返回 管理论文 首页
风控,如何纠偏?

  目前很多企业或咨询公司进行的风控管理都有些务虚而不务实,偏理论化,不能解决很多实际管理问题,出现很多做了风控管理但照样发生很多风险事件,把风控管理越做越复杂等问题。为此,笔者近几个月探索并实践出了一些改进型的风控建设方法,取得了不错效果。
  目前很多企业或咨询公司进行的风控管理都有些务虚而不务实,偏理论化,不能解决很多实际管理问题,出现很多做了风控管理但照样发生很多风险事件,把风控管理越做越复杂等问题。为此,笔者近几个月探索并实践出了一些改进型的风控建设方法,取得了不错效果。
  理念篇
  不论你是咨询公司还是企业管理者,开展风控建设前一定要真正明确为什么而做?可能大家表面上都说得好听,但有的咨询公司是以盈利为导向的,有的企业是以应付上级任务为导向的。国内非常多这样的企业,这样的理念下所做的风控建设成果很难给企业带来真正价值。
  现状篇
  很多央企、国企、上市公司已完成了风险或内控体系的建设,主要成果为《全面风险管理手册》、《内部控制手册》或两者合本,大多都包含了流程文件。但是大部分企业推行困难(这两年本人走访了上百家这些企业,发现很多同类问题),很多的是锁在柜子里,需要报审时拿出来汇报,日常工作却跟以前没多大变化。
  分析篇
  一、部分企业错误地将全面风险管理与内控分头建设,分开推进。
  由于早几年国资委推行风险管理,五部委推行内控,于是很多央企和上市公司设置两个部门对接,两个部门分开推进风险管理体系和内控体系建设,结果变成了有的企业做成两张皮,有的互相交叉重叠,有的一直在纠结两者关系,也有少数企业把两者合并(这才是正确的做法)。
  二、很多企业的全面风险管理体系建设步骤不合理。
  我总结了一下很多企业的全面风险管理体系建设步骤:
  1.收集风险初始信息,进行风险识别,建立风险库;
  2.建立风险发生可能性和影响程度标准,开展风险评估,绘制风险坐标图,找出重大风险;
  3.针对重大风险,设计应对策略和主要控制措施(有的设计了主要预警指标);
  4.设计风险管理组织体系,包括风险管理的三道防线,决策、执行、监督单位,分别明确职责,建立风险管理制度和专项流程;
  5.根据上述内容汇总成《全面风险管理手册》;
  6.发布,宣贯,执行,监督,(考核)。
  上述步骤的问题如下:
  1.上来就开始进行风险识别,前端缺了风险管理体系建设三年或五年规划。风险体系的建设和运营成熟,没三五年肯定不行:
  2.没有先解读企业战略规划、管控模式、组织模式等顶层设计,直接做风险识别可能与战略偏离,或者遗漏战略性的重要风险。
  3.风险识别往往是各部门自行梳理,报风控部汇总形成风险库。但各部门梳理风险是站在部门的角度,极少站在公司整体层面看风险。这个问题很难解决,需要风控部门人员既熟悉公司,又要具有较全面的管理知识,汇总各部门风险点后进行整合、梳理,拔高。
  4.风险评估流于形式。虽然制定了风险评价标准(其实发生可能性和影响程度的评价标准大多比较粗),但各部门在填风险评估问卷的时候,往往并不看评价标准,纯凭感觉,甚至草草填完就交了。因此,风险评估的结果其实并不准确,当然这需要时间。
  5.风险应对策略虚、不实用、未深入业务。对于评估出的重大风险,有的企业做专项改进,有的制定管理建议,有的制定应急预案等,但若不深入业务制度和流程,就没有多大的实用性。同时,若只是基于现状,未能从流程优化的角度去改进,也不能解决风险。
  6.大部分企业建立和实施风险管理体系,却没有建立风险管理KPI考核指标。风险管理的KPI,应当至少包含该部门所涉及风险的管理情况、风险预警报告及预警后的情况、半年度/年度风险管理报告、与风控部门的配合情况、在制度流程中的应用及改进情况等。
  三、很多企业的内控体系建设步骤不合理。
  再来看很多企业的内部控制体系建设步骤,问题更严重。
  1.70%时间是拿着基于《内部控制配套指引》设计的控制矩阵(非常复杂的excel表),对企业内控情况进行穿行测试,查找不符合项,认定为缺陷,提一堆整改建议。
  2.做完内控穿行测试后就套用配套指引的18个方面内容,画18个方面的流程+企业特殊业务流程+控制活动说明(脱离企业实际情况,套用指引18个应用指引),然后汇编成《内部控制手册》。
  这样操作的结果是,企业拿到手册后,除了满足证监会合规要求,就基本没法使用。这样做出来的《内控手册》,基本是脱离企业实际、没有多少实用价值的,这是对企业非常不负责任的行为,内控若不能跟业务实际结合,若不能以管理提升为目标,要内控何用?
  改进篇
  前面是这几年发现的企业建设全面风险管理体系、内部控制体系的通病,我从很多很多客户那里了解到,他们觉得做这个真没什么用。作为一个风控从业者,我无比汗颜。经过几年的探索和近几个月的实践,我提出了改进型的风险与内控体系建设方法。
  1.开始建设风控体系前,企业领导人应在启动会上明确表态,项目目的不是应付检查,而是发现并改进管理问题,实现管理提升(咨询顾问要提前沟通),并且将项目成果质量与各部门绩效挂钩,考核三个要点:是否发现问题、是否解决问题、解决问题效果。
  2.风控建设不是风控部的事,而是整个公司的事情,因此要建立联合项目组,公司领导担任项目组领导,指定某副总担任项目主任,风控部经理担任副主任,其他各部门经理为项目组成员。这样一来,风控部经理在此事中比其他部门高半级,工作就好推进。
  3.如果需要咨询公司辅导,就一定要选好项目经理。项目经理一定要知识面广,除了风控之外,要懂一些战略、集团管控、组织与权责、制度与流程优化。如果项目经理只是风控专长,不懂其他,那么他很难在项目中深入结合企业业务,进行真正的管理优化提升。   4.开始建设前,先制定风控建设与运行五年(或三年)规划。可以参考如下五年规划思想:体系搭建(总部及试点子公司)、分步推进(其他子公司推进)、高效运作(总部与子公司联动运作)、能力提升(综合风控能力提升)、行业标杆(成为风控行业标杆)。
  5.以管理问题解决(或管理提升)为导向设计风控体系建设方案,让每个部门都参与这项工作,(做好沟通,不是给其他部门增加负担,而是帮各部门解决问题,提高绩效)特别强调风险管理与内控的融合,切不可分开推进,不要分散在两个不同的部门进行管理。
  6.具体步骤如下:
  (1)召开启动会,公司领导要强调以问题解决或管理提升为目标,强调此事纳入各部门绩效,但不是给大家压力,而是帮助提升绩效。然后风控专家进行培训,普及风险与内控基础知识,强调风控给企业带来的价值,多讲案例,少讲理论。
  (2)召集公司副总、各部门经理开碰头会,讨论并梳理各职能存在的主要管理问题,初步梳理出至少50个关注问题点,作为接下来调研访谈的重点。例如战略规划不清晰、战略执行不力、权责不清、采购问题、关键人才流失、合同管理、应收账款等等。
  (3)以挖掘问题为目标开展访谈(若无咨询公司,风控部可主导访谈)。对高层、各部门经理、各部门骨干进行调研访谈(必要时查看现场),全面了解工作现状,深入挖掘分析问题表现及原因(突出之前梳理的50个以上问题点),梳理出《管理问题汇总表》。
  (4)分析企业战略规划,集团管控模式,当前管理基础。解读战略,分析实现战略的重点风险有哪些;解读管控模式,分析风控组织应如何设计;结合管理基础,总结风控体系建设的战略要点有哪些,形成《风险视角的战略与管控解读报告》,作为风控体系建设总纲领。
  (5)站在公司层面视角,系统梳理当前流程框架(三级或四级流程体系,强调跨部门流程),再对标之前完成的《管理问题汇总表》及现有管理制度,形成“问题-流程-制度”的对应关系,再补上缺失流程及制度,得到《管理问题、流程及制度体系框架表》。
  (6)根据《管理问题、流程及制度体系框架表》,让相关部门绘制现状流程图,还原流程操作现状。然后组织相关部门开展“流程优化研讨会”,以解决问题、控制风险为导向优化流程(可能包括权责调整、步骤增减、步骤调整等),直到优化后流程得到大家认可签字。
  (7)流程优化完成后,对相关制度进行修订。包括:将制度与《企业内部控制配套指引对标》,与优秀企业同类制度对标(可能借鉴优秀企业先进的管理经验和模式),与优化后流程进行对标,综合以上三者对制度进行一一修订,然后讨论,上会,发布执行。
  (8)根据优化后制度和流程,编制《权限指引表》。这个设计的权限表要精确到每个流程的每个表单,精确到每个岗位的,一目了然,非常实用和清晰,且容易IT化。如图1所示
  (9)根据优化后流程图,一一进行风险识别,在流程图中标出风险点和控制点,对每个风险点和控制点操作方法进行描述,对应到岗位,形成《流程风控矩阵》(比事务所的矩阵精简,强调实用性,主要保留控制目标、风险点描述、控制点描述,输出文档,对应岗位)。
  注意,以前大家描写风险点、控制点总是一大堆文字,使用者一看就头疼,执行不力,因此要求描述要精炼,文字量要越少越好,但主要意思要表达出来。例如报销流程中的几个风险描述:报销内容与实际不符,发票金额与报销金额不符,超过预算,超出报销权限,等等。
  再说控制点的写法。业内控制点的写法五花八门,但还是文字量太大,使用者没耐心阅读和执行。笔者分析了多种控制点写法,总结了最精简实用的方法,主要是描述每个审核、审批、研讨、会议、监督、核对等控制步骤的关注点。
  具体写法见图2。读者可以仔细对比三个控制点,是不是觉得比以前的写法精简多了?这样使用者就愿意看,愿意执行。此外,三个人审同一个报销单,但关注点是不同的,这是跟他们的职责相匹配的。不同人关注不同的要点,这个风险就得到了控制,这样的风控就深入了流程和业务,并且结合了职责和制度要求。
  为了风控更加实用,融入业务,还需要将每个控制点的关注点嵌入IT审批流:例如管理者在系统中审批报销单,页面自动显示“风险提示”,里面是”风险点描述”,还有个“控制要求”,里面是”请关注1、2、3”,然后对关注点一一打钩,审批按钮才会出来。这样一来,风控就更加实用了,每个管理者在每个审核审批点,系统都会提示他关注不同的内容,从而控制了风险,而不是几本手册,难以推行。这样的系统功能开发,在OA或ERP中嵌入是很容易的,开发成本低、效果好。
  (10)根据上述成果,建立风控组织,包括横向的三道防线,纵向的集团管理条线,交错行程风控组织网络,明确每条防线,每个部门的风控职责,考核指标,关键预警指标,建立风控专项流程,建立各部门风险管理报告模板,综上编写成风控专项管理制度。
  (11)将前述成果汇编成《风险管理与内控手册》(也可以分开编,比较灵活),主要包括风控五年规划、风控体系整体框架、风控组织体系、各部门风控职责、风险库、考核指标、关键预警指标、权限指引表、全部流程图及与之一一对应的风控矩阵,然后发布实施。
  注意:风控手册完成后往往是厚厚一本,使用者一看这么厚就不想翻阅,因此可以把手册按部门汇编,例如与财务部有关的流程,单独汇编一本,与人力资源部有关的,单独汇编一本,以此类推。将这些内容按前文所述的方法融入OA或ERP审批流程,实用性和执行力会大大加强。

【相关论文推荐】
  • 风控,如何纠偏?
  • “风控”和“逐利”如何双赢
  • 用户VS风控,互金生态如何缔造
  • 国外错案如何纠偏
  • 惠特曼如何纠偏惠普?
  • 四虚如何“纠偏”
  • 纠偏
  • 美国P2P平台如何做风控?
  • 浅析财务人员如何构建企业财务风控预警体系
  • 在线服务

    服务承诺