在即將過去的8102年，當(dāng)我們說到“風(fēng)險管理”/“全面風(fēng)險管理”時，通常我們所指的并不是享有盛譽、廣泛傳播的COSO1992內(nèi)部控制框架與COSO2004風(fēng)險管理框架，而是2016年推出征求意見版本，并在2017年9月正式推出的COSO2017《企業(yè)風(fēng)險管理-整合戰(zhàn)略與績效》(Enterprise Risk Management- Integrating with Strategy and Performance)。簡稱《企業(yè)風(fēng)險管理(框架)》。
文檔主要構(gòu)成包括三部分：Executive Summary（執(zhí)行大綱）、Framework（框架內(nèi)容）、Appendices（附錄）。
相比于COSO2004《企業(yè)風(fēng)險管理-整體框架》，COSO2017有著多處變化：
1、簡化了企業(yè)風(fēng)險管理的定義；
2、強調(diào)了風(fēng)險與價值的聯(lián)系；
3、重新審視了企業(yè)風(fēng)險管理整合框架所關(guān)注的焦點；
4、檢查了文化在風(fēng)險管理工作中的定位；
5、增加了戰(zhàn)略、運營績效與風(fēng)險管理協(xié)同的內(nèi)容；
6、進一步明確企業(yè)風(fēng)險管理（全面風(fēng)險管理）和內(nèi)部控制的關(guān)系；
7、優(yōu)化了風(fēng)險偏好和風(fēng)險承受度的概念。
COSO2004風(fēng)險管理框架中提出的風(fēng)險管理工具與技術(shù)依然保留。
COSO2017使用了這樣一張圖表達對企業(yè)戰(zhàn)略怎樣提升績效表現(xiàn)的理解：
圖的結(jié)構(gòu)是“愿景與價值觀-》戰(zhàn)略、業(yè)務(wù)目標、績效表現(xiàn)（戰(zhàn)略選擇、實施、戰(zhàn)略決策與運營過程中的風(fēng)險）-》得到提升的績效”。
COSO2017的核心觀點是，風(fēng)險管理與企業(yè)的核心利益相關(guān)，是組織績效提升的重要影響因素，風(fēng)險中蘊含著增長機遇。
其次，COSO2017改變了1992、2004版本框架的目標-要素組織形式，而采用了要素-原則的形式，如圖所示：
而風(fēng)險管理的五要素及各要素下屬的原則則以彩色色條的形式貫穿圖中，含義為風(fēng)險管理包含在企業(yè)運營發(fā)展的全流程中，并服務(wù)于企業(yè)的成長。
COSO2017企業(yè)風(fēng)險管理框架的五要素是：治理和文化、戰(zhàn)略和目標設(shè)置、績效、審查和修訂、信息交流和報告。
要素下屬原則-治理和文化：
1、實現(xiàn)董事會對風(fēng)險的監(jiān)督；
2、建立運作模式；
3、定義集團的組織文化；
4、兌現(xiàn)核心價值的承諾；
5、吸引發(fā)展并留住優(yōu)秀人才
要素下屬原則-戰(zhàn)略和目標設(shè)置：
1、考慮業(yè)務(wù)環(huán)境；
2、定義風(fēng)險偏好；
3、評估替代策略；
4、建立業(yè)務(wù)目標
要素下屬原則-績效：
1、識別風(fēng)險；
2、評估風(fēng)險的嚴重程度；
3、風(fēng)險排序；
4、執(zhí)行風(fēng)險應(yīng)對；
5、建立風(fēng)險的組合觀（管理層需要從組織整體角度考慮風(fēng)險，將組織風(fēng)險作為一個整體去和實現(xiàn)績效目標所需要承受的風(fēng)險進行對比，而不是將其視為一個個單獨的、分散的風(fēng)險）
要素下屬原則-審閱與修訂：
1、評估重大變化；
2、審閱風(fēng)險和績效；
3、企業(yè)風(fēng)險管理改進
要素下屬原則-信息溝通與報告：
1、利用信息和技術(shù)；
2、溝通風(fēng)險信息；
3、對風(fēng)險、文化和績效進行報告（組織在各個層級對風(fēng)險、文化和績效做出報告。首先組織要確定這些報告的使用者和他們的職責(zé)。報告的形式和種類很多，包括：風(fēng)險的整體判斷、風(fēng)險圖譜、根本原因分析、敏感度分析、對新興及發(fā)生變化的風(fēng)險的分析、KPI（關(guān)鍵業(yè)績指標）、趨勢分析、對意外事故、違規(guī)和損失的披露以及對ERM計劃和倡議的追蹤。管理層需要確定報告的頻率并對其質(zhì)量負責(zé)）
一共20項原則。
除了了解COSO2017的要素與原則，還有一些關(guān)鍵定義必須掌握。最能體現(xiàn)2017版本特點的，是“風(fēng)險”被定義為“事項發(fā)生并影響戰(zhàn)略和商業(yè)目標實現(xiàn)的可能性”，這與ISO31000風(fēng)險管理標準中對“風(fēng)險”的定義是不同的，國際標準組織對風(fēng)險的定義是“不確定性對目標的影響”。我個人認為這兩種提法沒有本質(zhì)上的差別，都認可風(fēng)險存在正面與負面的影響。
風(fēng)險偏好（Risk Appetite）依然被定義為“主體在追求戰(zhàn)略和業(yè)務(wù)目標的過程中愿意承受的風(fēng)險量”。選擇合適的量化指標例如VAR，eVAR，LVAR都可以作為風(fēng)險偏好的度量標準。
風(fēng)險容忍(Risk Tolerance)在2004版中被定義為顆粒化的、更細節(jié)的風(fēng)險偏好（Risk Appetite），在2017版中則被定義為“可接受的績效變動區(qū)間（Accepted Variation in Performance）”，除了數(shù)量化的傾向，還可以看出風(fēng)險-績效關(guān)系的又一次重申。
“企業(yè)風(fēng)險管理”被定義為“組織在創(chuàng)造、保持和實現(xiàn)價值的過程中，結(jié)合戰(zhàn)略制定和執(zhí)行，來意進行管理風(fēng)險的文化能力和實踐”。相對于2004版的“一個過程，由一個主體的董事會、管理當(dāng)局和其他人員實施，應(yīng)用于戰(zhàn)略制定并貫穿于企業(yè)之中，旨在識別可能會影響主體的潛在事項，管理風(fēng)險以使其在該主體的風(fēng)險容量之內(nèi)，并為主體目標的實現(xiàn)提供合理保證”，差別明顯，一種文化、能力和實踐的描述更加貼近于風(fēng)險驅(qū)動績效的核心觀點。
COSO2017提出了一個嶄新的曲線表述-風(fēng)險績效曲線。COSO認為，整體的風(fēng)險與績效是相關(guān)的，在下圖中，橫軸帶包績效，縱軸代表風(fēng)險：
承擔(dān)風(fēng)險越大，企業(yè)績效越好，在通常情況下這條曲線的方向是正確的。COSO用圖中的直線表示組織的風(fēng)險容忍與績效設(shè)置，陰影部分越小，意味著組織的風(fēng)險偏好越激進。但在實際操作中，用什么指標來代表績效和風(fēng)險是需要決策的。特別是在主體的層面上，風(fēng)險的加總需要考慮的問題絕不是簡單的線性相加。操作上存在難點，但這依然是一個精彩的想法，更加深刻地表現(xiàn)了風(fēng)險績效相聯(lián)系的主旨。
COSO2017實際上所做的事情，是為企業(yè)管理領(lǐng)域提出了基于風(fēng)險導(dǎo)向的管理理念，它的目標是成為管理體系，而不是原來的內(nèi)部控制流程。從COSO1992、COSO2004到COSO2017，聚焦的重點從運營經(jīng)營的流程控制、財務(wù)報告的反舞弊、法律合規(guī)擴張到企業(yè)戰(zhàn)略決策、績效增長，使得風(fēng)險管理承擔(dān)更高層次的訴求，更深刻地融入到企業(yè)經(jīng)營之中。
