海、广东、成都、西安、南京

《国际注册内部控制师CICS资格认证》面授及网络课程学习班：

报名链接：http://www.neikong.com/org/2370_m_1190318 

考试认证费：3920元；培训费9080元，合计13000元。

联系电话：010-68004176、68004186

联 系 人：孙老师、邱老师

内控资讯交流平台内控精英俱乐部2000人QQ群：238069870

微信群申请，添加管理员微信：13811888273

报名地点：北京市西城区西直门外大街18号金贸中心A座1039室

官方网站：www.neikong.com