风险管理与内部控制：策略、缺陷与组织
一、风险的分类
| 类别 | 举例 |
|---|---|
| 外部风险 | 政治法律、经济、社会文化、技术、自然环境 |
| 内部风险 | 战略风险（方向错误、并购失败）、运营风险（流程、人员、系统）、财务风险（流动性、汇率、利率、信用）、合规风险 |
也可以按"能否分散"分：系统风险（市场整体，不可分散）与非系统风险（公司特有，可通过组合分散）。
二、风险管理流程
目标设定 → 风险识别 → 风险分析（可能性 × 影响）→ 风险评价（排序、分级）
→ 风险应对（选策略）→ 监督与改进
风险评估矩阵：把"可能性"和"影响程度"各分三档（低/中/高），落在右上角的是重大风险，优先处理。
三、七种风险管理策略
| 策略 | 做法 | 例子 |
|---|---|---|
| 风险规避 | 不碰这项业务 | 退出高风险国家市场 |
| 风险转移 | 把损失转给第三方 | 买保险、外包、担保 |
| 风险转换 | 把一种风险换成另一种（可能更小） | 放宽信用政策换销量（信用风险↑、库存风险↓） |
| 风险对冲 | 用负相关的工具抵消 | 外汇远期、利率互换、期货套保 |
| 风险补偿 | 事前要价补偿 | 高风险客户提高利率、加价 |
| 风险控制 | 降低可能性或影响 | 双人复核、权限分离、备份 |
| 风险承担 | 接受并备好资源 | 计提减值准备、留足现金 |
答题常见坑：保险是转移，不是规避；放宽账期属于风险转换，不是控制。
四、内部控制五要素
| 要素 | 关键内容 |
|---|---|
| 控制环境 | 治理结构、诚信与道德、权责分配、人力资源政策、企业文化 |
| 风险评估 | 目标设定、风险识别与分析、风险应对 |
| 控制活动 | 不相容职务分离、授权审批、会计系统控制、财产保护、预算、运营分析、绩效考评 |
| 信息与沟通 | 信息系统、内部报告、反舞弊机制、举报渠道 |
| 内部监督 | 日常监督与专项监督、缺陷认定与整改 |
不相容职务分离的典型组合：授权批准 vs 执行、执行 vs 记录、记录 vs 保管、保管 vs 稽核。
五、内控缺陷分级
| 级别 | 判断标准 |
|---|---|
| 重大缺陷 | 可能导致财务报表严重错报，或影响企业持续经营；如高管舞弊、内控整体失效 |
| 重要缺陷 | 可能导致财务报表错报，但未达到重大程度 |
| 一般缺陷 | 除重大、重要以外的缺陷 |
缺陷认定要写清楚：缺陷描述 → 可能影响 → 认定级别 → 整改措施与责任人。
六、全面风险管理（ERM）的五个要素
- 治理与文化：董事会监督、风险偏好设定、企业文化；
- 战略与目标设定：把风险偏好嵌入战略与业务目标；
- 执行：识别、评估、应对风险，建立风险组合观；
- 检查与纠正：监控重大变化、复盘风险事件；
- 信息、沟通与报告：风险信息在组织内上下贯通。
ERM 与传统内控的区别：内控偏"防止错报与舞弊"，ERM 把风险与战略、绩效挂钩，强调风险组合视角。
七、组织体系
董事会（最终责任）→ 风险管理委员会（审议重大风险事项）
→ 风险管理部（日常牵头）→ 各业务部门（第一道防线）
→ 内部审计（第三道防线，独立监督评价）
三道防线：业务部门（自我控制）→ 风险管理/合规（监督）→ 内部审计（独立审计）。
八、易错点
- 风险规避 ≠ 风险转移，别把买保险写成规避
- 风险转换是"换一种风险"，风险对冲是"用反向工具抵消"
- 内控五要素里"信息与沟通"容易被漏
- 缺陷分级要看"是否可能导致严重错报/影响持续经营"
- 内部审计是第三道防线，不能既做业务又做审计