在古代打仗时，人们早就知道士兵和将领身穿铠甲，一手拿矛，一手持盾。矛是用来杀敌、占领新的战场的，而盾是用来护身、防卫敌人进攻的。企业的发展，也应该遵从规避风险，提高绩效，不但要将矛磨得锋利点，还需要将盾铸的坚固点。
上海一公司的某个员工从人力资源部调到了财务部，但是他原先给员工开账号的权限没有注销，结果他就在系统中将自己全家人建立为公司的员工，每月发着工资，其结果公司损失几百万。公司的系统中，每个人有多个权限，有很多不同的角色，这些角色中是否存在着冲突现象。企业一些关键过的的审批是否真正执行了，有没有超越权限的行为发生，像这样的风险很多公司都存在，如何在企业中通过风险控制，提高企业的绩效，是每个企业应该重点关注的重点。企业不但要关注绩效，还要平衡风险。
一、风险调节之下的绩效管理
企业要实现利润最大化，就需要两条腿走路，一要保证企业的效益最大化，二要企业风险调节到适当的程度。这就是最近几年管理软件界新出现的新概念，企业绩效优化(Enterprise Performance Optimization)或者企业绩效应用(Performance Optimization Application)，它主要包括两大方面，一个方面就是2001年开始被人们开始关注的企业绩效管理(Cooperate Performance Management)和安然事件后引起人们重视的GRC(Governance，Risk Management 和Compliance) .
企业绩效管理(CPM)是用于监控和管理企业绩效的方法、准则、过程和系统的整体组合。是保证企业效益管理的有效性，以及战略和执行的一致性，主要包括公司的战略管理、商务模式设计、预算和规划、实时企业执行的监控、分析和报告;而GRC主要使用在全面风险管理、企业内部控制和责权分离的实施和执行，也包括企业的采购、生产、财务、运营、营销、环境、安全、贸易SOX法案等的合规。
在一般情况下，企业的绩效和风险是成正比的，期望的绩效越高，企业的风险也会越大。所以企业如何在降低风险的条件下，提高企业的整体绩效。比如企业为了利润最大化，可能采取提高价格，可是提高价格可能会降低客户的购买度，出现更大的风险，反而降低了企业的绩效，如何保持企业的绩效和风险的平衡，是每个企业正在追求的理想环境。企业过分强调绩效，忽略了风险，很难保持企业长青，企业过分强调风险，可能导致办事效率低下，反倒直接影响了企业的效益和员工的积极性。比如合规要求太强，公司还没有很好的系统和工具，一个合同的审批流程长达一周或者数月，企业就很难做大做强。
二、如何实现企业的GRC
GRC包括公司治理、风险管理和合规。公司治理主要是指公司的组织结构、各个部门和角色的职能职责，流程规范;风险管理包括风险的定义、风险的识别、风险的分析和预警，风险的级别和损失评估，以及风险应对所采取的合理方案。其主要的方法是定义企业的KRI(关键风险指标)，进行实时分析、监控、预警;对企业过程管理每个作业的监控，做到过程控制。风险绝对不可能完全杜绝，而是要分析降低风险所需要的时间和成本，然后采取应对的策略和方案。合规包括法律、财务、环境、采供、生产、销售、运营等的各种国际、国内监管机构等的法律、法规的遵从和要求。
国资委《中央企业全面风险管理指引》和五个部委提出《企业内部控制基本规范》出台以后，各个企业开始重视全面风险管理和企业内部控制，可是如何让全面风险管理落地，一是要建立风险管理相应的组织，比如风险管理委员会，将企业风险管理从以前的口头任务落实到具体的组织管理，二是企业健全风险管理的规章制度、编制并落实内部控制手册;三是制定全面风险管理的流程和定期检查;四是利用风险管理的工具，实时监控企业的关键风险指标(KRI)，发现超标或者流程节点出现漏洞，及时预警，分析原因，获得风险的等级，预测产生损失的大小，采取应对措施所需要的成本，最后决策如何采取行动，使得风险损失降到最低。
企业风险管理具体工作步骤应该具有三道防线：第一道防线是业务部门的管理人员需要严格遵守业务流程，在每个风险点进行把关，落实风险责任人，当然对于企业的风险，可以事先进行预防，比如在企业的ERP系统中，将每个过程节点的风险进行检查，例如从采购到付款的每个节点实现自动检测和控制，超过阀值时，就无法进行下一步的操作。第二道防线是风险管理职能部门，制定规范的制度，发现企业的风险，提出改进的计划，定期发布风险报告;第三道防线是内部审计部门，监督评审企业的风险，从体系建设和制度执行，逐步整改。
三、企业风险管理实现的内容和方法
企业的风险包括战略风险、财务风险、运营风险、法规风险、市场风险、信用风险、利率风险、信息化建设风险等。
战略风险包括企业的投资组合、组织架构、环境监测、资源分配等，往往一个简单的决策，导致一个企业的倒闭，企业要做多元化还是一元化，都是企业值得认真分析，经常利用的方法有五力分析法、平衡计分卡方法、企业的战略地图、绩效棱柱方法、SWOT分析法等建立企业的战略目标。SAP的战略管理(Strategic Management)和风险管理(Risk Management)软件主要就是为了实现战略风险控制而设计的一套完整的解决方案。
财务风险包括预算和计划的完整性和可实现性、财务报告的完整、准确、透明、实时性。SAP 的预算和合并报表(Business Planning & Consolidation)就是为了实现财务风险管理和控制而设计的。
运营风险包括企业运作的流程、规范和制度的执行。比如新产品开发、供应商、采购、库存、排成、生产、运输、销售、客户等流程节点的控制，主要体现在过程控制和统计过程控制。主要可以使用ERP和SAP过程控制(Process Control)来实现。
在运营风险中一项非常重要的风险就是责权分离，企业通过责权分离来杜绝一些舞弊行为，比如一人多责，像会计和出纳由一人担当，人力资源部门管理员工账号的人员和财务部发工资人员一人担任或者调离了某个部门而权限没有注销等，都会为企业带来巨大的风险和损失。这样就需要在给每个人分发权限时，事先模拟是否有冲突现象，然后审批经理在系统中进行审批，事中检查是否有冲突，事后分析，有那些人有冲突的权限，这些人都做了那些违规的工作，带来多大的损失，然后进行整改。这一需求可以通过SAP的访问控制(Access Control)来实现。
法规风险包括监管部门的各种法规，经常会有多重法规，比如国际会计准则、环境、健康和安全(EHS)、低碳、REACH、进出口贸易各国之间的法律法规等，这些可由SAP的EHS和全球贸易服务(Glob Trade Service)实现。
对于企业的信用风险、市场风险、利率风险等，都可以通过SAP的商务智能以及企业绩效管理来实现。比如IT建设中数据质量的控制，可以通过SAP的Data Quality来实现。对于财务报表的及时性可以通过SAP水晶报表来实现。对于决策的正确性和及时性可以通过SAP商务智能套件来实现。企业成本的控制可以通过作业成本法来实现，SAP的绩效和成本管理(Performance & Costing Management)就是为了这一目的设计的。
企业的风险管理，是一个非常重要的话题，很多的管理层既爱又恨内控和外部审计，爱的是可以降低企业的风险，恨的是这样的工作加大了工作量，增加了企业的成本，很多搞不好会降低工作的效率，而且是受别人的控制。为了实现风险管理，提高企业的运营和决策效率，企业就应该建立一套ERP系统，将企业的管理通过信息化和制度化，实现快速的反应和行动，一般的审批流程可以从原来的一周降低到几个小时。其实如果将企业的风险管理改一个角度来看，就是企业的集团管控，那么很多的企业管理层就喜欢了，虽然都几乎是同一个东西，但是管控是企业管理层用来管理和控制企业运营的，实时了解企业的运作状况的。相信在以后的三到五年中，GRC将为企业带来更大的效益，很快会变成企业信息化建设的下一块蛋糕。