企业开展风险管理工作时，应由哪个职能部门负责各类风险的识别、分析和评估？

A. 高级管理层 B. 风险管理部门 C. 业务部门 D. 外部专业机构

最终，没有多少人选择A或D，但很多人选择了B，认为企业的风险管理部门或风险管理职能部门应该负责风险的识别、分析和评估。这道题的答案其实是C。

1. 风险管理≠风险管理部门

过去几年，我们很多企业都成立了风险管理部门，负责企业的各项风险管理任务。我在上周的文章中提到，我们对过去几年风险管理部门职能的总结和定位是：

风险管理系统归口管理部门负责风险管理专业技术和工具及输出，以及部分需要跨部门沟通协调、无明确责任部门的年度重大风险的管理职能。

但一开始，很多企业的风险管理部门负责企业风险的识别、分析和评估。效果如何？说实话，有时候结果并不理想。风险管理部门虽然精通风险管理理论和工具的运用，但不一定精通业务。如果不精通业务，显然风险评估的效果会大打折扣，依靠各业务部门输入的风险信息作为风险管理工作的基础。如果风险数据库本身不具备了解真实业务的能力，自然就不具备真正了解业务风险的能力。

问题在于，很多企业将风险管理工作等同于风险管理部门。说到风险管理，就是风险管理部门的责任。一开始，风险管理部门很高兴地谈论如何控制风险，但经过一段时间的实施后，我发现帮助别人管理风险并不是那么容易。如果业务部门感恩地与风险管理部门分享风险管理职能，那将是多么和谐美好的事情。但事实上，我们看到更多的是业务部门和风险管理部门之间的摩擦，以及风险管理部门的委屈和无奈。他们抱怨其他部门不支持或不配合风险管理部门的工作。抱怨。

事实上，企业风险管理工作的范围远远超出了风险管理部门所能承担的范围，风险管理的职能并不全部体现在风险管理部门的职能中。风险管理部门的职能应更多地体现在组织、协调、支持、配合的角度，帮助业务部门在实现业务目标的过程中管控风险。

正如COSO新企业风险管理框架所倡导的那样，风险管理必须与战略和绩效相结合。同样，风险管理职能也必须与现有管理职能相匹配。并不是业务部门必须配合风险管理部门做好各项风险管理工作，而是风险管理部门协助业务部门做好业务部门的风险管理工作。这是一个定位问题，所有从事风险管理的朋友都必须这样做。找好自己的定位，否则吃力不讨好！

业务部门在日常业务管理中还应落实风险控制的相关要求。业务部门有时可能会对这样的定位有异议，但这就是职能所在，也是第一道防线应该做的事情。早期出现问题的根本原因是风险管理部门冲到了前面，承担了第一道防线应承担的责任。

那么如何将风险管理职责整合到现有职责中呢？当我在河北一家世界500强公司担任风险顾问时，我根据公司当时正在做的“三定”工作，协助人力资源部准备各部门、各岗位的岗位说明书：岗位确定、人员配置、责任确定。 ，明确列出其所承担的风险管理职责，让其清楚地看到自己的部门和岗位应承担的风险责任。这是将风险管理职能整合到管理职能中的一种方法。明确的方法。

同样，我们在评价一个企业风险管理能力的好坏时，也不能简单地看它是否设立了风险管理部门。国际上有很多评估企业风险管理能力的模型。我曾在一家美国公司带领团队对全球各个机构的风险管理成熟度评估方法进行了考察，并对其能力模型进行了升级和应用。在几类几十个评价指标中，是否设立明确的专门风险管理部门只是风险管理组织体系是否健全的一个因素。作为一个分项，其比重并不是很突出。

2.风险管理部门≠第二道防线

前段时间，我写了一篇关于三道防线的文章，引起了专家和从业者的热烈讨论。

《》，要点之一就是强调第二道防线。前些年我们在提到风险管理的三道防线时，一直把风险管理职能视为第二道防线，包括风险管理职能。但实际上，风险管理中所谓的第二道防线并不仅仅指风险管理这道防线。今天我们将添加更多内容。

为了让大家更好的理解三道防线的含义，我们打个比方。我们可以用踢足球比赛的例子来形象地理解企业风险管理的三道防线，虽然不太恰当：

第一道防线：场上的球员，他们在场上的表现直接关系到整场比赛的胜负； （业务部）

第二道防线：教练，制定规则，不时提醒、协助球员，但不要亲自踢球； （管控职能部门）

第三道防线：裁判员，检查和监督球员遵守规则的情况。 （审计功能）

其中，第二道防线的教练不仅可以与第一道防线保持关于比赛情况的沟通，有时甚至可以根据实际情况改变打法，比如效率与控制的平衡（ ），同时还可以与第三道防线进行通信。如何更好地维护和遵守比赛规则，并将其融入到比赛风格中。

足球里的游戏规则是明确的、明确的，但企业里的规则却不一定那么明确。有时第三道防线检查球员是否犯规，也可以参考第二道防线制定的规则和打法。

那么哪些部门是企业的第二道防线呢？简单来说，除了第一道防线的业务部门和第三道防线的审计监察部门之外，大概可以归入第二道防线的范畴。

虽然企业可以划分三道防线，但从足球比赛的比喻中我们可以看出，三道防线之间并不存在真正的利益冲突，企业的利益是趋同的。其最终绩效不是以第二道防线制定的规则或第三道防线检查监督的有效性来衡量的。这些规则和检查的目标并不是限制第一道防线的表现，而是共同的目标是赢得比赛！这就是为什么任正非所说的所有防线的价值在于夺取更多的粮食，而不是阻碍粮食生产。

综上所述，我们可以得出，对于三个概念的范围界定，企业风险管理包括三道防线，第二道防线不仅仅是风险管理部门。

因此正确的范围顺序应该是：风险管理 > 第二道防线 > 风险管理部门

三、关于三道防线的功能和整合

最近，很多人询问第二道防线和第三道防线是否可以整合，比如风险管理部门和审计部门是否可以放在一起。原则上，没有明确限制风险管理部门和审计部门必须分开。最基本的原则是，两个功能位置可以相互分离，即使它们同在一个屋檐下。我看到有的公司成立了一个大的监管部门，把审计、法务、风控、合规、纪检、监察等合而为一。我们的建议是，在不违背基本原则的情况下，企业可以自行实践，探索适合自己的管理制度。最重要的是要定岗位、定责任、划圈子、明确分工和合作机制。

除了第一道防线和第二道防线的融合之外，还有企业将第一道防线和第二道防线进行融合，比如加强第一道防线的风险管控功能。防御，而不是设立单独的风险管理部门。 ，确实存在这样的情况。根据具体情况，第二道防线的某些要素可能与第一道、第三道防线的职责重叠。然而，第一道和第三道防线无法尝试整合。这是最基本的原理和控制要求。

福利来了！

为了更好的让大家学习风险管理知识，风险管理世界公众号特意整理了第一批经典数据库供大家参考：

1. COSO 2017新版风险管理框架中文摘要；

2、COSO 2016新风险管理框架征集版；

3、COSO关于三道防线的定位和职责的讨论英文版；

4. COSO 2004风险管理框架英文版；

5、COSO 2004风险管理框架中文版；

6、COSO 1992内部控制框架英文版；

7、ISO31000《风险管理指南》2009英文版；

8、ISO31000《风险管理指南》2009中文版；

9、AS/NZS:4360是全球第一个国家风险管理标准；

10、中国企业内部控制十年专题报告；

具体获取方式请添加下方疯控大叔微信咨询！