2011年5月20日，审计署发布了对中国长江三峡集团公司等17户中央企业2009年度财务收支的审计结果，有15家企业存在着内部管理方面的问题。中铝集团、三峡集团、兵器装备集团、中国建筑、中国远洋、中钢集团、招商地产等，均出现投资亏损的情况或潜在风险。如2006～2009年，三峡集团在可行性研究不充分的情况下，投入10.68亿元建设两座抽水蓄能电站，两项目当前处于停滞状态。中铝公司自建和收购了10个电解铝、氧化铝等项目，截至2008年年底项目累计投资达92.81亿元，但由于未经国家核准或未通过国家环保验收，现阶段难以实现盈利。中钢集团所属中钢国际和东悦投资的审计结果表明其会计核算和财务管理、投资和经营、内部管理都存在问题。内部管理存在的问题之一，便是中钢集团被合作伙伴占用资金88.07亿元。截至2010年6月底中钢集团未对风险状况进行系统评估，未形成有针对性的风险应对预案。

决策不当导致投资损失，在此次审计署报告中显得尤为突出。大部分中央企业集团，组织机构相对完备，公司治理形式上也符合要求，为什么还会出现内控失效，造成风险管理失败和损失？在ERM框架下，有效的风险管理能够发现防止重大风险和舞弊，但是在无效的治理环境下却无能为力。究竟是内控设计和执行失效导致了风险管理的失效，还是公司治理的失败？公司治理在这个过程中扮演了什么角色？

全面风险管理的涵义及背景

根据COSO的定义，全面风险管理是一个过程，这个过程受董事会、管理层和其他人员的影响，这个过程从企业战略制定开始贯穿到企业的各项活动中，用于识别那些可能影响企业的潜在事件并管理风险，使之在企业的风险偏好之内，从而合理确保企业取得既定的目标。而经济合作与发展组织（OECD，1999）把公司治理定义为：公司治理结构是公司内不同参与者（包括董事会、经理人、股东、其他利益相关者）的权利和责任的分配，以及为处理公司事务所制定的一套规则和程序。

对于两者的关系，可以从两个方面来理解：一方面，公司治理是风险管理的基础。公司治理不善带来的逆向选择和道德风险，将影响整个风险管理框架和内部控制的实施，使其失去基础。通常的结果会是内部控制形同虚设，风险管理无从谈起。另一方面，风险管理是否有效，是治理效率的重要内容。公司治理关于公司内参与者的权力分配中，本身就包含了风险管理的责任分工，经理人在风险上应对董事会下属的风险管理委员会负责，同时对股东权益的风险情况向股东负责。

企业就其本质而言是为了实现其战略目标和价值。治理结构、组织构架（包括风险管理的组织机构）都应基于此。显然，风险管理的水平和界限，取决于公司战略目标的刚性和约束力。因此在设定战略目标和治理结构时，就应该有风险因素的参与，协调风险与战略目标。否则，就会产生风险管理自选择问题，也就是使全面风险管理缺乏基本的客观标准和依据，ERM完全依附于目标的实现，失去了管理的意义。同样，在公司治理与风险管理的关系上，也存在这种问题，因为公司治理是服务于企业的目标的。

案例分析与评价

一、审计结果

根据审计署的公告，中钢集团在经营和内部管理方面主要存在以下问题：①销售钢材业务风险控制不力，形成损失。②被合作伙伴占用资金88.07亿元，截至2010年6月底未对风险状况进行系统评估，未形成有针对性的风险应对预案。而根据2010年的审计信息，山西一家民企与该集团存在着重大资金往来，截至2010年10月份，对该集团欠款已高达近40亿元无法收回，面临巨大损失。根据中钢与该民企的包销协议，中钢将包销该民企五年的产品，提前两个月预付货款。由于民企经营困难，财务恶化，导致巨额预付款无法收回。

为什么会导致这样巨大的经营风险？是决策没考虑风险，还是对风险视而不见？依据ERM框架，可以从风险的评估、控制活动、信息监督与监控等因素来分析，但是归根结底，这种风险是源于风险管理和内部控制环境失效。因为在公司治理无效的情况下，任何ERM的具体因素都不能完全发挥作用，任何健全的内部控制都无法有效实施。只有从内部环境来分析，才能找到ERM和内控失效的根源。

二、治理层与风险管理委员会

中钢集团风险管理的治理结构如图：

1.董事会

中钢的董事会中，除了两名本公司高管外，其他均为外部董事，并且由国资委任命。实际上，董事会负责什么事务也并不明确，除了每年召开一次的董事会，外部董事没有机会更多地过问公司的经营和风险事宜。董事会与管理层之间的治理层次很清晰，实现了“两会分离”，却没实现真正的“两权分离”。董事会没有就决策原则和责任进行明确的划分，权责利分配不合理，存在着“不缺位，但是缺权”的情况。造成董事无法发挥监督治理作用。

实际结果是，中钢的内部人控制较为严重，董事会形同虚设。当管理层为了快速扩张而与董事会产生分歧时，对董事会的意见置若罔闻。根据中介机构的报告，中钢一名独立董事认为中钢与山西民企的贸易往来并不正常，财务管理和审计报告存在问题，但其意见并未得到重视。

2.风险管理机构

从组织架构来看，中钢的风险管理体系相对完整。该公司在董事会下设审计与风险管理委员会，负责对经理层的审计风险工作监督。委员会成员由外部董事组成。经理办公会下设风险与审计领导小组。职能部室中设立风险管理部门。但是由于外部董事每年只参加一两次会议，对于形成的决议，并不能落实。董事会的专门机构没有发挥对公司治理的作用。

而审计与风险管理领导小组，隶属于最高决策机构“总经理办公会”，其地位决定了服务于经理层的战略，因此无法做到客观的风险评估和监督，更谈不上事前风险评估参与、风险识别和运行中的监控。无法保证风险监督职能的发挥。

从以上两方面可见，未能实现真正的两权分离，高度的内部人控制，是造成决策监督失效、风险无法控制的主要原因。

3.战略目标的设定

近几年，国资委把推动央企整体上市作为重点工作，并出台了一系列措施，推动央企“做强主业增实力”。同时，也加快了兼并重组的步伐，通过对央企的规模、收入、利润等指标的考核，将排名靠后的企业通过兼并重组方式并入其他企业。在业绩考核和上市的双重压力下，扩规模、重效益成为企业制定战略的不二选择。在战略目标的刚性作用下，风险管理委员会和风险管理部门的地位显得十分尴尬，其风险容忍度的界限屈从了战略和经营目标。在目标设定中，忽视了风险的因素，缺乏风险管理人员的参与，造成风险容忍度极高。其结果就是全面风险管理和内部控制的失败。

结论与启示

有效施行全面风险管理，发挥内部控制效能，必须提高公司治理效率，改变风险管理观念。同时，必须将企业的战略目标与风险管理联系起来，加强监督和沟通。

1.关于治理结构。央企的公司治理改革任重道远，建立起能代表国家行使权利的董事会，相对于通过行政命令安排外部董事、选择更多的独立董事更加重要。目前央企的外部董事中，多数人具有央企的领导工作背景，独立性差。因此，应当扩大外部董事的选择范围，提高外部董事的独立性。包括央企在内的国有企业，属于具有公共性质的企业，应该提高治理信息的透明度。针对未上市央企，应该参照上市公司的披露原则，加快改进董事会会议的信息披露制度。增强信息披露，能够有效防止出现重大风险，要借鉴独立董事声明制度，发挥独立董事的作用。

2.应合理制定公司战略。风险管理，最终服务于公司的战略。全面风险管理就是提供给企业管理者一个适当的过程，既能够帮助制定企业的目标，又能够将目标与企业的任务或预期联系在一起，并且保证制定的目标与企业的风险偏好相一致。因此制定战略的过程，也是风险管理的过程。战略目标的设定，要考虑风险偏好。在风险可控的范围内，明确风险容忍度界限的情况下，制定战略目标。企业风险管理部门应该参与战略目标制定。■

责任编辑 刘莹