近些年，企业风险管理（ERM）的热度持续升高。无论是在监管文件、管理培训，还是内部审计报告中，这一概念被频繁提及。然而，真正理解ERM的内涵并将其有效落地的企业却并不多。

本篇文章，我们结合COSO企业风险管理集成框架（2017）和实务经验，从五大核心组成部分出发，探讨企业如何建立一个具有战略价值的ERM体系，而不仅仅是流于形式的风险登记表，供参考。

01｜文化、治理与价值观：ERM的“地基结构”

很多组织在谈ERM时，习惯从“识别风险”或“建立流程”讲起，却忽略了最关键的一点：风险意识的根基，来自于组织文化与治理结构。

ERM的第一步，是回答这个问题：

在我们的组织中，管理层是否真的在乎风险？员工是否有勇气提出风险？

✔️ 如果高层追求“只报好消息”，基层自然不敢暴露问题；
✔️ 如果公司制度强调“结果导向”，但不追究过程中的风险决策，那么风险报告也只会变成走流程。

治理结构和文化，决定了ERM能不能“动真格”。

建议：

• 明确董事会和高管在ERM中的职责分工，如董事会负责监督，CRO负责执行；

• 在绩效考核中引入“风险管理行为”指标，避免只看结果不看过程；

• 建立内部举报机制与“心理安全”文化，鼓励员工反馈潜在问题。

02｜战略目标与风险容忍度：把ERM嵌入企业决策中

企业风险管理不是“查风险”，而是理解目标实现过程中的不确定性”。
ERM真正发挥价值的起点，是让风险管理与企业战略规划联动。

也就是说，风险识别不能脱离企业的目标环境，比如：

一个要快速扩张的企业，其风险主要在于资本杠杆、运营失控和人才跟不上，而不是库存或合规细节。

📌 COSO框架强调，在明确战略目标的同时，组织需要同步定义：

风险偏好（Risk Appetite）：组织愿意承受多大范围的不确定性？

风险容忍度（Risk Tolerance）：哪些情况是不可接受的红线？

🛠 建议：

• 战略制定阶段同步开展“目标风险扫描”，由战略部门与风控团队协同完成；

• 建立“关键风险地图”将目标与关键风险点关联，如增长目标 vs 信贷风险、合规风险；

• 风控部门应为董事会提供风险容忍度场景模拟报告，辅助其制定策略决策。

03｜风险识别与绩效管理循环：避免“年年复制”的风险清单

许多企业的风险清单多年未变，缺乏动态更新和场景思考。COSO将“绩效”定义为ERM中的第三核心组成部分，强调风险管理不应只是“登记式”操作，而应贯穿于业务运行全过程。

📌 核心环节包括：

• 风险识别

• 风险评估（概率与影响）

• 风险应对（转移、规避、接受或缓解）

• 风险监控与指标跟踪

而其中最被低估的部分，是“关键风险指标（KRI）”设计。
KRI不是拿来凑数的，而是要能提前预警、引导行动、避免滞后反应。

🛠 建议：

• 针对每类关键风险设计对应的KRI，如客户流失率、供应商交付达成率等；

• 建立风险应对计划并指定责任人，防止“识别完就结束”；

• 将风险管理成果与年度绩效管理挂钩，如风险得分影响部门KPI系数。

04｜监控与持续改进：ERM不能“建完就放”

风险环境从不静止，企业发展节奏也在不断演进。如果ERM建立之初未设计良好的反馈机制与动态调整逻辑，很快就会失效，甚至变成企业治理的“死角”。

📌 常见现象：

• 一年评估一次风险，“流于年报”；

• 无人员定期复盘应对措施，问题持续存在；

• 风险事件出现后，事后复盘迟迟不到位。

🛠 建议：

• 建立季度或半年度ERM评估机制，对风险评分、应对措施效果进行复盘；

• 风险事件发生后，必须跟进复盘报告并更新流程文档；

• 将ERM活动纳入内审与合规检查内容，确保其与业务运作闭环联动。

05｜沟通与报告：风险不是“信息孤岛”，而是共识机制

最后一个常被忽略但极其关键的组成部分，是风险沟通与信息透明。

一个组织如果无法清晰向关键利益相关者（董事会、高管、业务负责人、监管机构）传递当前风险状况与应对策略，那即使ERM体系再完备，也难以发挥治理效能。

📌 有效的风险报告应具备以下特征：

• 针对不同对象做定制化表达，如董事会关注战略与声誉风险，业务主管关注操作风险；

• 包含趋势变化、应对成效评估、问题闭环状态等核心信息；

• 提供可视化图表与评分机制，便于高层快速获取要点。

🛠 建议：

• 建立固定频率的ERM执行报告制度（如季度/半年）；

• 推出“一页风险摘要”模板，便于高管快速掌握关键变化；

• 风险报告中需加入“领导层建议与反馈采纳情况”，形成完整闭环。

写在最后：ERM的终极价值，不在报告，在于决策质量提升

企业风险管理不是为了规避所有风险，而是帮助管理层更有信心地在不确定性中做出更优决策。

一个成熟的ERM体系，应该具备以下几个标志：

✅ 与战略目标高度联动；
✅ 实时更新，动态可调；
✅ 贯穿于绩效、资源配置与重大决策中；
✅ 能引导跨部门合作、共识和执行。

如果一个企业的ERM只是风险登记表、流程文档、年终填报任务，那么，它根本不能算是真正的风险管理。