作为一名在注会行业摸爬滚打多年的从业者，我看过无数企业的账本，也见证过无数商业帝国的兴衰，每当我和企业老板或者CFO们坐下来喝茶聊天，话题往往离不开“增长”和“利润”，但每当提到“企业全面风险管理”（Enterprise Risk Management，简称ERM）时，空气往往会突然安静下来,甚至有人会下意识地皱起眉头。
在很多人的潜意识里，风险管理就像是那个在派对上负责没收酒杯的严厉保安，或者是那个总是在你准备超车时跳出来大喊“慢点”的副驾驶，大家觉得它繁琐、昂贵,甚至是阻碍业务发展的绊脚石。
但我想说，这种观念不仅过时，而且危险，在这个充满了“黑天鹅”和“灰犀牛”的VUCA时代（易变性、不确定性、复杂性、模糊性），企业全面风险管理早已不再是审计师的“紧箍咒”，它是企业穿越经济周期的“生存锦囊”，更是你在激流中行船时的“压舱石”。
我想抛开那些晦涩的教科书定义，用更贴近生活、更人性化的视角,来聊聊我对企业全面风险管理的真实看法。
别把“免疫系统”当成“止痛药”
我们得搞清楚一个最根本的认知误区。
很多企业找我做咨询，一上来就问：“老师，我们最近想上个ERP系统，顺便把风控模块加上，能不能帮我们设计一套流程，防止员工偷懒、防止采购吃回扣？”
你看，这就是典型的把风险管理当成了“止痛药”，哪里痛医哪里，出了事才想起来要补窟窿，这就像一个人平时天天熬夜、暴饮暴食，直到有一天胃疼得受不了，才跑去医院开药，药吃下去，疼是不疼了，但病根没除,下次还得犯。
真正的企业全面风险管理，应该是人体的“免疫系统”。
你想想看，一个健康的人，免疫系统是无时无刻不在工作的，它帮你抵御病毒，清理异常细胞，甚至在你还没察觉到有细菌入侵的时候，身体就已经在打一场无声的胜仗了，你不需要时刻意识到它的存在，但一旦它失效,生命就会受到威胁。
我个人的观点是：优秀的企业，其风险管理是“润物细无声”的。 它不是贴在墙上厚厚的SOP（标准作业程序）手册，而是融入在每一次决策、每一笔付款、每一个员工举手投足的习惯里。
举个生活中的例子，这就好比我们家里的水电煤气系统，风险管理不是让你在房子着火了才去买灭火器，而是你在装修时就会选择阻燃材料，会定期检查老化的线路，会在厨房里装一个燃气泄漏报警器，这些事情看起来很麻烦，甚至增加了装修成本，但当那个暴雨的夜晚来临，邻居都在因为电路短路跳闸而手忙脚乱时，你家里依然灯火通明，安然无恙，那一刻，你就会明白，之前的每一分投入和每一次“麻烦”,都是值得的。
风险的本质，其实是“人性”的游戏
在注会审计的现场，我们有一套非常严密的逻辑框架，比如COSO框架，讲什么控制环境、风险评估、控制活动，这些当然很重要，但在我看来，企业全面风险管理的核心，从来不是冷冰冰的数字和流程，而是热腾腾的人性。
所有的风险,归根结底都是人的风险。
我曾经审计过一家颇具规模的制造企业，他们的制度堪称完美，采购流程五步审批，财务复核三道关卡，按理说，这应该固若金汤，但结果呢？他们的一名资深采购经理，利用供应商的“拆单”手法，把一笔大额采购拆分成几十笔小额采购，刚好卡在审批权限的门槛之下,几年间吃掉了上百万的回扣。
为什么？因为制度是死的，人是活的，那个采购经理是公司的“老人”，大家都信任他，财务在复核时看到他的名字，潜意识里就放松了警惕，这就是“信任风险”和“道德风险”。
在生活里，这就像我们管教孩子，你给孩子定了一堆规矩：“不许吃糖”、“不许看电视”，但如果你不在家，或者你平时对孩子溺爱无度，孩子就会想方设法钻空子，他会把糖藏在口袋里吃,会在你睡着后偷偷打开电视。
做风险管理，其实是在做“人性管理”。
这就引出了我的一个重要观点：不要试图用流程去挑战人性，而要用机制去引导人性。
如果你想让采购不吃回扣，光靠严刑峻法是不够的，你要给采购合理的薪酬，让他觉得为了那点回扣丢掉高薪工作不划算；你要定期轮岗，让他无法形成长期的利益同盟；你甚至要建立供应商的透明竞争机制,让价格暴露在阳光下。
这就像治理洪水，大禹治水之所以成功，是因为他“疏”而不是“堵”，企业全面风险管理，就是要设计一套机制，让员工在为公司创造价值的同时，自然而然地规避掉风险，而不是让他们觉得“规避风险”是公司强加给他们的枷锁。
战略风险：别在泰坦尼克号上争头等舱
我们常说，风险分为战略风险、经营风险、财务风险和合规风险，但在实际工作中，我发现很多老板最关注的是财务风险（钱够不够花）和合规风险（会不会被罚）,却往往忽视了最致命的战略风险。
这让我想起一个经典的笑话：如果你在泰坦尼克号上，你争到了头等舱，坐到了最舒服的位置，甚至把船票钱砍到了最低，这有意义吗？船都要沉了，你的“优秀经营”毫无价值。
企业全面风险管理必须站在战略的高度。
我见过一家做传统胶卷的企业，在数码相机刚刚萌芽的时候，他们的财务状况非常好，现金流充沛，内部管理井井有条，如果只看财务报表，这是一家完美的公司，他们忽视了技术变革带来的战略风险，他们以为只要把胶卷做得更便宜、画质更好就能赢，结果呢？当数码时代全面到来,他们瞬间崩塌。
在生活里，这就像一个人拼命锻炼身体，每天吃最健康的有机食品，作息极其规律，但他每天坚持在马路中间晨跑，而且还要戴着耳机听歌，无论他的身体机能多么强大，一旦大货车开过来,一切归零。
作为专业人士，我必须直言不讳地指出：很多中国企业现在的“内卷”，其实是在战术上的勤奋，掩盖了战略上的懒惰。 大家都在拼价格、拼效率、拼成本控制，却很少有人抬头看看,路是不是走对了。
企业全面风险管理要求我们在做决策时，必须要有“第二思维”，当你觉得一个项目前景一片大好，利润率高达50%时，风险管理的思维就要跳出来问：这么好的事，凭什么轮到我？有没有什么我没看到的陷阱？市场环境变了怎么办？技术被颠覆了怎么办？
这种思维不是泼冷水，而是为了让你在冲向悬崖之前,哪怕早一秒踩下刹车。
建立“三道防线”，别让老板一个人扛
在实操层面，企业全面风险管理强调“三道防线”。
- 第一道防线是业务部门（比如销售、采购）。
- 第二道防线是风控、合规、财务部门。
- 第三道防线是内部审计。
这个理论大家都很熟,但执行起来往往变味。
最常见的怪象是：业务部门觉得“我负责冲锋陷阵，风险是你们风控部门的事”，他们只管签单，不管回款；只管扩产，不管库存，一旦出事，就甩锅给风控部门：“你们当时怎么没提醒我？”
而风控部门呢，往往变成了“否决部门”，不管你提什么方案，他都说“这有风险，那不行”,最后搞得业务部门寸步难行。
这完全搞错了方向。
我认为，风险管理的第一责任人，必须是业务部门的主管，甚至是一线员工。
这就好比一个足球队。
- 业务部门是前锋，他们的职责是进球，如果球丢了，前锋必须第一时间反抢,这就是第一道防线。
- 风控和财务是中场和后卫,负责补位和协防。
- 内审和审计委员会是守门员,是最后一道屏障。
如果前锋丢了球就站在那里等后卫去抢,这支球队早就被打成筛子了。
生活实例是最好的说明，在一个家庭里，理财也是一样的道理，如果负责赚钱的老公（业务部门）只知道拼命工作、把钱拿回家，却不知道家里有多少存款、每个月房贷多少、孩子学费要交多少（财务风险），甚至在外面乱投资、乱担保（战略风险），那么哪怕他赚再多的钱,这个家也随时可能破产。
而负责管钱的老婆（风控部门），如果只是一味地锁死钱柜，不给老公任何投资机会，也不去了解市场,这个家也就失去了增长的动力。
好的家庭风险管理，是两个人坐下来，共同商量：这个钱怎么投？如果亏了怎么办？我们需要留多少备用金？这就是“三道防线”的协同作战。
审计师的独白：我们不是来找茬的
我想以一个注册会计师的身份,聊聊我们在企业全面风险管理中的角色。
很多企业看到我们来审计，就像看到“鬼子进村”一样紧张，财务部通宵加班补凭证，业务部把乱七八糟的文件藏起来，大家觉得我们是来找麻烦的,是来扣分的。
真正的审计师，是企业的“医生”。
医生给你做体检，查出脂肪肝，不是为了嘲笑你胖，也不是为了让你不吃饭，而是为了提醒你：再这样下去，你可能会得肝炎甚至肝硬化，医生给你开出的药方（管理建议书），是为了让你活得更久、更健康。
我看过一份最痛心的审计报告，是在我们审计一家即将破产的上市公司时，翻看他们前几年的审计报告，其实我们早就指出了他们的“资金链断裂风险”和“单一客户依赖风险”，但当时，老板正沉浸在股价上涨的喜悦中，觉得我们这些警告都是“书生之见”,是阻碍他扩张的废话。
几年后，当那位老板在清算会议上痛哭流涕时，我内心毫无胜利的喜悦,只有深深的无奈。
企业全面风险管理最悲哀的事情，不是发现了无法解决的风险，而是明明看到了悬崖，却没有人愿意踩刹车。
拥抱风险，而不是逃离
写到这里,我想总结一下我的核心观点。
企业全面风险管理，不是为了消灭风险，在这个世界上，没有零风险的企业，除非它不做事。零风险，意味着零收益。
做企业，就像在大海里航行，你无法命令大海永远风平浪静，那不是你能控制的，你能做的，是检查你的船体是否坚固（内部控制），是训练你的水手是否专业（人员素质），是时刻关注气象云图（风险预警），是备好救生艇（应急预案）。
在这个充满不确定性的时代，唯一确定的就是“变化”本身。
不要等到暴风雨把桅杆折断了，才想起去修补风帆，不要等到狼真的来了,才想起去加固羊圈。
企业全面风险管理，是一种生存的智慧，更是一种对员工、对股东、对社会负责的态度。 它需要老板的重视，需要全员的参与,更需要时间的沉淀。
希望每一个正在商海搏击的朋友，都能从“被动防风险”走向“主动驭风险”，愿你的企业，既有乘风破浪的勇气,也有闲看庭前花开花落的底气。
这,才是真正的高手。
还没有评论，来说两句吧...