1、一、 风险管理是企业生存底线风险管理是企业生存的底线，无论是怎么强调也不过分。不管是内部管理需要，还是外部监管要求，都使得企业风险管理作用显得日益提高。应该说，风险管理的目的不是消除风险，也不是降低风险，而是将其控制在我们可承担的风险范围内，为企业经营目标的实现提供合理保证。 风险管理可以分为三个阶段，第一阶段是问题反应型，来了问题救火式的反应；第二阶段是规范操作型，是已有制度和流程，但缺少战略指导方针下的风险管理；第三个阶段是体系完善型，就是整个公司的风险管理和内部控制是在公司的统一战略指导之下，通过完善的体系、流程和日常的管理工作来预防和控制风险。因此，风险管理最主要的目的还是预防，而不是
2、等着风险来了，再采取措施。 许多企业的历史，会发现这样一种情况：在某个区间段恰恰资金短缺，这时刚好有一笔资金帮助企业渡过了难关。假如那笔钱不在那个区间出现的话，那么今天那个企业很可能已经不存在了。而风险管理的目的，就是尽量要避免这种情况发生。二、 风险管理是全员参与的理念 风险管理的重要原则之一就是全员参与，这需要董事会、经营管理层切实转变观念，真正重视起来，建立一个自上而下的内控体系，培育全员参与的风险管理文化。企业要宣贯每一位员工在其职责范围内都是风险管理的主体，都承担着相应的风险管理责任的理念，将风险意识根植于每一位员工的思想中，从而把风险管理纳入到经营管理全流程中。三、 提高全面风险管
3、控的预防性以风险可控为目标，提高全面风险管控的预防性，支持企业高效、健康、持续发展。比如在合同审核方面，要做到事前法律审核，从商业模式、交易条件、合作方的选择、合同条款的设置等环节介入，并进行风险控制指导，这样业务部门就能够掌握内控的基本要求。按照这个方法做下去，就既能保证业务流畅，又能控制风险。四、 将风险控制在可接受的区域 风险和企业目标之间的关系很复杂，每个企业都会有固有风险，要把风险控制在一个能够满足企业风险偏好的区域，这需要经营管理层分析掌握自己能够承受的度在什么地方。风险管理的精要是将未知风险变成可控风险，关键是通过管理将很多相互影响的因素统筹好，根据企业的目标去做风险分析，把一些
4、主要风险明确下来，然后找到相应的控制手段、管理手段、最终将风险控制在想要的区域里面。五、 风险管理的成果是无价的一些企业做风险管理很关注手册、模式等有形成果，但其实在风险管理工作形成的知识、经验等无形成果才是无价的。这些知识和经验如何来管理决策，可以进一步地完善企业管理。有了这些，企业才能够更好地应对未来市场的不确定性，这种应对能力的养成才是风险管理和内控的精要。六、 三大需求催生内部控制工作第一是企业发展需求。随着企业的不断发展壮大，如果不完善内控体系，企业的风险将非常大。企业的内部管理、控制好与坏，直接关系到企业能否健康可持续发展。第二是品牌和商誉建设需求。要成为一个规范的、合作方相信的企
5、业，内控体系是其中一个很重要的标准，它可以证明企业可不可以让人相信与合作。第三是经营效益需求。这是股东投入回报最大化的需要，即从稳健角度来说，股东想方设法发展企业，必然有一个风险管理的需要。七、 内控体系无需“建立”有人认为内部控制就是要建立一种体系，制定成套的体系文件。很多企业本身就有内控体系，可是这些并没有写进体系文件里去。其实，内控体系的实质就是要建立团队，有人做这个事情，并把现在文字、体系里面的知识、经验形成一套制度，能够在企业里面传承下去，而不是重新编一些新的东西出来。八、 说你做的和做你说的“说你做的”是指说了什么事情要公开；“做你说的”则是指规定制度、承诺的事情一定要做到。如果能
6、做到这八个字，在一个企业里面内控意识就形成了。这其中最重要的是执行力问题。流程和制度无论多么完善，如果不能得到执行，就会无济于事。有些流程虽然不是很规范，但只要员工做到了，也同样可以取得好效果。九、 事前管控、事中规范、事后闭环内部控制需要一个全流程的控制，即建立事前、事中、事后的全过程控制程序。事前有管控，比如在员工管理方面，企业可参照驾驶员记分的方法建立员工的诚信档案，累计扣除的分值不同会有相应措施；事中有规范，应对企业的要求和规定的执行情况定期检查；事后有闭环，企业经营过程中总会发生一些问题，出现问题要深查下去，为什么发生问题，是哪个制度、流程、机制出现了问题，怎么去控制，怎么去杜绝，从而进行根治。十、 强化内审体系企业的内审体系能建立起来，内控就会上一个台阶。强化以风险管理为导向的内审工作，会让经营管理层真正掌握整个企业的经营情况，看清各个业务单元和部门之间存在的突出风险和焦点问题，并采取有效措施进行整改。但中国企业的内部审计职能发展的时间很短，这需要一个过程，不能一蹴而就。
