企业风险管理：从COSO1992说起

1. 企业风险管理：从COSO1992说起

当我们在谈论“企业风险管理”这一概念时，可能会感到困惑，“风险管理”和“内部控制”的边界和交叉在哪里？“企业风险管理”与“风险管理”有怎样的延申和细化？“全面风险管理”与“企业风险管理”有什么不同？“COSO”、“ISO31000”、“巴塞尔协议”、“偿二代”是什么？
  
 审计师、内部审计师、风险管理师的角色和专业能力要求有着怎样的不同？
  
 追根溯源，业界常用的这些名词来自哪里？
  
  COSO 是 The Committee of Sponsoring Organization of The National Commission of Fraudulent Financial Reporting 的缩写（即美国全国虚假财务报告委员会），更精确地讲，是该委员会下属的Treadway委员会。
  
 1992年Treadway委员会发布第一版COSO框架，即COSO1992，全称《内部控制-整体框架》（Internal Control-Integrated Framework），报告的第一部分是概括，第二部分定义了内部控制框架的内容，介绍了内部控制系统的规则，第三部分是对外部团体的报告，是为报告编制报表中的内部控制团体提供指南的补充文件，第四部分是评价工具，提供用以评价内部控制系统的有用材料。
  
 在1992版中，COSO提出“内部控制”的目标是“促进效率、减少资产损失风险、帮助保证财务报告的可靠性和对法律法规的遵从”，提出 内部控制的三个目标 ：
  
 1、 促进经营更有效率 ，实现绩效以及利润，保障资源的获取和经营安全；
  
 2、保证 财务报告的可靠性 ，中期报表、合并报表中选取数据的可靠性
  
 3、 符合法律法规 
  
 从COSO1992的目标设计看，更多地着眼于财务报表的可靠性、经营流程的安全性。
  
 COSO1992提出内部控制的 五项 构成 要素 ：控制环境、风险评估、控制活动、信息和交流、监控。
  
 
  
                                          
  控制环境 包括组织人员的诚信与能力，管理层的经营模式、责任分配、人力资源管理、董事会的战略（控制环境是其他部分的基础）。
  
  风险评估 指确认和分析实现目标过程中的相关风险，是形成管理何种风险的依据，它穗经济、行业、监管和经营条件不断变化，需建立一套机制来辨认和处理相应的风险。
  
  控制活动 是帮助执行管理指令的政策和程序，它贯穿整个组织、各种层次和功能，包括各种活动如批准、授权、证实、调整、经营绩效评价、资产保护与职责分离等。
  
  信息和交流 ，信息的处理通过信息系统实现，包括经营、财务、守规等方面，使得对经营的控制成为可能。信息系统产生各种报告。人员应明确自己在系统中的位置和相互关系，完成自己的责任，同外部团体和股东进行有效沟通。
  
  监控 在经营过程中进行，监控管理控制活动以及员工执行职责过程中的活动，来评价系统运作的质量。不同评价的范围和步骤取决于风险的评估和执行中的监控程序的有效性。内部控制的缺陷应被及时上报，甚至报告到董事会。
  
 COSO1992对角色及其责任的理解是这样的：
  
 内部审计师评价控制系统的有效性，对公司的治理机构行使监管的职能。外部审计师提供客观独立的评价，通过财报审计直接向管理层提供有用信息。
  
 COSO1992提出“内部控制”是一个“过程”，由前述控制环境、风险评估、控制活动、信息与交流、监控五要素组成，这五要素间的关系是贯彻交叉、反复进行的。COSO1992还强调“人”的重要性，提出“人和环境是推动企业发展的引擎”，企业员工清楚他们在内部控制系统中的位置和角色，协调一致，是推荐内部控制有效运转的前提，董事会成员同样与内部控制有关，客观、主动、有调查精神的董事会能够及时修正经理人的不合规行为。
  
 1992年之后，对COSO内部控制框架局限性的讨论从未停止。几个常见的观点包括：
  
 1、董事会实际上与内部控制是至关重要的关系，不仅仅是存在联系。
  
 2、COSO建议使用“管理报告”反映内部控制运行状态，此报告的信息含量和可靠性值得怀疑。一，企业存在隐瞒问题的动机。二，报告评级某一时点的内部控制情况，不包含在时点之前存在的但已被发现和更正的内部控制缺陷。三，报告的范围仅限于“与财务报告有关的内部控制”，财报是对经营结果的反映，内部控制系统的评估和持续监测没有纳入报告的范围。
  
 3、COSO报告中的“合理保证”、“成本效益配比”属于会计术语，易读性不足。
  
 4、内部控制系统中不包含目标设定、战略规划、核心竞争力培育、风险评估与管理等重要经营管理活动，虽然COSO支出内部控制与管理各功能交织，内置于企业经营活动之中。
  
 5、评价内部控制有效性标准，依赖于三类目标、五类要素的实现程度，但评价标准基本是主观判断。
  
 6、内部控制系统中会计与审计色彩浓重，风险管理被动，与业务拓展关系疏远。
  
 随着版本的更新，可以看到，在最新版的COSO2017中，这些问题在相当程度上被慎重考虑，并进行了部分解决，这也是为什么COSO从“内部控制框架”改名为“风险管理框架”。对于变化的核心，我个人的粗浅理解是从财报、合规为核心向业务流程更加靠拢，从静态的时点监控向主动的预测、持续的管理转型。（欢迎探讨）
  
 尽管已经不再使用，COSO1992依然具有很高的参考意义，其所提出的内部控制的概念、对财务报告的监管、对企业经营的驱动都是对市场财务舞弊反制的有力探索。要学习今天的风险管理框架，COSO1992是值得回顾的里程碑。

2. COSO内部控制与企业风险管理整合框架的比较

1、COSO内部控制框架认为，内部控制系统是由控制环境、风险评估、内控活动、信息与沟通、监督五要素组成，它们取决于管理层经营企业的方式，并融入管理过程本身，其相互关系可以用其模型表示。
2、企业风险管理整合框架在内部控制整合框架的基础上增加了一个新观念，一个战略目标，两个概念和三个要素。即风险组合观，战略目标，风险偏好、风险容限的概念以及目标设定、事项识别、风险应对要素。
①在内部控制郑和框架的基础上，企业风险管理框架引入了风险组合观。
②内部控制整合框架将企业的目标分成三类，即经营目标、报告目标、合规性目标。
③企业风险管理构架引入风险偏好和风险容限两个概念。

温馨提示：以上信息仅供参考。
应答时间：2021-04-08，最新业务变化请以平安银行官网公布为准。 
[平安银行我知道]想要知道更多？快来看“平安银行我知道”吧~ 
https://b.pingan.com.cn/paim/iknow/index.html

3. 按照COSO最新定义,谈谈企业如何实施风险管理。

您好COSO 内部控制体系概要内部控制的内容， 归根结底是由基本要素组成的。 这些要素及其构成方式， 决定着内部控制的内容与形式。【摘要】
按照COSO最新定义,谈谈企业如何实施风险管理。【提问】
您好COSO 内部控制体系概要内部控制的内容， 归根结底是由基本要素组成的。 这些要素及其构成方式， 决定着内部控制的内容与形式。【回答】
COSO全面风险管理的定义是指风险管理是一个过程，它由一个主体的董事会、管理当局和其他人员实施，应用于战略制定并贯穿于企业之中，旨在识别可能会影响主体的潜在事项，管理风险以使其在该主体的风险偏好之内，并为主体目标的实现提供合理保证【回答】

4. 结合coso内部控制与风险管理的最新成果,你认为我国内部控制规范体系应如何完善

亲，您好[鲜花]，很高兴为您解答！我国内部控制规范体系完善：（一)内部控制概念对COSO内部控制概念可以从3个方面来理解：1.内部控制是动态过程。内部控制是一个过程，是实现目标的手段，而不是结果本身。组织目标是由组织的宗旨决定的。它包括具体目标和实现目标的效率。内部控制是防止那些可能影响组织目标有效率地实现的风险因素造成实际损失、或者使损失降低到最低限度的，贯穿于组织各项活动中的一系列行为或措施。环境影响内部控制，内部控制随环境变化而变化。2.内部控制受人员沟通程度的影响。内部控制受到组织内各层次人员的影响，而不仅仅是简单地制定出一本制度手册或规章。单纯的规章制度只是一种机械的控制措施。组织虽然按照规章制度来运行，但人是具有个人目标、个人情感的能动性个体，他们可以在很大程度上影响规章制度的实施效率和效果。他们的行为可能受到其个人利益的驱使，也可能受其误解或抵触情绪的驱使。因此，内部控制必须建立在充分沟通的基础上。内部控制提供的是合理保证。对管理层或董事会而言，内部控制提供的3.只是合理的保证，而不是绝对的保证。内部控制措施，无论设计得多么完美、【摘要】
结合coso内部控制与风险管理的最新成果,你认为我国内部控制规范体系应如何完善【提问】
亲，您好[鲜花]，很高兴为您解答！我国内部控制规范体系完善：（一)内部控制概念对COSO内部控制概念可以从3个方面来理解：1.内部控制是动态过程。内部控制是一个过程，是实现目标的手段，而不是结果本身。组织目标是由组织的宗旨决定的。它包括具体目标和实现目标的效率。内部控制是防止那些可能影响组织目标有效率地实现的风险因素造成实际损失、或者使损失降低到最低限度的，贯穿于组织各项活动中的一系列行为或措施。环境影响内部控制，内部控制随环境变化而变化。2.内部控制受人员沟通程度的影响。内部控制受到组织内各层次人员的影响，而不仅仅是简单地制定出一本制度手册或规章。单纯的规章制度只是一种机械的控制措施。组织虽然按照规章制度来运行，但人是具有个人目标、个人情感的能动性个体，他们可以在很大程度上影响规章制度的实施效率和效果。他们的行为可能受到其个人利益的驱使，也可能受其误解或抵触情绪的驱使。因此，内部控制必须建立在充分沟通的基础上。内部控制提供的是合理保证。对管理层或董事会而言，内部控制提供的3.只是合理的保证，而不是绝对的保证。内部控制措施，无论设计得多么完美、【回答】
运行得多么好，组织目标实现的可能性受到内部控制制度所固有的局限性影响，内部控制也仅能为董事会和管理部门实现组织目标提供合理的保证。(二)内部控制要素在对内部控制概念进行界定的基础上，该框架认为，一个完善的企业内部控制系统应该包括五类耍素：1.控制环境控制环境提供企业纪律与架构，塑造企业文化，并影响企业员工的控制意识，是所有其它内部控制组成要素的基础。控制环境的因素具体包括：诚信的原则和道德价值观：评定员工的能力：董事会和审计委员会一一组成这两个机构须考虑的因素主要包括：成员的经验，相对于管理层的独立性，外部董事的比例；其成员参与管理的程度，所采取措施的适宜性，对管理层提出问题的深度和广度，他们与内部、外部审计人员的关系实质等；管理哲学和经营风格一一主要考虑：对待和承担经营风险的方式，依靠文件化的政策、业绩指标以及报告体系等与关键经理人员沟通，对财务报告的态度和所采取的措施，对信息处理以及会计功能、人员所持的态度，对现有可选择的会计准则和会计数值估计所持有的谨慎或冒进态度等：组织结构——即公司活动提供计划、执行，控制和监督职能的整体框架；责任的分配与授权：人力资源政策及实务。【回答】

5. 结合+COSO+内部控制与风险管理的最新成果,你认为我国内部控制规范体系应如何完善？

亲亲您好，根据您的问题【结合+COSO+内部控制与风险管理的最新成果,你认为我国内部控制规范体系应如何完善？】为您做出以下解答：[开心][开心]我国内部控制规范体系完善：（一)内部控制概念对COSO内部控制概念可以从3个方面来理解：1.内部控制是动态过程。内部控制是一个过程，是实现目标的手段，而不是结果本身。组织目标是由组织的宗旨决定的。它包括具体目标和实现目标的效率。内部控制是防止那些可能影响组织目标有效率地实现的风险因素造成实际损失、或者使损失降低到最低限度的，贯穿于组织各项活动中的一系列行为或措施。环境影响内部控制，内部控制随环境变化而变化。2.内部控制受人员沟通程度的影响。内部控制受到组织内各层次人员的影响，而不仅仅是简单地制定出一本制度手册或规章。单纯的规章制度只是一种机械的控制措施。组织虽然按照规章制度来运行，但人是具有个人目标、个人情感的能动性个体，他们可以在很大程度上影响规章制度的实施效率和效果。他们的行为可能受到其个人利益的驱使，也可能受其误解或抵触情绪的驱使。因此，内部控制必须建立在充分沟通的基础上。内部控制提供的是合理保证。对管理层或董事会而言，内部控制提供的3.只是合理的保证，而不是绝对的保证。内部控制措施，无论设计得多么完美、【摘要】
结合+COSO+内部控制与风险管理的最新成果,你认为我国内部控制规范体系应如何完善？【提问】
亲亲您好，根据您的问题【结合+COSO+内部控制与风险管理的最新成果,你认为我国内部控制规范体系应如何完善？】为您做出以下解答：[开心][开心]我国内部控制规范体系完善：（一)内部控制概念对COSO内部控制概念可以从3个方面来理解：1.内部控制是动态过程。内部控制是一个过程，是实现目标的手段，而不是结果本身。组织目标是由组织的宗旨决定的。它包括具体目标和实现目标的效率。内部控制是防止那些可能影响组织目标有效率地实现的风险因素造成实际损失、或者使损失降低到最低限度的，贯穿于组织各项活动中的一系列行为或措施。环境影响内部控制，内部控制随环境变化而变化。2.内部控制受人员沟通程度的影响。内部控制受到组织内各层次人员的影响，而不仅仅是简单地制定出一本制度手册或规章。单纯的规章制度只是一种机械的控制措施。组织虽然按照规章制度来运行，但人是具有个人目标、个人情感的能动性个体，他们可以在很大程度上影响规章制度的实施效率和效果。他们的行为可能受到其个人利益的驱使，也可能受其误解或抵触情绪的驱使。因此，内部控制必须建立在充分沟通的基础上。内部控制提供的是合理保证。对管理层或董事会而言，内部控制提供的3.只是合理的保证，而不是绝对的保证。内部控制措施，无论设计得多么完美、【回答】
以下相关拓展，希望对您有所帮助：运行得多么好，组织目标实现的可能xing受到内部控制制度所固有的局限xing影响，内部控制也仅能为董事会和管理部门实现组织目标提供合理的保证。(二)内部控制要素在对内部控制概念进行界定的基础上，该框架认为，一个完善的企业内部控制系统应该包括五类耍素：1.控制环境控制环境提供企业纪律与架构，塑造企业文化，并影响企业员工的控制意识，是所有其它内部控制组成要素的基础。控制环境的因素具体包括：诚信的原则和道德价值观：评定员工的能力：董事会和审计委员会一一组成这两个机构须考虑的因素主要包括：成员的经验，相对于管理层的独立xing，外部董事的比例；其成员参与管理的程度，所采取措施的适宜xing，对管理层提出问题的深度和广度，他们与内部、外部审计人员的关系实质等；管理哲学和经营风格一一主要考虑：对待和承担经营风险的方式，依靠文件化的政策、业绩指标以及报告体系等与关键经理人员沟通，对财务报告的态度和所采取的措施，对信息处理以及会计功能、人员所持的态度，对现有可选择的会计准则和会计数值估计所持有的谨慎或冒进态度等：组织结构——即公司活动提供计划、执行，控制和监督职能的整体框架；责任的分配与授权：人力资源政策及实务。【回答】
还有问题吗？亲亲，可以具体讲讲吗？或者有什么想聊的吗？[微笑][微笑]【回答】

6. 2017年coso对企业风险管理整合框架进行了修订并发布了什么

企业风险管理是指企业围绕总体经营目标，通过在的各个环节和经营过程中执行风险管理的根本流程，培育良好的风险管理文化，建立健全全面风险管理体系，包括风险管理策略、风险措施、风险管理的组织职能体系、风险管理信息系统和内部控制系统，从而为实现风险管理的总体目标提供合理保证的过程和方法。【摘要】
2017年coso对企业风险管理整合框架进行了修订并发布了什么【提问】
亲， 您好，很高兴为您解答！2017年coso对企业风险管理整合框架进行了修订并发布了《企业风险管理框架》。【回答】
企业风险管理是指企业围绕总体经营目标，通过在的各个环节和经营过程中执行风险管理的根本流程，培育良好的风险管理文化，建立健全全面风险管理体系，包括风险管理策略、风险措施、风险管理的组织职能体系、风险管理信息系统和内部控制系统，从而为实现风险管理的总体目标提供合理保证的过程和方法。【回答】

7. 在COSO风险管理八要素框架,风险评估被细分为

风险评估被分为三种。
基线评估
如果组织的商业运作不是很复杂，并且组织对信息处理和网络的依赖程度不是很高，或者组织信息系统多采用普遍且标准化的模式，基线风险评估（Baseline Risk Assessment）就可以直接而简单地实现基本的安全水平，并且满足组织及其商业环境的所有要求。
采用基线风险评估，组织根据自己的实际情况（所在行业、业务环境与性质等），对信息系统进行安全基线检查（拿现有的安全措施与安全基线规定的措施进行比较，找出其中的差距），得出基本的安全需求，通过选择并实施标准的安全措施来消减和控制风险。所谓的安全基线，是在诸多标准规范中规定的一组安全控制措施或者惯例，这些措施和惯例适用于特定环境下的所有系统，可以满足基本的安全需求，能使系统达到一定的安全防护水平。组织可以根据以下资源来选择安全基线：
国际标准和国家标准，例如BS 7799-1、ISO 13335-4；
行业标准或推荐，例如德国联邦安全局IT 基线保护手册；
来自其他有类似商务目标和规模的组织的惯例。
当然，如果环境和商务目标较为典型，组织也可以自行建立基线。
基线评估的优点是需要的资源少，周期短，操作简单，对于环境相似且安全需求相当的诸多组织，基线评估显然是最经济有效的风险评估途径。当然，基线评估也有其难以避免的缺点，比如基线水平的高低难以设定，如果过高，可能导致资源浪费和限制过度，如果过低，可能难以达到充分的安全，此外，在管理安全相关的变化方面，基线评估比较困难。
基线评估的目标是建立一套满足信息安全基本目标的最小的对策集合，它可以在全组织范围内实行，如果有特殊需要，应该在此基础上，对特定系统进行更详细的评估。

详细评估
详细风险评估要求对资产进行详细识别和评价，对可能引起风险的威胁和弱点水平进行评估，根据风险评估的结果来识别和选择安全措施。这种评估途径集中体现了风险管理的思想，即识别资产的风险并将风险降低到可接受的水平，以此证明管理者所采用的安全控制措施是恰当的。
详细评估的优点在于：
1、组织可以通过详细的风险评估而对信息安全风险有一个精确的认识，并且准确定义出组织目前的安全水平和安全需求；
2、详细评估的结果可用来管理安全变化。当然，详细的风险评估可能是非常耗费资源的过程，包括时间、精力和技术，因此，组织应该仔细设定待评估的信息系统范围，明确商务环境、操作和信息资产的边界。

组合评估
基线风险评估耗费资源少、周期短、操作简单，但不够准确，适合一般环境的评估；详细风险评估准确而细致，但耗费资源较多，适合严格限定边界的较小范围内的评估。基于次实践当中，组织多是采用二者结合的组合评估方式。
为了决定选择哪种风险评估途径，组织首先对所有的系统进行一次初步的高级风险评估，着眼于信息系统的商务价值和可能面临的风险，识别出组织内具有高风险的或者对其商务运作极为关键的信息资产（或系统），这些资产或系统应该划入详细风险评估的范围，而其他系统则可以通过基线风险评估直接选择安全措施。
这种评估途径将基线和详细风险评估的优势结合起来，既节省了评估所耗费的资源，又能确保获得一个全面系统的评估结果，而且，组织的资源和资金能够应用到最能发挥作用的地方，具有高风险的信息系统能够被预先关注。当然，组合评估也有缺点：如果初步的高级风险评估不够准确，某些本来需要详细评估的系统也许会被忽略，最终导致结果失准。