所谓全面风险管理，是指企业围绕总体经营目标，通过在企业管理的各个环节和经营过程中执行风险管理的基本流程，培育良好的风险管理文化，建立健全全面风险管理体系，包括风险管理策略、风险理财措施、风险管理的组织职能体系、风险管理信息系统和内部控制系统，从而为实现风险管理的总体目标提供合理保证的过程和方法。

说到风险管理，有个概念是必须要提到的，即企业内部控制。在实践中有很多企业不能真正理解全面风险管理与内部控制的区别和联系，要么将两者完全隔离开来，要么只是简单地将它们等同起来。那么它们有什么联系和差异呢？国际上基本上是接受了美国COSO（全国反虚假财务报告委员会的发起人委员会）2004年发布的《企业风险管理——整合框架》（国内也有译作《全面风险管理框架》的）对两者的阐释。

（1）全面风险管理涵盖了内部控制。COSO框架中明确地指出全面风险管理体系框架包括内控，将之作为一个子系统。

（2）内部控制是全面风险管理的必要环节。内部控制的动力来自企业对风险的认识和管理，对于企业所面临的大部分运营风险，或者说对于在企业的所有业务流程之中的风险，内控系统是必要的、高效的和有效的风险管理方法。同时，维持充分的内控系统也是国内外许多法律法规的合规要求。因此，满足内部控制系统的要求也是企业风险管理体系建立应该达到的基本状态。内部控制与全面风险管理的差异为　　（1）两者的范畴不一致。内部控制仅是管理的一项职能，主要是通过事后和过程的控制来实现其自身的目标，而全面风险管理则贯穿于管理过程的各个方面，更重要的是在事前制订目标时就充分考虑了风险的存在。而且，在两者所要达到的目标上，全面风险管理多于内部控制。

（2）两者的活动不一致。全面风险管理的一系列具体活动并不都是内部控制要做的。全面风险管理包含了风险管理目标和战略的设定、风险评估方法的选择、管理人员的聘用、有关的预算和行政管理、以及报告程序等活动。而内部控制所负责的是风险管理过程中间及其以后的重要活动，如对风险的评估和由此实施的控制活动、信息与交流活动和监督评审与缺陷的纠正等工作。两者最明显的差异在于内部控制不负责企业经营目标的具体设立，而只是对目标的制定过程进行评价，特别是对目标和战略计划制定当中的风险进行评估。

（3）两者对风险的对策不一致。全面风险管理框架引入了风险偏好、风险容忍度、风险对策、压力测试、情景分析等概念和方法，因此，该框架在风险度量的基础上，有利于企业的发展战略与风险偏好相一致，增长、风险与回报相联系，进行经济资本分配及利用风险信息支持业务前台决策流程等，从而帮助董事会和高级管理层实现全面风险管理的四项目标。这些内容都是现行的内部控制框架所不能做到的。

从国际国内发展趋势来看，随着内部控制或风险管理的不断完善和变得更加全面，它们之间必然相互交叉、融合，直至统一。

内部控制和风险管理的概念是在实践中逐步产生、发展和完善起来的。

在20世纪30年代，由于受到1929－1933年的世界性经济危机的影响，美国约有40%左右的银行和企业破产，经济倒退了约20年。美国企业为应对经营上的危机，许多大中型企业都在内部设立了保险管理部门，负责安排企业的各种保险项目。可见，当时的内部控制和风险管理主要依赖保险手段。

1949年美国审计程序委员会下属的内部控制专门委员会经过两年研究发表了题为《内部控制，协调系统诸要素及其对管理部门和注册会计师的重要性》的专题报告，第一次对内部控制做了权威性的定义。1955年，美国宾夕法尼亚大学沃顿商学院的施耐德教授第一次提出了“风险管理”的概念。

20世纪70年代中期，作为美国“水门事件”调查结果，立法者和监管团体开始对内部控制问题给以高度重视。为了制止美国公司向外国**官员行贿，美国国会于1977年通过了“国外腐败实务法案（1977）”。该法案除了反腐败条款外，还包含了要求公司管理层加强会计内部控制的条款。该法案成为美国在公司内部控制方面的第一个法案。1978年，美国执业会计协会下面的柯恩委员会（Cohen Commission）提出报告，一是建议公司管理层在披露财务报表时，提交一份关于内控系统的报告；二是建议外部独立审计师对管理者内控报告提出审计报告。1980年后，内部控制审计的职业标准逐渐成形。而且，这些标准逐渐得到了监管者和立法者的认可。

1970年代以后，随着企业面临的风险复杂多样和风险费用的增加，法国从美国引进了内部控制和风险管理并在法国国内传播开来。与法国同时，日本也开始了风险管理研究。 此后20年来，美国、英国、法国、德国、日本等国家先后建立起全国性和地区性的风险管理协会。1983年在美国召开的风险和保险管理协会年会上，世界各国专家学者云集纽约，共同讨论并通过了“101条风险管理准则”，这是风险管理走向实践化的一个重要文件。1992年9月，美国COSO委员会发布了《企业内部控制——整合框架》，这份框架此后被纳入政策和法规之中，并被各国数千家企业用来为实现既定目标所采取的行动加以更好的控制。1995年由澳大利亚和新西兰联合制订的AS/NZS 4360明确定义了风险管理的标准程序，这就是我们通常说的澳新ERM标准，这标志着第一个国家风险管理标准的诞生。

多年来，人们在风险管理实践中逐渐认识到，一个企业内部不同部门或不同业务的风险，有的相互叠加放大，有的相互抵消减少。因此，企业不能仅仅从某项业务、某个部门的角度考虑风险，必须根据风险组合的观点，从贯穿整个企业的角度看风险，即要实行全面风险管理。然而，尽管很多企业意识到全面风险管理，但是对全面风险管理有清晰理解的却不多，已经实施了全面风险管理的企业则更少。但2001年11月的美国安然公司倒闭案和2002年6月的世通公司财务欺诈案，加之其它一系列的会计舞弊事件，促使企业的风险管理问题受到全社会的关注。2002年7月，美国国会通过萨班斯法案（Sarbanes-Oxley法案），要求所有在美国上市的公司必须建立和完善内控体系。萨班斯法案被称为是美国自1934年以来最重要的公司法案，在其影响下，世界各国纷纷出台类似的方案，加强公司治理和内部控制规范，加大信息披露的要求，加强企业全面风险管理。接着在2004年9月，COSO发布《企业风险管理——整合框架》（Enterprise Risk Management — Integrated Framework），该框架拓展了内部控制，更加关注于企业全面风险管理这一更为宽泛的领域，并随之成为世界各国和众多企业广为接受的标准规范。

到目前为止，世界上已有30几个国家和地区，包括所有资本发达国家和地区及一些发展中国家如马来西亚，都发表了对企业的监管条例和公司治理准则。在各国的法律框架下，企业有效的风险管理不再是企业的自发行为，而成为企业经营的合规要求。

COSO的ERM框架是个三维立体的框架。这种**立体的表现形式，有助于全面深入地理解控制和管理对象，分析解决控制中存在的复杂问题。

第一个维度（上面维度）是目标体系，包括四类目标：(1) 战略(Strategic)目标，即高层次目标，与使命相关联并支撑使命；(2) 经营(operations)目标，高效率地利用资源；(3) 报告(reporting)目标，报告的可靠性；(4) 合规(compliance)目标，符合适用的法律和法规。

第二个维度（正面维度）是管理要素，包括八个相互关联的构成要素,它们源自管理当局的经营方式，并与管理过程整合在一起，具体为：

管理当局确立关于风险的理念，并确定风险容量。所有企业的核心都是人(他们的个人品性，包括诚信、道德价值观和胜任能力)以及经营所处的环境,内部环境为主体中的人们如何看待风险和着手控制风险确立了基础。

必须先有目标，管理当局才能识别影响目标实现的潜在事项。企业风险管理确保管理当局采取恰当的程序去设定目标，并保证选定的目标支持主体的使命并与其相衔接，以及与它的风险容量相适应。

必须识别可能对主体产生影响的潜在事项，包括表示风险的事项和表示机会的事项，以及可能二者兼有的事项。机会被追溯到管理当局的战略或目标制定过程。

要对识别的风险进行分析，以便确定管理的依据。风险与可能被影响的目标相关联。既要对固有风险进行评估，也要对剩余风险进行评估，评估要考虑到风险的可能性和影响。

员工识别和评价可能的风险应对措施，包括回避、承担、降低和分担风险。管理当局选择一系列措施使风险与主体的风险容限和风险容量相适应。

制定和实施政策与程序以确保管理当局所选择的风险应对策略得以有效实施。

主体的各个层级都需要借助信息来识别、评估和应对风险。广泛意义的有效沟通包括信息在主体中向下、平行和向上流动。

整个企业风险管理处于监控之下,必要时还会进行修正。这种方式能够动态地反应风险管理状况，并使之根据条件的要求而变化。监控通过持续的管理活动、对企业风险管理的单独评价或者两者的结合来完成。

第三个维度（侧面维度）是主体单元，包括集团、部门、业务单元、分支机构四个层面。

在中国银行业从业人员资格认证的相关书籍中，将全面风险管理要素表述为

1、内部环境和目标设定

2、事件识别和风险评估

3、风险反映和控制活动

4、信息和交流以及监控

1、风险辨识

2、风险评价

3、风险诊断

4、风险战略设计

5、风险文化建设

6、风险防范管理规划

7、风险流程设计

8、组织职能设计

9、风险理财设计

10、信息系统建设

中国在这方面的研究开始于上世纪80年代。一些学者将风险管理和安全系统工程理论引入中国，在少数企业试用中感觉比较满意。但中国大部分企业缺乏对风险管理的认识，也没有建立专门的风险管理机构和制度建设。

我国系统的内控制度建设是在有了《会计法》之后。1999年修订的《会计法》第一次以法律的形式对建立健全内部控制提出原则要求，财政部随即连续制定发布了《内部会计控制规范———基本规范》等7项内部会计控制规范。但从更宽泛的管理意义上来说，真正把内部控制和风险管理形成法规，是受到美国2002年安然事件、世通公司财务欺诈案及随后美国的萨班斯法案的影响。2006年经当时国务院副总理黄菊的批准，这一问题提上议事日程，成立了企业内部控制标准委员会，正式开始这项工作。当年6月6日，国资委发布了《中央企业全面风险管理指引》，这是我国第一个全面风险管理的指导性文件，意味着中国走上了风险管理的中心舞台。2008年6月28日，财政部、证监会、审计署、银监会、保监会五部门联合发布了《企业内部控制基本规范》，《规范》自2009年7月1日起先在上市公司范围内施行，鼓励非上市的其他大中型企业执行。《规范》的发布，标志着我国企业内部控制规范体系建设取得重大突破，有业内人士和媒体甚至称之为中国版的“萨班斯法案”。2010年4月26日，财政部、证监会、审计署、银监会、保监会等五部委刚刚联合并发布了《企业内部控制配套指引》。　该配套指引包括18项《企业内部控制应用指引》、《企业内部控制评价指引》和《企业内部控制审计指引》，连同此前发布的《企业内部控制基本规范》，标志着适应我国企业实际情况、融合国际先进经验的中国企业内部控制规范体系基本建成。为确保企业内控规范体系平稳顺利实施，财政部等五部门制定了实施时间表：自2011年1月1日起首先在境内外同时上市的公司施行，自2012年1月1日起扩大到在上海证券交易所、深圳证券交易所主板上市的公司施行；在此基础上，择机在中小板和创业板上市公司施行；同时，鼓励非上市大中型企业提前执行。

《企业内部控制基本规范》及配套指引，在实践中的应用范围，可以分为三类企业：一类是上市公司，这是必须要进行的。其次是国有企业。按国资委出台的风险管理指引要求，下属的企业都要全面贯彻风险管理。风险管理和内部控制是相通的。风险管理是战略层面，最后要落脚到内部控制。对这部分企业来讲，内控建设也是必须开展的。第三类就是民营企业。这一类公司没有相关主管部门，在《基本规范》的实施上，有较大的自由度，但是作为一个真正有商业头脑、有战略眼光的企业家应该要做这个工作，毕竟从长远来看，这个花费是值得的。

（1）把内部控制与全面风险管理体系的建设理解为建章立制。其实从COSO框架的定义中，我们可以看出它们都被明确为是一个“过程”，不能当作某种静态的东西，如制度文件、技术模型等，也不是单独或额外的活动，如检查评估等，最好是内置于企业日常管理过程中，作为一种常规运行的机制来建设。

（2）内部控制体系和全面风险管理体系是相互独立的。建设内部控制和全面风险管理体系都是一个系统工程，两者在内涵上也有一定重合，企业需要综合考虑自身业务特点、发展阶段、信息技术条件、外部环境要求等，确定选择合适的管理体系和建设重点。比如，在监管严格的金融业或涉及人民生命健康的制药与医疗行业，风险管理的迫切性更强，企业以风险管理主导内部控制可能更方便。而在另一些企业，为了符合信息披露中内部控制报告的要求，企业以内部控制系统为主导、兼顾风险管理可能更适合。在相关管理理论和实践不断发展变化的今天，有时候先做起来比争论更有意义。

（3）内部控制和全面风险管理的作用被夸大。有些企业对内部控制和风险管理体系的建设寄有过高期望，他们希望内部控制和风险管理可以确保企业的成功、确保财务报告的可靠性和法律法规的遵循性。而实际上无论多么先进的内部控制和风险管理体系都只能为企业相关目标的实现提供合理的而非绝对的保证。

（4）内部控制与全面风险管理理念在企业实践落地难。由于新的管理理念和方法的引进，与国内企业原有的管理体系和观点存在较多的差异和差距，这些理念和方法还更多的处于导入阶段，大多数企业管理人员还不能在这些框架和概念与企业的日常经营管理行为和语言之间建立直接的联系。这造成了企业在这方面的理解有差异或者关注度不够，除非出现强制性的相关规范和要求。其实这些理念、概念的出现并不是说企业就缺乏这些，事实是理论来源于实践又高于实践，这些理论的提出有助于我们将散布于企业管理各个方面的相关元素按照框架的要求和标准进行补充、修正和组合。

七、斯坦福大学研究院的企业全面风险管理框架

斯坦福大学研究院提出的是企业全面风险管理（CERM：Comprehensive Enterprises Risk Management）框架。

企业全面风险管理（CERM：Comprehensive Enterprises Risk Management）强调通过量化分析支撑下的决策分析，在决策层面上管控战略方向选择、重大业务决策等方面的风险。相形之下，COSO风险管理框架以内控为中心，强调通过制度、流程和财务等手段，在业务层面上管控运营、操作过程中的风险。它可以在企业整体层面制定风险战略，构建内控体系，完善风险管理制度，优化流程和组织职能，为企业构建风险管理的长效机制，从根本上提升风险管理的效率和效果，最终帮助企业实现风险管理的各项目标，包括：

﹡ 建立包括风险识别、风险测评、风险应对和风险监控在内的企业风险管理体系

﹡ 利用系统的、科学的方法对各类风险进行识别和分析

﹡ 将风险应对措施落实到企业的制度、组织、流程和职能当中

﹡ 形成企业风险管理战略，支持企业经营战略目标的实现

﹡ 使所有企业利益相关人了解企业的风险，满足股东以及监管机构的要求

银行全面风险管理的核心包括：（1）全球的风险管理体系；（2）全面的风险管理范围；（3）全程的风险管理过程；（4）全新的风险管理方法；（5）全员的风险管理文化。