《企业内部控制基本规范解读及应用指南》第七讲
第七讲 基本规范解读、实施与操作（风险评估1）
7．1 风险评估
7．1．1 风险评估 1．风险
（1）风险的定义
对风险的理解，择代表性的观点如下： 观点1：根据《韦氏新国际大辞典》（Wiley Publishing第三版）的解释，风险（Risk）有两层含义：其一，易变化的特性或状态，缺乏肯定性，即具有不确定性（Uncertainty）；其二，具有无常的、含糊的或未知性质的事物。
观点2：《辞海》（上海辞书出版社1989）的解释，风险是人们在生产建设和日常生活中遭遇可能导致人身伤亡、财产受损及其他经济损失的自然灾害、意外事故和其他不测事件的可能性。
观点3：小阿瑟·威廉姆斯，理查德·M·汉斯 将风险定义为，在给定情况下和特定时间内，那些可能发生的结果间的差异。这种差异越大，风险就越大。
观点4：风险“指特定客观情况下，特定期间内，某一结果（Outcome）发生之可能差异程度而言，亦即指实际结果与预期结果之变动程度而言，变动程度越大，风险却越大；反之，则越小”。
观点5：风险是指某一不利事件将会发生的概率。 观点6：风险是引起损失的不确定性。
观点7：风险是指人们在事先能够肯定采取某种行动所有可能的后果，以及每种后果出现的可能性的状况。
观点8：风险是对企业目标实现有不利影响的某一事件发生的可能性。
不同的看法，都基于不同的理解 、在不同程度上对风险的含义作了阐述。其共性在于它们都将风险与事件的结果及其发生的可能性 联系起来。笔者通过分析认为：
① 风险既可能使出现的结果好于预期目标，也可能差于预期目标。风险是由于未来事项的不确定性导致一个组织或机构发生不利事件，并使其遭受损失的可能性。 ② 风险特征是风险本质及其发生规律的表现。一般风险具有以下特征： 不确定性。客观条件的不断变化以及人们对未来环境认识的不充分性，导致人们对未来事件结果不能完全确定。风险是各种不确定因素的伴随物。不确定性决定了风险的特定出现只是一种可能，这种可能要变为现实还有赖于相关条件。 概率可预测性。风险是由各种不确定性因素综合作用的结果，但人们可以通过经验和历史数据的分析来判断不确定性发生的概率。概率可预测性为风险控制提供了量化的依据。 决策相关性。风险的发生是与行为决策密切相关的，不同的决策导致不同的策略行为和管理手段，从而导致不同的风险结果。 ③ 明确风险定义需要明确的关键 风险是指在一定的客观情形之下，在某一特定期间内，那些可能发生的结果之间的差异。显然，这种差异是实际结果与预期结果的变动程度。所谓风险大，就是指这种变动程度大；风险小，就是指这种变动程度小。基本规范涉及的风险是指对实现内部控制目标可能产生负面影响的不确定性因素。因此，在这个概念的界定上，需要明确内部控制目标和不确定因素两个关键词。
第一，内部控制的目标 内部控制有三大主要目标，即运营的效率和效果、财务报告的可靠性以及法律法规的遵循性。内部环境、风险评估、控制措施、信息与沟通以及监督检查均服务于三大目标。 对于经营的效率和效果而言，这是一个公司基本的业务目标，包括业绩和盈利目标以及资产的保护，它们因管理者对结构和业绩的选择而异；可靠的财务报告与公认会计准则编制的财务报表以及相关陈述有关，所以会涉及财务和非财务信息；同时，遵循相关的法律法规，
公司可以避免对其名誉造成损害或者遭受其他不利后果。 经营的效率和效果及报告的目标更多地建立在偏好、判断和管理风格的基础上。它们在不同的主体之间存在着很大的区别，因为不同的主体可能会选择不同的目标。所以，对所有主体而言，都是最优的目标模式是不存在的。 第二，不确定性
所谓不确定性，即当风险存在时，至少存在两种可能的结果，只是我们面对风险时无法知道哪种结果将出现。不确定性分为主观上的不确定和客观上的不确定。 主观上的不确定。不确定性，大多定义为基于对未来会发生或不会发生什么事情的情况缺乏认识、产生怀疑的思维状态。不确定性是一种对于未来将发生的事情的简单心理反应。当风险存在时，就产生了不确定性。而这种不确定性往往是主观的，与实际情形不相符合。 客观上的不确定。客观上的不确定有两个层次的含义：首先，不确定的客观存在性。如果不确定性是由一些偶然因素导致的结果，那么其存在就具有了客观性。举一个简单的例子，当我们将两个球（一个红色一个白色）放置在一个袋子中，从袋子中随意取出一球，那么是红是白的概率均为50％。
（2）风险的分类
企业风险是普遍存在的，企业风险有以下几种分类方法：
① 按风险形成的原因，可将风险分为自然风险、市场风险、制度风险、技术风险 自然风险，是指自然环境的各种变化作用于企业的生产经营活动，从而使企业的预期收益、扩张目标无法实现的可能性。如风灾、旱涝等自然灾害为企业(特别是农业企业)经营、规模扩张带来很大的不确定性因素。
市场风险，是指市场因素、市场环境、价格因素的变化作用于企业的生产经营活动，而使企业既定的扩张目标、财务目标无法实现的可能性。引起市场风险的主要原因：第一是经济周期的波动。第二是通货膨胀。第三是利率和汇率的变动。利率的变动会给利息收支及资本市场价值带来不确定性，从而使企业的筹资成本和收益不确定。汇率的变动则会给企业的国外筹资和投资、国际贸易等各项活动带来风险。此外，商业欺诈行为也会加大市场风险。 制度风险，是制度(或政策)在变革或实施过程中，由于其结果的不可预见性，使制度(或政策)的实际收益与预期收益发生背离的可能性。
技术风险，是指企业由于研究、开发、应用新技术，而使其实际收益与预期收益发生背离的可能性。技术作为一个内生变量在经济发展中的作用被理论和实践一再地证实。但是，技术的研发、应用也具有一定的风险，主要是技术开发风险和技术应用风险。 ② 按风险能否分散，可将风险分为系统性风险和非系统性风险
系统性风险，是一种不可分散的风险，它是指由于政治、经济及社会环境等企业外部环境某些因素的不确定性而造成的对企业扩张行为的风险。系统性风险的特征是由共同的因素导致的，如通货膨胀、利率和汇率的变动、国家宏观经济政策变化、战争冲突、政权更替、所有制改造、经济周期等等，而且这些因素都是个别企业无法控制的，会给企业扩张带来较大的影响。
非系统性风险，是一种可分散的风险，它是指由于经营失误、消费者偏好改变、劳资纠纷、工人罢工、新产品试制失败等因素影响产生的个别企业扩张行为的风险。非系统性风险的特点是它只发生在个别企业中，由单个的特殊因素所引起的，由于这些因素的发生是随机的，因此可以通过多样化投资来分散，也就是说，发生于某一企业的不利可以被其他企业的有利因素所抵消。非系统性风险包括行业风险、经营风险、财务风险等。
③ 按风险管理科学对风险的分类，企业风险可以划分为市场风险、产品风险、经营风险等等十二种风险 表3－1
企业风险分类表(按风险管理科学对风险的分类)
风险类
基本涵义
别
市场风市场风险是指因市场突变、人为分割、竞争加剧、通货膨胀或紧缩、消险 费者购买力下降、原料采购供应等事先未预测到的因素，导致市场份额
急剧下降，或出现反倾销、反垄断指控的风险等。 产品风产品风险是指因企业新产品、服务品种开发不对路，产品有质量和缺陷险 问题，产品陈旧，或更新换代不及时等导致的风险。
经营风经营风险是指由于企业内部管理混乱、股东撤资、资产负债率高、资金险 流转困难、三角债困扰、资金回笼慢、资产沉淀等，造成企业经营业绩
不佳、资不抵债或亏损的困境等风险。 投资风投资风险是指由于各类投资项目论证不力、收益低下亏损、股东间不合险 作或环境变化导致项目失败或达不到预期目的的风险。
外汇风外汇风险是指因外汇汇率波动而使以外币计价的企业资产与负债价值险 上涨或下降的风险。
人事风人事风险是指由于企业对董事、监事、经理和管理人员任用不当，无充险 分授权，或精英人才流失，无合格员工，员工多数或者集体辞职等造成
损失的风险。 体制风体制风险是指企业因选择企业制度、法人治理结构、组织体系、激励机险 制等不当而导致运作困难或内耗增大，使公司高管任期届满后面临解散
清算的风险。 购并风购并风险是指由于企业的股权发生变化或转移，而引起善意或恶意的收险 购和企业间的合并等风险。
自然灾自然灾害风险是指因自然环境恶化、地震、洪水、火灾、台风、暴雨、害风险 沙暴、雪暴、天文异变、地质(地基)变动等造成损失的风险。 公关危公关危机是指企业因多种原因，如产品质量不合格、劳资纠纷、法律纠机 纷、重大事故案被公众媒体曝光，而使企业公信力和美誉急剧下降的风
险。 政策风政策风险是指因政府法律、法规、政策、管理体制、规划的变动，税率、险 利率变化或行业专项整治，加入世贸组织、双边或多边贸易摩擦等造成
影响的风险。 外交风外交风险是指由于本国与其他国家之间政治、外交关系的恶化，导致正险 常经贸和技术合作的中断或终止的风险。
④ 按影响环节分类 根据企业风险的定义：“企业风险是指由于各种不确定性因素的存在，而使企业生产经营活动的未来实际结果与企业预期目标不一致的可能性。”这里的可能性大小主要受到决策和执行两个重要环节的影响，因此，企业风险可分为决策风险与执行风险。 决策风险，决策风险是指由于决策失误原因所引起的，而使企业预期目标不能实现的可能性。而决策和风险是联系在一起的，只要某种活动的未来结果有两种或两种以上，就存在风险。企业在进行决策(规模扩张决策)时，面对自然和经济规律的不规则性、经营环境的复杂性，不可能完全准确地预计经营活动的变化，因而做出完全正确的决策是非常困难的，若
信息略有偏误，决策略有偏差，就有可能招致风险。例如，史玉柱和巨人集团的致命失误就是盲目决策，结果是公司发展方向失误，不仅丧失大好发展前程，而且引发财务危机，被巨人大厦拖垮。 执行风险，是指企业的经营决策在执行过程中发生偏差，而使企业预期目标不能实现的可能性。执行风险与执行能力相联系，执行能力是企业各种能力的集合，如组织能力、市场开拓能力、管理能力等。一个执行能力较弱的企业，即使其决策再正确，也存在预期目标不能如期实现的风险。
（3）风险的特征
风险具有三个明显的特征：偶然性、可变性和客观性。
2．风险评估
（1）风险评估概述
不同的企业、同一企业的不同时期以及同一企业内部不同的内部环境、外部环境、业务层面和工作环节，都可能面临不同的风险，企业应当有针对性地开展风险评估。 风险评估，是及时识别、科学分析影响企业内部控制目标实现的各种不确定因素同时采取应对策略的过程。要对识别的风险进行分析，以便形成确定如何对它们进行管理的依据。风险与可能被影响的目标相关联。既要对固有风险进行评估，也要对剩余风险进行评估，评估要考虑到风险的可能性和影响。 风险评估的主要任务有以下几点：识别企业面临的各种风险；评估风险概率和可能带来的负面影响；确定组织承受风险的能力；确定风险消减和控制的优先等级；推荐风险消减对策，适时调整应对策略。 （2）风险评估方法
不论采用何种方法来进行风险评估，无论是基于固有风险还是剩余风险的评估，都主要从损失频率(可能性)以及损失程度(影响)两个方面进行。 ① 损失频率的评估
对损失频率的测定可以估算某一风险单位因为某种损失原因而受损的概率，具体方法有定性分级和概率测算两种。 ② 损失程度的评估
损失程度衡量是公司风险衡量中重要的部分。损失程度指每次损失可能的规模，即损失金额大小。损失程度衡量实际上就是对损失的严重性进行估算。 （3）实际评估技术
不同类型的风险具有自己的特征，因此要使用不同的测量方式。实际评估技术有概率统计方法、敏感度分析、行业杠杆比较法、情景分析法、风险指标分析法等。 ① 概率统计方法
第一，概率 在经济活动中，某一事件在相同的条件下可能发生也可能不发生，这种事件称为随机事件。概率就是用来表示随机事件发生可能性大小的数值。通常，把必然发生的事件的概率定为1，把不可能发生的事件的概率定为0，一般随机事件的概率是介于0与1之间的一个数。一般，概率越大就表示该事件发生的可能性越大。 期望值(均值)
随机变量的各个取值，以相应的概率为权数的加权平均数，即是随机变量的预期值(均值)，它反映的是随机变量取值的平均化。
式中：E(R)一一随机变量的期望值；
i——随机变量的序数i=1，2，3，?n； R——随机变量值；
P——随机变量发生的概率。
第二，离散程度
方差和标准差。表示随机变量离散程度的量数，最常用的就是方差和标准差。方差、标准差反映了各种可能结果对期望水平的偏离程度。
2
方差σ（或标准差σ）衡量风险的思路是以各期收益的波动性（与均值的偏差）大小来代表风险。
2
方差σ （或标准差σ）衡量风险的思路是以各期收益的波动性（与均值的偏差）大小来代表风险。
【案例】假设你是一家公司的财务经理，准备进行对外投资，现有甲、乙和丙三家公司可供选择，三家公司的年报酬率及其概率的资料如表所示。
问题：作为一名稳健的投资者，应投资于期望报酬率较高而风险较低的公司，试通过计算作出选择。 表3－1
甲、乙和丙三家公司投资报酬率一览表
市场状况
发生概率
甲公司
繁荣 一般 衰退
0．3 0．5 0．2
40％ 20％ 0
投资报酬率 乙公司 50％ 20％ －15％
丙公司 60％ 20％ －30％
首先，计算三家公司的期望报酬率。 甲公司
乙公司
丙公司
因为三个公司的期望报酬率相同，因此可利用标准离差衡量风险大小 其次，计算各公司期望报酬率的标准离差