最新COSO企业风险管理框架资料
最新COSO企业风险管理框架
企业风险管理框架（九）本报告的用途1、董事会成员董事会成员应该与企业的高级管理人员讨论企业风险管理的状况并在必要的时候进行监督。
董事会应该保证企业风险管理体制能够为董事会提供与企业战略和目标相关的最重要的风险的评估，包括企业的管理者采取了什么行动和董事会在监督企业风险管理框架时是如何运作的。
董事会应该从企业的内部审计人员、外部审计人员和咨询顾问外获得有关的信息。
2.高级管理人员本研究建议企业的首席执行官应评估企业风险管理的适应性。
使用本框架，CEO就可以与企业的其他主要经营和财务主管一道，注意企业内需要注意的地方。
使用一定的方法，CEO可以将企业的业务部门的负责人和主要职能部门的员工汇集到一起，讨论对企业风险管理框架适应性和有效性的最初评估。
无论讨论的形式如何，风险管理最初的评估应决定企业是否需要对企业风险管理框架进行进一步的、更广泛的评估以及应如何进行评估。
最初的评估还应该保证企业再造的监控程序确实存在、确实有效。
企业花费在风险管理评估上的时间是企业的一项投资，而且是一项有高额回报的投资。
3.企业内其他成员企业的管理者和其他员工应该考虑他们在企业风险管理框架中应履行何种职责，并与其上层管理者讨论有关思想以加强企业的风险管理。
内部审计人员则应该考虑其工作中关注企业风险管理的程度。
4.立法者每个企业对企业风险管理的期望由于两个方面的影响而千差万别。
首先，由于对企业风险管理框架的硬件设施构建的不同认识，使得企业的风险管理框架各有不同。
一些观察家认为企业风险管理将会，或者应该会防止企业的经济损失，或者至少是防止企业破产。
第二，即使对企业风险管理能够做什么、不能做什么以及“合理保证”概念有一个共同的认识，对这概念的含义和应该如何应用这些概念也存在许多不同的观点。
为了使各方对企业风险管理的认识及其作用达成共识，就应该对企业风险管理框架及其局限性达成共识。
本框架的提出就是出于这一考虑。
5.专业机构规则制定机构和其他专业组织已经提供了企业理财、审计和相关问题的指南。
2-1 COSO企业风险管理整体框架(中文版)
COSO ：Enterprise Risk Management FrameworkCOSO 企业风险管理整体框架概览一些公司和企业的管理者已经在企业内部建立了一系列确认和管理风险的过程，而现在有许多企业也已经开始或正在考虑建立自己的确认和管理风险的过程。
虽然管理者已经掌握了大量的企业风险管理的信息（包括大量公开出版的文献），但实务中却并不存在统一的术语，而且也很少有普遍接受的原则可供管理者在构建一个有效的风险管理框架时作为指南。
COSO 委员会已经认识到对企业风险管理概念性指南的需要，因而该委员会发起了一个建立一个概念性的、适当的风险管理框架的计划，旨在支持企业建立或评判企业风险管理过程的项目提供完整的原则、能用的术语和实务操作指南。
另一相关的目标是使构建的这个框架可以作为管理者、董事、主管人员、学者和其他相关人员更好地理解企业风险管理及其优点和局限性提供一个统一的基础，以便在风险管理问题方面进行有效地交流。
本概览列出了企业风险管理框架的关键内容，包括企业风险管理的定义、内容和基本原则，风险管理的优点、局限性以及各相关方的地位和职责。
本概览还强调企业风险管理的相关性和其与COSO 内部控制报告的关系。
如果想更加深入地了解有关知识，请看企业风险管理框架的全文。
（一）企业风险管理的相关性企业风险管理的基本前提是每一个企业，无论是盈利组织、非盈利组织，还是政府机构，其存在的目的都是为其利益相关方带来价值。
所有的企业都要面对不确定性。
对企业管理者而言，所面临的挑战是在追求企业利益相关方价值增长的同时，决定企业准备接受的不确定性的程度。
不确定性既代表风险，也代表机遇，既存在使企业增值的可能，也存在使企业减值的风险。
风险管理框架就是为管理者提供一个框架，使其能够有效处理不确定性及相应的风险和机遇，进而提高企业创造价值的能力。
1．不确定性企业经营的环境中有许多因素都会给企业带来不确定性，如全球化、技术、法规、企业重构、多变的市场以及竞争等。
COSO风险管理框架八大要素
COSO风险管理框架八大要素要素一：内部环境内部环境是指组织内部的风险管理文化和风险意识。
它涉及到组织的价值观、道德观、风险承受能力和意识。
这个要素的关键是组织领导层的承诺和积极参与，他们需要设定明确的目标和规定组织的价值观与行为准则。
要素二：目标设定目标设定是指组织制定和明确实现目标的过程。
这个要素涉及到制定目标的方法和过程，以及确定目标的具体要求和期望结果。
目标应与组织的使命和战略一致，并向组织的利益相关者明确传达。
要素三：风险评估风险评估是指组织识别和评估可能对目标实现产生负面影响的事件或情况的过程。
这个要素涉及到制定适当的风险评估方法和工具，并使用这些方法和工具来识别和量化风险。
评估的结果需要被组织的决策者和管理层使用来评估风险的严重性和优先级。
要素四：风险响应风险响应是指组织采取一系列行动来处理和控制风险的过程。
这个要素包括制定风险管理策略和方案，选择适当的风险管理方法和措施，并执行和监控这些措施。
风险响应应该是一个连续的过程，需要不断地监控和调整。
要素五：控制活动控制活动是指为了达到目标而实施的控制措施和过程。
这个要素涉及到制定和实施控制活动的方法和措施，以及监控和检查这些控制活动的有效性。
控制活动应该是全面和有效的，可以有效地降低风险的发生概率和降低风险的影响。
要素六：信息与沟通信息与沟通是指组织获取、处理和传递信息的过程。
这个要素涉及到建立并运行有效的信息和沟通系统，以确保及时、准确和完整的信息流动。
这些信息可以帮助组织做出明智的决策，并在需要时向利益相关者提供有关风险和风险管理的信息。
要素七：监督监督是指组织对风险管理过程进行监督和评估的过程。
这个要素包括建立监督机制和程序，对风险管理过程的各个方面进行监控和评估，并进行必要的改进。
监督应该是持续的，并由独立的机构或个人进行。
要素八：信息与沟通信息与沟通是指组织获取、处理和传递信息的过程。
这个要素涉及到建立并运行有效的信息和沟通系统，以确保及时、准确和完整的信息流动。
COSO风险管理框架八大要素
COSO风险管理框架⼋⼤要素COSO风险管理框架把风险管理的要素分为⼋个：内部环境、⽬标制定、事件识别、风险评估、风险反应、控制活动、信息与沟通、监督。
⼀、内部环境企业的内部环境是其他所有风险管理要素的基础，为其他要素提供规则和结构。
内部环境影响企业战略和⽬标的制定、业务活动的组织和风险的识别、评估和执⾏等等。
它还影响企业控制活动的设计和执⾏、信息和沟通系统以及监控活动。
内部环境包含很多内容，包括企业员⼯的道德观和胜任能⼒、⼈员的培训、管理者的经营模式、分配权限和职责的⽅式等。
董事会是内部环境的⼀个重要组成部分，对其他内部环境的组成内容有重要的影响。
⽽企业的管理者也是内部环境的⼀部分，其职责是建⽴企业的风险管理理念、确定企业的风险偏好，营造企业的风险⽂化，并将企业的风险管理和相关的⾏动计划结合起来。
75折特⼤优惠剩最后1天⼴告⼆、⽬标制定根据企业确定的任务或预期，管理者确定企业的战略⽬标，选择战略⽅案，确定相关的⼦⽬标并在企业内层层分解和落实，各⼦⽬标都应遵循企业的战略⽅案并与战略⽅案相联系。
展开剩余61%三、事项识别管理者意识到了不确定性的存在，即管理者不能确切地知道某⼀事项是否会发⽣、何时发⽣或者如果发⽣其结果如何。
作为事项识别的⼀部分，管理者应考虑会影响事项发⽣的各种企业内外部的因素。
外部因素包括经济、商业、⾃然环境、政治、社会和技术因素等，内部因素反映出管理者所做的选择，包括企业的基础设施、⼈员、⽣产过程和技术等事项。
四、风险评估风险评估可以使企业了解潜在事项如何影响企业⽬标的实现。
管理者应从两个⽅⾯对风险进⾏评估――风险发⽣的可能性和影响。
五、风险反应管理者可以制定不同风险反应⽅案，并在风险容忍度和成本效益原则的前提下，考虑每个⽅案如何影响事项发⽣的可能性和事项对企业的影响，并设计和执⾏风险反应⽅案。
考虑各风险反应⽅案并选择和执⾏⼀个风险反应⽅案是企业风险管理不可分割的⼀部分。
有效的风险管理要求管理者选择⼀个可以使企业风险发⽣的可能性和影响都落在风险容忍度范围之内的风险反应⽅案。
coso框架的主要内容
coso框架的主要内容
COSO框架是指控制与内部审计框架（The Committee of Sponsoring Organizations of the Treadway Commission，COSO）开发的一种管理框架，旨在帮助组织建立有效的内部控制体系。
COSO框架的主要内容包括：
1. 控制环境（Control Environment）：指组织内部的控制文化和价值体系，包括组织的管理风险意识、道德价值观、人员背景和能力等。
2. 风险评估（Risk Assessment）：指组织对内外部风险的识别、评估和应对措施的制定，以确保风险可控。
3. 控制活动（Control Activities）：指组织内部制定的控制政策和程序，以确保风险得到适当的管理和控制。
4. 信息与沟通（Information and Communication）：指组织内部的信息系统和沟通渠道，包括信息的收集、处理、传递和使用等，以支持内部控制的有效运作。
5. 监督（Monitoring）：指组织对内部控制的监督和评估，包括内部审计、自我评估和外部审计等，以确保内部控制体系的持续有效性。
这些内容共同构成了COSO框架，可以帮助组织建立和维护一个有效
的内部控制体系，提高组织的运营效率和风险管理能力。
COSO企业风险管理–整合框架
• 风险容量 风险容量是一个主体在追求价值的过程中所愿意 承担的广泛意义上的风险的数量。它反映了企业 的风险管理理念，进而影响了主体的文化和经营 风格。
• 战略目标 是高层次的目标，它与主体的使命/愿景相协 调，并支持后者。战略目标反映了管理当局就 主体如何努力为它的利益相关者创造价值所作 出的选择。
• 经营目标 经营目标关系到主体的有效性和效率，主要反映 主体运营所处的特定的经营、行业和经济环境。
• 报告目标 可靠的报告目标为管理当局提供适合既定目的的 准确而完整的信息。它支持管理当局的决策和对 主体活动和业绩的监控。
十一、信息与沟通
每个企业都要识别和获取与管理该主体相关的设 计到外部和内部事项和活动的广泛的信息。这些 信息一保证员工能履行他们的企业风险管理和其 它职责的形式和时机传递给员工。
• 信息 来自内部的和外部来源的经营信息，包括财务的 和非财务的与多个经营目标相关。
设计和利用信息系统的目的是支持经营战略。
• 影响因素 管理当局需了解外部因素和内部因素以及由此可 能产生的事项的类型。 外部因素包括：经济因素、自然环境因素、政治 因素、社会因素、技术因素 内部因素包括：基础结构、人员、流程、技术
• 事项识别技术 主体的事项识别方法可能包含各种技术的组合， 以及支持性的工具。 事项识别既关注过去，也着眼于未来。
• 沟通
沟通渠道应该确保员工能够在各个业务单元、过 程或只能机构之间平行地以及向上沟通给予风险 的信息。
COSO企业风险治理框架
COSO企业风险治理框架1. 框架概述COSO企业风险治理框架由5个相互关联的组成部分组成，包括：内部环境内部环境是一个组织的基础，包括组织文化、风险承受能力和道德价值观。
这一组成部分确保组织能够有效管理风险并实现业务目标。
目标设定目标设定明确了组织的目标，并确定实现这些目标所需的资源和方法。
通过明确定义和沟通目标，组织能够更好地识别和处理风险。
事件识别事件识别是指识别可能对组织实现目标产生积极或负面影响的事件或情况。
通过早期识别和评估，组织能够及时采取措施来管理和应对风险。
风险评估风险评估涉及对已识别的风险进行分析和评估，确定其可能性和影响程度，并优先处理高风险事件。
这有助于组织在有限的资源下更有效地管理风险。
控制活动控制活动是指组织采取的措施来减轻和控制风险的行动。
这包括制定和执行内部控制措施、建立监控机制以及对风险进行持续监测和评估。
2. 应用COSO企业风险治理框架的好处应用COSO企业风险治理框架可以带来以下好处：- 提供一种系统性的方法来管理企业风险，有助于组织识别和解决风险问题。
- 通过明确的目标设定和风险评估，帮助组织更好地管理资源和应对挑战。
- 建立内部控制机制，提高组织运营的效率和效果。
- 为监管机构、投资者和其他利益相关者提供一种可信的风险管理框架，增强组织的声誉和信任度。
3. 应用COSO企业风险治理框架的要求要有效应用COSO企业风险治理框架，组织应考虑以下要求：- 高层管理人员应从组织文化和领导力方面支持和推动框架的应用。
- 组织应在内部环境、目标设定、事件识别、风险评估和控制活动五个方面建立有效的管理措施。
- 框架应根据组织的特定需求进行定制，考虑不同的业务风险和环境要素。
- 组织应持续监测和评估风险管理的有效性，并根据需要进行调整和改进。
4. 结论COSO企业风险治理框架是一种有效的风险管理工具，可以帮助组织识别、评估和应对风险，提高管理效能和组织绩效。
通过应用该框架，组织能够更好地实现业务目标并维护其声誉和信任度。
内部控制框架的新发展——企业风险管理框架——COSO委员会新报告《企业风险管理框架》简介
内部控制框架的新发展——企业风险管理框架——COSO 委员会新报告《企业风险管理框架》简介内部控制框架的新发展——企业风险管理框架——COSO委员会新报告《企业风险管理框架》简介近年来，随着企业经营环境的不断变化，风险管理逐渐成为企业内控的重要组成部分。
在这一背景下，COSO（内部控制框架委员会）发布了最新报告《企业风险管理框架》，为企业提供了一种新的内部控制框架。
本文将对该报告进行简要介绍和分析。
报告的核心思想是企业风险管理的重要性。
它强调，企业需要建立有效的风险管理体系，以应对内外部风险对企业经营的影响。
报告指出，一个成功的企业风险管理框架应包含以下五个组成要素：内部环境、目标设定、风险评估、风险响应和风险监控。
首先，内部环境是一个企业风险管理框架的基础。
企业需要建立一种风险管理的文化，以确保员工都意识到风险管理的重要性，并且愿意积极参与。
其次，目标设定是企业风险管理的关键步骤。
企业需要确立明确的目标，将风险管理融入到企业的战略和操作中。
只有明确的目标才能指导企业的风险管理活动。
第三，风险评估是企业风险管理的核心。
企业需要识别和评估潜在的风险，并确定它们对企业目标的影响程度。
这包括内部风险和外部风险的评估，以及识别可能造成损失的潜在事故和事件。
第四，风险响应是企业风险管理的关键环节。
报告强调，企业需要采取适当的措施来管理和应对风险。
这包括防范措施、减轻措施和转移措施。
企业还应制定应急计划和恢复计划，以便在风险发生时能够及时做出反应。
最后，风险监控是企业风险管理的必要步骤。
企业需要建立一套有效的风险监控机制，以确保风险管理策略的有效执行，并及时调整策略以应对新的风险。
除了以上五个组成要素外，报告还指出了两个关键概念：信息与沟通和监察。
信息与沟通是风险管理过程的基础，企业需要确保相关信息能够及时准确地流通，并与相关方进行有效的沟通。
监察是为了保证风险管理活动的合规性和效果，在报告中被视为一个至关重要的因素。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
一、导言中航油巨亏事件,对国内外相关各方都产生了重大冲击和深远影响。
由于中航油的国企背景,该事件对我国的国家信用以及我国企业海外上市前景都产生了负面作用。
与中航油事件几乎同期发生在国内的伊利股份高管被拘风波、创维数码董事局主席被捕以及金正数码和深圳石化原董事长被捕等事件,也给我们提出了一个相同的问题:我们的企业到底出了什么问题?就在此时,国际著名的反虚假财务报告委员会(即Treaday委员会)于2004年年底,针对国际企业界频繁发生的高层管理人员舞弊现象,废除了沿用很久的企业内部控制报告,颁布了一个概念全新的COSO报告:即《企业风险管理——总体框架》(Enterprise Risk Management,简称ERM)。
此报告虽然保留了部分传统内部控制的某些概念,但不论在框架上、还是在要素方面,均有相当大的突破。
在如此赞誉之下的新内部控制框架,它出台的背景与动机又是什么?其具体内容究竟是什么?它能为我国企业内部控制的改善带来什么意义?这是我们需要分析的内容。
二、COSO委员会新报告《企业风险管理——总体框架》解读内部控制理论是随着企业内控实践经验的丰富而逐渐发展起来的,大致经历了内部牵制、内部控制系统、内部控制结构和内部控制整体框架四个理论阶段(储稀梁,2004)。
由美国注册会计师协会(AICPA)、美国会计学会(AAA)、财务经理协会(FEI)、国际内部审计师协会(IIA)和管理会计师协会(IMA)五大学会共同组成的Treadway 委员会,于1992年发表,并于1994年修订的《内部控制——整体框架》报告,标志着内部控制理论与实践进入了整体框架的新阶段,并被世界上许多企业所采用。
尽管如此,理论界和实务界还是认为该内部控制框架有些局限性,如对风险强调不够,使得内部控制无法与企业的风险管理相结合(朱荣恩,贺欣,2003)。
2004年10月份发布的企业风险管理(Enterprise Risk Management,ERM)框架就是在1992年报告的基础上,结合《萨班斯一奥克斯法案》(Sarbanes—Oxley Act)的相关要求扩展研究得到的。
与传统内部控制内容相比,新框架有了较多的变化。
这些变化主要包括如下几个方面:(一)企业风险管理对内部控制内涵的发展1992年COSO报告对内部控制的定义是:“内部控制是一个受到董事会、经理层和其他人员影响的过程,该过程的设计是为了提供实现以下三类目标的合理保证:经营的效果和效率、财务报告的可靠性、法律法规的遵循性。
”内部控制的定义明确了四个要点:(1)是一个过程;(2)受人为影响;(3)为了达到三个目标;(4)合理保证。
这个定义尽管非常宽,但从某种角度来说,又比较模糊,存在某些片面性。
故原COSO报告1992年出版后不久,就有声音批评该报告缺乏保障资产的概念。
例如美国审计总署(GAO)认为,这个文件对于内部控制的重要性的强调还不够,它丧失了提高内部控制监督和评估的机会。
美国前总审计长查尔斯.鲍雪(Charles Bowsher)曾经说:“对有效控制的最大需求可能是在信贷组合领域。
……一份没有丝毫谈及信贷组合的有关内部控制的财务报告是没有任何用处的。
”(Craig James L,1993)但当时的COSO主席罗伯特.L.梅(Robert L.May)则认为,保障资产的考虑更适合作为一种经营控制(Steven J Root,2004)。
由于美国审计总署的影响巨大(例如可能使银行等认为COSO报告与其无关),如果COSO报告不根据其要求进行修改的话,从一开始就可能面临被抛弃的命运。
最后妥协的结果是,在1994年修订后的报告上,提出了“保障资产的内部控制”的概念,即“预防未经授权的获得、使用或处理资产,…”。
可见,这一概念是非常勉强地运用在内部控制框架中。
而新的ERM框架非常明确了对保护资产概念的运用。
新报告认为“保护资产”或者“保护资源”是一个广义的概念,资产或资源的损失可能由于偷盗、浪费、无效率或错误的商业决策等。
因此,广义的“保护资产”目标范围集中为特定的报告目标,使得保护资产适用于所有未经授权的获得、使用、处置资产。
又如,内部控制与管理活动有什么区别?在原报告中并不清晰。
有些对错误纠正的管理行为,并不包括在原有COSO报告的内部控制活动之中。
而新的ERM框架已经将纠正错误的管理行为明确地列为控制活动之一。
ERM框架对内部控制的定义明确了以下内容:(1)是一个过程;(2)被人影响;(3)应用于战略制定;(4)贯穿整个企业的所有层级和单位;(5)旨在识别影响组织的事件并在组织的风险偏好范围内管理风险;(6)合理保证;(7)为了实现各类目标。
对比原来的定义,ERM概念要细化的多。
由于新CO.SO报告提出了风险偏好、风险容忍度等概念,使得ERM的定义更加明确、具体。
同时,ERM又涵盖了内部控制所有合理的内容。
(二)企业风险管理对内部控制目标的发展在1994年《内部控制——整体框架》中,内部控制有三个目标:经营的效果和效率、财务报告的可靠性和法律法规的遵循性。
ERM整体框架中除了经营目标和合法性目标与内部控制整体框架相似以外,还将“财务报告的可靠性”发展为“报告的可靠性”。
原COSO报告把财务报告的可靠性界定为“编制可靠的公开财务报表的,包括中期和简要财务报表,以及从这些财务报表中摘出的数据,如利润分配数据”。
新报告则将报告拓展到“内部的和外部的”“财务的和非财务的报告”,该目标涵盖了企业的所有报告。
除此之外,新COSO报告提出了一类新的目标——战略目标。
该目标的层次比其他三个目标更高。
企业的风险管理在应用于实现企业其他三类目标的过程中,也应用于企业的战略制定阶段。
(三)企业风险管理对内部控制要素的发展1994年COSO报告《内部控制——整体框架》中,提出了五个要素:控制环境、风险评估、控制活动、信息和沟通、监督。
ERM框架对这五个要素进行深化和拓展,将其演变为八个要素。
例如,ERM框架引入风险偏好和风险文化,将原有的“控制环境”扩展为“内部环境”。
又如,虽然内部控制整体框架和ERM框架都强调对风险的评估,但风险管理框架建议更加透彻地看待风险管理,即从固有风险和残存风险的角度来看待风险,对风险影响的分析则采用简单算术平均数、最差情形下的估计值或者事项分布等技术来分析(朱荣恩,贺欣,2003)。
再如,由于原报告仅提出三个目标,因此“信息与沟通”中的信息仅仅指与这三个目标相关的信息。
而新的报告包括了与组织的各个阶层、各类目标相关的信息,这就对管理层将巨量的信息处理和精炼成可控的信息(actionable information)提出了挑战。
原COSO报告仅提出风险识别,但是并没有区分风险和机会。
ERM 框架则将风险定义为“可能有负面影响的事项”,并且引入了风险偏好、风险容忍度等概念,将原有的风险评估这一要素,发展为目标设定、事项识别、风险评估和风险反应四个要素,使得原有的内控五要素发展为风险管理八要素。
(四)相关角色和任务的变化新老COSO报告都将组织的董事会、管理层和内部审计和其他职员看成是相关责任人。
在内部控制框架和ERM框架中,董事会都提供管理、指引和核查。
虽然董事主要提供监督,但是也提供指导以及批准战略、一些特殊交易和政策。
董事会既是内部控制的重要因素,也是企业风险管理重要因素。
ERM框架使董事会在企业风险管理方面扮演更加重要的角色——负总体责任,并且要求其变得更加警惕。
企业风险管理的成功与否在很大程度上依赖于董事会,董事会需要批准组织的风险偏好。
以前,当公司出现丑闻时,很多人问:“管理层怎么让这发生的”?现在,恐怕要问:“董事会怎么让这发生的”?(Dana R hermanson,2003)在新报告中,CEO必需识别目标和战略方案,并且将其分类为战略目标、经营目标、报告目标和遵循性目标四类。
每一个业务单元、分部、子公司的领导也需要识别各自的目标,并与企业的总体目标相联系(George Matyjewicz et al,2004)。
一旦设定了目标,管理层就需要识别风险和影响风险的事项、评估风险并采取控制措施。
在ERM框架中,内部审计人员在监督和评价成果方面承担重要任务。
他们必需协助管理层和董事会监督、评价、检查、报告和改革ERM。
对于内审人员来说,最大的挑战是在ERM中扮演何种角色?很多内审人员可能被要求提供ERM的教育和训练,甚至“处理企业风险管理过程”。
但是,新报告认为:内审人员并不对建立ERM体系承担主要责任。
还有文章提醒内审人员不要行使不匹配的职能。
(w.R.Kinveg,2003)内审人员职责的另一个变化是从原来对CFO和内审委员会负责,现在可能要对CFO、内审委员会和风险主管(risk officer,CFO)负责。
在ERM框架中,新增加了一个角色——风险主管或风险经理。
风险主管除了需要和其他管理人员一样,在自己的职责范围内建立起风险管理外,还要帮助其他经理人报告企业风险信息,并可能是风险管理委员会的成员之一。
三、以反虚假财务报告委员会的《企业风险管理——总体框架》来解读中航油事件中国航油(新加坡)股份有限公司是中国航空油料集团公司的海外控股公司。
经国家有关部门批准,新加坡公司在取得中国航油集团公司授权后,自2003年开始做油品套期保值业务。
在此期间,新加坡公司总裁陈久霖擅自扩大业务范围,从2003开始从事石油衍生品期权交易,同日本三井银行、法国兴业银行、英国巴克莱银行、新加坡发展银行和新加坡麦戈利银行等在期货交易场外,签订了合同。
陈久霖买了“看跌”期权,赌注每桶38美元,没想到国际油价一路攀升——2004年10月以后,新加坡公司所持石油衍生品盘位已远远超过预期价格。
根据合同,中航油需向交易对方(银行和金融机构)支付保证金,每桶油价每上涨1美元,中航油新加坡公司要向这些银行支付5000万美元的保证金,其结果导致中航油现金流量枯竭,实际损失和潜在损失总计约5.54亿美元。
(许俊,2004)事实上,陈久霖这种石油期权投机交易,其股东方中航油集团公司是明令禁止的。
国务院1998年8月1日《国务院关于进一步整顿和规范期货市场的通知》、2001年10月11日证监会发布的《国有企业境外期货套期保值业务管理制度指导意见》都明确规定了取得境外期货业务许可证的企业,在境外市场只能进行套期保值,不能进行投机业务。
1999年6月2日国务院发布的《期货交易管理暂行条例》,也规定了国有企业的期货交易仅限于从事套期保值业务(且命令禁止场外交易),并要求期货交易总量应当与其同期现货交易量总量相适应。
然而,中航油从事以上交易时,一直未向中国航油集团公司报告,而且中国航油集团也没有发现。
直到保证金支付问题难以解决、经营难以为继的情况下,新加坡公司才向中国航油集团公司紧急报告。