公司治理风险管理指南

本期我们来谈一谈GB/T26317-2010《公司治理风险管理指南》

GB/T26317-2010《公司治理风险管理指南》是在GB/T24353-2009《风险管理 原则与实施指南》的指导下，参考了《OECD公司治理原则》、英国标准协会BSPD6668：2000《公司治理中的风险管理》等标准的技术内容编制而成的。

标准通过明确公司治理风险的环境信息，运用系统的方法和工具对其进行识别、分析、评价和应对，可以有效地管理公司治理过程中出现的风险并确定必要的控制水平。公司可以结合自身的特点和风险管理目标来进行公司治理风险管理，来协调公司与所有利益相关者之间的关系，使得利益相关者之间的利益达到均衡，保证公司经营的持续稳定发展。

标准主要内容分为三个章节，分别是公司治理风险管理原则、公司治理风险管理过程和公司治理风险管理的实施，以及资料性附录-公司治理风险识别示例。

首先我们要了解什么是公司治理，标准给出的定义是公司治理是协调公司利益相关者之间关系的一种制度安排。在公司治理中利益相关者包括股东、董事会、经理层、员工、债权人、客户、供应商和监管机构等。公司治理的目标是为了确保公司的正确决策，实现利益相关者之间的利益均衡，提高公司的绩效，确保公司经营的可持续发展。

有效的公司治理风险管理除了要遵守GB/T24353-2009《风险管理 原则与实施指南》中规定的一般原则外，还需遵循下列原则；

公司治理风险管理的过程包括明确公司治理环境信息、公司治理风险评估、公司治理风险应对和公司治理风险监督和检查

明确公司治理环境信息

公司治理内部环境信息，包括公司内部利益相关者之间的关系及激励与约束机制、公司战略、绩效目标、担保活动和关联交易等重大事项以及相关的信息披露、企业文化等。

公司治理外部环境信息，包括与公司治理有关的法律法规约束、内外部利益相关者之间的关系、与公司有关的资本市场的重要信息、外部审计等中介信息披露以及社会舆论监督等。

公司治理风险评估

公司治理风险评估分为三个步骤，公司治理风险识别、公司治理风险分析和公司治理风险评价。

公司治理风险的识别是指采用适当的风险识别方法和工具，通过识别可能影响公司治理目标的风险源、影响范围、事件及其原因和潜在的后果等，生成公司治理风险列表。

公司治理风险分析是指对识别出的公司治理风险，考虑发生风险的原因和风险源、风险事件发生的可能性以及风险事件的正面和负面后果、影响后果和可能性的因素、不同风险及其风险源的相互关系，还要考虑现有的管理措施的效果和效率、以及公司治理风险的其他特征，并对它进行定性和定量分析，为风险评价和风险应对提供支持。

公司治理风险发生的可能性和后果采用定性、半定量、定量或以上方法的组合的方式，通过专家意见确定或通过对事件或事件组合的结果建模确定，也可通过对调查分析或实验研究可获得的数据推导确定。

公司治理风险发生的可能性和后果，可以通过一个公司治理风险评估矩阵表示出来。

在实际应用中，，要根据表一和表二得到公司治理风险事件发生的可能性和后果与表三对照来确定风险事件的相应分值。

公司治理风险评价是指将风险分析所确定到的结果与公司治理风险管理准则比较，确定风险等级，并结合公司管理层的风险偏好或者风险态度，做出风险应对决策。

在对公司治理风险事件进行评价时，通过公司治理风险分析得出的结果与表4对照，找出对应风险事件的风险区域。

在公司治理风险评估矩阵中，红色区域代表公司治理风险问题很严重，，属于高危区。黄色的颜色区域代表公司治理风险问题其次，绿色的颜色区域代表公司治理风险问题要轻一些甚至可以忽略，可根据每个公司具体情况而定。

公司治理风险应对

公司治理风险应对是根据公司治理风险评价的结果，对需要应对的风险，选择并执行一种或多种改变公司治理风险事件发生的可能性或后果的措施。

风险应对策略包括风险规避、风险优化、风险转移和风险自留等。公司可以根据自己的风险应对策略，制定适当的应对措施。

公司治理风险监督和检查

定期或不定期地监督和检查风险管理措施的实施情况，监控已知风险，并及时发现潜在的风险，在需要时做出调整，有利于维护公司治理风险的可控性。

为了保证公司治理风险管理过程的有效实施，需要建立公司治理组织结构职能、工作程序、资源配置、信息沟通机制以及相关的技术手段和基础设施，并将其贯穿到公司治理的各个层次和各种活动之中，在实践中持续改进和提高。