作者:张志强(原ABB中国区总裁、诺基亚西门子中国总裁)来源:领教工坊
在风云突变的当下,企业风险管理对每一家企业而言意义都非同寻常。然而,你是否了解自己企业的风险,一旦危机出现该如何应对,有没有一套逻辑、方法、体系让自己的企业能在激烈的竞争中活好、活久?
其实,人患病就是一种潜在的生命风险。我们做年度体检、吃药、锻炼身体就是为了减少死亡风险。企业也一样,风险管理的首要步骤就是“体检”以了解企业的体质状况,减少企业风险发生的概率,将风险发生时的损失降下来。当然,做企业就一定会有风险,这并不意味着冒险的决策就不能做了。
企业风险管理的作用在于如何防范,通过建立一套风险管控体制,明确企业的强项、弱项,实施有效的管理,这在不确定风险极大的当下,尤其重要。“人无我有”,你的竞争对手因风险管控不到位而倒下,你就自动变得更强大;“人有我优”,有的放矢,强化锻炼,你在竞争中就能走得更健康、更好、更远。
所以,我这里介绍的更多是一套企业风险管控的方式、方法——“体检”“诊断”“开方”“防病、治病”——避免弱项,尽量减少企业潜在风险;增强体质,提高企业免疫力;量化措施,防患于未然。
企业风险管理体系的核心逻辑
过去几年,我们看到很多企业倒了,可以说绝大部分甚至是90%以上的企业都是死在缺乏风险管理上。企业的风险管理体系就是确定未来的不确定性,即在不确定性的环境下,尽量把不确定的事情确定下来。
风险管理几乎是所有上市公司和董事会最主要的功能之一,也是法律要求的功能之一。如果企业没有建立一个相对清晰的风险管理体制,董事会是失职的。同时,企业风险管理是一个常态化的工作,每年从董事会到各个部门都一定会做。
我把企业风险的类型基本上归为六大类:战略、财务、市场、运营、管理、政府和环保。值得注意的是,这一分类并不是绝对的,每个企业和行业的情况不一样,分类也可以不同,关键是如何去界定风险,发现风险并建立应对措施。
企业战略风险更多的是关于企业的定位,包括行业选择、战略决策等。
比如,服装、手机、白电产品等门槛低的行业,核心竞争点在于价格,在同质竞争的情况下前三名之外的企业基本是没有长期盈利能力的。所以,一旦进入这些行业,就要意识到怎么避开风险问题。你要建立更强的相对竞争力,跻进行业前三。
但是,贸然进入新行业也是有风险的,比如尼桑、本田、丰田等非常优秀的日企在战略选择时都犯了一个错误——选择插电和氢电模式,结果今天全世界车企基本上走的是纯电模式,它们的未来生存竞争就有很大的风险。
可见,行业永远是围城,不在其中是不了解具体的风险点的。当然,行业没有绝对的好坏之分,虽然有些企业在行业细分领域也能长期盈利,但是行业的力量比任何一个企业在其中的力量要大得多。
市场风险就是竞争对手、市场、客户等变化带来的风险,如大客户风险、独家代理风险、竞争对手恶意攻击等。
作为一个企业家,如果你不知道危机突然从哪冒出来,就会出现羊毛出在猪身上的事。今天几乎没有人看报纸,再强,再伟大的报纸基本上也活不下来。诺基亚的塞班系统无法跟iOS系统竞争,结果节节败退,几年之内丢掉了世界第一的位置。应对市场风险需要专门有一部分人,花时间去真正打开思维,尤其是在今天的数字化背景之下,降维打击将会是全方位的,给业务带来的冲击方式更不一样。
运营风险属于生产、供应链等方面的企业内部风险,包括产品出现重大的质量问题,专利、技术、产品设计等保护不好,新产品开发落后市场,IT系统落后、遭遇黑客袭击等。一旦危机出现,你有没有一套成熟的应对机制能马上启动,有没有一系列备案能马上用于解决问题,很快帮助企业化解、应对。
常见的管理风险包括公司没有明确的愿景,战略和文化;核心竞争力丧失;人才培养不满足业务发展需求;管理体制不健全;合规及贪腐;关键技术人员离职等。
要注意,风险管控是一定要量化的。比如,如何量化解决“人才不能满足企业发展”的管理风险?假如企业的销售额要在五年内增长三倍,那么与之相匹配的人才需要实现200%的增长。但是人才发展跟不上业务(发展)的步伐,仅打折增长了50%,这时候就需要量化其中150%的差距所带来的风险。如果损失(机会)是1个亿,那么量化评估风险防范需要投入500万。对于企业而言,这500万是一个相对小的,也是可测量、可落地实施的数据。
另外就是财务风险、ESG相关的风险。需要注意的是,ESG的风险也越来越重。假如一个企业生产刀具原材料要用钨合金,钨是这个行业最核心的元素之一。但如果政策突然说生产中不许使用钨,怎么办?这就要求企业要有预案——做好换地方或替代材料的备案。
以上是企业的6大类风险,但需要根据企业自身情况来定。
总之,企业风险管理的总体原则是——分层负责,层层管理。首先风险管理是董事会的职责,风险管理执行从公司的管委会开始,到各事业部、业务部门、职能部门,再就是工厂、国家、地区等都要分别管理,分别负责。而且风险管理既需要有年度计划,也要在日常工作中进行实时管理。
风险管控有两套循环(体系):风险确认,自下而上,层层叠加;风险管控,自上而下,层层管理。自下而上是因为,压垮企业的最后一根稻草(风险)往往是小概率事件,但它通常发生在基层,在工厂(现场),不容易被发现,可一旦发生则会造成灾难性后果。自上而下是因为,企业风险管理一定是自上而下的,因为需要集团层面来整体把控(诊断),给予资源,给予KPI来落地执行。
另外,危机有一个很大的特点,它出现时并非是1+1=2而是指数级的叠加,或被称之为“蝴蝶效应”,即一个微小的变化能带动整个系统产生巨大的连锁反应。很多企业被最后一根稻草压垮,比如巨人、乐视,表面上是一个很小的导火索引发危机,实质上是更多深层次的问题累积叠加,所形成的破坏力。一旦危机出现共振,企业基本上全盘皆崩。所以在做危机管控时,一定要考量叠加效应带来的影响。
简言之,风险管理要求我们在任何一个重大危机出现之前,都要有预案,要有一套应对风险管理的体系,一旦危机出现,如若应对不及时就会造成重大损失,如果有预案,应对及时就会转危为安。
凡是不能量化的风险,一定不能实现管理
其实,任何风险都是可以量化的。我们认为凡是不能被量化的风险,就一定不能实现管控。所以,一定要想办法把风险变成可衡量的指标,才有可能产生解决措施,才有可能给予物力、人力等资源支持解决问题。那么,企业如何建立一整套风险管控体系来防范和降低风险?
首先,需要定义企业风险等级。根据风险影响程度,风险等级可划分为灾难性,重大、主要、较小/局部等不同级别。根据发生概率大小,可划分为小概率可能发生(小于10%),可能会发生(20%~50%),可能要发生(50%~70%),大概率会发生(大于80%)等不同情况。
举一个国际企业的例子,这家企业的资产负债表是比较健康的,固定资产占比大概是40%左右,借贷大概有50%借贷,相对来讲现金流比较健康。在这种情况下,损失7500万,大概是当年净利的25%,若超过25%则会产生灾难性的风险。在1500万到7500万的区间属于重大风险等级。
此外,集团和事业部的业务可能是不一样的,所以在同一个风险等级框架之下,它们可能会负责不同的风险等级事件。
再就是,主要国家地区和中小国家地区是两个不同的风险管理板块,比如美国、中国、欧洲是主要国家地区的大市场,这些凡是有总经理负责的单元,会对所有的风险直接负责。
总之,风险量化一定是底限思维:一旦风险全方位爆发时,最坏的情况,最大的风险损失会是多少钱?各部门、各地区的承受底限是多少?7500万、5000万、2000万到1000万都是不同的等级界限。
在风险等级界定好之后,要确定每一个风险事件发生的机率和影响,然后再将所定义的风险问题放到一个十六宫格里,形成企业年内的一张风险地图。需要指出的是,十六宫格中的风险问题的界定、划分、管控建议等是需要经过头脑风暴,共同讨论决定的。
举个例子,对公司而言,风险事件6即“转移定价的税务风险”到底意味着什么,为什么这一风险发生会造成5000万的损失?因为公司是国际性企业,转移定价风险会导致OECD的惩罚,一旦风险事件6发生公司要承担上亿级罚款的概率在50%~70%之间,因此它是可能要发生的较大风险等级,要用黄颜色来标注。
另外,每个部门每年关于风险定义的问题建议最多5~8个(10个以内),一来被定义的风险问题太多导致无法处理;二来风险管控每年都要做,不用定太多。
面对潜在风险,很多时候会束手无策或不敢做决策,我认为标注红、黄颜色的风险事件需要进行处理,一旦放到这个地方,它就要变成董事会的重点项目,必须定时、定点来解决,不然风险会越拖越大、越拖越长。所以,每年董事会都要有这套风险管理体系。
因为风险管控不是一个人能够解决的,就算是发现风险的人也未必一定能解决风险,他一定要与直线的经理或者该业务直接负责人,来负责解决。
再往下走就是对风险的管控。风险管控是指对每一个风险要有防范措施,比如防火,要有非常具体的描述。假如工厂一旦着火会导致公司损失1000万,应如何防范?
首先要落实的是——建立所有报警系统;进行年度消防演习;确保消防通道畅通。其次,综合评估风险防范需要量化投入10万元;再次是,政策要落实到具体的人,由消防部经理负责在半年内完成。
一定要记住,所有凡是不能量化的风险都是不可控的风险,因此要先确定并优先解决可以量化的风险。
同时,企业的免疫力是一个慢慢增强的过程,因此风险管控一定是从高到低——从最高的风险到最低的风险;从易到难——先处理简单的风险。再就是,风险防范一定要具体到人员——产品找技术经理,市场找市场经理,法务找法务经理,其他人是协助关系,因为解决一个问题需要取得全公司的部门协调。
如何推动风险管理落地?
理论一点来说,风险管理工作和审计、薪酬体系一样是常态化的工作,由董事会负责。董事会要成立风险管理委员会,委托其负责执行所有的风险管理,并向董事会汇报。
风险管理落地的关键行动之一是任命首席风险控制官。这位首席风险控制官可以不要求全职,但要比较了解公司的结构情况,能够发现风险之间互相的迭代之处。更重要的是,他能够组织不同的地区、部门、国家组织进行研讨、畅所欲言,把公司的风险尽量暴露出来。
另外比较关键的是,他能够和董事会匹配资源,来指导、推进具体的分享管控措施落地。这是第一步。紧接着是要定期进行评估和更新(至少每年一次),并进行一些培训,因为员工需要知道风险管理程序,还有就是审计。
比如A公司的风险管控体系,为应对战略、财务、市场、运营、管理、ESG等六大企业风险,它具体落实三条防线来管理。
第一防线是事业部管理层,由事业部的老大(负责人)来管。
第二防线是职能部和服务中心,比如财务服务中心、法务服务中心、人事服务的招聘人员,职能部门是宣传部、公关部、技术部门等来具体负责。
第三防线是审计(可以是内外部审计),要不定期、不定时地进行审计。
所有风险管控条线都要向董事会汇报。一般而言,总部负责的是各种各样大的危机(重大事件),比如说突然工厂有人造成商誉损害、疫情、网络安全等由总部直接负责。诸如工厂局部着火了、停电等此类局部的紧急事件的应急预案会在事业部和地区进行。若局部风险升级,则交由总部负责。
风险管控的流程是,一旦风险发生以后第一时间是赶紧启动应急处理预案,启动应急处理,处理好之后还要学习和改进,保持业务正常运营。
不过,企业风险管控与人相似——有的人胆大,有的人胆小——有的企业偏好高风险、高回报,有的企业偏好低风险、低回报。如下图蓝线描述的是某一个企业风险偏好——低风险、低回报——取了一个低于风险而达到同样15%的增长的方式。
黑线企业则不一样,同样是15%的回报率,它必须要很高的风险才能达到,要么是它的增长太快,要么是它的行业风险太高,这都是有取舍在的。
但是,这些决策不是CEO一个人定的,而是企业文化的一部分。你的企业到底是胆大还是胆小,跑快还是跑慢,长期还是短期,风险偏好会吸引不同的人才以及让你选择进入不同的行业,这都是企业的战略选择。