风险是可以靠加强内控和审计“管住”的吗？
建立并实施严格的内控机制，就能守住风险？答案是否定的。更新版框架表示，内控只是关注主体运营对于相关法律法规的遵从性。可见它不过是在公司治理的董事会、监事会、高级管理层治理结构确立之后，为保证经营管理层合法、合规履职所建立的控制性机制。“企业风险管理的相关概念并没有包含在内部控制中（如风险偏好、风险承受度、战略和目标设定等，但却是内部控制体系实施的前提）。”换言之，不能指望以内部控制去有效约束董监高管理层本身。另一方面，由于经营管理层本身作为代理人，可能出现对内控制对外蒙蔽内情的弊端，还可能给委托人制造新的风险。
更新版的风险管理框架明确，董监高对风险监督负有重要责任。其中，风险被定义为事项发生并影响战略和商业目标实现的可能性。相应的，企业风险管理指“组织在创造、保持和实现价值的过程中，结合战略制定和执行，赖以进行管理风险的文化、能力和实践”。可见企业风险肇始于董监高最初对企业战略、风险偏好、企业文化的设定和企业资本资源的承受能力。简言之，风险管理的初始点需要提升（Elevate）至设定战略和目标的董监高经营管理层层面。要有效防范风险，更新版框架强调企业应明晰战略风险，首先董事会对主体的风险监督应负首要责任（我国银行业风险管理的三道防线中，称之为“最终责任”），确认董事会和管理层对风险治理的责任分配。
通过严格的内外部审计，是否就能规避企业风险？回答也是否定的。迄今为止的审计，都不过是“为了查明有关经济活动和经济现象与已制定标准之间的一致程度，而收集和评估证据，并将结果传递给相关方使用的过程”。因此，无论是内部审计还是社会中介第三方审计等形式，只能被动给出现状与标准之间的差距，却不能对标准的设置和战略的制定提出出于企业风险管理目的的战略调整要求、或标准修订意见。与内控相比，审计不过是一种对执行过程和结果的评估。况且内部人控制问题依然存在，与内控相比甚至有过之而无不及。
在更新版风险管理框架下，风险管理被提升到了战略的高度，包括战略和业务目标与企业使命、愿景和价值观不匹配的可能性；选定的战略制定所隐含的、执行过程中才出现的风险。这是目前内控和审计力所不逮的地方，或许也正是内控和审计今后在风险防范中需要特别关注的风险导向型审计的扩展方向。
在美国爆发的次贷危机中，雷曼兄弟的*是一个被经常引述的经典案例。这家158年老店所虽拥有成熟内控机制，加上作为全球四大之一的安永会计师事务所常年审计，却未能有效防控企业风险，就是个最好的说明。
企业经营的目标就是 “利润最大化”“价值最大化”吗？
企业经营就是要创造尽可能多的利润？更新版的企业风险管理框架，通过图示甚至是以量化的方式，否定了企业无限追求最大利润的风险制约条件。
企业的绩效往往跟风险正相关，并且随绩效的增长风险呈加速增长态势（如图中蓝色部分）。而企业的可利用资源多寡决定了其抗风险能力高低。最大抗风险能力限额（如绿横线）、企业经营战略、风险偏好（即主体在追求战略和业务目标的过程中愿意承受的最大风险量，如图中的红色横线）一经设定，企业的绩效目标（图中紫色竖线）就基本确定。因为市场波动带来的绩效波动（图中围绕紫线的红色虚线框）可能带来的最大风险点A必须控制在市场风险形态和抗风险能力边界范围内。
显然，企业经营的战略设定，决定了绩效目标和可接受的浮动范围。然而，实践中企业绩效考核往往直接或间接与利润挂钩，或与企业价值挂钩，变相鼓励了对利润的最大化追求而忽视了资源限制和风险的剧增。回到前面提到的雷曼兄弟*案例，其抗风险的自有资产比率低，而公司高层对其明星交易员债券衍生品高回报、高风险交易视若无睹，片面追求利润和绩效，在市场波动时超过了其抗风险边界，是最终未能抵御企业*风险的直接原因。追求企业价值最大化有什么错吗？长期以来，很多企业特别是上市公司，宣称企业经营的目标就是要为*创造最大企业价值（现值或者远期）。这个口号听起来的确振振有词，但不免让人感觉过于粗放和缺乏人文精神，至少没有风险意识。
从上图看，在更新版风险管理框架中，在既定的企业资源和设定的战略目标下，管理层一旦确定风险偏好，市场波动区间基本上就限定了绩效目标水平和绩效的可能波动区间（虚线部分）。换言之，确定的绩效目标是否达成是根本，争取绩效最大化的空间不过是极其有限的市场波动区间。企业价值增值主要来源于所创造的绩效。
显然，在风险和战略、绩效相整合的情况下，不顾资源、战略和风险偏好制约枉谈企业价值最大化，并无多大的实际意义。企业片面追求价值最大化的一个不良激励是企业过分注重扩张资产负债规模，而不考虑经营的效益和资源使用的效率。从会计和资产负债表意义上，企业规模在持续扩大，利润总额继续增长。但在经济学意义上机会成本不断增大，资源使用的边际效益却在持续递减。正如英国经济学家舒马赫在《小的是美好的》一书中所言，那些仍旧痴迷于对“大”进行追求的企业，往往以资源的大量消耗、浪费和环境的破坏为代价。正如在宏观层面片面求GDP一样。从新版风险管理框架看，既非“大的是美好的”也未必“小的是美好的”，适宜的才是最好的。如何才是适宜的？这就需要回归到企业或机构创始的使命、愿景和价值上来。
企业文化与核心价值是否真的虚无？
“全面风控、全员风控”。风控，那是风控部的事---对吗？这对现代企业来说已经不成其为一个问题。然而实践中，“业务开发和市场营销部门的职责就是奋力开拓产品和市场，至于风险，会有专司风险管理的风控部门去制衡和把控。”---这是在市场竞争加剧状态下，诸多竞争中企业风险追管理文化氛围的典型写照。新版风险管理框架则要求，无论身居各个不同业务部门，从董事会到普通员工，必须通过时常的检视（Examine），自上到下始终全面贯彻保持企业风险文化的一致性。
新框架倡导将风险管理框架设置提前到企业战略目标设定和文化建设的始发端，认为建立一个所有员工都贯彻一致的企业文化对于企业抓住绩效机遇、规避风险至关重要。为此，从企业创立的源头开始梳理、从企业使命、愿景和核心价值出发，应将风险管理定位始于董事会，直至每一位基层员工，将其作为绩效管理不可分割的组成部分，而不仅仅是一个风控部门业务管理的操作流程。这对企业风险管理来说是一场观念的变革，它要求企业全体员工增强主人翁精神和风险担当意识。有此担当，企业风控、内控、内审和外部审计的压力将得到大幅缓释，内控和审计将更多地转向以风险导向的审计工作和战略决策、管理咨询业务。
“不忘初心，方得始终。”企业，要在激烈的市场竞争中生存，就要不择手段强大自我，遵守丛林法则---是吗？君不见，沧海横流大浪淘沙，“卑鄙是卑鄙者的通行证，高尚是高尚者的墓志铭”；多少企业“英雄”不问出路，活在当下不择手段，不管何种产品和业务有钱放手赚。然而，更新版风险管理框架却站在人文关怀的角度，倡导企业发展和风险管理应不受诱惑，坚守企业创设的使命、愿景和核心价值初衷，将风险管理从传统的“管理流程或程序”提升到难以理解的“一种文化、能力和实践”，这种高位初看难免让人匪夷所思。
如果放眼历史的长河，从企业生存发展生命曲线的角度，纵观众多让人尊重和敬仰的企业，有多少已然陨落，又有多少依然灿烂辉煌？据称兰德公司跟踪研究了世界上众多百年老店，得出的重要结论是，长寿企业都遵循人的价值高于物的价值、共同价值高于个人价值、社会价值高于利润价值、用户价值高于生产的价值。苹果公司的乔布斯认为，苹果公司的动力“来自产品，而非利润”；杜邦公司的核心价值观是“责任与关怀”；谷歌公司的一个著名核心价值观是“不作恶”（Don'tbeevil）。
在重大风险抉择面前，发挥决定性作用的，往往取决于企业使命、愿景和核心价值，以及面对诱惑或威胁，是否仍坚守如初。为此，新版风险管理框架还特别提出了全面风险管理应吸引、发展并留住优秀的个体，致力于根据战略和业务目标构筑人力资本，通过在不同层面建立人力资源管理体系来吸引、培训和指导人才，评价和留住人才，通过人文关怀落实企业文化和愿景初衷。
