企業風險管理的分析框架:演進與趨勢

王東

摘要：2004年的COSO《企業風險管理—整合框架》報告發布以后，COSO—ERM 框架成了企業風險管理的標準框架，但是次貸危機中眾多金融機構的破產，使得COSO—ERM框架的有效性受到了懷疑。在后危機時代，發展新的風險管理框架成為必然要求。企業風險管理的目標從追求公司（股東）利益最大化轉向追求企業利益相關者利益最大化，企業風險管理的內容也從COSO八要素風險管理發展到以經濟資本、風險管理要素、結構性金融工具和可持續風險管理為支柱的全面風險管理。

關鍵詞：企業風險管理；經濟資本；風險管理要素；可持續風險管理

Abstract：Since COSO issued“Enterprise Risk Management-Integrated Framework”，COSO-ERM framework has become the standard of enterprise risk management，but as some financial institutions broke in the Subprime Crisis，the effectiveness of the enterprise risk management was suspected. Today in the post-crisis era，developing new analytical framework of enterprise risk management becomes an inevitable claim. In the new analysis framework，the objective of enterprise risk management is shifted from the company（shareholders）to maximize the interests to maximize the interests of corporate stakeholders，and the contents of enterprise risk management are shifted from the COSO eight elements to the economic capital，risk management elements，structured financial instruments and risk management for the pillars of sustainable comprehensive risk management.

Key Words：enterprise risk management，economic capital，risk management elements，sustainability risk management

中圖分類號：F830文獻標識碼：A文章編號：1674-2265（2012）06-0009-05

風險管理理論已有五十年的發展歷史，已成為指導企業經營管理不可或缺的重要思想。2004年COSO頒布《企業風險管理——整合框架》后，COSO—ERM框架很快成為風險管理的核心標準，企業風險管理首次擁有了一個系統的分析框架。但是，發生于2007年的次貸危機，動搖了人們對COSO框架的信心，風險管理該如何實施成為后危機時代風險管理理論必須回答的問題。王穩（2010）提出了一個新的企業風險管理分析框架，以經濟資本、風險管理要素、結構性金融工具和可持續風險管理作為企業風險管理的核心內容，為后危機時代的風險管理提供了一個可參考的框架思路。本文在這個分析框架的基礎上，系統梳理了已有文獻對風險管理框架和內容的論述。

一、企業風險管理分析框架的演進

首先，企業風險管理（ERM）分析框架的演進表現為內涵的演進。從現有文獻看，經歷了從全面（整合性）風險管理向ERM轉變的過程。斯基珀（Skipper，1994）、馬爾伯里（Lisa Meulbroek，2002）、威廉（William，2003）的研究都是從全面風險管理的角度來定義企業風險管理，認為以更加綜合的方法處理所有種類的風險是其主要特征；CAS（美國產險精算協會）的ERM報告認為，企業風險管理是一個組織主體為了增加其利益相關者的長期和短期利益而采取的包括風險評估、風險控制、風險開發、風險融資以及風險監控等一系列活動；但COSO（2004）對企業風險管理的定義影響最為深遠：“企業風險管理是一個過程，它由主體的董事會、管理當局和其他人員實施，應用于戰略制定并貫穿于企業之中，旨在識別可能會影響主體的潛在事項，管理風險以使其在該主體的風險容量之內，并為主體目標的實現提供合理保證”。

其次，企業風險管理分析框架的演進表現為ERM內容的演進。米勒（Miller，1992）、魯特等（Froot等，1993、1994）、馬爾伯里（2002）等都提出了各自的風險管理框架，但以CAS—ERM報告（2003）、COSO（2004）以及《巴塞爾協議》等最為有名。CAS發布的ERM報告認為風險管理包括兩方面內容：一是企業面臨的風險的類型和種類，二是不同的風險管理程序步驟，包括風險識別、風險分析（量化）、風險整合、風險定價、風險應對和風險監控等；COSO框架以風險管理目標設定和八要素為主體內容，全面看待風險與機會的關系，涵蓋了內部控制的內容和方法，構建了一個較為全面的風險管理框架；《巴塞爾協議Ⅰ》是以風險為基礎的銀行業風險監管框架，主要包括資本的分類、資本監管協議以及風險權重的計算方法等；《巴塞爾資本協議Ⅱ》則是在《巴塞爾協議Ⅰ》的基礎上，對銀行業的風險管理提出了全新的要求，其核心內容即三大支柱：最低資本金要求、外部監管、信息披露和市場約束，創新主要集中在風險權重的計量，將風險范圍擴展到信用風險、市場風險和操作風險，以及內部評級法等；《巴塞爾協議Ⅲ》是在《巴塞爾資本協議Ⅱ》的基礎上，對銀行的資本充足率、普通股和資本緩沖做出了較為詳細的規定及過渡期安排，對銀行的風險管理提出了新的要求和挑戰。

再次，企業風險管理分析框架的演進表現為ERM目標的演進。（恩里克斯，2001；馬爾伯里，2002）的研究大都認可“企業風險管理是為了實現股東價值最大化”的觀點。也有些研究在股東利益最大化的范圍內將風險管理的目標進一步細化，如拉姆（James Lam，2003）、COSO（2004）的研究就分別將企業全面風險管理的目標進行了細化，包括降低公司收益的波動性、促進職業和財務安全等。后來，隨著企業社會責任、可持續發展等領域研究的興起，風險管理的目的拓展到了利益相關者最大化方面，CAS—ERM報告（2003）就提到了企業風險管理的目標就是為了增加組織的利益相關者在短期和長期的價值，馬爾薩拉等（E.Marsiglia等，2005）、弗斯特莫塞（Peter Forstmoser，2006）分別從企業價值所面臨的社會責任和可持續性挑戰、企業聲譽風險的管理問題出發，來研究風險管理的目標問題。風險管理理論越來越重視利益相關者的地位，逐漸將追求利益相關者利益最大化并實現企業的可持續發展作為企業風險管理的目標。

二、對已有企業風險管理分析框架的評價

現有框架的局限性逐漸顯現，表現在以下四個方面：

（一）沒有考慮到企業的償付能力問題

實際上，企業破產往往是償付能力不足的直接后果。那么，企業風險管理的分析框架中就應該對企業的償付能力給予足夠的關注。但是現有研究對此涉及不多，盡管巴塞爾協議中強調很多，但那是專門針對銀行業的特例，在更普遍意義上的研究很少，特別是作為風險管理標準的COSO框架中只提到了風險容量的問題，但是沒有說明如何來操作，導致現有研究在處理風險的動態性方面有所欠缺。

（二）流程管理有所欠缺

從表面上來看，現有的風險管理框架、尤其是COSO框架的八要素中基本涵蓋了風險管理流程的全過程，但是它忽視了風險管理很重要的一個流程——風險溝通。盡管在信息與溝通要素中提到了溝通問題，但是對其重要性強調的不夠，現實中的情況是，風險溝通是風險管理流程非常重要的一部分，風險信息的傳遞速度和質量直接關系到風險管理的及時性和有效性，因此，對風險溝通的忽視是COSO框架流程管理的一大缺陷。

（三）沒有涉及到風險管理工具的問題

在當今金融市場高度發達的經濟環境下，企業風險管理離不開金融衍生品等金融工具的使用問題，而現有的分析框架中并沒有著意提及這一方面。次貸危機中，AIG、花旗等大型金融機構的損失絕大部分就是由這些金融工具造成的。因此，這種缺失無疑影響了風險管理有效性的發揮。

（四）對企業利益相關者的重視不夠，并由此疏忽了對可持續風險的管理

盡管部分學者的研究涉及到了可持續風險問題，但是在主流的風險管理框架中卻很少涉及，如COSO框架開篇就提到了要為主體的利益相關者提供價值，但是后續的分析中并未進一步的分析如何為利益相關者來謀取價值，而是更多的從企業視角展開；也正是由于這個原因，COSO框架根本就沒有涉及到可持續風險管理問題，而這正是風險管理發展的最新趨勢。環境問題、聲譽問題、社會責任問題等都是現在風險管理乃至企業管理學科的熱門領域，因此，現有研究在這方面的不足將使得企業難以適應社會和經濟發展的要求。

基于現有風險管理框架的不足和缺陷，王穩（2010）提出了一個新的企業風險管理分析框架理論假說，即ECSS分析范式：其中E代表經濟資本（Economic Capital），C代表風險管理要素（Component），S代表結構性工具（Structured Vehicle），S代表可持續風險管理（Sustainability Risk Mananagment）。該范式包括了COSO八要素，將經濟資本和結構性金融工具納入到企業風險管理的分析框架中，考慮了可持續發展對風險管理的影響，將風險管理擴展到利益相關者的范圍內，從而構建了一套較為全面的企業風險管理分析框架，對企業風險管理具有一定的參考價值，本文就是以這個理論假說作為基礎，系統梳理了已有文獻中涉及本框架假說的觀點和理論，從而為該框架的完善和發展提供文獻支持。

三、基于ECSS范式的企業風險管理分析框架

（一）經濟資本是企業風險管理的核心支柱

經濟資本可以看成為了保持一定的債務評級所需要的防范意外損失的資本額，它實質上是一定時間內在一定的置信度下保持公司的償債能力不變所需要的資本水平。經濟資本作為風險管理的工具，最早是源于美國信孚銀行開發的RAROC體系，該方法蘊含了風險需要資本覆蓋的思想，后來美國銀行將其發展到涵蓋非預期風險，并由孔（Kong，1999）、施羅克（Schroeck，2002）進一步深化與擴展，成為了風險管理的重要工具。對于經濟資本如何適用于風險管理，主要集中在經濟資本的計量與配置方面。

在計量方面，一是基于VaR方法來計量經濟資本，由若里翁（Jorion，1997）給出VAR的計量方法后，相繼發展出了CM、PM、PRT、CPV和CR+五種計量模型；二是一致性方法來計量經濟資本，這是基于風險的損失分布非對稱性的特點，由Artzner等（1999）首先提出了TCE模型來作為一致性風險度量指標，后來尼爾（Panjer，2002）、蘭茲曼和瓦爾德斯（Landsman和Valdez，2003）、弗曼和蘭茲曼（Furman和Landsman，2005）、韋爾尼克（Vernic，2006）、凡德費爾（Vanduffel，2008）分別基于不同的損失分布函數運用TCE模型進行了經濟資本的計量，而阿切爾比（Acerbi，2002）證明了ES模型作為一致性風險度量指標的合理性。

在經濟資本配置方面，研究主要集中在三個方面：（1）完全以風險為基礎配置經濟資本，達尼奧（Denault，2001）提出了一致性經濟資本配置的四項原則，分別是：完全配置、無縮減性、對稱性和無風險資產對沖配置，卡爾克布倫納（Kalkbrener，2005）提出了經濟資本的梯度配置原則，布赫和多爾弗雷納（Buch和Dorfleitner，2008）全面總結了一致性經濟資本配置原則；（2）以風險和成本相統一為基礎配置經濟資本，卡斯等（Kaas等，2001）引入了風險殘余的新概念來配置經濟資本，將經濟資本配置問題轉化為求解經濟資本成本與風險殘余之和的最優化問題，利文和戈費茨（Laeven和Goovaerts，2004）、戈費茨等（2005）進一步研究了如何運用風險殘余的方法來配置經濟資本；（3）以風險和收益相統一為基礎配置經濟資本，這種方法的最初是起源于美孚銀行的RAROC方法，默頓（Merton，1993）、魯特和斯坦因（Froot和Stein，1998）是對RAROC方法進行了改進以更準確的配置經濟資本，而斯托頓和策希納（Stoughton和Zechner，2007）在RAROC方法的基礎上，將信息不對稱理論融入到經濟資本配置中，深化了對經濟資本配置問題的研究。

（二）COSO八要素是企業風險管理的功能工具

對于風險管理的要素，COSO報告給出的八要素最為全面，不但涵蓋了風險管理的流程管理，而且對內部環境、目標設定和信息的關注為企業的風險管理提供了有力的支持。除此之外，學術界對風險管理要素的研究涉及了公司治理、人力資源、風險管理流程等多個方面。

在風險管理流程方面，馬勒（Andreas Muller，1999）分析ERM流程的角度是成本控制，他認為ERM包括風險剝離、風險地圖、風險組合和套期三個階段；馬爾伯里（2002）在傳統風險管理流程的基礎上，提出了建立公司價值模型來提高風險管理能力的方法；CAS（2003）對ERM流程的分析注重了企業環境因素的影響，提出ERM流程包括環境分析、風險識別、風險量化、風險整合、風險優化和利用、風險控制與評估等步驟的循環；尼爾森等（Nielson等，2005）對風險溝通的強調是流程管理的一個重要突破，指出風險管理在過去的數十年間已經在溝通領域發生了巨大的變化，充分強調了風險溝通在風險管理流程中的作用。

在公司治理方面，研究者認為公司治理是ERM的重要組成部分，提供了對風險的自上而下的監察和管理，涉及到權益方的溝通、董事會的獨立性、董事會績效評估以及董事和高管的薪酬等問題（拉姆，2003；克勒夫納等，2003）。

在人力資源方面，對風險經理的研究是最主要的話題。從早期的風險（保險）經理到現在的首席風險官，名稱和職責的變化昭示著風險管理中人力資源地位的提升。早期風險（保險）經理更多的是為購買保險的決策提供咨詢和建議，從而為企業確定合適的保險策略和保險產品（桑德，1956；德內伯格等，1966）；后來對風險經理重要性的認識逐漸深化，更加注重風險經理在企業組織架構中的地位，并對其職能做出了拓展，對任職人員的素質和能力也提出了多方面的要求（麥卡希爾，1971）；現在，首席風險官（CRO）已經在公司的管理層中占據了顯要位置，對CRO的雇傭已經成為公司實行風險管理意愿和水平的標志，CRO對企業管理的深入程度、對企業決策的介入和影響程度以及其本身背景和能力水平，都對企業風險管理的效果具有不可忽視的影響（科爾基特等，1999）。

此外，企業文化作為企業管理中的“軟要素”，對于ERM的推行具有不可忽視的意義，研究證實了組織文化與企業風險管理的實施效果有著密切關系的結論，指出即使是企業的技術人員也可以從組織文化的角度來挖掘實施ERM的潛力（金布羅，2009）。

（三）結構性工具是企業風險管理的擴展工具

隨著金融市場的發展和金融創新的深化，企業風險管理所需要的工具逐漸實現了從單一的傳統保險產品向復雜的現代結構性產品的轉化，各種新型的結構性金融產品為企業的風險管理策略如風險轉移、風險融資、風險控制等提供了針對性的工具，從而使得企業風險管理的精細度和復雜度都有了很大的提升。

在結構性金融產品的使用策略方面，研究者普遍認為，沒有明確風險管理目標的企業，盲目地運用結構性產品將會加大企業的風險。因此，進行風險對沖要有明確的目標。具體的策略包括密切關注競爭者的對沖策略、不要單獨授權給企業的財務專家以特殊衍生品的選擇權力等。那些運用衍生品進行風險對沖的企業，其實踐中的使用策略往往有“不對稱管理”的傾向，即風險和非流動性的測量與企業實行風險管理的決策有著正面的聯系，但是在風險對沖時的廣度和深度卻與這些風險指標有著負向的關系，如跨國公司在外匯市場上的風險對沖策略（羅德里格斯，1974；魯特等，1994；卡明斯等，2001）。

在結構性產品的使用誘因方面，企業內、外部因素都有影響。匯率波動性加劇、市場風險增加導致的企業財務指標波動性變大，而投資者的風險規避偏好使得企業必須要通過風險對沖來降低波動性，特別是對于跨國公司來說，市場波動性的影響更為明顯，運用衍生品工具對沖管理外匯風險，是這段時間企業風險管理的重要內容，這是金融衍生品使用的外部誘因（福克斯，1972；施拉姆等，1974；羅德里格斯，1978）；企業的內部誘因中，企業發展前景是首要因素，基于對破產的恐懼和代理問題的考慮，企業很有動力來實行風險對沖以鎖定和減小企業面臨的風險（麥克明，1987），企業的規模、杠桿效率以及資產和負債久期的不匹配程度、資本資產比率以及稅收考慮也是促使企業實行風險對沖和風險管理的重要因素。同時，企業的風險偏好程度特別是那些風險偏好高的企業更偏向于運用金融衍生品來控制和管理風險（科爾基特和霍伊特，1997；卡明斯等，2001；利本伯格等，2003）。

在結構性產品的類別方面，主要是集中在用來防范傳統風險的非傳統風險載體和基于資本市場的工具而形成的風險載體兩個領域。在防范傳統風險的非傳統風險載體中，專屬保險公司的應用極為普遍，它能減低母公司的保險成本、提升母公司的保險效率并為母公司贏得稅收和投資方面的實惠，進而提升母公司的盈利水平，因此成為很重要的金融衍生品工具（戴維森等，1987、1988；伍德等，1988 ；烏爾里克，1992）；基于資本市場的工具而形成的風險載體代表則是巨災期權產品，它的出現使得保險行業具備了從資本市場獲取所需再保險的能力，資本市場也因為這些新的產品類型的出現而能夠更好的發揮其職能（肯特，1997）。

（四）可持續風險管理是企業風險管理的拓展和延伸

可持續風險管理是可持續發展戰略在風險管理領域的應用，主要包括環境風險管理和社會公平風險及社會責任管理兩大類。同時，如何進行可持續風險管理也是該領域的重要話題。

在環境風險管理方面，研究普遍認為注重環境保護和管理不僅不會導致企業相應成本的增加，反而是企業增加收入的市場機會，是促進企業發展的潛在動力；如果企業涉及了環境破壞或是保護不力的問題，那么其股東價值將受到負面影響，股價將會受到打擊；現在保險行業也開始注重環境風險管理問題，開始為綠色經濟和全球環境的保護提供更多的產品和專業服務（科恩，1997；弗羅曼，1997；米爾斯，2009）。

在社會公平風險及社會責任管理方面，德里斯科爾等（Driscoll等，2004）對企業的社會責任提出了新的分析，將自然環境因素直接融合進企業的風險管理決策程序中，不僅拓展了利益相關者的概念范圍和理論廣度，而且為企業的社會公平風險管理理論也提供了新的研究視角和思路。馬克斯菲爾德（Maxfield等，2007）以更廣闊的企業社會責任框架來研究公司可持續發展問題，指出傳統的招聘和激勵方式以實現雇員產出最大化的思路并不完全適合現代社會的發展，多元化對企業的貢獻不僅體現在擴大銷售和提高顧客滿意度，而且有助于企業的風險管理、提高企業經營的創新性和靈活性進而解決企業發展中遇到的各種問題，他們還對拉丁美洲企業的社會責任狀況進行了分析和展望。

在如何進行可持續風險管理方面，威爾遜等（Wilson等，2007）分析了采取結構性決策等方法進行可持續風險管理在提升企業社會責任方面的作用，布施等（Busch等，2009）就企業在投資決策過程中如何處理由自然環境引發的不確定性問題進行了分析，將這些不確定性問題整合進公司戰略管理和投資框架中，從而對如何進行可持續風險管理給出了理論上的建議。此外，以案例研究的方法來研究可持續風險管理問題也很常見，霍夫曼等（Hoffmann等，2007）對碳限制條件下的企業風險管理問題的研究、吉蒂等（Kitti等，2009）以咖啡生產為例分析的運用經濟手段和工具來促進企業可持續發展與生態多元化保護之間均衡共存的問題，都具有很強的現實意義。

四、企業風險管理分析框架的發展趨勢

雖然基于ECSS范式的企業風險管理分析框架對現有框架的缺陷有所彌補，但是在實際應用中，還有以下問題需要注意：

（一）經濟資本模型的適用性問題

雖然大量的文獻對經濟資本問題進行了分析和論述，但是作為動態衡量企業風險水平的工具，經濟資本模型需要根據企業的實際情況特征進行調整，尤其是在將經濟資本作為企業風險管理的核心支柱后，一個適合企業特征的經濟資本模型對于提高企業的風險管理能力具有不可忽視的影響。

（二）結構性金融工具的使用策略問題

作為企業風險管理拓展工具的結構性金融工具，其本身的“雙刃劍”特征對企業的使用策略提出了很高的要求，次貸危機中很多大型金融企業就是因為結構性金融工具的使用不當而倒閉破產的。因此，如何發揮其避險對沖功能而弱化其投機功能，是企業風險管理中必須重視的問題。

（三）可持續風險管理的實施問題

實施可持續風險管理，不僅是為了滿足利益相關者的要求，也是企業自身發展的需要。但是，在現實經營中，如何協調企業的短期利益與長期利益、所有者利益與相關者利益，是可持續風險管理能否真正落實的關鍵，也是可持續風險管理能否真正發揮作用的核心問題。

參考文獻：

[1]Casualty Acturial Society Enterprise Risk Management Committee，2003，Overview of Enterprise Risk Management.

[2]Evan Mills，2009，A Global Review of Insurance Industry Responses to Climate Change，The Geneva Papers on Risk and Insurance—Issues and Practice，34：323–359.

[3]Edward Zaik，John Walter，Gabriela Kelling， Christopher James，1996，RAROC at Bank of American： From Theory to Practice，Journal of Applied Corporate Finance，9（2）：83-93.

（責任編輯 孫 軍；校對 SJ）