【特约】刘霄仑：“风险”析义

过去几年来，在对风险管理和内控进行研究和教学的过程中，我发现各职业团体对风险的定义存在着诸多争议，莫衷一是，并由此导致了很多风险管理措施无法发挥作用，甚至存在着一些风险管理措施与目标背道而驰的现象。这在相当程度上说明目前对风险的本质和根源的研究还不够科学和深入。因此，对风险的内涵和本质进行深刻分析和广泛讨论，对于切实推动组织开展风险管理工作来说是非常必要的。在此也愿把我的一些思考心得与大家分享，也欢迎大家共同深入探讨。

一．关于风险的起源和定义

1.  “风险”一词，反映了人们对客观世界的认识，是在人类有意识行为出现之后才有可能意识到并提出来的。或者可以说，在人类社会形成某种文明之前，并不存在“风险”这个问题，有的只是如老子所言“天地不仁，以万物为刍狗”（天地或自然界是无所谓“仁”或“不仁”的，它对世间万物都一视同仁）的自然现象。只有在人类社会形成某种文明之后，因为需要通过协调和交流来实现某个共同目标，才有可能逐渐形成风险的意识，并逐渐摸索出相应的应对之道。

2.  风险是与特定的主体相关的。不同的主体其风险不同，甚至是同一主体在其不同发展阶段，由于对内外部环境、自身使命和能力等方面存在不同的判断和偏好，其对风险的认知和界定都有可能是不同的。这既是合理的，又有其必要性。如在2009年国内应对经济危机的几个不同的动员或总结会上，我曾分别听到几位领导在做报告时都这么说：“危机危机，先有危才有机，你看现在美国出现了‘危’，这就是我们的‘机’。。。”，虽然前半句话我不赞成，但是后半句话说明了同一事件对不同的主体可能会产生正反不同方面不同程度的影响，是有其道理的。

3.  进一步说，风险是跟特定主体的目标相关的。

  （1）凡是有意识行为，都会有目标，无目标则无风险；

  （2）人的本性都是趋利避害，正常人没有把“趋害”作为自己目标的，虽然很可能或经常性地，“害”被当作实现“利”的手段（邪恶做法的共同点都是将人作为实现手段而非目标本身）；

  （3）目标的制订过程受环境影响，愿景、使命和价值观的确定既受信仰或信念的引导，也引导着战略目标和经营目标的制订。因此，正确地理解人与世界、人与人之间、个人自身的关系至关重要。一个能够经得起历史检验，同时又可以引导文明发展、拥抱最新科学和发现、提升社会整体道德和生产力水平的宗教，能够帮助人们处理好这些关系，并为这种信仰提供源泉；

  （4）组织的目标不是单一的，而是一个体系，目标之间的关系恰如中药配伍的“君臣佐使”一般，相互配合，共同发挥作用。以单一目标如GDP为引导，必定进入歧途；

  （5）短期目标、局部目标或可计量目标可能会与长期目标、全局目标或整体目标（含可计量和不可计量目标）不一致甚至发生背离，这种情况下，对短期目标、局部目标、可计量目标有利的风险管理措施，可能未必会对长期目标、全局或整体目标产生有利影响。对此我们需要对目标进行深刻的论证，而不能急于拍板决策。这方面我们的教训是异常深刻的，如一些重大政策的推出，初衷都是为了解决重大棘手问题，但由于缺乏从正反两方面对相关目标、手段和影响的深入分析论证，虽然可能在一定程度上解决了当时及随后一段时期所面临的紧迫问题，但也带来了事与愿违的持续全面的副作用甚至负作用；

  （6）为此需要对目标制订过程进行真正深刻的认识和分析，需要制定严谨的治理架构及议事程序等来保证目标制定本身的合理性。换句话说，目标制定本身也是风险管理的对象，风险管理应该要涵盖目标的制定、实施和评价的全过程；

进而我们可以总结出：i. 那些拍脑袋拍出来的目标，是风险；ii. 那些对人们通过较为科学、严谨的程序制定出来的、符合发展方向和趋利避害大原则的目标产生负面影响的，是风险。

（例如，某人持有股票，在某个时点股票价格可能会上涨，也可能会下跌，上涨了就说明持有者有盈利机会，下跌了就意味着持有者有发生损失的风险。股价的波动意味着存在获利的空间，同时也存在着损失的可能性，股价波动本身并不是风险。但持有者持有股票的目的是希望获得更高的收益，没有人愿意通过股票交易来败家，为此必须要对股票下跌风险进行管理，如采取“不要将鸡蛋放在一个篮子里”、设定止损线、反向期权对冲等措施。）

4.  任何主体的运行，都是处在一个广义的不确定性环境之中。但经过人类社会数千年的经验累积，这些广义不确定性中的相当多的部分都是可以被人们所预测的，是能够用概率加以衡量的，这就使得人们有可能对未来要开展的工作制定计划、从而更有把握和更为稳妥的实现目标。我们可以把能够用概率加以衡量的那部分不确定性称为可能性，把剩下的既不能用概率加以衡量、也不知道其对目标实现的影响方向的那部分不确定性称为狭义的不确定性。如果把未来和环境事项都归结为不确定性（狭义）的话，那就等于否定了对未来制定计划的可能性及其价值。

5. 对于“狭义的不确定性”，人们无法对其进行有效预测和管理，只能在做应对决策时预留出决策冗余量，而不能可丁可卯地做决策。这个决策冗余量的预留多少，取决于内外部环境和决策者的风险偏好、组织的风险承受度等因素，需要决策者进行权衡，因此存在“拍脑袋”和“赌运气”的成分。如果组织继续前行，脱离熟悉区域而进入“未知深水区”，则决策时所面临的“狭义不确定性”就会加大，继续前行有可能会发现新大陆，但也有可能会尸骨无存。但组织可否永远停留在熟悉的舒适区，而拒绝进入未知深水区呢？按进化论的观点，数万年前人类祖先迈出了直立行走的第一步，而黑猩猩的祖先则做出了留在树上生活的选择。数万年之后，虽然人与黑猩猩存在着98.5%以上的基因相似度，但境遇已截然不同。因此，在相当意义上讲，抓不住机会是最大的风险，或者更准确地说，抓不住机会就会存在着相对竞争优势被削弱的风险。环境的恶化、对外界的好奇和探索欲望、对获取竞争优势的渴求、乃至对信仰的追求等因素都会驱使组织不断进入陌生的深水区。

6. 进一步的，我们可以把对组织的目标实现有正面影响的可能性称为机会，把对组织目标实现有负面影响的可能性称为风险（狭义）。那么，只要目标界定合理、清晰，则并不难判断某事件发生会对其产生正面影响还是负面影响。人们追求的是目标以及对目标产生正面影响的可能性（“抓机会”），同时对实现目标过程中的风险进行管理（“控风险”），对于一般企业（特指以直接或间接的形式为满足社会需求提供产品和服务的企业）而言，这两者存在着逻辑上的先后顺序：机会先位于风险，风险随行于机会。

综上，我们可以将风险（广义）定义为包含目标制定和实施两个层面的4个组成部分：1. 未经科学严谨的制订程序、从而使得所制订的目标不符合组织的长远和根本利益的可能性；2. 未抓住有可能抓住的机会；3. 对组织的目标实现产生负面影响的可能性（狭义风险）；4. 狭义的不确定性。

作为对比：广义不确定性=机会+风险（狭义）+狭义不确定性

所以不能将风险定位成不确定性。

下面的对风险的描述，主要是基于对狭义风险理念展开的，故不再特别注明是取狭义意。

二．关于风险的识别和评估

7.  正如拉姆斯菲尔德在接受美国国会质询时所言，人们对世界的认知，存在着“已知之已知、已知之未知和未知之未知”这么三种状态。目前阶段人们对风险的管理，处于“已知之已知”和“已知之未知”领域，尚未进入到“未知之未知”领域（盲区）。对一个持续前行的组织而言，一方面，随着在政治、法律、文化及道德等因素共同作用下的良好经济秩序的建立，组织运行的可预测性将会增加，另一方面，组织也在不断的从已知领域运行到未知领域，因此在部分风险的规律被人们掌握的同时，新的风险以及狭义不确定性的内容也在不断的出现。

8.  人们只能对能够识别、评估和预判的因素进行管理，对那些不能进行识别、评估的因素是无法进行管理的，从风险管理的角度来说，需要对风险所造成未来的损害程度和可能性进行定性和定量的评估。这种评估是建立在人类社会的生存经验以及统计学上的“大数定理”基础之上的。而对风险更多维度的评估，目前来看可能会超出大多数组织的能力，进而可能会降低风险管理的推广效果，但不应排斥这种努力和尝试。

9.  由于混沌理论和蝴蝶效应等的影响，从最顶层的公司治理层面到最底层的操作层面、从业务一线到后台管理直至后勤保障，组织内都存在着上到顶、下到底、宽到边的全方位、全角度、全领域、全流程的风险。但在实践中是不可能对所有的风险都进行识别和有效管理的；

此外，随着人们文明程度的提高、监管手段的完善、信息系统的发展以及对风险容忍度的降低，一些原来不被认为是风险或被认为是低风险的，也可能变成高风险。对风险的识别和管理，某种程度上是一个哲学问题，组织和决策者对外部世界、科技进步、文化和人性的认识程度决定了对风险的识别和管理程度。没有被识别出或不被认为是高风险的风险，仍有可能是真正的高风险。

因此，超出可接受水平的风险损害后果或非预期损失，在一个足够长的期间内“几乎是”必然发生的，组织必须具备坚实的风险抵御能力，同时外部监管措施以及逆周期等宏微观审慎管制手段也就成为组织必须接受的存在。特别是，如果某些风险的发生可能会对组织产生生死存亡的巨大影响的话，则不论该类风险发生的概率被评估为多低，都必须对其进行严格的管理。

三．关于机会管理和风险管理的关系

10.  在组织的目标实施过程中，应区分两大类不同的行为：一类是“实现目标”的行为，另一类是“保证目标实现”的行为。实现目标的行为往往是目标导向或机会导向的，主要关注如何以有效的方式（有效率、有效果和有效益地）实现从A点到B点的目标；而保证目标实现的行为往往是风险管理导向的，更关注如何对从A点到B点过程中的风险进行管理。借用数学的概念，我们可以把实现目标的过程理解为是充分性的实现，而保证目标的实现则是必要性的实现。两者不可混淆。我们可以将前者称为机会管理，将后者称为风险管理。机会管理是为组织制订目标、达成目标直接服务的，是组织运营的“明线”，其基本职能主要包括计划、组织、领导和控制等；风险管理则是组织运营的“暗线”，目的是将组织运营全过程的风险控制在可接受水平。

在组织的不同发展阶段，对机会管理和风险管理的重视程度可能有所不同。例如，在组织的创始阶段，可能更关注于“抓机会”，聚焦于如何实现组织的目标，相对而言对于如何保证组织目标的实现方面则普遍重视不足。这种做法也有其合理性，因为如果不能实现组织目标的话，则保证组织目标的实现也就变成了空话。这也可以在一定程度上解释为什么组织在开创期的死亡率特别高。而在组织的成熟阶段，为了实现组织的“基业长青”和“长治久安”，组织对风险管理的重视程度往往会上升。但如果对风险管理的关注度超过对机会管理的关注度的话，则组织也很容易陷入衰败状态。

对机会的管理和对风险的管理，对组织而言是缺一不可的，两者构成了组织治理和管理过程的一明一暗两条主线。

11.  进而可以将组织在运行中的存在的问题分为两大类，一类是前面所说的组织运行中的风险问题，如信用风险、声誉风险、市场风险等，另一类就是在机会管理过程中存在的“不足”或“不当”等“瑕疵”问题，如战略目标分解的不当、岗位职责不清、绩效考核指标设置不当等。区分这两大类问题的原因，就在于其应对措施是不同的。如，在对机会管理中的“瑕疵”进行管理时，可以适用成本效益原则，即如果改进的收益小于改进所花费的成本，则可以考虑不予改进。

但对风险进行管理时就不能适用成本效益原则了。由于组织的绩效评价可能与组织目标之间存在着不匹配等固有缺陷，因此对风险的管理并不一定会提升当期或未来一定期间的效益，有时甚至会对当期或未来一定期间的效益产生负面影响，但风险管理的结果是有助于组织排除风险、消除隐患、保证企业目标的实现，从而让组织“基业长青”，则这样的风险管理仍然是给组织创造了不可替代的价值。

组织所获取的价值增加值（利润）中，既包含了对获取机会的奖赏，也包含了对承担风险的弥补。组织所提供的产品或服务中如果创新成分多，则对机会奖赏的比重就会大，如果承担的风险大，则风险补偿成分就多。不同组织的产品或服务可能报价相同，甚至成本构成也可能相同，但由于其市场地位不同、环境不同、客户群体不同、所付出的创新努力和承担的风险程度不同，其内在价值构成也是不同的。如果产品或服务没有获得足够的利润边际，则既存在未来研发不力、创新能力不足的风险，也存在着风险拨备不足的风险，组织就会处于一种勉力支撑的窘况，抗风险能力极弱。

四．关于以“经营风险”为主业的组织

12.  从社会分工的角度看，大部分组织是以直接或间接方式为满足人们的物质和精神需求提供产品和服务的，但另外一些组织或行业的存在，如银行类金融机构、保险公司等在内的泛金融类组织，初始是为解决其他行业或组织的风险而生的，其业务本质在于“经营风险”，其他行业或组织的风险就意味着这些行业或组织的机会，则风险管理能力就代表了这类组织或行业的“抓机会”的能力，风险管理就成为这些企业的生命线和前置条件，如不具备相应风险管理能力的话，则这类组织就不应存在，否则可能会给社会带来巨大的负面连锁反应。

13.  在经营风险的过程中，特别是在绩效考核指标的引导下，受投机心理的驱使，这类组织经常会忘记初心，投机的成分多过经营风险。其结果不但没有起到为实体组织管理风险的作用，反而助长了金融市场的波动性，在相当程度上导致了资金空转和金融泡沫的产生。

14. 金融组织的交易产品可以很方便的以各种货币加以计量，其业务特点非常适合计量分析手段的应用。且由于其业务机会源自其他组织的风险，因此通常以“收益的波动性”作为对风险的定义，波动幅度大则意味着风险大，波动幅度小则意味着风险小。但正如巴菲特所言：“波动性远不是风险的同义词。将两者划等号导致投资人误入歧途”，投资人着力避免的不是波动，而是损失。在市场的波动中可以给交易各方带来收益的机会，但投资人或交易者无法判断未来的波动方向，从这个角度来说，在金融市场中确实存在着交易者不可预知的狭义的不确定性。在通过投资组合对非系统性风险抵销后，这种狭义的不确定性本身也存在着单边共振的可能性，进而体现为系统性风险发生的可能性。

五．损害后果及其他

15.  利益、心智、判断及其他一些因素可能会影响风险管理的效果。某些设计良好的风险管理措施，由于利益问题或指导思想产生了偏差，反而造成了更大的风险和危害。如水库的存在，本意是为了调节因降水量不均而产生的旱季缺水和雨季洪水灾害，但由于对利益的过度看重或对未来气象的判断失误，可能造成未能在雨季来临之前降低水库水位，而是在暴雨之际紧急泄洪，从而导致洪水危害效果的叠加，造成了更大的灾害和损失。因此，对风险应有敬畏心，克制内心的贪婪，千万不能利益熏心。

16.  风险是可能会在未来爆发的不利后果或损害，虽然这种不利后果或损害在目前阶段尚未显现或发生，但存在着发生的迹象、诱因或可能性，而且一旦其爆发，就会对目标的实现产生负面影响，甚至有可能超出相关利益方的可接受范围，导致非预期损失。某些情况下，风险爆发造成损害的后果，可能孕育着新的机会。但并不能由此就认为风险包含着机会。如森林火灾虽然会毁坏森林和生物，但可以改变森林生态环境和林种结构，消灭病虫鼠害，从长期看可以促进森林更好的自我更新。但这并不意味着可以放任森林火灾的发生而不对其进行有效管控。

17.  在低维空间存在的风险，对于高维空间就不是风险了。所谓“退一步海阔天空”，这时的“退”，其实是实现了由低维空间向高维空间的“进”，是积极而非消极的表现，由此有别于自欺欺人和自我麻醉的阿Q精神。

作者介绍：

刘霄仑  北京国家会计学院“金融业首席风险官（CRO）培养工程”项目责任教授，北京国家会计学院\清华大学\财政部财科院硕士研究生导师。曾就职于四大会计师事务所，并曾担任上市公司独立董事。兼任第七届中国会计学会内部控制标准专业委员会委员，第八届中国会计学会会计基础理论委员会委员等。

注：文章代表专家个人观点，仅供参考！

扩展阅读：