由人而生，也必将由人而治。如此，对一名企业的CFO而言，从内部风险控制到企业全面风险管理，各种风险具有的复杂性和不确定性，颇具职业挑战。

　　那么，作为中国企业的CFO，最关注什么样的风险？ CFO如何才能掌控影响企业发展的外部和内生的各种风险？

　　风险与责任

　　《新理财》：我们杂志曾在去年6月刊中，专门针对内部控制做过一期《内控双刃剑》的专题报道。有评论称，风险的对象是人，风险管理的结果也是人，风险产生的环境必然对风险的管理产生影响，对企业风险管理的内部控制职责，意味着更多的职业风险。对此，二位有什么看法？

　　薛贵：目前在国有企业，以CFO在企业内的职责和职位，很难在整个的风险管理中承担总责任。风险管理的确应该由董事会决策，由董事长或法定代表人来负总责。

　　而从战略风险到市场风险，却往往和CFO的职责不相匹配。比如战略风险是董事会战略决策的一个结果，有些CFO是董事会成员，有的还不是，真正参与决策的力度不够，很难对战略风险做出决策。市场风险主要归主管营销的人负责，从直接的责任来看，是公司其他主管承担。但财务要提前介入，并基于日常战略决策提出意见，对有可能由于战略风险导致的财务风险进行管理。

　　王立彦：我举一个例子，有一个公司，董事长和CEO是同一个人，以前是每个省有一个公司，是总公司和区域公司的树状管理模式。从2008年起，企业改成了条状管理模式，总部设有三个事业部，各自有自己的业务系统直接对应管理各地分公司的业务，三个事业部直接对总经理负责，三个事业部都各有各的CFO。这时，总公司的CFO实际上是国资委任命的干部，什么都管不着。因此，总公司的CFO根本没有办法承担风险责任。所以，这也和公司的管理模式有关系。

　　《新理财》：我曾问过一位外企的CFO，CFO在企业处于什么样的职位？对方的回答很肯定，是具有战略策划地位的高层管理者。但在国内的大多数企业，CFO真的是具有核心领导地位的高层管理者吗？

　　王立彦：按照国外企业的管理模式，CFO是绝对掌控企业的高层管理者，是仅次于企业CEO的第二号人物，甚至于即使CEO换人，CFO也不会轻易更换。目前，国内除个别企业外，大多数企业的CFO还无法进入企业管理层的前五位。也就是说，国内大多数企业的CFO，还不能称为真正意义上的企业高层。

　　《新理财》：那么，我想请问薛总，您作为一家国有企业的总会计师，您最关注什么样的风险？

　　薛贵：根据国资委的要求，内部控制放在了我们CFO身上，为了使CFO更好地履行职责，大体上关注五种风险。第一要关注财务风险。财务风险里最重要的是资金风险，首先是资金本身的风险，还有资金链是否安全，然后是筹资风险，这在国有企业或民营企业都是一个首要任务。在经济危机下，重点关注资产负债率；在汇率波动的情况下，关注汇率问题。前段时期国务院还安排调查金融危机下汇率的风险，制定汇率的风险管理措施。在目前的情况下，汇率的波动对进出口企业的影响非常大。还有就是财务风险和利率风险，目前我们国家的利率在下降，利率风险也是企业风险中很重要的一部分。第二个我们最关心的是财务运作体系是否合规、合法，要避免财务发生违法违纪，出现企业决策层签字漏或缺的情况，必须签字后才可能调动资金。第三个关注的是财务信息披露的问题。尤其是上市公司和上市公司的母公司，特别关注财务信息披露的问题，一定要合规，不能出现重大问题，上市公司监管的法规一定要完善。在这个问题上CFO起到很重要的作用。第四就是经营风险。经营风险目前也成为CFO关注的职责，包括应收账款的风险，金融危机造成的风险已经转移到CFO身上。最后，就是法律风险，经营合同等的协议风险和法律规范性风险，一旦出现问题会对企业造成毁灭性打击。

《新理财》：有人说，我们现在的企业是个人治理而非公司治理。因此，对于中国企业的CFO而言，管理风险是有责而无职。对此，王教授您是如何看的？

　　王立彦：其实，CFO有什么风险和CFO应该承担什么责任是相关联的。往深处讲就是谁对风险负责，这和委托代理有关系。在中国，从根上还是要解决代理的问题。相反，如果强调、放大这种风险责任，对CFO的个人收益体系也要做一些调整。背后还有一些业绩考核等问题。的确，现在我国的企业仅仅属于个人治理，而不是真正的公司治理，这是一个管理机制和体制必须解决的问题。

　　我个人认为，在现有的机制下不应该过分放大CFO作用。

　　我们不能把全面风险管理或者风险责任推给CFO，这不是一种方法和制度问题，实际是一个能不能管住事的问题，你管不住购销行为，管不住签合同的行为，涉足不到那里，让你管你都管不了。事做完了，就差CFO签字了，你签不签？但不是你签了个字就体现你可以控制，实际上不是那么回事。所以，大家实际上只是把全面风险管理当作一种方法论。

　　量化风险

　　《新理财》：美国的萨班斯法案是以财务报告为基准的具有法律效力的风险管理制度，但中国出台的各种风险管理办法，融合了美国的萨班斯法案，又远远超出了以财务报告为基准的职能。是否可以说，从事前到事中到事后，在如此庞大的风险管理体系的建立过程中，精于数据指标分析的CFO自然责无旁贷？

　　薛贵：对风险的管理我们必须认真对待。为此，我们也在研究影响财务风险和其他风险的因素。从CFO的角度来讲主要是为了避免财务风险的发生，或者提前预防风险的发展。有必要更多地关注企业运营环境的风险，以及法律层面的风险，尽可能地抓住法律这只手和企业运营的关键环节，以及对业务流程的关注来减少财务风险。比如资金风险、筹资风险。因为管理层会把因市场风险导致的企业利润的下滑，归结为CFO的责任。

　　王立彦：对于上市公司而言，首先要合规。合规的事主要由CFO来负责。一切都是为了合规，是为了审核和评议。我看了2008年的年报，上海现在有300多家公司自愿披露内部财务报告，深圳有180多家。而且，这些企业自愿聘请CPA对它们的内控出一个评价。在这种导向下，让CFO牵头做这件事就很自然。

　　在国有企业，我个人更赞成由企业的法定代表人来背负风险管理的责任。这和中国的体制和文化有很大关系。让CFO成为战略策划者的是企业出资人，因为出资人是最能感受到资金风险的，尤其是一些国有企业。

　　现在也只有国资委可以做到，可是国资委还是一种机关干部的心态，如果真的以出资人出现，应该很不错，有些很大的公司，国资委是从人到物什么都管，可证监会管不了。

　　我认为，风险机制的构建其实就是一种倒逼机制。目前我国的国有企业市场化和国际化程度不够，本身面临的市场考验相对少一些，以前的机制下没有发现CFO的风险。全面风险控制后发现了CFO的风险，而CFO对整个体系没有办法掌握，肯定也没办法承担相应的责任。

　　《新理财》：从预测风险、发现风险、控制风险到化解风险，按照现有的风险管理模式，是否可以将每一个可能发生的风险，通过各种数学模型进行量化？

　　王立彦：是否可以通过数学模型对风险进行量化，我不知道。但我有一个想法，CFO和内部控制风险管理可以说是一个大模型，但不是惟一的模式，必须有一个区分。每个内部控制和风险管理的目标是不一样的，由于CFO在公司里的职能不一样，或者是职责范围不一样，会导致模型也不一样。尤其是国资委控股的实体企业，它的风险就不仅仅是一个运营过程。

　　现在国内只有海外公司在这方面做得比较好， 比如中国人寿花了五六百万美元用了几年的时间对从流程图开始，到制度的建立进行了管理和控制。国内公司要很清醒地认识到这种做法的好处，但能不能在国内实施，如何统一认识是关键。

　　《新理财》：谢谢二位总编辑。最后，请二位总编辑对我们此次的话题做一个总结。

　　薛贵：不同行业、不同发展阶段的企业，关注的风险点不一样，这要求CFO对他所在企业的风险把控点要进行动态的管理。

　　中国的企业市场化程度不高，很多企业风险的主体责任不清晰，风险管理意识淡薄，背后还是一种制度缺失。在中国要大力提倡风险管理文化，这需要一个历史过程。CFO不一定对企业管理负总责，但CFO一定是一个风险管理的参与者，主动把风险管理融入到财务管理中，成为“三师”，即财务分析师、经济分析师、风险管理师。

　　王立彦：这次谈这个话题比两年前和《新理财》探讨的话题要深入得多，今天把这个话题延伸到了风险管理，谈内控说内控就是要建立防范风险管理，应该强化风险责任和风险管理。

　　但是在当前的情况，CFO应该是一个全面风险管理的执行者。让他作为全面风险管理的责任人，会过多地放大责任。但是，确实CFO是最适合的角色，可在我们当前法人治理机制下，CFO承担不了那么多的责任。全面风险管理更多管理的是风险源和风险过程。

　　应该让更多的企业了解到CFO在公司内对全面风险管理所能起到的作用，全面风险不要把它当作一种方法体系，应该把它当作一个企业制度体系来建立。