COSO 企业风险管理 – 整合框架

COSO 企业风险管理 – 整合框架

COSO 企业风险管理 – 整合框架Presented by Fiona Liu

COSO 企业风险管理 – 整合框架

COSO是Treadway 委员会的发起组织委 员会(Committee of Sponsoring Organizations of the Treadway Commission )

COSO 企业风险管理 – 整合框架

一、定义 企业风险管理是一个过程，它由一个主体 的董事会、管理当局和其他人员实施，应 用于战略制定并贯穿于企业之中，旨在识 别可能会影响主体的风险容量之内，并为 主题目标的实现提供合理保证。

COSO 企业风险管理 – 整合框架

二、企业风险管理的四大目标 战略目标 – 高层次目标，与使命相关联并支 撑其使命； 经营目标 – 有效和高效率地利用其资源； 报告目标 – 报告的可靠性； 合规目标 – 符合适用的法律和法规。

COSO 企业风险管理 – 整合框架

三、企业风险的构成要素 内部环境 目标设定 事项识别 风险评估 风险应对 控制活动 信息与沟通 监控

COSO 企业风险管理 – 整合框架

四、目标与构成要素之间的关系 目标是指一个主体力图实现什么，企业风 险管理的构成要素则意味着需要什么来实 现它们，二者有着直接的关系。

COSO 企业风险管理 – 整合框架

COSO 企业风险管理 – 整合框架

五、内部环境内部环境包含组织的基调，它为主体内的人员 如何认识和对待风险设定了基础，包括风险管 理理念和风险容量、诚信和道德价值观，以及 他们所处的经营环境。 风险管理理念 风险管理理念是一整套共同的信念和态度，它 决定着主体在做任何事情 – 从战略制定和执行 到日常的活动时如何考虑风险。风险管理理念 反映了主体的价值观，影响它的文化和经营风 格，并且决定如何应用企业风险管理的构成要 素，包括如何识别风险。

COSO 企业风险管理 – 整合框架

风险容量 风险容量是一个主体在追求价值的过程中所愿意 承担的广泛意义上的风险的数量。它反映了企业 的风险管理理念，进而影响了主体的文化和经营 风格。 董事会 一个主体的董事会是内部环境的关键部分，它对 其要素有着重大影响。董事会对管理当局的独立 性、其它成员的经验和才干、对活动参与和审查 的程度，以及其行为的 适当性都起着重要的作 用。

COSO 企业风险管理 – 整合框架

诚信与道德价值观 管理当局的诚信是一个主体活动的所有方面的道 德行为的先决条件。企业风险管理的有效性不可 能脱离那些创造、管理和监督主体活动的人的诚 信和道德价值观。诚信和道德价值观是一个主体 内部环境的关键要素，它影响着企业风险管理其 他构成要素的设计、管理和监控。 道德行为和管理当局的诚信是公司文化的副产品， 公司文化包含道德和行为准则以及它们的沟通和 强化方式。

COSO 企业风险管理 – 整合框架

对胜任能力的要求 管理当局明确特定岗位的胜任能力水平，并把这 些水平转换成所需的知识和技能。而这些必要的 知识和技能可能又取决于个人的治理、培训和经 验。在开发知识和技能水平的过程中考虑的因素 包括

一个具体岗位所运用判断的性质和程度。通 常会在监督的范围和所需的胜任能力水平之间作 出权衡。 组织结构 一个主体的组织结构提供了计划、执行、控制和 监督其活动的框架。相关的组织结构包括确定权 力与责任的关键界区，以及确立恰当的报告途径。

COSO 企业风险管理 – 整合框架

权力和职责的分配 权力和职责的分配涉及到个人和团队被授权并鼓 励发挥主动性去指出问题和解决问题的程度，以 及他们对权利的限制。 人力资源准则 包括雇用、定位、培训、评价、咨询、晋升、付 酬和采取补偿措施在内的人力资源业务向员工传 达着有关诚信、道德行为和胜任能力的期望水平 方面的信息。

COSO 企业风险管理 – 整合框架

影响 一个组织的内部环境对企业风险管理如何持续地 实施和发挥作用具有重大影响。内部环境是应用 企业风险管理其它构建的环境，它通常具有强大 的正面或负面影响。一个无效的内部环境可能会 导致财务损失、损害公众形象，或经营失败。

COSO 企业风险管理 – 整合框架

六、目标设定目标设定是有效的事项识别、风险评估和风险 应对的前提。目标与主体的风险容量相协调， 后者决定了主体的风险容限水平。 战略目标 是高层次的目标，它与主体的使命/愿景相协 调，并支持后者。战略目标反映了管理当局就 主体如何努力为它的利益相关者创造价值所作 出的选择。

COSO 企业风险管理 – 整合框架

经营目标 经营目标关系到主体的有效性和效率，主要反映 主体运营所处的特定的经营、行业和经济环境。 报告目标 可靠的报告目标为管理当局提供适合既定目的的 准确而完整的信息。它支持管理当局的决策和对 主体活动和业绩的监控。 合规目标 主体从事活动必须符合相关的法律和法规，通常 还必须采取具体措施。

COSO 企业风险管理 – 整合框架

七、事项识别管理当局识别将会对主体产生影响的潜在事项 – 如果存在的话，并确定它们是否代表机会，或者 是否会对主体成功地实施战略和实现目标的能力 产生负面影响。带来负面影响的事项代表风险， 它要求管理当局予以评估和应对。带来正面影响 的事项代表机会，管理当局可以将其反馈到战略 和目标设定过程之中。在对事项进行识别时，管 理当局要在组织的全部范围内考虑一系列可能带 来风险和机会的内部和外部因素。

COSO 企业风险管理 – 整合框架

影响因素 管理当局需了解外部因素和内部因素以及由此可 能产生的事项的类型。 外部因素包括：经济因素、自然环境因素、政治 因素、社会因素、技术因素 内部因素包括：基础结构、人员、流程、技术 事项识别技术 主体的事项识别方法可能包含各种技术的组合， 以及支持性的工具。 事项识别既关注过去，也着眼于未来。

COSO 企业风险管理 – 整合框架

相互依赖性 事项并不是鼓励地发生的。一个事项

可能引发另 一个事项，事项也可能同时发生。 区分风险和机会 事项可能会带来正面或负面的影响。代表机会的 事项被反馈到管理当局的战略或目标制订过程中， 以便规划行动去抓住机会。抵消风险负面影响的 事项在管理当局的风险评估和应对中予以考虑。

COSO 企业风险管理 – 整合框架

八、风险评估 风险评估的背景 在评估风险时，管理当局考虑预期事项和非预 期事项。许多事项是常规性和重复性的，并且 已经在管理当局的计划和经营预算中提到，而 其他的事项则是非预期的。 固有风险和剩余风险 固有风险是管理当局没有采取任何措施来改变 风险的可能性或影响的情况下，一个主体所面 临的风险。剩余风险是在管理当局的风险应对 之后所参与的风险。