作为CFO怎么看待风险

    从CFO职责上来讲，国资委也好，投资者也好，都会提出公司保值增值是CFO的重要职责。从保值角度讲，传统财务会计就可以做到。那么，企业靠什么增值？把钱存入银行最好，销售时一手交钱一手交货当然也最好，但是这种方式是否能使企业增值？企业需要通过经营来实现资产的增值，经营过程就会产生不确定性，不确定性即带来一定的风险。对CFO来讲，就要面对这样一个课题——如何准确识别风险，如何灵活应对风险。

    从风险产生的根源看，可分为可控风险和不可控风险，可控是指是否人为可控。那么，可控风险中的人为因素是什么呢？以我自己的理解，由于有不同利益的偏好，不同的人对风险的意识、对风险的态度就不一样。比如内控有时会与企业战略产生矛盾，原因就在于CEO和CFO有不同的利益偏好，CEO要扩张、要投资，要并购；CFO则更关注一系列风险问题。对于风险的意识，有的人淡薄，有的人关注。对于风险的态度则有的人敢于、愿意冒险：有的人知道有风险，他觉得可以试试；有的人则厌恶、害怕风险。到拉斯维加斯的赌场上，我们就可以看到这三种人。对风险不同的意识和态度使人产生了不同的行为，而不同的行为则决定了这个企业风险的大小。

    企业的内控体系怎么建立？从我的体会来讲，要从控制“人的行为”入手，建立一套完整的内控体系来控制“不同人的行为”可能带来的风险，保证风险的可知、可控、可承受，这才是企业控制风险、保证经营安全要考虑的最核心问题。CFO在建立内控体系的时候，最可怕的是自己都不知道风险点在什么地方、有多大程度，所以首先是做到可知；其次风险一旦出现，采用什么方法来控制；第三，一旦控制不住，最大的风险程度是什么，企业能不能承受。这三点是CFO必须要知道和考虑的问题。

    企业是干什么的？不同的人有不同的看法，可能CFO说企业的目的是经营，为了保值增值。从CFO的角度来讲，我认为企业就是在经营风险。一个企业就是要冒风险，经营必须冒风险，如果不愿意冒险，那企业就没法生存下去，所以首先要懂得企业是在经营风险，经营这两个字必须做。如果CFO承认和考虑到风险的存在，则跟业务部门的沟通就会比较容易。但是我必须知道你是如何经营的，我才能知道如何控制风险。作为CFO，只有这样的态度才能对企业有帮助。

    GE现任董事长兼首席执行官杰夫。伊梅尔特说：“我们不可能生活在远离风险的真空地带，但可以通过业务多样性和良好的运营系统来控制风险。”业务多样性不是我们今天要讨论的话题，今天讨论的是如何建立一个良好的运营系统来控制风险。

    如何构建风险控制体系

    一个企业里有不同的利益主体，不同的利益主体形成了不同的委托代理关系，明确这种关系是我们构建内控体系。控制“不同人的行为”的首要问题。一个企业有不同层次的委托代理关系，可以简单地列为股东→董事会→总经理→经营单位→执行岗位。股东、董事会、总经理这个层面的关系，就是大家讨论得很热的公司治理结构问题，如何建立完善的公司治理结构，处理好股东、董事会以及跟经理层的关系等，这个不是我们今天的话题。

    我们今天讨论的是如何建立公司内部控制体系， 即如何处理好总经理、执行单位和执行岗位之间的委托代理关系。假设总部与下边的经营单位是委托代理关系，总经理对经营单位经理，经理对副经理等有一层层的委托代理关系，委托人的利益是通过代理人的行为来实现的，即代理人的行为决定了总经理的利益，但委托人和代理人之间肯定是有利益冲突的。一个关键的问题是，代理人的利益在哪里？还有由于信息不对称，在利益驱动下代理人有可能出现舞弊或者过失而损害委托人的利益。解决这两个问题，从委托人角度讲，就是必须保证代理人利益跟委托人利益一致。这就需要通过一个明确的契约关系。契约关系里面首先要有委托人利益，也就是总经理的利益或者公司整体利益；同时也要明确代理人行为受什么约束，首先是法律法规，还有公司的规章制度等，也要明确奖惩措施。明确契约关系，实际上对一个内控体系来说是很重要的手段。

    那么在企业中如何形成这个契约关系呢？我的体会是通过预算来明确契约关系。通过预算这一手段明确总经理即委托人要给代理人提供什么样的义务。提供什么样的支持，比如资源的保障；也要明确我需要获得什么样的投资回报，从经营成果来讲，就是必须实现多少利润，节省多少费用等。作为经营单位，即代理人要说明你是什么样的预算，怎么获得预算，通过什么权利获得公司资源的保障，以及完成以后得到什么相应的奖励。这样的预算内容就包括得比较广泛了，不单单是经营成果预算。假如是经营成果预算（收入、费用、利润），那纯粹是为了评价用的，就是做到心中有数，比如今年要达到100万。但是怎么完成这100万，完成它需要什么东西，会得到什么奖励，如果也要做到心中有数，还需要过程控制预算（库存、应收、现金流），这是企业风险管控中最主要的一个环节。最后还有资源配置预算（薪酬、资金），主要是在经营成果预算出来后，配合过程控制预算来进行资源的配置，从总部来讲主要是资金、薪酬。

    整个预算的上报、质询、确定的过程， 即契约签订的过程实际上是一个博弈的过程，每个人都会碰到。代理人会比较多地考虑短期利益，会有自身利益最大化的目标，而委托人会从战略上要求你跟总公司的战略保持一致，要满足企业长期的发展需要，追求整体效益最大化，这就可能会牺牲局部利益。委托人和代理人肯定会产生矛盾，博弈之后最后达成的预算应该是能保证双方利益最大化的契约关系，这需要通过后面讲到的合理评价体系来平衡。

    还有一个很关键的地方，即建立健全激励约束机制来保证预算的完成。有效的约束机制是，一旦出现违规，必须有很严厉的惩处手段使其机会成本很大；反过来，一个有效的激励措施，能够正向激励代理人为委托人利益尽职尽责。通过预算来明确这个内容，就能保证委托人的利益最大化。

    刚才讲到，由于信息不对称，代理人的行为可能会损害委托人的利益。信息的传递有这样一个规律，好消息会很顺畅的传递，还可能会夸大，而坏消息在从下往上传递过程中，信息量会越传越少。不好的消息到上层大事化小，小事化了，有效信息衰减。要减少这种信息的不对称，我们可以通过建立全面预算指标体系，从财务成果、风险、资金等多角度搜集信息，保证对下边也就是经营单位的行为进行全方位监督；通过与预算比较，掌握日常运营执行差异，提出有效的对策纠偏。

    中化公司的内控体系

    中化公司是在1997、1998年金融危机以后建立起今天这个内控体系的。经过7年的努力，形成了有中化特色以全面预算管理为核心的“点、线、面”相结合的内控体系。

    什么是“点、线、面”相结合的内控体系？作为CFO首先必须明确公司的风险点，大的风险点是什么，最可能给公司造成致命打击的风险点是什么。了解风险点之后，通过什么方式做到风险点可知可控？应通过风险控制流程，这个流程贯穿了事前、事中、事后。通过什么来控制经营过程的每一个环节和每一个时点呢？通过不同面，进行多方位的管控，有资金部门、审计部门、风险管理部门、薪酬部门、评价部门等等，公司的这几个部门形成一种协同机制进行多方位管理。在“点、线、面”的内控体系里，全面预算管理是公司内控体系的核心，涵盖风险、资金。薪酬等指标，保证风险可知、可控、可承受（见图2）。

    具体到中化公司，我们看到了1998年以前由于金融风波产生的问题。最大的风险有两个：一个是应收账款，也就是贸易金融化一一我不会做买卖，但是我会把货发给别人，赊账；还有一个是存货，做营销的肯定要有一部分存货，货买来后看市场，高就卖，低就放着，给公司造成了大量的积压。从集团层面讲，这是两个控制对象。当然，如果公司投资一个项目，你也要明确这个项目投下去的风险点是什么，这就是CFO必须做到的风险可知。知道风险控制对象以后，你要设计一个流程来监控企业的运营，那就是预算。从集团层面上来讲，事前叫做预算制定，事中叫预算监控，事后叫绩效考核。

    事先怎么制定预算？如果把预算作为过程的控制，过程控制得好，预算自然达成，评价也好评价；过程不行，制定再漂亮的预算都没用。现在很多企业都有自己的战略规划，但战略规划毕竟是比较虚的东西，是作为领导人在未来三年或者五年内要达到的一个目标，这个目标不可能很细化。以前做完战略后就接着做预算，中间缺少一个经营计划的环节，即第二年的经营计划，这造成了战略规划和预算的脱节——预算由财务人员做，战略规划由业务人员做。真正的实实在在的预算由谁在做？应该说没有。业务人员给个指标，增长20％，至于这个数字怎么计算出来的，则由财务人员去做。当你拿着这个数字问业务人员时，他推给财务，因为是财务做的。预算失去了可操作性，成了纯粹为了考核而用的预算。这就出现了一些问题：第一，讨价还价；第二，如果你压指标，容易产生潜在风险；第三，我们在预算中有个经营配置计划，是为了控制风险而在经济成果指标中加入一些过程指标，根据预算来配置企业资源。为了向总部要资源指标，包括资金、薪酬，一些经营单位会人为地抬高预算，然后拿过去赌市场，所以，我们从2002年开始，在战略规划做完以后必须有经营计划，经营计划必须是细化的，包括市场客户开发计划。内控、客户分类等等一系列细化的东西，然后根据计划向总部要相应的资源，形成最后‘的财务预算。财务预算里有经营过程控制指标，包括应收账款、存货等根据企业特点制定的很细的指标体系。

    一般是在每年9月份把战略规划布置下去，12月开始，预算委员会、战略规划委员会一起根据经营计划对经营单位一个一个进行质询。通过质询，在利用资源经营现状的基础上，对它的目标成长性、内控、计划的可行性、资源配置、需求的合理性等问题进行客观分析，并最后确定。这样我们就通过预算把契约关系明确了。契约中包括销售收入、利润、费用、盈利效率指标、授信和存货的预算指标、战略规划要求、固定资产预算、资金预算指标、贷款额度、贸易额度等指标。还有人工成本预算指标，这个由人力资源委员会另外下文批复。

    可以说，制定预算是通过一系列流程完成的，大方面讲是事中、事前、事后，但其中又包括一个个流程。预算确定下来以后，就明确了你该享受什么样的资源配置，你该完成什么样的任务。

    预算批复下去以后，就要面对预算怎么监控的问题。首先，建立预算跟踪制度，通过ERP系统实时提取信息，跟踪重点单位的经营情况，进行日常的实时监控。我们可以看到下边单位每天更新的数据，我们的分析评价、会计、风险管理等相关部门都盯着这些数据，定期对比预算，进行监控。我们还要定期进行质询纠偏。分析评价部每月都有运行月报；每季度未了我们都要开一次质询会，由公司所有高层以及各经营单位领导参加，第一季度末和第三季度末召开视频会议进行质询，半年和今年开全体关键岗位会议进行评价。半年会议总结上半年工作，同时提出要求下半年进行整改的东西，全年作出正式的评价，包括评分、奖励等等，出一份绩效评价报告。

    监控中超预算了怎么办？我们要做预算外审批，严格审核追加资源预算的申请，重点是资金。预算管理具有严肃性，各单位无权进行预算调整，必须经过集团公司的批准。向总部申请预算外资金时，财务经理和总经理必须同时签字，说明资金的用途，然后由资金部根据风险部的风险审批和评价部的效益审批做审核。从评价部来讲，首先分析你为什么要钱，利润收入跟上了没有。如果是业务的增长，一些指标的增长跟上了，审批自然会通过。从风险部来讲，主要分析增加这笔业务的风险点在哪，是不是主营业务，是不是可控业务。最后到我这里来审批。预算外和预算内的资金审批程序是不一样的。

    事后如何进行绩效考核？首先是综合计分卡，综合计分卡包括了收入、盈利、资产回报等指标，以及重大事项考核等，进行多维评价。我们每年都会根据公司发展的程度、本身的导向等对综合计分卡内指标的比重进行调整。比如1999年，公司的目标是活下来，则盈利指标占80％；2004年战略推进的时候，我们要引导大家往市场开发、企业持久发展的方向走，盈利指标就降到了50％，收入指标占15％。因为要讲究资金使用效率，增加了资产回报指标，占到20％等。在每个指标里又有不同的要求，比如预算完成占20％，同比增加占15％。为什么要这样做，我们是想强调一个经营内涵的概念，要通过指标评价体系促进经营者考虑更深层次的问题，比如你靠什么盈利，是靠市场开拓或者最终客户的增加等增加你的内涵，还是靠外延。也就是说，如果经营内涵每年没有提高的话，尽管完成预算，也只能拿到大概70％的分数，经营内涵里有重点商品、新业务、可控费用的降低等指标。如果出现违规的话，就要被倒扣分。

    评分时尽量以定量为主，定性的要少。我们的定量分数为85分，定性分数为15分，而且把定性分数再划分，人力资源管理给3分，风险管控给4分等。定性里边再定量化，只有这样人为操纵、人为不客观的因素才会越来越少，找你来说情的人才会越来越少。当然，这个分数体系是要事先与经理们进行沟通的，通过这个程序会减少相互间的矛盾。这是在整个集团层面上通过预算控制企业的全过程。从集团到一个企业，再到一笔业务，我们的管控都与预算的额度有关，这是很重要的。

    面，就是多角度进行全面预算监控。内控体系涉及的几个部门是：会计部、分析部、资金部、风险部，这些部门由我主管；薪酬管理由人力资源部在做。每个部门对应预算管控都有各自的监控职责。分析评价部负责年初核定各经营单位的收入、利润、费用等经营成果指标预算和运营资产收益率等经营质量指标预算，定期跟踪经营计划和预算情况，重点分析经营质量比如经营内涵，客户价值，主营业务的市场份额等，以及财务特性，即安全性，流动性，盈利性，查找不足，及时发现问题，纠偏。资金管理部门负责统一融资，取消子公司对外融资的担保权，由集团公司直接对外融资，防范乱贷款和乱担保；对业务资金和非业务资金进行分类管理；按照投入产出和收益风险匹配的原则，核算经营单位的预算使用量，然后跟银行联网，跟踪资金的流向和占有情况，严格审核超预算配置。风险管理部负责应收账款和库存的预算控制；制定公司统一的风险管理政策以及一整套客户资信审批程序，制定公司统一的授信政策，统一的风险管控政策，统一培训风险管理员；负责敞口库存，负责产品与市场行情对应，每周都会上报主要商品的盈亏情况。人力资源部负责薪酬的预算，预算一出来，马上就要测算薪酬的配置，最低门槛是按你占有资源的比例来上交；在这个情况下，门槛利润跟基本工资挂钩，剩下的绩效工资跟利润挂钩，利润越大绩效薪酬就越高。

    实施内控体系的保障要求

    第一，领导重视——一把手亲自负责，其他领导分工协作。没有“CEO的支持，没有团队的支持，很多事情是做不了的。我们做ERP的时候，每一个措施的出台，比如，两年前我们提出的业务流程再造，都是总裁亲自布置，减少了推行的阻力。

    第二，制度保障——重新订立制度，通过审计稽核加强执行。制度不要多，但要精，一旦建立起来，要加强审计稽核，是否按流程走、按制度做，这很重要。

    第三，组织保障——职责分明，分级管理，各守其责。分工很清楚，从组织架构上就不能有空白。

    第四，信息保障——推进实施ERP，统一会计语言，全集团信息系统联网。没有ERP，很难得到信息，就不能进行日常的监控。会计语言不统一，就无法保证评价的准确。

    第五，人力保障——加强培训和教育，严格奖惩。

    体会：内控也是生产力

    有人疑惑内控会不会和经营质量矛盾，从我的体会来说，内控也是生产力。这几年的内控越做越严格，首先，我们的经营业绩越来越持续增长，1999年以来，我们的销售收入平均增长11％，净利润平均增长23％。第二，经营质量显着提高，经营现金流显着改善。第三，公司内控搞得好，投资者、银行对你信任，融资成本会大大下降。提高公司的信誉，本身就为企业增加了利润。最近几年尽管利率在提高，但我们的财务费用一直都在降低。第四，有效地提高了风险化解能力。我们不怕出险，就怕下边不上报，使本来可以化解的风险化解不了。完善的内控体系，可以尽早发现风险，在最开始就解决掉。