百姓大小事，一呼百应！

百姓网 | 百姓知道

音乐舞蹈

德勤的企业风险管理（ERS）的主要工作内容是什么？发展前景如何？

有同学要进入这个部门，帮忙问一下知友。

2 个回答

  • 周俊涛 | 2017-10-08 16:35:51

    n首先一楼答的很棒了，框架和基本介绍都有，我就说得更详细些吧，主要以自己的实习经验为主。

    发展前景这真的是因人而异，以非IT组为例，里面按行业分许多组，不同组之间业务类型倒是差不多，但行业不同导致你需要的知识和未来得到的经验也不同。

    之前有幸在两个组实习，做的工作跟正式员工一样（A1、A2），第一个组做的是某大型国内运输企业，这个组经常做国企，同事说原来就是SOX组，每个项目企业类型也不同，导致你时常需要提前学习一些相关企业的行业知识，而且差别很大，做的呢是内控评价工作，也就是指出企业里面有哪些风险漏洞，纠错嘛，细心一些就好，而且有底稿撑着，不至于让你找不到问题。

    第二组去的是金融组，金融组又分银行业和非银行业组，我去的是银行业组，但是，几个月做的都是非银行业企业，如某大型资管，某银行投行部，这跟老板接到的项目有关，没办法啦！业务类型跟第一组相似，有做内控评价的项目，也有做IPO内控方面尽职调查的项目。

    半年实习下来，发现ERS确实是个学东西的好地方，你可以接触许多事情也会学到很多知识，到了项目上才发现过去大学和研究生阶段学的知识有用，但是也仅仅是让你听到一些词汇觉得耳熟，金融市场的复杂程度和更新速度是很恐怖的，需要时刻学习，其他组也一样，可以学的东西太多了。好，优点说完了，额，算是优点吧，毕竟学的多，那么这个工作的难点呢？依然是这个，换个词汇说就是杂而不精！这是我实习得出的最重要的经验，你如果想弄懂自己的项目到底是怎么回事，人家企业的业务到底怎么运行，需要付出很多时间去调查，但是四大的项目不会给你很长时间，你需要以最快的速度得出让客户觉得最高大上且有意义的报告，我们组的经理原来在银行干，经验很丰富，确实可以发现一些问题，但是第一次走到工作岗位的人，连行业里面的猫腻和行业规定都不知道，就更不可能发现一个企业的业务漏洞了，所以对于你个人发展来说，学习的质量决定了你未来的收获，怎么在工作中学我也不懂（A1都不是呢），但是如果你看到一个项目可以联想出许多东西，知识和经验都很丰富，我选择献上我的双膝，也请沟通下学习经验。

    总之，在ERS工作真的要玩转了一个行业或者一个企业才行，这是经验和知识量的问题，甚至跟客户沟通都有技巧，但是收获无疑是巨大的，学东西别太贪多，以金融组为例，弄懂银行就不错了，信托，基金，投行当换换口味的就行了，先做好自己的拳头产品才是王道，一通百通。以上都是自己实习的一些心得，希望对大家有用哈

    本问答由周俊涛提供

  • 周俊涛 | 2017-10-08 16:28:39

    企业风险管理（ERS），顾名思义，suppose所有有关企业风险的项目都可以做，但主要还是集中在运营层面。战略层面更可能是德勤咨询来做。

    ERS分两大块儿，一块儿是Business Risk，一块儿是IT Risk.

    Business Risk这边主要是做内部流程控制的审计，很多时候是one-off的项目，帮企业assess一下内控体系，比如企业要IPO的时候就规定要做这样的assessment。

    IT Risk主要是做IT audit和企业信息系统方面的咨询项目，比如信息安全，隐私保护，数据分析和合规等，各地事务所的service line可能有不同，因为不一定所有事务所都有齐备的人才来做这么广的service。
    IT Audit是协助财务审计的一项业务，因为现在几乎所有企业的财务数据都牵涉信息系统，所以如果信息系统不安全，信息可以很轻易地被篡改，那财务审计拿到的数据就不可靠，拿来做审计也没什么意义了。所以一般都会让ERS的同时去客户那儿先做一次IT审计，看问题大不大。审计的内容最基本有两块儿，一是GC（general control)，指信息系统普遍的问题，如数据安全保密性，数据中心的保护情况，相关人员的权限等；二是AC (automated control)，指企业在日常运营中信息系统的安全控制，比如输错密码会弹出相应的warning或者更改信息需要更高等级的权限等。有时还会看其它一些东西，比如职权分离测试（SOD）或者用ACL做一些简单数据分析（称为CAATs）。

    除以上两大块儿，还有一些compliance的项目，比如SOX, IT 和 business 都会涉及。

    工作时常肯定比财务审计短些，压力也没有这么大，但独立性更强，学知识和做项目都需要自己主动一些。因为同时涉及audit和consulting的东西，所以也比较杂，缺点是不专，你可能会比较迷茫做完这个以后可以换什么工作，但优势是有机会学到更多技能，如果你肯学，还是不错的。

    发展前景的话，如果是做business risk这块儿，以后可以去企业做内控人员；做IT的话，可以想IT 咨询转或者去企业做内控和合规officer，还有一个比较热门的方向是去投行做business analyst，这个职位是一个协调的角色，将front office的业务需求转换为IT部门听得懂的信息，所以既得懂点IT，也得知道业务。当然因人而异的，四大本来就是起步的地方，多数人不会做一世，出来去投行，去咨询，去大企业其实都有可能。德勤也算是国际大企业，有很强的资源，可以好好利用。

    =======Updated on 2015-12-29=======
    刚刚发现突然多了不少对这个话题的关注和评论，原来是话题被编辑放上了“发现”。原po是两年前写的，这两年确实如评论中所提到的，ERS发生了一些变化，下面就大致update一下，好让关注的人有最新的信息。

    ERS在今年上半年重组了，为了顺应vision 2020的号召，ERS将IT 保证（即IT审计）业务和业务的部分评估，如IT对审计的依从性，新的team叫Advisory in Audit (AIA)，算是审计部门下面的一个division吧，管理层希望ERS的同事能够给审计部门带去更多的consulting mindset，让审计业务为客户提供更多的value，从而提高因为同质化竞争被严重削减的利润率。

    ERS本来的business risk保持不变，业务也基本还是原来那些。IT risk没了IT审计就少了很多人，新的方向是cyber security consulting，以解决方案为主，比如Identity and Access Management (IAM), Data Loss Prevention (DLP), Security Information and Event Management (SIEM)以及Security Transformation之类的; 这些业务在欧美已经发展了许久，现在逐步在亚太区建立。除了德勤，其它三大也在大力发展cyber security consulting，毕竟这个topic已经是国家战略的高度，未来前景不错。最后，德勤咨询的risk team被合并到了ERS，他们主要做credit risk, market risk和risk modeling之类的。

    所以，综上，ERS重组之后形成了专注为客户提供全方位risk management advisory的部门，少了很多assurance的元素，算是逐步成为一个真正的咨询部门了。

    =======Update on Nov 2016======
    Deloitte China announces that the name of its Enterprise Risk Services practice will be changed to "Risk Advisory", effective 1 October 2016.

    本问答由周俊涛提供

* 本站部分内容来源自网络，仅作分享之用，侵删。

百姓网

熊掌号

简单，快速，搞得定！

查看

更多