风险管理的发展与应用

关于风险管理，目前比较典型的有两种观点：其一为美国说，即从狭义角度把风险管理对象确定为纯粹风险；其二为英国说，即从经济角度把风险管理的重点放在经济控制方面。

另外，还有三种说法。第一，威廉姆森等在《风险管理与保险》中将风险管理定义为一种全面的管理职能，用于评价和处理某一组织的不确定性和风险的影响与原因。第二，前国际内部审计师协会主席伍顿·安德森认为，企业风险管理就是通过确认、识别、管理和控制组织潜在的情况和时间，为实现组织目标而提供适当保证的程序。第三，普华永道会计事务所的观点是：有效的风险管理可以识别威胁、控制损失、防范未经授权使用资金，并对伤害采取保护措施。而中国内部审计师协会在其发布的《第16号内部审计具体准则》中，将风险管理定义为对组织目标的实现的各种不确定性事件进行识别与评估，并采取应对措施将其控制在可接受范围内的过程。

2006年，亚洲风险与危机管理协会专家组经过五轮投票，将风险管理定义为企业风险管理是企业在实现未来战略目标的过程中，试图将各类不确定因素产生的后果控制在预期可接受范围内的方法和过程，以保障和促进组织的整体利益实现。

美国COSO2004年发布的《企业风险管理——总体框架》认为，风险管理是一个流程，在一个实体实现战略决策和执行决策的过程中，由董事会、管理层和其他人员实施，旨在识别影响实体的潜在事件和管理风险，以使其处于该实体的风险容量之内，并为实体目标的实现提供合理保证。

理解这个定义需要注意以下几个方面：首先，风险管理是一个流程，是降低和控制风险的一系列程序，涉及对企业风险管理目标的确定、风险的识别和评价、风险管理方法的选择、风险管理方案的实施以及对风险管理计划持续不断的检查和修正的一个过程；其次，风险管理不仅仅是企业管理委员会或者企业管理层的职责，实际上，风险管理工作需要几乎所有员工的参与；最后，该定义表明了风险管理的目的并不是不惜一切代价降低风险，而是尽量使风险降低至可以接受的范围内，而且风险是无法彻底消除的，从而使经营目标的实现只能做出合理而非绝对的保证。

风险古来有之，但对风险实施管理不足百年的历史，对风险提出全面的管理还是近年来的事情。作为系统性的科学，风险管理产生于20世纪初的西方工业化国家。20世纪30年代以来，风险管理作为一门新兴的管理学科得到了长足的发展，迅速成为一种国际性的运动，受到世界各国政府、企业和学术界的高度重视，并逐步在企业和政府管理中得到广泛运用。有关风险管理领域的研究，在时间和内容上大体可分为三个阶段。

2.1.1　理论探索与学科发展（1930～1970）

20世纪30年代至70年代是风险管理理论探索和学科发展时期。自20世纪30年代风险管理的思想理论开始萌芽后，风险管理逐渐以学科的形式发展起来，并形成了独立的理论体系。在此阶段，风险管理主要运用于企业管理领域，主要目的是对企业的人员、财产以及自然资源和财务资源进行适当保护，民间和企业是此阶段风险管理的主角，风险管理以保险为核心。

实际上，风险管理的思想可以追溯到远古时期，人类从那时起就开始关注风险和风险管理问题。自古以来，面对自然灾害、疾病和外部侵扰，史前人类结为部落，互助互济，共同承担责任，并对各种风险提供保障的方式，渗透着最朴素的风险管理意识和简单的风险管理实践。与风险抗争的长期实践使人们明白了“居安思危”和“防患于未然”的道理，由此产生了早期风险意识和风险管理行为的萌芽。例如，古代中国、巴比伦、埃及、希腊和罗马等文明古国很早就有互助共济、损失分摊的风险处理方法，并逐渐演变成现代保险。

19世纪末20世纪初，随着工业革命的诞生，企业风险管理的思想开始萌芽。1906年，美国钢铁公司从多次事故教训中提出了“安全第一”的思想。1913年，芝加哥创立了全美工业安全协会（National Council for Industrial Safety，NCIS）。并于1914年改名为全美安全协会（National Safety Council，NSC）。研究制定了有关企业安全管理的法律草案。1916年，法国管理科学大师亨利·法约尔（Henri Fayol）首次把风险管理的思想引入企业经营中，认为安全职能是企业经营六种职能（技术职能、营业职能、财务职能、安全职能、会计职能及管理职能）的基础和保证。1917年，英国伦敦成立了英国安全第一协会（The London Safety First Council）。1929～1933年发生的全球经济危机，促使人们开始思考如何采取有效的风险处置措施，减少或消除风险发生的可能性及其给人们造成的种种灾难性后果。1931年，美国管理协会（American Management Association，AMA）发起第一次关于保险问题的会议，明确了对企业风险进行管理的重要意义，并设立保险部门作为美国管理协会的独立机构，管理企业的人此后开始被称为风险经理（risk manager）。1932年，企业风险经理共同组成了纽约投保人协会（Insurance Buyers of New York），后来逐渐发展为全美范围的风险研究所。该协会的成立标志着风险管理的逐步兴起，但此时风险管理主要限于理论探讨，只有少部分大企业开始试行。

20世纪50年代，风险管理开始在美国以学科的形式发展起来，产生了风险管理的基本构思，并逐步形成了独立的理论体系。1950年，美国学者格拉尔（Russell B.Gallagher）首次使用“风险管理”一词，风险管理的概念开始广为传播。在此期间，保险成为企业处理风险的主要方法。1955年，美国保险购买者协会（NAIB）更名为美国保险管理协会，表明保险开始得到实业界的重视。20世纪60年代，企业风险管理的方法进一步扩大，很多学者开始系统地研究风险管理的方法，开始寻求风险管理方法的多样化，并取得了丰硕的成果。1962年，美国管理协会出版了一本有关风险管理的专著《风险管理的兴起》（The Rising of Risk Management）。1963年和1964年，梅尔（Robert I.Mehr）和赫奇斯（Bob A.Hedges）、威廉姆斯（Williams C.Arthur Jr.）和赫汉斯（Richard M.Heins）分别出版了《企业风险管理》（Risk Management in the Business Enterprise）和《风险管理与保险》（Risk Management and Insurance）。这两本著作的出版引起了欧美各国的广泛重视，标志着风险管理研究系统化、专业化的开始，风险管理由此成为企业管理领域的一门独立学科。

在风险管理学科稳步发展的同时，有关风险管理的教育和培训也陆续展开。1960年，乌普萨拉（Uppsala）大学企业管理系率先开设“公司风险管理”课程。1966年，美国保险学会和美国保险管理学会执行了风险管理准会员（ARM）的培训计划，培养合格的企业风险经理。从20世纪70年代初期开始，保险经纪人主动开展风险管理服务，风险管理咨询公司开始出现，推动了风险管理的普及。同时，美国许多大学的工商管理学院和保险系都普遍讲授风险管理课程，将风险管理的教育和培训贯穿于经济管理课程中，许多大学将传统的保险系更名为风险管理与保险系，有关的保险团体也纷纷改名。例如，1961年，全美大学保险学教师协会更名为全美风险与保险学协会（American Risk and Insurance Association，ARIA），其著名的期刊《保险》（The Journal of Insurance）也于1964年更名为《风险与保险》（The Journal of Risk and Insurance）。1975年，美国保险管理协会更名为风险与保险管理协会（Risk and Insurance Management Society，RIMS），并开始出版著名的《风险管理》（Risk Management）期刊。业界也开始广泛用“风险经理”的职衔来代替“保险经理”的职衔。

2.1.2　在政府开始得到广泛应用（1971～1999）

20世纪70年代后，风险管理在欧洲、亚洲、拉丁美洲等一些国家和地区获得了广泛的传播，被公认为企业管理领域内的一项重要内容，控制企业环境中的风险已成为企业管理的核心问题。同时，风险管理逐步规范化、标准化和程序化，管理方法不断丰富，管理领域不断扩大。在这一阶段，风险管理从企业管理领域逐渐扩大到了社会管理领域，成为政府管理和制定政策的重要方面，科学家成为风险管理的主角。

1.研究领域

从研究领域来看，20世纪70年代开始，风险管理逐渐从经济风险、自然风险等传统风险领域扩大到环境风险、技术风险（如核泄漏、臭氧层破坏，水资源污染和基因研究与克隆技术风险等）、公共健康风险（如食品和药品安全、传染疾病、癌症和艾滋病等）以及社会不公平风险（如贫困、失业和犯罪）等其他领域。在20世纪70年代以前，风险管理主要研究工矿企业的生产安全、投资风险、保险等风险以及地震、海啸、暴风雨、洪水、火灾等自然风险，并涉及核电站设计安全、飞机设计安全等重大工程项目的可靠性和相关风险问题。自20世纪70年代开始，由于技术进步和技术应用的不确定性涉及环境、公共安全和健康问题并引起了社会公众的关注，学术界开始从环境和社会结构的角度来研究技术风险、健康风险等，并逐步扩大到社会风险等其他领域。自1970年美国庆祝第一个地球日并设立环境保护署（U.S.Environmental Protection Agency，EPA）以来，美国政府开始大力资助科学家们研究如何在不确定性的条件下进行风险分析和做出合理的决策。在此期间，随着人口、资源与环境的矛盾加大，除了深化技术风险的研究外，人们开始研究涉及人类生存的重大风险问题，贫困、全球气候变化、能源短缺、核技术和生物技术的控制、全球化、自然灾害中的生命线安全、环境污染、转基因食品安全、禁止克隆人类等成为该时期的研究热点和焦点问题。在风险管理的应用范围上，由于风险管理中损失控制技术具有极强的普遍性，国外的企业界、金融界以及政界和军界都在运用风险管理的知识来进行风险规避，许多跨国公司均运用国际风险管理来进行营运操作。特别是在核能管制、环境、能源、公众健康等公共政策制定过程中，公共部门的决策者也开始探索使用风险分析的理论与方法。

2.研究方法

从研究方法来看，该时期各种风险分析方法和准则不断出台，风险管理更趋科学化和规范化。自20世纪70年代以来，人们对风险的复杂性、多样性、交叉性和不确定性有了进一步的了解。人们从各种技术风险问题中抽象出一些共性，在分析恶化的环境、潜在的威胁、不稳定的世界时看到了一些带规律性的东西，形成了风险科学的雏形：风险学是一门以概率统计和模糊系统等研究不确定现象的理论为基础，以风险系统的专门知识为支撑，以风险分析和风险管理为主要研究内容，以通过降低风险间接创造效益为研究目标的综合性交叉学科。在风险管理方面，人们不仅研究风险事件发生几率的组合，而且更加深入地研究各种风险模型，计算复杂性系统中各种风险事件出现的可能性。与此同时，在风险管理的技术上，随着计算机和高灵敏度测量仪器功能的不断增强，越来越多的研究者和实务部门根据实际问题的环境条件建立数学模型进行模拟试验，用模拟来进行风险分析。

3.研究内容

从研究内容来看，理论界开始把风险管理看作是自然科学和社会科学交叉的综合领域，自然科学家们在风险管理领域取得丰富的研究成果，社会学家们开始积极介入风险管理领域。自然科学家们坚持风险客观说理论，试图寻找量化、度量、具体化、计算、科学化、明确风险的途径，他们认为风险可以而且应该被精确和准确地量化。1983年，美国科学院公布了风险评价的四段法，即危险识别、暴露评估、剂量—反应评估和风险描述。1983年，风险与保险管理协会（RIMS）通过了“101条风险管理准则”，作为各国风险管理的一般原则，成为风险管理科学化和规范化的标志。从澳大利亚／新西兰风险管理标准（Risk Management，AS／NZS4360）的实施开始，一些发达国家纷纷效仿，制定全国性的风险管理标准，指导和推动风险管理的发展。相反，社会学家们则提出风险主观说的理论，将风险当作有机的文化结构，认为对风险的测量、理解和管理行为同时也改变了风险本身。切尔诺贝利核泄漏事故浮现的安全文化观念说明，管理风险不应只注重技术与财务，还应该注重个人行为与文化社会背景的影响。为此，英国学者道格拉斯（Mary Douglas）和拉什（Scott Lash）提出了风险文化理论，强调根据不同的价值观和信念可以把人们划分成若干文化群体；吉登斯（Anthony Giddens）提出了“失控的世界”和“人造风险”的观点；德国学者贝克（Ulrich Beck）提出了风险社会理论。这些学者从社会科学的角度来研究风险，强调要将公众的风险观点引入政策实施中来，理解和接纳公众的风险意识作为有效的风险管理策略的基础，而且还研究风险意识与性别、种族、政治观点、从属关系、情感以及信任程度等的关系。这些风险主观说的理论对风险管理的传统思维冲击很大。

4.研究队伍

从研究队伍来看，风险管理在美国兴起后很快扩展到世界各地，成为全球性运动。20世纪70年代中期之后，风险管理的概念、原理和实践已从它的起源地美国传播到加拿大和欧洲、亚洲、拉丁美洲的一些国家，美、英、日、法、德等国纷纷建立全国性和地区性风险管理协会。美国的风险管理起步较早，理论研究与应用范围也非常广泛。1970年，联邦德国引入美国风险管理理论，重点从风险管理政策的角度来开展研究，并形成了自己独特的理论体系。20世纪70年代以后，法国引入了风险管理理论，在国内广泛传播的同时，逐渐形成经营管理模式。1980年，风险分析学会（The Society for Risk Analysis，SRA）成立。目前，SRA除总部设在美国首都华盛顿外，还成立了欧洲分部和日本分部。1986年，欧洲11个国家共同成立了欧洲风险研究会，进一步将风险管理研究扩大到国际交流范围。1986年，英国成立了工商企业风险管理与保护协会（AIRMIC），开始将风险分析的研究成果应用于大型工程项目。风险研究在亚洲也得到了广泛的传播和发展。1986年10月，在新加坡召开了风险管理国际学术研讨会。1986年，日本风险研究会成立。中国台湾和香港的学者也先后对风险管理进行了理论研究和实际应用。中国台湾学者宋明哲出版过《风险管理》专著。香港保险业总会于1993年首次出版了《风险管理手册》，阐述了财务风险的有关理论。这些活动表明风险管理逐步从发源地美国走向世界，成为全球性运动。

2.1.3　各国政府全方位普遍重视（2000～　）

2001年“9·11”事件后，风险管理进入了一个新的阶段，开始得到各国政府全方位的普遍重视。各国纷纷投入大量的人力、物力和财力，强调政、研、企多方合作开展风险管理的理论研究和实际运作。在此过程中，政府、企业、社会等不同利益主体之间就风险管理理论研究和实践操作形成了新颖的合作关系，即民间和企业是风险技术的使用者，科学家是风险科学的研究者，而政府则是风险事务的管理者。

1.风险管理研究报告

自20世纪90年代以来，世界各国和国际组织纷纷发表风险管理报告，提出风险管理的综合分析框架。例如，1998年，德国全球变化咨询理事会（German Advisory Council on Global Change）发布《转型中的世界——全球环境风险管理战略》（World in Transition—Strategies for Managing Global Environmental Risks）报告。2001年7月，英国首相布莱尔宣布成立“战略小组”，以研究风险和不确定性。2002年，英国内阁办公室发布《风险：提高政府应对风险和不确定性的能力》（Risk：Improving government's capability to handle risk and uncertainty），提出政府风险管理的范围和总体方法。2003年，经济合作与发展组织（OECD）发布题为《21世纪面临的风险：一项行动议程》（Emerging Risks in the 21st Century：An Agenda for Action）的报告，强调风险具有持续变化的动态特征。该报告以一些重要系统在未来变得更加脆弱的可能性为重点，分析了21世纪可能显现的风险。2004年，联合国发布了《与风险共存：全球减灾情况回顾》（Living with Risk：A Global Review of Disaster Reduction Initiatives）和《减少灾害风险：发展面临的挑战》（Reducing Disaster Risk：A Challenge for Development）报告，强调要将风险管理战略全面纳入国家可持续发展的主流规划之中。2005年，国际风险管理理事会（IRGC）发表了《风险治理白皮书：面向一体化的解决方案》（White Paper on Risk Governance：Towards an Integrative Approach），提出了风险管理的综合分析框架。

2.国际性的综合风险管理机构

在此期间，各种国家层面的以及国际性的综合风险管理机构纷纷成立。例如，1999年底，在联合国国际减灾十年活动结束之后，联合国建立了一个减灾战略特别工作组，在联合国内部实施《国际减灾战略》（International Strategy for Disaster Reduction，ISDR），主要从事自然灾害风险管理的国际协调工作。2001年成立的联合国信息通讯技术工作组（United Nations Information and Communication Technologies Task Force）从信息与通讯技术这个具体领域探讨信息通讯技术对全球发展和稳定的影响。2003年成立的科学技术与人类未来国际论坛（Science and Technology for Society Forum）则倾向于从科技的角度探讨科技发展对社会可能带来的不利影响。综合风险管理机构最具代表性的是国际风险治理理事会（International Risk Governance Council，IRGC）和欧洲诚信网络（Trustnet）。2003年，由有影响国家的政府官员、科学家和其他领域专业人士组成了国际风险治理理事会（IRGC），将风险管理从民间学术交流和企业自发推动的层次上升到政府行为层次，标志着政府将在关系国计民生的风险评价和风险管理中发挥更大作用。成立于1997年的欧洲诚信网络是一个多元化和跨学科的欧洲风险管理网络。此外，在国家层面上，许多国家开始建立自己的综合风险管理机构。例如，2001年，韩国成立了综合性风险管理学会——韩国风险治理学会（Korean Society for Risk Governance，KSRG），该学会由全职的相关领域专家组成，包括自然灾害、意外事故、核能、环境、气候、信息系统、公共卫生和健康、生物工程（转基因食品）、食品安全、药物、纳米材料、老龄化、犯罪、风险心理学和认知学等社会科学和自然科学领域的专家。

3.全面风险管理和风险治理

在此期间，全面整合型风险管理（Integrated Risk Management）和风险治理（Risk Governance）开始得到理论界和实务部门的重视。欧洲诚信网络较早提出“风险治理”一词，并着重探讨了该词的含义。2003年，国际风险治理理事会（IRGC）将“风险治理”一词提到最为显著的位置，并较系统地探讨了该词的含义。2004年2月，联合国开发计划署下属的危机预防与恢复局（Bureau of Crisis Prevention and Recovery）发布了一份名为《减少灾害风险：发展面临的挑战》（Reducing Disaster Risk：A Challenge for Development）报告，其中使用了“风险治理”一词。这是联合国在自然灾害领域首次使用该词。与“风险管理”相比，“风险治理”主要强调的是风险管理主体的多元性、社会因素和心理因素（如风险认知、社会风险放大等）、风险利益相关者和公众的参与性以及风险沟通等方面的作用。

4.发展趋势

当前，风险管理的理论研究和实践工作蓬勃兴起，并呈现出方兴未艾的发展势头。就其发展趋势来看，主要表现出如下三个特点：一是从单一风险管理走向综合风险管理。风险管理已成为多学科交叉的前沿管理领域，综合了自然科学与社会科学、工程技术与管理科学等多学科和多领域。二是强调将风险管理纳入国家的可持续发展规划中，提出将防范各种潜在的风险因素整合到发展规划和日常管理决策中，从而能从更基础的层面改善风险管理，防患于未然。三是关注重点由传统风险因素转向新风险因素。当前，特别是对全球环境变化、全球化与区域化影响、能源与淡水短缺、新技术风险等新型综合风险予以高度关注。

在过去几十年的发展过程中，有关风险和风险管理的研究逐渐成为国际社会高度关注的一个焦点和热点问题，风险管理由此成为世界各国政府共同面临的重大挑战。在理论和实践相互作用、相互促进的过程中，全球风险管理已经超越了以往传统概念，超出了单学科、纯学术研究的范畴，具有跨学科、集自然科学与社会科学、研究与管理为一体的特点。在全球经济一体化的过程中，“9·11”事件等恐怖袭击、SARS疫情等新发传染病以及其他各种新风险不断涌现。同时，各种风险越来越具有持续变化的动态特征，风险源、风险发生的背景条件、风险演变特性、风险后果以及社会管理能力等都在不断发生变化，表现出错综复杂的特征，并且各种风险相互交织，这给全球风险治理带来巨大的挑战。

20世纪70年代初期，风险管理的理念开始传入中国台湾。中国大陆对风险管理的研究则始于20世纪80年代后期。一些企业引进了风险管理和安全系统工程管理的理论，运用风险管理的经验识别、衡量和估计风险，取得了较好的效果。企业的风险管理实践推动了风险管理理论的研究，为适应经济发展的要求，我国高等院校普遍开设了风险管理的课程。目前，风险管理理论和实务在我国还仅仅处于初步发展的阶段，有关风险管理方面的论文和教材也比较少。随着科学技术发展带来的负效应逐步加大、政府对风险管理的重视、企业发展的深化和个人风险管理意识的增强，风险管理的理论和实务必将在我国获得较大的发展。

虽然导致巴林银行倒闭的“李森事件”震惊了世界，但真正引起国人瞩目的则是与之异曲同工的“中航油事件”。2004年12月，中航油发布了一个令人震惊的消息：中航油（新加坡）上市公司因石油衍生产品交易总计亏损5.5亿美元，净资产不过1.45亿美元的中航油（新加坡）因之严重资不抵债，已向新加坡最高法院申请破产保护。

“中航油事件”引发了有关方面对全面风险管理的高度重视。国务院国资委组成了由企业改革局为主、有关中介机构参加的专项课题组，对我国国有企业二十年改革发展历史的经验进行系统总结，借鉴发达国家风险管理标准，对我国中央国有企业全面风险管理进行研究。2006年6月6日，国务院国资委以“国资发改革［2006］108号文件”发布了《中央企业全面风险管理指引》，要求企业开展风险管理工作，逐步建立健全全面风险管理体系。由此，国内监管当局开始制定指导性文件要求企业对风险进行管理。例如，上海证券交易所制定了《上海证券交易所上市公司内部控制指引》，深圳证券交易所制定了《深圳证券交易所上市公司内部控制指引》，国务院国有资产监督管理委员会颁布了《中央企业全面风险管理指引》，中国证券监督管理委员会颁布了《证券公司风险控制指标管理办法》，中国保监会颁布了《保险公司风险管理指引（试行）》，中国银行业监督管理委员会颁布了《商业银行操作风险管理指引》。各监管部门均出于自身的要求颁布了约束其监管对象的风险管理指引，对企业风险分散监管的格局初步形成，标志着我国企业风险管理的监管体系架构已具雏形。

2008年6月28日，财政部、证监会、审计署、银监会、保监会联合发布了《企业内部控制基本规范》，标志着中国企业内部控制规范体系建设取得重大突破。《企业内部控制基本规范》要求自2009年7月1日起先在上市公司范围内施行，鼓励非上市的其他大中型企业执行。至此，开启了对中国企业风险实施全面监管的序幕，也标志着中国企业风险管理与内部控制体系开始融合，标志着我国企业风险集中监管体制的形成。

目前，中国大部分企业（投资银行、商业银行与中央国有企业除外）的内部决策和管理机构里，通常没有专门的风险管理委员会和相应的机构，对全面风险管理有清晰理解的不多，已经实施了全面风险管理的企业则更少。因此，提升企业风险防范意识、加强风险管理能力、成立专业的风险管理部门将是中国企业面临的一个紧迫任务。