全面风险管理培训课件

全面风险管理概述2021/5/91授课目标

风险管理的概念和思路实施风险管理与内部控制制度需要考虑的关键因素风险管理与内部控制制度关键因素的系统性及相关性民生人寿风险管理的现状和发展规划帮助大家了解风险管理与内部控制制度的框架包括:2021/5/92目录何为风险？为什么要管理风险？风险管理概述民生人寿的风险管理实践2021/5/93风险的概念中国古人对风险的认识——天有不测风云，人有旦夕祸福。——祸兮福所倚，福兮祸所伏。

现代学界对风险的定义——风险是指在一定情况下的不确定性，此不确定性是指（1）发生与否不确定（2）发生时间不确定（3）发生状况不确定（4）发生的后果严重程度不确定——企业风险指在企业经营的各种活动中发生损失的可能性2021/5/94由于旗下金融产品公司(AIGFP）大量购买和发行以次贷为抵押品的担保债务权证(CDOs)和信用违约互换(CDS)，导致整个集团资金链出现中断，引发次贷危机。原因：-母公司AIG近年来放松了对AIGFP的管治，很少过问其业务-AIG内设工作机制未发挥其应有监督作用-AIG在对超级信用违约互换的估值方面存在严重的缺陷。

89年的经营历史总资产规模超过1万亿美元全球顶级金融保险集团AIG悲剧2021/5/95平安富通事件作为中国保险行业第一个海外战略投资，平安不断买入富通股票，成为富通单一的最大股东。富通股票价值大大缩水，给平安带来238亿元人民币浮亏近95％的伤痛。原因-投资过于激进-投资过于单一。不能把鸡蛋放在同一个篮子里-投资价值未进行有效评估2021/5/96新华人寿挪用资金案前新华人寿董事长关国亮实际控制新华人寿8年间，累计挪用公司资金130亿元，将新华人寿资金大规模用于违规投资、担保或拆借。原因-公司管理缺乏有效性、合规性-资金使用授权管理不健全-监控机制不健全2021/5/97美国安然公司(Enron)倒闭案安然公司曾是美国最大的石油和天然气企业之一，在2000年《财富》世界500强排名第16位2001年末，安然宣布第三季度6.4亿美元的亏损，美国证监会对该公司进行调查，发现该公司在1997以来虚报利润5.8亿美元2001年末，安然申请破产保护令，但在之前10个月内，公司却因股票价格超越预期目标而向董事及高级管理人员发放3.2亿美元的红利2021/5/98安然的董事会及审计委员会均采取不干预(“hands-off”)监控政策事件发生之后，部分董事表示不太了解安然的财务状况、期货及期权的业务安然重视短期的业绩指标安然管理高层常常藐视或推翻公司制定的内控制度调查发现2021/5/99美国世通公司(Worldcom)舞弊案世通是美国第二大电信公司2002年，世通被发现利用把营运性开支反映为资本性开支等弄虚作假的方法，多年来虚报利润735亿美元世通于2002年末申请破产保护令，成为美国历史上最大的破产个案世通的四名主管(包括公司的CEO和CFO)承认串谋讹诈，被联邦法院刑事起诉2021/5/910世通的董事会持续赋予公司的CEO(BernardEbbers)绝对的权力，让他一人独揽大权美国证监会的调查报告指出：世通完全没有制衡机制世通的董事会并没有负起监督管理层的责任世通为公司的高级管理层提供丰厚(不合理)的薪酬和奖金调查发现2021/5/911由案例得出的启示与思考风险无时无处不在，对风险的态度和行为，可以决定企业的兴衰成败过于追求高回报，却忽视随之而来的高风险，迟早会导致严重的损失但风险并非都是坏事，对保险业而言，本身就是在经营风险以获取回报，消极地回避风险，只会被市场淘汰赢家都是能够平衡好增长、收益和风险的强者那优秀的风险管理又是怎样做的呢？2021/5/912调查收到全球111家金融机构的回复，这些机构的总资产超过19万亿美元，其中包括9家中国大中型银行和保险公司。调查显示，49%的受访机构已经完全或充分地将风险管理职责融入高管人员的绩效目标与薪酬决策；77%的受访机构的董事会承担了风险监管与治理的整体责任，而63%的受访机构拥有经正式批准的风险偏好声明；73%的受访机构设有CRO（首席风险官）或同等职位；已有36%的受访机构有全面企业风险管理（enterpriseriskmanagement，ERM），但另有23%的受访机构正在创建中。在资产不少于1,000亿美元的受访机构中，58%已有ERM计划。有ERM计划的机构都觉得该计划非常有价值：85%的高管人员称其ERM计划带来的总价值（包括可计量及不可计量的价值）已经超过了所付出的成本

德勤全球金融服务业风险管理状态调查2021/5/913目录何为风险？为什么要管理风险？风险管理概述—内部控制—风险管理—风险监督民生人寿的风险管理实践2021/5/914风险管理的发展阶段雏形阶段4000多年前，我国皮货商人的损失分担运货；公元前916年国外的共同海损制度等初期阶段，安全管理阶段19世纪40年代以来，现代企业的形成，风险多元化，一些大企业开始重视自己的经营安全问题。保险管理阶段20世纪30年代出现了保险，进入了保险管理的时代，开始运用保险来规避某些常见的风险。风险管理阶段20世纪中期以来，陆续发生了一些重大的人为和自然灾害事件，美国企业界和学术界开始认识到风险管理的重要性。全面风险管理阶段21世纪以来，动态风险管理，整体风险管理，全面风险管理，公司治理，内部控制，上市公司监管有了飞速的发展2021/5/915内部环境战略目标设定风险识别风险评估风险应对控制活动信息与沟通监控经营报告合规分支机构业务单位职能部门企业整体COSO全面风险管理(ERM)的框架COSO是美国全国虚假财务报告委员会下属的发起人委员会的英文缩写。1992年COSO公布了《内部控制—综合框架》（也称“COSO内部控制框架”）并于2004年得到美国证券交易委员会的认同，目前COSO框架已正式成为美国上市公司内部控制框架的参照性标准。四种目标用垂直方向的表示，八个构成要素用水平方向的行表示，一个主体内的各个单元用第三个维度表示。可以从整体上关注一个主体的风险管理，也可以从目标类别、构成要素或主体单元的角度，乃至其中的任何一个分项的角度加以认识。目标要素涉及的管理层级2021/5/916COSO内控框架的渊源《萨班斯·奥克斯利》（SOX）法案—COSO内控框架的应用目的于2002年颁布的萨班斯法案，其目的是确保准确的财务状况报告及公开，以重塑公众对公司营业报告的信任；其核心理念是强化公司高管的财务报告和信息披露的责任，强调公司治理和内部控制的重要性，提高外部审计的独立性。萨班斯法案对企业管理者所需要承担的法律责任更加严格。法案要求上市公司的管理者必须为公司对外披露的财务报告负责，一旦出现类似安然事件的情况，公司的管理者甚至可能会被判入狱。因此许多企业的高层管理人员对此法案高度重视，千方百计地保证企业满足萨班斯法案的要求。

与公司相关度最高的有404条款。2021/5/917404条款管理层对内部控制的评估规定，除对内部控制系统的有效性进行报告之外，上市公司还须负责保持内部控制系统的有效运行。主要内容-管理层对建立和维护与财务报表相关的内部控制充足的责任的声明；-管理层对有关公司最近财务年度末与财务报表相关的内部控制有效性评估的声明；-识别管理层用以评价有关财务报告相关内部控制有效性的框架的声明，以及外部审计师已就管理层的评估结果发表鉴证报告的声明。

2021/5/918全面风险管理八要素风险管理八要素内容内部环境内部环境包含主体的风险管理理念、风险容量、董事会监督、人员诚信和胜任能力、道德价值观、管理层的职责分工和权力分配等。目标设定是指一个主体力图实现什么，包括战略目标、经营目标、报告目标、合规目标等四大类。事件识别是指识别可能对公司的目标达成产生影响的潜在事项，包括代表风险的事项和代表机会的事项，以及可能二者兼有的事项。风险评估风险评估是指公司对已识别的风险进行分析，以便形成如何对其管理的依据。风险对策是指选择和确定应对风险的工具，包括规避、承担、降低和分担风险。控制活动控制活动是企业根据风险评估结果，采用相应有效的控制措施，将风险控制在可承受的范围之内。信息与沟通信息与沟通是公司及时准确地收集、传递与风险管理、内部控制相关的信息，确保信息在公司内部、公司与外部之间进行有效沟通。内部监督内部监督是公司对风险管理、内部控制建立与实施情况进行监督检查，评价内部控制的有效性。发现内部控制缺陷，应当及时加以改进。2021/5/919保险企业风险分类战略风险保险风险市场风险信用风险操作风险业务风险声誉风险流动性风险2021/5/920战略风险保险风险市场风险信用风险操作风险业务风险声誉风险流动性风险由于战略制定和实施的流程无效或经营环境的变化，而导致战略与市场环境和公司能力不匹配的风险。由于死亡率、疾病率、赔付率、退保率等精算假设的实际经验与预期发生偏离而造成损失的风险。2021/5/921战略风险保险风险市场风险信用风险操作风险业务风险声誉风险流动性风险由于利率、汇率、权益价格和商品价格等的不利变动而使公司遭受非预期损失的风险。由于债务人或交易对手不能履行或按时履行其合同义务，或者信用状况的不利变动而导致的风险.2021/5/922战略风险保险风险市场风险信用风险操作风险业务风险声誉风险流动性风险由于不完善的内部操作流程、人员、系统或外部事件而导致直接或间接损失的风险,包括法律及监管合规风险。由于业务收入或费用的不利变动而造成损失的风险。2021/5/923战略风险保险风险市场风险信用风险操作风险业务风险声誉风险流动性风险由于公司品牌及声誉出现负面事件，而使公司遭受损失的风险。在债务到期发生给付义务时，由于没有资金来源或必须以较高的成本融资而导致的风险。2021/5/924保险企业风险管理框架一个基础：企业治理结构二个目标：公司利益最大化；履行保险责任三道防线：内控；风险管理；内部审计管理层CEO第三道防线第二道防线第一道防线业务部门董事会风险管理内部审计审计委员会风险管理委员会2021/5/925企业建立的第一道防线，就是要各业务单位就其战略性风险、信贷风险、市场风场和操作风险等等，系统化地进行分析、确认、度量、管理和监控企业需要把评估风险与内控措施的结果进行记录和存档，对内控措施的有效性不断进行测试和更新第一道防线-内部控制管理层CEO第三道防线第二道防线第一道防线业务部门董事会风险管理内部审计审计委员会风险管理委员会2021/5/926《企业内部控制基本规范》由财政部、证监会、审计署、银监会、保监会联合制定，于2008年6月28日发布，自2009年7月1日起施行。基本规范提出了企业内部控制5要素，对COSO内控框架8要素做了精简。

在《企业内部控制基本规范》基础上,财政部会同证监会、审计署、银监会、保监会制定了《企业内部控制应用指引第1号——组织架构》等18项应用指引、《企业内部控制评价指引》和《企业内部控制审计指引》（以下简称企业内部控制配套指引）。2021/5/927《企业内部控制应用指引》对治理架构、发展战略、人力资源、社会责任、企业文化、资金活动、采购业务等明确了指相关定义、应关注的风险等内容。《企业内部控制评价指引》明确了内部控制评价的内容、程序、内部控制缺陷的认定、内部控制评价报告等。2021/5/928COSO内部控制框架

内部控制将管理、会计等方面控制在预想的范围内，目标是减少风险。2021/5/929内部控制目标合理保证经营管理合法合规、资产安全、财务报告及相关信息可靠，提高经营效率和效果，促进公司实现发展战略内部控制原则全面性原则重要性原则制衡性原则适应性原则成本效益原则2021/5/930COSO内部控制五要素控制环境公司管理活动执行人员的操守，以及管理人员实施管理活动的环境。包括：确立企业文化、树立诚信价值观、管理能力、审计委员会与董事会的影响、管理哲学以及管理风格等内容。风险评估确立目标与机制以识别、分析和管理风险。包括评估可谨慎接受的风险程度、建立在总公司与分公司层面上识别与分析风险的程序、区分风险高低程度、计划控制活动等内容。

2021/5/931控制活动管理当局的指示得以贯彻执行的政策和程序。包括制定政策决定、使政策生效的程序与风险评估结合等内容。信息与沟通及时、准确地收集、传递与内部控制相关的信息，确保信息在企业内部、企业与外部之间进行有效沟通的过程。监督评价一定时期内内部控制执行质量，并在情况变化下对内控进行适当的修改。

2021/5/932内部控制制度框架2021/5/933第二道防线—风险管理现有风险潜在风险风险识别风险评估可能性重大程度评级与应对风险监察风险评级应对评级风险应对—降低—规避—转移—保留检查审计2021/5/934风险识别

风险识别是指查找企业各业务单元、各项重要经营活动及其重要业务流程中有无风险，有哪些风险。风险识别是一项持续性的工作。通过风险识别，将识别出来的各种风险进行整理和归类，形成公司风险库。公司至少每年开展一次全面风险识别工作。2021/5/935识别内部风险应关注的因素-公司治理因素-组织因素-技术因素-经营管理因素识别外部风险应关注的因素-社会因素-经济因素-政治因素-自然因素2021/5/936风险评估积累历史损失数据，建立损失数据库评估内容-风险发生的可能性可能性是风险在指定时间内发生的概率。-影响程度影响程度是当风险发生后，对公司的财务、声誉、监管和营运等方面的影响程度。2021/5/937评估对象-固有风险:是在没有采取任何措施的情况下公司面临的风险。-剩余风险是在公司采取风险应对和控制后公司所面临的风险。风险评估频率-每年至少组织一次风险评估。2021/5/938风险发生的可能性评分可能性说明5几乎肯定在未来12个月内，这项风险几乎肯定会出现至少1次4极可能在未来12个月，这项风险极可能出现1次3可能在未来2至10年内，这项风险可能出现1次2低在未来10至100年内，这项风险可能出现至少1次1极低这项风险出现的可能性极低，估计在100年内出现的可能性少于1次2021/5/939评分损失程度说明5灾难令企业失去继续运作的能力(或占税前利润达20%)4重大对于企业在争取完成其策略性计划和目标，造成重大影响(5-10%税前利润)3中等对于企业在争取完成其策略性计划和目标的过程，在一定程度上造成阻碍(至5%税前利润)2轻微对于企业在争取完成其策略性计划和目标，只造成轻微影响(至1%税前利润)1近乎没有影响程度十分轻微风险对企业造成的影响2021/5/940评分有效性说明5极度过头处理方法能直接针对该项风险，但相信会令企业业绩“倒退”或成本过高4过头处理方法能直接针对该项风险，但由于需要投入大量资源或/及将其他资源转到处理该项风险上，会对企业的效率造成影响3适中处理方法有效针对该项风险，同时并不影响企业的效率2低效处理方法针对该项风险的效果不理想，或投入处理该风险的资源不充分或/及对投入的资源未有适当利用1近乎没有效果处理方法的效果十分低，可能是由于企业根本没有处理方法，又或处理手法不当风险处理方法的效果2021/5/941风险评估工具—风险地图举例影响程度近乎没有轻微中等重大灾难几乎肯定极可能可能低极低BCAGIDJKHEF可能性说明:A–

人力资源风险B–

财务风险C–

竞争风险D–

开发风险E–

过度自信风险F–

系统故障风险G–

主要客户风险H–

欺诈风险I–

政治风险J–

薪酬奖励风险K–

科技风险2021/5/942风险处理组合举例

处理评级风险评级近乎没有效果低效适中超标极度极高高中等低BCAGIDJKHE说明:A–

人力资源风险B–

财务风险C–

竞争风险D–

开发风险E–

过度自信风险F–

系统故障风险G–

主要客户风险H–

欺诈风险I–

政治风险J–

薪酬奖励风险K–

科技风险F采取行动密切监控定期审阅2021/5/943规避-禁止交易-减少或限制交易量-离开市场转移-保险-策略性联盟-出售降低-去杠杆化-套期-订价反映风险程度保留-预留储备-增加监督风险应对策略影响程度大小可能性转移规避降低保留高低2021/5/944风险控制措施建立完善相应的管理政策和制度改善相应业务流程完善相应的内部控制机制建立风险持续监控体系2021/5/945第三道防线——风险监督监督内容对风险管理健全性、合理性、有效性进行监督检查监督层次-各部门和业务单位对自身风险管理监督和自查-风险管理部门对各部门和业务单位风险管理工作实施情况和有效性进行监督检查-审计部门定期对全面风险管理体系与流程执行情况及有效性进行独立监督评价监督内容-持续监督-专项监督2021/5/946第一代（1980之前）第二代（80年代）第三代（90年代）第四代（21世纪）控制企业风险企业风险管理流程控制结构出发点是已有的流程、程序和控制以符合性测试为主出发点是财务风险和符合性风险确定应该存在的控制审计目的是评估控制的设计、运行效果和合规性出发点是对企业和各种风险的充分理解确定应该存在的控制审计目的是评估控制的设计、运行效果和合规性

确定应该存在的能有效控制风险的企业风险管理流程评估在各个企业风险管理流程的设计、运行效果和合规性内部审计的演变历史出发点是对企业和各种风险的充分理解2021/5/947存货盘点发询证函指标考核符合性测试价值评估效率考察协助外审咨询建议……...……….内部审计在现代企业中的角色和职能企业内部活动的监督者防错纠弊的检察员监控企业运作和资源使用的效率和效果协助外部审计人员风险管理咨