爱华网目前很多企业或咨询公司进行的风控管理都有些务虚而不务实，偏理论化，不能解决很多实际管理问题，出现很多做了风控管理但照样发生很多风险事件，把风控管理越做越复杂等问题。为此，笔者近几个月探索并实践出了一些改进型的风控建设方法，取得了不错效果。
理念篇
不论你是咨询公司还是企业管理者，开展风控建设前一定要真正明确为什么而做？可能大家表面上都说得好听，但有的咨询公司是以盈利为导向的，有的企业是以应付上级任务为导向的。国内非常多这样的企业，这样的理念下所做的风控建设成果很难给企业带来真正价值。
现状篇
很多央企、国企、上市公司已完成了风险或内控体系的建设，主要成果为《全面风险管理手册》、《内部控制手册》或两者合本，大多都包含了流程文件。但是大部分企业推行困难（这两年本人走访了上百家这些企业，发现很多同类问题），很多的是锁在柜子里，需要报审时拿出来汇报，日常工作却跟以前没多大变化。
分析篇
一、部分企业错误地将全面风险管理与内控分头建设，分开推进。
由于早几年国资委推行风险管理，五部委推行内控，于是很多央企和上市公司设置两个部门对接，两个部门分开推进风险管理体系和内控体系建设，结果变成了有的企业做成两张皮，有的互相交叉重叠，有的一直在纠结两者关系，也有少数企业把两者合并（这才是正确的做法）。
二、很多企业的全面风险管理体系建设步骤不合理。
我总结了一下很多企业的全面风险管理体系建设步骤：
1．收集风险初始信息，进行风险识别，建立风险库；
2．建立风险发生可能性和影响程度标准，开展风险评估，绘制风险坐标图，找出重大风险；
3．针对重大风险，设计应对策略和主要控制措施（有的设计了主要预警指标）；
4．设计风险管理组织体系，包括风险管理的三道防线，决策、执行、监督单位，分别明确职责，建立风险管理制度和专项流程；
5．根据上述内容汇总成《全面风险管理手册》；
6．发布，宣贯，执行，监督，（考核）。
上述步骤的问题如下：
1．上来就开始进行风险识别，前端缺了风险管理体系建设三年或五年规划。风险体系的建设和运营成熟，没三五年肯定不行：
2．没有先解读企业战略规划、管控模式、组织模式等顶层设计，直接做风险识别可能与战略偏离，或者遗漏战略性的重要风险。
3．风险识别往往是各部门自行梳理，报风控部汇总形成风险库。但各部门梳理风险是站在部门的角度，极少站在公司整体层面看风险。这个问题很难解决，需要风控部门人员既熟悉公司，又要具有较全面的管理知识，汇总各部门风险点后进行整合、梳理，拔高。
4．风险评估流于形式。虽然制定了风险评价标准（其实发生可能性和影响程度的评价标准大多比较粗），但各部门在填风险评估问卷的时候，往往并不看评价标准，纯凭感觉，甚至草草填完就交了。因此，风险评估的结果其实并不准确，当然这需要时间。
5．风险应对策略虚、不实用、未深入业务。对于评估出的重大风险，有的企业做专项改进，有的制定管理建议，有的制定应急预案等，但若不深入业务制度和流程，就没有多大的实用性。同时，若只是基于现状，未能从流程优化的角度去改进，也不能解决风险。
6．大部分企业建立和实施风险管理体系，却没有建立风险管理KPI考核指标。风险管理的KPI，应当至少包含该部门所涉及风险的管理情况、风险预警报告及预警后的情况、半年度/年度风险管理报告、与风控部门的配合情况、在制度流程中的应用及改进情况等。
三、很多企业的内控体系建设步骤不合理。
再来看很多企业的内部控制体系建设步骤，问题更严重。
1．70%时间是拿着基于《内部控制配套指引》设计的控制矩阵（非常复杂的excel表），对企业内控情况进行穿行测试，查找不符合项，认定为缺陷，提一堆整改建议。
2．做完内控穿行测试后就套用配套指引的18个方面内容，画18个方面的流程+企业特殊业务流程+控制活动说明（脱离企业实际情况，套用指引18个应用指引），然后汇编成《内部控制手册》。
这样操作的结果是，企业拿到手册后，除了满足证监会合规要求，就基本没法使用。这样做出来的《内控手册》，基本是脱离企业实际、没有多少实用价值的，这是对企业非常不负责任的行为，内控若不能跟业务实际结合，若不能以管理提升为目标，要内控何用？
改进篇
前面是这几年发现的企业建设全面风险管理体系、内部控制体系的通病，我从很多很多客户那里了解到，他们觉得做这个真没什么用。作为一个风控从业者，我无比汗颜。经过几年的探索和近几个月的实践，我提出了改进型的风险与内控体系建设方法。
1．开始建设风控体系前，企业领导人应在启动会上明确表态，项目目的不是应付检查，而是发现并改进管理问题，实现管理提升（咨询顾问要提前沟通），并且将项目成果质量与各部门绩效挂钩，考核三个要点：是否发现问题、是否解决问题、解决问题效果。
2．风控建设不是风控部的事，而是整个公司的事情，因此要建立联合项目组，公司领导担任项目组领导，指定某副总担任项目主任，风控部经理担任副主任，其他各部门经理为项目组成员。这样一来，风控部经理在此事中比其他部门高半级，工作就好推进。
3．如果需要咨询公司辅导，就一定要选好项目经理。项目经理一定要知识面广，除了风控之外，要懂一些战略、集团管控、组织与权责、制度与流程优化。如果项目经理只是风控专长，不懂其他，那么他很难在项目中深入结合企业业务，进行真正的管理优化提升。
4．开始建设前，先制定风控建设与运行五年（或三年）规划。可以参考如下五年规划思想：体系搭建（总部及试点子公司）、分步推进（其他子公司推进）、高效运作（总部与子公司联动运作）、能力提升（综合风控能力提升）、行业标杆（成为风控行业标杆）。
5．以管理问题解决（或管理提升）为导向设计风控体系建设方案，让每个部门都参与这项工作，（做好沟通，不是给其他部门增加负担，而是帮各部门解决问题，提高绩效）特别强调风险管理与内控的融合，切不可分开推进，不要分散在两个不同的部门进行管理。
6．具体步骤如下：
（1）召开启动会，公司领导要强调以问题解决或管理提升为目标，强调此事纳入各部门绩效，但不是给大家压力，而是帮助提升绩效。然后风控专家进行培训，普及风险与内控基础知识，强调风控给企业带来的价值，多讲案例，少讲理论。
（2）召集公司副总、各部门经理开碰头会，讨论并梳理各职能存在的主要管理问题，初步梳理出至少50个关注问题点，作为接下来调研访谈的重点。例如战略规划不清晰、战略执行不力、权责不清、采购问题、关键人才流失、合同管理、应收账款等等。
（3）以挖掘问题为目标开展访谈（若无咨询公司，风控部可主导访谈）。对高层、各部门经理、各部门骨干进行调研访谈（必要时查看现场），全面了解工作现状，深入挖掘分析问题表现及原因（突出之前梳理的50个以上问题点），梳理出《管理问题汇总表》。
（4）分析企业战略规划，集团管控模式，当前管理基础。解读战略，分析实现战略的重点风险有哪些；解读管控模式，分析风控组织应如何设计；结合管理基础，总结风控体系建设的战略要点有哪些，形成《风险视角的战略与管控解读报告》，作为风控体系建设总纲领。
（5）站在公司层面视角，系统梳理当前流程框架（三级或四级流程体系，强调跨部门流程），再对标之前完成的《管理问题汇总表》及现有管理制度，形成“问题-流程-制度”的对应关系，再补上缺失流程及制度，得到《管理问题、流程及制度体系框架表》。
（6）根据《管理问题、流程及制度体系框架表》，让相关部门绘制现状流程图，还原流程操作现状。然后组织相关部门开展“流程优化研讨会”，以解决问题、控制风险为导向优化流程（可能包括权责调整、步骤增减、步骤调整等），直到优化后流程得到大家认可签字。
（7）流程优化完成后，对相关制度进行修订。包括：将制度与《企业内部控制配套指引对标》，与优秀企业同类制度对标（可能借鉴优秀企业先进的管理经验和模式），与优化后流程进行对标，综合以上三者对制度进行一一修订，然后讨论，上会，发布执行。
（8）根据优化后制度和流程，编制《权限指引表》。这个设计的权限表要精确到每个流程的每个表单，精确到每个岗位的，一目了然，非常实用和清晰，且容易IT化。如图1所示
图1权限指引表
（9）根据优化后流程图，一一进行风险识别，在流程图中标出风险点和控制点，对每个风险点和控制点操作方法进行描述，对应到岗位，形成《流程风控矩阵》（比事务所的矩阵精简，强调实用性，主要保留控制目标、风险点描述、控制点描述，输出文档，对应岗位）。
注意，以前大家描写风险点、控制点总是一大堆文字，使用者一看就头疼，执行不力，因此要求描述要精炼，文字量要越少越好，但主要意思要表达出来。例如报销流程中的几个风险描述：报销内容与实际不符,发票金额与报销金额不符，超过预算，超出报销权限，等等。
再说控制点的写法。业内控制点的写法五花八门，但还是文字量太大，使用者没耐心阅读和执行。笔者分析了多种控制点写法，总结了最精简实用的方法，主要是描述每个审核、审批、研讨、会议、监督、核对等控制步骤的关注点。
具体写法见图2。读者可以仔细对比三个控制点，是不是觉得比以前的写法精简多了？这样使用者就愿意看，愿意执行。此外，三个人审同一个报销单，但关注点是不同的，这是跟他们的职责相匹配的。不同人关注不同的要点，这个风险就得到了控制，这样的风控就深入了流程和业务，并且结合了职责和制度要求。
图2 控制点的写法
为了风控更加实用，融入业务，还需要将每个控制点的关注点嵌入IT审批流：例如管理者在系统中审批报销单，页面自动显示“风险提示”，里面是”风险点描述”，还有个“控制要求”，里面是”请关注1、2、3”，然后对关注点一一打钩，审批按钮才会出来。这样一来，风控就更加实用了，每个管理者在每个审核审批点，系统都会提示他关注不同的内容，从而控制了风险，而不是几本手册，难以推行。这样的系统功能开发，在OA或ERP中嵌入是很容易的，开发成本低、效果好。
（10）根据上述成果，建立风控组织，包括横向的三道防线，纵向的集团管理条线，交错行程风控组织网络，明确每条防线，每个部门的风控职责，考核指标，关键预警指标，建立风控专项流程，建立各部门风险管理报告模板，综上编写成风控专项管理制度。
（11）将前述成果汇编成《风险管理与内控手册》（也可以分开编，比较灵活），主要包括风控五年规划、风控体系整体框架、风控组织体系、各部门风控职责、风险库、考核指标、关键预警指标、权限指引表、全部流程图及与之一一对应的风控矩阵，然后发布实施。
注意：风控手册完成后往往是厚厚一本，使用者一看这么厚就不想翻阅，因此可以把手册按部门汇编，例如与财务部有关的流程，单独汇编一本，与人力资源部有关的，单独汇编一本，以此类推。将这些内容按前文所述的方法融入OA或ERP审批流程，实用性和执行力会大大加强。
