选哪个部门负责全面风险管理?

不建议所有的企业动辄就设置风险管理委员会.因为“委员会”是虚的,各成员仍然还是公司高层或各个单位的负责人,能否真正履行委员会的管理职能还得因企业而异.

GSK（葛兰素史克）,国际大型制药集团公司.其风险管理组织呈塔形结构梯次管理,层次分布较好.最高管理机构是CET,该机构由CEO、CFO等组成,是类似于公司风险管理委员会的一个机构.

GSK内审部的主要工作是巡回对全球各地子公司做审计,主要侧重于内控流程的规范操作审计.各地子公司因大小不同,审计时间长短不同,大的子公司提前半年通知,小的子公司提前6周通知.目前GSK集团在全球各子公司推行随时可以审计的方式,倾向于过程中的及时监控.审计前往往先要求子公司提供本公司的RISKMAP,并给予所在地子公司的总经理一次机会做风险阐述,可以在这个时间说明自己公司的主要风险是哪些,哪些风险因为什么样的原因尚没有得到较好控制,除此之外,就是审计人员通过审查发现问题和风险所在,以和该总经理的前期阐述对比.审计结果以子公司年度风险报告的形式向集团公司汇报,该风险报告对于子公司的绩效影响很大,对年终考评结果具有较大影响.

个人认为,GSK的风险管理主要是侧重于内控流程的操作规范,是在内控基础上向风险管理的延伸,对过程的管理是其优点.其风险管理主要是保障内部按章操作,以结果为导向,与考评挂钩,因此使得GSK的风险审计对子公司具有高度的权威和较大的威慑力.此外,风险管理侧重在过程管理方面,是为了加强内部制度落实和加大执行监督力度,保障各子公司的经营管理活动在相应的可控框架内,也使得内部风险能够得到较好的控制.

通过普先生（曾任职普华永道、福特公司,现任职GSK内审部）的讲解和与其交流中感觉到,GSK的风险管理审计类同中移动的内审部,是依据制度或管理办法为标准,通过审计和测试来发现各单位的操作不规范之处,这能够较好地在过程中对某些框架内的风险做有效的管理,但是内审部如果仅仅是做合规性审计,在流程上要求大家注意做好风险管理的某些规范操作,只能保证大家有没有按照规定去做,而不能保证大家对风险管理做得是否有效和高效.这是其不足之处.

此外,企业风险除了内部操作风险,还有更复杂的各种外部风险,诸如环境保护、当地法律等,这些对制药行业影响最大的因素在现有的以内控主导的风险管理中并不能得到有效防范和管理.这与内审部的主要职责是合规审计,并且在审计中需要保证内审部的独立性职能相关,因此难以要求在风险管理效率上促使各部门进一步加强.那么在当前各大企业纷纷推行企业全面风险管理之际,选择由哪个部门来负责企业全面风险管理最为合适呢?

近期在为各个央企集团或地方大型国企做风险管理体系建设时,常需要设立某一类风险管理组织,以体现风险管理体系的真正确立和权责明确.以大型或超大型国企集团的风险管理具体管理实施部门为例,这里要提出两种方案作为思考：其一,新成立一个部门为风险管理部,主要职责是负责企业全面风险管理,包括风险防范、过程管理和重大风险事件应急管理等；其二,将风险管理的职责作为新增的职责并入现有的某一部门,以内审部为首选部门,以财务部、法务部等作为次选部门.

首先看第一套方案.能够设立风险管理部固然不错,但由于大型企业集团内部管理复杂,对组织架构作调整常牵涉多部门,同时受到国资委对国企企业员工总数和管理者与工人数量对比的管理约束,此外还有董事会、股东会等的多方制约,因此若非高层全力推动,较难一步到位.而且,即使成功设立了专职的风险管理部,那么需要对这个部门职责和权限作好规范,不但要从制度管理层面予以明确其权威性和类似于内审的独立性,而且还要考虑该部门工作的价值如何体现以及怎样兼顾风险管理和企业效率的双赢问题.职能部门的新设置需要积极考虑以上问题,缺少任何一个考虑,则该部门在日后的运作中便可能会触及导致风险管理推行艰难或低效的浅滩或暗礁.

再来看第二套方案.将风险管理的职能放置在内审部,是为了借助内控的延伸来完善企业的风险管理,优点在于内审部相对于企业各个部门,具有较好的独立性和全局观（这点与法务部、财务部相类似,因此法务和财务也是风险管理职能归属的次选择部门）,曾经的企业内审工作经验也有助于发现企业管理的风险所在.这种方案采取渐进的方式来做风险管理,内审部主要站在内部控制管理的角度看待和解决问题,优先保证内部的操作合规和制度执行到位.将风险管理的职能落在内审部,短期看有利于促使各单位更好贯彻风险管理的流程和操作,对于企业风险管理体系动态运作具有好处,但从长期看也有其不足.内审部由于其本职工作的局限性,在风险管理方面主要是保障各下属单位按照风险管理的流程制度执行,强调的是“有没有做”的问题,而解决不了“怎样做好做优”的问题.此外,如今风险管理的范畴已经远远超出内控,在外部环境、政策、法律、技术发展等各方面对企业具有更大影响的风险也远非内控管理规范和完善就能避免和防范,而这些风险,如果不能解决风险管理的有效性问题,就难以说企业的风险管理体系得到了较好建立和运转有效.

因此我提倡在风险管理组织设计时,要充分考虑所在企业集团内的各种职能部门的长处和不足之处.例如,采取将风险管理职能划归内审部管理,那么从长远的管理考虑,则建议有必要在内审的职能岗位之外,另外设立风险管理岗位,使得在内审职能成功推动和实施解决了“有没有做”问题之外,有相应的风险管理专岗负责落实“做好做优”的风险管理问题.但总的来说,不管是设置风险管理部还是由内审部来负责,都要充分兼顾考虑到企业的内外部风险防范.

有的企业采取设置风险管理委员会的形式作为最高风险管理机构,这是一种总负责制的方式,如同目前有些央企里推行的总法律顾问制度,但我不建议所有的企业动辄就设置风险管理委员会.因为“委员会”是虚的,各成员仍然还是公司高层或各个单位的负责人,能否真正履行委员会的管理职能还得因企业而异.最近和同事工作之余交流,了解到兖矿集团管理制度中的风险管理三原则之一是“权威性原则”,这个提法还是颇为到位的.风险管理其价值在改善管理,通过改善管理来达到风险的防范,从这个角度上讲,权威性原则就强调了风险管理不是各个部门或子单位可以讨价还价的一场拔河,是必须要贯彻执行的一个死命令.

（作者为北京第—会达风险管理科技有限公司总监）