企业风控体系建设全流程操作指南:规范讲解.流程分解.操作实务.案例解析

第 一章企业内部控制理论与规范 / 1

第　一节 企业为什么要实施内部控制 /　2
一、　企业实施内部控制的根本原因/2
二、　内部控制给企业带来哪些价值/2

第二节　1992 版 COSO《内部控制——整合框架》 /　3
一、　为什么还要讲 1992 版 COSO《内部控制——整合框架》/3
二、　内控框架的主要内容/5
三、　内部控制的定义和目标/6
四、　内部控制要素/6
五、　内控框架的意义/9
六、　内部控制与企业管理之间的关系/9

第三节　美国萨班斯法案 /　10
一、　萨班斯法案产生的背景/10
二、　萨班斯法案的主要内容/11
三、　萨班斯法案中关于加强内部控制的主要条款/12
四、　萨班斯法案的实施情况/14

第四节　2004 版 COSO《企业风险管理——整合框架》 /　14
一、　COSO 为何开发《企业风险管理——整合框架》/14
二、　风险管理框架的模型/15
三、　风险管理框架的要素/16

第五节　2013 版 COSO《内部控制——整合框架》 /　18
一、　COSO 为什么要修订《内部控制——整合框架》/18
二、　新框架的模型/19
三、　新框架的主要内容/20
四、　被保留的内容/24
五、　被更新的内容/25

第六节　中国企业内部控制法规体系 /　26
一、　中国企业内部控制法规体系简介/26
二、　《企业内部控制基本规范》的主要内容/27
三、　企业内部控制应用指引/30
四、　企业内部控制评价指引/32

第七节　内部控制的局限性 /　32
一、　内部控制能做什么/32
二、　内部控制局限性的具体表现形式/33

第二章　风险管理标准与指引 /　37

第　一节 2017 版 COSO 风险管理框架 /　38
一、　新版 COSO 风险管理框架的由来/38
二、　新版风险管理框架视图/38
三、　新版风险管理框架要素/39
四、　新版风险管理框架的特点/43
五、　新版风险管理框架的主要变化/45
第二节　ISO 风险管理标准 /　46
一、　ISO 风险管理标准简介/46
二、　ISO31000：2009/46
三、　ISO31000：2018/50

第三节　我国《中央企业全面风险管理指引》 /　53
一、　国务院国资委发布风险管理指引的目的/53
二、　国务院国资委对企业风险管理的定义/54
三、　国务院国资委对风险管理基本流程的定义/54
四、　国务院国资委定义的风险管理三道防线/55

第二章选择合适的标准整合风控体系　/　57

第　一节 风险管理与内部控制的关系 /　58
一、　何为风控体系/58
二、　内部控制是风险管理的一种手段/58

第二节　不同风控标准之间的比较 /　59
一、　风控标准和指南一览/59
二、　旧风控标准之间的比较/61
三、　新风控标准之间的比较/62

第三节　风险管理与内部控制的整合思路 /　63
一、　为什么要整合风险管理与内部控制/63
二、　满足外部监管的要求/64
三、　满足自身发展的需要/66

第四节　风险管理与内部控制整合的实践经验 /　67
一、　国有企业的实践/67
二、　民营企业的实践/68
三、　在美国上市的国企的风控体系整合实践/69
四、　风控体系整合的经验体会/69

第五节　合规管理指引 /　70
一、　国务院国资委发布合规指引的背景/70
二、　国务院国资委对合规的定义/71
三、　建立合规管理体系的原则/71
四、　合规管理的重点内容/72
五、　如何运行合规管理/74
六、　如何保障合规管理落到实处/75

第六节　把合规管理整合入风控体系 /　76
一、　把合规管理整合入风控体系的思路/76
二、　把合规管理整合入风控体系的实践经验/77

第四章　风控体系建设准备工作 /　79
第　一节 建立风控组织职能体系 /　80
一、　在风控治理结构方面的设计/80
二、　风控的三道防线/82
三、　专职风控部门的职能提升/86

第二节　选择风控体系的建设模式 /　88
一、　以咨询机构为主的模式/88
二、　以自身力量为主的模式/89
三、　独立自建的模式/89
四、　选择适合自身的建设模式/90

第三节　组建风控项目团队 /　90
一、　设立风控项目办公室/91
二、　成立项目组/91
三、　明确项目沟通机制/93

第四节　风控工作总体策划 /　93
一、　总体规划，分步实施/93
二、　突出重点，讲求实效/94
三、　难点问题解析/95

第五节　调研分析 /　97

第六节　制定项目计划 /　98

第七节　召开项目启动会 /　99
一、　谁应该出席项目启动会/99
二、　项目启动会应该做哪些事情/100

第五章　收集风控信息 /　103
第　一节 搭建风控信息框架 /　104
一、　按企业内外部信息分类搭建风控信息框架/104
二、　按国资委推荐的风险分类搭建风控信息框架/105

第二节　收集企业外部风控信息 /　107
一、　收集哪些外部风险信息/107
二、　如何收集外部风险信息/107

第三节　收集公司层面的风控信息 /　108
一、　公司总体层面的信息/108
二、　专项信息/109

第四节　收集业务层面的风控信息 /　110
一、　筹资业务活动信息收集/111
二、　采购业务活动信息收集/112
三、　销售业务活动信息收集/113

第五节　按国务院国资委推荐的框架收集信息 /　114
一、　国务院国资委推荐的风险信息框架/114
二、　从哪些方面收集战略风险相关的信息/115
三、　从哪些方面收集财务风险相关的信息/116
四、　从哪些方面收集市场风险相关的信息/116
五、　从哪些方面收集运营风险相关的信息/117
六、　从哪些方面收集法律风险相关的信息/117

第六节　信息收集的方式和注意事项 /　118
一、　信息收集的方式/118
二、　信息收集的注意事项/119

第六章　进行风险识别 /　121

第　一节 风险识别概述 /　122
一、　什么是风险识别/122
二、　风险识别的具体工作内容/123

第二节　风险识别的操作过程 /　125
一、　风险识别过程概述/125
二、　研究企业目标/126
三、　确定风险识别的对象和范围/126
四、　确定风险识别方法/126
五、　收集风险信息/127
六、　确认和描述风险/127

第三节　常用的风险识别方法 /　128
一、　头脑风暴法/128
二、　访谈法/130
三、　问卷调查法/132
四、　流程分析法/133
五、　历史数据推演法/135

第四节　风险识别的输出成果 /　136
一、　风险识别可以输出哪些成果/137
二、　风险列表（风险清单）/138
三、　风险库/139
四、　风险目录/141
五、　风险分类模式/142
六、　风险分类举例/143
七、　风险分类调整/144

第五节　风险识别实战案例 /　146
一、　收集信息/146
二、　发现风险/147
三、　确认风险/147
四、　描述风险/147

第七章　开展风险评估 /　149

第　一节 风险评估概述 /　150
一、　什么是风险评估/150
二、　为什么要实施风险评估/151
三、　风险评估具体要做什么/151
四、　什么时候开展风险评估/152
五、　谁负责实施风险评估/152
六、　风险评估是否都要定量/153

第二节　风险评估的详细过程 /　155
一、　风险评估六步骤/155
二、　分析根本原因/157
三、　评估现有控制措施/157
四、　分析风险后果的严重程度/158
五、　分析风险发生的可能性/159
六、　确定风险的大小/161
七、　确定风险的重要性等级/161
八、　绘制风险热力图/162

第三节　风险评估的常用方法 /　163
一、　问卷调查法/164
二、　鱼骨图法/165
三、　风险矩阵法/166
四、　不同风险评估方法的适用场景/168

第四节　风险评估的注意事项 /　169
一、　相关资料的归档/169
二、　不确定性及敏感性/170
三、　对风险评估的监督/170
四、　选择风险评估技术的影响因素/171

第五节　风险评估实战案例 /　173
一、　确定风险准则/174
二、　对 CTO 离职风险实施评估/175
三、　确定 CTO 离职风险的等级/175

第六节　风险评估报告示例 /　176

第八章　风险预警 /　179

第　一节 风险预警概述 /　180
一、　风险预警的概念/180
二、　风险预警系统的特点/181
三、　风险预警的作用/182

第二节　建立风险预警系统 /　182
一、　风险预警系统建设路径/183
二、　预警指标数据收集与分析/184
三、　预警事项发布和应对处理/184
四、　风险预警信息系统示例/185

第三节　建立关键风险指标体系 /　186
一、　关键风险指标体系概述/186
二、　如何建立关键风险指标体系/187
三、　关键风险指标体系举例/188
四、　确定风险指标预警阈值/189
五、　关键风险指标的拓展应用/190
六、　建立关键风险指标库/191

第四节　建立风险预警配套机制 /　191
一、　建立风险预警提示机制/192
二、　建立风险触警响应机制/192
三、　建立风险预警指标体系闭环管理机制/193
四、　建立风险预警组织流程管理机制/193
五、　建立风险预警专业团队管理机制/194

第九章　风险应对 /　195

第　一节 风险应对概述 /　196

第二节　风险应对的操作过程 /　197
一、　风险应对操作过程四个步骤/197
二、　对风险应对有效性的评估/198

第三节　风险应对策略 /　200
一、　风险规避/200
二、　风险接受/200
三、　风险转移/201
四、　风险转换/201
五、　风险对冲/202
六、　风险控制/202
七、　如何利用内部控制降低风险/202
八、　风险应对策略的优先顺序/203
九、　影响风险应对策略选择的主要因素/205

第四节　风险应对方案与计划 /　206
一、　制定风险应对方案/206
二、　制定风险应对计划/207
三、　实施过程中的计划调整/207
四、　项目风险应对计划举例/208

第五节　通过内部控制来应对企业日常风险 /　208
一、　组织机构控制/209
二、　授权审批控制/209
三、　会计系统控制/210
四、　全面预算控制/211
五、　财产保全控制/211
六、　人力资源控制/212
七、　内部报告控制/212
八、　信息系统控制/213

第六节　风险应对实战案例 /　213

第十章　流程体系建设 /　215

第　一节 流程概述 /　216
一、　流程是什么/216
二、　流程图/217
三、　企业为什么一定要流程化/219

第二节　流程建设 /　220
一、　制定建设方案/220
二、　设计流程体系/221
三、　运行流程/225
四、　流程建设的注意事项/226

第三节　流程管理 /　228
一、　明确流程管理机构/229
二、　流程梳理/230
三、　流程信息化/231

第四节　流程与内部控制的关系 /　232
一、　流程是内部控制体系建设的基础/232
二、　流程是内部控制制度的载体/232
三、　流程优化对组织架构优化有促进作用/232

第五节　流程示例 /　233
一、　用文字描述流程/233
二、　用逻辑图描述流程/234
三、　泳道式流程图/237

第十一章　制度体系建设 /　239

第　一节 内部控制的主要工作内容 /　240
一、　明确权限/241
二、　梳理流程/241
三、　完善制度/241
四、　内部控制体系/242

第二节　制度体系建设概述 /　243
一、　制度体系是什么/243
二、　制度的特点/243
三、　制度建设与内部控制的关系/244
四、　为什么要建制度体系/244

第三节　制度体系的层级 /　246
一、　公司制度体系/246
二、　公司制度体系举例/247
三、　风控制度体系/248

第四节　制度的制定和优化 /　251
一、　如何制定规章制度/251
二、　制度体系梳理和优化的流程/253
三、　收集和整理制度/254
四、　对制度进行分类/254
五、　对制度的分析和优化/255

第五节　对制度的管理 /　256
一、　制度的全生命周期管理/256
二、　制度管理的主要风险/257
三、　制度管理风险的应对措施/258

第十二章　编制风控手册 /　259

第　一节 风险管理手册 /　260

第二节　内部控制手册 /　262
一、　内部控制手册的基本要素/262
二、　内部控制手册的基本格式/265
三、　内部控制手册实例（目录）/268
四、　风控矩阵/269
五、　集团型企业的内部控制手册/271

第三节　企业风控手册 /　273
一、　满足监管的模板/273
二、　升级版风控手册/278

第四节　宣贯落实风控手册 /　279
一、　强化风控培训宣传/280
二、　落实风控工作职责/280
三、　建立风控考核机制/280

第十三章　内控评价报告 /　281

第　一节 内部控制评价概述 /　282
一、　什么是内部控制评价/282
二、　内部控制评价模式/283
三、　内部控制评价组织职能体系/284

第二节　内部控制评价程序 /　284
一、　内部控制评价程序概述/284
二、　成立内部控制评价工作组/285
三、　制定评价工作方案和计划/286
四、　准备评价用的资料清单/288
五、　实施评价/289
六、　内部控制缺陷认定/293
七、　内部控制措施评价结果/297
八、　整改与持续改进/298
九、　内部控制成熟度评价/298

第三节　内部控制评价方法 /　300
一、　个别访谈法/300
二、　问卷调查法/300
三、　标杆法/301
四、　穿行测试法/301
五、　抽样法/301
六、　实地查验法/301
七、　重新执行法/301
八、　专题讨论会法/302

第四节　内部控制评价工作底稿 /　302
一、　编制内部控制评价工作底稿的依据/302
二、　内部控制评价工作底稿样例/302
三、　内部控制的工作底稿/304

第五节　内部控制评价报告示例 /　305

第十四章　风险管理报告 /　315

第　一节 风险管理报告的相关事项 /　316
一、　风险管理报告的要素/316
二、　风险管理组织体系/316
三、　风险管理报告制度/317
四、　风险管理报告的基本编制程序/318
五、　风险管理报告的披露/319

第二节　年度风险管理报告模板 /　319

第三节　回顾本年度企业全面风险管理工作 /　320
一、　本年度风险管理工作总体情况/321
二、　本年度风险管理工作的亮点/322
三、　本年度发生的重大风险事件/324

第四节　研判下一年企业重大风险 /　324

第五节　安排下一年企业全面风险管理工作 /　326

第六节　年度风险管理报告示例 /　327

第七节　2020 年风控工作报告新模板 /　332

第八节　中小民营企业风险管理报告 /　336

第十五章　风控信息化 /　339

第　一节 风控信息化概述 /　340
一、　什么是风控信息化/340
二、　风控信息化是监管要求/341
三、　风控信息化是企业风控工作的迫切需要/342
四、　风控信息系统要具备哪些基本功能/342
五、　利用风控信息系统实现持续性监督/343

第二节　风控信息化建设的三个阶段 /　344
一、　第 一阶段实现风控工作信息化/344
二、　第二阶段实现风险预警自动化/344
三、　第三阶段实现业务风控一体化/345

第三节　风控信息化的六项基础工作 /　345
一、　环境基础/346
二、　组织架构基础/346
三、　业务流程及岗位职责基础/346
四、　表单基础/347
五、　数据基础和数据标准/347
六、　风险指标监控模型/348

第四节　风控软件市场情况 /　348
一、　风控软件概述/348
二、　风控软件功能比较/349
三、　风控软件应用状况/349

第五节　SAP GRC 系统展示 /　350
一、　风险管理模块/350
二、　流程控制模块/353
三、　访问控制模块/356

后　记 /　359