作者：凌文
出版社：中国财政经济出版社
格式: AZW3, DOCX, EPUB, MOBI, PDF, TXT
以风险为导向的内部控制体系理论与实践：中国神华的探索（精装）试读：
前言
专门写一本书谈谈我心目中的内部控制和风险管理，是我多年来的一个梦想，而今能够坐下来细细地将中国神华从2006年到今天在内部控制和风险管理的探索与实践梳理清楚、一一道来，正是圆了我的这个梦。
内部控制和风险管理，从当今的企业界实践来看，已经从一个前沿的课题变成了真正为企业创造价值的管理工具，实在让人抚掌赞叹。但是在2006年那样的时点上，虽然内部控制已经渐入人心，但风险管理仍然是乏人问津，甚至很多企业老总即便知道需要管理风险，却对如何对其系统地进行管控仍是束手无策。尽管如此，我们却在2006年便将这样先进的管理理念引入到中国神华这样的大型央企，并且矢志不渝地建设到今天且在不断进行完善，这样的实践在国内也属于首屈一指了。而我们能在当时便高瞻远瞩地引入这样的理念存在着历史的必然，这是因为中国神华当时已经在H股上市，在内部控制方面接受着非常严格的要求，客观上便需要不断加强内部管理。但是，仅仅满足于内控合规并不能满足于中国神华这样具有多重社会属性的大型央企的要求，这就推动着我们去学习、探求，最终走出了一条具有中国神华特色的、以风险为导向的内部控制体系建设之路，一方面以满足内控合规为基本要求，另一方面则向风险要效益，全方位管理风险，实现企业价值的最大化。
到今天为止，中国神华已经初步建设成了以生产本质安全、经济本质安全、政治本质安全为特色的以风险为导向的内部控制体系。之所以选取这三者作为中国神华在内部控制和风险管理建设工作的重心是基于对中国神华多重社会属性的深彻理解：作为矿产资源型的大型企业，安全生产是保证人民生命财产安全的头等大事，来不得半点马虎；作为上交所和联交所上市的企业，我们需要为股东、债权人确保经济利益的最大化；作为全民所有制的大型央企，中国神华是全社会共有的财产，就要对全社会、全民族负责，肩负着社会稳定的重任。时至今日，中国神华在三大本安体系建设中积累了一定的经验，但距离真正的风险管理仍然相差甚远。这也是为什么到现在为止，中国神华仍然将自己的这套体系称为以风险为导向的内部控制体系，而不是直接称为风险管理体系的原因之所在。
实际上，从我在银行业工作之时便经常在思考这样的问题：究竟内部控制是什么？风险管理是什么？我因为工作的缘故，曾与多位企业家就这两个问题进行过深入交流，但几乎我遇到的大多数管理者都把这两块工作想成是某个职能部门的具体工作；或是认为风险管理是主营业务的部门管理的一种补充，是附加出来的一个工作；或是将风险管理视为与其他企业日常管理同等甚至更低的地位。而我所交流的这些企业家，大都领导着世界五百强中的庞然大物，翩翩起舞于这个越来越平的世界村，在全球化竞争中日益占据着重要的地位，对于中国的经济稳定、政治和谐均起着极其重大的作用。这不能不让我感到深深担忧：这些企业家已经是国内之翘楚、精英，他们对于内部控制和风险管理的认识应是具有一定的先进性的，那么我们国内更大多数的管理者是否连应该开展内部控制和风险管理这样的工作都没有想到呢？于是，分享自己在领导中国神华建设以风险为导向的内部控制体系中的心得与体会，藉以向同业人士宣示内部控制与风险管理的重要意义，唤起大家的共鸣，取得普遍性共识，就成为了我写作此书的一个重要目的。若是有同业人士从中国神华的体系建设经历中找到一些适合自身企业特点的有益之处来帮助企业快速稳定发展，那么我将会双手合十来表达内心的欢愉与祝福。
肇始于2008年的金融危机，一方面来自于金融衍生产品的错误运用导致的系统性风险，另一方面恰恰来源于全球主要的金融市场参与者对风险管理的重视不足，两者互相激荡，才使金融危机造成的影响如此沉重且深远。在我看来，内部控制与风险管理绝不仅仅是一个部门的日常工作，绝不仅仅是企业架构的一个部分，绝不仅仅是企业运营的一个方面，它更是企业总体运营的灵魂、主心骨、主线、核心。我一直坚信，当风险管理建设到最高阶段时将不再有风险管理，因为它已经融入到企业机体的每一滴血液，已经体现在企业的整个机制、每个流程和具体操作之中。故而，我在就任中国神华总裁后，便力求将内部控制、风险管理嵌入到中国神华的全流程当中，把内部控制、风险管理的理念融化到中国神华的企业文化当中，使整个机制、流程形成一套自学习、自组织、自适应、自优化的体系，将这些思想贯彻到日常的经营管理活动当中去。而要达到这样的一个目标，首先便是要在中国神华深深地埋下内部控制和风险管理的种子，精心培育、助其成长。所幸的是，到今天为止，这颗种子还在按照我们设想的那样在健康成长。
这里再与各位分享一个中国神华躲过2008年金融危机且在危机中进行有效扩张的例子。2008年3月，我和中国神华的高层团队在华尔街进行路演，而我有每天读报的习惯，当时读到了贝尔斯登这样的大型投行现金流出现了问题需要被并购，而在我的概念里，这样的大型投行价值至少在几百亿美元以上，而摩根大通只是出价二十多亿美元，很是令人惊讶。翌日，公布了最终收购价2.63亿美元，只相当于贝尔斯登总部办公大楼市值的1/4。这让我感到无比震惊，急切地希望了解出现这种状况的原因。此时我注意到这主要来源于其杠杆率过高。根据我多年从事银行业的职业特点，我敏锐地认识到因为金融市场特有的扩散性，必然会将这样的事件向下游企业进行传导，于是路演结束后，我便在4月份的中国神华总裁常务会上定了这样几条：第一，停止一切非生产性项目的投入，停止一切楼宇的建设；停止购买小汽车；第二，立刻把我们的钱管住；第三，改变信用政策，除了从未出现问题的国有大型客户之外，一律不得赊账。基于以上三条，从2008年4月份到2008年底，中国神华的现金存量得到了大幅度的增加。而在2008年9月，时任国务院国资委主任的李荣融同志专门开会动员各单位一定要捂紧自己的钱袋子的时候，我们已经开始管理现金流半年了。在其他企业忙于过冬之时，中国神华积极利用当时恶劣的市场条件导致的各种资源价格严重低于其实际价值的有利条件，进行了关于矿产资源、路权资源和人才资源等战略资源的储备，迅速完成了有效扩张。
而这，其实就是我所希望中国神华达到的自学习、自组织、自适应、自优化的境界，将风险管理的理念纳入每一个人的灵魂深处，使每一个人都清晰地知道他所对应的工作和流程中的风险所在，如何去防范和应对甚至已经成为他工作时的一种本能。而这种本能抑或潜意识恰恰就是对风险的敏感性。而我们的企业家，尤其是那些国际化参与程度高的企业家，最应该提升的就是对风险的天然的洞察力和敏感性。我期盼着这本书能够给大家一丝提示，使大家对风险具有一种理念、感觉，甚至帮助大家培养出灵性，对风险具有一种本能的敏感和反应。而想达到这样的境界，绝不仅仅是靠一个风险管理部门、一个内控审计部便能做到的事，而是要通过内部控制和风险管理的基础工作，让这些理念深切渗入企业的文化、机制、流程、操作规范当中去，耦合到每一个人的思维当中。
如果这本书能够让大家达到这样的共识，共同在内部控制和风险管理建设的这条路上一同努力的话，则我愿已足。序
2008年以来，由美国次贷危机引发的国际金融危机使全球经济格局发生重大变革，欧美等发达国家的经济停滞不前，失业率居高不下，国内民生鼎沸，社会危机重重。冰岛、希腊等国引发的欧洲债务危机又再一次提醒我们：风险无处不在且危害巨大，风险管理已经成为了所有管理者和学者都要面对和亟需解决的问题。
面对国际金融危机的冲击，中国神华的董事会不惧挑战，积极探索，深入分析国内外宏观经济环境的变化，适时调整公司发展战略，进一步加强了内控与风险管理体系建设，在危机到来之前及时加强对现金流的管理，危机到来后又适时的对矿产资源、路权资源和人才资源等战略资源进行科学储备，迅速完成了有效扩张，取得了很好的经营业绩。这一方面归功于中国神华董事会的科学决策和管理层的高效执行，另一方面则是全面风险管理体系为中国神华创造的价值。《以风险为导向的内部控制体系理论与实践——中国神华的探索》一书，是将神华多年来在内部控制和风险管理的道路上取得的成绩提炼成册、系统总结。仔细品读此书后，更全面地了解中国神华以生产本质安全、经济本质安全和政治本质安全为主体、以风险为导向的内部控制体系，了解它的十一五期间实现煤矿百万吨死亡率为0.0131这一国际先进水平的原因之所在。神华迄今为止取得的成绩充分证明，中央企业通过加强全面风险管理来提升企业整体管理水平是正确的，是有推广价值的。正在风险管理道路上探寻方向的企业可以此为借鉴，健全全面风险管理体系，加强重大风险管控，完善风险监测识别与防范体系，加强内部审计和内控机制建设，严格金融衍生业务管理，杜绝重大资产损失。
凌文同志是中央企业首次在海内外招聘的高管人员，他理论功底扎实，企业工作实践经验丰富，在中国神华做了很多积极有效的工作，并将这些工作总结、提炼，进一步系统化、规范化，形成了具有理论指导意义的一书，值得每一位管理者仔细品读！
全国政协委员、经济委员会副主任，国务院国有资产监督管理委员会原主任、党委书记2011年10月9日第1章总论1.1 中国神华概要介绍
中国神华能源股份有限公司（以下简称中国神华）是由神华集团有限责任公司（以下简称神华集团）于2004年11月独家发起成立，以煤炭为基础的矿、电、路、港一体化的大型能源公司，主要业务包括煤炭的生产和销售、与煤炭相关的铁路和港口运输以及电力的生产和销售等。中国神华按照《中华人民共和国公司法》等国家法律法规以及公司章程，建立了规范的法人治理结构和管理架构。在公司管理架构方面，实行总部、分子公司管理体制。截至2010年12月31日，中国神华已拥有56家分子公司，遍布全国10多个省市和澳大利亚、印度尼西亚等国家和地区。
为进一步深化国有企业改革，完善法人治理结构，通过组织结构重组加强公司管理，根据神华集团确定的“一次审批、积极准备、择机上市”的原则，中国神华积极和严谨地筹备发行上市工作，于2005年6月在香港联交所挂牌上市。上市时发行价格为每股7.5港元，发行价格为当时全球煤炭行业最高的股票发行。中国神华H股发行市净率6.7倍，为当时大型国企海外上市的最高水平。
2007年10月，中国神华在上海证交所挂牌上市。中国神华A股发行上市创造了当时国内外资本市场上的多项历史记录：（1）发行规模为665.82亿人民币，成为当时A股最大的IPO及股本融资；（2）超越俄罗斯国家银行，成为2007年当时全球最大的IPO；（3）是当时全球矿业领域最大的IPO；（4）是当时全球第11大IPO，同时也是唯一一家仅A股发行进入全球前20大的中资公司IPO；（5）网下、网上总冻结资金达到创记录的26 700亿元；（6）初步询价阶段，询价对象报单家数达到创纪录的176家等等。
中国神华拥有神东、准格尔和北电胜利三大矿区，截至2010年12月31日，国内标准下中国神华的煤炭资源量为175.32亿吨，煤炭可采储量为114.73亿吨；JORC标准下的煤炭可售储量为72.82亿吨。中国神华2010年末总装机容量达到27 433兆瓦，公司控制并运营燃煤机组63台，平均单机容量达到423兆瓦。公司拥有由铁路和港口组成的大规模一体化运输网络，运营着包括中国西煤东运的第二大通道神朔—朔黄铁路在内的五条铁路，运营里程1 470公里，为公司带来了巨大的协同效应和低运输成本优势；拥有1亿吨吞吐能力的黄骅港和4 500万吨吞吐能力的天津煤码头，是中国神华煤炭销往国内沿海市场和海外市场的主要中转海港。2010年上半年，公司通过增资扩股以51％的比例控股神华航运公司，标志着公司航运板块的诞生，公司煤电路港航产业链进一步延伸。
2010年，中国神华完成商品煤产量224.8百万吨，同比增长6.9％；煤炭销售量292.6百万吨，同比增长15.1％；自有铁路运输周转量为150.3十亿吨公里，同比增长8.8％；港口下水煤量为169.9百万吨，同比增长6.7％；总发电量和总售电量分别为1 411.5亿千瓦时和1 314.1亿千瓦时，同比分别增长34.3％和34.5％；7～12月份，航运货运量为25.9百万吨，航运周转量为219亿吨海里。2010年，公司顺利开展了对神华集团下属的包括7项采矿权和1项划定矿区范围在内的资产收购，进一步增加了公司的资源储备。收购资产的煤炭储量如下：截至2010年6月30日，中国标准下的可采储量为24.28亿吨，JORC标准下的可售储量为17.54亿吨。
截至2010年12月31日，中国神华总市值达到760.03亿美元，位列全球煤炭上市公司首位、全球综合性矿业上市公司第4名。围绕“建设具有国际竞争力的世界一流煤炭综合能源企业”的战略目标，中国神华将进一步丰富和完善煤电路港航一体化运营模式，不断扩大品牌影响力，持续提升核心竞争力，努力拓展国际国内两个市场，积极推进大销售战略和“走出去”战略，以澳大利亚、印度尼西亚、蒙古等国项目为突破口，投资与并购相结合，主动出击，把握机遇，打造成本低、产品优、服务好、反应快、效益佳、品牌响的世界一流煤炭综合能源企业。1.2 中国神华构建以风险为导向的内部控制体系的综合考虑
中国神华自上市以来，在实施管理创新，完善体制和运行机制，提高经营管理水平方面，采取了一系列措施，取得了显著成效，为公司可持续发展打了坚实的基础。但随着市场竞争的日益加剧，特别是在跨越式超常规增长、步入国际资本市场的过程中，公司面临的风险和内外部经营环境都发生了重大的变化。公司在快速、超常规发展的同时，既要保证安全又要实现可持续健康发展，就必须有一套与之相适应的内部控制管理系统，并不断地加以改进和完善。1.2.1 为了有效防范企业风险
随着国内外形势的变化和国民经济的快速增长，中国神华内外部经营环境发生了重大变化，这给公司不仅提供了难得机遇，也带来了严峻挑战，公司的发展面临着诸多风险。
从战略风险来看，公司下属单位遍及内蒙古、江苏、广东等10多个省市，地域跨度广，政策协调难度大，政企关系风险高。公司煤炭资源获取和开采受国家政策制约，产业政策风险对公司的影响大。公司正处于新一轮的高速成长阶段，每年投资额都在数百亿元，如果对重大资源点和项目的选择标准不清晰，特别是如果在境外并购项目中，对海外市场、当地文化、政策法规等不熟悉，就有可能造成投资失败，给公司带来巨大的经济损失。
从财务风险来看，煤炭资源属于不可再生资源，开采难度越来越大，以及资源税征收方式的变化，都将会加大成本上升的风险。
从市场风险来看，公司“一体化”运营模式的竞争策略，正在被竞争对手快速复制，差异化竞争优势减弱，市场竞争风险加大。宏观经济周期性变动和季节性变化带来煤炭需求和煤炭价格的波动，给公司盈利带来了很大的不确定性。
从运营风险来看，公司所处行业跨度宽，涉足的煤炭、铁路和港口运输、电力都属于高风险行业，若发生安全事故，会给公司声誉造成重大损害和经济损失。特别是国家对煤炭安生生产的监管越来越严格，如何将以风险为导向的内部控制体系真正融入到煤炭生产管理中，实现煤炭生产的本质安全，对公司来说无疑是一个巨大的挑战。
从法律风险来看，公司在境内外上市，如果对监管规则的学习掌握和重视程度不够，未能严格执行关联交易和信息披露等相关制度，信息披露不合规、不及时、不真实、不完整，就会被监管机构处罚和股东诉讼，对公司形象造成负面影响和财务损失。
以风险为导向的内部控制体系是企业的自我免疫系统，规范和有效的内部控制管理，能够做到超前预控风险，并采取有效应对措施防范和化解，从而促进公司的健康发展和战略目标的实现。1.2.2 为了满足外部强制监管
资本市场和政府部门对企业内部控制管理都做出了强制性的规定，要求上市公司遵从。香港联交所《企业管治常规守则》明确，上市公司应建立内部控制系统，以保障股东权益，每年至少一次对内部控制系统的有效性进行检查评价，范围应涵盖财务、运营、合规和风险管理四个方面，并在年报中向股东报告。上海证交所《上市公司内部控制指引》要求，上市公司要定期披露内部控制的实施情况及公司内部控制自我评估报告，外部审计要对公司所发布的自我评估报告进行核实和评价；当企业发生重大的内部控制风险时，要及时以公告的形式告知投资者。财政部等五部委《企业内部控制基本规范》要求企业应当对本公司内部控制的有效性进行自我评价，披露年度自我评价报告。国务院国资委《中央企业全面风险管理指引》要求以对重大风险、重大事件（指重大风险发生后的事实）的管理和重要流程的内部控制为重点，积极开展全面风险管理工作。具备条件的企业应全面推进，尽快建立全面风险管理体系。上述监管守则、规范、指引均分别对内部控制及风险管理做出了明确规定。中国神华作为在香港联交所和上海证交所上市的国有控股公司，必须接受这些来自外部的监管要求，做到依法和合规经营。1.2.3 为了提高经营管理水平
内部控制是企业管理不可或缺的重要组成部分，通过改进和加强内部控制管理，实现管理流程和制度的规范化、程序化和标准化，可以带动经营管理水平的全面提升，提高企业的经营效率和效果。在建立以风险为导向的内部控制体系之前，尽管中国神华在内部控制管理方面积累了较为丰富的经验，但是，与国际一流公司相比仍存在相当的差距。比如，内部控制管理往往只重视具体的控制活动，而忽视控制目标和控制责任及其面临的风险，缺乏有效的信息反馈和检查约束机制；往往偏重于管理事项及其相应的权限划分，没有明确的关键控制点和控制标准；往往是管理目标、管理方式、管理手段分散在不同的管理制度之中，不能形成一套行权、检查、反馈、改进等统一的行为规范；对于管理的有效性和制度的适当性缺乏评价标准，没有形成定期修改、定期完善、持续改进的闭环机制等。作为一个国有控股的特大型企业，国务院国资委、监管机构和投资者对公司的管理水平和经营业绩提出了更高的要求，公司有责任和义务为国有企业的管理实践进行探索和创新。同时，也只有走技术创新、制度创新和管理创新的道路，才能保持公司源源不断的发展动力。因此，内部控制管理是系统提炼管理经验，用世界上先进的内部控制理论和方法改造传统管理，实现管理科学化和标准化的有效途径，它既是管理创新的重要组成部分，也是企业可持续发展的内在需要。1.2.4 为了实现国有资本保值增值
中国神华是国有控股的特大型企业，属于基础性行业，在国民经济中具有重要的地位，肩负国有资本保值增值的重大使命，必须履行国有资本安全和保值增值的经营责任和社会责任。近年来，由于管控不力，内部控制管理不当，特别是公司治理结构不完善，风险防范意识薄弱，制度与流程中的监督、约束、制衡机制失效，导致国有资产流失的典型案例屡见不鲜，从反面佐证了以风险为导向的内部控制体系对于国有资本保值增值的极端重要性。一个企业有效的内部控制管理，不仅可以通过明确公司股东会、董事会、监事会和经营管理层的职责权限，完善公司法人治理，防范“内部人”控制，而且能够通过增强风险意识，完善制度与流程，提升国有资本运营水平，实现国有资本收益的最大化。因此，以风险为导向的内部控制体系，也是中国神华履行国有资本保值增值职责的客观需要。1.3 中国神华建立以风险为导向的内部控制体系的战略思考
历史的经验和教训反复证明，企业在快速超常规成长的同时，要做到既保证安全又可持续发展，就必须有一套完善的管控系统。神华集团在16年的发展历程中，深刻认识到内部控制与风险管理工作事关企业的成败，具有极高的重要性。相比较其他矿产资源型国际500强而言，神华集团经验显著不足，想要打造基业常青的百年企业，秘诀就是要靠核心竞争力。中国神华作为神华集团最大的控股子公司，在市场竞争中发现，昨天的竞争力是靠成本，今天的竞争力是靠创新，而明天的竞争力就是内部控制、风险管理。另外，值得一提的是，中国神华的行业跨度大、地域跨度广、管理难度大、运营风险高，如果内部控制产生重大缺陷、重要风险控制不当，就有可能对公司发展战略产生非常重大的不利影响。因此，中国神华要成为国际一流的能源企业，就必须建立一套具有中国神华特色的、以风险为导向的内部控制体系，增强企业的风险管理能力。
而这种既不仅仅是内部控制，又不仅仅是风险管理的有中国神华特色的、以风险为导向的内部控制体系建设，是基于以下考虑：1.3.1 中国神华社会属性的必然要求
中国神华作为一个矿产资源型企业，对于生产安全的要求处于工作的重中之重。在实际工作中，必须坚持以科学发展观为统领，贯彻落实党和国家关于安全发展的方针政策、部署和要求，遵循安全发展的规律，坚定不移的加快推进神华安全发展的战略实施；必须通过推进生产本质安全体系建设夯实安全基础，全面加强安全管理，强化源头治理和隐患整改，提高整体安全素质，推进应急救援体系建设，最终体现在遏止较大以上事故的发生。
中国神华作为一个上市公司，对于经济利益的安全要求也是不容忽视。从企业运行来讲，经济上出了问题，达不到本质安全，也会对企业的健康发展造成很大影响。提高对于经济本质安全的管理，有助于中国神华及所属企业经济活动的健康运行，有助于使全体员工把各项规章制度自觉地转化为行为准则，以切实提高执行力。推进经济本质安全流程化、常态化管理，有助于提升企业管理水平，增强企业核心竞争力；有助于兼顾效率和效益，统筹考虑降低运营风险、提升流程运行效率与提高公司整体效益三者之间的协调关系，找到最佳平衡点，将满足企业近期需要与长远发展相结合；确保经营活动合法合规、资产安全完整不受侵害，将企业经济风险降到最低。
中国神华兼具公众公司及国有企业的双重身份，对于政治稳定的安全要求是来自于社会责任的客观要求。作为公众公司，中国神华必须对股东负责、对公众负责；作为国有企业，全民所有制的本质要求中国神华必须对全民族负责，对国家负责。这样的双重身份，客观上要求中国神华对政治稳定的安全要求超出一般的上市公司，必然要求中国神华塑造由员工心理、情感、态度、信仰所表征的政治体系，有效控制、消除和转化可能造成企业不良政治影响和严重后果的风险事件，使各种危害因素始终处于受控状态，进而逐步趋近本质型、恒久型的政治安全。1.3.2 中国神华运营模式的必然要求
中国神华从成立之初至今，一直实行煤电运一体化的建设和运营模式，充分依托范围经济，有助于降低中国神华的内部交易成本，实现了上下游产业链的连通，整个产业链高度协同、有机联合，每一个环节一环扣一环，提高了整体产业链的运营效率。然而，在提高运营效率、降低成本的同时，中国神华的一体化也使系统性风险的冲击的影响程度更加显著，当这个链条中某一个环节出现问题时，将同时对上下游产业链造成冲击。例如，当出现铁路接触网断线或某个关键路段的火车出轨等风险事件后，该链条就会出现非常大的问题，这是因为高度集中、以上下流产业链为特征的相关多元化的公司，它的系统性风险就会很大，也就是所谓的牵一发而动全身，一着不慎满盘皆输。这与其他做非相关多元化、上下游产业链结合不紧密的公司不同，不能像它们一样能做到东方不亮西方亮，中国神华如果遭遇了这样的系统性风险时，必然是东方不亮西方肯定不亮，最终导致全线都不亮。正因为中国神华的一体化具有这样的运营特点，故而必然要求高度重视风险管理，将风险视为重中之重。1.3.3 中国神华外部监管的必然要求
中国神华作为在香港联交所和上海证交所上市的国有控股公司，必须接受来自于外部的监管要求，做到依法和合规经营。如前文所述，中国神华必须按照香港联交所《企业管制常规守则》、上海证交所《上市公司内部控制指引》、中国证监会有关公司治理规定以及国资委《中央企业全面风险管理指引》的明确规定建立内部控制体系。故而中国神华根据这些来自外部的监管要求，兼顾内部控制与风险管理的建设，结合中国神华实践，最终走出一条有中国神华特色的、以风险为导向的内部控制体系建设之路。1.3.4 中国神华打造风险管理文化的必然要求
笔者在银行业从业之时便经常思考这样一个问题：内部控制究竟是什么？风险管理究竟是什么？以笔者多年的工作实践来看，在管理实务中，中国的管理者很容易把这两块工作想成是某个职能部门（如风险管理部、内控审计部）的具体工作，或是认为风险管理是主营业务的部门管理的一种补充，将风险管理放在与其他企业日常管理同等甚至更低的地位之上，这是让笔者深深担忧的事情。肇始于2008年的金融危机，一方面来自于金融衍生产品的错误运用导致的系统性风险，另一方面恰恰来源于全球主要的金融市场参与者对风险管理的重视不足，两者互相激荡，才使金融危机造成的影响如此沉重且深远。在笔者看来，内部控制与风险管理绝不仅仅是一个部门的日常工作，绝不仅仅是企业架构的一个部分，绝不仅仅是企业运营的一个方面，它更是企业总体运营的灵魂、主心骨、主线、核心。笔者一直坚信，当风险管理建设到最高阶段时将不再有风险管理，因为它已经融入到企业机体的每一滴血液，已经体现在企业的整个机制、每个流程和具体操作之中。故而，笔者在就任中国神华总裁后，便力求将内部控制、风险管理嵌入到中国神华的全流程当中，把内部控制、风险管理的理念融化到中国神华的企业文化当中，使整个机制、流程形成一套自学习、自组织、自适应、自优化的体系，将这些思想贯彻到日常的经营管理活动当中去。而要达到这样的一个目标，首先便是要在中国神华深深地埋下内部控制和风险管理的种子，精心培育、助其成长。
基于以上考虑，中国神华必然要走出一条有中国神华特色的、以风险为导向的内部控制体系建设之路。第2章内部控制与风险管理理论依据2.1 内部控制与风险管理主要理论的发展
内部控制与风险管理作为微观经济管理范畴的概念，是在实践中逐渐产生、发展并完善起来的。内部控制是一个为了提高经营效率和效果，进行高效的风险管理，提供可靠的财务报告，满足各项法律法规和制度提供合理保证的体系。内部控制理论的发展大致可以分为内部牵制、内部控制制度、内部控制结构、内部控制整合框架四个阶段。风险管理则是家庭或企业对其面临的风险，事前运用各种风险管理策略和技术所做的一切处理过程。对于现代企业，风险管理则是通过对风险的识别、评估、衡量和预测，选择有效的手段以尽可能降低成本，有计划地处理风险，以从经济上保证企业的安全生产。风险管理理论的发展可以分为传统风险管理和整体化风险管理两个阶段。2.1.1 内部控制发展历史2.1.1.1 内部牵制阶段
从原始的组织诞生开始，直到20世纪40年代，在这一阶段中，内部控制大体停留在内部牵制阶段。在此阶段，账目间的相互核对是内部控制的主要内容，而设立不兼容岗位则是内部控制的主要方式，这两者在早期被认为是确保所有账目正确无误的一种理想控制方法。
据史料记载，早在公元前3600年以前，内部控制的初级形式——内部牵制，就已经在美索不达米亚文化时期出现了。在当时极为简单的财物管理活动中，经手钱财的人就用各种标志来记录财物的生产和使用情况，以防止财物的丢失和被擅自挪用。而在法老统治时期的埃及中央财政银库里，也已初具内部牵制的雏形：银子、谷物等物品接收时数量的记录、入库时数量的记录与实物的观察、接收数量与入库数量的核对，分别由三名人员完成。仓库的收发存等记录由仓库管理员的上司进行定期检查，以确保记录正确、账实相符。到了古罗马时代，随着会计账簿的设置，尤其是双人记账制的出现，内部牵制的技术措施得到了进一步丰富。
到15世纪末后，随着资本主义经济的初步发展与会计体系的成熟，内部牵制也发展到了一个新的阶段。以意大利出现的复式记账为标志，内部牵制开始慢慢成熟。它以账目间的相互核对为主要内容并实施一定程度的岗位分离，在当时被认为是一种能够确保钱财和财务正确无误的理想控制方法。随着公司制企业的出现，生产资料的所有权与经营权逐渐分离，美国的一些企业为了能提高自己的市场竞争力，攫取更高的剩余价值并防范和揭露错弊，逐渐摸索出一些组织、调节、制约和检查企业生产经营活动的办法，并以此为基础建立了内部牵制制度，规定有关经济业务或事项的处理不能由一个人或一个部门总揽全过程。
而反观我国，在西周时，就闪烁着内部牵制制度的火花，比如“听出入以要会”，便是以会计文书为依据来批准财物收支等事项。当时的统治者为防止掌管和使用财赋的官史弄虚作假甚至贪污盗窃，从而采用了分工牵制和交互考核等办法，达到了“一毫财赋之出，数人之耳目通焉”的程度。到了秦朝时，则已形成严密的上计制度和御史监察制度（上计制度是将地方上的各级官吏所管辖的在一定时期的人口、财物和土地的变动数量以及税收、支出的数量上报给相关官吏接受审计的思想）。至宋朝时，已形成知府与通判联署的做法，由此可见，内部控制制度在我国早已有之。由于中央集权的封建制度在我国的长期影响，社会经济发展及其监控主要由官府来做，主要方式就是职务牵制，而民间组织的发展及其监控则相对薄弱。
这一阶段的内部控制的着眼点在于职责分工、业务流程及其记录上的交叉控制。内部控制主要通过人员配备和职责划分、业务流程、簿记系统等来完成。其目的主要是防止组织内部的错误和舞弊，通过保护组织财产来保障组织运转的有效性。2.1.1.2 内部控制制度阶段
20世纪40年代至70年代，内部控制由内部牵制阶段发展进入内部控制制度阶段。内部控制制度阶段是以内部会计控制为核心，重点是建立健全各种规章制度。
在这一时期，随着工业革命对生产关系的重大变革和股份公司的迅速发展，与手工工厂相适应的仅局限于会计事项完整性的内部牵制已难以满足企业内部管理的现实需求，从而开始注重并实施工作标准化、组织分工等科学方法对内部的经营管理活动进行控制。于是，从20世纪40年代开始，以账户核对和职务分工为主要内容的内部牵制逐步演变为由组织结构、岗位职责、人员条件、业务处理程序、检查标准和内部审计等要素构成的较为严密的内部控制系统。
虽然内部控制的发展动力来自于企业组织发展的需要，但是在这一阶段，审计模式从基础审计发展到制度基础审计，这一转变完成了审计发展史上的一次飞跃，极大地节约了审计成本。制度基础审计的发展有力地推动了对企业内部控制的研究、利用和完善。
1949年美国注册会计师协会（AICPA）所属的审计程序委员会（CPA）发表了《内部控制：系统协调的要素及其对管理部门和独立公共会计师的重要性》（Internal control：Element of Coordinated System and its Importance to Management and the Independent Public Account）的特别报告，第一次提出了内部控制的定义：“内部控制包括一个企业内部为保护资产，审核会计数据的正确性和可靠性，提高经营效率，坚持既定管理方针而采用的组织计划及各种协调方法和措施”。这一定义，突破了以往与财务会计部门直接有关的控制的局限，囊括了成本控制、预算控制、定期报告经营情况、进行统计分析并保证管理部门所制定政策方针的贯彻执行等各方面的内容。
在我国，新中国成立之后，借鉴前苏联社会主义国家模式实行计划经济体制，在社会经济发展上采取高度集中的计划方式，企业经营与规划完全由国家来做，监控也由国家直接进行，以企业为主体的内部控制基本缺失。随后，十一届三中全会确立了改革开放的总方针，国家提出了市场经济的理念并进行全面建设，企业得到了自主发展的广阔空间，加强内部控制的健全运营机制也在其中不断完善健全。
在这一阶段，内部控制开始有了内部会计控制和内部管理控制的划分，主要是通过形成和推行一套内部控制制度来实施控制。内部控制的目标不仅包括保护组织财产的安全，还包括增进会计信息的可靠性、提高经营效率和遵循既定的管理方针。2.1.1.3 内部控制结构阶段
20世纪80年代至90年代初，内部控制的发展进入内部控制结构阶段。客观上而言，这一阶段审计模式的发展与变革仍是推动内部控制发展的决定性力量。内部控制被认为是为合理保证企业特定目标的实现而建立的各种政策和程序，具体分为控制环境、会计制度和控制程序三个方面。
1986年，在经过审计界与会计界的不断探索后，最高审计机关国际组织（INTOSAI）对内部控制进行了重新界定，即“内部控制作为完整的财务和其他控制体系，包括组织结构、方法程序和内部审计。这是由管理者根据总体目标而建立的，目的在于帮助企业经营活动合理化，具有经济性、效率性和效果性；保证管理决策的贯彻；维护资产和资源的安全；保证会计记录的准确和完整，并提供及时、可靠的财务和管理信息”。由此可见，与以往相比，在含义方面，内部控制的定义更加清晰和规范，涵盖范围方面则日趋广泛，内容方面则涵盖了包括内部审计等。
由于审计理论都是后验式的，以一系列的假设为前提，很难与现实完全吻合，由此产生了审计“期望差距”。管理环境开始被纳入内部控制的视线，并引起内部控制各要素的重新划分与结构整合。其里程碑是1988年5月AICPA发布的《审计准则公告第55号》，其中以“内部控制结构”的概念取代了“内部控制制度”，并指出“企业内部控制结构包括为提供达到企业特定目标的合理保证而建立的各种政策和程序。公告认为控制环境、会计制度和控制程序三个要素构成了内部控制的结构。其中，会计制度是内部控制结构的关键要素，控制程序是保证内部控制结构有效运行的机制。这一概念跳出了“制度二分法”的圈子，着重强调了管理者对内部制度的态度、认识和行为等控制环境的重要作用。20世纪80年代末兴起的风险基础审计法便是在这一概念的基础上产生和发展起来的。
我国在这一时期从总结企业已有成效的做法（经济责任制、岗位责任制）入手，同时借鉴国外内部控制的先进研究成果，于1986年由财政部颁发了《会计基础工作规范》，其中对内部控制作了明确的规定。
这一阶段控制环境开始被当做一项重要内容与会计制度和控制程序一起纳入内部控制结构之中，并且不再区分内部会计控制和管理控制。控制环境反映组织的各个利益关系主体（管理当局、所有者和其他利益关系主体）对内部控制的看法、态度和行为；会计制度规定各项经济业务的确认、分析、归类、记录和报告方法，旨在明晰各项资产、负债的经营管理责任；控制程序是管理当局所确定的方针和程序，以保证达到一定的目标。2.1.1.4 内部控制整合框架阶段
随着企业组织形式与经营业务的不断发展，人们对内部控制的认识逐渐深化，内部控制被分为控制机制与控制方法两个层次。控制机制是内部控制的前提与条件，控制方法则是内部控制的关键。过去对控制机制尤其是内部控制中权利配置机制的忽视极大地影响了内部控制功能的发挥，因此，要深化对控制机制的研究，并把它内化、整合为一个有机的框架。
1992年9月美国注册会计师协会（AICPA）与美国会计学会（AAA）、财务执行官协会（MAA）共同组成的资助组织委员会（Committee of Sponsoring Organization of the Tideway Commission，COSO）发布了指导内部控制实践的纲领性文件——COSO研究报告《内部控制——整合框架》（Internal Control——Internal Framework），并于1994年进行了增补。这份报告提出了内部控制的三项目标和五大要素，标志着内部控制进入了一个新的发展阶段。
COSO成立于1985年，旨在通过对商业道德、有效的内部控制和公司治理的研究来改善财务报告的质量。它以一个独立的机构对内部控制进行专门的研究，无疑提高了研究的系统性与深度。COSO于1992年发布的《内部控制——整合框架》被美国及世界上其他国家的不少企业和经济组织所接受，并被融入到各种规章制度之中，用以控制经营活动，实现企业既定的经营目标。COSO委员会指出：“内部控制是由企业董事会、经理阶层以及其他员工实施的，为财务报告的可靠性、经营活动的效率和效果、相关法律法规的遵循性等目标的实现而提供合理保证的过程”，同时指出内部控制由控制环境、风险评估、控制活动、信息与沟通、监控五要素构成。
同以往的内部控制理论及研究成果相比，COSO报告强调：第一，内部控制的对象是单位整个运行过程中的所有要素，包括组织赖以存在的环境因素、内部控制的机制与程序、信息流动等，必须对构筑单位整体的内部控制框架进行全面的考虑与分析；第二，内部控制受企业董事会、管理阶层及其他员工的影响，内部控制的好坏完全取决于制定并执行控制政策和程序的人的素质与观念，如管理者的管理风格与经营理念、内部控制的意识等，故应特别重视人的因素；反过来，内部控制也影响着人的行动；第三，企业内部控制并非只是一个机械的规定或一项制度，管理者应当根据环境条件的变化采取不同的激励与约束措施，灵活地选取适当的控制方式与方法，即内部控制是一个发现问题、解决问题、发现新问题、解决新问题的循环往复的“动态过程”；第四，在现代竞争日趋激烈的社会，任何组织必然面临其内外两方面因素所导致的各种风险，因此管理者必须及时对各种可能的风险加以反映和评估，采取适当的控制措施，以保证内部控制的效率和效果；第五，必须综合采用自然科学和社会科学的各种方法，包括定量分析和定性分析相结合的方法，使内部控制设计的政策、程序与控制措施科学化、合理化与标准化；第六，内部控制是单位管理者采取的一系列控制措施的有机结合，但是不管内部控制的设计、执行如何完善，它也只能为管理者实现组织目标提供合理保证；第七，内部控制本身并不是目的，而是实现组织目标的一种手段或工具。由此可见，内部控制整合框架为关注内部控制的有关各方提供了一个普遍认可、内涵统一的内部控制概念框架和评价方法，其涵盖的范围比以往任何一个概念都更为广泛。2.1.2 风险管理理论发展历史
早在20世纪30年代，风险管理理论便开始萌芽，但直到20世纪80年代末才开始蓬勃发展，这与20世纪80年代末开始的接连不断的金融危机是分不开的，如1987年美国的“黑色星期一”大股灾，1990年的日本股市危机，1992年的欧洲货币危机，1994—1995年的墨西哥比索危机，1997年的亚洲金融危机以及1998年长期资本信用管理公司（LTCM）的倒闭等等。这些事件的发生给世界经济和金融市场的健康发展带来了巨大的破坏，同时也使人们意识到了风险管理的必要性和紧迫性。美国著名金融学家彼得·伯恩斯坦更是在其金融学巨著《与天对弈：关于风险的精彩故事》中宣称，风险管理的极端重要性无论怎么强调都不过分，它甚至“超越了人类在科学、技术和社会制度方面取得的进步”。基于对风险管理重要性的认识和增强人们对风险管理相关问题的理解，本部分将从风险的涵义入手，从传统风险管理到新型的全面风险管理，对风险管理理论及其演进过程进行一次全面的梳理。2.1.2.1 从传统风险管理到整体化风险管理2.1.2.1.1 对风险的认知
对风险的定义和分类，无论是业界还是理论界，长期以来都没有一个统一的界定。在ISO31000风险管理标准推出前，世界上对于风险的定义最多时高达14种，比较常见的定义涉及到不确定性、概率、损失、波动性、危险等含义。归纳起来主要有以下几种：（1）风险是结果的不确定性。
一种观点认为风险等同于结果的不确定性。不确定性是指对事物的未来状态人们不能确切知道或掌握，也就是说人们总是对事物未来的发展与变化缺乏信息与掌控力。根据能否在事前估计事件的最终结果又可将不确定性分为可衡量的不确定性和不可衡量的不确定性两种。从不确定性的角度出发，事物的结果有好有坏，即潜在损失与盈利机会并存。美国经济学家奈特在其名著《风险、不确定性和利润》一书中则认为：风险是可以测定的不确定性。美国的阿瑟·威廉姆斯等在《风险管理与保险》一书中，则将风险定义为：“在给定的情况下和特定的时间内，那些可能发生的结果间的差异。如果肯定只有一个结果发生，则差异为零，风险为零；如果有多种可能结果，则有风险，且差异越大，风险越大。”（2）风险是指各种结果发生的可能性（或概率）。
因为风险是一种不确定的状态，风险与可能性（或概率）（Probability）有着必然的联系。风险是以一定概率存在的各种结果的可能性，具有一定的可度量性，风险导致的各种结果出现的概率总是在0～1之间波动，概率越接近于0，表明发生的可能性越小，概率越接近于1，则说明发生的可能性越大。可能性（或概率）（Probability）是对不确定性的量化描述，是对风险或不确定性的进一步认知。严格意义上来讲，概率比风险的范畴要广，它可以取1或0的值来表示“是”和“否”这两个确定的状态，已经不是风险的范畴。（3）风险是实际结果对期望值的偏离。
在投资学中，风险常常被定义为风险因素变化的波动性（Volatility）。如我们常说的市场风险中的利率风险、汇率风险、股票价格风险都是由于市场风险因素变量围绕其期望值上下波动造成的，计算期望值和方差（或标准差）则是描述这种波动的常用方法。这种将风险定义为波动性的观点主要用于定义易于量化的市场风险。将风险与波动性联系起来的观点实质上是将风险定义为双侧风险，即不仅考虑了不利的波动（下侧风险Downside Risk），还考虑了有利的波动（上侧风险Upside Risk），风险既是损失的可能又是盈利的机会。双侧风险的定义与单侧风险相比，更符合风险管理的发展方向——全面风险管理，更有利于对盈利制造部门和明星交易员的风险管理，而且还为全面经济资本配置和经风险调整的业绩衡量提供了理论基础。（4）风险是损失发生的可能性。
这是典型的传统风险定义，只重视下侧风险，即损失的可能，而将盈利机会排除在外，是典型的单侧风险的概念。基于这个定义，传统的风险管理并不包括对盈利部门的管理。事实上，风险是事前概念，而损失是事后概念，风险是损失或盈利结果的一种可能的状态，在风险事件实际发生前风险就已经存在，而这时损失或盈利并没有发生，一旦损失或盈利发生后，事件处于一种确定的状态，此时风险又不存在了。因此，从严格意义上讲，风险和损失是不能并存的两种状态，这种定义不符合现代风险管理的要求。（5）风险是容易发生的危险。
因为风险同时具有损失性与危险性，故而在理论界中也有一部分人将风险视为容易发生的危险。这种把风险等同于危险的定义同样不符合现代风险管理的要求。风险与危险虽然在日常生活中经常将两者互换使用，但在保险学和风险管理中，将风险简单的理解为危险是不恰当的。风险是结果的不确定性，这种不确定性既可以是坏的方面又可以是好的方面（风险的双侧性），因此风险是一个中性的概念。而危险是单侧的，侧重于坏的方面，是带有贬义色彩的。（6）风险是不确定性对目标的影响。
ISO 31000风险管理标准中对风险的定义是：“不确定性对目标的影响。”这个定义同时考虑了上侧风险和下侧风险，并注重以结果为导向，体现出了很大的灵活性和普适性。该标准作为全球最高级别的标准，将对ISO和IEC的所有其他标准起指导作用并取代全球所有国家的风险管理标准。此风险定义也已得到世界上广大风险管理从业者的认可，本书中所述风险定义以此为准。2.1.2.1.2 风险管理理论发展及思维演变
风险管理（Risk Management）是家庭或企业对其面临的风险，事前运用各种风险管理策略和技术所做的一切处理过程。对于现代企业，风险管理则是通过对风险的识别、评估、衡量和预测，选择有效的手段以尽可能降低成本，有计划地处理风险，从经济上保证企业的安全生产。由此可见，风险管理是一种颇具常识性和系统化的学科或艺术。
风险管理理论真正发展起来经历了传统风险管理和整体化风险管理两个阶段。（1）传统风险管理。
风险管理在人类文明的早期就闪耀着智慧的光辉，借助那些智者的声音予以表达，如中国的古谚“君子不立危墙之下”、孔子所说的“危邦不入，乱邦不居”等均体现着风险管理的思想；而在西方，彼得·伯恩斯坦（P.L.Bernstein（1996））认为，人类在文艺复兴时期就想操控灾害或风险。但在概率论产生之前，因为无法对风险进行量化分析，故而只能够进行朴素的风险分析和风险规避，处于消极的风险管理阶段。
随着概率论（Probability）的产生，人们对于灾害事件的估计开始有了客观的科学根据，这推动了风险理论与实证研究的产生，虽然此时还没有“风险管理”的名词，但与其功能相当的安全管理（Safely Management）与保险（Insurance）已经有了很大的发展，能够通过概率论、大数法则来计算财产和生命的损失分布，开始了对风险的量化管理。在这个阶段的安全管理与保险领域中，风险管理的思维仅限于对客观存在的实体损害的管理。
真正的风险管理起源于20世纪50年代的美国，最初的风险管理以保险行业为代表。风险管理这一名词最早是1930年由美国宾夕法尼亚大学的所罗门·许布纳博士在美国管理协会发起的一项保险问题会议上提出的。而最早论及风险管理的文章出现在1956年的《哈佛商学评论》上，在这篇名为《风险管理——成本控制的新名词》的文章中，拉赛尔·加拉尔（Russell B.Gallagher）建议：希望进一步扩大风险经理（Risk Manager）的权限，希望他们在受限制的纯粹被动与消极转嫁的保险功能以外，能够转化与提升为积极的事前风险管理功能，把保险当成是风险管理的工具之一，而非唯一可行的风险管理工具。并指出，在一个企业中应该有专人负责管理风险，即在企业内部应该有一个全职的“风险管理者”。
1970年到1990年是风险管理发展的重要阶段。这一时期，经济、社会和科学技术迅猛发展，人类开始面临种类逐渐增加，危害日益加大的风险。1979年美国三里岛（Three Mile Island）核电站爆炸事故、1984年印度的美国联合碳化物公司（Union Carbide Bhopal，India）农药厂毒气外泄事故以及1986年前苏联切尔诺贝利（Chernobyl，Formal USSR）核电站爆炸等多起重大科技灾难，对风险管理理念在全球范围的传播与发展，起到了极大的催化与推动作用。与此同时，美国一些大学的商学院也开始讲授一门涉及如何对企业的人员、财产、责任及财务资源等进行保护的新型管理学科，这是风险管理正式在学术领域传授的发端。目前，风险管理已经发展成企业管理中一个具有相对独立功能的管理学科，围绕着企业经营和发展的核心目标，从而使风险管理与企业的经营管理、策略管理一样具有十分重要的作用。（2）新型的整体化风险管理。
1990年以后，风险管理进入了一个全新的阶段——整体化风险管理阶段。整体化风险管理冲破了传统风险管理对风险的狭隘理解，把风险当做一个整体来研究。有两个原因促成了这一时期风险管理的重大转变：第一，由于金融衍生品（Derivatives）使用不当引发了多起金融风暴，促使财务性风险管理有了进一步的发展；第二，保险理财与金融衍生品的整合，打破了保险市场与资本市场间的藩篱，财务再保险（Financial Reinsurance）与巨灾风险债券的出现就是明显的例证。
这种新型的整体化风险管理是站在整个公司角度的风险管理，常常被称作公司风险管理（Corporate Risk Management）或全面风险管理（Enterprise Risk Management），它关注的主要是风险对冲的目的和对整个公司价值的影响，是风险管理理论发展的最新方向。全面风险管理理念的产生是源于COSO委员会对风险管理的研究，COSO认为，对管理者来说，一个非常重大的挑战就是确定某个组织在努力创造价值的过程中准备承受多大的风险。而制定统一定义、能够提供主要原理与概念、具有明确的方向与指南的风险管理框架将有助于企业迎接这一挑战。
基于以上认识，2001年末，COSO启动全面风险管理项目研究，经过两年多的时间，于2004年9月发布《全面风险管理框架》（以下简称“ERM”）的研究报告。该报告标志着全面风险管理理论的建立。
全面风险管理理论的发展丰富了风险管理理论的内容，使得风险管理涵盖的范围越来越广泛，风险管理的实际操作也日益复杂，新的风险管理方式不断涌现。
与此同时，现代金融理论的发展也为全面风险管理提供了理论基础与管理工具。马柯威茨（Markowitz）将“回报”、“效用”这类金融术语与风险联系了起来，其理论为后来的金融学奠定了基础，并被后人发展成为“现代投资组合理论”；布莱克——斯科尔斯——默顿期权定价模型则被称为现代金融风险管理理论发展的里程碑。这个时期的风险管理以金融衍生品定价为主要内容，它站在交易员的角度，主要为交易员解决对冲的技术问题，因此被称为交易员风险管理（Trader Risk Management），该理论为金融工程的发展奠定了基础。投资组合管理理论、衍生产品市场和金融工程的发展为全面风险管理的产生提供了不可或缺的土壤，为企业进行风险管理提供了丰富多样的工具。（3）新型风险管理的范畴。
正如人们对风险存在各种各样的定义，人们对风险管理的范畴也没有统一的看法。人们在风险管理活动中关注的问题包括内部控制、审计、合规、基于风险的投资决策和绩效计量、衍生产品套期保值交易、资产负债管理、准备金提取、保险、计算机系统相关风险（IT风险）等各个方面。从风险因素的角度来看，风险管理包括针对各个风险因子的风险管理活动和从整个金融机构战略管理的角度将各个风险因子整合在一起进行的全面风险管理活动。从金融机构管理风险所使用的工具和方法的角度来看，风险管理活动可以划分为内部控制活动和风险产品交易活动（即金融工程活动）。内部控制活动所使用的工具主要是管理制度、组织架构和审计稽核等，而金融工程所使用的主要工具和方法是风险计量、衍生产品对冲和风险定价补偿等。从针对损失采取措施的角度来看，风险管理活动包括三方面的内容：第一是避免损失发生或减小损失严重程度和降低发生概率的管理活动，主要指各项业务的管理和内部控制活动；第二是将可能发生的损失转嫁给其他机构或市场参与者的活动，主要指保险、再保险转移和衍生产品对冲活动；第三是风险的承担活动，即通过提取准备金或风险定价方式为可能的损失募集资金的活动。从盈利管理的角度来看，风险管理活动包括风险定价、经济资本配置、经风险调整资本回报率和经风险调整业绩衡量等。
从以上的梳理和分析可以看出，传统的风险管理以防范损失为主要内容，而现代风险管理已经远远超越了这一范畴，它不仅包括内部控制和衍生产品交易（风险对冲活动）等防范损失的活动，还包括风险定价、经济资本配置、经风险调整资本回报率、经风险调整业绩衡量等以盈利和回报为中心的风险管理活动。这种风险管理活动已经上
试读结束[说明：试读内容隐藏了图片]