一、现代企业风险及风险管理的含义
随着企业经营环境及经营理念的根本性变革，现代企业风险的定义有了新的发展和内涵。传统意义上，风险是指企业在经营过程中遭受损失的不确定性。在新的经济条件下，由于新技术和互联网的广泛应用以及全球范围内日益激烈的竞争，企业在获得新的发展机遇的同时也面临着更多的不确定性，即各种风险因素。这种不确定性是获得成长必须付出的代价。在此情况下，单纯将风险作为遭受损失的可能性来理解已无法适应现代企业风险管理需要。因此，现代企业风险的完整定义应包含两个层面的内容：首先，风险是事件在未来发生的可能性及其后果的综合，包括风险因素、风险事故和风险损失等要素。风险因素：引起或增加风险事故发生的机会或扩大损失幅度的条件，是风险事故发生的潜在原因；风险事故：是指造成风险损失的直接原因，意味着风险的可能性转化成了现实；风险损失：风险事故所带来的物质上、行为上、关系上和心理上的实际和潜在的利益丧失。其次，风险与机遇如硬币的两面，二者在数量及性质上成正比例的辩证统一关系，机遇蕴涵于得到有效管理的风险之中。
现代企业风险管理是指企业在经营过程中，识别、评估、分析各种可能造成潜在影响的风险事项，并在其风险偏好范围内进行控制和管理，从而为企业目标的实现提供合理保证的过程，具体表现为认真分析风险、有意识地承担风险、科学地管理风险、稳妥地获取风险收益。它以博弈论作为理论基础，通过对不确定性全方位、深层次的分析，形成完善的风
险管理计划；对各类风险进行识别、定量定性分析、响应和监控，形成综合性的风险应对策略，为正确决策提供依据，为持续发展提供基础。其核心是将难以预计的未来事项的不确定性控制在可接受的程度，并从中寻求有利于企业发展的机遇。该定义通常包括以下基本原理：（1）从企业整体角度分析风险。企业风险管理不是汇集每个独立部门面临的风险，而是汇集彼此及企业相对于每个独立部门的整体风险；（2）从宏观角度分析风险。风险管理是一种持续行为，贯穿于企业经营的全过程，包括事前、事中、事后。越早发现风险，越早采取措施，则风险管理的成本就越低，给企业带来的效益就越大。
二、现代企业风险管理理念概括来说，健全的企业风险管理理念可以归结为6C，即全面性、一致性、关联性、集权性、互通性、创新性。
1、全面性（comprehensive）。风险管理的目标不仅仅是使公司免遭损失，而且包括能在风险中抓住发展机遇。全面性可归纳为三个“确保”，一是确保企业风险管理目标与业务发展目标相一致；二是确保企业风险管理能够涵盖所有业务和所有环节中的风险；三是确保能够识别企业所面临的各类风险。
2、一致性（consistent）。风险管理有道亦有术。风险管理的“道”根植于企业的价值观与社会责任感。风险管理的“术”是具体的操作技术与方法。风险管理的“道”是“术”之纲，“术”是“道”的集中体现，二者高度一致。
3、关联性（correlative）。有效的风险管理系统是一个由不同的子系统组成的有机体系，如信息系统、沟通系统、决策系统、指挥系统、后勤保障系统、财物支持系统等。因而，企业风险管理的有效与否，除了取决于风险管理体系本身外，在很大程度上还取决于它所包含的各个子系统是否健全和有效。任何一个子系统的失灵都有可能导致整个风险管理体系的失效。
4、集权性（centralized）。集权的实质就是要在企业内部建立起职责清晰、权责明确的风险管理机构。因为清晰的职责划分是确保风险管理体系有效运作的前提。同时，企业应确保风险管理机构具有高度权威，并尽可能不受外部因素的干扰，以保持其客观性和公正性。
5、互通性（communicating）。风险管理战略的有效性在很大程度上取决于其所获信息是否充分。而风险管理战略能否被正确执行则受制于企业内部是否有一个高效的信息沟通渠道。有效的信息沟通可以确保企业所有人员都能正确理解其工作职责与责任，从而使风险管理体系各环节正常运行。
6、创新性（creative）。风险管理既要充分借鉴成功的经验，又要根据风险的实际情况，尤其要借助新技术、新信息和新思维，进行大胆创新。
三、现代企业风险管理体系及其构成要素
每个组织的存在都有其目标，在实现目标的过程中，必然存在各种不确定因素，即风险。企业管理层的一项重要职责就是要建立一个良好的风险管理体系，来识别、评价和控制风险，为组织目标的实现提供合理的保证。
（一）现代企业风险管理体系如上图所示，完善的现代企业风险管理体系应将风险管理视为闭环型的过程管理，包括风险识别、风险分析、风险应对、风险监控，四个环节依次顺序推进、循环往复。
1、风险识别。即确定何种风险可能会对企业产生影响，并以明确的文档描述这些风险及其特性。一般而言，风险识别是一个反复进行的过程，应尽可能地全面识别企业可能面临的风险。对风险进行分类和归纳是风险识别中常用的方法。风险分类应当反映出企业所属行业或应用领域内常见的风险来源。例：技术方面的风险、时间安排方面的风险及财务方面的风险等。检查表是风险识别中非常有效的工具。根据积累的风险数据和信息，特别是企业在风险管理过程中形成的数据集合风险管理知识库，可以较为完整地开发和编制企业风险检查表。检查表的好处是提高了风险识别过程的效率。特别是企业进行大量类似项目时，完全可以开发一套通用的风险检查表，以提高风险识别过程的速度和质量。
2、风险分析。即评估已识别风险可能的后果及影响的过程。风险分析可以选择定性分析或定量分析方法，进一步确定已识别风险对企业的影响，并根据其影响对风险进行排序，确定关键风险项，并指导风险应对计划的制定。
风险指数体系是一个有效的风险分析模型，主要用于表征整个企业的风险程度。该体系根据风险识别和风险分析的结果，运用数学模型计算得到一组量化的风险指数，从而实现对企业风险的量化反映及横向校核，并监控风险管理的绩效。
3、风险应对。即针对企业面临的风险，开发、制定风险应对计划并组织必要的资源着手实施，目的是有效控制风险，避免风险失控演变为危机。风险应对计划包括企业当前及未来面临的主要风险类别，针对各类风险的主要应对措施，每个措施的操作规程，包括所需的资源、完成时间以及进行状态等。风险应对计划形成之后，企业应通过风险管理体系确保计划启动时所必需的人力、物力等资源。
4、风险监控。即在风险管理全过程中，跟踪已识别的风险，监控残余风险及识别新的风险，确保风险应对计划的执行，评估风险应对措施对减低风险的有效性，并形成风险监控报告。风险监控是企业风险管理生命周期中一种持续的过程，在企业经营过程中，风险不断变化，可能会有新风险出现，也可能有预期风险消失。
（二）现代企业风险管理要素完善的现代企业风险管理体系一般应包括相互关联的八大要素，各要素贯穿于企业管理全过程，为实现企业目标提供保证。
1、内控建设。主要是在企业中建立完善的内部控制制度，树立良好的风险管理理念，营造出色的风险管理文化，为其他风险管理要素的实施打下环境基础。
2、目标制定。决策层必须首先确定企业的目标，才能够在此基础上确定对目标的实现具有潜在影响的各种不确定因素，即风险。
3、事项识别。下列事项可能给组织带来风险：因使用不正确、不及时、不完整、不可靠的资料而导致决策错误；记录有错误、会计核算资料不真实、不完整；资产保护不当；顾客不满意，组织信誉受损；执行组织决策、计划、程序不力，或有违法违规行为；不经济地获取或无效地利用资源；没有完成组织的任务和目标等等，需要企业的管理者对其进行识别、评估和反应。
4、风险评估。风险评估可以使管理者了解潜在事项如何影响企业目标的实现。管理者应从两个方面对风险进行评估：风险发生的可能性和影响。对于风险的评估应从企业战略和目标的角度进行。
5、风险反应。风险反应可以分为规避风险、减少风险、共担风险和接受风险四类。对于每一项重要的风险，企业都应考虑所有的风险反应方案。有效的风险管理要求管理者选择可以使企业风险发生的可能性和影响都在容忍度之内的风险反应方案。
6、控制活动。控制活动是确保风险反应方案得到正确执行的相关政策和程序。控制活动存在于企业的各个层面，通常包括两个要素：确定应该做什么的政策和影响该政策的一系列程序。
7、信息和沟通。来自于企业内部和外部的相关信息必须以一定的格式和时间间隔进行确认、捕捉和传递，以保证企业中的每一环节能够恰当执行各自职责。
8、监控。对企业风险管理的监控是指评估风险管理要素的内容、运行以及执行质量的过程。企业可以通过持续监控和个别评估两种方式，来保证风险管理理念在决策、管理层面和各执行层面都得到了正确的理解和贯彻。此外，在风险管理过程中，必须高度重视沟通的作用，通过积极、全面、有效的内外沟通及上下沟通，确保风险控制与危机处理流程顺畅、有序、高效、及时。
四、内部审计与现代企业风险管理
（一）内部审计与现代企业风险管理的关系为体现并适应执业环境的变化，1999年，国际内部审计师协会（IIA）在其《内部审计实务标准》及《职责说明》中对内部审计进行了重新定义。新定义将内部审计的范围延伸到风险管理和公司治理，认为内部审计是针对风险管理、控制及治理过程的有效性进行评价和改善所必需的，使企业内部审计与风险管理融为一体。可见，内部审计是风险管理的一种方法、一种手段，而风险管理则是内部审计的一项新的内容、一个新的领域。从发展趋势看，内部审计不仅越来越关注风险，同时，也是风险管理体系的重要组织部分。现代企业内部审计除了关注传统的内部控制之外，更加关注有效的风险管理机制和健全的公司治理结构。在风险导向型内部审计体系下，控制仍然重要，但业务重心在于分析、确认、揭示关键性的经营风险，强调风险规避、风险转移和风险的控制。可以说，IIA将“评价并改善风险管理、控制和治理过程的效果”作为内部审计的重要职责，视风险管理为内部审计的推动力，是国际内部审计几十年苦苦探索的经验总结，为内部审计未来发展指明了努力的方向。
（二）内部审计在风险管理中的作用
在风险导向型模式下，内部审计全面参与公司治理与风险管理，发现并评价重要的风险因素，协助组织改善风险控制程序，成为企业风险管理体系的关键环节。
1、检查与评价。重点是对企业风险管理体系的充分性和有效性进行评估，主要包括：（1）评价企业战略目标的制定是否在分析组织和行业的发展情况和趋势、企业的优势和劣势、外部的机会和威胁的基础上结合企业自身风险偏好来制订；（2）与相关管理层讨论部门目标，评估分解到各部门的具体目标是否与企业整体战略目标一致并拥有足够的支持；（3）评价管理层对风险的识别与评估是否适当；（4）分析风险控制措施是否足以使风险失控的可能性和影响在企业风险容忍度之内；（5）评估风险监控程序是否得到持续、有效执行，监控报告及风险管理报告是否充分、及时。
2、管理与协调。内部审计经过长期的发展已经成为一种专门的职业。（1）在企业组织架构中，内部审计具有相对独立性，能够以客观开放的视角清醒地识别和评价风险，并提出防范风险的有效建议；（2）内部审计凭借对企业全面深入的了解，以及能够影响决策层的特殊地位，积极参与企业风险体系建设，对风险控制各要素进行组织、管理和协调，推动被审计部门乃至整个企业不断提高风险管理的效率和效果。
3、顾问与咨询。即内部审计师以咨询顾问身份协助企业确定、评价并实施针对风险进行管理的方法和控制措施。（1）内部审计对组织的了解以及对风险的洞察，具备他人无法企及的优势，能够以建议或咨询的形式，积极协助企业建设风险管理体系或使风险管理体系的建立成为可能；（2）内部审计在改善企业风险管理流程的效果和效率方面，能够集合企业内外资源，高效地协助管理层或审计委员会进行检查、评价并提出建议；（3）内部审计能够运用专业知识进行风险评估与控制培训，使风险意识贯穿于企业各层面，逐步形成全员、全过程、全方位、全天候的风险管理；（4）内部审计所处地位有助其对企业整体风险进行深入研究，并利用现代技术开发适合本企业的风险识别、评估工具和控制方法。
4、报告与防范。内部审计能够在风险控制和改进组织风险管理成效方面发挥关键作用。（1）内部审计通过适时与相关部门就风险管理事项进行沟通，检查、评价并报告风险管理过程的充分性和有效性，并按清晰传递的线路对重大的审计发现进行报告，对整改情况进行后续审计，使风险及时得到有效控制和防范；（2）内部审计在运用技术手段评估风险控制程序的充分性和有效性的同时，能够利用自身优势推动风险管理意识成为企业文化的一部分，从而为企业的风险防范构筑意识形态上的屏障。
