良好的风险管理文化是实施ERM的基础和推动力。建筑企业高层领导和普通员工对风险管理的理解还比较片面，全面风险管理意识不强，没有意识到企业的风险管理需要全员参与、全员负责，而不仅仅是领导、审计或财务人员的工作。许多企业没有统一的风险管理语言，忽视对风险管理人才的培养，没有建立良好的风险文化氛围。

　　 三、案例分析

　　 一个良好的适合本企业的ERM框架应达成以下目标：将风险偏好与企业战略相联系；确保风险管理战略同组织的发展战略和股东的价值相一致；提供鉴别和评估风险的工具，以利于鉴别和评估组织所面临的风险；提供对风险进行科学归类的工具，利用风险最优化的概念，以组合观为基础来探讨风险议题；将企业风险管理与基本的经营活动相整合，避免额外的成本支出。

　　 (一)控制环境

　　1　发展目标

　　按照企业制定的战略发展目标，以及与之配套的战略目标、经营目标、报告目标和合规性目标，制定ERM体系建设的总目标和年度目标。A公司制定的建设ERM的总目标为：立足公司整体协调发展，以源头治理和过程控制为核心，以防范风险和提高效率为重点，建立以风险管理为主要内容，涵盖经营管理各领域，较为完善和有效运行的内控体系，促进公司实现稳健发展。

　　2　管理理念与企业文化

　　风险文化的缺失已经成为企业建立ERM体系最大的阻碍之一，培育建筑企业的风险文化刻不容缓。确立全面风险管理理念，体现企业认知经营管理风险所共有的信念和态度。将风险管理文化融入企业文化建设全过程，树立和传播正确的风险管理理念，增强守法意识和诚信意识，将风险管理意识转化为员工的共同认识和自觉行动，提高全员风险意识。A公司提出在继承发扬风险管理文化中，高级管理人员应发挥表率作用，中层管理人员应发挥骨干作用。

　　3　风险管理策略

　　企业应围绕发展战略，首先确定风险偏好、风险承受度，体现全面风险管理的总体策略，并据此制定风险应对方案。这其中，风险偏好体现企业在战略制定与实施过程中愿意承受的风险范围和风险水平；风险承受度体现企业在实现特定目标过程中对风险的可接受程度。确定风险偏好和风险承受度，要正确认识和把握风险与收益的平衡，防止忽视风险，片面追求收益或者单纯为规避风险而放弃发展机遇。风险承受度与风险偏好要保持一致。

　　4　ERM组织结构

　　不同的企业应根据实际情况，设置专门的风险管理机构或相应的岗位负责风险管理日常工作，形成决策机构、管理机构、执行机构、监督机构四位一体的ERM组织体系。企业风险管理工作应与其他管理工作、业务工作紧密结合，把ERM融入企业管理和业务流程中，同时应注意做到权责分明。
　 例如，A公司成立的由总经理担任主任的内控体系建设委员会是ERM建设工作的决策机构。内控办公室是ERM建设的日常管理部门和委员会的办事机构，对风险业务实施归口管理。公司总部各部门、各单位作为执行机构，按照内部控制和风险管理体系的统一要求，具体组织落实。审计、监察部门则行使监督职能，负责对ERM体系运行状况实施测试监督。

　　5　人力资源政策与措施

　　建立完善的公司各级领导人员和各级各类人才选拔任用、管理考核和激励监督等方面的政策。通过对企业员工的培养，可以塑造一批既精通建筑企业业务流程，又懂得风险管理方法的全面人才，帮助企业提高竞争力。

　　 (二)风险评估

　　风险评估是识别及分析影响经营目标实现的风险的过程，是风险管理的基础。在风险评估中，既要识别和分析对实现目标具有阻碍作用的风险，也要发现对实现目标具有积极影响的机遇。A公司通过风险识别并编制风险对照表(包括企业层面的风险和业务活动层面的风险)、风险评价、选择风险应对方案，完成对企业面临的所有风险的评估工作。

　　 (三)控制活动

　　控制活动是确保管理层关于风险应对方案得以贯彻执行的政策和程序。企业应根据风险管理策略，针对各类风险或每一项重大风险制定相关的规章制度、控制政策和控制措施。《COSO-ERM框架》指出，每个企业都应建立适合自身的ERM制度。ERM制度、流程和方法应在建筑企业高层领导确定风险管理目标、风险偏好和风险容忍度的前提下，由风险管理机构负责设计，由企业全体员工共同执行。ERM制度应当是一份细化的、易于理解和便于执行的风险管理策略体系，并制作风险管理手册，这其中应该包括项目风险管理、企业级财务风险管理、市场风险管理、法律风险管理等内容。需要强调的是，制度本身没有控制风险的能力，只有将其贯彻实施，才能发挥制度的作用。

　　A公司在描述业务流程并绘制流程图、对业务流程进行风险控制分析并编制风险控制文档(RCD)的基础上，落实关键风险控制点，使得全面风险管理流程有章可循、有迹可循。

　　 (四)信息与沟通

　　企业建立和完善ERM的信息与沟通机制，明确相关信息的收集、处理和传递程序，形成相应的议事制度和报告机制；应建立横向和纵向相互通畅、贯穿企业整个信息沟通渠道，确保目标、风险策略、风险现状、控制措施、员工职责、经营状况、市场变化等各种信息在企业内部得到有效的传达。积累一定的全面风险管理实施经验以后，应依托企业的信息管理系统建立风险管理数据库，通过实施信息系统自动控制，固化流程操作程序，提高控制活动的效率和效果。