行政岗位是什么工作:吕多加：电信业全面风险管理

　　 我先讲一下字面的意思。做风险投资也需要非常好的风险管理，相反全面风险管理是一般性的方法论，是企业管理整个过程中的核心内容，对于整个电信行业来讲也是非常必要的。

　　 先讲什么叫风险，大家可能风险的词在我们中国人的词汇里面已经出现很多年了，但是古今中外对风险还没有什么统一的定义，周教授做金融的，金融里面对风险有一个定义，但是在保险公司做推销员经济风险又是一个定义，做社会学政治学对风险又有一个定义，我们今天讲的风险是什么意思？我们就定义成风险是未来不确定性，对企业实现既定目标的影响，这样一个很简单的定义，这定义里面三项内容，一个风险关于未来的事情，过去没有风险的，现在也没有风险，风险什么时候发生，当你往未来一看谁也不知道未来什么事情，那时候风险就有了，因为未来总是不确定性，有很多不确定作用，如果一件事情确定了，明天欠银行多少钱要还了，这时候不叫风险了，因为没有不确定性的东西，就好好把钱准备好还银行就是了，同时它又是和企业目标有关系的，也就是企业目标定得越高风险越大，目标定得越低风险越小，这一点尤其重要的，因为风险不是一个一般人讲的很客观的东西，所有人看它都是一个看法，风险是和你定的目标有关系的，比如今天到这几点之前到风险可能比较大，如果周末出去散个步风险就很小，我没有特定的目的几点要回家。

　　 我今天和大家探讨四点，一个风险与全面风险管理，然后是必要性、以及发展和全面风险管理的内容。第一页是一个图，实线表示企业未来三年的计划，但实际上客观环境的变化市场竞争等等，这企业实际的行为可能由这些虚线表示的，这些虚线因为是未来几年的时间可能发生的情况，所以这些虚线又有很多种，所有这些曲线构成了一个可能路径的空间，这空间的分布就是我们做企业风险管理的基本研究对象。

　　 举几个例子，现在电信业面临的风险，一个竞争和消费者的关系，因为价格战技术的快速更新政府管制使电信业竞争非常激烈，吸引和维持客户越来越难成本越来越高。

　　 第二个规则管制，电信行业一直是受严格管制的行业，而管制的规则一直在变化造成很多不确定性。

　　 第三个收入的影响，由于移动网有限网IP和相关因素的影响，固网作为电信业核心业务具体收入是不断下降的。

　　 第四点客户的需求也发生着变化，因为声音视频数据服务的集中，使得内容创造成为一个全新的行业，电信公司现在全力要做三合一的东西，如果没有一个很高质量的数据产品提供给消费者，他们就不会感受到新技术的好处，所以电信公司也不会获得投资的回报。这几项是我们看到目前国内电信业面临风险的例子。

　　 一般来讲风险可以分类，一般我们分成四类，战略风险、财务风险、运营风险和危害性风险。这也不是绝对的，我用的分类是国际上比较通用的分类，对于不同行业也有不同的分类，因为处于不同的目的，所以讲风险分类也不是有绝对的意义，只不过为了说话方便而已，同时用不同的分类，风险的源起，可以分为内部和外部风险。

　　 目前世界市场上企业面临多少风险？据美国一家公司统计一个典型的跨国公司有高达1万1千多种风险，统计方法就是发了几千张问卷给企业经理们让他们写，收回来数了一下1万1千多种，然后又看了一下现在比较有效的能够管理的风险不过2千500多种，剩下的7600多种风险都是由公司或者股东自觉不自觉的在财务上承担了。在同一个统计里面统计跨国公司最关心的十大风险是盈利的增长，销售增长盈利一致性资本的汇报等等。这是国际上的情况。

　　 国内的情况是这样的，国内的企业我在这提一下，企业全面风险管理课题研究组，这是国资委2004年初牵头成立的，目的是为了研究国有企业的风险管理问题，我们在这课题组的工作中向部分国企发了一个问卷，其中一个内容问国企的经理们，他们认为的目前国有企业面临的风险有多少，这就是统计的结果，十大风险和国外经理人认为的风险很不一样的，我们国企的经理认为最大的风险市场竞争的加剧，国家政策导向，战略决策失误等等，这里看出国外经理人对风险的关注和股东关注基本上一致的，我们国内经理人对风险的关注可能表现出对市场竞争的态势不太习惯的心理。

　　 把风险搞清楚以后看全面风险管理很清楚了，全面风险管理就是企业实现未来战略目标的过程中，将市场变化不确定因素产生的影响控制在可接受范围内的过程和系统方法。我们大家看这个图，中间这条实线相当于企业的预测行为，今后几年收入要这么多，但是可能发生的情况是这条弯曲的实线表示的情况，因为有不确定影响，周围的两条虚线表示风险管理的问题，这两条虚线表示企业的管理层和股东，对经营目标可接受的区间，在区间以内认为可以接受，在区间以外不可以接受的，所谓全面风险管理什么意思，就是把企业的行为限制在区间之内，这有点类似于控制论方面的例子。现在要说明一点全面风险管理我们讲要控制企业的行为在可接受的范围之内，但是不能给企业提供绝对的保证，我们只能为企业实现其经营目标提供一个合理的保证，什么叫合理的保证，打一个比方来讲，就是企业的领导或者股东或者董事会心里边有信心，如果不发生百年不遇千年不遇的情况，企业的战略目标就能实现，所以全面风险管理是一个一般性的过程和方法，只能为企业实现目标提供一个合理的保证。

　　 具体来讲全面风险管理的目标有这么五个，一个风险最优化的目标，第二个防范重大损失的目标。第三有效和有效率的经营目标。地四可靠信息沟通，包括可靠财务报告，第五遵守法律法规。

　　 现在讨论一下第二个问题全面风险管理的必要性，我在这里讲得稍微细一点，我们首先看不良风险管理的后果，为什么做全面风险管理，不做怎么办，不做就产生很可怕的后果，这都是近年来在国内国际发生的很著名的例子，很多是教科书的例子，包括巴林银行，长期资本管理，世通，安然，安达信，还有德隆，中国国内中航油发生的事情等等。这些都是因为不良的风险管理给企业造成重大损失，甚至导致企业的破产，这一点也是我们在古今中外的市场上观察所有的公司无一例外的情况，也就是说所有企业的倒闭或者遭受重大损失都是因为不良的风险管理造成的。有人讲幸福的家庭一家一个故事，不幸福的家庭都一样。

　　 我具体讲两个电信业的例子，刚才提到第一个就是世通，用现在的名字是1983年，CEO叫埃伯斯，这人前两个月被法庭宣告有罪，这个公司靠60多次的企业并购起家，最后因为并购了美国第二大的长途电话公司成为美国第二大的长途电话运营商，典型的小鱼吃大鱼，很著名的，在案发之前有2千多万名公司客户，以及数以千计的公司客户，在全球拥有8万名员工。99年6月曾达每股64.5美元，到02年6月25日假帐以后每股83美分。这结果作为美国历史上最大的破产案，把上一年刚刚的冠军安然打下去，因为它雇佣的职工很多所以在美国社会造成很大的振动。我们分析一下风险情况有这么几个情况，一个扩张过度，巨债压身，在并购中成功也在并购中失败了，当时在美国电信业没有建立完善的游戏规则，存在无序竞争。另外电信业技术革新承受着巨大的资金和风险压力。另外业务单一，在日益激烈的市场竞争中风险巨大，另外互联网经济热度急剧降温使得真实利润无法支持高扬的估价，同时管理层过渡追求股票市场的表现，产生虚报利润的做法。特别90年代将近10年的西方牛市，就是因为如果过渡强调股东价值最大化容易产生世通这样短期行为，可能都是短期行为，股东价值最大化就是股票价值最大化。所以现在这事情大家不怎么提了。世通的案件对我们启示，企业应该建立战略风险评估建设，尤其在并购前进行充分的风险分析，同时要有市场避险机制避免恶性竞争，对新技术追赶要审慎而行，要把握宏观经济环境和行业市场状况的风险，发展内部审计制度，强化管理层道德风险防范。

　　 第二个例子就是大家很熟悉的AT/T，成立于1885年，创始人贝尔，AT/T一度是美国最大的公司，很多人算了一下把AT/T年产值放在全世界GTP可能前十几名，所以在2005年1月AT/T被SBC收购了，现在AT/T作为独立的公司不复存在了。看一看它走过的道路，近年来有几个显著大事件，第一个84年拆分，这因为AT/T长期受到反垄断法案的困扰，终于1984年输了，被政府强令拆分，96年又分出了Lucent和电脑部门NCR，然后就并购，1998年并购了有线电视巨头TCI，然后收购了MO公司，然后再拆分分成消费者、企业、宽带及无线四家公司，由于经营不好，2002年进行了并购，把宽带卖了，04年把无线也卖了，最后2005年被SBC收购AT/T。我们仔细看看他这几步怎么走的，背景是反垄断法，当时的风险认为是政策风险法律风险没有管理好，造成的这个情况。现在看起来它的过错是拆分太彻底，其实还有很多种方案，当时拆分把自己后路断掉了。拆分以后第二步就是并购，并购的背景因为美国新的电信法出台，很快原来7个小备尔公司变成3个，接入网变成垄断，这时候AT/T买了TCI公司要做一站购齐的信息巨人，长途业务盈利下降，公司总体增长迟缓。现在回过头来看，当时主要是因为他的一站购齐式虽然是电信发展趋势，但是当时做得并不好。第三步由于无奈再拆分，拆分的背景是因为要不断拆分出卖资产支持不断下跌的股价，集中力量争夺专门的市场，当时很多的风险可以看到分业经营的风险，分业经营带来很多竞争，违反电信业自然的发展规律，否则不会看到美国电信在拆分之后立刻就整合，而且整合速度非常快，所以AT/T在这时候发生了很大错误。这时候开始无奈了，就被收购了，所以我们看到AT/T这几年做法可以看到战略决策风险转型的风险，并购的风险，法律风险，政策风险等等很集中表现在AT/T身上，一个公司多大多有钱技术力量多强都免不了覆灭的命运。

　　 这是看了几个案例，回头再想企业的风险对企业的影响，影响是什么？影响是企业各种利益相关人的利益，企业的风险利益相关人有哪些有政府员工社会股东债权人，管理层商业伙伴，关键的是监管部门和管理层，这些不同利益相关人因为不同的立场，不同的利益出发对企业的风险管理要求也不一样，从股东来讲，在座大多数国有企业，特别六大电信公司是中央企业受国资委直接监管的企业，作为股东代表国资委对风险管理非常注意的，在去年年底12月中央企业负责人会议上，李荣融主任做了一段讲话。后来国资委牵头由国家开发银行和第一会达参加成立企业全面风险管理研究课题组，编写《全面风险管理指导纲要》准备在全国推广。内容就是全面风险管理的基本流程，以及主要内容等。

　　 从监管部门可以看到，我们国家对电信行业监管力度不断加大，从2000年电信条例出来以来，以及现在积极起草的电信法，我们国家从国务院到信息产业部颁布一系列法律条例对电信行业进行监管，这对企业的风险管理提出了很多要求，但是从监管部门提出的风险管理要求可以说是一个最基本的要求，起码的要求，跟多的要求来自于企业内部，来自企业内部可持续性发展的冲动。我们讲一个企业要想成为一个卓越的企业要想基业长青要想可持续发展，要有一个正确的远景和使命，还要建立正确的战略目标，有了正确战略目标之后管理层还要回答风险的挑战，因为你目标实现不实现得了是未知数，目标是将来实现的，从现在看将来有很多不确定性。在今天这样一个风险社会风险市场的情况下，我们国企管理层不能满足粗线条的回答，我们能不能完成今年任务，差多少等等，相反应该问什么？我们有多少把握达到战略目标，98％、95％，如果98％那剩余2％可能性隐含什么情况，万一这些情况发生以后会给企业造成什么影响等等这些问题。对于这些问题最好回答方式，我们讲就是今天介绍的全面风险管理。

　　 现在我给大家简单介绍一下国内外风险管理的发展情况。首先看立法环境，现在已经有将近40个国家和地区，以及地方组织通过了风险管理的立法，这里列的是一些部分情况。主要的立法对象针对上市公司。有几个比较特殊的立法或者风险管理标准，一个澳大利亚新西兰95年通过联合国家标准，4360这是世界上第一个国家企业风险管理标准，定了风险管理的标准程序，突出了风险管理内部和外部的环境。然后就是2003年英国风险管理标准，特别是在理论上有禁不，对风险的认识把原来认为风险只是负面的影响，现在扩大到有正面有负面，同时英国人认识到风险管理不是可以认证的过程，不是ISO9000认证完了就合格了，这风险管理和企业战略目标联系太紧密了。2004年9月美国的COSO组织颁布全面风险管理框架，这对全世界产生很大影响，COSO是美国非盈利性组织，由美国其他5个非政府组织组成的，这包括美国会计师协会，美国注册会计协会，美国管理会计协会等等，大家很多人听说过，特别在海外上市的听过COSO综合内部框架，这就是COSO的结构，它的全面风险管理框架2004年颁布，它明显指出风险管理框架延伸了2002年的COSO风险管理框架，同时明确指出风险管理控制是为了所有利益关系。

　　 同时不能不谈美国萨班斯法案，美国在世通丑闻出现以后，就通过了萨班斯法案，目的是规范上市公司的行为恢复投资者的信心，法案很长有十一章，现在中国电信网通等等同仁们都知道，比较要紧的两条，一个302一个404，主要企业财务报告和披露整个过程的内部控制。美国萨班斯法案进一步提出，如果企业违背了萨班斯法案的要求，企业CEO、CFO可以关进监狱并且处以罚款，所以惩罚是很严厉的。

　　 立法情况是这样的，对实施的情况国外的公司有一个统计2001年的时候有将近50％的企业已经在全面风险管理体制建设方面有所动作，另外30％的企业没有动作，2004年初统计已经可以看出来有70％的公司开始或者建成或者开始动了，没有动作的公司剩了不到10％。

　　 我们国内的风险管理情况还是处于起步阶段，我们全面风险管理课题研究组，04年统计国企推行全面风险管理的困难，经理们认为一个人才一个是知识，既没有人也不知道怎么做，但是大家对全面风险管理的看法还是很统一的，认为全面风险管理有很正面的作用，也很积极，我想在国资委的全面风险管理指导纲要颁布以后，国企这方面动作可能更大一些。

　　 现在简单的谈一点全面风险管理的问题，全面风险管理的框架主要是有两部分组成，一个是一般的程序，一个是一个体系，一般的程序有五步，一个建立基础信息，风险评估制定风险战略、制定实施解决方案监控改进五个步骤，全面风险管理体系由风险战略，组织职能，内部控制风险理财及风险管理信息系统等五个模块组成。体系好比硬件。具体的讲什么叫风险管理的综合信息框架，主要收集应用范围的基础信息，可以在整个企业层面实施也可以在业务单元子公司分公司实施，也可以在某一个业务流程的层面上实施，也可以在项目上实施，所以我们在执行风险管理的时候，首先要掌握应用范围是什么？然后收集它基本信息包括商业模式基本目标，战略要求条件假设，过去和现在的风险情况。收集了风险管理情况之后要进行风险评估，这包括三部分，一个是风险辨识，知道风险以后要对风险进行分析，这包括定性定量的分析，定性分析包括哪一类分析，影响哪些流程，来源是什么？跟其他风险有哪些关系，谁是责任人，风险定量关系包括风险之间的相关性，风险本身的概率分布。第三步是风险的评价，评价一下风险对企业经营目标的影响。这里面帖的几个图就是例子。

　　 在风险评估中还要做的就是风险的诊断，现在风险管理的情况做得怎么样？这个就是诊断风险管理的水平，这个风险管理水平的诊断和风险评估是一个相对的东西，我们讲风险很高，丰富管理的水平可能低一些，风险管理很好，风险可能低一些。我们诊断风险管理也有一些工具，这里面是部分的结果。

　　 诊断了风险就要制定风险战略，这是很关键的一条，因为前面做的信息框架，风险评估都是为了制定风险战略和实施解决方案服务的。风险模型是做什么就是你要决定你企业用什么衡量风险，如果没有风险模型你对企业风险很难有一个量化的描述。风险偏好成熟度很关键的，把风险控制在企业战略决定的范围之内，这范围就是风险承受度。具体的做法也是有很多做法就不再具体解释了。

　　 风险管理组织职能，这里面图是现在比较典型的一个在所谓的标准公司治理结构下的风险管理，包括三部分，一部分是企业的董事会，一部分是执行层，还有一部分外部人员，包括外部审计和外部咨询，大家可以看到的董事会里面有一个风险管理委员会，企业风险管理部门和业务部门相互制约的关系，它会向风险管理委员会报告。同时外部审计也会直接向董事会风险管理委员会报告，这里面还有一个部门就是内部审计部门，也是风险管理组织职能里面非常关键的部分，至于内审部门和风险管理部门怎么分工的，这一点国际内审协会前几个月出了一个标准，内审协会该干什么，风险管理部门该干什么？具体放哪儿由企业董事会决定。

　　 内部控制刚才提到COSO综合内部框架，我们做在美国上市公司要满足萨班斯法律要求，要按照COSO内控做披露过程内控。据我了解我们国家上市公司不是做简单披露过程内控，而是把企业管理所有控制流程都做了。内部控制是通过有关企业流程的设计和实施的一系列政策制度程序和措施，控制影响流程目标的各种风险过程。所以所有流程要实现很好的内部控制也是一件很困难的事情，我们可能都知道，在美国上市现在成本是很昂贵的，原因之一就是萨班斯法理的要求，很多公司如GE讲一年要满足萨班斯一年要花费1亿美金的要求。所以在美国上市现在很困难了。

　　 风险理财是风险管理很有效的手段，这是企业用金融手段管理风险的一整套措施，政策机制、职能和方法。风险理财的基础是对风险的价值评估，企业在选择使用风险理财的手段时应当对有关的风险作尽责评估，结合企业风险管理整体战略和市场环境进行决策。延伸物作为风险管理的工具是非常常用的工具，很多情况下不用风险管理根本没有办法，但是做的时候要非常小心，要有一个流程要仔细计算，特别要注意满足证监会和国资委的要求，现在国企不允许做投机型的延伸交易，做套期保值是可以的。

　　 最后风险管理信息系统，这是风险管理的信息传输系统，现在还在发展过程中，现在没有一个定型的说法，大家在市场上看部件，ICP提供的地方标准，这里面的原因就是企业的风险千变万化的，作为一个流程控制，可能发生标准的信息系统，但是作为战略风险管理要想做到标准信息系统确实很困难的。上面介绍就是风险管理组成部分，风险管理有了硬件、有了软件在企业的层面还有五个很关键的应用，一个重大风险的评估，重大事件的应对重大决策的制定，重要信息的报告和重要流程的内控。你凡是看到风险管理没做好的，这五项之中肯定有一些没做好。

　　 最后对实施全面风险管理提出几个要点，这也是根据我们公司在全面风险管理实践中总结的情况，提出提一点培育风险文化是很重要的内容，风险文化的培育应该是管理内容中很核心的部分，因为风险文化相当于战略，什么叫战略，战略告诉我们做什么怎么做，但是企业运营过程中往往没有细致的规定，在某些情况下怎么办？这时候文化起作用了，比如中航油风险文化好一些可能会损失一些但是不会全军覆没，损失50亿人民币的下场。这就是给大家介绍的几个内容，谢谢大家！

　　 主持人：感谢吕先生给我们做了一个很好的报告，我觉得这个论坛内容很丰富，大家既讨论了很多转型的问题，也谈了很多可持续发展的问题。他们谈的这些东西对我们业界会有很多参考价值，大家都会十分关心这方面的内容。