發布時間：2023-03-17 18:01:16
序言：寫作是分享個人見解和探索未知領域的橋梁，我們為您精選了8篇的風險管理論文樣本，期待這些樣本能夠為您提供豐富的參考和啟發，請盡情閱讀。
一、貨運險理賠中存在的主要問題
貨運險理賠工作，對外部來說，是保險人向被保險人履行合同承諾，必須提供的經濟補償行為；對內部來說，是保險公司做好賠付、以盡可能少的賠款支出獲取企業利潤的經營行為。此工作關系到企業的生存和可持續發展，保險人理應重視理賠工作，理賠人員更應兢兢業業做好理賠工作。但由于各種主客觀原因，當前的貨運險理賠工作中存在著下述問題。
（一）錯賠。“錯賠”是指保險人根據保險合同的約定，本不該賠償給被保險人而錯誤地給予賠償的行為。其表現形式有：1.易損易破貨物出險后，對保險合同中已約定的途耗或免賠率，保險業務人員在賠款理算時應扣除而未扣除；2.對貨損把握不準，其貨價計算是否應包含增值稅、運雜費，被保險人未發生相應的增值稅、運雜費損失而給予賠款；3.保險公司向未取得被保險人授權委托書的人支付賠款。
如，溫州某經營公司向保險公司投保了全年貨物運輸預約保險，貨價的確定方式是貨價含增值稅。xxxx年5月12日，溫州某經營公司將ABS樹脂473T（貨價355.7萬元）、聚丙烯185T（貨價102.77萬元），交由浙寧581號船從溫州運往廣東汕頭。下午4時，浙寧581號船途經洞頭縣境鴿尾礁海面發生觸礁，致使全船貨物沉沒。溫州某經營公司即向保險公司提出貨物受損536.41萬元的索賠要求。
此次受損失的ABS樹脂355.7萬元和聚丙烯102.77萬元，合計458.47萬元，是溫州某經營公司的轉手賣出價；加17％的增值稅額77.94萬元，總計為536.41萬元。
從預約保險協議來看，貨價的確定方式是貨價含增值稅，溫州某經營公司從保險公司得到77.94萬元的增值稅額賠償似乎是天經地義的。而保險公司如果支付這部分增值稅賠款，筆者認為就屬于“錯賠”案件。因為溫州某經營公司購進這批貨物時產生有增值稅的進項稅額，而這批貨物如果順利運到廣東汕頭送達收貨人倉庫，收到貨款，才能產生相應的銷項稅額；而該批貨物在運輸途中已發生滅失，不可能產生銷項稅額。從表面看，此批貨物受損，會導致其相應的增值稅的進項稅額無法收回的經濟損失。然而，實際是其原產生的進項稅額，可以在投保企業的連續經營中得到抵扣。投保企業不會因這批貨物的受損而導致增值稅額的損失。
（二）惜賠?！跋зr”是指保險人對保險合同應負的責任范圍、賠償限額的大小等，作出不賠償或不足額賠償的決定，以小于被保險人的實際經濟損失賠償賠款的行為。其表現形式有：1.在訂立保險合同時未約定途耗或免賠率，出險后保險人才認為易損易破物品應有合理的途耗或免賠率，便在賠款理算時予以扣除；2.保險業務人員對疑難責任的認定缺乏相應的專業知識，導致該賠而不賠；3.保險合同訂立時保險責任涵蓋的范圍不明確，發生損害事故后，保險人拒絕承擔本該承擔的賠償責任。
如，某玻璃經銷商店向保險公司投保公路貨運綜合保險，20片汽車擋風玻璃的保險金額為啟運地貨價40000元加運雜費2000元，系足額投保。保單上啟運地為濟南，目的地為杭州，未提及途耗。啟運后的第二天，裝載汽車擋風玻璃的汽車發生翻車事故，導致運送的汽車擋風玻璃全部破碎。某玻璃經銷商店即向保險公司提出索賠，保險公司受理后，認為玻璃屬于易損易破物品，本應有合理的途耗，通常是5％的途耗率，在賠款理算時就將42000元賠款扣除2000元。
筆者認為：此案例是典型的惜賠案件。保險合同是保險雙方真實的意思表示。既然保險單上未約定途耗率或免賠額（率），那么在賠償計算時就不應該扣除途耗或實施免賠。
（三）濫賠?！盀E賠”即通常俗稱的賠案有“水分”，是指理賠人員專業技能差或為達到某種目的，導致保險公司無意或故意賠償給被保險人超過其實際損失的賠款。其表現形式有：1.在清點受損貨物時，增加損失貨物的數量；2.在查勘定損時抬高受損貨物的損失程度；3.賠款理算時對該扣除的殘值未扣除；4.保險雙方對某些保險責任的理解產生分歧，保險人為了與被保險人繼續合作，放棄理賠原則而承擔本不該負責的賠償責任（如人情賠款、關系賠款等）；5.對貨運險的險種、險別所包含的保險責任理解不透徹，導致多賠。
“濫賠”案件在自賠案中并不多見，但在貨運險的業務中，未超過出險地公司賠權限而由出險地公司全權處理的賠案，出現“濫賠”的較多。如一批小五金貨物向甲地保險公司投保了公路貨運綜合險，汽車行至乙地發生翻車事故，造成不同規格的小五金貨物包裝破散及遭污水浸泡。投保人即向保險公司乙地的機構（即出險地公司）報案；出險地公司理賠人員對不同規格的受損貨物不是耐心地清點、核實，而是粗略估計損失貨物的數量及損失程度，有意或無意地放寬損失貨物的數量或損失程度，導致“濫賠”。
（四）騙賠?！膀_賠”是投保人或被保險人為了騙取保險賠償金而進行的保險欺詐活動。騙賠案件在投保前均已精心策劃，以致理賠時很難被輕易識破。騙賠形式有：1.貨物出險后才想到投保，偽裝在保險期限內出險；2.偽造、變造與保險事故有關的證明、資料和其他證據，編造虛假的保險標的或保險事故；3.保險貨物出險后制造假象，夸大損失程度；4.積壓商品投保、低值高保，故意出險騙取保險賠償金等。
如，某保險公司于2001年3月2日承保了一批保暖內衣的公路貨運險，價值71萬元，起運地龍游，目的地甘肅蘭州。啟運后三天，保險公司就接到報案電話，告知承運這批貨物的東風大貨車在河南省光山地段發生翻車事故，導致車輛起火，連車帶貨已全部燒毀。從表象看，這起賠案投保在先，起運在后，沒有可疑之處。但承保公司憑借多年的實踐經驗，感到有很多疑點，就及時與公安局經偵大隊聯系，后經多方查實，確是一起因該保暖內衣滯銷積壓，貨主密謀串通、合伙購買廉價汽車裝運積壓貨物，用低價值高保額的辦法，惡意制造損害發生的交通事故，試圖從保險公司騙取保險賠款的騙賠案件。
二、貨運險理賠中問題的原因分析
所謂的風險管理，其實就是管理可能發生的危險，以及危險發生時可能帶來的各項損失。風險管理的宗旨在于將可能發生的危險扼殺在搖籃里，同時將已經發生了的危險的破壞性降到最低。從電力調度安全管理的角度上來說，電力調度工作的核心其實就是一個安全性、穩定性的管理。
既然電力調度安全管理中的風險管理指的是對可能對電力系統運行的穩定性和高效性產生危害的易變性因素的管理，風險管理工作中就需要至少經過以下三個步驟：首先是風險辨認。風險辨認的對象是不確定因素。對電力系統自身中諸如對外界影響的抵抗力、外界對電力系統運行的干擾性因素等內容進行辨認。并最終形成風險辨認的條目表。其次是風險評估。在通過風險辨認工作獲取到風險種類的目錄之后，接下來的工作就是對不同的風險種類所可能產生的破壞性影響進行評估。這種評估工作應該重視量的衡定。比如某一臺特定發電機組在發生故障時，可能對整個電力系統和供電區域造成的巨大的損害，但是這種損害必須是用經濟單位來衡量的。最后是風險控制。風險控制是風險管理的出發點和歸宿。風險控制工作是在經過了形成風險種類目錄、初步掌握風險性因素帶來的破壞性影響之后，借助相關的制度、設備等形成完善的預警系統和應急機制，將風險產生的可能性和風險帶來的損失降到最低。
2 我國電力調度安全管理中風險管理的現狀
2.1 我國電力調度安全管理中風險管理工作成果斐然
電力調度的安全管理作為電力系統正常運作的基礎和支撐，歷來被電力行業各個部門高度重視，并通過及時對電力系統的關鍵設備進行更新換代、借鑒先進電力調度技術提高電力調度工作安全性、通過網絡信息技術建成各級統一的調度信息共享和交流平度等方式對調度工作中的風險性因素進行了有效的管理和控制，并最終取得了顯著地實績：我國電力運行系統日漸穩定，供電和輸電機組設備先進，效率，調度工作的安全性被極大鞏固和完善。
2.2 我國電力調度安全管理中風險管理工作仍存上升空間
電力調度工作中安全管理的最大威脅就是調度工作本身的瞬時性和不可逆轉性。這種特定的工作特質注定了電力調度工作的風險管理是一項永無止境，必須時刻關注的重大課題。從當前我國電力調度風險管理工作現狀來看，在以下兩個方面還存在著明顯的上升空間：首先是我國電力調度工作中風險管理人員的素質需要進一步提升。電力調度工作雖然可以借助網絡信息技術獲取極大便利，但是人工是其中必不可少的因素，同時也是關鍵性因素。然而當前我國電力調度工作人員由于習慣了日常倒閘、供電、放電等常規工作內容，而往往忽略了對電力系統的認真鉆研，降低了自己發現危險和應對危機的素質與能力。其次是電力系統本身也存在問題。當前我國電力系統中仍然存在著電力運輸通道單一，甚至造假的現象，這種單通道的存在造成了電力調度工作難度的倍增。此外，電力系統中預警信號燈過多，一些無用的燈光信號往往混淆了安全管理人員對危險性信號的判斷。此外，我國基本建設完成了對電力調度安全管理系統的信息化建設，但是當前電力調度信息網絡使用的是三層橋式分段網絡或者是MIS網絡，這些技術短板容易造成信息系統較為脆弱，進而產生威脅性因素。
3 關于強化電力調度安全管理中風險管理工作的對策性建議
3.1 建設高度統一的風險預警和應急機制
前文提到，電力調度工作的特征是突發性和瞬間性。往往危機在剎那間產生并能夠在很短的時間內擴散到整個電力系統，產生無法估量的損失。因此，完善的預警機制和應急機制十分必要。當可能導致風險的易變性因素出現時，能夠通過嚴密的防護措施進行規避和報警。即使無法避免，危機爆發，也能夠通過嚴格、高效的應急機制將損失控制到最小。比如建立微機防誤閉鎖、電力機組實時監控系統、各層級統一的電力調度信息平臺等都是極為有效的預警和應急手段。
3.2 建設一支高素質的電力調度工作團隊
風險管理是一項體系性工程和課題，需要高素質的人才隊伍作為執行者。這樣一支人才隊伍的建設可以通過在諸如華北電力大學等知名學府中選撥專業人才、對既有員工進行專業培訓、建立嚴謹的企業文化，將風險意識和安全意識借助文化產生潛移默化地影響等方式來建立。此外，組織定期的危機、事故處理和應對演練也是極為有效的風險管理方式之一。
3.3 對當前的電力市場進行充分的預估
電力系統必須服務于特定的電力市場，因此，電力市場的發展趨勢同樣對電力系統的運作產生巨大的影響。在考察電力市場情況時，不能片面重視市場可能對供電系統提出的最大要求，而同時要注意電力系統可能產生的電量飽和情況。畢竟，特定區域內電量太多或者太少都可能對服務與這個地區的特定的電力系統產生破壞性影響。這就要求風險管理工作提前做好電力市場的預估工作。
4 結語
1.缺乏客戶信用評價體系
就目前而言，小額信貸企業對于信用資產的評級和管理相關制度上都十分欠缺，這往往會導致企業無法準確的進行信用評級。對于該公司而言，其主要還是結合公司的自身發展特點和現狀，以本地商業銀行對企業信用等級的評定標準，來制定本公司的信用額度管理辦法或則是相關的制度。此外，小額信貸企業并沒有針對一定時期內，單一的企業法人類的客戶中對風險管理水平以及財務報表狀況等方面進行綜合評估以及內控信用的最高限額做出明確的規定，這就使得企業嚴重缺乏統一的評級系統和授信管理體制，往往會導致企業對單一的企業法人客戶的貸款沒有辦法進行嚴格的控制和掌握。
2.信貸風險管理流程不科學
小額信貸企業中運行的信貸風險管理的方式方法及流程等方面，從申請的受理、貸款的申請、審批、審查，直至貸款的最終發放，都是建立在信貸發放等環節來操作的。其流程進行的線索往往是根據貸款管理為主線，而沒有從貸款風險的管理角度著手，因此，其根本無法具體表現對貸款風險進行的識別、對貸款風險進度的具體監測或者對貸款風險進行控制和管理的需求，也根本不能夠滿足現代貸款風險管理中的實際需求。
3.缺少必要的信貸風險預警體系
小額信貸公司還沒有建立起完善的信貸客戶的風險信息反饋體系，未能涉及到信貸風險的相關預警手段以及能夠進行預警的內容，因此，在根本上不能發揮出風險預警的提示作用。此外，在貸款中，往往是采取對客戶資料的客觀分析，或者是對客戶出具的財務報表等資料進行靜態的書面分析，或者是對借款人各方面條件進行靜態的分析，在實際操作中，這些方式都在一定程度上缺乏必要的科學性和客觀性，并且很難進行必要的風險控制措施。
二、小額貸款公司風險的防范措施
1.加強管理組織體系建設和人才的培養
對于組織體系和人力資源的配置這方面來說，首先就要對特定的崗位進行適當的增設，例如，“風險管理”的崗位在小額信貸機構中就是不可或缺的重要崗位。其次，要逐漸建立健全了其自身的組織機構。再次，企業的管理人員和企業員工的素質都要進行高要求，他們不僅要具有一定的學歷，同時，還要具有十分豐富的實踐經驗，此外，企業員工的職業操守也是十分重要的。因此，建議相關負責人一定要進行經常性的學習、積極參與培訓，更新自身的知識庫，企業才能長遠發展。
2.加強客戶信用的評價與審核
“貸前調查”不僅可以幫助企業對信貸申請人的實際情況做出較為準確的評估，還可以進一步避免企業對根本不具有還款條件的信貸申請人發放貸款，以此減少企業的風險。因此，要科學、嚴謹的盡職調查工作之后，才能夠形成有價值的初步調查報告。首先，對當事人進行詢問，主要是依靠工作人員對信貸申請人進行相關事項的提問來進行。其次，是對申請人提交的資料進行相關審查，主要是針對信貸申請人提供的材料進行真實性、合法性、對應性方面的審查。第三，是實地調查和觀察的方法，只有企業調查人員親自到申請人的經營場所進行觀察，才有可能了解最為真實的情況。最后，是對申請人的財務狀況進行深入的分析，其主要分析的是信貸申請人所提供的材料數據之間是否有矛盾和不實，同時，這也通常被認為是評估信貸申請人還貸能力的最為科學和有效的手段。
3.優化信貸風險管理流程
第一，業務部進行相關授信工作方案的草擬，并且要對信貸工作人員進行一定的培訓和知道，幫助其開拓業務、完善經營。第二，業務部還需要為客戶授信額度進行負責。第三，企業的風險管理部門在依照業務部出具的宏觀經濟分析的資料基礎上，將貸款的分配方式和相關的財務指標等綜合考慮，對各種業務風險進行識別和計算，再進行自行審批或則是報告相關風險監督控制委員會來進行審批，同時，要針對這一情況出具貸款授權書或者限額管理的相關意見。第四，業務部門的人員要針對客戶經理的業務報告進行重點的審查，同時，還要審查風險管理工作人員出具的財務報告分析，以及相應授信額度的實際執行情況或者是日常授信審核等。
4.建立風險預警和風險補償機制
操作風險是由于內部系統不完善的操作或者外部因素導致的直接風險或者間接風險，會給金融機構帶來一定負面的不利的影響。金融投資操作風險可表述為人為失誤、不完善的程序控制等因素導致金融投資的某種損失風險眭。金融投資的操作風險特點如下。首先，風險涉及面廣。金融投資其風險貫穿投資操作的各個階段，稍有不慎都有可能引起操作風險。所以，用相同的方法一成不變地應對各個金融領域中可能出現的操作風險，這種想法是不現實的。其次，操作風險具有隨意性，很難被控制。會導致操作風險產生的方式多種多樣，這無疑增加了投資者在投資過程中對于操作風險的控制難度。只要有投資機構或是投資人員的存在，就有可能導致操作風險的出現，尤其是業務規模大、交易量大、結構變化迅速的業務領域，出現操作風險的因素更加多，更加難以對操作風險進行控制。
二、金融投資操作風險分類
第一，人為操作風險。操作風險很多時候都是人為因素所致，金融投資市場其環境是非常復雜的，因此在投資操作過程中作為投資主體必須具備極高的專業素養，這樣才能減小操作風險。金融操作風險是貫穿于整個投資過程當中的，投資者可能因某個階段操作有誤或考慮不全而隨時導致風險的產生。金融投資的操作是需要依靠人類這個主體來完成的，這一主體是具有其自身主觀思維的，作為金融投資操作者由于個人素養的差異，難免會產生一些錯誤，從而導致了操作風險的產生。這類風險的存在雖然比較普遍，但在一定程度上也是可以進行控制和管理的，只有減少人為因素導致的操作風險才能更好進行金融投資操作的風險管理!第二，內部操作風險。金融投資市場環境是極其復雜的，各金融投資機構相互關聯，其內部管理的不合理I生很可能導致操作風險性的形成。一旦金融投資機構業務操作速率過低，這肯定會導致金融投資的內部操作風險陛增大，造成巨大的損失。同時，金融投資機構的硬件設施如果不能滿足投資業技術要求，或是應用軟件等基礎設施太過陳舊，這都不利于金融信息的準確快速獲取，對于金融投資者來說及時準確的信息是至關重要的，這些硬件設施的不完善，都會增大技術風險存在的可能性。內部操作風險是與金融機構內部控制密切相關的，金融投資市場復雜性以及其內部管理的不合理性都可能產生內部操作風險，從而致使金融投資操作風險的產生，為了維護金融投資市場的穩定秩序，就應該加強對金融機構的管理，減小內部操作風險!第三，市場風險。在金融市場中，價格轉變是非常常見的現象，所以投資者遇到市場風險其實是一種很常見的風險。金融投資過程中常常會遇到投資重組的情況，導致投資者的資金變現困難，使投資者所持有的流動資金沒有辦法進行正常的支付。這種隋況下很容易造成金融產品價格波動，從而導致市場價格的波動誘發市場風險。市場風險無疑加大投資者進行投資操作的風險，要想更好的管理金融投資的操作風險就必須更好的進行市場風險的控制。第四，信用風險。信用風險又稱違約風險，和市場風險一樣，也是金融市場中很常見的一種風險，主要是交易對方未能完成自己的義務導致的一種違約行為，所承擔的風險。信用風險也可能因為債券持有發行人沒有按照規定支付到期款而引發的金融投資資產損失的風險。隨著我國金融市場的完善和發展，金融投資產品的不斷豐富，加大了信用風險產生的可能性，從而誘發金融投資風險，只有減小信用風險的產生，才能更好的進行投資操作風險的管理。
三、金融投資的操作風險管理措施
第一，加強金融投資的操作風險管理要提高職員的素質。金融機構要積極引進高素質的人才，擴大“高、精、尖”人才的吸收途徑。金融風險產生的很大一個因素就是人為原因，因此要培養員工的專業技能，提高員工的工作素質。對于已就職的員工，要定期進行技能培訓，通過培訓可以樹立員工的金融風險意識，增強員工的責任感，可以使員工嚴于律己，減少員工在工作中的失誤，從而推動金融投資操作風險的管理。員工之間要共同學習，相互促進，共同進步，提高員工之間的合作協助能力，促進員工互相交換知識見解，盡量減少操作風險的出現。通過培訓還可以倡導員工愛崗敬業。金融機構也要培養良好的工作環境，積極加強金融投資風險管理的宣傳，把風險管理的觀念和意識慢慢滲透到員工當中，調動員工的工作積極性。第二，完善內部管理。在金融投資過程中，要想減小操作風險，完善的內部管理制度是非常重要的。金融投資機構需要將各部門相關職責具體化，以此來提高金融投資機構操作速率，并根據各金融機構的特點制定出詳細的監管條例和相應的懲罰制度，來規范操作行為減小金融投資過程中的操作風險。金融機構要建立健全完善的金融風險管理制度，來促進風險管理工作的良性健康穩定發展。金融機構還要建立風險預警機制，不僅要做好規避風險的事前工作，當風險出現時，也要及時有應急預案。通過完善健全的風險管理制度，保證各個部門之間相互監督相互制約，加強了金融操作的管理，減少了操作風險出現的機率。第三，規范操作流程，提高信息技術水平。操作風險存在于金融投資的整個過程，標準規范化的操作流程可降低操作風險發生的可能性。標準規范的操作流程應涉及到投資機構的每一個部門，深入到每一項投資決策，投資管理部門應當制定周密的投資計劃，做到投資決策的標準化、規范化，盡量減小投資風險。要嚴格要求金融投資人員的操作手法，降低內部操作風險發生的可能性，降低操作風險為金融投資帶來的危害。第四，明確風險管理的目標，做好風險評估。為了有效應對市場風險，減小投資操作風險的可能性，工作人員可根據金融機構的特點為風險管理建立一個范疇以及目標，并且可制定一些短期的具體目標，以確保風險管理的工作可以穩定的發展。如建立一個詳細損失事件報告制度，針對風險采取連續的檢測并定期進行報告的方式，可以有效的檢測出操作風險管理的需求，持續的檢測為分析操作風險積累可參考數據，分析單獨的損失事件和風險的過程以及資源的分配，以此來確定特定損失的原因以及相互之間的關聯，從而得出關鍵的風險因素。同時，在投資操作過程中參投人員可針對風險進行評估，了解損失事件產生的概率，找出潛在操作風險，明確重要風險。
四、結語
現代金融機構所面臨的風險主要有：市場風險、信用風險、操作風險和其它風險，其中最主要的是市場風險和信用風險。對這些風險的控制主要是通過以下三大基本因素實現的：(1)董事會確定總體的風險管理原則和基本的控制戰略；（2）確定風險管理的組織構架和體系;(3)指定風險管理的一整套政策和程序;(4)運用風險管理的技術監測工具。因為風險管理技術的專門性，我們將不在此進行討論。
在具體的運作過程中，現代金融機構控制風險的基本措施是：分散化、交易限額、信貸限額，即通過對其產品、交易伙伴、業務活動領域的分散化降低風險;通過為每種產品、每一交易單位設置交易限額，為每一交易伙伴制定信貸限額以規避各種風險。金融機構根據各項業務的獲利能力、市場機會、公司的長期戰略定期調整各業務、各部門間的資本配置，力圖使獲取給定收益的風險最小化。
一董事會對總體風險管理理念和基本風險管戰略的確定
總體上說，董事會對金融機構承受的風險承擔最終責任和義務，因此應負起監控職能。公司整體的風險管理及控制政策應由董事會審批，為保證戰略和政策得到遵守并保持適應性，決策機構應通過獨立的風險管理部門和獨立的內部審計部門進行實施和評估。
（一）風險管理基本原則的確定
一般來說，金融機構的董事會首先要根據自身的市場定位確定風險管理的基本理念和原則，并要求風險管理委員會和相應的風險管理部門積極予以落實。
我們可以簡要地比較美林和摩根等公司的風險管理原則。
1美林公司的風險管理原則
在美林公司，盡管風險管理的方法和策略一變再變，但以下述6個原則為基礎的基本理念卻幾乎沒變。這主要包括：任何風險規避方案中，最重要的工具是經驗、判斷和不斷的溝通；必須不斷地在整個公司內部強化紀律和風險意識；管理人員必須以清晰和簡潔的語句告誡下屬：在資本運營中哪些可以做，哪些不可以做；風險管理必須考慮非預期的事件，探索潛在的問題，檢測不足之處，協助識別可能的損失；風險管理策略必須具備靈活性，以適應不斷變化的環境；風險管理的主要目標必須是減少難以承受的損失的可能性。這樣的損失通常源自無法預計的事件，大部分的統計和模型式的風險管理方法無法預計。
在過去幾年，用數學模型來測量市場風險已成為世界范圍內眾多風險管理的要點，風險管理幾乎成了風險測量的同義詞。美林公司認為，數學風險模型的使用只能增加可靠性，但不能提供保證，因此，對這些數學模型的依賴是有限的。
事實上，由于數學風險模型不能精確地量化重大的金融事件，所以，美林公司只將其作為其他風險管理工作的補充。
總的來講，美林公司認為，一個產品的主要風險不是產品本身，而是產品管理的方式。違反紀律或在監管上的失誤可導致損失，而不論產品為何或使用何種數學模型。
2摩根公司的風險管理原則
摩根斯坦利則認為，風險是金融機構業務固有特性，與金融機構相伴而生。金融機構在經營活動中會涉及各種各樣的風險，如何恰當而有效地識別、評價、檢測和控制每一種風險，對其經營業績和長期發展關系重大。公司的風險管理是一個多方面的問題，是一個與有關的專業產品和市場不斷地進行信息交流，并作出評價的獨立監管過程。
應當說，這些基本的風險管理原則既是其長期進行風險管理的經驗的總結，也是其實施風險管理的基本知指導原則，在整個風險管理體系中占有十分重要的地位。
（二）確定風險管理的基本程序
董事會制定風險管理及控制戰略的第一步是，根據預定的風險管理原則，并根據風險對資本比例情況，對公司業務活動及其帶來的風險進行分析。在上述分析的基礎上，要規定每一種主要業務或產品的風險數量限額，批準業務的具體范圍，并應有充足的資本加以支持。此后，應對業務和風險不斷進行常規檢查，并根據業務和市場的變化對戰略進行定期重新評估，并將結論應直接報告決策層。
在識別風險和確定了抵御風險的總體戰略后，公司就可以制定用于日常和長期業務操作的詳細而具體的指引。為此，風險管理的政策和程序中應包括，風險管理及控制過程中的權力及遵守風險政策的責任，有效的內部會計控制，內部和外部審計等。如果公司較大較復雜，則需要建立集中、自主的風險管理部門。就風險管理和控制部門而言，最重要的是配備適當的專業人員、并獨立于產生風險的部門。
因為控制結構的有效性取決于運用它的人，因此，有效控制的前提是機構內所有員工都具有高度的責任。在確定風險管理及控制過程的權力和責任時，一個重要的因素應是將風險的衡量、監督和控制與產生風險的交易部門分開。高級管理層應保證職責適當分開，員工的責任不應互相沖突。
二金融機構風險管理架構的比較
(一)金融機構風險管理的基本架構
現代金融機構因其業務的偏重點不同而具有不同的風險管理體系，但其基本構架都大同小異。一般來說，金融機構設有"風險管理委員會"集中統一管理和控制公司的總體風險及其結構。"風險管理委員會"直接隸屬于公司董事會，其成員包括：執行總裁、全球股票部主任、全球固定收入證券部主任、各地區高級經理、財務總監、信貸部主任、全球風險經理以及一些熟悉、精通風險管理的專家等，下面直屬不同形式的風險管理部門來實施風險管理委員會的戰略和要求。
同時，金融機構應具備風險管理及控制的報告和評估程序，包括檢查現行政策和程序執行報告和發現例外情況的制度。一般來說，風險暴露以及盈虧情況應每日向負責監控風險的管理層報告，后者應簡要向負責公司日常業務的高級管理層匯報。另外，金融機構要對風險戰略、政策和程序的評估應該定期開展，評估應考慮到現行政策的結果、業務以及市場的變化。風險管理及控制政策的方法、模型和假設的變更應由決策層審核。政策和程序應要求風險管理及控制部門參與對新產品和業務的考察。
"風險管理委員會"的主要職責是：設計或修正公司的風險管理政策和程序，簽發風險管理準則;規劃各部門的風險限額，審批限額豁免;評估并監控各種風險暴露，使總體風險水平、結構與公司總體方針相一致;在必要時調整公司的總體風險管理目標。"風險管理委員會"直接向董事會報告，它每周開一次例會(需要時可隨時召集)討論主要市場的風險暴露、信貸暴露與其它各種頭寸，研究潛在的新交易、新頭寸以及風險豁免等問題。
"風險管理委員會"下設不同形式的、分離或者整合的風險管理部門（如分別設立市場風險管理部門、信用風險管理部門等，或者整合為一個完整的風險管理部），他們均獨立于公司的其它業務部門。市場風險管理部門負責監管公司在全球范圍內的市場風險結構(包括各地區、各部門、各產品的市場風險);信用風險管理部門負責監管公司在全球范圍內的各業務伙伴的暴露額度;審計部通過定期檢查公司有關業務和經營狀況，評估公司的經營和控制環境。
金融機構的風險管理采用多層制，除了"風險管理委員會"及其市場風險管理部門、信用風險管理部門、審計部外，其它如融資部、財務部、信息技術部以及各業務部的部門風險經理均參與風險的確認、評估和控制，并接受風險管理部的監督和評估、考核。這些部門的經理及代表每隔一周開一次例會(需要時可隨時召集)以求溝通信息、交流經驗、正確評估風險、調險管理政策。
以下是對美林等幾家公司的比較。
（一）美林公司的風險管理架構
為了在基層交易部門強化風險管理機制，美林公司制定了公司風險控制策略和操作規程，要求相關的區域機構和單位在識別、評價和控制風險時予以遵循。
這些策略和操作規程的實施涉及許多部門，包括全球風險管理部、公司信貸部和其他的控制部門（比如財務、審計、經營以及法律和協調部門）。為了協調上述風險管理部門的工作，公司還成立了由風險管理部、公司信貸部和控制部門高級管理人員組成的風險控制和儲備委員會，該委員會在風險管理過程中發揮著重要的監督作用。
風險控制委員會和風險管理部對所有的機構交易活動進行總的風險監督。風險控制委員會獨立于美林的交易部門，定期向公司董事會下屬的審計和財務委員會匯報風險管理的狀況。
儲備委員會監測與資產和負債有關的價值和風險。美林公司針對那些可能導致現存資產價值損失或帶來新的負債的事件，確定在目前形勢下使公司資產和負債保持平衡的儲備水平。儲備委員會通常由主要的財務官員任主席，主要負責考察和批準整個公司的儲備水平和儲備方法的變化。儲備委員會每月開會一次，考察當時的市場狀況，并對某些問題采取行動。美林公司在決定儲備水平時會考慮管理層在下述方面的意見（Ⅰ）風險和暴露的識別；（Ⅱ）風險管理原則；（Ⅲ）時效、集中度和流動性。
（二）摩根斯坦利的風險管理架構
摩根公司的高級管理人員在風險管理過程中發揮重要的作用，并通過制定相應的風險管理策略和規程予以保障，以便在對各種各樣的風險進行識別、評估和控制過程中，提供管理和業務方面的支持。隨著對不斷變化的和復雜化的全球金融服務業務認識的提高，公司不斷地檢討風險管理策略和操作規程，以使其不斷完善。
公司的風險管理委員會，由公司大部分高級管理人員組成，負責制定整個公司風險管理的策略及考察與這些策略相關的公司業績。風險管理委員會下設幾個專門風險管理委員會，以幫助其實施對公司風險活動的檢測和考察。除此之外，這些風險管理委員會還考察與公司的市場和信用風險狀況、總的銷售策略、消費貸款定價、儲備充足度和合法實施能力以及經營和系統風險有關的總體框架、層次和檢測規程。會計主任、司庫、法律、協調和政府事務部門及市場風險部門，都獨立于公司業務部門，協助高級管理人員和風險管理委員會對公司風險狀況進行檢測和控制。另外，公司的內部審計部門也向高級管理人員匯報，并通過對業務運營領域的考察，對公司的經營和控制環境進行評價。公司經常在每一個管理和業務領域，聘用具有適當經驗的專家，以有效地實施公司的風險管理監測系統和操作規程。
三對主要類型的風險的管理戰略
金融機構風險管理主要涉及市場風險、信用風險和其他風險的管理，同時針對不同的風險的特點，確定不同的實施方案和管理戰略。
（一）主要的風險類型
1市場風險
市場風險是指因市場波動而使得投資者不能獲得預期收益的風險，包括價格或利率、匯率因經濟原因而產生的不利波動。除股票、利率、匯率和商品價格的波動帶來的不利影響外，市場風險還包括融券成本風險、股息風險和關聯風險。
美國奧蘭治縣（ORANGECOUNTRY）的破產突出說明了市場風險的危害。該縣司庫將"奧蘭治縣投資組合"大量投資于所謂"結構性債券"和"逆浮動利率產品"等衍生性證券，在利率上升時，衍生產品的收益和這些證券的市場價值隨之下降，從而導致奧蘭治縣投資組合出現17億美元的虧損。GIBSON公司由于預計利率下降，購買了大量利率衍生產品而面臨類似的市場風險。當利率上浮時，該公司因此損失了2000萬美元。同樣，寶潔公司（Procter&Gamble）參與了與德國和美國利率相連的利率衍生工具交易，當兩國的利率上升高于合約規定的跨欄利率時（要求寶潔公司按高于商業票據利率1412基點的利率支付），這些杠桿式衍生工具成為公司承重的負擔。在沖抵這些合約后，該公司虧損1.57億美元。
2信用風險
信用風險是指合同的一方不履行義務的可能性，包括貸款、掉期、期權及在結算過程中的交易對手違約帶來損失的風險。金融機構簽定貸款協議、場外交易合同和授信時，將面臨信用風險。通過風險管理控制以及要求對手保持足夠的抵押品、支付保證金和在合同中規定凈額結算條款等程序，可以最大限度降低信用風險。
近來，信用風險問題在許多美國銀行中開始突出起來，根據1998年1月的報告，其季度財務狀況已因環太平洋地區的經濟危機而受影響。例如，由于亞洲金融風暴，JP摩根（JPMORGEN）將其約6億美元的貸款劃為不良貸款,該行97年第四季度的每股盈利為1.33美元，比上年的2.04美元下降35%，低于市場預期的每股收益1.57美元。
3操作風險
操作風險是指因交易或管理系統操作不當引致損失的風險，包括因公司內部失控而產生的風險。公司內部失控的表現包括，超過風險限額而未經察覺、越權交易、交易或后臺部門的欺詐（包括帳簿和交易記錄不完整，缺乏基本的內部會計控制）、職員的不熟練以及不穩定并易于進入的電腦系統等。
1995年2月巴林銀行的倒閉突出說明了操作風險管理及控制的重要性。英國銀行監管委員會認為，巴林銀行倒閉的原因是新加坡巴林期貨公司的一名職員越權、隱瞞的衍生工具交易帶來的巨額虧損，而管理層對此卻無絲毫察覺。該交易員同時兼任不受監督的期貨交易、結算負責人的雙重角色。巴林銀行未能對該交易員的業務進行獨立監督，以及未將前臺和后臺職能分離等，正是這些操作風險導致了巨大損失并最終毀滅了巴林銀行。
類似的管理不善導致日本大和銀行在債券市場上遭受了更大損失。1995年人們發現，大和銀行的一名債券交易員因能接觸公司會計帳簿而隱瞞了約1億美元的虧損。與巴林銀行一樣，大和的這名交易員同時負責交易和會計。這兩家銀行都均違背了風險管理的一條基本準則，即將交易職能和支持性職能分開。
操作風險的另一案例是Kidder，Peabody公司的虛假利潤案。1994年春，KIDDER確認，該公司一名交易員買賣政府債券獲得的約3.5億美元"利潤"源于對公司交易和會計系統的操縱，是根本不存在的。這一事件迫使Kidder公司將資產售予競爭對手并最終清盤。
操作風險可以通過正確的管理程序得到控制，如：完整的帳簿和交易記錄，基本的內部控制和獨立的風險管理，強有力的內部審計部門（獨立于交易和收益產生部門〕，清晰的人事限制和風險管理及控制政策。如果管理層監控得當，并采取分離后臺和交易職能的基本風險控制措施，巴林和大和銀行的損失也許不會發生，至少損失可以大大減少。這些財務失敗說明了維持適當風險管理及控制的重要性。
（二）對市場風險的管理策略
金融機構維持合適的頭寸，利用利率敏感性金融工具進行交易，都要面對利率風險（比如：利率水平或波動率的變化、抵押貸款預付期長短和公司債券和新興市場資信差異都可帶來風險）；在外匯和外匯期權市場做市商或維持一定外匯頭寸，要面對外匯風險，等等。在整個風險管理框架中，市場風險管理部門作為風險管理委員會下屬的一個執行部門，全面負責整個公司的市場風險管理及控制并直接向執行總裁報告工作。該部在重點業務地區設有多個國際辦公室，這些辦公室均實行矩陣負責制。它們除了向全球風險經理報告工作外，還要向當地上一級非交易管理部門報告工作。
市場風險管理部門負責撰寫和報送風險報告，制定和實施全公司的市場風險管理大綱。風險管理大綱向各業務單位、交易柜臺經風險管理委員會審批的風險限額，并以此為參照對執行狀況進行評估、監督和管理;同時報告風險限制例外的特殊豁免，確認和公布管理當局的有關監管規定。這一風險管理大綱為金融機構的風險管理決策提供了一個清晰的框架。
市場風險管理部門定期對各業務單位進行風險評估。整個風險評估的過程是在全球風險經理領導下由市場風險管理部門、各業務單位的高級交易員和風險經理共同合作完成的。由于其他高級交易員的參與，風險評估本身為公司的風險管理模式和方法提供了指引方向。
為了正確評估各種市場風險，市場風險管理部門需要確認和計量各種市場風險暴露。金融機構的市場風險測量是從確認相關市場風險因素開始的，這些風險因素隨不同地區、不同市場而異。例如，在固定收入證券市場，風險因素包括利率、收益曲線斜率、信貸差和利率波動;在股票市場，風險因素則包括股票指數暴露、股價波動和股票指數差;在外匯市場，風險因素主要是匯率和匯率波動;對于商品市場，風險因素則包括價格水平、價格差和價格波動。金融機構既需要確認某一具體交易的風險因素，也要確定其作為一個整體的有關風險因素。
市場風險管理部門不僅負責對各種市場風險暴露進行計量和評估，而且要負責制定風險確認、評估的標準和方法并報全球風險經理審批。確認和計量風險的方法有：VAR分析法、應力分析法、場景分析法。
根據所確認和計量的風險暴露，市場風險管理部門分別為其制定風險限額，該風險限額隨交易水平變化而變化。同時，市場風險管理部門與財務部合作為各業務單位制定適量的限額。通過與高級風險經理協商交流，市場風險管理部門力求使這些限額與公司總體風險管理目標一致。
1美林公司的市場風險管理策略
美林公司市場風險管理過程包含了下述三個要素：（i）溝通；（ii）控制和指導；（iii）風險技術。
風險管理按地理區域和產品線組織，以確保某一特定的區域或某一產品交易范圍內的風險管理人員能進行經常和直接的溝通。同時，風險管理部門應與高級的交易經理進行定期和正式的風險研討。
為了彌補基層交易部門風險規避技術的不足，公司風險管理部門制定了一些規范和準則，包括交易限額，超過限額必須提前得到批準。另外，作為新的金融產品檢測過程的一部分，新的金融產品交易要由風險管理部門和來自其他控制單位的代表批準。某些業務，比如高收益證券和新興市場的證券承銷、不動產融資、臨時貸款等，在向客戶作出承諾前，需要事先得到風險管理和其他控制部門的批準。風險管理部門有權要求減少某一特定的柜臺交易風險暴露頭寸或取消計劃的交易。
風險管理使用幾種風險技術工具，包括風險數據庫、交易限額監視系統、交易系統通道和敏感性模擬系統。風險數據庫每日按產品、資信度和國別等提供庫存證券風險暴露頭寸的合計數和總數。交易限額檢測系統使風險管理部門能及時檢查交易行為是否符合已建立的交易限額。交易系統通道允許風險管理部門去檢測交易頭寸，并進行計算機分析。
敏感性模擬系統用來估算市場波動不大和劇烈波動兩種情形下的損益。每一次測算時僅考慮一個重要風險因素，比如利率、匯率、證券和商品價格、信貸利差等，同時假設其他因素不變。以此為基礎，風險管理部門可以檢測到整個公司的市場風險，并根據需要調整投資組合。
2摩根斯坦利的市場風險管理策略
公司利用各種各樣的風險規避方法來管理它的頭寸，包括風險暴露頭寸分散化、對有關證券和金融工具頭寸的買賣、種類繁多的金融衍生品（包括互換、期貨、期權和遠期交易）的運用。公司在全球范圍內按交易部門和產品單位來管理與整個公司交易活動有關的市場風險。公司按如下方式管理和檢測其市場風險：建立一個交易組合，使其足以將市場風險因素分散；整個公司和每一個交易部門均有交易指南和限額，并按交易區域分配到該區域交易部門和交易柜臺；交易部門風險經理、柜臺風險經理和市場風險部門都檢測市場風險相對于限額的大小，并將主要的市場和頭寸變化報告給高級管理人員。
市場風險部門使用Value-at-Risk和其他定量和定性測量和分析工具，根據市場風險規律，獨立地檢查公司的交易組合。公司使用利率敏感性、波動率和時間滯后測量等工具，來估測市場風險，評估頭寸對市場形勢變化的敏感性。交易部門風險經理、柜臺風險經理和市場風險部門定期地使用敏感性模擬系統，檢測某一市場因素變化對現存的產品組合值的影響。
（三）信用風險的管理策略
信用風險管理是金融機構整體風險管理構架中不可分割的組成部分，它由風險管理委員會下設的信用風險管理部門全面負責。信用風險管理部門直接向全球風險經理負責，全球風險經理再依次向執行總裁報告。信用風險管理部門通過專業化的評估、限額審批、監督等在全球范圍內實施信貸調節和管理。在考察信用風險時，信用風險管理部門要對風險和收益間的關系進行平衡，對實際和潛在的信貸暴露進行預測。為了在全球范圍內對信用風險進行優化管理，信用風險管理部門建立有各種信用風險管理政策和控制程序，這些政策和程序包括：
(1)對最主要的潛在信貸暴露建立內部指引，由信用風險管理部門總經理監督。
(2)實行初始信貸審批制，不合規定的交易要由信用風險管理部門指定成員審批才能執行。
(3)實行信貸限額制，每天對各種交易進行監控以免超過限額。
(4)針對抵押、交叉違約、抵消權、擔保、突發事件風險合約等訂立特定的協議條款。
(5)為融資活動和擔保合約承諾建立抵押標準。
(6)對潛在暴露（尤其是衍生品交易的）進行定期分析。
(7)對各種信貸組合進行場景分析以評估市場變量的靈敏性。
(8)通過經濟、政治發展的有關分析對風險進行定期評估。
(9)和全球風險經理一起對儲存時間較長、規模龐大的庫存頭寸進行專門評估和監督。
美林公司通過制定策略和操作規程以避免信用風險損失，包括確立和檢測信用風險暴露限額及與某一訂約方或客戶交易額限額、在信用危機中取得收繳和保留抵押品或終止交易以及對訂約另一方和客戶不斷地進行信用評價的權利。業務部門有責任與公司制定的策略和操作規程保持一致，并受到公司信貸部門的監督。公司信貸部門實行集中分區管理。信貸負責人分析和確定訂約另一方或客戶的資信狀況，按訂約方或客戶設立初始或當前的信貸限額，提議信用儲備，管理信用風險暴露頭寸和參與新的金融產品的檢測過程。
許多類型交易包括衍生品和辛迪加貸款要提前報請公司信貸部門批準。公司信貸部門所能審批的交易數量是有限的，限額視該項交易的風險程度和相關客戶的資信度確定，超過此限額，須上報公司信貸委員會批準。
借助信用系統手工和自動記錄的信息，公司信貸部門能檢測信用風險暴露頭寸在訂約另一方/客戶、產品和國別的集中度。這一系統能按訂約另一方或客戶累計信用風險暴露頭寸，維持整個訂約方/客戶和某一產品的風險暴露限額，并按訂約另一方或客戶識別限額檢測數據。整個公司庫存頭寸和已執行交易的詳細信息，包括現在和潛在的信用風險暴露頭寸信息會不斷地更新，并不斷地與限額相比較。如果需要，可增加抵押貸款數額，以減少信用風險暴露頭寸，并記錄在信用系統中。
公司信貸部門與業務部門一起設計和完善信用風險測度模型，并且分析復雜的衍生品交易的信用風險暴露頭寸。公司信貸部門還檢測與公司零售客戶業務有關的信用風險暴露頭寸，包括抵押品和住宅證券化額度、客戶保證金帳戶資金數額等。
集中度風險可以視為信用風險中的一個重要類型。集中度風險，即金融機構業務對單一收入、產品和市場的依賴風險。美林公司定期檢測集中度風險，并通過實施其分散化的經營戰略和計劃來減少此風險。最近，美林公司已將其全球的收入來源分散化，從而減少了公司收入對單一金融產品、客戶群或市場的依賴。
雷曼兄弟公司通過產品、客戶分散化和交易活動在地區分布的分散化，以圖實現減少風險的目標。為此，公司合理地分配每類業務資金的使用額，為每類產品和交易者制定交易限額，并對上述額度做地域上的合理分配。公司根據每一類業務的風險特性，尋求相應的回報。根據與公司指南相一致的收益獲得能力、市場機會和公司的長期戰略，公司定期地重新分配每一業務的資金用量。
（四）操作風險的管理策略
作為金融服務的中介機構，金融機構直接面臨市場風險和信用風險暴露，它們均產生于正常的活動過程中。除市場風險和信用風險外，金融機構還將面臨非直接的與營運、事務、后勤有關的風險，這些風險可歸于操作風險。
在一個飛速發展和愈來愈全球化的環境中，當市場中的交易量、產品數目擴大、復雜程度提高時，發生這種風險的可能性呈上升趨勢。這些風險包括：經營/結算風險、技術風險、法律/文件風險、財務控制風險等。它們大多是彼此相關的，所以金融機構監控這些風險的行動、措施也是綜合性的。金融機構一般由行政總監負責監察公司的全球性操作和技術風險。行政總監通過優化全球信息系統和數據庫實施各種長期性的戰略措施以加強操作風險的監控。一般的防范措施包括：支持公司業務向多實體化、多貨幣化、多時區化發展;改善復雜的跨實體交易的控制。促進技術、操作程序的標準化，提高資源的替代性利用;消除多余的地區請求原則;降低技術、操作成本，有效地滿足市場和監管變動的需要，使公司總體操作風險控制在最合適的范圍。
美林公司采取多種方式管理它的操作風險，包括一個維持支持系統、使用相關技術和雇傭有經驗的專家。美林公司借助信息系統提供的對主要市場操作風險的評價信息，能對世界范圍內不斷變化的市場環境立即作出反應。內部管理信息報告使得高級管理人員能有效地識別潛在的風險，控制風險暴露頭寸，并促使眾多的內部管理策略和規章彼此相協調。有經驗的業務人員應對交易、結算和清算業務提供支持和控制，對客戶及其資產行使監管，并且單獨向高級管理人員報告。
因此，在現代金融市場的競爭中，西方主要的金融機構之所以能夠獲得良好的經營成果，其相對完善的風險管理體系的有效有效運行是一個關鍵性的因素，這主要包括：董事會確立了恰當的風險管理原則和戰略；具有獨立有效的風險管理框架；擁有全面系統、嚴格而又靈活的風險管理政策和程序，并積極開發強調的風險管理技術工具，而且培養了一大批高素質的專業人才隊伍，這既是一個良好的風險管理體系的主要環節，也是值得當前我國的金融機構借鑒的重要內容。
主要參考文獻
AnthonySaunders,CreditRiskMeasurement,JohnWileyandSons,1999.
許建華，《國外金融機構風險管理模式和方法》，載《證券市場導報》2000年。
證監會國際組織技術委員會報告，《金融機構及其監管當局風險管理與控制指引》（征求意見稿），中國證監會網站。
隨著寬帶網絡和用戶規模的不斷增長，用戶對寬帶接入業務的高可用性要求不斷增強，對電信運營商在IP城域、接入網絡和支撐系統提出了更高的安全性要求。本文從信息安全管理的理念、方法學和相關技術入手，結合電信IP城域網，提出電信IP城域網安全管理、風險評估和加固的實踐方法建議。
關鍵字（Keywords）：
安全管理、風險、弱點、評估、城域網、IP、AAA、DNS
1信息安全管理概述
普遍意義上，對信息安全的定義是“保護信息系統和信息，防止其因為偶然或惡意侵犯而導致信息的破壞、更改和泄漏，保證信息系統能夠連續、可靠、正常的運行”。所以說信息安全應該理解為一個動態的管理過程，通過一系列的安全管理活動來保證信息和信息系統的安全需求得到持續滿足。這些安全需求包括“保密性”、“完整性”、“可用性”、“防抵賴性”、“可追溯性”和“真實性”等。
信息安全管理的本質，可以看作是動態地對信息安全風險的管理，即要實現對信息和信息系統的風險進行有效管理和控制。標準ISO15408－1（信息安全風險管理和評估規則），給出了一個非常經典的信息安全風險管理模型，如下圖一所示：
圖一信息安全風險管理模型
既然信息安全是一個管理過程，則對PDCA模型有適用性，結合信息安全管理相關標準BS7799(ISO17799),信息安全管理過程就是PLAN-DO-CHECK-ACT（計劃－實施與部署－監控與評估－維護和改進）的循環過程。
圖二信息安全體系的“PDCA”管理模型
2建立信息安全管理體系的主要步驟
如圖二所示，在PLAN階段，就需要遵照BS7799等相關標準、結合企業信息系統實際情況，建設適合于自身的ISMS信息安全管理體系，ISMS的構建包含以下主要步驟：
（1）確定ISMS的范疇和安全邊界
（2）在范疇內定義信息安全策略、方針和指南
（3）對范疇內的相關信息和信息系統進行風險評估
a)Planning（規劃）
b)InformationGathering（信息搜集）
c)RiskAnalysis（風險分析）
uAssetsIdentification&valuation(資產鑒別與資產評估)
uThreatAnalysis（威脅分析）
uVulnerabilityAnalysis（弱點分析）
u資產/威脅/弱點的映射表
uImpact&LikelihoodAssessment（影響和可能性評估）
uRiskResultAnalysis（風險結果分析）
d)Identifying&SelectingSafeguards（鑒別和選擇防護措施）
e)Monitoring&Implementation（監控和實施）
f)Effectestimation（效果檢查與評估）
（4）實施和運營初步的ISMS體系
（5）對ISMS運營的過程和效果進行監控
（6）在運營中對ISMS進行不斷優化
3IP寬帶網絡安全風險管理主要實踐步驟
目前，寬帶IP網絡所接入的客戶對網絡可用性和自身信息系統的安全性需求越來越高，且IP寬帶網絡及客戶所處的信息安全環境和所面臨的主要安全威脅又在不斷變化。IP寬帶網絡的運營者意識到有必要對IP寬帶網絡進行系統的安全管理，以使得能夠動態的了解、管理和控制各種可能存在的安全風險。
由于網絡運營者目前對于信息安全管理還缺乏相應的管理經驗和人才隊伍，所以一般采用信息安全咨詢外包的方式來建立IP寬帶網絡的信息安全管理體系。此類咨詢項目一般按照以下幾個階段，進行項目實踐：
3.1項目準備階段。
a)主要搜集和分析與項目相關的背景信息；
b)和客戶溝通并明確項目范圍、目標與藍圖；
c)建議并明確項目成員組成和分工；
d)對項目約束條件和風險進行聲明；
e)對客戶領導和項目成員進行意識、知識或工具培訓；
f)匯報項目進度計劃并獲得客戶領導批準等。
3.2項目執行階段。
a)在項目范圍內進行安全域劃分；
b)分安全域進行資料搜集和訪談，包括用戶規模、用戶分布、網絡結構、路由協議與策略、認證協議與策略、DNS服務策略、相關主機和數據庫配置信息、機房和環境安全條件、已有的安全防護措施、曾經發生過的安全事件信息等；
c)在各個安全域進行資產鑒別、價值分析、威脅分析、弱點分析、可能性分析和影響分析，形成資產表、威脅評估表、風險評估表和風險關系映射表；
d)對存在的主要風險進行風險等級綜合評價，并按照重要次序，給出相應的防護措施選擇和風險處置建議。
3.3項目總結階段
a)項目中產生的策略、指南等文檔進行審核和批準；
b)對項目資產鑒別報告、風險分析報告進行審核和批準；
c)對需要進行的相關風險處置建議進行項目安排；
4IP寬帶網絡安全風險管理實踐要點分析
運營商IP寬帶網絡和常見的針對以主機為核心的IT系統的安全風險管理不同，其覆蓋的范圍和影響因素有很大差異性。所以不能直接套用通用的風險管理的方法和資料。在項目執行的不同階段，需要特別注意以下要點：
4.1安全目標
充分保證自身IP寬帶網絡及相關管理支撐系統的安全性、保證客戶的業務可用性和質量。
4.2項目范疇
應該包含寬帶IP骨干網、IP城域網、IP接入網及接入網關設備、管理支撐系統：如網管系統、AAA平臺、DNS等。
4.3項目成員
應該得到運營商高層領導的明確支持，項目組長應該具備管理大型安全咨詢項目經驗的人承擔，且項目成員除了包含一些專業安全評估人員之外，還應該包含與寬帶IP相關的“業務與網絡規劃”、“設備與系統維護”、“業務管理”和“相關系統集成商和軟件開發商”人員。
4.4背景信息搜集：
背景信息搜集之前，應該對信息搜集對象進行分組，即分為IP骨干網小組、IP接入網小組、管理支撐系統小組等。分組搜集的信息應包含：
a)IP寬帶網絡總體架構
b)城域網結構和配置
c)接入網結構和配置
d)AAA平臺系統結構和配置
e)DNS系統結構和配置
f)相關主機和設備的軟硬件信息
g)相關業務操作規范、流程和接口
h)相關業務數據的生成、存儲和安全需求信息
i)已有的安全事故記錄
j)已有的安全產品和已經部署的安全控制措施
k)相關機房的物理環境信息
l)已有的安全管理策略、規定和指南
m)其它相關
4.5資產鑒別
資產鑒別應該自頂向下進行鑒別，必須具備層次性。最頂層可以將資產鑒別為城域網、接入網、AAA平臺、DNS平臺、網管系統等一級資產組；然后可以在一級資產組內，按照功能或地域進行劃分二級資產組，如AAA平臺一級資產組可以劃分為RADIUS組、DB組、計費組、網絡通信設備組等二級資產組；進一步可以針對各個二級資產組的每個設備進行更為細致的資產鑒別，鑒別其設備類型、地址配置、軟硬件配置等信息。
4.6威脅分析
威脅分析應該具有針對性，即按照不同的資產組進行針對性威脅分析。如針對IP城域網，其主要風險可能是：蠕蟲、P2P、路由攻擊、路由設備入侵等；而對于DNS或AAA平臺，其主要風險可能包括：主機病毒、后門程序、應用服務的DOS攻擊、主機入侵、數據庫攻擊、DNS釣魚等。
4.7威脅影響分析
是指對不同威脅其可能造成的危害進行評定，作為下一步是否采取或采取何種處置措施的參考依據。在威脅影響分析中應該充分參考運營商意見，尤其要充分考慮威脅發生后可能造成的社會影響和信譽影響。
4.8威脅可能性分析
是指某種威脅可能發生的概率，其發生概率評定非常困難，所以一般情況下都應該采用定性的分析方法，制定出一套評價規則，主要由運營商管理人員按照規則進行評價。
從法律上看，集團公司的從屬企業擁有獨立的法律人格，能夠以自己的名義從事經營活動，獨立地享有民事權利，承擔民事義務。從屬企業作為企業集團的一分子，其經濟行為要服從企業集團整體利益的需要，要接受母公司對其管理理念、原則、方法的干預和管控。集團管控通常有以下三種管控模式：
1.戰略管控型。母公司利用控股權支配從屬公司重大決策和經營活動，追求資本增值和區分戰略板塊、業務板塊的多元化發展。
2.財務管控型。母公司通過資本運營手段指導、監控從屬公司，對從屬公司的經營計劃和執行過程不過多關注，以實現財務目標為終極目的，以財務指標考核、控制為主要手段。
3.運營管控型。采用運營控制型管控模式的集團，對集團資源高度集中、企業經營活動的統一并優化。從戰略規劃到實施，從生產經營活動到業務管理，都要納入集團管控范圍。通過上述介紹，我們可以看出，運營管控型是最集權的管控模式，而財務管控型又是最分權的管控模式，而戰略管控型則介于兩者之間。隨著集團管控管理模式的不斷演變，有的集團又將戰略管控進一步細化為“戰略實施型”和“戰略指導型”，前者偏重于集權而后者偏重于分權。
二、組織架構和發展戰略風險管理
1.集團公司組織架構管控。組織架構包括集團公司的公司治理結構和內部部門機構設置。建立統一、合理、高效的組織架構體系是實現集團有效管理的關鍵，在管理控制體系中起著“骨架”的作用。組織架構設計與運行通常存在以下潛在風險：治理結構形同虛設，企業缺乏科學決策和良性運行機制，有可能導致經營失敗，難以實現公司戰略規劃；內部職能部門設計不合理、權責分配不合理，可能導致機構重疊、職能缺失、互相推脫、效率降低等問題。所以，集團公司必須建立有效的組織架構管理體系，并確保其行之有效地運行。主要手段如下：一是健全內部控制制度，完善治理結構。內部管控是一個系統工程，設立集團公司的公司治理體系，要從內部控制角度考慮建立一套相互分離、相互監督、相互制約的公司治理體系。要按照公司法和現代企業制度的要求，明確股東會、董事會、監事會和經理層的職責體系，制定完善的決策體系和議事規則，執行和監督職能相互分離、相互制衡。二是合理設置內部部門，分清職責。在部門內部運行過程中一經發現有存在職能重疊、缺失或運行低下的問題，要及時調整部門架構，通過制定公司組織架構圖、業務流程標準、部門職責說明、崗位說明書等手段，明確各部門、各崗位的工作職責，做到各司其職、權責明確。
2.集團公司的發展戰略管控。公司發展戰略是指企業根據企業自身情況對未來發展的定位和預測。集團公司要做到統一發展，必須要有共同的發展戰略，集團內各成員單位在共同的戰略指引下制定經營計劃，以確保集團整體戰略的實現。通常情況下，集團公司在董事會下設戰略委員會，負責公司的發展戰略制定工作。戰略委員會要綜合考慮宏觀經濟政策、國內外市場的變化趨勢、生產技術的發展趨勢以及競爭對手的情況，結合自身情況和資源，制定適合自己的、切實可行的發展戰略。董事會審議發展戰略后提交股東會批準實施。
三、集團公司的財務風險管理
財務是公司發展的命脈，因此，實行集團公司的集中管控必然要做到對財務的集中管控。隨著現代網絡及信息技術的發展，很多集團公司通過統一的信息平臺和財務共享中心實現對集團內單位的財務集中管控。建立統一的會計核算科目體系、統一的會計核算處理系統、財務報表合并系統、統一的現金管理平臺、預算管理體系、內部審計體系等。著名的GE公司（通用電氣公司）通過與銀行網銀支付系統對接的現金管理平臺，將子公司資金每日下班前定點上劃，集中大量資金利用北美與歐洲的時差進行“隔夜”資金運作，資金運作是按小時甚至分鐘計算的。這樣，產生了不小的資金利用收益。近年來，大型集團公司紛紛采用財務共享中心模式進行財務管控。它將不同國家、不同地域的子公司的會計核算及財務管理統一拿到總部進行，各子公司或分支機構作為一個財務管理平臺，僅需設專人負責票據的收集、掃描及上傳工作。這樣做的優勢：信息統一和集成；降低管理成本；提高經營效率；提升財務決策水平等。
四、集團公司對子公司的風險管理
關鍵詞：新匯制；涉外企業；匯率風險管理
2005年7月，中國開始實行以市場供求為基礎、參考一籃子貨幣進行調節、有管理的浮動匯率制度。這標志著我國的匯率改革進入了一個新階段，人民幣匯率制度改革后，匯率彈性已逐步顯現?？傮w上來看，匯改后人民幣對美元匯率持續呈現小幅上揚態勢，對歐元匯率略有下跌。2008年我國將會繼續完善人民幣匯率形成機制，增強匯率彈性，這意味著人民幣匯率波幅將進一步加大。對于從事涉外經營活動的經濟主體來說，匯率的不確定性加大了企業的決策難度，對企業的長期經營戰略產生影響，由此帶來的潛在市場風險不容低估。
一、涉外企業匯率風險管理中存在的問題
匯改后，一些涉外企業已經認識到匯率風險管理的重要性，開始尋求規避風險的措施，但整體來說，涉外企業在風險管理方面仍存在很多問題：
（一）涉外企業對匯率風險管理的認知不足，無法全面有效地防范匯率風險
管理人員對匯率風險管理的認知度決定著企業防范匯率風險的能力和水平。對于許多企業來說，匯率風險仍然是一個陌生的問題。長期以來人民幣匯率相對穩定，企業經營管理者對匯率風險了解甚少，面對新的匯率機制下日益顯現的匯率風險，大部分企業顯得束手無策。
金融衍生工具是規避匯率風險的重要手段，但很多企業對金融衍生工具的認知存在誤區，缺乏相應的風險承受能力，不愿意為防范匯率風險支付成本，運用金融衍生工具規避風險的積極性不高。還有些企業則把金融衍生工具當作一種贏利手段，以投機為目的，期望取得高額利潤，反而把自己置于更大的風險之中。
由于企業對匯率風險管理認識不足，缺乏匯率風險管理的知識和技巧，無法全面有效地防范所面臨的匯率風險。
（二）可供選擇的金融衍生避險工具較少，涉外企業防范風險的途徑有限
現階段我國的資本市場還不夠成熟，雖說各大商業銀行相繼推出了許多創新型的避險工具，但與發達國家相比，金融衍生工具仍然較少，加上很多套期保值的工具在基層金融機構還沒有全面開辦，可供企業選擇的金融衍生避險工具的種類仍然偏少，而且訂價不合理，導致避險成本過高。對于一般的涉外企業而言，利用金融衍生產品來避險防范外匯風險的途徑非常有限。
（三）出口產品缺乏競爭力，難以取得定價主動權
涉外企業防范匯率風險的方法大多需要通過談判在合同中規定，目前大部分出口企業生產的是勞動密集型產品，產品科技含量低，缺乏競爭優勢，因此在談判中缺乏議價能力，難以取得主動權，無法通過協議讓對方分擔風險，給企業經營帶來困難，有的企業甚至放棄了交易。
二、我國涉外企業匯率風險管理存在問題的成因分析
（一）涉外企業的匯率風險管理受到國家外匯管理制度的約束
中國是實行較嚴格外匯管制的國家。國際上許多成功外匯風險管理戰略和方法應用于我國推行時不可避免地受到外匯管理政策的約束。主要表現在：一是行政審批內容和環節過多，收費過高，企業疲于應付，無法及時有效地抓住有利時機規避風險，甚至導致企業錯過有利的結售匯時機；二是人民幣只在經常項目下可兌換，企業不能以人民幣作為結算貨幣來規避匯率風險；三是現行辦法規定大多數金融衍生產品交易必須以真實交易為背景。這種實需原則一定程度上限制了企業使用衍生產品的靈活性。
（二）商業銀行金融服務配套機制跟不上，金融產品定價不合理
受傳統觀念影響，商業銀行整體的匯率風險管理及規避機制尚未形成，金融服務配套機制不完善。近年來，雖說銀行非常重視衍生產品的開發，但是對企業面臨的匯率風險問題警示不夠，對金融衍生產品宣傳和培訓不力，大多數企業的管理人員不了解銀行的避險工具，難以運用金融衍生工具來規避匯率風險，這是造成企業缺乏風險意識、避險的知識和手段的重要原因之一。
當前，金融衍生產品定價機制還存在不合理性，定價普遍過高。大多數企業利用貿易融資來提前收匯結匯，在一定程度上鎖定了匯率風險，卻要支付較高的手續費和保險費等，難以完全享受到避險保值的好處。不少企業認為金融衍生產品不太適應用于進出口業務量較小的中小企業。
（三）涉外企業缺乏匯率風險管理方面的專門機構和專業人才，難以建立完備的外匯風險管理體系
涉外企業規避匯率風險的能力較弱還在于缺乏具有外匯風險管理知識和技能的專門人才。很多企業在實際經營中，涉及外匯的業務一般是由財務部門兼管，只有少數企業在組織機構上設置專門的外匯風險管理部門或人員。由于財務人員不具備專門的匯率風險知識和技能，無法從企業戰略的高度出發，從整體上提高企業的匯率風險管理水平，利用有效的手段對企業所面臨的匯率風險進行防范。即使企業能夠使用金融手段來防范匯率風險，因為沒有專門的機構對匯率風險進行統一管理，難以建立完備的外匯風險管理體系，無法對企業面臨的各種匯率風險進行有效的識別，更談不上對各種風險進行有效的測量和管理，絕大部分企業只是單獨地使用金融工具，沒有從整體上形成一個完整的戰略構架，往往會失去在交易前防范匯率風險的最佳時機，很難完全規避風險或達到最佳的管理效果。
三、涉外企業加強匯率風險管理的途徑
匯改后，國家進一步放寬了外匯管理政策，但在短期時間內，涉外企業匯率風險管理的外部環境仍然難以得到徹底改變。涉外企業如何利用外部現有的條件，發揮自身優勢，提高風險管理能力，合理規避外匯風險，是企業當前必須面對和解決的一個關鍵問題。
（一）加強匯率風險管理機制的建立與實施，提高自我防范能力
1.提高全體員工風險管理的意識，形成一個良好的匯率風險管理氛圍
防范匯率風險，提高企業匯率風險管理意識很重要，企業只有充分認識到匯率風險的危害性，才能積極主動地采取措施規避風險。匯率風險管理是一個系統工程，是企業全員性的活動。企業在國際經濟活動中的每一項活動都可能涉及到匯率風險，如企業的采購、生產和銷售等，各部門都應積極參與風險管理策略的實施過程，單靠某一個部門將會大大減弱匯率風險管理的效果，只有企業的每個員工都有匯率風險管理意識，每個部門都參與到匯率風險管理中來，才有可能在企業內部形成一個良好的風險管理氛圍。
2.建立完善的風險管理體系，把匯率風險損失控制在最小范圍內
企業必須意識到，只有建立全面的匯率風險防范體系，采取有效的風險防范措施，才能應對匯率波動對企業經營造成的影響。匯率風險管理體系應包括匯率風險管理戰略目標的制定、外匯風險的識別、風險限額的設定、不同類型外匯風險的測量和管理手段的選擇以及事后風險管理的評估系統等。為了有效地防范匯率風險，企業的管理者應從戰略高度出發，確定匯率風險戰略目標，并根據自身特點和風險承受能力，確定外匯風險限額，制定出匯率風險管理政策，在風險管理的過程中，應突出全局觀念和各部門的分工協作，根據實際情況選擇相應的外匯風險管理戰術和避險措施，并在事后對風險管理的效果進行評價，總結經驗和教訓，找出不足，不斷對風險管理體系進行完善，力爭將損失控制在最小范圍內。
3.加強科學有效的監管力度，在企業內部建立匯率風險預警機制企業在匯率風險管理過程中最關注的是外匯匯率的波動，無論匯率如何波動，企業都有可能面臨風險。因此，企業必須要加強科學有效的監管力度，在內部建立匯率風險預警機制，確定匯率變動的方向和波動幅度，對企業生產經營各個環節的風險管理過程進行監控，主動對可能面臨風險的外幣資產或負債項目進行調整或保值，及時發現風險管理過程中出現的問題，及時采取措施，將問題消滅在萌芽狀態，防止出現匯率風險失控現象。
4.加強高素質外匯人才的引進和培養，有效地防范匯率風險
匯率風險管理制度的執行最終還要依靠人來完成，由于規避匯率風險是一項對技術性要求較高的業務，對匯率變化趨勢進行準確預測是規避匯率風險的前提條件，金融工具是規避匯率風險的重要手段，但匯率變化莫測，金融衍生產品品種繁多，交易程序復雜，而且更新速度非常快。必須要有高素質的專業人才對匯率變化趨勢進行準確預測，制定相應的風險管理措施。因此，要加強高素質外匯人才的引進和培養，建立健全專門的管理機構，安排專職人員從事匯率的預測和防范匯率風險的管理工作，加強對金融產品相關知識的學習與研究，對所面臨的匯率風險類型和安全程度進行科學判斷，及時采取措施，有效地運用各項工具和手段對外匯風險進行管理。在匯率瞬息萬變的今天，企業只有不斷充實外匯人才，才能增加匯率風險管理的有效性，使匯率風險不再成為制約企業利潤增長的瓶頸。
5.將事前預防與事后規避相結合，把匯率風險管理貫穿于整個經營管理的始終
要密切關注和研究外匯管理政策，采取事前預防和事后規避相結合的措施來規避匯率風險，將匯率風險管理貫穿于整個經營管理的始終。交易前以預防出現匯率風險為主，交易后，以規避匯率風險為主。在交易前，可通過選擇多種計價貨幣、訂立保值條款等作為防范風險的主要手段，在交易后，應特別關注風險敞口頭寸，將提前或推遲結算、使用金融衍生品和貿易融資作為規避匯率風險的主要手段。如開拓海外市場的業務人員在談判中通過訂立價格條款來規避風險；交易后風險管理人員通過金融衍生工具對匯率風險暴露頭寸進行對沖等手段規避風險。
（二）加強經營管理，化解匯率風險
1.加快產品結構調整，增強國際競爭能力
出口企業要以人民幣匯率形成機制改革為契機，在提高經營管理效率，保持產品價格優勢的同時，更要加快結構調整。加強高新技術的引進和開發，提升產品的技術含量和品牌內涵，走差異化、品牌化之路，提升產品的核心競爭力，提高在談判中的議價能力，這樣，才有可能有效地利用價格條款來分散或規避匯率風險。
2.實現跨國經營，提高匯率風險防范能力
在全球經濟一體化的趨勢下，大型涉外企業，特別是跨國公司，通過選擇在不同國家投資生產，并在當地直接銷售，不但可以消除貿易壁壘，還可以減少因本外幣兌換而產生的匯率風險。涉外企業可以靈活地選擇經營地點或市場，獲得多渠道的原材料和生產部件的供應，減少了這些原材料的直接進口；將在當地生產的產品直接銷售，減少了本外幣之間的兌換，更加有利于企業提高防范匯率風險的能力。
3.實施進出口業務的多元化，降低匯率風險的危害
在國際貿易中，使用單一外幣結算會大大增加匯率風險。如果涉外企業在某一時間內將其進出口業務同時分配到不同國家的市場，采用不同的貨幣作為結算貨幣，這樣就等同于使用多種外幣作為結算貨幣。對于本國貨幣來講，有的結算貨幣升值，有的結算貨幣貶值，企業的匯率風險被減小。由此可見，實施進出口業務的多元化經營，有利于涉外企業降低匯率風險的危害。
4.實施融資的多元化，分散匯率風險
隨著國際資本市場的迅猛發展，對涉外企業來說，特別是對跨國公司而言，外幣融資的渠道越來越寬，非常容易獲得外幣融資。企業要盡量從多個國際資本市場以多種外幣融資，使得負債貨幣多元化，從而通過擁有多種不同外幣債務來實現保值和規避匯率風險的目的。
企業管理匯率風險的過程是復雜的，應把風險管理與其整體經營和發展戰略融合起來，確保企業擁有一個長期性的匯率風險管理策略。對于目前的中國企業來說，最為重要的是要樹立匯率風險意識，將匯率風險的思想融入到企業的經營管理之中，形成一整套匯率風險管理機制，合理選擇匯率風險管理方案，并在實踐中不斷加以改進和完善，將匯率風險的危害減少到最低限度，為企業長期健康穩定和持續地發展創造條件。
【參考文獻】
[1]栗書茵.我國涉外企業外匯交易風險研究[J].中央財經大學學報，2006，（12）:48－52.
