内控百问百答(11):如何做风险评估?

背景说明：

风险评估是内部控制的要素之一，同时很多国企每年都要编制专门的风险评估报告。但是如何才能做好风险评估却是很多人心中的疑问。

我的建议：

内部控制基本规范对风险评估的要求主要包括：围绕控制目标做风险评估、内部风险和外部风险因素、风险排序及风险应对策略等几个方面。这其中对于两个问题并没有交代地很清楚：1）什么时候做风险评估？2）从哪个角度切入？

针对第一个问题“什么时候做风险评估？”，我在《内部控制五要素再认识》一文中已有论述：要摆脱那种年末或建设时集中做风险评估的窠臼，把风险评估与其他的日常管理工作相融合。感兴趣的朋友可以参阅此文。

针对第二个问题“从哪个角度切入？”，内控规范有提到围绕“控制目标”做风险评估。那么，到底什么是控制目标呢？

1、管理目标与控制目标

说到控制目标，很多人马上联想到“五目标”，即经营目标、资产目标、财报目标、经营目标和战略目标。在我看来，“五目标”这个词语很容易把人带到沟里，因为，它让人模糊了管理目标和控制目标的区别。

图：管理目标VS控制目标

如上图所示，左边一栏都是管理目标，右边一栏才是控制目标。因此，控制目标的重点在于管理目标之前的动词：合理保证、提高及促进。简单说，控制目标就是提高管理目标实现的可能性。

区分管理目标和控制目标为什么这么重要？一是明确内部控制不能解决所有问题，该管理解决的问题就该由管理解决，内控不能无原则地做背锅侠。二是明确控制目标是基于管理目标的。因为风险评估是基于控制目标的，而控制目标又是基于管理目标的，因此，如果没有管理目标或管理目标模糊，则风险控制就会出现偏差。

2、变通：基于流程/职能的风险评估

在遇到上述困境的时候，一个惯常的变通之法就是围绕流程/职能做风险评估，即所谓对标。这个标有可能是18项应用指引，也有可能是其他企业的最佳管理实践。

我在《原创｜内控百问百答（10）：管理本质对内控意味着什么？》一文中说过，在y=f(x)的这个管理方程式中，目标第一（y），流程第二（f()）。也就是说，好的流程应该是随目标而变的，因此，不太可能存在一个适用于所有企业的流程体系（或职能体系）。

所以，基于流程/职能的风险评估可能出现两个问题：

1）有重要的指标（管理目标）没有覆盖到。比如，销售额目标（这对所有企业来说都是最重要的管理目标）无法达成，除了授信管理外，是否还有其他的流程来应对？

2）部分领域存在控制过度问题。比如，项目中被客户问到“为什么要增加这个控制点”时，你是不是经常语塞？再比如，风险清单是不是被客户质疑“换个抬头就可以给另外一家公司用？”这都是因为你没有瞄准就开枪的缘故！

当然，我并不是说基于流程/职能的风险评估是错误的，而是说仅仅凭借这种风险评估方式是不够的。这种方式适合于没有内控体系的企业，快速建立一个内控体系框架；但要让内控正真发挥作用，则尚需更上一层楼。在设置绩效指标体系时顺道以这些指标为靶子做一次针对性很强的风险评估。就好比买衣服一样，先买一套大批量制造的成衣穿起来；但要贴身，还是需要量身定制。

3、嬗变：基于指标体系的风险评估

风险评估的理想状态，应该是基于管理目标进行风险评估：由管理目标而得控制目标，由控制目标而得风险。而管理目标（这里的目标是指具体目标而不是一般目标）的具体表现就是指标体系。战略规划时用到它，编制预算时用到它，绩效管理时也用到它，至此，内控才能与其他管理手段有效融合。

具体的管理目标是不断变化和调整的，因此，其风险也是不断变化的。由此自然而然就可以得出结论：内控体系也是需要不断更新的。反之，按照职能/流程去评估风险、建立内控体系，则如果职能/流程不变，内控体系也不需要改变（存在设计缺陷另论），这显然是违背y=f(x)的逻辑的。

综合上述内容，风险评估的最佳STYLE，是先按照流程/职能进行风险评估，建立内控框架；然后，每年按照指标体系进行风险评估，进行补充和完善（包括完善流程和完善内控两方面工作）。

4、管理之痛VS内控之痒

理想很丰满，现实很骨感。在实务中，运用基于指标体系的风险评估方法面临的最大的挑战，就是企业要有一套适当的指标体系。如何判断指标体系是否适当？

首先，就单个指标而言，应当符合SMART原则（S=Specific、M=Measurable、A=Attainable、R=Relevant、T=Time-based）。

其次，指标之间有逻辑关系。从最原始的使命愿景开始分解，到战略性指标，到经营性指标，到部门和岗位指标，不同指标之间是相互支撑和相互勾稽的。但在实务中，我们经常能看到的却是战略和使命愿景不相关、战略目标与年度经营目标不相关、KPI与全面预算内容不相关、结果性指标没有过程性指标支撑等等现象。比如，对于销售额指标，只是细分到每个业务部门和业务员，而没有配套大客户渗透率、新客户开发数量、LD CALLS数量等绩效指标。

有适当的管理目标，控制目标不一定能有助于管理目标实现；但没有适当的管理目标，则控制目标一定无法有助于管理目标的实现。既然中国式内容即要解决流程问题，又要解决目标问题，这就为内控从业人员提供了无限的舞台，问题是你能够为企业设计一个指标体系吗？