战略与目标设定—COSO新版企业风险管理框架主体要素解读

战略和目标设定部分作为新版企业风险管理框架的第二个要素，是在组织使命和愿景及核心价值观的指引下，在治理和文化要素的环境下，制定组织战略和设定目标的要素，一共包含四个原则：

6. 分析商业环境

7. 定义风险偏好

8. 评估备选战略

9. 建立商业目标

分析商业环境

这部分可以概括为四个方面的关注点：

• 战略制定过程中考虑动态的、不可预测的商业环境；

• 考虑外部环境和外部利益相关者；

• 考虑内部环境和内部利益相关者；

• 商业环境如何影响企业风险管理。

定义风险偏好

这部分包括三个方面的关注点：

• 在使命和愿景基础上，制定战略的同时应用风险偏好，风险偏好和战略并没有绝对的先后顺序，可以并行开展；

• 确定风险偏好，细化可接受的风险类型和风险量；

• 阐述风险偏好，在不同的层面用合适的方式传递风险偏好的信息

评估备选战略

这部分包括五个方面的关注点：

• 战略必须支持使命和愿景，并与组织的核心价值观和风险偏好保持一致；

• 了解所选战略的风险内涵；

• 战略和风险偏好需要协调一致；

• 适时评估战略必要时进行调整；

• 在评估备选战略时尽量降低偏见。

建立商业目标

这部分包括七个方面的关注点：

• 制定具体的、可衡量或可观察的商业目标；

• 每个商业目标都应该和战略目标协同一致；

• 理解所制定的商业目标暗含的风险；

• 将商业目标划分为不同的分类方式；

• 制定具体的绩效考核指标；

• 理解新定义的容忍度——绩效可接受波动区间的概念；

• 绩效考核与容忍度的关联（参考之前文章中的风险绩效曲线）。

按照管理大师德鲁克先生提出的目标管理方法，一个好的目标应该符合SMART原则，即：

1. 目标要具体（Specific）

2. 目标可衡量（Measurable） 

3. 目标可实现（Achievable）

4. 目标要相关（Relevant）

5. 目标要有时限性（Timeboxed）

讨论：

一、COSO和ISO的风险定义是否涵盖目标制定环节？

COSO的风险定义应用在目标实现过程中，而ISO31000中也把与风险关联的目标设为既定的目标。

用通俗的企业语言举例，比如以战略目标为例，风险是集中聚焦在战略目标实现过程中的不确定性，那战略目标的制定环节是不是也是风险管理应该覆盖的范畴？

答案是肯定的，不要被抽象出来的定义迷惑，只要战略目标的制定环节本身确定了目标，被锚定了，那么制定过程中的不确定性就是风险需要关注的，只不过此目标非彼目标了。

所以需要清晰理解，找好风险管理在企业的应用范围，有时需要跳出抽象概念，因为抽象可以达到更好的覆盖性，但也会因此丧失对具体应用场景的准确表述。大家把握本质、活学活用就好，因为理论最终都要指导实践、接受实践的检验，如果因为固守一个说法而丧失一套理论在实践中的生命力，那是得不偿失的！

二、评估备选战略

在评估备选战略这个风险管理原则上，我们正在经历一个活生生的案例，那就是华为的“备胎计划”，海思芯片的研发，使得可以在关键供应商断供时不至于出现营业中断，打造这样的“备胎”，就是华为的备选战略。

所以，这套理论提取出来的要素和关注点值得每一个中国企业好好对标学习，我曾经说过，风险管理是企业管理的精华所在。因为传统的管理侧重确定性管理，而风险管理侧重不确定性管理。随着技术的进步，确定性管理工作会越来越多的找到一套规则作为最佳实践，甚至被人工智能代替。但不确定性管理确是未来打造企业“软实力”竞争优势体现。

华为能够在十几年前就提出这样的备胎计划是了不起的，这是通过当年极限生存假设确立下了的备选计划，任正非不能允许这样卡脖子的战略性漏洞存在，持续投入巨资实现的。

当然，备选战略是是需要根据每个企业的风险偏好和承受度的情况，分别来看，考验的是决策层的远见和企业的实力。企业在使劲奔跑的时候，往往忽略了这些备选计划，甚至出了问题时，也把这些没有提前做好准备的情形当成正常的试错成本来对待。

有时可以承受，有时则直接将企业推到了倒闭的边缘。我们需要更先进的手段、更超前的思维、更完整的认知来管理未来！

在云淡风轻时，就做好过冬准备，这才是拥有远景、打造基业长青的明智之举！

注：以上是对COSO框架的纲要性介绍和解读，如需更细致了解，推荐大家购买COSO正版图书，上述内容仅供内部参考学习！

经典阅读：

单击图片打开

更多精选，请点击下方阅读原文查看！

---