脱硫设备公司企业风险管理规划【参考】.docx

泓域/脱硫设备公司企业风险管理规划脱硫设备公司企业风险管理规划目录一、 公司简介3二、 应急计划4三、 危机管理6四、 风险回避常用的方法8五、 风险回避的概念10六、 风险管理组织体系的总体框架12七、 风险管理及审计部门的组织结构及职责设计17八、 董事会19九、 风险管理委员会和审计委员会21十、 运营风险管理的一般程序25十一、 运营风险管理理论与实务的发展27十二、 人力资源的特点及管理过程29十三、 人力资源风险管理的主要内容33十四、 产业环境分析38十五、 行业发展概况和趋势39十六、 必要性分析40十七、 SWOT分析说明41十八、 法人治理结构49十九、 组织机构及人力资源配置63劳动定员一览表64一、 公司简介（一）公司基本信息1、公司名称：xxx（集团）有限公司2、法定代表人：邵xx3、注册资本：570万元4、统一社会信用代码：xxxxxxxxxxxxx5、登记机关：xxx市场监督管理局6、成立日期：2014-2-187、营业期限：2014-2-18至无固定期限8、注册地址：xx市xx区xx（二）公司简介公司秉承“诚实、信用、谨慎、有效”的信托理念，将“诚信为本、合规经营”作为企业的核心理念，不断提升公司资产管理能力和风险控制能力。公司在“政府引导、市场主导、社会参与”的总体原则基础上，坚持优化结构，提质增效。不断促进企业改变粗放型发展模式和管理方式，补齐生态环境保护不足和区域发展不协调的短板，走绿色、协调和可持续发展道路，不断优化供给结构，提高发展质量和效益。牢固树立并切实贯彻创新、协调、绿色、开放、共享的发展理念，以提质增效为中心，以提升创新能力为主线，降成本、补短板，推进供给侧结构性改革。二、 应急计划应急计划是针对可能造成企业经营中断的小概率事件，事先进行安排，确保企业在事故发生后、恢复正常运作前保持生产的连续性，从而降低中断营业、客户关系、商誉等方面的损失。当然，应急计划对腿风、洪水等大范围的巨灾事故，通常也是无能为力的。应急计划与上文的风险回避、因子管理、损失预防等风险应对技术都有关，一般可分为识别重大的意外事件、描述和分析意外事件的演进过程、针对意外事件设计修复和管理方案、建立危机管理中心、测试和更新应急计划、估计事故损失、事后明确责任归属等一系列活动。识别重大意外事件类似于风险识别，所不同的是前者主要关注可能使企业营业中断、带来重大损失的事件，而后者旨在衡量风险本身。制定应急计划，通常从企业整体出发，分析和确定少数几个关键的环节或资源。比如，涉及电子交易的金融企业必须时刻跟上金融市场的节奏，不容片刻的差错或故障，因此，系统稳定性就是最关键的因素，而有些财务报告就显得次要一些了，有时因特殊情况推迟几周也影响不大。多数重大意外事件是不可控的、损失巨大的，而且往往会导致商誉损失。比如，可以将可能在未来40年内发生或在过去一年内本行业有一个以上的企业发生的损失事件视为重大意外事件。应急计划与管理（1996，5）刊登了一篇题为“财富1000家与危机管理”的文章，列示了关于高级经理对不同风险因素的重要性排序的调查报告。调查发现，各类风险按被调查者关注程度从高到低依次为：股价下跌、企业丑闻、恶意接管、企业兼并、规模缩减、基本设施停业、工会纠纷、产品积压、侵犯产权和专利权、洗钱交易、伪造、谣言、媒体危机等。描述和分析意外事件的演进过程旨在明确特定意外事件在不同时间对企业的影响，以及时间敏感性的程序和资源的恢复周期等，有时还要进一步显示可能导致意外事件的原因，作为高级管理层制定风险管理和应急计划的决策依据。应急计划所需考虑的意外事件比较难以预测，与人相关的意外事件可能起因于设计不合理、粗心、偷盗、纵火、恐怖活动、绑架、间谍活动等，与基础设施相关的意外事件包括建筑问题、水电供应、燃料短缺、电缆线中断等。应急计划必须包括一个危机管理中心，事先指定特定的员工组成危机管理小组，根据各种可能事件的严重程度分别设计修复和管理方案，并进行定期监测和更新。应急计划的另一个重要组成部分是估计意外事件的应急资金，类似于损失准备金，以便在事故发生后，应付发生的直接损失及间接损失。一般地，可以从三方面去评价应急计划，首先是可靠性，即该计划对重大意外事件的保障程度；其次是可行性，通常考虑企业恢复正常经营所需的时间；最后是成本与效益分析，即企业资源和程序改变后该计划的成本和适应性，这一点在许多情况下是最为关键的。三、 危机管理由于有些重大损失事件是难以预料、难以控制的，或者预测和防范的成本过高，而必须求助于危机管理，即在危机发生后，如何解决危机并从中吸取教训。危机管理不能替代应急计划，而只能视为应急计划的后续措施之一。简单地讲，企业危机管理是为了尽可能减少企业和其利益相关者的损失而对企业危机进行预防和处理的过程。完整地讲，企业危机管理是危机管理者通过危机信息分析，危机应对计划、组织、控制、领导等职能管理过程来最大程度地降低企业和其各个利益相关者可能遭受的各种损害，最终保障企业整体安全、健康和持久运行的动态过程。从危机形成的诱因分类，主要结合企业内外环境及是否人为，有以下4种类型的危机。（1）企业内部人为危机是由于企业内部人为而造成的，是企业通过加强有效的危机管理基本可以避免的。又可分为企业公共关系危机、企业营销危机、企业人力资源危机、企业信用与财务危机、企业发展和战略危机等。（2）企业内部非人为危机主要是由于企业内部工业意外、灾害事故所引发的危机。例如，环境污染、爆炸塌方、有毒有害化学物品泄漏等所引起的非常事件而对企业造成的巨大人财物损害危机。对这类危机的策略是定期对企业重大设备检查，对主要污染物质、可能发生的重大事故的原材料、能源进行专人专库保管，对事故隐患一经发现，应该立即处理。（3）企业外部人为危机主要是由企业外部人为因素造成的对企业不利的事件，如有人恶意在产品中下毒、恐怖袭击、严重的产品仿制及造谣中伤等。对这类危机事件的基础应对策略是启动危机应对计划和反应机制，树立企业良好形象，做好企业与社会各类公众、利益相关者的日常沟通基础工作。（4）企业外部非人为危机是指企业外部环境中重大自然灾害、战争、行业或经济危机等不可抗因素造成的直接影响企业正常生产经营活动的严重事件。这种危机是非人力所能及的，所以危害性较大。对这些危机的基本应对策略是立即与企业内部员工沟通，启动危机应对计划和反应机制，配合政府行动，保护好企业人员和财产的安全，在危机过后尽快恢复生产经营活动，力争将损失补回来。在危机处理过程中，必须确保危机处理小组成员的必要权限，能够及时获得客户信息，办公设备、通信设施等关键的企业资源，并分配到最为紧要的环节。危机之后，企业要总结经验教训，提升风险管理水平。四、 风险回避常用的方法风险回避常用的方法有剥离、禁止、终止、锁定、筛选和消除。（一）剥离剥离是指通过退出某市场或地域，或出售、清算，或分立某产品类别或业务等措施剥离资产。剥离资产方式常常发生在经济不景气、资源紧缩、产品滞销甚至出现重大的内部矛盾、财务状况恶化及原先的经营领域处于明显劣势的时候。当企业现有经营领域的市场吸引力微弱，获利丧失而趋向衰退时，市场占有率受到侵蚀，企业经营活动受阻，或者企业发现了更好的领域和机会时，为了捕捉和利用这一机会，有意从原来的领域脱身，转移阵地，另辟新径。企业在采取减少投资、压缩开支、削减人员的同时，也会考虑将经营领域或是生产线出售给该领域的市场追随者或市场新进入者，从而实现企业长远的经营目标。当战略失效，企业受到全面威胁、濒于破产时，企业也会选择清算方式将企业的资产转让、出售。通过出售，企业可以去掉经营赘瘤，快速回收资金，有的放矢，合理配置资源以发展新的事业领域，从而转移风险。出售财产转移风险，是因为实体的权属问题与风险概念是密不可分的。通常以实体所有权转移的时间作为风险转移的时间，其理论依据在于：转移实体所有权是买卖合同的主要特征和法律后果，风险和利益都是基于所有权而产生的，是所有权的法律后果。因此，当实体所有权因买卖合同生效而发生转移时，风险也随之发生转移。这类似于货物买卖中的“物主承担风险”的原则。当实体（货物、权力或服务）本来在卖方手中时，他无可避免地承担着占有或经营该实体的风险。通过出售，所有权从卖方手中转移到买方手中，买方就需要对该实体承担全部的风险后果。在大多数情况下，谁拥有实体的所有权，风险就在谁手中。但是在某些特殊的场合，虽然实体处于卖方手中，但风险却已经转移到买方手中，或者实体在买方手中，但风险仍由卖方承担。出售的风险转移问题，当事人可自行规定，并不需要强行规定。只有当事人选择法律规定或未自行约定时，法律规定才有效。在出售实践中，风险转移条款并未在合同中订立。基于出售方式的风险转移以实体交付为标准，这是风险转移的基本条件，因此如何判定实体交付是通过出售方式来实现风险转移的基础。通常情况下是卖方将实体的占有和实际控制权移交给买方。（二）禁止禁止是指企业通过适宜的企业政策，风险限额架构及标准，禁止企业从事风险性大的，或产生财务损失和资产敞口的活动和交易。（三）终止终止是指企业通过重新确立目标，调整战略和政策的重心或者改变资源配置方向，终止某些业已进行的活动和交易。（四）锁定锁定是指企业提高业务发展和市场扩张的针对性，避免追逐偏离企业战略的机会。（五）筛选通过对企业的资本项目和投资活动进行筛选，以回避低收益、偏离企业战略或高风险的行动计划。（六）消除消除是指通过规划和实施内部预防流程，从源头上消除风险，使风险事件的发生概率降低为零。五、 风险回避的概念风险回避是指考虑到影响预定目标达成的诸多风险因素，结合决策者自身的风险偏好和风险承受能力，从而做出的中止、放弃某种决策方案或调整、改变某种决策方案的风险处理方式。风险回避是一项有意识不让个人或者企业面临特定风险的行为。从某种意义上说，风险回避是将风险发生的概率降低为零。风险回避是各种风险应对技术中最简单的方式，同时也是较为消极的一种方式，它可以在事前、事中使用。在事前放弃某项活动，从而避免该活动可能带来的风险，或在计划进行过程中变更某项计划，从而避免原计划可能带来的损失。比如，某信贷机构在一项贷款的资信调查过程中，发现一家贷款申请企业的财务状况良好，但产品缺乏市场竞争能力，这项贷款即存在一定的风险。假如近期内企业不能开发新产品，扩大市场竞争能力，一段时间后可能发生亏损，从而难以按时偿还这笔贷款。为避免此类风险的产生，贷款机构将拒绝为该企业提供贷款。又比如，某化工企业计划生产一种新产品，在可行性研究过程中，发现该产品可能产生一定的辐射性，会严重损害消费者的身心健康，那么企业决策层就可以考虑放弃该产品的研发和生产计划，彻底消除因生产该产品而可能带来的产品责任损失暴露和潜在的经济损失。如果企业已经开始某项经营活动，给企业造成了重大的损失或破坏，而且这种情况还将继续下去，因没有有效的补救措施而主动终止这一经营活动，以免产生更大的损失，这就属于事中采取风险回避措施。如果上述化工企业因考虑不周、论证不充分而仓促上马，在产品销售过程中因客户起诉才发现产品存在严重的缺陷，这时，企业应立即停止生产和销售，收回各销售网点的待售产品，以免损失进一步扩大。事中的风险回避技术只能防止风险暴露的进一步扩大，而不能消除已有的风险暴露，如已出售产品的责任损失暴露。六、 风险管理组织体系的总体框架1、风险管理的第一道防线：业务单位与相关职能部门业务单位与相关职能部门是企业中的业务经营单位，有特定的目标、战略、市场、客户和产品。成功的业务单位了解自己的竞争对手、客户及所面临的机遇和风险。它们管理和监督经营活动，以创造利润、服务客户、提高产品质量、缩短周期和降低成本；按足以能负担相关成本和风险的价格，向目标的细分市场提供产品和服务，同时还要能够为股东挣得在风险扣除后仍可接受的回报。业务单位向总经理和企业执行委员会汇报业务活动。业务单位与相关职能部门包含了企业大部分的资产和业务，它们在日常工作中直接面对各类风险，风险是他们最先要考虑的。在推出新产品、进入新市场或投资新的研发项目时，业务单位和相关职能部门经常要承受风险。此外，在客户关系、供应商关系、雇员关系及自己所管理的专有资产等方面，业务单位与相关职能部门也面临许多风险。他们需要了解这些会对其产生影响的风险和不确定因素，并且应该有能力对其进行管理。实质上，身处第一线的业务与相关职能单位的管理层不仅负责管理所选定的经营模式中许多固有风险，也是防范这些风险的第一道防线，是企业风险管理的最前线。企业必须把风险管理的手段和内控程序融入到业务单位的工作与流程中，才能建立好防范风险的第一道防线。企业建立第一道防线，就是要各业务单位就其战略风险、财务风险、市场风险、运营风险和法律风险，进行系统化的识别、衡量、评价、管理和监控。要建立好第一道防线，企业的各业务单位和相关职能部门需要进行以下工作。（1）调整风险排序、风险容忍度和风险战略，使其符合全企业的政策和指导方针。（2）按照企业的整体风险承受能力，调整经营和产品开发活动的针对性，从而为企业开辟新的价值来源。（3）识别和度量风险，查明风险的来源。（4）为各项流程确定基准，交流最佳实践方法，以期持续地改进各项措施和流程。（5）向主要的经理分派风险管理职责和责任。（6）就风险应对措施、控制活动以及信息与沟通的整体质量进行报告。2、企业风险管理的第二道防线：风险管理委员会和风险管理职能部门第二道防线是在第一道防线基础上建立一个更高层次的风险管理功能，它的组成部门可以包括董事会下的风险管理委员会、投资审批委员会、信贷审批委员会等和风险管理职能部门。风险管理职能部门是企业风险管理解决方案中一个选设的部门。在企业经营模式中，有些固有的特定风险不由业务单位予以管理，或者从企业的角度来说没有得到有效的管理，那么，按照风险组合观，这些特定的风险就由风险管理职能部门负责管理。风险管理职能部门的目标是使同一个或多个风险相关的管理工作发展成为企业的一项核心能力。风险管理职能部门可能负责管理的风险包括：利率风险、货币风险、商品价格风险、信用风险、气候风险及灾难风险等。它们评估、集中控制、降低、转移和利用自己负责的这些风险。当业务单位考虑承担某些风险，而自己又没有相关知识和专门技能予以管理时，风险管理职能部门就和它们合作，给予帮助。对企业经营战略实施来说，风险管理职能部门常常会起到非常重要的促进作用。风险管理职能部门可以由企业的某个职能部门或独立运作的单位组成，责任是领导和协调企业内各单位在管理风险方面的工作，它的主要职责包括以下几点。（1）编制规章制度。（2）对各业务单位的风险进行组合管理。（3）度量风险和评估风险的界限。（4）建立风险信息系统和预警系统、厘定关键风险指标。（5）负责风险信息披露，沟通、协调员工培训和学习的工作。（6）按风险与回报的分析，为各业务单位分配风险管理相关资源。相对于业务部门而言，风险管理部门会克服狭隘的部门利益，能够从企业整体利益角度考察企业所面临的各类风险。此外，风险管理部门还可以综合平衡各部门风险。企业在不同的发展阶段，各部门所面临的风险往往是不同的。而作为风险管理职能部门，则需要根据一定的原则，将风险分配于不同部门，对每个部门进行风险上限控制。风险管理总监（风险经理或首席风险官）对风险管理委员会直接负责，但对总经理（执行总裁）负有汇报责任。同样，风险管理职能部门经理直接对风险管理总监负责，但对策略性业务部门负责人负有汇报责任。3、企业风险管理的第三道防线：审计委员会和内部审计部门第三道防线涉及一个独立于业务单位的部门，监控企业内控和其他企业关心的问题，这就是企业的内部审计部门。美国内部审计师协会对内部审计所下的定义是：内部审计是一项独立、客观的审查和咨询活动，其目的在于增加企业的价值和改进经营。内部审计通过系统的方法，评价和改进企业的风险管理、控制和治理流程的效益，帮助企业实现其目标。内部审计师应就管理层的决策提出劝告和质疑或表示支持，而不是对风险管理作出决策。依据上述观点，内部审计师协会还确定了在企业风险管理实施中内部审计的核心角色及不应承担的角色。其中核心角色包括以下几点。（1）为企业风险管理流程提供保障。（2）确保风险得到正确的评估。（3）评估风险管理流程。（4）评估关键风险的报告工作。（5）检查对关键风险的管理工作。内部审计不应承担以下职责。（1）设定风险承受能力。（2）批准和命令实施风险管理流程。（3）在就风险及风险管理绩效提供保障方面承担管理角色。（4）决定风险应对的决策。（5）代表管理层实施风险应对措施。（6）接受对风险管理的责任。另外，内部审计师学会特别指出内部审计还可以承担上述两种极端角色之间的其他一些“合理合法的内部审计职责”，但前提是要有适宜的安全保障措施存在。（1）协助风险的识别和评估。（2）指导管理层对风险作出应对。（3）协调企业风险管理活动。（4）综合对风险的报告。（5）维持和完善企业风险管理框架。（6）领导建立企业风险管理。（7）制定风险管理战略，呈报董事会审批。总之，内部审计可以通过评估风险识别的充分性，评价已有风险衡量的恰当性，以及评估风险防范措施的有效性等三方面参与企业风险管理工作，不应主导企业的风险管理工作。企业的内部审计工作是对各业务部门和风险管理职能部门的风险管理活动进行再监督，而不是亲自参与每项风险的评估与控制。内部审计总监对审计委员会直接负责，但对执行总裁负有汇报责任。同样，内部审计员直接对内部审计总监负责，但对各策略性业务部门负责人负有汇报责任。七、 风险管理及审计部门的组织结构及职责设计风险管理体系中风险管理及审计部门的组织结构各部门的职责如下。1、风险管理委员会（1）由董事会正式授权监管风险活动，并须确保行政总裁的风险责任作适当履行。（2）主要职责包括制定符合企业风险容忍度的风险管理策略，批准风险管理政策及程序。2、风险管理职能部门（1）风险管理职能部门是风险管理委员会的全职执行机构，通过对逐单交易及风险组合资料的审查及预先/事后批准来确保风险管理政策和程序得到遵守。（2）通过风险管理经理在营运单位的日常工作及风险管理总监等参与行政管理执委会并对重大事故向行政总裁作出汇报等渠道建立与管理部门（行政总裁/行政管理执委会/营运单位）的汇报机制。3、审计委员会（1）由董事会正式授权对财务报告和内控框架的效率和成效进行独立评核。（2）审阅财务报告/资料以确保法律法规得到遵守。4、内部审计部门（1）内部审计部门是审计委员会的全职执行机构，通过周期/临时审查业务部门和职能单位的具体运作来监察它们对营运的政策及程序的遵守情况。（2）通过与市场及信贷风险主管保持紧密联系，了解确保风险管理政策及程序得以遵守的具体运作过程和相关文件，以便设计适当的审计步骤和执行方法。（3）与风险管理总监、信贷风险主管、市场风险主管及营运风险主管等讨论分析不遵守风险政策的事件及其产生的风险影响及必要的纠正措施等。八、 董事会我国公司法对董事会、股东大会和总经理的责权进行了较为明确的划分，董事会在其中居于相对核心的地位。董事会是企业风险控制框架构建的核心，它需要对风险管理的目标确立、组织建立、制度订立与执行以及审计与监控负责。相对而言，董事会居于风险控制框架的核心具有一定的优势。首先，由于股东大会召开频率较低，而且股东水平参差不齐，甚至存在众多根本不关注企业日常经营的股东，所以股东大会难以肩负起建立风险管理体系和监督其实施的重任。其次，如果总经理居于风险控制框架的核心，容易导致自我监管的弊病，并且会诱发其追求短期利益的机会主义倾向。相反，如果确立以董事会为核心的风险管理体系，一方面能够保持一定的监管独立性，另一方面也可以保证站在更高的、更全面的角度进行风险管理决策。董事会就企业全面风险管理工作的有效性对股东大会负责。它了解重大风险，并对企业风险管理的基本成分负最后责任，这包括风险战略、容忍度及重大政策。董事会在全面风险管理方面主要履行以下职责。（1）创造良好的风险控制环境。控制环境是风险管理活动得以开展的土壤。好的控制环境要求从董事会向企业传达积极稳健的管理哲学和经营风格，同时还要以身作则带头实践正直、诚信的道德规范，督导企业风险管理文化的培育。建设风险管理组织体系也是董事会的职责。董事会可以设立风险管理委员会和内部审计委员会两个专门机构，承担风险管理与评估及内外部审计的工作。董事会还需要安排总经理和风险管理总监的人选，以确保他们有能力执行风险管理政策。（2）审议并向股东大会提交企业全面风险管理年度报告。（3）确定企业风险管理总体目标及风险偏好或风险承受度，明确地排除偏离战略和不可接受的行为和活动。董事会需要根据对竞争环境和自身实力的判断，制定企业发展战略，并由此确定企业风险管理的总体目标、风险偏好或风险承受度。（4）以面对整个企业的全局视野，而不是面对业务单位或部门的狭隘视野来选择企业风险与回报的整体优化战略。（5）了解和掌握企业面临的各项重大风险及其风险管理现状，批准风险管理策略和重大风险管理解决方案，作出有效控制风险的决策。（6）批准重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制，批准重大决策的风险评估报告，在高风险领域实行有效的内部控制和核查与平衡机制。（7）批准内部审计部门提交的风险管理监督评价审计报告。（8）批准风险管理措施，纠正和处理任何组织或个人超越风险管理制度规定作出的风险性决定。（9）全面风险管理其他重大事项。九、 风险管理委员会和审计委员会（一）风险管理委员会具备条件的企业，董事会应下设风险管理委员会。该委员会的召集人应由不兼任总经理的董事长担任；董事长兼任总经理的，召集人应由外部董事或独立董事担任。该委员会成员中需要熟悉企业各项业务流程的董事，以及具备风险管理监管知识或经验的董事。风险管理委员会对董事会负责，向董事会提交风险管理决策和报告，主要履行以下职责。（1）提交全面风险管理年度报告。（2）审计风险管理策略和重大风险管理解决方案。（3）审议重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制，以及重大决策的风险评估报告。（4）对企业风险及管理状况和风险管理能力及水平进行评价，提出完善企业风险管理和内部控制的建议。（5）审议内部审计部门提交的综合性的风险管理监督评议审计报告。（6）审议风险管理组织机构设置及其职责方案。（7）办理董事会授权的有关全面风险管理的其他事项。（二）审计委员会企业还应在董事会下设立审计委员会。一般而言，企业审计委员会应由熟悉企业财务、会计和审计等方面专业知识并具备相应业务能力的董事组成，而其中主任委员需要由外部董事担任。审计委员会的关注焦点历来仅限于公开的财务报告风险，但是这种有限的关注范围随着时间的推移也可能会有所拓宽。纽约证券交易所的上市要求明确地规定：审计委员会章程在界定审计委员会的义务和责任时，应该规定审计委员会必须讨论管理层反映出的风险评估和管理的各项政策。风险评估是内部控制的一部分内容，评价内部控制就必然会以风险作为基础，因此，审计委员会可能会询问这个流程是否有效。涵盖全企业的风险评估流程也是实施企业风险管理的有效开端。在与高级管理层讨论风险评估和风险管理时，审计委员会应当做到以下几点。（1）讨论公司是否面临可能会影响品牌形象和声誉的未来潜在事件的风险（如灾难性损失、舞弊行为、非法行动、诉讼纠纷等）。（2）了解管理层对财务报告风险的评估情况，询问外部审计师是否认同前述的评估。（3）了解能诱发重大风险的财务报告方面的薄弱环节，如准备金、或有负债、估值、计算值和需要作出重大判断的披露领域。（4）了解在管理财务报告风险方面，自评和公司级及流程级监督工作的就绪落实程度。（5）了解内部审计师的风险评估和根据该评估而制定的审计计划。（6）询问有无经理人员负责关键风险的识别、评估、管理和监督工作，询问委员会是否应经常同这些经理开会，讨论其活动对公众报告及财务报告的影响意义。（7）了解管理层的企业风险评估结果及其对公众报告的财务报告的影响意义。审计委员会还负责指导监督企业内部审计部门，内部审计部门对董事会负责，其审计报告经审计委员会报董事会（或主要负责人）。内部审计部门在风险管理方面，主要负责研究提出全面风险管理监督评价体系，制定监督评价相关制度，开展监督与评价，并出具监督评价审计报告。在风险管理方面，企业内部审计部门具有以下职能。（1）对企业的财务收支、财务预算、财务决算、资产质量、经营绩效及其他有关经济活动进行审计监督。（2）对企业采购、产品销售、工程招标、对外投资等经济活动和重要经济合同进行审计监督。（3）对企业全面风险管理系统的合理性、健全性和有效性进行检查、评价和反馈，对企业有关业务的经营风险进行评估和意见反馈。（4）将内部审计结果反馈董事会及其他相关机构。内部审计参与企业风险管理具有一定的优势。首先，内部审计能够摆脱部门之间的利益冲突，较为客观全面地评价企业风险。其次，内部审计人员能够充当企业风险策略和各种决策之间的协调人，控制和指导风险策略。再次，由于内部审计独立于企业管理部门，其评价和结论可以直接向董事会报告，故比其他职能部门具有更大的影响力。最后，内部审计较外部审计而言具有更强的责任感，往往会就某个风险问题深入探讨分析，了解其发生的根源，探索其解决的办法。然而，由于内部审计在独立性上较外部审计具有先天的不足，所以审计委员会还必须借助外部审计师的力量，对企业风险进行评估，以降低企业的风险。十、 运营风险管理的一般程序运营风险管理的程序需根据企业运营过程的特点建立，需要对企业内部的运营活动过程进行全面的控制和监督。（一）运营风险的识别识别企业运营风险因素，可以遵循的一个思路是：首先，分析和研究企业运营活动的特点，识别企业运营系统中的价值创造流程，确立企业运营系统的核心流程；其次，通过对价值链模型的分析建立基于价值链的企业运营风险因素模型；再次，通过对企业运营活动中的价值创造过程的分析，确立企业风险因素的管理指标体系，建立基于价值链的企业运营风险因素指标分解模型。收集与运营风险相关信息的渠道可分为外部渠道和内部渠道。外部渠道有：行业信息网络平台、行业与专业机构的报告与调研或其他沟通平台、重大安全环保事件案例和金融衍生产品风险管理案例等。内部渠道有企业内部与市场策略制定、采购、销售、售后服务、生产等相关的工作流程和管理制度；企业重大运营风险事件案例；对现有流程制度的监管机制与报告；企业信息系统的管理与监控等。（二）运营风险的评估识别风险源后，需要对所收集的信息进行整理、分析和综合评估，为衡量运营风险管理提供更科学的依据。其中，对相关风险管理的现状和能力的评价，应当检查其是否合理、适当。然后确定企业运营风险因素指标体系，对运营系统的核心流程进行风险评估。一般可通过确定控制目标、定位数据来源、区分管理周期、确定指标权重的分配、从风险性质和风险影响程度两个方面制定量化公式和规则等步骤来设置风险因素指标体系，采用控制图等方法来实现对关键运营风险指标的有效管理。（三）运营风险的应对需关注以下要点。（1）对运营风险的不同来源进行衡量和排序，确立运营风险管理目标及相应的应对方案。为此，需要确定企业风险承受度、风险容量表述方法、风险容限。在实际执行中超出风险容限时，立即进行风险预警。（2）确立风险管理责任人：在企业组织结构内部引入了运营控制单元的概念，确定每一个OCU的风险管理责任人，负责监控企业日常运营过程。一旦发现问题，及时将相关信息反馈给OCU管理层，然后监督相关部门对所发现问题的跟进措施，形成一个动态的、循环的管理过程。（3）确定运营风险管理的应对措施：企业应当针对每一领域的运营风险制定特定的风险应对措施。每一项风险应当有专人负责，并最终落实到管理层和员工身上。各种应对措施应当为执行人所理解并真正实施。对风险管理责任人，应当赋予其管理职责范围内风险的责任。在需要的情况下，制定风险管理手册。（4）建立集成化运营风险管理信息系统：建立有效沟通渠道传递信息，及时反馈，确保运营风险管理体系的正常运行。企业可尽可能地建立集成化运营风险管理信息系统，建立清晰明确的风险等级和完备的风险数据库，使风险管理的过程简单明了，并实现风险信息的集成和共享，提高运营风险管理的效果、效率。十一、 运营风险管理理论与实务的发展（一）国外国际上，运营风险的理论与实务的发展，是随着金融类机构，尤其是保险业对风险管理关注的发展而发展的。保险是转移企业运营过程中纯风险的损失，对保险的管理也就是对运营过程中的风险进行管理。因而，随着保险业对风险管理关注程度的加深，运营风险管理的思想也在萌芽。到20世纪50年代，成本控制制度和内部控制制度的发展极大推动了运营风险管理的发展。20世纪80年代初，因受债务危机的影响，金融业开始普遍重视对信用风险的防范和管理，其结果是产生了著名的巴塞尔协议（1988）。该协议提出了商业银行的经营规范，标志着运营风险管理系统性研究的开始。其后更于2003年提出金融类机构运营风险的定义。20世纪90年代后，在非金融领域中相继出现严重的风险事件（主要由运营风险和战略风险造成），不仅降低了企业的绩效，而且给企业造成了重大损失，运营风险管理开始在非金融领域中得到了重视。实体企业的利益相关者们发现这些风险因素绝大部分能够管理却没能得到有效管理，风险管理逐步向监督、管理和控制有关组织机构的管理流程的方向发展。运营风险管理成为企业界和学术界研究的热点。其中，2002年7月，美国国会通过萨班斯法案（SOX法案），要求所有在美国上市的公司必须建立和完善内控体系以确保提交的财务报告的正确性，它是对运营风险管理的重要推动。而COSO委员会的ERM报告（2004）则是对运营风险进行控制和应对的原则及程序的重要指南。（二）国内在国内学术界，张纪康企业经营风险管理（1999），张继焦控制链管理：防范客户风险和应收账款风险（2003），张云起营销风险管理（2004），高立法等的企业经营管理实务（2009）等著作均是专门针对企业运营风险进行的研究。近年来，我国先后出台的一些法规政策，如企业国有资产监督管理暂行条例、内部会计控制规范、商业银行内部控制指引、证券公司内部控制指引、商业银行市场风险管理指引（征求意见稿）等，极大地推动了风险管理的发展，为运营风险管理的发展打下了坚实的基础。在国有资产监督管理委员会颁发的中央企业全面风险管理指引中更是明确提出了构建运营风险管理的实务要求。十二、 人力资源的特点及管理过程作为自然人的本身与企业其他资源存在重要区别，这一特殊性决定了人力资源风险的特殊性。从人力资源风险管理过程的角度，一般认为其风险一方面是来自于人力资源本身的特性，另一方面是来自于人力资源管理失效。（一）人力资源本身的特点1、人的心理及生理的复杂性一方面，人力资源的个体在决定自己行为时，表现出过程上的不确定性，主要表现在个体在信息获取、处理、输出及反馈时主体对客观的依赖性。另一方面，人力资源的行为表现出有限理性特征。赫伯特西蒙最早将有限理性概念引入经济学，并建立了有关过程理性假设的各种模型。他认为，人们只能在决策过程中寻求满意解而难以寻求最优解，行为主体打算做到理性，但现实中却只能有限度地实现理性。2、人力资源的能动性人力资源是生产力诸要素中最为活跃并唯一具有主观能动性的因素。人力资源的使用会受人的主观意愿和行为的影响，当人的主观意愿与组织的目标不一致时，就有可能造成组织目标的难以实现，并给组织带来损失。人力资源可以通过激励实现资源价值的不断增长，也可能由于激励不当，而导致消极价值的产生，甚至影响组织的发展。另外人力资源的能动性还决定了知识与行为不一致的可能性。3、人力资源的动态性人力资源的一个独特性还在于其自适应能力。人们可以在从事企业经营活动中学习理论知识，或向同行学习，或通过具体的工作在“干中学”，使得人力资源的素质在时间上呈现动态特征。当员工素质与组织目标一致时，有利于组织目标的实现；当员工素质的发展与组织目标不一致时，则会阻碍组织目标的实现。4、人力资源的流动性人力资源的能动性和动态性又决定了人力资源的流动性，具体表现为不可“压榨性”。人力资本作为天然的个人私产，其产权所有者，即人，能控制人力资本的开发和利用。人力资本产权本身所具有的自主性、排他性和可交易性的特征可能产生人才外流或无所作为等风险。（二）人力资源管理过程人力资源管理过程具有复杂性、人力资源管理的系统性及信息的不对称性等特征。1、人力资源管理的复杂性人力资源管理系统是兼有自组织系统特性与人造系统的全部特性。一方面，为严格劳动纪律维持企业生产秩序，需要相对固定的规章制度和量化的考核指标，从而对人力资源进行直观的、简单的管理；另一方面，由于人的心理及心理的复杂性，又必须辅以其他的模糊的、复杂的方法来调动人的劳动积极性。复杂多变的经济环境，还在进一步加大人力资源管理的不确定性。2、人力资源管理的系统性人力资源管理的系统性首先表现在系统的整体性，它是由相互依赖的若干部分组成的，但各个部分不是简单的组合，而是具有统一性和整体性。它把组织的整体目标与组织内员工的个人目标结合起来，实现组织整体和组织员工的共同发展。它强调相互依赖和开发利用两个原则。3、人力资源信息的不对称性由于信息的不对称，员工的行为具有非可测性，很难准确测度工作人员的行为，加上人力资本的产权特性，构成了人力资源管理的难点。工作人员靠他们自身的人力资源取得收益，其利己动机或者称为投机动机是普遍存在的。当信息的不对称性存在时，这种动机就有可能行为化。从而产生一种管理者与被管理者非协作、非效率的“道德风险”。在人力资源管理领域，信息的不对称可能产生合约前的逆向选择和合约后的道德风险。合约前的逆向选择，是指合约谈判中的信息不对称。在合约谈判中，拥有信息优势的一方可能欺骗信息劣势的另一方。如果信息劣势的一方预期到了对方的欺骗，就可能拒绝相信对方提供的信息。那么最终还可能导致谈判破裂：如果信息劣势一方未能发现对方的欺骗行为而与之缔约，那么信息劣势一方实际上就会面临信息优势方的逆向选择问题。而在劳动契约签订以后，如果企业掌握了员工生产的一切信息，包括努力程度和生产成果，那么企业就可以完全按照员工的努力程度和成果来支付工资，以刺激他们达到企业期望的目标。但现实中，企业虽然可以考核员工的生产成果，但有时候衡量成果相当困难。比如人事经理的业绩就很难衡量。企业也可以通过监督生产过程去考察员工的努力程度，并按照努力程度来支付工资，但是有时候有效的监督也很困难。因为一方面企业不可能时刻地监视员工的一言一行。另一方面即使能够如此，也难以确定被监视的员工在实质上是否努力（尤其是技术含量较高的工作）。因此，员工的工作信息对于企业来说始终是不完全的。十三、 人力资源风险管理的主要内容人力资源风险主要表现在以下方面。（一）人力资源管理制度风险人力资源管理相关制度包括：员工手册、岗位管理、人员招聘录用、劳动合同管理、定期考核、新员工岗前培训或新员工见习、员工培训、奖惩、薪酬分配、职业安全与劳动保护、社会保障等。这些制度如果设计不合理，或缺少必要的内容，则可能给企业带来重要损失。例如，如果企业与员工之间聘用与被聘关系过于简单和不规范，为员工流动打