淺析基于醫(yī)藥企業(yè)的全面風險管理體系構建

向紅敏

摘要：面對錯綜復雜的經(jīng)營環(huán)境，風險管理成為越來越多企業(yè)賴以生存與發(fā)展的重要基石。近年來，隨著國家宏觀經(jīng)濟結構調整，藥品供應領域改革繼續(xù)深化，健康消費繼續(xù)升級，醫(yī)藥行業(yè)面臨的監(jiān)管趨嚴;筆者長期從事內(nèi)控與風險管理的實踐工作，通過構建和推進集團公司的全面風險管理體系的有效運行，不斷增強集團公司管控風險的能力與水平。

關鍵詞：醫(yī)藥行業(yè);風險管理;體系構建

面對錯綜復雜的經(jīng)營環(huán)境，風險管理成為越來越多企業(yè)賴以生存與發(fā)展的重要基石。近年來，隨著國家宏觀經(jīng)濟結構調整，藥品供應領域改革繼續(xù)深化，健康消費繼續(xù)升級，醫(yī)藥行業(yè)面臨的監(jiān)管趨嚴;2018年以長生生物疫苗事件為代表的風險事件再次將醫(yī)藥行業(yè)推向輿論的風口浪尖，由此造成的惡劣社會影響以及政府部門監(jiān)管壓力對于藥品企業(yè)的生存和發(fā)展帶來了較大阻力，同時也給企業(yè)風險管理工作敲響了警鐘。筆者作為在上交所上市的某大中型醫(yī)藥制造板塊的集團審計部門負責人，長期從事內(nèi)控與風險管理的實踐工作，通過構建和推進集團公司的全面風險管理體系的有效運行，不斷增強集團公司管控風險的能力與水平。

一、相關背景介紹

集團公司是一家老牌上市公司，主業(yè)為藥品的生產(chǎn)制造，長期經(jīng)營中逐步構建了集藥品生產(chǎn)經(jīng)營（工業(yè)、批發(fā)、零售）、診斷技術、醫(yī)療服務、大健康服務為一體的產(chǎn)業(yè)結構，品牌價值持續(xù)提升，涉及的子公司分布在全國各地。伴隨多元化發(fā)展進程，經(jīng)營中面臨的風險也在加大，制約集團良性成長的短板和瓶頸有待實質性突破，如何一手抓發(fā)展，一手防風險，真正做到穩(wěn)健經(jīng)營、協(xié)調發(fā)展呢？對此，董事會提出“轉型升級促發(fā)展”戰(zhàn)略目標，圍繞經(jīng)營綱要，集團審計部門的工作職能也由“合規(guī)性”審計向“合規(guī)性+風險管理+價值管理”審計轉型，在查錯糾弊的同時，以內(nèi)控與全面風險管理體系為抓手，創(chuàng)新風險管理的工作流程與機制等，實施中注重匹配性原則，并尋找風險與收益的平衡點，不斷夯實全面風險管理體系，為公司轉型升級目標和高質量可持續(xù)發(fā)展助力護航。

二、如何構建集團公司的全面風險管理體系

2017年，集團公司設立風險管理委員會（以下簡稱 “風委會”），作為公司下設的專業(yè)委員會，并設立首席風控官，風險管理委員會下設風險管理辦公室（以下簡稱 “風險辦”），常設機構在審計部，負責公司風險管理委員會日常工作計劃、協(xié)調、聯(lián)絡、會議組織等工作。

在集團風委會指導下，審計部以“建體系、明責任、識風險、防危機”的基本方法，在系統(tǒng)學習了行業(yè)內(nèi)COSO風險管理框架、內(nèi)部控制規(guī)范等理論基礎上，結合實際啟動了全面風險管理體系的建設工作，并在“構建架構、制度保障、管理流程、運行機制和文化宣貫”上尋找著力點和落腳點，以建模思維形成了一套完整規(guī)范的管理表單、流程等，并在實踐中總結提高，將風險管理工作融入到日常經(jīng)濟活動中，促進公司在平衡中發(fā)展，在發(fā)展中壯大。

（一）構建全面風險管理組織架構，明確分級責任

1. 精心設計，筑牢風險管理五道防線

2017年，根據(jù)集團公司管控現(xiàn)狀，結合行業(yè)特性，集團本部的全面風險管理建立了五層架構，包括：董事會、風險管理委員會（首席風控官）、風險管理辦公室、風險互控部門（專業(yè)職能部門）和風險自控部門（各職能部門和業(yè)務單元）在各自的職責范圍內(nèi)履行風險管理職責。同時，全面風險管理實行分級管理的五道防線主要劃分為兩個層次，本部管控層面、所屬子公司管控層面。

2018年，在本部風險辦組織下，各子公司組建了自身的風險管理機構，確定全面風險管理工作的“一把手負責制”，明確總經(jīng)理、分管領導、風險管理職能部門和專職人員、對接人員等;同時，各子公司將其風險管理機構的人員名單報集團公司本部備案，接受集團本部的統(tǒng)一管理、指導、檢查等。

2. 深化共識，明確各道防線管理責任

集團風險辦作為全面風險管理的統(tǒng)籌機構，負責風險管理工作的計劃、協(xié)調、組織、檢查、督促及報告等。本部層面，明確第一道防線為風險的所有者（即風險源），是風險防控的主體，力爭通過第一道防線強化自控解決95%以上的問題，各風險責任主體的負責人及分管領導始終為第一責任人;同時，全面風險管理工作不僅是單個部門的職能，各部門、特別是專業(yè)互控部門要在整體框架下，強化整合和協(xié)同，將風險自控與互控相結合，做到風險管理無盲區(qū)、全覆蓋。所屬子公司管控層面，各子公司在本部風險辦指導下，參照本部的管理原則劃分相關職能機構的風險責任，實行董事長或總經(jīng)理的一把手負責制。

（二）制定全面風險管理相關制度，指導實踐

為建立有效的全面風險管理體系，單位制定了10多個內(nèi)部管理辦法來指導、保障實際工作。例如2017年組織印發(fā)了《風險管理委員會議事規(guī)則》、《全面風險管理制度（試行）》;2018年印發(fā)了《風險信息動態(tài)監(jiān)控與評估細則》、《經(jīng)銷商或代理商商風險監(jiān)控與評估細則》等;同時，結合突發(fā)危機情況，修訂了《危機管理辦法》并配套出臺《外部質量危機應急管理預案》等多個專業(yè)管理預案，從而完善公司對突發(fā)危機事件的管理。

（三）健全全面風險管理工作流程

1. 理順思路，建立和完善全面風險管理的基本流程

實踐中，單位開展全面風險管理的基本流程是由初始信息搜集、風險評估、制定風險應對策略、制定并實施風險管理解決方案、監(jiān)控與改進等五個環(huán)節(jié)構成。

2. 與時俱進，摸索和固化風險管理各環(huán)節(jié)的具體流程

（1）風險信息數(shù)據(jù)庫的管理流程。風險識別是開展風險管理工作的首要環(huán)節(jié)，風險辦每年定期印發(fā)各公司風險管理工作的通知，組織責任部門或單位實時監(jiān)測各自的風險信息，設計規(guī)范的表單進行報送，建立了各公司的風險信息數(shù)據(jù)庫，并不斷更新。

（2）年度風險事件簡報的管理流程。在收集風險信息過程中，發(fā)現(xiàn)前期已發(fā)生的對公司有不利影響的風險事件散落在各部門，因人員流動或時間長后很容易被遺忘，不利于防微杜漸。對此，風險辦設計了專門的表單，組織本部和各子公司定期報送已發(fā)生的風險事件，要求建立各自的已發(fā)生風險事件臺賬，風險辦定期匯總當年的風險事件信息并進行分類，提出獎懲意見，形成《年度風險事件簡報》報風委會審議，再報公司領導審批，通過簡報這個載體實現(xiàn)了信息的上傳下達，將決策、經(jīng)營、監(jiān)督有機銜接，督導各級人員重視風險事件帶來的后果。

（3）某某領域的專項風險評估管理流程。針對公司經(jīng)營的關鍵環(huán)節(jié)和重點領域，為有效識別和評估出重大風險信息，風險辦通過聯(lián)合專業(yè)互控部門等，貼合業(yè)務實際設計專項風險評估調查問卷，并組織各層級人員評估打分，匯總評分結果，出具《某某專項風險評估報告》，按流程報風委會及公司領導審批，再根據(jù)批示意見落實反饋。

（4）年度全面風險管理工作報告流程。次年初，風險辦總結上年度的風險管理工作，分析上年度已發(fā)現(xiàn)的重大風險信息及應對措施、風險管理中的問題及建議、本年度的重點工作計劃等，出具《年度全面風險管理工作報告》，按流程報風委會及公司領導審批，再根據(jù)批示意見落實反饋。

（5）風險管理的季度/年度績效考核流程。風險辦聯(lián)合公司具有績效考核職能的專業(yè)部門，定期下達年度或季度的風險管理工作績效要求，明確考核標準，風險辦側重考核日常風險信息報送的及時性和質量，年度則對漏報、瞞報及風險管理中的不作為行為加重考核，并反饋至績效管理機構，績效管理機構再綜合被考核對象已發(fā)生的風險事件影響程度和風險辦反饋的信息綜合打分。

2. 創(chuàng)新建模，統(tǒng)一和規(guī)范風險語言及標準，加強風險信息的分級管理

（1）統(tǒng)一風險語言，規(guī)范風險描述、發(fā)生可能性、影響程度等內(nèi)容;風險辦在組織風險信息監(jiān)測及報告過程中，創(chuàng)新設計日常風險信息報送的管理表單、報告等模板，實現(xiàn)統(tǒng)一管理。

明確標準，在風險識別基礎上，綜合運用風險評估工具、技術和方法，強化風險分析工作，從風險發(fā)生的概率和影響程度評估分級，分為一般風險、重要風險和重大風險。

（四）創(chuàng)新全面風險管理工作運行機制，提升管理效率

1. 建立和完善本部層面的全面風險管理工作機制

（1）風險辦組織開展公司的風險“體檢”工作，創(chuàng)新運用風險監(jiān)測、專項風險評估、風險排查及自查報告等方法，充分揭示現(xiàn)階段的風險，建立和更新風險信息數(shù)據(jù)庫、已發(fā)生風險事件臺賬，涉及的信息達千余條;遇有重大風險須立即按條線上報，并適時向公司領導同步報告，以確保安全平穩(wěn)運營。

（2）風險辦組織對各部門風險管理工作開展聯(lián)合審查、監(jiān)督跟蹤與持續(xù)報告，近三年不定期出具《風險審查報告》、《重大風險跟蹤簡報》、《重大風險階段性總結報告》等，報風委會及公司領導審議，并根據(jù)批示意見予以落實，督促改進。

（3）風險辦組織召開全面風險管理推進工作總結會議、專題會議等，傳達風險管理要求和責任，形成上下聯(lián)動機制。

（4）風險辦對各部門風險管理工作持續(xù)監(jiān)控與考核，對風險信息漏報、錯報、瞞報行為進行處理;定期考核，對于風險事件，公司視情況強化激勵與問責，不斷提升管理。

2. 建立和完善子公司層面專項風險監(jiān)控與評估的工作機制

2018年，風險辦通過聯(lián)合本部的品牌、質量等專業(yè)部門搭建了子公司重點風控環(huán)節(jié)的監(jiān)控與評估機制，擴充風險信息監(jiān)測范圍，形成“線下審核 、線上報送”的流程，建立和更新了各子公司的風險信息數(shù)據(jù)庫、已發(fā)生風險事件臺賬，涉及的信息近千條;遇有重大風險立即上報，在本部專業(yè)課部門統(tǒng)一指導下開展應對管理。

（五）培育全面風險管理文化，強化意識

集團公司領導高度重視風險管理工作，在設機構建隊伍、優(yōu)化風控環(huán)境等方面給予了極大關注和支持，一是切實加強風控隊伍建設。近年來，集團公司各部門、子公司均設立了兼職的風險管理專員，風險辦增設了風險管理專職崗位編制，并組織專職人員參加外部咨詢機構的理論與實操學習，編寫印發(fā)《專項風險管理實施指引手冊》及制作各類宣傳材料，由風險辦的專職崗位人員指導和幫助兼職人員開展具體的管理事項，使風險管理團隊的實力不斷增強，人員結構更加優(yōu)化，為有序開展風險管理工作打下堅實基礎。二是優(yōu)化內(nèi)部風控環(huán)境。集團公司董事會印發(fā)了《關于防風險促轉型的指導意見》，每年度組織召開公司的年度風控工作總結，與集團本部層面的各部門負責人、子公司負責人簽訂《年度風控管理責任書》，強化風險管理責任;風險辦定期組織開展有關風險聯(lián)合宣講、專題培訓，并輔以宣傳展板、線上考試、知識競賽活動等，極大地促進了工作的順利開展，有效營造了風險管理文化氛圍。

三、存在的問題及未來展望

在探索構建集團公司全面風險管理體系過程中積累了寶貴的經(jīng)驗，也存在不足之處，目前仍處于邊摸索邊總結階段，例如部分風險揭示不夠深入，風險應對的管理措施還有待完善，全員風險管理意識仍有待增強，全面風險管理的成效還需進一步提升，公司各類管理體系之間也有待整合、深化完善等。

全面風險管理體系的構建不是一蹴而就的，而是一個長期、系統(tǒng)工程，只有各項核心要素與支撐性要素之間水平匹配，協(xié)同運行，方可使風險管理體系穩(wěn)定運行。查理.芒格說過“宏觀是我們必須接受的，而微觀才是我們可以有所作為的”，未來我們要把創(chuàng)新作為履職的動力源泉，以公司戰(zhàn)略目標和經(jīng)營目標為導向，著力圍繞風險管理制度設計與建設、體系運行機制、管理模式等持續(xù)創(chuàng)新。主要從以下方面展開：一是，立足全覆蓋，創(chuàng)新風險管理工作機制，努力將風險管理從一個點延伸到整個面，實施更加精準有力的風險管控，使短期目標與長期目標相結合，做到風險無死角，無盲區(qū)。二是，強化風險監(jiān)測、風險審查等，在風險揭示中不斷促進責任部門或單位應對防范能力的提升;通過風險報告加強上傳下達，獲得公司高層管理團隊的指導和支持，把握工作重點和方向，深入推進，切實發(fā)揮防控風險的職能。三是，嘗試開展風險管理信息系統(tǒng)的建設，實現(xiàn)風險信息共享機制;整合內(nèi)部控制和風險管理兩大體系，完善基于風險導向的內(nèi)控體系建設;充分利用信息系統(tǒng)之間的可集成性，將內(nèi)控與風險管理融入現(xiàn)有的業(yè)務流程中，提高管理體系運行的效率和效果。

四、結語

面對新機遇、新挑戰(zhàn)，全面風險管理體系就像為集團公司打造的一件“軟猬甲”，在激烈的競爭環(huán)境中能幸運抵擋或避開各類風險的襲擊，把風險控制在可控范圍內(nèi)，合理保證經(jīng)營目標的實現(xiàn);同時，在經(jīng)歷風險后依然能蓬勃發(fā)展，并在發(fā)展中提質增效。

（作者單位：馬應龍藥業(yè)集團股份有限公司）