企业运营过程中的风险管理

认识运作风险
　　要管理企业内部运营过程中的风险，首先需要认识和理解运营过程中存在的风险及其表现形式。运作风险一旦兑现，不仅造成现有财产的损失、人员伤亡，而且造成企业正常营业的中断，生产经营收益的减少；还造成相关利益者的连带损失。如何理解企业运作风险？
　　案例一：沧州大化TDI车间爆炸造成数人死亡，公司营业中断事件
　　2007年5月11日13时28分，沧州大化（600230）的控股子公司--沧州大化TDI有限责任公司硝化车间的硝化装置发生爆炸，造成5人死亡，80人受伤，其中14人重伤；厂区内供电系统严重损坏；附近村庄几千名群众疏散转移。沧州大化公司现有业务营业中断，新建项目无法按期投产；由于TDI公司对沧州大化的利润贡献超过50%，事故将对公司业绩产生重大影响；公司股票被停牌12个交易日。
　　根据国家安全监督管理总局的认定，爆炸事故的直接原因是硝化车间的一硝化系统在处理系统异常时，酸置换操作使系统硝酸过量，甲苯投料后，导致一硝化系统发生过硝化反应，生成本来应在二硝化系统生成的二硝基甲苯和不应该产生的三硝基甲苯（TNT）。
　　为什么会出现这种事故？一是该公司生产、技术管理混乱，工艺参数控制不严，对异常工况处理时不能严格执行工艺操作规程。二是技术人员能力不足，不能对装置的异常现象进行综合分析并做出正确的判断，在生产装置长时间处于异常状态、工艺参数出现明显异常的情况下，不能及时采取正确的技术措施纠正偏差，导致事故发生。三是工人技术培训不够，操作人员对异常工况的处理能力不足，缺乏应对的知识和方法。四是出工厂布局不合理，消防水泵设计不合理。
　　从上述风险事故案例中，我们发现，发生风险兑现的原因，不外乎组织、人员、管理流程、技术等方面的因素。而这些因素都是企业经营过程中可以管理的。
　　所以，那些由于企业不当或失败的内部流程、员工的人为错误或、管理不当（组织结构设计不完善、职责与权限的配置不合理等）、外部事件等导致损失的风险称之为企业运作风险。企业运作风险包含四个基本因素，即人员、流程、系统和外部事件，它们构成了企业运作风险管理的重点。运作风险管理的重要内容是规范、监视和分析组织内部的各种流程，同时将人和系统的因素考虑到流程之中。
　　基于上述定义，企业运作风险大致可分为组织、流程、技术、员工、外部风险五类。
　　组织风险源于企业管理层的更迭、企业文化与沟通、组织结构与责权配置、企业持续发展计划。
　　流程风险源于企业业务和管理流程中的薄弱环节。如案例一中的工艺参数控制不严，后文案例二中的不按安全规程使用设备和设备维护的不善等。
　　技术风险源于企业运营过程中技术上的不完善或技术失败、管理软硬件上的欠缺。
　　人员风险源于员工的素质和能力的不佳、员工与雇主之间的利益冲突等。如案例一中操作层面的员工由于素质问题，缺乏应对异常工况的必备知识。技术人员不能对异常现象做出正确判断并采取措施；员工违规操作等。
　　外部风险源于企业外部环境。如自然灾害、政府监管政策法规的变化、外部欺诈等。
　　运作风险分析方法
　　管理运作风险的关键是正确认识风险产生的根本原因，通过控制引发风险事件的关键因素（KRI）达到控制风险的目的。分析引发风险事件关键因素（KRI）的方法主要有：
　　一、多米罗骨牌KRI分析技术
　　该分析技术认为风险事件的发生与人的因素（Human Factor）相关。每个风险事件，始于先天个性与社会环境，终于损失。风险事件源于先天个性和社会环境、个人的失败、机械设备的缺陷或者人的危险操作；风险事件造成人身损害或/和财产损失。三个风险源和风险事件中的任何一个因素不兑现，均可防止损失发生。
　　案例二：辽宁清河特钢公司钢水包倾覆造成30余人死亡事件
　　2007年4月18日7时45分，辽宁省铁岭市清河特殊钢有限责任公司生产车间，一个装有约30吨钢水的钢包在吊运至铸锭台车上方2-3米高度时，突然发生滑落倾覆，钢包倒向车间交接班室，钢水涌入室内，致使正在交接班室内开班前会的32名职工当场死亡，另有6名炉前作业人员受伤，其中2人重伤。初步查明，该厂未选择专用铸造起重机，错误选用了普通桥式起重机。运行中由于电气控制系统故障及设计缺陷，接触器失电造成电动机失电，制动器不抱闸，钢水包失控下坠。当司机操作制动后，由于制动衬垫磨损严重，致使制动力矩严重不足，未能有效制止钢水包下坠，导致32人死亡。
　　事故证明该厂除无正规设计之外，还存在违规设置交接班点、管理混乱、维护不善、培训缺失、生产组织不合理等问题；同时设备制造厂家、监测检验机构也存在着违规行为。
　　经专家对事故现场初步勘察分析，造成这起事故的主要原因有四个：一是生产车间起重设备不符合国家规定，按照《炼钢安全规程》的规定，起吊钢水包应采用冶金专用的铸造起重机，而这个公司却擅自使用一般用途的普通起重机；二是设备日常维护不善，如起重机上用于固定钢丝绳的压板螺栓松动；三是作业现场管理混乱，厂房内设备和材料放置杂乱、作业空间狭窄、人员安全通道不符合要求；四是违章设置班前会地点，这个车间长期在距钢水铸锭点仅5米的真空炉下方小屋内开班前会，钢水包倾覆后造成人员伤亡惨重。
　　从上述案例中看到，消除机械设备缺陷、防止人的危险动作，是防止损失产生的最佳方法。而且人的危险动作在事故产生的原因上比危险的物质条件更重要。因此，教导人们正确地使用物质条件进行工作比改善物质条件能更加有效地防止损失的产生。
　　二、作业评估KRI分析技术（TOR）
　　该技术的基本观点是，组织管理方面的失误是导致风险事件发生的原因，造成风险事件主要有7个方面的管理失误：（1）不适当的培训和训练；（2）责任的不明确；（3）权责配置不当；（4）监督控制不周；（5）不适当的计划；（6）个人的失误；（7）不当的组织结构和设计。
　　案例三：2003年12月23日川东北天然气田特大井喷事故
　　2003年12月23日21时55分，地处重庆市开县高桥镇晓阳村的川东北天然气矿罗家16号井发生天然气"井喷"事件，由于矿井天然气硫化氢含量极高，最终造成243人死亡。
　　事故调查组组长国家安全生产监督管理局副局长孙华山说："有关人员对这口高产出的气井预测不足，对高含硫高产出的水平井钻井工艺还不够成熟，现场作业人员违章违规，在起钻过程中，泥浆的循环时间严重不足，又不按规定进行灌注，没有及时发现溢流的征兆，采取有效的措施，这些是产生井涌、井喷的直接原因。有关人员违反有关规定拆除了在钻具中安装的回压阀，也就是防井喷的装置，导致了井喷的严重失控。井喷失控以后，没有及时对放喷管线实施点火，以致大量含有高浓度硫化氢的有害气体喷出，造成了这次事故的扩大和恶化。"
　　基于上述风险发生的原因和案例，我们可以认为，风险管理与控制的基本原则是：
　　（1）危险动作、危险条件和风险事件是组织管理系统存在缺陷的征兆；
　　（2）应当彻底辨识和控制会产生严重损害的情况；
　　（3）风险管理应设定明确的目标，并通过计划、组织、领导和控制来达到目标；
　　（4）有效的风险管理在于赋予管理人员责任；
　　（5）通过了解意外事故发生的根本原因并寻求有效地控制措施来规范操作失误导致意外事故发生可容许的范围。
　　三、能量释放分析方法
　　该方法体系把人与财产均可看成结构物，在结构物解体之前有一个能量承受的极限。一旦能量积聚失去控制并超过此极限，风险事件就会发生。所以，通过控制能量的积聚，或者改变能量作用的人或财产的结构，风险事件即可预防。基于此，我们可以采取以下措施控制风险：
　　（1）控制能量的产生和建立，包括阻止能量的集中、降低能量集中的数量。
　　（2）控制伤害性能量的释放，即阻止能量的释放、调整能量释放的速度和空间分布。
　　（3）在时间或/和空间上隔离能量的释放，或者在能量与实物之间设置隔离物。
　　（4）创造可以降低伤害性能量的环境与条件，改变会受到能量冲击的物体的基本特性；或者加强结构物对危险因素损害的抵御力。
　　（5）控制能量伤害的效果，快速评估已发生的损害，以控制其扩散或持续发生；并实施长期救护，降低损害程度。
　　运作风险管理框架体系
　　从上述企业运作风险的案例和关键风险因素（KRI）分析可以看出，企业运作风险的关键本因素是员工、流程、结构和外部事件，它们构成了企业运作风险管理的重点。
　　首先，在企业发展战略的指导下，确立企业的运作风险管理策略和目标体系，包括运作风险偏好、运作风险承受能力、风险管理关键绩效指标（KPI）体系。
　　然后，在企业风险管理战略的指导下，建立和完善风险管理流程。企业运作风险管理的核心流程包括：识别运作风险、评估运作风险、度量运作风险、管理和控制运作风险、运作风险管理报告。整个流程形成一个螺旋式的运作风险管理的循环。
　　在明晰运作风险管理流程的基础上，设计和建立相应的风险管理组织结构。在设计风险管理组织结构时，关键在于明确和有效配置组织相应的的风险管理职责、权限。公司治理结构（董事会、管理层）的风险管理职责的有效配置是企业运作风险管理的关键，因为只有董事会才能有效确定企业的风险偏好和风险承受能力；企业经营管理层是风险管理策略的核心执行者，他们是否能够高效执行企业的风险管理策略，是风险管理目标能否实现的关键因素。
　　运作风险管理它并不是游离于企业的经营活动之外的管理与控制活动。相反，运作风险管理贯穿与企业运营活动的全过程。因此，企业经营管理活动的过程就是企业运作风险管理的过程。
　　企业文化即企业的共同价值观和行为准则是企业风险管理的核心问题。企业风险文化是风险管理成功的重要因素，甚至比那些复杂的风险量化模型更为重要。因为它决定了企业各层次员工对风险的认识态度、防范意识、行为准则等。例如瑞士信贷银行员工的12项核心价值观是：诚信、责任、公平、合规、透明、保密、服务、卓越、团队精神、义务、风险文化、获利能力。
　　近年来，随着世界经济的全球化程度的不断提高，中国经济的国际市场依存度越来越高，世界市场上技术创新的速度不断提升；中国经济的高速发展，企业在国际市场的竞争力也逐渐增强，一些国家的贸易保护主义抬头，贸易壁垒日渐增多。企业面临的环境的不确定性越来越高。另一方面，随着制造业的成熟和消费者需求的升级，全球经济正在由产品经济向服务经济转变，服务贸易与产品贸易的界限日益模糊。虚拟经济占全球经济的比重越来越大，尤其以美国企业为主的国际企业的衍生产品交易规模越来越大，一些关系到国计民生的基础产品的国际贸易正在走向虚拟化，如石油、有色金属、粮食等基础原材料的国际定价机制已经完全由衍生产品市场决定，对铁矿石、钢材等基础原材料的国际定价机制的争夺，钢铁类产品的定价机制也正在走向衍生化。而中国企业还处在制造业现代化的进程之中，对于虚拟经济尤其是衍生产品交易还处在启蒙阶段，大多数企业和企业的经营管理者对衍生产品的构成、定价模型、交易机制、风险评估、风险管控措施还不甚了解，甚至完全不懂。而我国自改革开放以来一直奉行出口导向型经济政策，在高的对外贸易依存度的环境下，又必须深度参与国际市场的竞争，部分企业甚至完全依赖于国际市场。如此，给中国企业的经营管理带来巨大的风险。
　　尤其是2008年世界性经济危机以来，由于企业风险管理体系的不足，国内许多著名企业包括中央企业在内的国有企业、民营企业、甚至一些有多年国际化经营经验的跨国企业在经营、投资等方面都出现了过程风险，并由此导致巨大的财务风险。这些企业中的一部分如果没有企业的最终控制人的注资拯救，恐怕就会出现因为现金流风险而导致经营中断，甚至面临走向破产保护。分析这些企业导致风险事件发生的根本原因，主要是企业的风险管理体系不够完善，而导致风险事件的直接原因是企业的风险理念导致了风险管理行为的偏离。基于不同的风险理念，企业内部的风险管控战略、风险管理流程、风险管理措施会有很大的差异，管理和控制风险的效果也就完全不同。从这些案例中我们可以看到，企业风险管理体系是否有效，关键是企业风险文化，而其核心是企业的风险理念。
　　一、企业风险与风险管理
　　1．风险是未来的不确定性所导致的企业经营成果与我们的预期的偏离
　　我们知道，企业的经营管理活动中的绝大部分行为是对企业未来的管理。因为过去已经成为事实，只需要对过去的经营成果进行核算和评估；当前的经营行为和结果如无重大突发事件已经基本确定。所以，企业的管理应该主要是对企业未来的管理。而未来就存在不确定性，而且这些未来的不确定性将对企业实现其经营目标的产生重大影响。
　　所以，在企业经营过程中，由于各种无法事先预料的不确定性因素的影响，使企业的实际经营结果和状况与预期发生一定的偏离，从而有蒙受损失或获取额外收益的机会或可能性。这种可能性就是企业风险。
　　2．企业风险是企业价值的来源
　　我们都知道，企业作为一种商业组织，其存在的根本目的是为股东及其相关利益者创造价值。企业价值之所存在，是因为企业为客户创造了价值。企业为客户所提供的产品或/和服务对客户来说具有稀缺性，能够满足客户的一定的使用价值，客户愿意花费一定价值购买企业提供的产品或服务。客户购买产品或服务所花费的价值就是企业的价值。因此，企业之所存在价值，主要源于三个因素。
　　一是企业的创新。一个可以自由进入，技术不变，不允许采用新工艺、新产品或其他创新的市场，企业无法获得经济价值。但是，现实中存在着各种各样的创新。创新者有远见、有胆识。创新者将自己或合法取得的他人发明的新技术、新产品投入市场；或者创新商业模式导致成本的降低；或者开发新的市场，从新的客户那里获取价值。企业价值是成功的创新者所获得的报酬。
　　二是市场的不完全竞争。在完全竞争市场中经济利润长期内趋于零，存在垄断或寡头垄断的不完全竞争的行业中，利润会始终存在。垄断利润主要是"人为稀缺"的结果。垄断者考虑到生产越多价格越低，也即生产过多会破环现有市场，因而对他们来说控制产量有利可图，也就出现人为稀缺，从而形成利润。垄断者（除了行政垄断或自然资源垄断者）要保持垄断地位，维持"人为稀缺"同样需要创新。
　　三是风险。现实世界中存在着各种风险。试图成为创新者的危险之一便是创新所暗含的风险，因而利润也是对承担风险的补偿。假定人们都趋于回避风险，那么在平均收入水平一致的情况下，相对于不稳定不确定的收入而言，人们会比较偏爱相对稳定可靠的收入。因此，为刺激人们冒各种风险在不同行业开办企业，就必须付给他们利润，即对他们的冒险的奖励。
　　3．风险管理是企业控制不确定性以保证企业经营目标实现的过程
　　价值最大化是企业的终极目标，风险是企业价值的来源。所以，风险管理与企业的战略管理、运营管理一样，是企业管理体系的重要组成部分。
　　战略管理关注企业的使命、宗旨、目标，市场的需求以及提供何种产品或服务满足市场需求。运作管理关注企业的运营效率与效果，如何生产满足市场需求的产品、提供满足市场需求的服务。风险管理关注运作管理的结果与战略管理确定的目标是否会产生偏离；偏离可能给企业带来的后果；如何以最少化的管理成本来控制这种偏离后果的发生，或者尽量减少偏离程度。
　　因此，企业风险管理就是持续地贯穿于企业经营管理过程之中的、企业全员参与的、把可能影响企业绩效的不确定性控制在可承受的范围内的、为企业经营目标实现提供合理保证的过程。它具有以下特征：
　　一是整合性。企业经营过程中所面临的各种不确定性之间，存在着天然的对冲性，一些不确定性源于其他的不确定性。因此，企业的风险管理应从企业的整体层面出发，明晰企业在经营管理活动的不同环节、不同职能领域存在的影响经营管理绩效的不确定性，并理清这些不确定性之间的关系。然后，融和危害性风险和财务风险的管理理念，整合多学科领域的管理方法与管理技术，构建完整的企业风险管理体系。
　　二是全方位。一个完善的企业风险管理体系，涉及企业的各个方面，是一个全方位的系统工程。既包括企业的员工健康保障技术、人与设备安全技术等工程层面的风险管理，也包括涉及风险理财和安全设备投资决策等财务层面的风险管理，还包括涉及人为作业绩效和文化社会因素影响的人文层面的风险管理。风险管理持续地贯穿于企业经营管理的整个过程和各个层面。
　　三是全员性。企业的风险管理不是某一个或几个职能部门的事情，也不是某一个或几个管理层级的事情，企业的各个层级的人员都需参与风险管理过程之中，分别承担相应的风险管理职责。企业董事会的关键职责是制定政策，确保成功的关键因素，定期检查公司内部制度的有效性。企业管理层的主要工作是执行董事会制定的风险及控制政策，负责内部制度的运营和监控。基层员工则需严格执行具体的内部风险管理控制制度。
　　四是过程性。企业风险管理是一个与企业的终极目标和战略目标相联系的过程。它旨在识别一旦发生将会影响企业绩效的潜在事项，并把风险控制在风险承受力之内，为企业的经营目标的实现提供合理保证。风险管理是实现目标的手段，而非目标本身。
　　二、风险文化的内涵及其构成
　　1．风险文化是企业风险管理体系基础
　　一个良好的企业风险管理体系应达成如下目标：企业的风险偏好与战略的一致性；风险管理战略与发展战略的一致性；提供能够有效识别和评估企业所面临风险的工具；提供基于整合观念的风险归类模型，构建利于沟通和管理的风险共同语言；将风险管理过程融合于企业基本经营活动过程之中；最小化风险管理成本。所以，企业风险管理体系框架应由以下六个要素构成：
　　风险文化。风险文化是企业风险管理体系的基础。首先，风险文化是企业风险管理的世界观与方法论，它决定企业的经营管理者对企业风险管理体系在企业中的地位和作用的认识；决定了企业经营管理过程中风险管理理念和行为方式。其次，风险文化是企业风险管理体系所有其他构成要素的基础，为其他要素提供了约束和结构。
　　风险描述。只有能够明确描述并且能够有效衡量的管理对象，才能进行有效的管理。企业风险管理的前提是清晰地描述企业所面临的风险体系。风险描述就是要构建一套能够有效识别、整合企业风险，企业各个层面、各个岗位的员工都能有效沟通的共同语言。风险语言包括：基于价值创造的动态观点的风险定义，基于整合观点的风险识别和归类的模型，基于价值链的风险驱动因素分析模型。
　　风险衡量。风险管理是对未来的不确定性的管理，风险衡量就是对风险事件发生的可能性以及发生后对企业经营管理绩效的影响程度进行分析和评价。并将风险评价的结果绘制成风险矩阵，从量化的角度对企业风险进行分类。基于风险管理成本最小化，需要考虑风险管理的投入产出，不能对所有的风险都进行管理。风险衡量就是为不同的风险管理战略的选择提供明确的管理对象，针对处于风险矩阵中不同区域的风险采取相应的风险战略和管理措施。
　　风险战略。风险战略包括战略选择与管理措施。具有不同的风险文化和理念的企业，会有不同的风险战略。一般而言，企业可采用的基本风险战略包括风险规避、风险自留、风险控制、风险转移和风险利用。所有的风险战略和管理措施选择都是基于一个目的--风险最小化，包括不确定性的最小化和偏离程度的最小化。在风险管理成本最小化的基础上，将风险控制在企业的风险承受能力之内。
　　风险绩效。风险绩效是指对风险管理过程的持续监控和绩效管理。风险是动态的，风险事项及其数量、风险的可能性、影响程度都会随企业的内外部环境的变化而变化，因此需要对风险管理过程进行持续的监控，并定期对风险管理的绩效进行评估，明确风险管理过程中应当改进的问题，提出风险管理持续改进措施。
　　风险沟通。任何管理过程的落实都需要有组织体系与信息交流与沟通系统作支撑。风险沟通不仅要求企业在风险管理过程中有高效的信息系统和沟通渠道，以有效地追踪企业当前正在发生的事件以及已经避免的事件；同时，还需要有责任清晰、权力明确，指挥与报告系统完善的风险管理组织结构。
　　2．风险文化的内涵
　　风险文化是企业文化的重要组成部分，是以企业文化的理念体系和行为规范在企业风险管理过程中的具体体现。风险文化是企业风险管理活动中各个层面员工认同并自觉遵守的风险管理理念、风险价值观念和风险管理行为规范。
　　风险管理理念。它是企业的一套共同的信念和态度，决定了企业在做任何事情--从战略制定和执行到日常的经营管理活动--时如何认识和考虑风险。它反映了企业的价值观，影响到企业的经营管理风格。它体现了企业的管理层的风险偏好和员工的风险意识。
　　风险管理理念会反映在企业管理层和员工在企业的经营管理过程中的每一件事情上，会在政策表述、口头或书面沟通以及决策中反映出来。无论是管理层是强调书面的政策、行为准则、绩效指标和例外报告，还是更加非正式地通过大量的与管理者面对面的接触来进行经营管理活动。管理者不仅会通过口头，而且会通过日常的行动来强化这种理念。
　　风险价值观。企业风险管理的有效性不可能脱离那些创造、管理和监督企业经营管理活动的人（包括各个层面的管理者和基层员工）的价值观。企业的战略和目标以及它们的实现方式是建立在价值判断之上，这些价值判断转化成行为准则，反映了管理层的风险价值观的追求。
　　企业管理层的风险价值观设定了企业追求的基调，并对企业其他员工如何约束自己的行为产生影响。正确的基调有助于：企业的全体员工能够正确地遵循道德和法律的要求做事；建立一个致力于不确定性管理的文化氛围。
　　风险管理行为规范。行为规范是企业风险管理理念和价值观的具体实现途径。它内涵地阐明了企业的价值观，为企业的使命、愿景与其经营管理政策和流程之间提供了联系。
　　风险管理行为规范的构成内容包括：企业价值观的表述，企业战略目标和风险管理目标，董事会及管理团队的职责与权力分配，各层面员工胜任能力的要求，企业的社会责任等。
　　3．风险文化的构成
　　风险文化作为企业文化的重要组成部分，它同样可以划分为理念文化、制度文化、行为文化和物质文化四个层次。理念文化是核心，制度文化、行为文化、物质文化是理念文化的保证和表现形式。理念、制度、行为、物质四个层次共同构成企业风险文化的完整体系。
　　风险理念文化。风险文化的理念层也可称为风险理念文化，它处于整个风险管理文化的最深层，并成为风险文化的灵魂和核心。
　　企业风险理念文化是企业在对风险的识别和管控过程之中形成的企业风险管理理念、风险价值观、风险理论成果的总和。它是企业风险管理物质文化、行为文化与制度文化的一种总结与升华，是企业风险文化中最有活力、最有生命力、最有创造力的核心部分。
　　企业风险理念文化包括：企业风险管理哲学、风险管理理念、风险偏好、风险价值观、系统化的风险方法和技术。
　　风险制度文化。风险文化系统中，风险理念文化发挥着核心作用，对风险行为文化和物质文化具有渗透、指导与调整作用。而其作用的发挥，需要通过风险制度文化来实现。
　　风险制度文化是围绕企业的风险价值观，要求全体员工共同遵守的、对员工的行为产生约束性与规范性影响的风险管理流程、组织结构与制度的总和，约束和规范风险行为文化和物质文化的建设。
　　制度文化建设的过程，是一个风险理念、规则和风险行为不断强化的过程。风险管理流程、组织结构、制度规范的建构，正是搭建一个风险理念文化与行为文化、物质文化之间承上启下、承前启后的平台。
　　风险行为文化。它是指企业各个层次的员工进行风险管理活动的具体行为、具体操作中表现出来的稳定的行为习惯、行为规范、行为风格。企业的风险管理行为包括企业整体风险管理行为、企业人的风险管理行为。
　　整体风险管理行为是指那些以企业整体形式表现出来的风险管理行为，是企业为了实现风险管理目标而采取的对策和行动。它包括企业为实现风险管理目标经过科学决策的行为、日常经营活动中具体风险控制的行为以及习惯性行为。
　　企业人行为指企业各个层级和群体员工的岗位工作表现和作风、非正式的活动等。特别需要关注的是企业治理层及管理团队的风险管理行为。他们的个人风险价值观和风险理念对企业整体风险管理行为具有重大影响，对其他员工的风险行为有很大的示范效应。
　　风险物质文化。物质文化本质上是理念文化、制度文化和行为文化的有形载体和终端产物。它是一种以物质为形态的企业基础层次的文化，是企业行为文化、制度文化和理念文化的外在显现。
　　风险物质文化就是通过企业风险管理形成的安全的生产设施、设备和空间环境，安全的生产、经营、管理的各种物质技术手段，安全的企业产品及其服务设施等以物质形态存在表现的文化方式。
　　风险物质文化成果正是风险文化建设的第一目标，也是风险文化建设的最终目的和结果：环境安全、技术安全、产品安全。
　　三、风险文化建设的途径
　　1．企业风险文化建设中存在的问题
　　无论是早年的中航油新加坡公司的衍生品交易导致公司的财务风险，还是近年来许多企业出现的财务风险、过程风险，究其根本原因，还是企业的风险文化建设问题。主要体现在企业风险管理理念和风险偏好、员工的风险意识等方面。
　　风险管理理念和意识有待进一步提升。风险管理引入我国企业尤其是非金融企业的时间还非常短，对什么是风险管理？风险管理的基本方法和技术有哪些？这些技术和方法如何使用？等问题的认识尚很粗浅。更谈不上企业有统一的风险管理理念和意识。管理层思考的主要问题是业务的发展，而未认识到如果没有相应的风险管理业务发展会缺乏可持续性；而从事具体业务操作的一线员工，更未意识到风险产生的巨大危害，风险控制和业务连续性甚至企业存亡的息息相关。
　　风险组织与流程需要进一步完善。风险管理与企业的战略管理、运营管理处与同等重要的位置，因为它是企业战略目标的实现和可持续发展的有效保证。企业对运营管理流程和组织不断进行优化调整，以提高运营的效率与效果。但是，相当多的企业尚未建立相应的风险管理组织体系，甚至现有组织的风险管理职责也不明晰。
　　员工的综合素质需要进一步提高。从近年发生一些重大的过程风险导致企业经营中断的案例看，生产经营一线的员工的综合素质和业务水平亟待提高。由于从事具体业务操作的员工的技术素质不高或者疏忽大意造成的风险事故占有较大比例。所以，员工的培训需要从风险管理的观念出发，进行综合素质的系统开发。不仅要对员工进行业务操作和知识技能的培训，还要进行责任心、职业道德、法律知识和观念的培训。
　　风险文化建设不仅仅制度体系建设。许多企业一谈到加强管理就开始制订或修订制度。中航油的风险管理制度建设曾经获得过国家级企业管理创新成果奖，但是，中航油新加坡公司的重大风险事件还是发生了。风险制度文化仅仅是风险理念文化和风险行为文化之间的桥梁。首先需要的是有一个适应企业战略及其外部环境的风险管理理念和风险偏好；其次，在企业经营管理过程之中，严格遵循理念和执行制度，使得风险理念和意识转变成自觉的行动。因此，企业风险管理建设仅有制度建设是不够的。
　　2．企业风险文化建设三步曲
　　企业风险管理是企业全员的责任，而且贯穿于企业经营管理的全过程。企业风险文化建设有效的标志：风险文化引导企业员工的行为；企业对管理层的风险责任强调与对其收入责任的强调具有相同程度；员工经过严格的风险文化、风险管理制度、风险管理操作方法和技术等相关培训；全体员工具有共同的风险管理理念和风险意识，并且将风险管理意识转化为员工的自觉行动。构建这样一种企业风险文化，不能缺少关键的三个步骤：
　　第一步，积极地调整风险描述并达成一致。企业风险文化的核心是风险理念与风险偏好。而企业管理层的理念和偏好对企业的风险偏好和风险管理理念具有重大影响。因此，需要企业的董事会和管理层有效地理解、定义企业的风险与共同语言，并对企业的风险承受力有深刻的认识和较强的管理能力。
　　企业的管理团队要认识所管理的风险，意味着管理者们不仅需要清晰地知道企业所面临风险，清楚地认识到风险的关键驱动因素，而且还要知晓和深刻理解风险衡量的结果。因此，需要我们动态地认识对企业风险的描述，基于企业内外部环境的变化，及时调整企业的风险整合框架和风险矩阵，并且保证整个管理团队对此有一致的认识。
　　第二步，保持持续的风险沟通和监控机制。风险的动态性要求企业建设一种对潜在的风险问题进行正确干预的文化。通过风险管理制度建设、风险管理组织与流程的优化，明确风险管理责任和权力的分配，保持风险沟通渠道畅通、及时有效。同时，通过风险绩效管理机制，进一步明确职责与利益的关系，使得全员能够更好地履行自身的风险管理责任。
　　在不确定性事件越来越多，而其影响程度越来越严重，甚至濒濒出现"黑天鹅"事件的环境里，风险沟通机制作为风险文化的核心内容之一成为必然。
　　第三步，不断提高风险管理团队的整体素质。首先需要一个在业务运营和风险管理方面拥有深厚专业素养的管理团队。
　　其次，建立完善专职的风险管理团队，而且风险管理专业人员应当具有与决策人员的同等地位，而非仅是"支持性"人员，他们能够有效地参与企业经营管理重大活动的决策过程，而非事后的风险监控。
　　再次，加强业务培训，提高全员的风险管理能力。如果一家企业的风险管理理念、技术、方法和经验，仅仅掌握在少数专家手里，其风险控制肯定是不成功的。需要全体员工的每一位成员都去认识、去接受、去执行，这样才能使得风险管理真正成为企业战略目标实现的合理保证。