從2017版《企業風險管理框架》看銀行風險管理

周繼紅

[摘 要]隨著中國經濟的高速發展，風險管理被越來越多的企業所重視。尤其是商業銀行這樣一個以貨幣為商品的特殊行業，其風險管理水平直接決定利潤水平和發展前途。COSO對于風險管理和內控制度曾發布過幾版具有指導性的文件，成為業界內控和風險管理的圣經。2017年9月，COSO針對現代企業的管理方式，在2014版的基礎上進行修改，正式發布了《企業風險管理框架》，以更為全面的視角看待現代經濟中企業風險管理的問題，且該版本文件從戰略和績效的層面上談論風險管理，從更深意義上解讀了我國監管機構所提出的從公司治理的角度進行風險管理。本文以2017版的ERM為基礎，分析我國商業銀行風險管理存在的問題，期望能用一種嶄新的思維思考風險管理的意義，找出最符合時代的管理方式來提高銀行風險管理的水平。

[關鍵詞]銀行風險管理;內部控制;公司治理

doi：10.3969/j.issn.1673 - 0194.2019.06.050

[中圖分類號]F830.1[文獻標識碼]A[文章編號]1673-0194（2019）06-0-02

1? ? ?COSO企業風險管理框架的發展歷史

眾所周知，COSO（Committee Of Sponsoring Organization）是美國反虛假財務報告委員會的簡稱，是由美國注冊會計師協會（AICPA）、美國會計學會（AAA）、財務經理協會（FEI）、國際內部審計師協會（IIA）以及管理會計師協會（IMA）5個權威機構所共同組成的。

COSO在1992年發表了《內部控制-整理框架》報告，并于1994年對其進行了修訂。該報告的發布具有重要意義，其結合了內控理論和實踐，標志著內控進入整體框架的一個嶄新的階段。但管理者們逐漸發現該框架沒有強調風險管理，內控與企業風險管理之間的結合十分牽強。于是，2004年，COSO在結合1992年《薩班斯-奧克斯法案》報告的基礎上發布了《企業風險管理框架》。這個框架相較于1992年的版本有了較大幅度的改變。至此，ERM（Enterprise Risk Management Framework）之名得以被業界廣知。2014年，COSO在2004版ERM基礎上對內控定義以及內控要素等進行了升級。至2017年，COSO于2017年9月6日，正式發布了最新稿的《企業風險管理—與戰略和業績的整合》（Enterprise Risk Management-Integrating with Strategy and Performance）。新框架與之前的框架相比，有了相當大的變動，其采用了國際上慣用的要素與原則相結合的方式，一共涵蓋了5個構成要素以及23條原則。

2? ? ?2017版《企業風險管理框架》的特點

新版《企業風險管理框架》與2014年的ERM相比，有非常明顯的變化，該框架對于現代組織無論從形式上還是邏輯上都具有更強的適應性。首先，框架的適應范圍擴大，不再僅針對營利性組織;放寬了企業的規模要求，該框架可以適用于任何類型和規模的組織。其次，重新對風險的概念進行了定義。定義為：“事項發生并影響戰略和商業目標實現的可能性”。從定義上可以看出，新版文件強調了戰略目標和商業目標。企業風險管理被定義為：“組織在創造、保持和實現價值的過程中，結合戰略制定和執行，賴以進行管理風險的文化、能力和實踐”。同時，在強調戰略之外，還強調了風險文化和實踐，明確區別了風險管理和內部控制的范圍。再次，該框架從新型企業管理視角將ERM整理成為一個真正的管理框架。將企業的使命、愿景和核心價值作為出發點，繼而到戰略、商業目標及績效，得出最終的結果績效提升的結果，遵循一個從原因推出結果的邏輯過程。最后，新版本沒有特別強調風險管理的概念。這并非說明風險管理不重要，而是將其作為一個默認值。只要整體管理到位，那么風險自然而然就會處于可控范圍內。同時，新版本將風險管理作為一套管理體系而不是控制體系，并且風險管理的一些概念大于內控，比如風險偏好、風險承受度等，這些都將成為內控體系實施的先決條件。

3? ? ?我國商業銀行風險管理存在的主要問題

我國商業銀行發展歷史較短，相較于一些國外知名銀行而言，風險管理上呈現出經驗不足、意識較為淡薄等情況。具體可以歸納為以下幾個部分。

3.1? ?風險文化缺失，意識淡薄

除了工、農、中、建、交五大銀行外，還有中小型股份制銀行以及外資銀行。中小銀行由于銀行規模限制和利潤指標的設置，員工的風險意識通常較為淡薄，往往過于追求利潤而忽略了風險管理的重要性。此外，大多數銀行對于員工的風險管理教育常常停留在口頭上，沒有深入落實到實際工作中，所以風險事件層出不窮。大到幾十億元的風險案件，小到普通的操作風險事件都能夠體現一些銀行的管理人員和普通員工對風險的理解還不夠深刻、銀行本身還沒有形成風險文化、銀行管理不到位等現象，這都是我國商業銀行普遍存在的問題。

3.2? ?管理不徹底，缺乏有效管理結構

風險管理治標不治本的情況在很多商業銀行時有發生;出現上級要求、下級敷衍，導致執行不到位的情況;出現體制上的管理漏洞，讓有心的人有機可乘。近年來，銀監會之所以一再強調銀行公司治理的重要性，其實是希望能從公司治理的角度進行風險管理，只有追根溯源地從制度上完善風險管理的要求，才能標本兼治。2013年，中國銀監會發布的《商業銀行公司治理指引》中明確定義銀行公司治理的概念為：“商業銀行公司治理是指股東大會、董事會、監事會、高級管理層、股東及其他利益相關者之間的關系，包括組織架構、職責邊界、履職要求等治理制衡機制，以及決策、執行、監督、激勵約束、監督等治理運行機制”。從公司治理的角度來設計風險管理的框架以及運行機制，將從根本上提高銀行風險管理的有效性。

3.3? ? 風險管理技術落后

很多中小型銀行，受到銀行規模和資金的影響，現在還無法開發專門的風險管理系統這樣的計算機管理工具。同時，在數據的累積上也不夠，一方面由于發展歷史短、業務范圍不夠寬，另一方面，由于發展歷史太短，導致很多銀行依賴其他銀行所發生的外部事件或者是自生發生過的風險。隨著一帶一路進程和人民幣國際化的推進，我國商業銀行必將隨著企業走向世界，因此，提高各家商業銀行風險管理水平，從而與國際接軌這一點至關重要，需要引起從業管理者的重視。

4? ? ?銀行進行風險管理的對策

4.1? ?加強風險管理文化的植入和風險意識的培養

從2017版ERM可以看出：企業的使命、愿景以及核心價值觀是這份框架邏輯的入手點。想要加強風險管理，管理層需要明確銀行的使命、愿景和自己的核心價值觀，并傳達給自己的員工;說明本行的風險偏好、風險容忍度，培植企業的風險文化。在理清這些思路后，員工以及所有的管理人員都應有清晰的目標，認識到銀行風險管理的重要性。從而形成企業風險文化，明確員工在銀行風險管理中的重要責任，從而加強風險意識。

4.2? ?從公司治理的角度出發建立有效的風險管理機制

根據最新版ERM的邏輯順序可以看出加強治理結構的重要性。制度管理風險的效果將遠遠大于人治的效果。因此，商業銀行應認真研究銀監會管理公司治理的文件以及ERM的框架，從制度上完善風險管理體系。同時，明確從股東、董事會、管理者，到內審人員以及普通員工的責任，完善各個領域的風險管理制度，并且將風險管理的績效考核提升到一定的高度，推行實施互查，強調內審部門檢查的嚴肅性。此外，對于風險的管理范圍，商業銀行應對保送期限以及風險的處理和事后監控制定詳細的表格，并嚴格執行，從而將風險控制在可控范圍內。

4.3? ?加強學習，豐富自身風險管理經驗

由于很多中小銀行的發展歷史短、業務覆蓋范圍不夠全面、資金不足等，導致風險管理資源缺乏，如果僅僅依靠自身所發生過的風險數據進行閉門造車，根本不可行。但是，在如今這個信息大爆炸的時代，學習能夠使銀行快速成長。銀行在學習的內容方面，既應該包括專業知識，也應該包括其他相關金融機構的案例和經驗，在結合實踐的基礎上，加深銀行員工對于風險管理的理解，彌補風險管理工具的不足。

5? ? ?結 語

2017版的《企業風險管理框架》是一份符合現代組織管理框架的文件，商業銀行如果領會了其精神，并能夠結合銀監會關于公司治理的要求進行銀行的風險管理，必將大大提高銀行的風險管理水平，促進銀行的長期發展，從整體上提高銀行的利潤。

主要參考文獻

[1]陳四清.試論商業銀行風險管理[J].國際金融研究，2003（7）.

[2]陳小憲.中國商業銀行風險管理的認識與實踐[J].中國金融，2004（3）.

[3]葛兆強，李鋒.國外商業銀行風險管理機制研究[J].金融與經濟，2002（4）.

[4]鄭新廣，劉義成.金融危機下的商業銀行風險管理[J].金融與經濟，2009（1）.

[5]陳德勝，周平盛.商業銀行公司治理風險分析與評價[M].北京：中國金融出版社，2007.

[6]朱榮恩，賀欣.內部控制的新發展——企業風險管理框架[J].審計研究，2003（6）.

[7]陸曉明.銀行風險管理的警鐘——從美國一系列公司危機看銀行信用風險管理[J].國際金融研究，2002（9）.