“如果整个风险内部控制体系的完善之路按100里算，做的最好的央企只走了60里，差的才走了二三十里。”国务院国资委企业改革局原副局长、企业风险管理专家周放生对《企业观察报》记者表示。
“就我接触到的央企来说，还没有一家在全面风险管理方面达标的，”长期在一线服务于央企的普华永道风险管理和内控部高级经理武瑶女士同样不乐观。“央企和上市公司的风控工作真正试运行始于2010年，好的内控体系形成需要强大的内控文化，这一文化内化的过程一般需要5-10年，最快2015年才能成熟。”
而随着中航油、中储棉、中远等一系列重大事件的爆发，国资委对央企风控工作更为紧迫。2012年年初，国资委发布文件要求，无论是央企还是央企上市公司，都要分类分布建设与实施内部控制体系，力争用两年时间即2013年年内，在全部中央企业建立起规范的内部控制体系。这一目标看来要面临很多挑战。
美好制度PK冰冷现实 2006年6月6日，一个“六六顺”的好日子，国务院国资委发布了《中央企业全面风险管理指引》，文件强调企业全面风险管理关系到国有资产的保值、增值和企业的延续、健康、稳定发展。这是规范央企风控的第一份文件。此前2004年年底爆发的中国航油(新加坡)公司巨额亏损，被视为国资委进行风控行动的重要引爆点。
2008年，8月18日，又一个大顺的好日子，国资委发布第20号令《中央企业资产损失责任追究暂行办法》，明确规定了中央企业领导人对企业内部控制失效应承担的责任和应受到的惩罚，如“企业发生特别重大资产损失，以及连续发生重大资产损失的，除对相关责任人处以经济处罚和行政处分外，应当同时给予禁入限制”。
2011年，国资委发出通知，要求中央企业加强对未来风险总体形势的研判，进一步健全风险评估常态化机制，真正做到全面风险管理与日常经营管理的深度融合，建立并完善全面风险管理报告制度。
与此同时，证监会、沪深证券交易所和财政部也都纷纷推进上市公司和央企等企业的内控工作。
然而，政策在现实面前显得很苍白。早在2009年，受金融危机爆发的影响，中国远洋就首次巨亏75亿元，但次年航运市场“回暖”，中国远洋并没有充分预估经济周期的下行趋势。在2011年巨亏104亿元之后，中国远洋2012年亏损近96亿元，“船长”魏家福在今年悲情离职。缺乏风险意识，没有在合同中进行对冲风险的设计，被视为中远“触礁”的根本原因。不过，一系列的事件让国资委推进风控的进程加速开展。
复核机制锁住一把手风险
“内控不一定能完全保证企业不出事，即使已经知道风险，仍然难以完全规避，这就是内控的局限性。”武瑶说。以中远巨亏为例，即使这种风险被识别出来，但是全球经济下行，风险也难以完全控制。而且内控制度在美国的兴起也不过从2002年开始，当时美国国会出台公司改革法案《萨班斯—奥克斯利法案》，要求所有在美国上市的公司必须建立和完善内控体系。后来，美国的公司舞弊丑闻也没有完全杜绝，不过由于拥有较好的市场自动纠偏机制，此后未酿成重大事件。
“风控人员水平不高?不可能，央企有实力雇用最好的人才。风控意识薄弱?信息不对称?信息这么发达，不至于!”中科院金融工程与风险管理中心主任程兵告诉本报记者。
程兵表示，风控问题最核心的是复核机制，就像去柜台取大笔的钱，总会有第二个人复核一下，公司的风控也应该有类似的机制。但是，对于一把手来说，大权独揽，缺少复核和监督机制，风险自然就很高。“对于中航油的陈久霖来说，面对强大的高盛，却没有任何风险概念，也没有人进行复核，投资失败肯定属于大概率事件。”程兵如此评论2004年中航油巨亏事件。
“风险来源于市场，但是不能赖市场，内因才是风险爆发的根本。”风控专家周放生表示，而一把手的决策失误是央企最大的内控风险，这是一个体制上的问题。要改变这一制度，最好的办法是改革国有独资公司，实行混合所有制，股东多元化是关键，比如中国建材就引入了民间资本和海外资本，取得了良好的决策效果。另外，在董事会内部引入外部董事占多数的制度，有助于解决内部人控制的问题，也降低了风险。
缺乏惩处机制，内控成摆设 普华永道风控专家武瑶也同样认可一把手的作用，但是为了实现控制风险，公司治理和内部风险管理同等重要。“公司治理是壳(躯干)，内控是心脏，好的壳固然重要，可以进行结构性的防范，形成良好的内部文化，不过操作层面(心脏)的机制更有意义，毕竟外部董事一般一年只开四次会，内审人员能够监察多少人?”武瑶反问说。
一般的风控体系分为前台(业务部门)、中台(风险管理部门)和后台(内审部门)，很多央企的内审人员具有国际公司工作的丰富经验，还是能够防住风险的，不过仅仅靠“后卫”很难拦住“风险”洞穿球网的。
武瑶认为，目前央企内控失效有几大原因，首先是只有规定而没有惩罚。企业雇用了外审机构，对于企业的风控问题出具了整改要求，但是“人家的态度是，我错了又如何?”有些央企说一套做一套，把内控制度当摆设。
一把手才能促成内控文化
在武瑶看来，内控的实现都是一个风险与业绩博弈的过程，不管是部门还是董事长都有业绩的冲动。内控制度的建立和成熟往往需要经历三个阶段：内控制度设立后，处罚机制让人感觉到惧怕;但是之后，业务部门在工作中往往发现内控制度很麻烦，一些冒险项目难以通过，业务部门就出现了反感情绪;为了规避这种内控机制，业务部门的投机取巧在所难免。如果此时不予以惩处，风控“两张皮”的潜规则就形成了;如果一把手杀一儆百，公司就形成了一个良好的内控文化。
对此，锐眼风险管理顾问有限公司执行董事郑刚表示，在雇佣外审机构或风险管理机构时，目前绝大多数央企做风控还没考虑到控制一把手，毕竟很多央企董事长的角色不是那么单纯经营角色，还有一些看不见行政因素。
北京第一会达风险管理科技有限公司董事长吕多加则认为，董事会制度的完善能确保董事长受到监督。吕多加告诉本报记者，“董事会是内部控制的重要环境，董事会负责内部控制的建立健全和有效实施。董事会的行使权力，也应符合内部控制，这样董事长自然得到监督。”
不过，即使有了强有力的一把手杀一儆百，如果出现串谋现象，即部门之间相互串通，内控制度就很容易失效。这种情况下，央企的外部董事制度就发挥了一定作用，某种程度上避免内部人控制。
有一些央企甚至设立了首席风险官，并采用了专门计算机风控软件，不过成功率不高。“有些企业连基本制度还没有健全，内部OA的运行还有问题，上这样一个风险管理软件，就像头特别大，脚特别小，肯定是撑不起一个健康的躯干的。”郑刚这样比喻说。
武瑶还发现，不同企业文化的央企对待内控的态度截然不同。以贸易起家的国际化央企受国际风控思想的影响较多，容易沟通，一把手也可能接受监督，而在很多传统制造业央企，沟通成本比较高，内控得看老板脸色行事，内控质量可想而知，其决策风险也更难控制。
“还好有这些国际化的央企，要不然我的工作一点成就感都没有，” 武瑶感慨说。
央企风控刚刚上路
在本报调查过的大部分专家看来，央企从2006年引入内部风控制度以来，已经取得了不小的成绩。
“有的央企在做内控的信息化，跟ERP(企业资源计划系统)结合;有的在做案例库，借鉴历史上的众多风控事件;有的央企在做风控模型，比如中外运在做的波罗的海风险预测模型，在国内已经非常领先;更多央企的风险管理部已经嵌入业务部门，”长期为央企授课的周放生对央企风控的成绩如数家珍。
经历过内控失误的央企也在反思完善中成长。陈九霖认近期在反思中航油巨亏事件时提到三大警示：首先要对于风险要建立完善的事先防控机制;其次，风险发生时要有妥善的危机处理能力;最后对于下属，尤其是交易员和风险管理委员会进行监督和管理。“你考虑到人的因素，也要考虑到人力不可为的因素，考虑到必然的趋势，也要考虑到偶然的不被你考虑到的风险的意识，”陈九霖说。
武瑶认为，国资委的努力至少取得三方面的成绩：首先是中航油事件后，央企不能做金融衍生品工具，大大降低了金融风险;其次是“三重一大”制度大大降低了企业的决策风险，即“重大事项决策、重要干部任免、重要项目安排、大额度资金的使用，必须经集体讨论作出决定”的制度;三是央企在总部乃至子公司都建立了风控制度，下一步如果能够在更多的子公司推广，其意义将更加重大。不过，要建立长效的风控机制，严格惩处和企业文化建设至关重要。
不仅是在中国，美国企业的内控建设也是需要一个较长的过程。深圳市迪博企业风险管理技术有限公司董事长胡为民介绍说，在美国上市的企业为了满足《萨班斯法案》关于内控的要求，常常耗费一年甚至几年的时间，而且通常都是在中介机构的协助下进行。
央企内控建设已经启动7年，即使在2013年年内在全部中央企业建立起规范的内部控制体系，其真正发挥决定性作用仍需要一个过程。对大部分央企来说，风控建设刚刚上路。
最近更新