每一个组织，无论是以盈利为目的的，还是不以营利为目的的，或者政府的团体，它的存在都是为了为其股东提供价值。所有的组织都面临不确定性，管理者面临的挑战就是确定组织在竭力增加股东价值的同时它准备接受多大的不确定性。不确定性表现为风险和机会，伴随着侵蚀或者提高价值的潜在性。企业风险管理为企业管理者提供了一个有效处理不确定性以及相关风险和机会、从而提高其增加价值能力的框架。

企业风险管理是组织的董事会、管理层和其他职员实施（effect）的一个过程，它应用于战略制定并贯穿整个企业，用来识别可能影响组织的潜在事项、并把风险控制（manage）在组织的风险偏好之内、为实现组织的目标提供合理保证。企业风险管理的内涵包含以下内容：

一、企业风险管理是一个过程，是实现目标的一个工具，本身并不是目标

企业风险管理不是一个事项或单一的事件，而是一系列渗透在组织活动中的行为，这些行为普遍深入并内在于管理者经营企业的方式中。虽然有效的企业风险管理需要增加耗费（effort），如风险评估可能需要增加耗费来开发所需的模型和进行必要的分析和计算，但是，这些以及其他企业风险管理机制是与组织的经营活动缠绕在一起的，并因为基本的商业理由（business reasons）而存在。如果这些机制内置于组织的基础组织（infrastructure）并成为企业核心要素的组成部分，那么企业风险管理会非常有效。通过构建企业风险管理体系，组织可以直接影响其实施战略和实现其远景或任务的能力。

内置企业风险管理体系对成本控制（cost containment）也有重要的意义，尤其是在那些许多公司所面对的高度竞争市场。增加独立干当前程序的新程序会增加成本，但是，通过集中于当前的经营以及它们对有效企业风险管理的贡献，并把风险管理整合到基本的经营活动中，组织可以避免不必要的程序和成本。而且，把企业风险管理内置于经营结构中的实践有助于管理者在成长的业务中识别并抓住新的机会。

二、企业风险管理是由人实施的，它不仅是政策、调查和表格，而且涉及组织每一层次的人

企业风险管理是由董事会、管理者以及其他人员实施的。它是由一个组织中的人以及其言行来实现的，人们确立了组织的任务/远景、战略和目标，并实施企业风险管理。人们不会总是一贯的理解、沟通或完成任务，每一个人都把一个独特的背景和技能带到工作场所，并且有不同的需要和优先权。这些事实影响着企业风险管理，也受到企业风险管理的影响。每一个人都有一个特有的参照点（point of reference），它影响着他们如何识别、评价风险以及如何对风险做出反应。企业风险管理提供了帮助人们理解组织目标背景下的风险所需要的机制，人们必须知道他们的职责和授权的界限。因此，人们的职责既要与组织的战略和目标存在清晰、紧密的联系，又要与人们履行职责的方式存在清晰、紧密的联系。

组织的人员既包括管理者和其他员工，也包括董事会。尽管董事主要是进行监督，但是他们也提供指导以及批准战略、某些交易和政策，所以，董事会也是企业风险管理的一个重要构成要素。

三、用于战略制定的过程中

组织确立其任务或远景，并制定战略目标，这是与远景或任务一致并提供支持的高层次目标。组织制定一个实现其战略目标的战略，它也会制定它想实现的相关目标，从战略流出，呈瀑布状分解到业务单位、部门和过程。在制定战略的过程中，管理者要考虑与战略选择相关的风险。

四、应用于企业的每一层次和单位，包括检查组织层次的组合风险

为了成功的应用企业风险管理，组织必须考虑其整体的业务范围。企业风险管理考虑组织所有层次上的活动，从企业层次的战略计划和资源配置等活动，到业务单位的市场营销和人力资源等活动，到业务过程的生产和新客户信用审核等。企业风险管理也应用于特殊的项目和可能在组织的层级或组织图中还没有指定位置的新的开创性行动。

企业风险管理要求组织检查组合风险（take a portfolio view of risk）。这会涉及到每一个负责业务单位、职能、过程或者其他评估该单位风险的活动的管理者。这种评估可以是定量的，也可以是定性的。用综合的视角来看待后续的每一组织层次，高级管理者定位于决定组织的总体风险是否与其风险偏好相当。

管理者要从企业整体的角度考虑相关风险，识别并采取行动把全部风险置于企业的风险偏好之内。企业单个单位的风险可能在单位的风险容忍度之内，但是若把这些风险加在一起总体上可能超过了企业的风险偏好。通过为特定目标制定的风险容忍度可以反映企业的总风险偏好。(www.daowen.com)

五、用来识别潜在影响组织的事项，并把风险控制在其风险偏好之内

风险偏好是一个企业为了寻求价值乐意接受的风险数量。所有企业经常定性地考虑风险偏好，例如用高的、中等或低的级别，或者他们可能采取定量的方法，反映并权衡发展、利润和风险目标。风险偏好直接与企业战略相关。在制定战略时应加以考虑，想从战略中得到的利润应与企业的风险偏好一致，不同的战略将使企业面临不同的风险。应用于战略制定中的企业风险管理有助于管理者选择与企业的风险偏好一致的战略。

企业风险偏好指导资源分配。为从投资的资源上获得期望的回报，企业的风险偏好和独立的营业单位的战略是管理者分配资源应考虑的因素。当企业调整它的组织、人力和过程时，管理者考虑企业的风险偏好并设计必要的基础结构以有效地反应和监督风险。

风险容忍度是相对于目标实现而言可以接受的变化水平。在制定专门的风险容忍度时，管理者考虑有关目标的相对重要性并把风险容忍度与它的风险偏好结合起来。在风险容忍度之内经营给管理者提供更大的保证：企业维持在风险偏好之内，从而，给企业实现它的目标提供更高程度的帮助（comfort）。

六、为组织的管理者和董事会提供合理的保证

事先设计好的并被执行的企业风险管理能为管理者和董事会提供关于实现企业目标的合理保证。作为被确认为有效的企业风险管理的结果，在每个企业目标里，董事会和管理者获得以下合理保证：

（一）他们了解企业的战略目标被实现的程度；

（二）他们了解企业的经营目标被实现的程度；

（三）企业的报告是可靠的；

（四）遵守适用的法律和法规。

合理的保证反映了这样一种观念：不确定性和风险与未来有关，没人能确切地预测。局限性也来自于这样的现实：人们决策中的判断可能不完善，风险响应和制定控制的决策需要考虑相对成本和利润，崩溃能够因为人们诸如简单的错误或过失等失败而发生，两个或多个人的共谋能绕过控制，管理者有能力使企业风险管理决策失效。这些局限性阻止董事和管理者得到将实现目标的绝对保证。

七、与实现一个或多个独立但又重叠范畴中的目标相关联

有效的企业风险管理预期可以提供以下合理保证：实现与报告可靠性及遵守法律和法规有关的目标。那些目标的实现是在企业的控制之内并取决于企业有关活动被实施的程度。但是，战略和经营目标的实现不总是在企业控制之内的，对于这些目标，企业风险管理仅仅能够提供以下合理保证：管理者和担任监督作用的董事可以及时的弄清企业向目标前进的程度。