回到目录      
三九,曾经是一个深陷危机的企业。2007年,并入华润大家庭后,华润三九又开始焕发出新的生机,业务快速增长,业绩大幅提升,至2009年净利润复合增长率达到47%。但公司在快速发展的同时不免积累了一些风险,同时,医药行业正处在产品安全风险的风口浪尖上(2008年连续出现了完达山制药厂“刺五加注射液”和山西太行药业“茵栀黄注射液”的不良反应事件,引发了公众对药品安全的极大关注)。这对华润三九来说,都是考验和挑战。作为一家有高度责任感的药品生产企业,一个曾经经历过“伤痛”的企业,华润三九开始思考如何构建一个风险管理体系,可以有效地识别风险并将其控制在合理水平内。2009年6月,华润三九启动了“全面风险管理及内部控制评价”项目,确定了项目的组织架构,成立了由审计、财务等多部门联合组成的项目小组,开始了全面风险管理的探索之路。

流程监控,建立内部控制体系

初步确定了建立风险管理体系的目标后,我们决定从流程层面风险入手,首先控制住关键流程的风险。

经过初步风险评估,2009年,公司首先选择了风险较高的生产与存货、采购与付款、销售与收款、固定资产、资金与投资管理、IT等6个关键业务流程,建立了控制体系;2010年又将流程层面的控制体系延伸到研发、人力资源等其他7个重要流程,并在三九医贸、雅安三九、安徽金蟾、九星印刷4家重点控股子公司进行风险管理体系的推广。至2011年末,公司流程层面的控制体系已覆盖14个业务流程,并完成了14家控股子公司的内部控制体系建设,使公司内部控制体系涵盖了全部重要业务流程和下属企业。

流程就像是遍布在公司肌体里的血管,其所有业务均要通过大大小小的流程得以实现。因此在项目实施过程中,对流程的风险识别是起始点和关键步骤。操作中,我们首先将大的流程划分为小的子流程,针对子流程识别可能的风险点,分析后形成风险清单。针对每个风险点,寻找对应的控制点,对其进行穿行测试、控制测试,评估现有的控制是否有效,是否存在相关缺陷。如发现缺陷,则形成缺陷报告,由责任部门制订整改计划进行整改,从而保证控制的有效性,并通过定期评估机制使控制点得以持续优化。

如此,将风险与控制紧密结合,确保所有风险均被有效控制所覆盖。而公司总部各部门的风险及内控管理员,则扮演着流程中日常风险识别及内部控制管理“守门人”的角色。

“1+3+4”,打造全面风险管理体系

在流程层面的风险得到有效控制后,公司开始关注整体层面的风险,着手建立“1+3+4”的全面风险管理体系,即一个流程、三道防线、四个系统。

全面风险管理作为一个体系,必须有相应的组织机构去支撑。如何设置风险管理职能?经过多次讨论,公司决定采用“三道防线”的组织架构—— 公司内部各业务部门负责本业务流程风险的识别并维护内部控制的有效实施,是风险管理的“第一道防线”;董事会秘书处作为风险管理的职能部门负责风险管理的日常工作,对风险信息进行定期收集与评估,培训业务部门的风险管理人员,并协助其建立控制体系,是“第二道防线”;审计监察部是“第三道防线”,负责对公司第一、第二道防线的有效性进行独立评价,检查其职责履行情况。

相对于流程层面的风险,公司整体的风险识别更为抽象,因此需要有一套风险管理的工具和流程帮助识别,进而对风险进行控制。风险评估流程就是通过风险信息的收集、风险辨识、风险分析和风险评价,识别公司在战略、运营、市场、财务、法律等方面面临的各种风险。

2010年我们实施了首次风险评估流程,识别出了公司面临的十大风险。2011年我们再次通过风险评估流程识别了公司前十大风险,即人力资源政策、原材料市场、人力资源管理、投资并购、市场竞争、战略规划/目标、产品质量与安全、企业文化、品牌管理和下属企业管理风险。可以看出,这一结果与公司面临的实际问题非常契合。并购风险在2011年的评估中上升为第四大风险,而此时正是公司为实现“中国OTC行业的引领者,中药处方药行业的创新者”的目标,加速向内涵式发展和外延式发展并重转变的过程。

比识别风险更有价值的是其后的成因分析,通过落实相关风险责任部门,制定风险应对策略及解决方案并组织实施,从而使风险降低到可接受范围。同时,为更好地落实应对策略和解决方案,风险管理职能部门将对解决方案进行持续的监督,审计部也将针对高风险的领域开展独立评估工作。

风险管理的四个系统分别是:风险管理文化系统、内部控制系统、风险管理信息系统和风险管理绩效考核系统。

风险管理文化系统是风险管理的基石和粘合剂。通过专题培训、网络及邮件等形式发布风险管理信息,在整个公司范围内推广全面风险管理理念;通过定期发布《华润三九案例——风险篇》,讲述近期发生的重大风险事件,分析事件发生背后的原因,总结风险点,提出风险改进建议。通过风险管理的文化培育,将风险管理四个系统联结起来,使风险管理体系得以有效运作。

内部控制系统则覆盖了关键流程的风险,将控制内化在流程中,通过日常维护和每年定期的自我评价,保证风险降低到合理水平。

公司目前的风险管理信息系统主要体现在风险管理基本流程中,包括风险信息的收集、整理、汇总、传递、交流及汇报的全过程以及各业务部门的重大风险报告机制和内部控制失效报告等相关过程。

风险管理绩效考核系统是风险管理落地与执行的保障,重大风险应对措施的落实情况会纳入到相应业务或职能部门的年度绩效考核中,下属企业的内部控制体系建设情况也应纳入各公司的业绩合同,从而促使各业务单元、职能部室认真执行风险管理工作。

让风险管理创造价值

华润三九风险管理体系建设虽然仍处于起步阶段,但已逐渐显现其价值。定期的风险评估流程促使管理层及流程人员更加关注风险,利用风险评估工具,管理层开始有意识地、系统地思考风险,量化地评价风险的影响,形成对风险的统一认识,并有针对性地采取应对措施;员工也开始了解自己所处的流程所直接面对的风险,正确应对。风险意识的提高不仅保障了公司的持续健康发展,另一方面,风险评估的过程,也是机会发现的过程,公司可以主动选择那些带来收益的风险,带动业务成长。

回顾华润三九风险管理体系建设的过程,其间经历了很多困难,但随着项目实施的推进,越来越多的下属企业意识到了风险管理的重要性,积极主动地参与到这个过程中来。除日常沟通、指导外,很多下属企业开始主动邀请公司总部的项目组成员参加其项目成果报告会,并在风险管理的过程中,系统梳理流程和相关制度,如雅安三九在项目进程中共修订管理制度71项,金蟾生化借助项目的机会修订管理制度53项,极大地提升了企业的管理水平。

所谓“言前定,则不跲;事前定,则不困。”2012年,华润三九将继续推进风险管理体系建设,开展质量风险体系、研发项目风险识别等专题风险管理项目,并计划实施风险指标建设项目,初步实现风险预警功能,让全面风险管理理念深入企业肌理,更好地让公司把握机遇,化危为机。

回到目录      下一页