欢迎来到 P3 风险管理：谁负责做什么？

各位未来的 CGMA 准会员，大家好！我们现在要深入探讨 P3 课程大纲中至关重要的企业风险 (Enterprise Risk) 单元。许多学员误以为风险管理只是“风险部门”的工作，但事实上，这是一项团队运动。在本章中，我们将探讨从首席执行官 (CEO) 到前线员工，每一个角色的职责与责任。

如果一开始看到各种职称和委员会觉得眼花缭乱，别担心！我们会通过简单的比喻来拆解，让你即使在考场上也能清晰记得谁该负责什么！

1. 最高层级：董事会 (Board of Directors)

在任何组织中，董事会对风险管理承担最终责任。你可以把他们想象成一艘船的船长。他们不必亲手拉动每一条缆绳，但他们决定船只航行的方向，以及愿意冒险穿越多么恶劣的天气。

董事会的主要职责包括：

- 设定风险胃纳 (Risk Appetite)： 决定公司为达成目标愿意承担多少风险。
- 风险策略： 确保风险管理框架与业务策略保持一致。
- 高层基调 (Tone at the Top)： 建立一种重视风险、开放讨论的企业文化。

比喻：如果公司是一辆汽车，董事会就是决定限速（风险胃纳）和目的地（策略）的人。

快速回顾：董事会

重点归纳： 董事会对风险管理系统负有最终问责责任 (Ultimately Accountable)。他们不参与日常工作，但负责制定规则和企业文化。

2. 专门委员会：审计委员会 vs. 风险委员会

由于董事会事务繁忙，他们会将特定任务委派给各个委员会。在 CIMA P3 考试中，你需要明确分辨审计委员会 (Audit Committee) 和风险委员会 (Risk Committee) 的差异。

审计委员会

此委员会通常由独立非执行董事 (Independent Non-Executive Directors, NEDs) 组成。他们的工作就像是观察“后视镜”和“引擎检查灯”。他们关注的是：

- 财务报告的完整性。
- 监控内部控制 (Internal Control) 系统。
- 监督与外部审计师 (External Auditors) 的关系。

风险委员会

当审计委员会关注监控和数据时，风险委员会则是看着“前方的道路”。他们关注网络攻击、经济变动或新竞争对手等新兴风险 (Emerging Risks)。他们的工作是确保董事会的风险胃纳在实际运作中得到落实。

你知道吗？ 在许多小型公司中，这两个委员会通常合并为一个。然而，对于大型且复杂的公司（特别是银行业），CIMA 课程大纲强调设立专门风险委员会的好处，以确保风险管理获得应有的重视。

常见错误：避免误区

请不要假设审计委员会负责“管理”风险。他们的功能是“监控”和“审查”管理层做得如何。他们提供的是监督 (Oversight)，而非日常执行。

3. 首席风险官 (Chief Risk Officer, CRO)

首席风险官 (CRO) 是一位资深高管，担任组织的“风险倡导者”。他们是连接董事会与公司其他部门的桥梁。

CRO 的职责包括：

- 制定风险管理框架。
- 向董事会和风险委员会汇报风险更新。
- 确保风险管理“根植”于企业（意味着它是日常工作的一部分，而不仅仅是为了勾选合规项目的形式化工作）。

记忆口诀：CRO 的“3C”原则
Champion（倡导者）：提升风险意识。
Challenger（挑战者）：质疑那些承担过多（或过少）风险的管理层。
Coordinator（协调者）：确保所有部门以统一的方式汇报风险。

4. 三道防线模型 (Three Lines of Defence Model)

这可能是本章最重要的概念。CIMA 非常喜欢考你对组织如何自我保护的理解。想象一座受到攻击的城堡——你需要多层防御。

第一道防线：业务运营（“执行者”）

这些是运营经理 (Operational Managers)。他们拥有风险的所有权，因为他们是在进行日常活动的人。如果工厂经理发现安全隐患，他们就是第一道防线，因为他们必须立即处理该风险。

第二道防线：风险与合规（“监督者”）

这些是专职人员（例如 CRO 或合规团队）。他们不执行日常业务，但为第一道防线提供工具、政策和系统。他们负责监控第一道防线是否遵守规则。

第三道防线：内部审计（“保证者”）

这是内部审计 (Internal Audit) 功能。他们独立于前两道防线之外。他们的工作是向董事会提供独立保证 (Independent Assurance)，确保第一和第二道防线确实有效运作。

比喻：在足球比赛中……
第一道防线 = 球员（在尝试得分的同时，不让对手得分）。
第二道防线 = 教练（制定战术并监控球员表现）。
第三道防线 = 裁判（第三方公正人士，确保规则被遵守）。

重点归纳：三道防线

第一道防线： 拥有并管理风险。
第二道防线： 监控并制定风险框架。
第三道防线： 提供独立保证。

5. 内部审计 vs. 外部审计

这两者很容易混淆，但它们在风险管理中的角色截然不同。

内部审计：
- 为谁工作？ 董事会/审计委员会。
- 重点是什么？ 改善公司的运营、风险管理和内部控制。
- 范围： 非常广泛（可以涵盖从 IT 安全到人力资源政策的任何事项）。

外部审计：
- 为谁工作？ 股东。
- 重点是什么？ 对财务报表是否“真实公正”发表意见。
- 范围： 狭窄（专注于财务数据，以及可能导致数据错误的风险）。

6. 每位员工的角色

最后，风险管理不仅仅是老板的事。每一位员工都有责任：

- 理解与其具体工作相关的风险。
- 遵守内部控制（例如不共用密码）。
- 向经理汇报新的风险或“险些发生的事故 (Near Misses)”。

小贴士： 如果你在考题中遇到关于“谁负责识别风险？”的问题，答案通常是所有人 (Everyone)，但董事会才是确保这件事确实发生的负责主体。

章节总结清单

在继续学习之前，请确保你能回答以下问题：

1. 谁设定“风险胃纳”？（董事会）
2. 内部审计属于第几道防线？（第三道防线）
3. 审计委员会与风险委员会的主要区别是什么？（审计 = 监控/过去；风险 = 策略/未来）
4. 谁在日常层面上“拥有”风险？（运营经理/第一道防线）

做得好！你已经掌握了风险管理的角色与职责。记住这个结构，你会发现处理 P3 的情境题会变得容易得多！