風險管理是對企業所面臨的各種風險進行識别、分析、衡量、評價，并适時采取有效的方法進行防範和控制，用經濟合理的方法來綜合處理風險，以實現最大保障的科學管理方法。

 

企業風險管理策略之一是加強對管理過程的控制，利用程序化和标準化管理過程方法，構建運營結果和績效的可控性和确定性。這種利用控制機制防禦風險的策略，源于安全事故領域的“人造災難”思想。大型安全事故和災難，本質上源于有問題的組織行為和管理過程，都可以追溯到管理上和組織上的某些失敗。缺乏安全風險意識、松懈的管理習慣和過分追求利潤最大化等原因，使得有問題的管理決策和組織行為沒有被發現或故意被忽視，導緻安全系統脆弱性增加，為事故和災難的發生創造了先期條件。根據人造災難思想，大型事故和災難不是不可控的，通過加強過程控制和問責機制，可以從源頭上排除或減少事故風險發生的可能性。

 

防禦性過程控制策略在企業風險管理上的應用，體現在内部控制的興起和發展。内部控制是為了實現經營目标、保護資産的安全完整、保證會計信息資料的正确可靠、确保經營方針的貫徹執行、保證經營活動的經濟性、效率性和效果性，而在企業内部采取的自我調整、約束、規劃、評價和控制的一系列方法、手段與措施。通過執行内部控制手段和措施，企業可以把“内外部的不确定”轉變成“管理系統風險”，通過加強對管理系統的程序化和标準化過程控制，規範管理過程中的組織行為，及時發現和矯正管理過程中的違規行為，在源頭上排除企業風險的發生和減少風險發生後帶來的不利影響，從而使得企業運營處于一種确定、可控的狀态。利用控制機制防禦風險的策略目前已經成為一種常見的企業風險管理策略，在世界範圍内的企業風險管理實踐中得到了廣泛的應用。

 

利用控制機制防禦風險的策略，強調了組織決策過程的透明化和管理決策結果的問責性，認為隻要決策者遵循了正确的決策過程和程序，并做出理性和負責任的決策判斷，那麼就能夠把風險控制在可以忍受的範圍内。因為風險被認為本質上是可控的，那麼結果超出控制範圍的風險就被認為是管理過程中的組織行為或決策出現了問題，因此需要找到違反了制度規定的決策者，對他們的行為決策進行審計和問責。這樣，風險管理從使用曆史經驗和職業判斷去分析風險并設計管理措施的技術分析性活動，轉變為加強内部控制、審計和問責的管理監督性活動。

 

過于強化控制和問責機制會導緻企業風險管理行為出現“扭曲和變形”。假如我們把直接影響企業運營目标實現的風險稱作一級風險，把出現風險後管理者需要面對的責備和懲罰稱作二級風險，那麼控制和問責機制的強化會導緻管理者把關注的重心放在二級風險而不是一級風險上。在過于強調控制和問責機制的環境中，企業内部會形成不正常的防禦性風險文化。在防禦性風險文化下，決策者們更關注自身的決策會不會成為日後被追責的對象，這會導緻他們的行為更趨向于保守與合規。決策者們會放棄經過多年訓練和實戰得來的管理一級風險的職業經驗和判斷，把精力放在了如何規避決策問責和風險責備的管理性、組織性“踢皮球遊戲”上。

 

過多地關注二級風險使得決策者從“風險厭惡”轉變為“問責厭惡”。防禦性風險控制機制會削弱決策者進行職業判斷的積極性。在風險和不确定下做決策不可避免地會有出錯的可能性，但是，決策者們會在犧牲一級風險應對錯誤的代價下避免程序和過程出錯的二級風險的發生，不斷地關注決策過程的合規性，建立決策的“過程和程序理性”。這會嚴重制約決策者的創造性和積極性，決策者們在風險面前會表現得畏首畏腳、止步不前，本可以通過創新性的方法積極地應對風險和不确定，但是問責厭惡的風險文化使得他們最後選擇了對于企業發展沒有價值但是卻“合乎規定”的決策。

 

問責厭惡文化導緻本來可以由專家判斷來解決的風險現在變得無法解決，這對于提高企業運營效率和戰略目标的實現是沒有幫助的。過于強化利用控制和問責機制管理風險會導緻虛假的确定性和過程控制結果，表面上的可控性背後是低下的運行效率以及有利機會的喪失，這本身對企業管理來講是一個主要風險。