2021年COSO风险管理框架八大要素.pdf

*欧阳光明*创编2021.03.07

风险管理框架

欧阳光明（2021.03.07）

COSO风险管理框架把风险管理的要素分为八个：内部环境、

目标制定、事件识别、风险评估、风险反应、控制活动、信息与沟

通、监督。

内部环境

企业的内部环境是其他所有风险管理要素的基础，为其他要素

提供规则和结构。内部环境影响企业战略和目标的制定、业务活动

的组织和风险的识别、评估和执行等等。它还影响企业控制活动的

设计和执行、信息和沟通系统以及监控活动。内部环境包含很多内

容，包括企业员工的道德观和胜任能力、人员的培训、管理者的经

营模式、分配权限和职责的方式等。董事会是内部环境的一个重要

组成部分，对其他内部环境的组成内容有重要的影响。而企业的管

理者也是内部环境的一部分，其职责是建立企业的风险管理理念、

确定企业的风险偏好，营造企业的风险文化，并将企业的风险管理

和相关的行动计划结合起来。

目标制定

根据企业确定的任务或预期，管理者确定企业的战略目标，选

择战略方案，确定相关的子目标并在企业内层层分解和落实，各子

目标都应遵循企业的战略方案并与战略方案相联系。

事项识别

*欧阳光明*创编2021.03.07

*欧阳光明*创编2021.03.07

管理者意识到了不确定性的存在，即管理者不能确切地知道某

一事项是否会发生、何时发生或者如果发生其结果如何。作为事项

识别的一部分，管理者应考虑会影响事项发生的各种企业内外部的

因素。外部因素包括经济、商业、自然环境、政治、社会和技术因

素等，内部因素反映出管理者所做的选择，包括企业的基础设施、

人员、生产过程和技术等事项。

风险评估

风险评估可以使企业了解潜在事项如何影响企业目标的实现。

管理者应从两个方面对风险进行评估――风险发生的可能性和影

响。

风险反应

管理者可以制定不同风险反应方案，并在风险容忍度和成本效

益原则的前提下，考虑每个方案如何影响事项发生的可能性和事项

对企业的影响，并设计和执行风险反应方案。考虑各风险反应方案

并选择和执行一个风险反应方案是企业风险管理不可分割的一部

分。有效的风险管理要求管理者选择一个可以使企业风险发生的可

能性和影响都落在风险容忍度范围之内的风险反应方案。

控制活动

控制活动是帮助保证风险反应方案得到正确执行的相关政策和

程序。控制活动存在于企业的各部分、各个层面和各个部门。控制

活动是企业努力实现其商业目标的过程的一部分。通常包括两个要

素：确定应该做什么的一个政策和影响该政策的一系列过程。

*欧阳光明*创编2021.03.07

*欧阳光明*创编2021.03.07

信息和沟通

来自于企业内部和外部的相关信息必须以一定的格式和时间间

隔进行确认、捕捉和传递，以保证企业的员工能够执行各自的职

责。有效的沟通也是广义上的沟通，包括企业内自上而下、自下而

上以及横向的沟通。有效的沟通还包括将相关的信息与企业外部相

关方的有效沟通和交换，如客户、供应商、行政管理部门和股东

等。

监控

对企业风险管理的监控是指评估风险管理要素的内容和运行以

及一段时期的执行质量的一个过程。企业可以通过两种方式对风险

管理进行监控――持续监控和个别评估。持续监控和个别评估都是

用来保证企业的风险管理在企业内各管理层面和各部门持续得到执

行。

*欧阳光明*创编2021.03.07