【论文摘要】美国COSO委员会在原有的内部控制整体框架基础上，将其与风险管理相结合，从而建立了崭新的企业风险管理框架，使内部控制的发展步入成熟期。本文试图对该框架中的风险对策要素做深入的分析探讨。
自上世纪80年代以后，风险管理无论是在理论上还是在实践中都取得了大量成果。去年，美国COSO委员会在充分吸收各方风险管理研究成果的基础上，颁布了有关企业风险管理框架的讨论稿。自此，内部控制框架的建立正式与企业的风险管理相结合，内部控制的发展开始步入成熟期。
企业风险管理框架是建立在内部控制框架基础之上的，是一个主要针对风险的更为明确的概念，因此，它是对内部控制框架的扩展，内部控制是企业风险管理的重要组成部分。简言之，企业风险管理框架包括四个目标（战略目标、经营目标、报告目标和合规目标），八项要素（内部 环境 、目标设定、事项识别、风险评估、风险对策、控制活动、信息与沟通、监控），三个层级（整个企业、各职能部门、各条业务线以及下属各子公司）。在企业风险管理框架中，风险是个贯穿始终的因素。企业需要考虑潜在事项可能对实现目标产生的影响，对风险进行正确的评估，并在此基础之上确定风险对策。本文着重分析企业风险管理框架下的风险对策问题。
风险对策是指管理层在评估了相关的风险之后，所做出的防范、控制、转移、补偿风险的各种策略和措施。该框架草拟稿提出的风险对策包括规避风险、减少风险、共担风险和接受风险四项策略，要求管理者考虑 成本 和效益，并在期望的风险容忍度内选择可以带来预期可能性和影响的风险方案。笔者认为，可以将风险对策细分为以下七类：
1、风险避免—采取措施回避无法承受的风险。企业在面临一项风险时，首先要根据自身的经营特点和能力，权衡收益和风险的得与失，凡是风险所造成的损失不能由该项目可能获得收益予以抵消的，企业都应尽量避免该种风险的发生，即采取回避政策。避免风险的方法还可以分为完全避免和部分避免两种。完全避免，就是不惜放弃伴随风险而来的盈利机会。部分避免，主要取决于成本及非 经济 因素。如果避免收益大于避免成本，就可以考虑避免，否则可以不要避免。
2、风险控制—采取措施控制风险的发生。控制风险包括两个方面：一是控制会产生风险的因素，从而减少风险的发生；二是控制风险发生的频率和降低风险损害程度。企业可以采取各种措施控制风险的发生。譬如：对诸如汇率、利率以及信用评估等事项进行更为准确的预测；在决策之前，筛选出多个可行方案，从中优选出最佳方案；在向 市场 投放新产品前做深入的市场调研，以充分掌握市场需求信息和消费者偏好信息；在对外 投资 上，尽量使投资领域、投资地域、投资项目以及投资品种达到多样化，以分散风险；此外，要与政府部门保持顺畅的沟通协调，从而及时获取政策信息等。
3、风险转移—采取措施将风险转移至他人承担。企业可以设法通过某种方式将部分或全部风险损失转移给他人承担，从而避免可能给企业带来的灾难性损失。在转移风险的过程中，企业需要付出一定的代价，诸如 保险 费、赢利机会、担保费和利息等，但是，较之承担风险所面临的损失而言，企业为转移风险所需支付的代价要小的多。特别要指出的是，企业在转嫁风险时，一定要基于合法、合理、公平和公正的原则，决不能使用欺诈手段使其他企业受损。典型的措施有：以投保的方式将风险转移给保险公司承担；将风险较大的项目转由专门的机构完成；通过契约的形式将风险损失转移；通过各种形式的经济联合，例如合资、联营、联合开发等转移风险；通过技术转让、特许经营、战略联盟、租赁经营和业务外包转让经营风险；此外，还可通过委托开发、购买专利等来转移技术风险。
基于以上措施，企业应当在识别风险的类型和大小，并权衡得失后，选择恰当的方式转移。一般地，自然风险宜用投保，较大的 财务 风险宜用风险共担，过大的技术风险和生产风险宜用风险主体转移。
4、风险接受—企业自身消化风险，并承担风险损失。如果企业既不能避免风险，又不能完全控制风险、分散风险、中和风险或减少损失时，企业就只能根据对自身能力和财力的评估来承受一定的风险损失。企业可以采取风险自担和风险自保自行消化承担风险损失。风险自担，就是风险损失发生时，直接将损失摊入 成本 或费用，或冲减利润。风险自保，是指对已预测到的风险所造成损失的承担方式，即企业预留一笔风险金或随着生产经营的进行，有计划计提风险基金如坏账准备金、呆账损失、大修理基金等。这适用于损失较小的风险。
5、风险组合—以整体组合的观点考虑风险。即要求企业 管理 者将风险不同且互不相关的产品和 投资 项目、不同经营单位的风险进行优化组合，通过产品或项目的盈亏补偿以及不同经营单位的风险抵消，达到减少整体风险损失的目的。在企业风险管理中，高级管理者必须采用风险组合的观点，以确定企业的风险组合是否与和企业目标相关的风险偏好相称。实施风险组合须注意：第一，高风险项目与低风险项目适当搭配，以便在高风险项目遭受损失时，能从低风险项目受益中弥补；第二，所选项目数适当；第三，要根据企业的核心能力给定一个风险承受的临界点即风险容忍度，以此作为风险组合的标准。
6、风险 预防 —事先加强防御风险的能力。即企业根据以往的经验和对风险事项的把握，事先从制度、 文化 、决策、组织和控制上，从培育核心能力上提高企业的防御风险的能力。 例如，加强企业的核心竞争能力，巩固有价值产品的 市场 竞争优势；建立健全企业各项规章政策，完善各项制度以弥补可能产生的漏洞；加强 企业文化 的建设，形成企业自身特有的价值观、 道德 精神以及服务理念等；优化企业的组织、决策及控制职能，从策略措施本身着手来分析防范风险。
7、集中风险—以风险集中的形式承担风险。在 保险 企业和大型集团性企业中，风险对策通常采用集中风险的方法。保险企业一般会向众多投保单位收取保险金，虽然每个单位交的数目很小，但加在一起数目就很大，足以用来应付风险，这就是保险集中的方法。另外，对于大型集团公司而言，其分支机构多，通过预测，集团公司每年要求各分支机构交少量管理费，由集团公司自己承担某些风险，而不利用保险。集中风险使企业以较小的成本获取较大的收益，增强了企业抵御风险的能力。
参考文献： [2] 王哓霞等．论风险导向的内部 审计 理论 与实务．审计研究，2004
（2）
[3] COSO Enterprise Risk Management Framework Draft
