吉宁博士观点
在激烈的市场竞争环境下，许多企业制定了战略目标，构筑了企业美好的愿景。但无数事例说明：制定了正确的战略并不等于战略的成功。笔者认为成功的战略规划要借助于风险管理和内部控制作为基础或先决条件，惟有如此才有助于企业目标的实现和核心竞争力的提升。脱离这一点，再好的战略规划也无济于事，只能是空中楼阁。笔者通过对企业风险管理框架在企业战略制定中运用的探讨，希望将企业风险管理引入企业战略制定之中，从而提升企业的效率和效果。
一、企业风险管理框架产生于内部控制框架
企业风险管理框架构筑于企业内部控制。企业内部控制不仅有助于企业战略目标的实现，还有助于企业提升经营的效率和效果以及提升财务报告的准确性，保护企业资产的安全。企业战略目标表明企业在一定时期内沿其经营方向所预期达到的理想结果。目标体系的建立是将企业使命与愿景转化为具体的目标，如果企业使命与愿景没有转化为具体业绩目标，那么企业使命与愿景的宣言也仅仅是一些美丽的词句。最佳的战略决策近似于合理，但总带有风险。如果企业经理人在每一个关键领域建立目标体系，并为达到些设定目标而采取适当的风险管理行动，会有利于企业的成长。然而由于人们受到内部控制认识上的局限，未能将其与企业风险管理和战略管理结合起来，结果战略效果大打折扣。
内部控制的定义自出现以来不断得到发展，但人们已经认识到内部控制框架仍有许多不足：如将企业的目标限定得过于狭窄（如财务报告目标只与公开披露的财务报表的可靠性相关，而没有覆盖企业编制的所有报告），没有与企业战略目标联系起来。在内容上，没有考虑到在整个企业范围内识别和管理风险的重要性，而这些内容恰恰是影响一个企业成败的关键所在。2003年7月美国COSO委员会颁布了企业风险管理框架的讨论稿，并于2004年发布了企业风险管理框架。该讨论稿是在1992年COSO委员会颁布的内部控制框架基础上，吸收各方风险管理研究成果提出的，新框架中的许多讨论的内容比内部控制框架的内容要更为全面，更为深刻，范围更为广泛，有助于企业战略目标和各项具体目标的实现。
二、企业风险管理框架提升了内部控制框架，与企业战略目标紧密相联
风险管理框架建立在内部控制框架的基础上，内部控制则是企业风险管理必不可少的一部分。风险管理框架是一个主要针对风险的更为明确的概念。风险来自于企业内、外部各种因素，而且可能在企业的各个层面上出现，应根据对实现企业目标的潜在影响来确认风险。对风险的持续确认，与确定抓住什么机遇一样，对保护和提升企业利益相关者的价值是至关重要的。不确定性既代表风险，也代表机遇，既存在使企业增值的可能，也存在使企业减值的风险。
企业风险管理是一个由企业的董事会、管理层和其他员工共同参与的，应用于企业战略制定和企业内部各个层次和部门的，用于识别可能对企业造成潜在影响的事项并在其风险偏好范围内管理风险的，为企业目标的实现提供合理保证的过程。企业的风险管理是渗透于企业各项活动中的一系列行动。这些行动普遍存在于经理人对企业日常管理中，是企业日常管理所固有的。企业风险管理分为八个相互关联的要素，即：内部环境、目标制定、事项识别、风险评估、风险反应、控制活动、信息和沟通、监控等，各要素贯穿于企业的管理过程之中。
企业风险管理要求企业经理人以风险组合的观点看待风险，对相关的风险进行识别并采取措施使企业所承担的风险在风险偏好的范围内。对企业内每个单位而言，其风险可能落在该单位的风险容忍度范围内，但从企业总体来看，总风险可能超过企业总体的风险偏好范围。因此，应从企业总体的风险组合的观点看待风险，即应该具有战略的眼光。
企业风险管理框架能帮助企业经理人有效地处理不确定性和减少风险，进而提升企业创造价值的能力。企业风险管理框架针对一类或几类相互独立但又存在重叠的目标，目的在于企业目标的实现。在这一点上是与企业战略目标一致的。
三、企业风险管理框架在企业战略规划中的运用
企业在实现其目标的过程中，(续致信网上一页内容)愿意接受的风险的数量与企业的战略是直接相关的，企业在制定战略时，应考虑将该战略的既定收益与企业的风险偏好结合起来，运用SWOT分析，目的是要帮助企业的经理人在不同战略间，选择与企业的风险偏好相一致的战略。企业的风险管理应针对企业目标的实现在企业战略制定阶段就予以考虑。一个企业为实现其战略目标而制定战略，并将战略分解成相应的子目标，再将子目标层层分解到业务部门、行政部门和各生产过程。企业的战略目标是企业最高层次的目标，它与企业的预期和任务相联系并支持预期和任务的实现，即明确战略目标在风险管理中的统领地位，同时注重经营目标、报告目标和合法性目标等其他目标的实现。企业内部环境不仅影响企业战略和目标的制定、业务活动的组织和对风险的识别、评估和反应，还影响企业控制活动、信息和沟通系统以及监控活动的设计和执行。在制定战略时，经理人应考虑与不同的战略相联系的风险。而企业在对其下级部门进行风险管理时，应对风险进行加总，从组织的顶端、以一种全局的风险组合观来看待风险。设计合理、运行有效的风险管理能够向企业的经理人和董事会在企业各目标的实现上提供合理的保证。
战略需要执行力以及其他功能的配合。亦即除了战略，企业在营销、生产、人事、研发、信息、财务、采购等各方面都必须持续加强。此外，组织内的沟通以及每一位基层人员的执行能力，都会影响经营的最后结果，这些都与企业风险管理框架密切相关。因而，单独在战略规划方面或风险管理方面求突破未必能解决许多基本问题。
四、塑造企业风险管理文化，实现战略规划的最佳效果
风险管理是战略规划成功的先决条件，有了这些作为基础，再以战略规划的思维与方法将它们融合起来，战略规划的效果才能真正显现。企业风险管理是一个由人参与的过程，涉及一个企业各个层次的员工，因此，塑造企业风险管理文化，可望实现战略规划的最佳效果。
首先，公司的战略规划是由公司高管制定的，执行战略规划的各个职能部门是在公司高管的直接领导下开展工作的，在内部控制制度的遵守上，公司高管的表率作用十分重要，如果其对公司的控制权过大，加之外部约束乏力，会使公司治理流于形式，特别是在董事长与首席执行官集于一身，而且独立董事不能充分发挥作用的情况下更是如此，从而倒退到“人治”，而不是法制或制度化。因此，选拔和聘任优秀的公司高层管理人员成为影响企业成败的关键因素。按照一般经济理论，个人在真实世界的局限条件下会争取最大的利益。作为企业的高层管理人员同样也不例外，这也是一个理性“经济人”的必然选择。然而，能否将其限定在一个合理的“度”上，这是至关重要的。目前，无论是私营企业还是民营企业家最大的困难是难以找到最优秀的符合要求的人才，因此发现和聘任优秀的高级经理人成为极为重要的问题。对此，董事会对企业的风险管理负有监督职责。主要通过以下方式实现其职责：了解经理人在企业内部建立有效的风险管理的程度；获知并认可企业的风险偏好；评估企业最重要的风险并评估经理人的风险反应是否适当。企业的首席执行官对企业的风险管理最终负责，企业的高层确定风险管理的基调，从而影响企业内部环境中的员工操守和价值观及其他因素。
其次，风险管理员（某一组织内的首席风险管理员或首席风险管理经理）应与企业内其他经理人一起，在各自的职责范围内建立并维护有效的企业风险管理框架。首席风险管理员也可以担当监督风险管理进度和帮助其他管理人员在企业内向上、向下和横向报告有关风险信息的职责，并可以成为企业风险管理委员会的一员。
第三，内部审计人员在企业风险管理的监控中占有重要的地位，这一职责作为其日常职责的一部分。他们可能通过对经理人风险管理过程的充分性和有效性进行监控、检查、评估、报告和提出改进建议来帮助经理人和董事会或审计委员会履行其职责。
第四，战略制定过程只有在对岗位上的员工有意义时，才会增加竞争优势。从某种程度上讲，企业风险管理是企业内每一个员工的责任，因此，风险管理不应仅仅成为企业内每一个员工的工作手册中的一部分内容，而且应该通过建立一种机制，使员工能够主动提供风险管理所需要的信息或采取必要的措施管理风险、向上报告风险。
作为公司的管理核心之一，战略发展总监担负着公司发展战略研究、规划、制定的重任，要善于在大环境下制定出合适的中小企业战略发展方向。清华大学公司战略发展总监领导力再造高级研修班旨在培养学员容世容人容事的襟怀，高瞻远瞩的视野，深刻的洞察分析力，正确的判断力，以及持续创新的创业家精神，通过公司发展战略、资本运作、管理心理学与经营创新、传统文化等专题课程的学习，打造谙伦理、有气度、有远见的新一代公司领导人。
