实务中的全面风险管理

作者：Jonas Osman Abdelghafour —— 精算师及金融风险管理师（FRM，GARP USA）。

在二十年的咨询生涯中，我审阅过的每一份全面风险管理框架，封面看起来都相当体面。都有一份风险偏好声明、一套分类体系、一张三道防线示意图，以及一张多半在若干互不相关的委员会之间被反复沿用的热力图。真正将一个框架与"驱动公司实际运转"区分开来、而不是仅仅"装点内网"的，并非那张示意图本身——而是大多数机构至今仍然做错的少数几项设计选择。

本文汇集了我所看到的这些选择，重点面向那些必须在同一个季度里，向董事会、监管机构与内部审计师证明ERM确有实效的从业者。

从决策出发，而非从风险出发

最常见的失败模式，是一套详尽罗列各类风险的框架，却缺乏将这份清单转化为决策的机制。一个有用的ERM职能，应从相反的一端出发。要问：这家机构做出哪些决策，风险信息又将如何改变这些决策？

对保险公司而言，这些决策是资本配置、再保险结构、产品组合、定价和投资策略。对银行而言，是资产发起、资产负债管理头寸、流动性缓冲和产品设计。对一般企业而言，则是资本项目、对冲、供应商集中度和地理布局。

任何未能与这些决策之一相连接的风险报告，都是负担。任何未能明显受到风险信息影响的决策，都是治理上的缺口。一个能将两者对应起来的框架，是精炼、锋利且真正被使用的——参见配套文章《全面风险管理详解》，其中对这张对应图本身有更详细的论述。

真正具有约束力的风险偏好

一份风险偏好声明的价值，恰好等于它曾经拦下的那些决策的价值。如果从未有任何提案因触及风险偏好而被拒绝，那么这份声明并未经过校准——它只是一件装饰品。真正的风险偏好框架与象征性框架之间，有三点区别。

在决策实际发生的层面设定量化限额。 一句集团层面"我们在压力情景下维持180%的偿付能力充足率"的风险偏好，对一位正在为临时分保合约定价的核保人毫无用处。要将这一指标层层分解：按业务条线分解的经济资本消耗、按交易对手分解的集中度限额、按市场因子分解的敏感度上限。每一项操作层面的限额，都应能追溯回集团层面的声明。

限额被突破时预先设定的应对方案。 风险偏好框架最常见的弱点，是限额被突破仅仅触发一场讨论，而非一项行动。应预先约定：低于X，予以监控；介于X与Y之间，三十天内提交整改计划；高于Y，关闭该敞口。董事会往往对此感到不适，管理层也常常抵触——而这恰恰正是它有效的原因。

独立计量。 如果由第一道防线自行计量其对风险偏好的消耗情况，风险偏好将不会真正具有约束力。计量工作应由第二道防线负责，第三道防线则按周期审阅其方法论。这与我另文论述过的三道防线治理模型有所重叠。

ORSA及其等价机制：倒逼真正重要的情景

自身风险与偿付能力评估(Own Risk and Solvency Assessment, ORSA)是偿付能力II(Solvency II)引入的最有价值的监管工具之一。它的价值与文档本身无关，而在于所选择的情景，以及管理层参与其中时的诚实程度。

一份有用的ORSA，会包含三到四个针对该业务特定脆弱性、而非泛泛而谈的通用情景。对单一险种的车险公司而言，这意味着严重程度通胀叠加法律改革；对养老金计划而言，是长寿风险叠加实际利率崩溃；对银行而言，是资产质量冲击叠加存款外流。照搬监管机构给出的示例情景，是对这项工作的浪费。

ORSA报告还应当——而不仅仅是描述——在业务规划期限内，使用业务自身用于自身计划的相同假设和相同模型，对每一情景下的资产负债表进行推演。当ORSA的数字与业务计划出现分歧时，就有了一场治理层面的对话需要展开。而那场对话，正是问题的关键所在。

关于情景构建与董事会使用，我在ORSA情景设计说明一文中有更深入的论述。对金融机构而言，这与我为客户提供的资本建模指南相衔接。

分类体系的难题

每一个ERM职能都会投入时间去建立一套风险分类体系。而每一个ERM职能最终都会发现，这套分类体系要么过于粗略而缺乏实用性，要么过于细致而无人能够驾驭。走出困境的办法，是接受分类体系其实承担着两项不同的职能，而这两项职能需要不同的结构。

报告用分类体系，是出现在董事会材料、ORSA与监管报表中的那一套。它应包含七到十五个类别，彼此互斥，并长期保持稳定。不要轻易改动它——跨年度的可比性是一项特性，而非一个意外结果。

管理用分类体系，是第一道防线用于记录、追踪与处理问题的那一套。它可以、也应当更为细致，并能随业务变化而演变。从管理用分类体系映射到报告用分类体系，必须是多对一且不含歧义的。

将两者混为一谈，正是导致ERM系统变得庞杂难用的原因。将两者分开，两者都会得到改善。

新兴风险：培养一种习惯，而非维护一份登记册

我见过的每一个框架都有一份新兴风险登记册。而它们几乎都没有用。这份登记册所记录的，往往是被列入时早已显而易见的事项——2019年的疫情风险、2022年的地缘政治风险、2024年的人工智能风险——完全提供不了任何提前预警。

真正有效的做法，是一种季度性的习惯，而非一份文档。由第一道防线专家、第二道防线风险人员，以及一位外部人士轮流组成的小组，用九十分钟讨论运营环境发生了哪些变化。产出是一页纸。其纪律在于：该小组必须至少识别出一个ORSA目前尚未涵盖的情景，并要么说明为何不应纳入，要么将其纳入下一轮ORSA周期。

这使新兴风险工作从一项合规性活动，转变为一种情报职能。它也为董事会提供了具体可讨论的内容，这比大多数新兴风险登记册所能提供的都要多。

模型风险应置于ERM内部，而非并列于其旁

将模型风险管理与ERM分离的机构，最终会导致治理重复，更糟的是，会将模型问题当作一个技术问题而非战略问题来对待。任何用于支撑决策的模型，都在消耗承担风险的能力，其失效本身就是一项风险，而不是一个附注。这是ERM应当优先关注的问题。

在实务中，这意味着：批准风险偏好的同一个委员会，也应批准模型清单的重要性分级，以及针对重大发现的整改计划。我在模型风险整改说明一文中阐述了我在实务中如何构建这一机制，而独立模型验证正是提供这项能力的服务线。

与董事会的关系

在任何一家机构中，ERM能否真正发挥作用，最重要的预测因素是首席风险官(CRO)与董事会之间关系的质量。框架固然有帮助，但没有任何框架能够弥补一位无法让令人不适的信息被听见的CRO。

两点实务建议。第一，CRO在董事会记分卡上所拥有的指标不应超过五个，并且每一个都应是CEO宁愿看不到的指标。如果风险仪表盘上一切都是绿色，那么这个仪表盘就是错的。第二，CRO每年至少应有两次单独向董事会汇报——CEO不在场。这是一项艰难的文化变革，但值得为之争取。

结语

全面风险管理不是一个项目。它是一种习惯：将决策与风险相连接，校准风险偏好使其真正具有约束力，选择会带来切肤之痛的情景，并让结果切实改变计划。各种框架大体上是可以互换的。上述这些选择则不是。

如果你正在重建一个ERM职能，或者正在筹备一轮真正会被使用的ORSA周期，我很乐意与你交流。参见企业风险服务页面，或联系我。