14条你可能没听过的风险监督原则

甫瀚咨询Protiviti

当领导层被大量的数据淹没，难以提炼出有效的知识和洞察时，风险报告显然需要优化。在数字化时代，风险报告应根据高管和董事的需求变化持续迭代。实时数据集成和 AI 数据分析，能够整合不同系统中的各类内外部信息，实现持续风险监测；交互式仪表盘让数据更透明直观；自动化采集和生成报告，可以减少人工失误、节省时间，并确保及时送达决策者和利益相关方。数字化工具使持续保持风险报告的新鲜感和信息密度成为必然。

建立向上报送风险的通道（直至董事会）固然重要，但同样关键的是，把识别、评估、应对和报告风险的能力，按照组织自身的运营和管理方式，嵌入到业务中。否则，这套企业风险管理（ERM）机制，本意是辅助决策，却可能沦为核心管理流程之外的附属物，难以发挥真正作用。

数字化转型是当前的重头戏。各业务职能都在借助数字化手段提升质量、效率和成本表现。风险管理是否同步跟进？如果风险管理人员仍耗费大量时间手工编制报表和演示材料，而决策者无法获得实时风险信息，那么风险管理的价值迟早会受到质疑。

风险管理要取得良好效果，离不开多元视角对战略决策的支持：包括客服、生产、采购等一线管理者的意见。甫瀚咨询Protiviti与北卡罗来纳州立大学过去14年的年度调研显示，C级高管与董事对风险的看法往往存在差异。因此，广泛参与有助于让风险应对更加贴近实际。即便在数字化时代，协作和多样化视角依然是稳健风险讨论与监测的基础。简言之，被充分讨论的风险，更容易被充分理解。

人们常有“坏事不会落到自己头上”的倾向，但真正的准备需要思考“如果发生了会怎样”。例如，网络攻击、自然灾害、供应链中断，在发生之前常被认为概率极低，但一旦发生，缺乏准备者往往承受更严重的后果。

目前，能够明确说出某位首席风险官曾提醒“组织过于保守”的高管或董事并不多。风险固然重要，但不得不承认，若风险讨论不关联机会，则对那些专注于业务转型、营收增长和利润提升的高层领导者吸引力有限。除非风险讨论能就某一重大威胁提供此前未被充分认识的新洞察和决策选项，否则，单纯聚焦风险可能被解读为对探索机会的限制——尽管在某些情况下，风险确实应当作为约束条件。而“机会”更贴近增长逻辑，也是高管和董事会关注的重点。因此，将风险与机会相关联的讨论，更容易引起高层重视。

激励方式会影响行为、决策和整体文化。设计得当，可以推动个人和团队关注风险、合规和主动防范；设计不当，则可能诱发过度冒险：2007-2008年的金融危机便是例证。通过优化激励结构，强化问责、促进协作并突出风险意识，组织能够在追求目标的同时提升风险应对能力。有效的激励体系应在机会探索与控制架构之间保持适度平衡，避免任何一方过度倾斜。

当前市场环境下，灵活性及快速调整方向的能力尤为关键。所有风险都很重要，但在颠覆性市场中，某些风险可能具有决定性意义。2007-2008年金融危机期间，部分机构通过对特定市场资产价值的测试，在美国房价普遍下跌成为共识前就已察觉趋势，提前约14个月减少敞口，这一时间差带来了显著优势。较早退出过时战略的机构，最终往往处于更有利的位置。

定期风险评估会产生风险清单，但如果评估后没有进一步行动，那只能称为“企业清单管理”，而非“企业风险管理”。管理层需要在业务计划中纳入具体措施，应对优先级较高的风险，并明确责任人和执行时限。

在组织最高层，关于“为实现目标愿意接受多大风险”的风险偏好讨论，是使风险承担与战略、文化和价值观保持一致的基础。这并非简单的文档编制。若能有效运用，风险偏好对话能帮助管理者理解由顶层确定的收益—风险权衡，从而为制定可实施决策提供了关键前提条件，以及为资本和资源的配置提供依据，使投入方向与组织的风险承受能力相匹配。它作为战略工具和指导框架，也能将第二道防线风险职能从“障碍”转变为“安全追求机会的合作伙伴”。若缺乏这一共识，决策过程可能趋于随意、缺乏方向、不一致且节奏迟缓。

风险监督驱动决策，而业务运作速度也决定了监督的节奏。决策质量本身并不足够：许多大公司决策质量不低，但速度偏慢。快速决策意味着简化流程、避免过度架构、减少过度规划、以客户为先、接受经过计算的风险、重视反馈。多数决策在掌握约70%必要信息时即可作出；等待更充分的信息往往延缓进度。领导者可在执行过程中持续调整，并及时纠正偏差。

审慎的决策者在制定战略和规划风险应对时，会考虑可能出现的非预期后果。企业在相互关联的环境中运营，某领域的行动可能在别处引发连锁影响，进而导致财务损失、声誉受损、监管处罚或运营中断。例如，裁员可能影响文化和士气，技术升级可能引入新的安全风险。提前预判这些可能性，有助于作出更周全的决策和准备。

在协作、透明、开放的文化氛围下，各职能部门和业务单元负责人之间日常自发交流：关于影响、计划、执行和应对决策，往往是整个组织范围内讨论风险最自然、最有效的时机。这种风险意识和敏感度，反映出“人人共担风险责任”的文化。如果这类对话能在公司内自然发生，其影响力不亚于高管层和董事会层面的正式会议。

任何决策都内含风险。无论组织是否明确承认，其风险偏好始终存在。将风险纳入决策流程，是负责任地追求增长的必经之路。长期来看，未能识别或应对风险，可能带来财务损失、声誉损害，也会错失创新机会。

总而言之，对组织风险的理解和管理，离不开坚持、细致和战略思维。正如“无限风光在险峰”所表达的，有效的风险监督虽有挑战，但能为更优决策和更强韧性提供有价值的洞察。最终，扎实的风险管理有助于组织在不确定性中更稳健地实现目标。

以上内容，连同笔者上一篇文章中的观点，希望能为加强 ERM 和风险监督的有效性提供一些思路。当然，风险原则远不止这些，但上述14条，或可作为一个讨论的起点。

张国昌

董事总经理，中国区负责人及上海分公司负责人

David.Cheung@protiviti.com.cn

崔楠

董事总经理，中国区联合负责人及北京分公司负责人

Tracy.Cui@protiviti.com.cn

麦欣茵

董事总经理，深圳分公司负责人

Christina.Mai@protiviti.com.cn

唐尧

董事总经理，成都分公司负责人

Daniel.Tang@protiviti.com.cn

转载声明：本文须原文转载，不得修改，且须标注转载来源：甫瀚咨询Protiviti。如有编辑需求，请联系我们。