一、全面风险管理的发展演变

全面风险管理起源于、发展于企业，最近几年呈现出向政府部门、事业单位扩展的趋势，但还没有引起基层单位的高度重视。

2004年9月，美国COSO委员会正式颁布《企业风险管理一整合框架》( Enterprise  Risk Managemen---Integrated Framework，简称ERM)，不仅进一步拓展了内部控制的作用，而且更加关注全面风险管理，被认为是全面风险管理框架的确立。我国国资委认真学习、借鉴，于2006年发布《中央企业全面风险管理指引》，推动中国企业建设全面风险管理体系。

2008年金融危机以后，世界范围内持续的经济下行压力使得学界和业界对于风险管理的热度不减。如何应对既有风险管理理论及实践面临的挑战，开展跨学科、多学科的理论创新、实践创新具有鲜明的现实意义。COSO委员会也在2016年12月公布了一项针对2004年EMR框架的修改草案，2017年9月正式公布新版全面风险管理框架。

在新版全面风险管理框架中，“风险被定义为，事项发生并影响战略和商业目标实现的可能性；风险管理则被定义为，组织在创造、保持和实

现价值的过程中，结合战略制定和执行，赖以进行管理风险的文化、能力和实践。”其重要意义在于:

①从“整合式”变成“嵌入式”，将风险管理工作直接融入战略、绩效、业务管理的工作中去，实现组织创造、保持和实现价值；②从“控制框架”变成“管理框架”，这是一场管理理念变革，从组织使命、愿景和核心价值出发，嵌入管理业务活动和核心价值链，提升组织的绩效；③从狭义的“企业”向广义的“组织”延伸，COSO委员会希望这个框架不仅适用于企业，而且适用于非盈利机构、政府部门等任何类型、规模的组织。

习近平总书记高度重视全面风险管理。2019年1月21日，他在省部级主要领导干部坚持底线思维着力防范化解重大风险专题研讨班开班式上指出:“面对波诡云谲的国际形势、复杂敏感的周边环境、艰巨繁重的改革发展稳定任务，我们必须始终保持高度警惕，既要高度警惕‘黑天鹅’事件，也要防范‘灰犀牛’事件；既要有防范风险的先手，也要有应对和化解风险挑战的高招；既要打好防范和抵御风险的有准备之战，也要打好化险为夷、转危为机的战略主动战”。2020年2月23日，他在统筹推进新冠肺炎疫情防控和经济社会发展工作部署会议上进一步指出:“要时刻保持如履薄冰的谨慎、见叶知秋的敏锐，既要高度警惕和防范自己所负责领域内的重大风险，也要密切关注全局性重大风险，第一时间提出意见和建议”。这些精神，为我们的行动指明了前进方向，提供了根本遵循。

二、高等学校风险管理的类型

最近几年，财政部、教育部也在推进行政事业单位、高等学校的内部控制和风险管理，教育部要求高校从控制环境、预决算管理、收入管理、支出管理、债务管理、采购管理、资产管理、建设项目管理、合同管理、科研管理、财政专项项目管理、经济活动信息化管理、教育基金会管理、所属企业管理、附属单位管理等方面进行内部控制建设，加强风险管理。高校尽管在有序推进相关工作，但尚未上升到高度重视的自觉行为，甚至有领导本能地认为高校不是经济部门，风险不大，不应夸大其词，过度紧张。

就全面风险管理视角而言，高校的根本任务是人才培养，科学研究、社会服务、国际交流等服务于人才培养，这些环节都存在程度不同、类型不同的风险隐患。换句话说，高校有些业务活动从表面上看，不是直接的经济活动，但背后却关联着资源、资产、资金配置，涉及权力运行、内部治理，也存在风险隐患。本文基于全面风险管理的视角，简单地从顶层设计和基层实践、经济活动和非经济活动、人才培养和科学研究等维度分析高等学校的风险类型及隐患。

1.顶层设计和基层实践风险

顶层设计理念是高校办学思路、发展定位和战略规划的理论先导，顶层设计架构是对事关高校发展大计的重要目标、重大举措、执行策略、执行步骤的综合构想及实施方案。不仅高校层面需要顶层设计，部门层面、学院(系)层面也需要顶层设计。鉴于高校决策层、管理层对顶层设计的理解和重视不同，存在的风险类型和缺陷程度亦不同，例如:高校定位、办学思路不够准确；发展规划、实施路径不够清晰；岗位设置、资源配备不够合理；管理流程、职责权限不够优化；权力清单、权力制衡不够科学；决策过程、决策机制不够科学；舆论引导、信息公开不够及时；智慧校园建设、数据统筹共享不够有力等。

基层实践风险是相对于顶层设计风险而言的。上面千根针，下面一条线。基层工作内容繁杂、头绪繁多、任务繁重、充满挑战。“制度的生命力在于执行。基层是确保各项措施落实到位的关键所在。有了好的顶层设计，最重要的就是强有力的执行，就是基层结合实际的贯彻落实。实践中，部分基层人员学习能力不强，责任意识、规矩意识、流程意识薄弱，对制度缺乏敬畏，不按照制度行事，钻制度空子、打擦边球，甚至随意曲解制度，不作为、慢作为、懒作为、乱作为时有发生，导致不同单位存在不同类型、不同环节、不同程度的风险。”

2.经济活动和非经济活动风险

经济活动中最典型的就是财务收支、资产管理、政府采购、工程基建等风险。例如，财务管理:全面预算编制不科学、不合理，预算调整程序不严谨、不规范；绩效评价的及时性、有效性、科学性不够；债务、投资风险评估、应对不力。资产管理:固定资产清查盘点不认真，资产流失、账实不符等；固定资产处置方案不合理；无形资产入账不及时，计价不准确；大型贵重仪器设备开放共享不够等。政府采购管理:拆分合同，应该招标不招标、应该校外招标而校内招标；评标专家选择狭隘、人数不符合规范；招标条件制定有针对性等。建设工程管理:建设标准的制定不科学、施工单位的选择不公平、工程价格的确定不合理、施工进度的控制不得力、工程质量的把关不严格等。

非经济活动中最典型的是人才管理、合同管理、安全管理等。例如，人才管理:人才引进标准、条件不透明，自由裁量权较大；绩效考核标准不精准、操作遭垢病；岗位设置结构、比例不合理，与学科发展规划不匹配；职务晋升、职称评审、评奖评优、出国深造等机会的赋予不科学、不公平、不公正。合同管理:管办分离、归口管理不够，在标准模板制定、合同会审机制、审签人员素质等方面不完善、不匹配，信息查询、档案管理不及时、不准确、不完整。安全管理:实验试剂，危险及有毒、有害物品管理不当；废气、废水、废渣处置不力；学生宿舍公用物品及私人物品的使用、保管存在漏洞；实际住宿人数、人头不匹配；进出校园人员、车辆管理不够得力，效能低下；公共卫生意识薄弱，食品安全控制、公共环境处理、传染病预防等存在隐患。

3.人才培养和科学研究风险

人才培养是高校的第一要务，高校立身之本在于立德树人，只有培养出一流的人才，才能够成为一流大学。高校要坚持把立德树人作为根本任务，实现全员育人、全程育人、全方位育人，培养德智体美劳全面发展的社会主义建设者和接班人。但因为机制体制、人员素质、办学条件等因素，也存在形形色色的风险，例如:意识形态责任制落实不到位；办学经费筹措不力；优秀师资流失；学科地位降低；生源质量下降；专业方向陈旧；课程体系老化；教学方式方法落后；学位论文质量把关不严；生活作风问题屡见不鲜；招生考试、学业考核、论文评价等环节权力寻租；学生管理不够细致、心理疏导不够有力、帮扶学生不够及时、评奖评优不够公平、校园欺凌及校园欺诈处置不力等。

科研管理的风险也不容忽视。比如，科学研究的选题不仅没有引领科技进步、社会发展，反而有违公序良俗，犯意识形态错误；科研团队、人员的组织不科学、不合理，影响科研进度、成果质量，甚至学术不端、学术腐败屡禁不止；项目立项评审、中期检查、结项验收不够细致、严谨、专业；预算编制不合理、监管措施不得力、绩效评价不扎实、外包业务审查不严格；产学研平台管理不细致、不严谨，科技成果开发、转让缺乏经验和智慧，陷入经济或知识产权纠纷，造成经济损失并影响声誉，高校承担连带责任等。

三、提高高校治理效能的路径

党的十九届四中全会对把制度优势转化为治理效能提出了明确要求，具有开创性和里程碑意义。我们应该与时俱进，结合全面风险管理理念，学思践悟，联系实际，积极推进高校治理体系和治理能力现代化。不管是决策层、管理层，还是普通教职员工；不管是从事教学工作，还是教辅工作；不管是涉及经济活动，还是非经济活动；不管是参与顶层设计，还是基层实践，都应该注重理念更新，能力提升，协同发力，提高效能。

1.重视全面风险管理

从理论上说，任何一个组织，有明确的愿景、使命和核心价值观，设定了预期目标，就具备了实施全面风险管理框架的条件。COSO委员会2017年版全面风险管理框架正文的描述中，有些内容就故意回避了“企业”一词，而使用“组织”一词。但是，目前实施全面风险管理的主体还是企业，对非盈利机构、政府部门、事业单位等而言，还是一个新的领域。

风险管理、内部控制不仅仅是高校各级领导、行政人员、内部控制联络员的事情，也是每个师生员工的事情，每个人都是人才培养、科学研究、社会服务链条中的一环；不仅要重视财务管理、基建后勤、校办企业、附属单位、合作办学等经济活动，也要重视选人用人、发展规划、生活作风、学术不端、教学监控等涉及权力运行的非经济活动。所以，要结合高校教学、科研、管理的实际，落实全员、全程、全方位育人，树立全员控制、全过程控制、全面风险管理的意识；结合具体业务过程、工作流程，注重问题导向、风险导向，兼顾顶层设计和基层实践，勇于发现、研究、改进管理缺陷和不足。

2.提高顶层设计质量

顶层设计“原本是源于自然科学或大型工程技术领域的一种设计理念，它是针对某一具体的设计对象，运用系统论的方法，自高端开始的总体构想和战略设计，注重规划设计与实际需求的紧密结合，不仅从系统和全局的高度，对设计对象的结构、功能、层次、标准进行统筹考虑和明确界定，而且十分强调从理想到现实的技术化、精准化建构，是铺展在意图与实践之间的‘蓝图’。”“顶层设计与制度建设密不可分。因为顶层设计旨在为从无序走到有序而创建或变革某一项制度。顶层设计是以制度建设为依托的，没有制度建设，就没有顶层设计。顶层设计旨在通过制度建设来完成结构优化。”顶层设计在治理体系中属于决策层次，把方向、谋大局、定政策，需要理念和能力的统一:能力充分，理念不对，影响事业；理念正确，能力不足，也影响发展。高校相关领导层、决策层，一定要结合工作实际，加强理论学习，认真调查研究，重视学以致用，切实将“高端战略性、填密科学性、整体系统性、统筹协调性、先后顺序性”等融入顶层设计，提高顶层设计的质量。

3.增强风险管理能力

增强驾驭风险本领，健全各方面风险防控机制是习近平总书记明确提出的要求。首先要强化全面风险管理意识。这是风险管理的关键。明确风险管理必须融入各项业务工作，增强风险管理责任感、使命感、紧迫感，在教学、科研、管理第一线，及时设想、发现、研判风险隐患、风险类型，未雨绸缪，抓早抓小，防微杜渐。既要有防范风险的先手，也要有化解风险的高招。其次要提高识别风险的能力。这是风险管理的基础。要及时识别风险，既要警惕“黑天鹅”事件，也要防范“灰犀牛”事件，高度重视包括战略风险在内的新兴的、没有规律的、难以预期的、难以量化的、非持续性的风险，尽量科学定性、准确定量。不能反应过度，也不能掉以轻心。再次是提高应对风险的能力。针对不同的风险类型和缺陷程度，统筹兼顾单位文化、风险偏好、风险容量、机制体制、控制环境等因素，合理确定风险应对策略。完善风险防控机制，健全风险管理的组织职能体系、信息管理系统和内部控制系统，提高风险研判、评估、应对的协同效能。强化风险防控责任机制，责权利清晰、匹配，上下联动，左右协防，实现风险管理的总体目标。

4.做好内部控制工作

内部控制是风险管理工作的基础和组成部分。高等学校要结合办学特点和根本任务，按照财政部、教育部相关要求(如《行政事业单位内部控制规范(试行)》《行政事业单位内部控制报告管理制度(试行)》《教育部直属高校经济活动内部控制指南(试行)》等)，扎扎实实做好内部控制建设和评价工作。一是重视建设。强化顶层设计，注重系统性、有效性、时效性、长效性，建立健全管理制度；强化真抓实干，分析业务流程，明确业务内容，剖析风险隐患，选择应对策略；保证单位内部权力配置的科学性、合理性、公平性，完善分事、分岗、分级的控制要求；强化数据先行，善于运用互联网技术和信息化手段开展工作，提高内部控制的智能化水平。二是加强评价。既要注重客观评价，又要注重全面评价。通过自查自纠、外部督查等多元化方式，对单位风险管控体系进行全面检查，科学识别、系统评价已有风险、未来潜在风险、内部控制体系的设计风险和执行风险、经济活动风险和非经济活动风险等，深入揭示和评价单位面临的风险和问题，促进及时整改，努力将剩余风险转化为可控的风险，着力提高内控水平。