《公司战略与风险管理》是六科中最贴近管理实践的一门。模型本身不难，难的是把模型用在具体产业与企业上，得出有依据的判断而不是套模板。
本文是公司战略与风险管理科目「风险管理与内部控制」模块的考点详解，覆盖 16 个核心考点。这些考点在《财务长河》中集中出现在第 304—515 章，每个考点按"定义—施工企业视角通俗解释—举例与计算—易错点—关联章节"五段展开，既可以作为通读材料，也可以当作查证手册按考点直接跳读。
「风险管理与内部控制」在公司战略与风险管理中属于高频命题区，既可能出客观题考细节口径，也可能被编入综合题作为其中一问。
本模块考点框架
- 全面风险管理（ERM）：企业围绕总体目标，在管理各环节执行风险管理流程、培育风控文化、建立风险管理体系（策略、理财、组织职能、信息系统、内控），为实现目标提供合理保证的过程。
- COSO ERM框架：反虚假财务报告委员会发起组织（COSO）发布的企业风险管理框架；正文按2004版八要素讲解（内部环境、目标设定、事项识别、风险评估、风险应对、控制活动、信息与沟通、监控）。
- 风险偏好与风险容忍度：风险偏好是企业愿意承担的风险总量与类型（定性+定量）；风险容忍度是具体目标下可接受的偏离范围。
- 风险应对四策略：规避（停止产生风险的活动）、降低（用控制措施降可能性或影响）、转移（保险、对冲、外包）、承担（接受小风险并计提准备）四类应对策略。
- 风险矩阵（热力图）：以"发生可能性×影响程度"二维矩阵把风险分成重大、较大、一般、轻微四级的评估工具。
- 三道防线：业务部门自控（第一道）、风控合规部门统筹（第二道）、内部审计独立再监督（第三道）的风险管理组织分工。
- 风险四大类型：按来源分为战略风险、财务风险、市场风险、信用风险四大类。
- 风险敞口：企业暴露于某类风险、可能遭受损失的头寸或金额。
- 风险传导：一类风险触发后沿业务与资金链条引发其他风险、叠加放大的过程。
- VaR（风险价值）：在正常市场波动下、给定置信水平和持有期内，投资组合预期可能遭受的最大损失；三参数为持有期、置信水平、波动率。
- 压力测试与情景分析：假设极端但可能发生的情景（股灾、汇率暴跌、利率骤升），测算组合损失，弥补 VaR对尾部风险盲区的工具。
- 肥尾风险与预期短缺（ES）：实际分布中极端损失出现概率高于正态分布假设的现象即肥尾；预期短缺（ES）衡量超过 VaR后尾部的平均损失。
- 内部控制（COSO五要素）：由董事会、监事会、经理层和全体员工实施、旨在实现控制目标的过程； COSO内控整合框架五要素为控制环境、风险评估、控制活动、信息与沟通、监控。
- 企业内部控制基本规范：我国财政部等五部委 2008年发布的内控规范，五要素为内部环境、风险评估、控制活动、信息与沟通、内部监督；五目标为合法合规、资产安全、财报真实完整、经营效率效果、促进实现发展战略。
- 风险管理闭环：风险识别—风险评估—风险应对—风险管控—风险监控预警的循环管理过程。
- 风险清单与风险预警：系统列示全部已识别风险及其责任、应对、报告频率的台账；风险预警是通过指标阈值提前发出风险信号的机制。
考点逐条详解
1. 全面风险管理（ERM）
定义：企业围绕总体目标，在管理各环节执行风险管理流程、培育风控文化、建立风险管理体系（策略、理财、组织职能、信息系统、内控），为实现目标提供合理保证的过程。
施工企业视角：针对各部门"都在管、都没管"的碎片化盲区，从集团层面整合识别、评估、应对、监控全部风险及其传导链条。
举例与计算：建立"辨识—评估—应对—监控—报告"闭环，每年至少一次全面风险辨识，形成《风险清单》并明确责任部门与报告频率。
易错点：只看单条风险可控，忽视风险叠加后可能超出企业承受能力。
《财务长河》关联章节：第 304 章（建立全面风险管理体系）
2. COSO ERM框架
定义：反虚假财务报告委员会发起组织（COSO）发布的企业风险管理框架；正文按2004版八要素讲解（内部环境、目标设定、事项识别、风险评估、风险应对、控制活动、信息与沟通、监控）。
施工企业视角：为企业风险管理提供统一语言和要素清单，避免头痛医头、脚痛医脚。
举例与计算：八要素中，风险评估=发生可能性×影响程度；风险应对=规避/降低/转移/承担四策略。
易错点：口径待确认——注会现行教材多采用 COSO ERM 2017版五要素（治理与文化、战略与目标设定、绩效、审查与修订、信息沟通与报告），而正文第 304章按 2004版八要素讲解；备考与制度对标时须以最新版教材和正式法规为准。
《财务长河》关联章节：第 304 章（建立全面风险管理体系）
3. 风险偏好与风险容忍度
定义：风险偏好是企业愿意承担的风险总量与类型（定性+定量）；风险容忍度是具体目标下可接受的偏离范围。
施工企业视角：把"稳健经营"翻译成可监控指标——资产负债率上限、现金储备下限、单一客户集中度上限、单笔投资最大损失。
举例与计算：净资产 117.6亿，单笔对外投资最大损失=净资产 5%=5.88亿；现金储备不低于覆盖 12个月刚性支出。
易错点：只讲定性偏好、不设量化容忍度，导致无法监控和考核。
《财务长河》关联章节：第 304 章（建立全面风险管理体系）
4. 风险应对四策略
定义：规避（停止产生风险的活动）、降低（用控制措施降可能性或影响）、转移（保险、对冲、外包）、承担（接受小风险并计提准备）四类应对策略。
施工企业视角：不垫资高风险项目是规避；加强工程款回收管理是降低；买工程一切险、用期货套保钢材涨价是转移；接受小额坏账并计提是承担。
举例与计算：钢材年采购 50万吨，价格每波动 100元/吨成本波动 5000万，可用期货套保把价格风险转移出去。
易错点：用错策略——本应规避的致命风险却选择承担；或对小风险过度规避增加成本。
《财务长河》关联章节：第 304 章（建立全面风险管理体系）
5. 风险矩阵（热力图）
定义：以"发生可能性×影响程度"二维矩阵把风险分成重大、较大、一般、轻微四级的评估工具。
施工企业视角：重大风险上收董事会直管，一般风险由业务部门自行管理，按颜色分级分配管理资源。
举例与计算：高可能性、高影响的项目（如三四线地产存货减值）列入红色重大风险，优先配置应对资源。
易错点：评估凭感觉不打分；评级后不对应责任部门和应对策略。
《财务长河》关联章节：第 304 章（建立全面风险管理体系）
6. 三道防线
定义：业务部门自控（第一道）、风控合规部门统筹（第二道）、内部审计独立再监督（第三道）的风险管理组织分工。
施工企业视角：业务部门是风险第一责任人，风控合规是统筹监督者，内审独立再检查；审计委员会统揽第三道防线。
举例与计算：项目部控现场风险，公司风控合规部建制度做预警，内审部独立检查两者是否履职。
易错点：把风控责任全推给风控部门，业务部门认为"风险是风控的事"。
《财务长河》关联章节：第 304 章（建立全面风险管理体系）、第 506 章（给内部审计安一个"婆婆"）
7. 风险四大类型
定义：按来源分为战略风险、财务风险、市场风险、信用风险四大类。
施工企业视角：战略风险是选错方向（过度多元化、周期误判）；财务风险是杠杆、流动性、再融资；市场风险是利率、汇率、材料价格波动；信用风险是业主违约、分包商断供、担保代偿。
举例与计算：海外美元应收 1000万，汇率每波动 0.1元损益 100万；应收账款 85亿按 5%计提坏账约 4.25亿。
易错点：不分类就无法分工——不同风险责任部门和应对工具完全不同。
《财务长河》关联章节：第 305 章（风险有哪些）
8. 风险敞口
定义：企业暴露于某类风险、可能遭受损失的头寸或金额。
施工企业视角：如三四线地产存货 35亿的战略风险敞口、有息负债 180亿的财务风险敞口、年采购 50万吨钢材的价格风险敞口。
举例与计算：钢材每波动 100元/吨对应 5000万成本波动，这就是价格风险敞口的敏感度。
易错点：只看单条敞口，不看同类风险总敞口是否超出风险偏好。
《财务长河》关联章节：第 305 章（风险有哪些）
9. 风险传导
定义：一类风险触发后沿业务与资金链条引发其他风险、叠加放大的过程。
施工企业视角：地产卖不动（战略）→应收账款回收慢（信用）→现金流紧张（财务）→无法偿还到期贷款（财务）→再融资困难（财务）。
举例与计算：用预警指标监控传导信号——应收账款逾期率上升、经营现金流/净利润比值下降。
易错点：单部门只看自己那段风险，看不到跨部门的传导链条。
《财务长河》关联章节：第 305 章（风险有哪些）
10. VaR（风险价值）
定义：在正常市场波动下、给定置信水平和持有期内，投资组合预期可能遭受的最大损失；三参数为持有期、置信水平、波动率。
施工企业视角：把"风险很大"的定性描述变成"一天最大损失 1650万"的定量数字，便于设限额、配资本、决定是否对冲。
举例与计算：组合 10亿、日波动率 1%，95%置信（z=1.65）持有 1天 VaR=10亿×1.65×1%=1650万；持有 10天=1650× √10≈5218万；99%置信（z=2.33）=2330万。
易错点：误以为 VaR是最坏情形损失；它不覆盖超过 VaR后的尾部最大损失。
《财务长河》关联章节：第 306 章（风险怎么量化）
11. 压力测试与情景分析
定义：假设极端但可能发生的情景（股灾、汇率暴跌、利率骤升），测算组合损失，弥补 VaR对尾部风险盲区的工具。
施工企业视角：定期做"若再来一次 2008年级别危机/2015年级别股灾"的极端测试，看损失是否超出承受能力。
举例与计算：假设股灾重演单日下跌 8%，10亿组合损失=8000万，远大于 95%VaR的1650万——这就是为什么必须压力测试兜底。
易错点：只靠 VaR不做压力测试，低估肥尾极端损失。
《财务长河》关联章节：第 306 章（风险怎么量化）
12. 肥尾风险与预期短缺（ES）
定义：实际分布中极端损失出现概率高于正态分布假设的现象即肥尾；预期短缺（ES）衡量超过 VaR后尾部的平均损失。
施工企业视角：VaR假设正态分布会低估极端事件；ES补算"一旦跌破VaR，平均还要亏多少"。
举例与计算：压力测试单日跌 8%损失 8000万，远超 VaR，正说明尾部风险不可忽视。
易错点：用正态分布假设直接套尾部风险；忽视历史不必然重演。
《财务长河》关联章节：第 306 章（风险怎么量化）
13. 内部控制（COSO五要素）
定义：由董事会、监事会、经理层和全体员工实施、旨在实现控制目标的过程； COSO内控整合框架五要素为控制环境、风险评估、控制活动、信息与沟通、监控。
施工企业视角：内控是嵌入经营过程的动态机制，不是一堆制度文件；控制环境是地基（治理、文化、权责），控制活动含不相容职务分离、授权审批、预算控制等。
举例与计算：问五个问题检验体系——地基正吗？风险找得到吗？措施管得住吗？信息通得过吗？监督改得掉吗？
易错点：把内控等同于制度文件或财务部门的事；认为内控是把企业管死（其最高目标是护航战略）。
《财务长河》关联章节：第 510 章（内控这面墙，到底怎么砌的）
14. 企业内部控制基本规范
定义：我国财政部等五部委 2008年发布的内控规范，五要素为内部环境、风险评估、控制活动、信息与沟通、内部监督；五目标为合法合规、资产安全、财报真实完整、经营效率效果、促进实现发展战略。
施工企业视角：前四个目标守底线，第五个目标谋发展——内控是为了让企业敢闯、能闯、闯得稳。
举例与计算：体系化内控把同类工程款逾期年均损失从约 2000万降 50%—60%，即年减损 1000万—1200万。
易错点：把补丁式内控等同于体系化内控；认为内控与风险管理是一回事（有重叠但不等同）。
《财务长河》关联章节：第 510 章（内控这面墙，到底怎么砌的）
15. 风险管理闭环
定义：风险识别—风险评估—风险应对—风险管控—风险监控预警的循环管理过程。
施工企业视角：不是识别一次就完事，要持续监控预警、滚动更新清单，重大风险即时报告。
举例与计算：季度风险报告+重大风险即时报告，形成闭环并跟踪整改销号。
易错点：重识别轻监控；发现风险不整改、不销号。
《财务长河》关联章节：第 511 章（风险识别）、第 515 章（风险监控）
16. 风险清单与风险预警
定义：系统列示全部已识别风险及其责任、应对、报告频率的台账；风险预警是通过指标阈值提前发出风险信号的机制。
施工企业视角：每条风险明确责任部门、责任人、应对策略、报告频率；设置逾期率、现金流等预警指标，触发阈值即升级报告。
举例与计算：单一客户应收账款集中度超过 15%上限即预警；现金储备跌破覆盖 12个月刚性支出下限即升级。
易错点：风险清单一成不变；预警指标设了却不触发、不处置。
《财务长河》关联章节：第 511 章（风险识别）、第 515 章（风险监控）
复习路径与实务落地
- 先搭框架：本模块 16 个考点中，全面风险管理（ERM）、COSO ERM框架、风险偏好与风险容忍度属于地基性概念，先把它们的定义与适用边界说清楚，再往下看具体处理，理解成本会低很多。
- 重点练计算：COSO ERM框架、风险偏好与风险容忍度、风险应对四策略、风险四大类型、风险敞口、VaR（风险价值）等 涉及公式与数值推演，只看结论不动笔很容易在考场上卡壳，建议每个考点至少手算两道题。
- 易错点集中过一遍：COSO ERM框架、内部控制（COSO五要素）、企业内部控制基本规范 的易错点描述最完整，是命题人最爱设陷阱的地方，临考前优先复看这三条。
- 配合小说读：《财务长河》第 304—515 章的剧情与这些考点一一对应，先读剧情再看知识点详解，比单纯背准则更容易记住适用场景。
- 落到工作底稿：把每个考点转成一条自查问题（"我这笔业务是否触发了该考点、口径是否与准则一致、有无留痕"），比抄写准则条文更有用。
> 本文所引比例、期限与数值以现行有效的法律法规、会计准则及合同专用条款为准，实务处理请结合具体业务事实与专业判断。