內控體系建設——全面風險管理的基石

　　早在1987年，美國COSO委員會整合了各種內部控制的概念和定義，于1992年推出《內部控制——整合框架》，至20世紀90年代后期，隨著亞洲金融危機、巴林銀行倒閉等一系列事件的出現，人們逐漸意識到，傳統的分散的風險管理模式已不能適應現代企業的需要，金融界率先做出反應，2001年，《新巴塞爾協議》頒布，之后，COSO于2004年發布了《全面風險管理——整合框架》，它曾被哈佛商業評論列為2004年最有突破性和影響力的思想之一。

　　全面風險管理只是中文的一種譯法，曾經也聽到有人對這種翻譯提出疑問，為什么不直接按英文的字面意思翻譯為企業風險管理？說到全面風險管理，難道還有不全面的風險管理嗎？可能最初提出這種譯法的人，希望能夠籍此強調這種風險管理的理念與傳統風險管理理念的不同吧。

　　在傳統風險管理時代，對風險的管理是“豎井”式的，即不同風險之間互相割裂，例如，市場風險由交易員用金融衍生品對沖，違約風險由信貸專家專門評估，法律風險由法律專家解決，純粹風險則通過購買保險來處理。這一做法并沒有以一種組合的方式把不同風險類型結合起來，雖然常常導致過度對沖和保險范圍過大，但在過去各種風險之間相關性較弱的時期，這樣的管理方法也還是可行的。但隨著時代的發展，社會經濟關系日趨復雜，各種風險之間開始相互依賴和交叉，企業不能再將風險分割成單獨的各個部分來獨立地管理。于是，許多學者通過與過去的傳統風險管理的對比，提出了新的企業風險管理的思想，即應利用風險單元之間的不完全相關性節約風險管理費用，從而增加企業價值；另一方面，全面衡量各個風險單元，將風險資本在不同的風險單元中進行有效地配置。這被稱為狹義的全面風險管理，更廣義的概念包括COSO的定義，即全面風險管理是一個過程，它由一個企業的董事會、管理當局和其他人員實施，應用于企業戰略制定并貫穿于企業各種經營活動之中，目的是識別可能會影響企業價值的潛在事項，管理風險于企業的風險容量之內，并為企業目標的實現提供保證。在COSO頒布的《全面風險管理——整合框架》中，還對全面風險管理的三個維度的框架進行了描述，雖然它還是沿用了自1963年就出現的風險管理流程，但是在風險識別、風險整合、風險優化和風險報告中，仍然與傳統的風險管理模式有所差別。

　　COSO的全面風險管理框架是建立在內部控制框架基礎上的，二者在目標和要素上都有區別。內部控制的目標是：經營的效果和效率、財務報告的可靠性、合規性，而全面風險管理的目標包括戰略目標、經營目標、報告目標和合規目標四個方面。在要素方面，全面風險管理新增了目標設定、事件識別、風險對策三個環節。

　　因為國內最初所引進的風險管理思想主要是COSO的思想，所以它的這一概念有點先入為主的優勢，但我們還是應該意識到，全面風險管理的內涵有狹義與廣義之分，狹義內涵更偏重技術，廣義內涵更偏重架構。實際上，除了COSO之外，美國的非壽險精算學會、標準普爾等都提出了全面風險管理的廣義內涵。而COSO提出的這一框架是和之前的內部控制框架一脈相承的，所以它強調了企業中高層領導的參與和推動對全面風險管理的重要性，以及內部控制和基層組織對執行風險管理過程的重要性。但在被廣泛接受的同時，COSO的定義也因為過于偏重內部控制和審計而受到批評。

　　在實踐中，除了全面地看待這一以“全面”為特點的管理思想之外，我們也要注意一些問題。首先，保險公司應了解國內目前所引進的COSO的內部控制與全面風險管理思想之間的繼承關系，為建立切實有效的全面風險管理體系打好基礎；其次，美國所提出的這些理念和框架所針對的是發展了上百年的市場和企業，很多技術性的細節，對于尚處于發展初期的我國保險公司以及發展得還不是很完善的消費市場來說，可能還難以實施。例如，在COSO框架提出之后，英國的保險公司開始嘗試建立類似巴塞爾II三大支柱結構的框架，美國的保險公司則強調保險企業全面風險評估，無論是哪種嘗試，數據庫及相關技術的支持都是必不可少的。美國保險公司所積累的大量數據雖然有自身的長期努力，但也有消費市場的功勞，如個人消費者的信息，尤其是信用信息，就是保險公司評估業務風險的重要元素。信息充分是費率細化的前提，而費率細化又是承保風險的管理方式之一，信息不充分，就很難做到費率的等級化，而費率過于粗糙將會給道德風險和逆選擇可乘之機。例如車險，除了性別、駕駛記錄等信息之外，美國的保險公司還會根據消費者的信用記錄、消費習慣、生活習慣等多方面進行綜合評價，甚至如果是學生的話，是否是留學生，是否是有獎學金的留學生等條件的不同，都會導致費率不同。因此，我國保險公司建立內控體系，應結合我國保險公司的發展階段特點進行。

　　總體而言，內控體系的建設將會成為我國保險公司走上可持續發展之路的重要條件，也將成為保險公司構建全面風險管理體系的基石。