從全面風險管理視角強化國際化經營管控

□ 文/張全 張曉波

一、提升國際化經營能力是實現國企治理體系和治理能力現代化的重要舉措

中共中央十九屆四中全會指出，要堅持和完善中國特色社會主義制度，推進國家治理體系和治理能力現代化，并對國有企業改革提出了新的要求。中國石化集團國際石油勘探開發有限公司（國勘公司）作為從事境外油氣投資的專業化公司，落實國企深化改革行動方案，完善中國特色現代企業制度體系，提升國際化經營能力是大勢所趨和必然要求。全面風險管理和內控管理作為企業管理中關鍵部分（圖1），是企業治理的重要任務，是企業核心競爭力和重要軟實力，更是充分釋放中國特色現代企業制度的強大生命力和巨大優越性的重要保證。

圖1 傳統內控、風險與企業管理之間關系

堅持黨的領導、加強黨的建設是國企的根和魂，是國企區別于西方石油公司獨特的政治優勢和管理優勢。筆者認為，只有推進“兩個一以貫之”落到實處，將黨的領導有機融入企業治理體系中，同時對標國際一流，打造具有中國特色的國際化治理體系和模式，才能實現國際化經營能力的提升，才能實現治理體系和治理能力的現代化。

二、國內外風險管理和內控管理發展歷程簡述

我國內控管理和風險管理理論研究起步較晚，是隨著國內金融與保險業的發展而逐步發展起來的，隨后拓展到理財領域的財務風險、信用風險研究等，直至20世紀90年代學術界才開始將企業風險管理與內部控制聯系起來，逐漸形成了目前全面風險管理的思想。

在風險管理實踐方面，以2006年國務院國資委發布的《中央企業全面風險管理指引》為標志，而企業內部控制實踐的全面展開是以財政部2008年發布的《企業內部控制基本規范》為標志，但總體上還處于探索與發展階段。

從國際上來看，最為流行的是COSO（美國反虛假財務報告委員會下屬的發起人委員會）理論框架的發展與應用。1992年，美國COSO發布的《企業內部控制—整合框架》，作為在全球企業內部控制領域的標桿，被美國證監會采用，同時也成為美國資本市場公眾企業的合規框架。但是COSO通過分析21世紀初美國公眾企業一系列的企業經營失敗的案例后便發現了一些問題，單純建立和維護一個健全、有效的內部控制體系，還不足以防范這些失敗案例的再次發生，因為有些失敗的因素超出了內部控制范疇。因此，2004年COSO發布了《企業風險管理—整合框架》。從名字上可以看出，從企業內部控制到風險管理，COSO本意表明后者要比前者定位更高一些、范圍更廣一些。COSO在正式文件中，也闡明了企業風險管理包含了內部控制。2013年COSO發布的內部控制框架更新版文件附錄中提出，企業風險管理是企業治理中的組成部分，企業內部控制是企業風險管理中的組成部分。從我國理論和實踐經驗看，大部分專家比較認可這種關系界定。

2017年9月，按照預定時間，COSO組織推遲了一年發布了新版企業風險管理框架。這次框架的變動非常之大，并沒有對原有的框架進行修補，而是直接拋棄了2004年的風險管理框架。新框架強調風險管理不是一項獨立的活動，而是和企業管理活動密切融合。在新的風險管理框架中，沒有提及任何關于內部控制的話題，而將其都留給了內部控制體系。

三、風險管理和內控管理存在的主要問題

既然當前理論下風控、內控存在密不可分的聯系，因此在風控視角下探討管控更具現實意義。根據對多家國有涉外企業進行調研，結合國勘公司實際情況，對風險內控存在的主要問題進行梳理分析，主要表現在以下幾個方面：

1.職能不健全，重視程度不夠，認識不足或意識淡薄。多數企業管理者認為，抓好生產經營才是王道，特別是在績效考核上，更多地側重于生產經營方面的指標。①人員配備和機構設置上比較欠缺，在海外機構絕大多數都是兼職，對風險管理和內控管理未能引起足夠重視，甚至當成一種額外的工作量。②在實際工作中存在憑主觀臆斷做決策的現象，有些甚至陷入“經驗論”管理誤區，內控體系建設不健全，缺乏配套制度體系，在決策之前的風險評估過程缺失，或者簡單地授權給業務部門負責人，影響了生產經營過程中決策的科學性、時效性。③存在談風險“色變”現象，認為只要有風險就要消除。這種現象是由于對風險管理認識不足、不了解或不理解風險管理容忍度等理念所致。

2.中國特色優勢未得到充分發揮。我國石油工業融入國際社會較晚，無論裝備、技術還是跨國經營管理經驗，都與國際大型石油公司存在一定差距。有一些人認為，國企與西方石油公司相比，體制機制、勞資薪酬、管理方式等方面存在劣勢。筆者認為，從長遠發展來看，國企特別是具有央企背景的國際化油公司，具備西方石油公司無法比擬的關鍵優勢。但在實際工作中，在確保合規前提下，黨的領導和國際化經營管理的融合需要進一步提升。集中決策和分級授權的相互融合、相互補充也亟需加強。這也是建設中國特色的國際化治理體系和治理能力的必然要求。

3.風險偏好不明確，風控內控管理機制缺乏。一方面，有些決策者或者管理者不注重踐行風險管理及內控策略，認為只要能為企業創造經濟收益，在決策過程中冒一些風險必不可少，真正談到風險偏好及風險容忍度又不夠明確。另一方面，風控內控管理運行機制和監督機制執行不到位或者缺失，導致風險防控和內控未能真正落實到日常生產經營管理工作中。

4.信息化、數字化和智能化發展嚴重滯后。眾所周知，全球信息通信技術正進入技術架構大遷徙時代，企業數字化轉型正在經歷從基于傳統IT架構的信息化管理，邁向基于云架構的智能化運營。油氣行業是目前全球信息化程度相對較低的行業之一，遠低于全球產業平均值，還處于探索和摸索階段。

四、基于風險管理視角，強化內部控制，提升國際化經營能力

從事上游油田勘探開發投資的石油企業具有高投資、高風險、高回報基本特征，風險與生產經營管理同體共生，并不斷變化、演進。首先，企業管理者或決策者對風險管理和內部控制的高度重視至關重要。其次，應根據企業或項目公司自身實際特點，以科學性和可操作性為基本前提，不斷強化風控內控意識，健全風險和內控的體系建設，建立緊盯風險變化過程的機制，通過內部控制和全面風險管理，切實做到風險可控、在控，堅決守住不發生系統性風險的底線，確保生產經營目標的實現，保證企業或項目公司的可持續健康發展。再其次，作為具有央企背景的國際化經營公司，應持續借鑒吸收國際上通行的做法，與黨的領導、黨的建設充分融合，充分發揮民主集中決策和分級授權的各自優勢，確保管得好、放到位。

1.強化意識，壓實責任，抓好三道防線建設。根據生產經營需要，合理配置風險管理及內控職能和人員，用以整合、搜集、處理、傳輸企業運營信息，賦予企業管理決策的科學性、時效性。企業管理者應牢固樹立風險管理與內控管理意識，這是確保企業經營計劃目標實現和行穩致遠的關鍵。①對標國際油公司通行做法，堅持開展Top10風險識別與管控，明確風險管控重點、責任領導和責任部門，制定切實可行的管控措施。對Top10風險堅持季度審查，動態管理。②抓好頂層設計，落實全面風險管理領導小組和風險管理業務鏈的匯報路線，進一步明確職責和議事規則。根據實際情況，設立全面風險管理崗位和人員，將風險識別、評估和化解壓實到具體責任單位，壓實到責任人。③抓好風險管理的三道防線建設（圖2），與其他管理工作緊密結合，把風險管理各項要求融入企業管理和業務流程中，構建起風險控制三道防線，強化意識，不斷完善風險防控措施并壓實責任。

圖2 風險管理三道防線示意圖

三道防線具體如下：第一道防線，以相關職能部門和業務單位為主，把業務單位的戰略風險、法律風險、市場風險、財務風險、營運風險等，進行系統化分析、確認、管理和監控。要建立好第一道防線，業務單位要了解企業戰略目標及可能影響企業達標的風險，識別風險類別，對相關風險作出評估；決定轉移、避免或減低風險的策略；設計風險實施風險策略的相關內部控制。這里需要明確的是第一道防線即為風險所有者（Owner），是企業風險防控的第一責任人，一般來說，通過第一道防線要解決95%的問題。接下來才是要第二道防線和第三道防線進行查漏補缺的。第二道防線，風控內控部門和董事會風險（內控）管理委員會。風險管理部門的責任是領導和協助公司內部各單位在風險管理方面的工作，其職責包括建立規章制度、對業務單位風險進行組合管理、度量風險和評估風險界限、建立風險信息系統和預警系統、厘定關鍵風險指標并負責風險信息披露等。相對于業務單位部門而言，風險管理部門應克服狹隘的部門利益，從企業利益角度考察項目和活動風險。第三道防線，內部審計部門和董事會審計委員會。內部審計是一個獨立、客觀審查和咨詢業務單位，監控企業內部和其他企業所關心的問題，其目的在于改善企業經營和增加企業價值。它通過系統方法評價和改進企業風險管理、控制和治理流程，幫助企業實現經營目標。

2.充分發揮中國特色優勢，全面提升國際化經營能力。①把黨的政治優勢與公司治理有機融合起來。民主集中制是我國根本政治制度的優勢所在，這是我國集中力量辦大事和取得成功的法寶。對國企來說，“三重一大”制度、黨組織決策前置研究辦法等都是國企治理中重要的集中決策制度。因此，在實際工作中應把堅持黨的領導和民主集中決策制度與實際生產經營管理有機地融合，針對中外方一體化管理，通過總裁班子會、各類委員會（committee）等方式，在確保合規基礎上，充分發揮黨組織把方向、管大局、保落實的重要作用。堅持黨的領導是建立中國特色的現代企業制度的一個本質特征，是推進國有企業治理體系和治理能力現代化的根本保證，在提高決策水平和防范決策風險等方面具有重要意義。②將集中決策與分級授權有機融合，不斷完善有限授權和分級授權體系。企業管理中集權與分權是一對基本矛盾，各自都有優點和缺點，二者有著對立統一的辯證關系，故應處理好二者之間的關系。今年以來，國勘公司正開展有限授權和分級授權的梳理，對于海外項目機構，依據合同協議條款，開展一項目一策的權限指引梳理，對海外機構充分授權，激發海外動能，提高決策效率。同時，要求海外機構進一步完善中間治理層權限清單（包括董事會、聯管會等），完善海外機構自身的權限指引，并根據實際情況，充分體現基層黨組織的集中決策和分級授權理念。2022年，公司將依據集團公司新的“三重一大”制度，貫徹落實好公司總部層面黨委集中決策機制，梳理各部門的有限授權的權限清單（圖3）。通過集中決策與有限分級授權的有機融合，激發工作動能和提高效率的基礎上，實現了決策風險的有效防控。在海外機構開展治理體系和內控體系建設時，除了做好國際化慣例、準則相結合以及中國國有企業特色優勢以外，還應高度重視本土化戰略，即“思考全球化，行動本土化”。管理學大師彼得·德魯克指出，管理是以文化為轉移的，并且受其社會的價值、傳統與習俗的支配。綜觀全球，每個國家由于文化、歷史不同，在管理上的確具有鮮明的個性色彩。實際上，就是要在建章立制和治理體系的建立等方面符合當地法律法規要求，將公司戰略意圖巧妙植入具有當地文化的制度體系和治理體系之用。③構建“大監督”格局，形成齊抓共管的合力。2021年11月，國務院國資委印發了《關于進一步深化法治央企建設的意見》的通知，明確提出要探索構建法律、合規、內控、風險管理協同運作機制，加強統籌協調，提高管理效能。同時，巡視制度作為我黨特殊的一項監督制度，由于國內外意識形態差異，為規避合規風險，很多情況下可通過風險管理、內部控制等國際通用語言和慣用做法，開展監督巡察等方面工作，可有效促進“大監督”格局的形成。

圖3 國勘公司內控體系提升方案示意圖

3.明確風險偏好和容忍度，打造國際化管理體系和運行機制。建立健全企業風險管理和內部控制制度并逐步形成體系是企業風險管理和內部控制制度穩健執行的前提和必要條件。合理完善的風險管理和內部控制制度體系，是企業遭遇風險時有科學合理的預案，以及補救方案，從上到下都有章法可循，能夠及時應對風險，控制風險危險因素的擴散，盡量減少企業損失。

①明確企業風險偏好和容忍度。對風險偏好進行衡量，就是要對企業目標、收益與風險之間的關系進行相應權衡。企業風險偏好與企業戰略直接相關，在制定戰略時，應考慮將該戰略的既定收益與企業風險偏好結合起來。不同的戰略，給企業帶來的風險也不同，在企業戰略制定階段就進行風險管理，就是要幫助企業管理者在不同戰略間選擇與企業的風險偏好相一致的戰略。風險偏好的概念是建立在風險容忍度概念基礎上的。風險容忍度是指在企業目標實現過程中對差異的可接受程度，是企業在風險偏好的基礎上設定的對相關目標實現過程中所出現差異的可容忍程度。在確定各目標的風險容忍度時，企業應考慮相關目標的重要性，并將其與企業風險偏好聯系起來。將風險控制在風險容忍度之內能夠更大程度地保證企業的風險被控制在風險偏好的范圍內，也就能夠更高程度上保證企業目標的實現。②建立健全制度機制，在制度中明確“管業務必須管風險”，以及風險管理的“三道防線”建設要求。同時，強化報告、督查督辦、預警、考核、提示等五大長效機制運行，實現風險管理的日常常態化監控，確保風險管理的及時性和有效性。③加強專項研究，強化風險的識別預判和前瞻性。一些專家學者認為，一個健康發展的企業，理論上來說90%的風險應通過內部控制有效地規避和管控。那么，通過內部工具和手段難以識別的風險，則要通過一些專項研究重點予以關注，如國別政局風險、異常氣候風險等。將潛在的或難以識別的風險辨識出來，為公司戰略和項目的下一步走向提供重要的決策參考。

4.抓好“數字化”轉型基礎，積極推進智能化實質性進展。作為國有石油石化企業，推進信息化建設、數字化轉型、智能化發展，是建設國家戰略科技力量和能源與化工創新高地的必然要求。國勘公司按照集團公司的要求，目前正在積極推進數字化轉型戰略。未來，公司必須要運用區塊鏈、大數據、云計算、人工智能等新一代信息技術，推動風控內控管理從信息化向數字化升級，探索智能化應用場景，有效提高管理效能。通過大數據等手段，實現風險在線識別、分析、評估、防控。

五、結束語

風險管理和內部控制作為企業管理的重要組成部分，其管理水平的高低直接反映公司國際化經營能力。在國際化經營過程中，應充分認識國企的優勢，堅定道路自信、理論自信和制度自信，堅持 “兩個一以貫之”，深化對標一流，把黨的領導、國際化理念、本土化理念真正融入治理體系之中。同時，堅定走信息化、數字化和智能化道路，持續推進國際化經營能力的提升，最終打造具有中國特色的國際化經營管理體系和管理模式。