風險管理措施不力會讓企業付出慘重的代價，這樣的例子我們見得不少：欺詐交易導致巴林銀行(BaringsBank)分崩離析，財務欺詐最終讓安然(Enron)轟然倒閉，殼牌公司(Shell)在虛報石油儲備丑聞曝光后不得不重編財務報表，在發展中國家的不當經營讓耐克(Nike)和雀巢(Nestle)的品牌形象受損，而麥當勞(McDonalds)也遭到過危害公眾健康的指責。

　　當然，企業風險絕不僅指財務風險，也不局限于會計數據。企業需要考慮整個組織各個方面的風險，且必須制定出評估和管理風險的方法。風險本身并不一定是壞事，畢竟“不入虎穴，焉得虎子”，不冒風險，何來收益。但是關鍵在于，我們應該了解自己所選擇的風險，不做無謂的冒險。

    近期出臺的一系列備受矚目的法規和報告，推動了當前的風險管理的發展。這些法規報告包括旨在遏制財務報表欺詐問題的《薩班斯-奧克斯利法案》(Sarbanes-OxleyAct)、防范金融服務業財務和經營風險的《新巴賽爾協議》(BaselIIAccord)、信息系統審計和控制協會(Information SystemsAudit and ControlAssociation)制定的信息技術風險框架Cobit(信息和相關技術的控制目標)以及聯合法案(Combined Code)，后者統合了該組織三個委員會??凱德伯里(Cadbury)、格林伯瑞(Greenbury)和哈姆派爾(Hampel)先前發布的公司治理報告。

　　這些規則和建議敦促企業在一貫實行的財務控制基礎上進一步加強風險管理措施。但是，人們往往狹隘地將重點放在圍繞現有財務風險報告體系改進財務報告和公司治理上，而并沒有樹立一個更具全局眼光的風險觀，從而平衡風險與機遇、財務和非財務要素。因此，制定這些監管規則往往被視為成本高昂而利益不明的舉措。

　　企業全面風險管理(Enterprise Risk management，簡稱ERM)是指在宏觀層面上管理財務和非財務風險。“反對虛假財務報告委員會”(Committee of Sponsoring Organizationsof the Treadway Commission，簡稱Coso)是企業風險管理方面的一個思想領袖，它將ERM界定為應用于企業各層面的管理工具，其功能在于確認可能影響組織發展的潛在事件、將風險控制在可承受的范圍內、并為公司實現目標提供合理保障。從本質上說，ERM體現了對風險的一種全局觀念，考慮的是風險對整個企業、而非局部的潛在沖擊。另外，從這個廣義的角度來看，管理層就應該對組織準備承受的風險??即風險偏好了然于胸。

　　ERM理念為風險管理人員指明了方向，但是，要實際整合并量化公司所面對的整個風險組合仍是一項艱巨的挑戰。實際上，風險管理的應用往往還僅局限于具體的技術領域，如財務風險、法律風險或客戶流失風險等。因此，企業應當如何針對各層面的風險開發出一套評估、定位及管理的理論框架，從而把握ERM的真諦呢？

　　有效的ERM難覓蹤影

　　雖然目前風險管理備受關注，但是高質量的ERM仍然難覓蹤影。麻省理工學院的研究科學家喬治?維斯特曼(George Westerman)認為，ERM讓他聯想起上世紀90年代的電子商務：“每個人都希望涉足其中，每個人都以為別人也在為之樂此不疲。然而，真正掌握要領的卻為數不多，而做得出色的更是鳳毛麟角。”那么，原因何在呢？我們認為，主要源于兩個方面。

　　中層管理的脫節

　　首先是缺乏整合。比如，人力資源專員僅負責評估人員管理風險??如技能的缺乏或者繼任計劃；信息技術專員則關注數據的整合；而財會人員則致力于改進發票審核程序。但是，我們卻缺乏一種標準的風險標尺去衡量哪個領域的風險更大或管理得更好，或者各領域的風險管理能否結合起來。

　　在研究ERM的過程中，我們發現風險管理在中層環節上存在相當大的脫節。如果針對不同類別的風險設定統一的標準度量，那么各種微觀層面的風險評估就能夠整合為一體，填補這中間環節的缺口。雖然在抽象的理論層面上我們已經建立了一些ERM框架，但是它們對企業該如何開發統一的風險度量和報告體系卻無甚幫助。在微觀層面上，不同的行業和職能部門確實也開發了許多具體的風險度量工具，但是，它們不能幫助行業或部門間相互交流風險影響，也不能與其它微觀層面的風險評估相整合。市場調研公司顧能公司(Gartner Group)曾公布了它對美國各家銀行的調查，有半數的銀行將缺乏有效的風險標尺視為管理經營風險的最大隱患。

　　好事達人壽保險公司(Allstate Life)的企業風險管理部負責人維納雅?莎瑪(VinayaSharma)在分析了保險行業當前的風險管理實踐后認為，問題的癥結在于風險被割裂開來看待了：每個產品都被單獨進行分析，很少有對風險的全面評估；即使有，也僅僅限于微觀層面。

　　風險和戰略之間的聯系薄弱

　　其二，風險評估常常與戰略脫節。Coso委員會發現，很多企業首先強調的是安全性，這意味著它們關注的是如何降低而不是管理風險，因此，即使某些冒險舉措對于企業的成長和成功來說十分必要，它們也敬而遠之。此類強調安全性的思維，將風險管理視為開展業務的間接成本，而非平衡機遇和風險的工具。換句話說，雖然適當承擔風險對企業成長來說大有裨益，但它們卻在風險面前裹足不前。 

    公司需要甄別兩大風險。一種是戰略風險，也就是公司為了追尋戰略目標而承擔的風險，比如進入新市場的風險。戰略風險既有負面影響，又有正面影響，通常都是由外部因素(如市場、客戶、供應商及監管機構等)引起的。企業需要仔細評估這些風險，使之符合自身的戰略和風險偏好。

　　第二種風險被稱為無意識風險，比如欺詐或產品滯銷的風險。此類風險只有負面影響，通常是由內部因素導致的，如財務欺詐風險或者由于人力資源部、運營部、信息技術部或戰略部門的問題。無意識風險構成企業經營的間接成本。

　　那么，公司如何才能整合風險的度量和管理呢？首先，它們應該從利益相關者的角度來看待風險偏好，也就是說站在股東、管理層、客戶、監管人員和其它重要參與方的立場上進行分析。

　　其次，要確保風險偏好對行動的指導作用，就需要以統一的標尺來對風險組合進行評估。一個成功的戰略依賴于企業職能的發揮和運營的成功，比如順利實施營銷和生產流程。而生產又進一步依賴于技術知識和技術人員，因此，戰略成功往往要依靠呈樹狀分布的各種流程的支持，我們可以通過構建一個“風險樹”來進行說明。

　　繪制風險樹

　　風險樹可以幫助利益相關人評估每種風險對戰略成敗可能造成的影響，因此所有風險都可以用統一的標尺進行衡量。另外，風險樹考慮到了對成功有利或不利的所有事件，因而可以幫助重建風險和機遇之間的平衡，有助于全面的風險管理。

　　繪制風險樹可以為企業制定風險策略提供一個參考依據。美國的健康醫療機構聯合健康集團(United Health Group)就很好地把握了戰略風險偏好和風險整合的基本原則。公司業務風險服務副總裁兼審計總監比爾?波延(Bill Bojan)指出：“企業風險管理……必須是我們聯合健康集團的企業文化、決策過程和治理過程中不可或缺的一部分。”牛津管理評論[]

　　聯合健康集團意識到，戰略風險提供了創造價值的最好機遇，故而應該以最多的資源配置作為保障。通過整合各類風險，公司懂得了精簡的價值所在：它建立了一個涵蓋所有基本業務風險的標準數據庫，將原先考慮的100多類風險整合成40類。業務風險管理部的高級主管帕特里克斯瓊(PatrickStroh)強調，風險管理提高了企業對收益風險和損失風險的敏感度，同時改進了運營部門的質量、成本和生產力。

　　在瞬息萬變的世界中，ERM是企業發展的必要工具。雖然實施ERM需要耗費成本，但是，只要我們超越狹隘的方式，不僅僅滿足于遵從規則、降低風險，ERM就一定能幫助企業在戰略風險和機遇之間找到更好的平衡點，實施更有效的控制。