企业风险管理：一套系统化框架

一家公司某个角落里的风险，看上去可能人畜无害，直到它撞上另一个角落里的风险。信用收紧、流动性变薄、运营崩裂 —— 转眼间你面对的就不是三个小问题，而是一个大问题。

企业风险管理（Enterprise Risk Management，ERM）就是有意识地去描绘这些关联：一份统一的风险敞口清单、一套共用的语言、明确写下的风险偏好，以及能送到「有权说不」的人手里的报告。

Barings 和 Enron 常被当作道德教材来讲；它们其实也是一张张接线图 —— 控制措施一块一块都存在，但没人看到整条电路。

对受监管的金融机构而言，ERM 是入场门槛。对于把杠杆、代码和托管混在一起的加密公司来说，跳过 ERM 不是「快速行动」 —— 而是拿着别人的钱蒙眼飞行。

COSO（2017 年更新版）是教科书里最常见的布局：治理、战略、绩效、复盘和报告构成一个循环 —— 而不是一年归档一次的五步清单。

• 治理与文化 —— 董事会授权、自上而下的基调，以及不鼓励隐瞒坏消息的激励机制。
• 战略与目标 —— 把风险偏好写下来；增长目标不能与资本和流动性的护栏相互矛盾。
• 绩效 —— 识别、评估、排定优先级；用接受、规避、降低或转移来应对。
• 复盘与修订 —— 新产品、新攻击手法、新监管：这张图必须随时更新。
• 信息与报告 —— 在还有回旋余地时就到位的上报机制。

第一道防线 —— 经营业务的交易台和构建者。他们持有风险，也负责第一层控制：限额、对账、代码审查习惯。

第二道防线 —— 风险与合规部门，其汇报路线能够挑战第一道防线，而不必担心这个季度的奖金池。

第三道防线 —— 内部审计，向审计委员会汇报。他们去检验前两道防线是否真的奏效。

当第二道防线缺失，或者汇报路线挂在交易部门之下时，你面对的不是什么微妙的治理细节 —— 而是一个还配了预算的盲区。好几次加密行业的爆雷，本质上都是平淡无奇的集中度和杠杆问题，一个正常运转的第二道防线本能在早期就把它们标出来。

市场风险 —— 价格朝着对你不利的方向走：利率、外汇、股票、大宗商品、代币标记价。

信用风险 —— 有人不还钱：贷款、OTC、某个交易场所的交易对手、借贷账本上的坏账。

操作风险 —— 人、流程、系统：漏洞、欺诈、密钥处理、宕机。Basel 把银行的资本要求正式化了；但这套直觉在哪里都适用。

流动性风险 —— 你无法为自己提供资金，或者无法在不把市场推向对你不利方向的情况下退出。

合规风险 —— 你违反的规则会带来罚款、牌照和声誉上的代价。在加密领域，规则体系仍是一个移动的靶子 —— 这只会扩大合规面，而不是缩小它。

Basel 是监管者把 ERM 转化为银行最低数字要求的方式：CET1 缓冲、杠杆下限、LCR/NSFR 流动性规则。你也许永远不会去报送一份 Basel 报告；但这些理念仍会渗进主经纪商和放贷方对待你的方式里。

在国际监管指引中，银行资产负债表上无支撑的加密资产一直被严苛对待 —— 想想那些极高的风险权重。这把相关活动推向了非银行的通道，也改变了谁能为风险充当仓库。

个人层面的启示：让杠杆匹配流动性、留一层缓冲、了解你的交易对手 —— 和 Basel 是同一套词汇，只是不用那张电子表格。

KRI —— 挑一小组带阈值的指标：提现压力、交易对集中度、强平频率、延迟 SLO、按司法辖区划分的监管报送情况。一旦突破阈值，就触发一条上报路径，而不是耸耸肩的表情包。

风险偏好必须落在纸面上：哪些事我们绝不拿客户资产去做、自营风险中「零容忍」的额度是多少、我们的目标可用性是多少。模糊不清正是资产混同的起点。

文化 —— 险些出事的「未遂事件」要做事后复盘；没有异议渠道的「不惜一切代价上线」，只会以同样的方式翻车第二次。

GaiaEx 依靠非托管结算和 MPC 式的密钥处理，让一大类「一个数据库、一个老板」式的故障从一开始就无法成形。市场风险、合约风险和监管风险依然存在 —— 它们需要和任何地方一样的监控纪律。