“咱们刚才讲完了coso魔方的第一个要素——内控环境，接着来讲第二个要素——风险评估。若coso魔方您要是忘记了的话，咱们翻回去看一次。”小熊征询地看了熊妈妈一眼，把手里的笔记本往回翻了翻。

“妈，咱们先回忆一下什么是风险。总体而言，风险是未来可能发生的导致损害的可能性。风险是如何产生的呢？企业运营有三个总体目标：有效率的运营、有质量的财务报告，还有对法律的合规性。为了满足上述的目标，企业需要采取一定的行动和策略，那么不可避免地，风险就产生了。”

“妈，我说了这么多您怎么一直深情地看着我啊？全忘啦？”

“我明明是沉浸在对知识点的回忆中。”

“那您沉浸得够透彻的，估计快沉底儿了。”

“你看你又跑题，你不是要讲风险评估吗？我看你最好也评估一下自己的风险。”

“风险评估其实是个比较专业的工作，大企业可能还有这样的专业力量自己做，如果是中小型企业，一般都是聘请中介机构来进行的。很多专业书籍喜欢建议企业先进行风险评估，但是我个人觉得，这样的要求有一个前提——整个内控体系的建设均是由企业内部人员进行的。企业内部人员本身已经对企业的流程很熟悉了，因此风险评估会更加准确和全面。对于中介机构而言，如果对企业的运营和业务流程毫不知情，或者不熟悉，上来就做风险评估，那便是胶柱鼓瑟了。这一点乃是我个人的一点儿想法，在这里也做个交代。关于这一点，我们在后面讲到具体项目的实施时还会再谈。”

“通常的风险评估是按照下面的顺序来进行的。”小熊说着又掏出了笔。

“咱们在前面讲过风险是由于企业设定了经营目标，根据经营目标制定了相应的策略，实施策略就是做事，做了事，自然就有了风险。因此，风险评估的第一步是把企业的大目标根据不同的运营流程，比如采购、销售、存货管理等，再细化地拆分成小的目标。这样讲太抽象，我给您举个例子说吧。”

“咱们举个销售的例子吧，就咱们公司而言，大客户的应收账款管理是一个很重要的子流程。那么我们先设定这个子流程的目标，您来设定设定……”

“目标就是按时把钱收回来呗！当然啦，适当的账期我也不是不能接受，但是也得自觉点，我就发现咱们的有些客户非常不自觉……”

“好的好的，妈，目标您已经表达得很准确了。”小熊打断妈妈的话头，他知道如果不打断的话，又会有十分钟的牢骚要听。

“好了，目标咱们有了，对应着这个目标，您觉得风险在哪儿？”

“我觉得啊，我觉得咱们可能白定这个目标了，该收不回来的还是收不回来。我还想到一个问题，如果咱们定的账期比较短，有些大客户可能就不在咱们这买了，这算不算风险？”

“算啊，您考虑得很周全。那么，咱们为了实现这个目标，可能遭遇的风险有以下几个：

“第一，应收账款未能及时收回，影响本期经营业绩和现金流。”

“第二，应收账款未能完整收回，导致财务报表信息不完整和不准确。”

“第三，账期压缩过短，可能导致部分大客户流失。”

“接下来的一步是评估风险，这个工作相对专业一些，需要结合风险对财务报告的影响、风险发生的可能性大小、风险造成的损害大小等因素来进行复合评价。在这里我就不讲这么细了，我直接结合咱们的实际情况给出一个大致的风险评级：第一种风险高，第二种风险中，第三种风险中。”

“我简单解释一下，风险一会直接影响企业经营的现金流，而健康的现金流对快速消费品行业至关重要，因此我把该风险评级为高。风险二说的是应收账款完整收回的风险，虽然这个发生的频率高，但是如果比例可以控制在一个合理水平，那么其实对当期报表的不良影响并不算大，因此我将其评为中。最后一点，您说得很对，如果我们把账期的政策进行了调整，统一压缩为30天，很可能会影响一部分大客户是否继续在我们这里采购。但是我一直信奉这样一个观点，不好好付款、不讲信用的客户，其实也不是我们的客户。与其纠结于是否给他们更长的账期，还不如把自身的质量提升上去，淘汰这部分客户，这是从战略上考虑的。从实际运营中，我看了一下我们本月的财务分析数据，团体客户采购占整体销售的25%左右，其实这个比例并不算太大。想必这两年您也明白了，光靠两节卖月饼和粽子就能把本年利润都挣出来的时代已经过去了，综上我把风险三评级为中。”

“你这么一解释，我心里明白多啦。这么看，对风险的评估还得基于对业务的深刻理解，以及对财务报表的认知。”

“妈，您这句话说得很对。在美国上市的公司，需要在内控方面遵循《萨班斯法案》，谈到内部控制的时候，有个专门的词，即icofr（internal control over financial reporting），中文是与财务报告相关的内部控制。我认为这个着重强调的定义很准确：一方面，把企业内控合规的范围框定在了一个相对合理的范围内；另一方面，如此的范围限定会使定位更加精准。在这方面，中国上市公司需要遵循《企业内部控制基本规范》及其配套指引，并没有明确‘与财务相关’。这样的结果，尤其在刚开始实施的几年，导致很多企业推行搭建全面的内控体系。这里面产生了很多问题，我们放在后面说。总而言之，如您刚才总结的，风险评估的立足点在于对企业业务流程的充分认知，以及对财务报表的深刻理解。”

“对风险进行评估之后，需要对风险进行管理。对风险的管理手段，就是控制。”