【摘要】2004年9月，美國COSO委員會《內(nèi)部控制——企業(yè)風險管理框架》正式發(fā)布，新框架把風險管理觀念引入內(nèi)部控制，開創(chuàng)了內(nèi)部控制的一個新紀元，國外企業(yè)也紛紛按照這個內(nèi)部控制新框架建立及完善自己公司的內(nèi)部控制，同樣也為我國企業(yè)內(nèi)部控制研究及建設提供了一個全新的思維。風險管理的興起對內(nèi)部控制產(chǎn)生了重大影響。本文擬就風險管理觀念導向下的內(nèi)部控制體系的構建進行探討，以改善企業(yè)內(nèi)部控制現(xiàn)狀，提升企業(yè)識別風險、防范風險及應對風險的能力。

　　【關鍵詞】風險管理;內(nèi)部控制;內(nèi)部控制體系

　　Abstract: In September 2004, Internal Control - Enterprise Risk Management Framework is officially released by the U.S. COSO Committee. This new framework introduces the concept of risk management to internal control, creating a new era of internal control. Therefore, the foreign companies have built and improved their companies’ internal control according with this new framework of internal controla, and it also provides a new way of thinking of internal control construction and research for China's enterprises. The rise of risk management had a significant impact on the internal control. This paper intends to discuss the construction of the internal control system under the concept of risk management-oriented, so as to improve the status quo of corporate internal control, enhance the ability to corporate risk identifying, risk preventing and processing.

　　Key words: risk management; internal control; internal control system

　　中途分類號：C36 文獻標識碼：A 文章編碼：

　　在所有權與經(jīng)營權分離的企業(yè)制度中，存在著經(jīng)營者有可能不履行其受托經(jīng)濟責任損害股東利益的風險。有限責任公司的組織形式也可能導致企業(yè)不惜損害債權人的利益從事高風險的項目。這些風險無法由市場競爭自發(fā)約束或通過市場交易規(guī)避。唯一的途徑是通過加強企業(yè)治理層監(jiān)督制度，建立財務報告、內(nèi)部控制、風險管理及內(nèi)部審計制度等。

　　一、內(nèi)部控制與風險管理的關系

　　(一)二者內(nèi)在聯(lián)系

　　內(nèi)部控制和風險管理都有一個共同的目標，就是維護投資者利益、保護企業(yè)資產(chǎn)，并創(chuàng)造新的價值。信息技術及市場條件的新進展，推動了內(nèi)部控制走向風險管理。在先進的自動化信息技術條件下，會計記錄實現(xiàn)了電子控制、實時更新，使傳統(tǒng)的查錯與防弊的會計控制顯得不合時宜。然而，風險往往是由交易或組織創(chuàng)新造成的，這些創(chuàng)新來源于新興的市場實踐，如金融衍生品的交易。另一方面，環(huán)境保護及消費者權益保護的加強，都強化了企業(yè)的社會責任，稍有不慎，企業(yè)就可能遭受來自商品市場或資本市場的懲罰，表現(xiàn)為企業(yè)的品牌價值或資本市場上的市值貶損。因此，企業(yè)需要一種日常運行的功能與結構來防范風險，確保投資者對財務信息的信任以及保證經(jīng)營效率等。因此，從促進價值創(chuàng)造這一根本功能來看，風險管理與企業(yè)內(nèi)部控制的目標是一致的。只是在新的技術與市場條件下，為了更有效地保護投資者利益，需要在內(nèi)部控制的基礎上發(fā)展更主動、更全面的風險管理。

　　(二)二者存在的差異

　　全面風險貫穿于整個企業(yè)管理的全過程，而內(nèi)部控制僅僅是企業(yè)管理的一項職能，全面風險管理的內(nèi)容框架包含了業(yè)務風險、戰(zhàn)略風險、操作風險、市場風險等各種風險內(nèi)容，而內(nèi)部控制內(nèi)容框架則沒有對風險和機會進行區(qū)分;同時，由于全面風險管理引入了風險對策、風險偏好等相關概念和方法，因此，全面風險管理建立在風險準確度量的基礎上，更有利于企業(yè)風險偏好和發(fā)展戰(zhàn)略的一致性。

　　二、我國企業(yè)內(nèi)部控制存在的風險問題

　　(一)企業(yè)風險控制意識較為薄弱

　　目前國內(nèi)不少企業(yè)重經(jīng)營輕管理，內(nèi)部控制與風險意識薄弱，對內(nèi)部控制與風險管理存在著不少誤區(qū)，特別是對建立健全內(nèi)部控制、風險管理的重要性和現(xiàn)實意義認識不夠，抱著有與沒有無所謂的態(tài)度。同時，在全球經(jīng)濟、政治一體化進程，我國和世界經(jīng)濟聯(lián)系必然更加密切，更多的國內(nèi)企業(yè)要走出國門，參與國際市場競爭，而也有更多外資企業(yè)涌入國內(nèi)，參加國內(nèi)市場競爭。在此背景下，國內(nèi)企業(yè)所面臨的競爭壓力不斷增大，各種不確定性因素也在逐漸增多，企業(yè)所面臨的各種風險更加復雜。但是，許多企業(yè)風險意識仍然較為薄弱，大多數(shù)企業(yè)管理者所關注的風險只是停留在財務風險方面，風險管理和風險控制意識較為薄弱。

　　(二)企業(yè)控制環(huán)境紊亂

　　控制環(huán)境包括董事會、企業(yè)文化、管理層的品性和管理理念、風險管理哲學、誠信和道德觀、組織結構等等，設定了被審單位內(nèi)部控制的基調(diào)。我國企業(yè)不重視對控制環(huán)境的改善，從而出現(xiàn)了控制環(huán)境紊亂的現(xiàn)象。比如，董事會未起到應有的作用，高層管理者控制意識淡薄;員工素質(zhì)不高，企業(yè)文化缺失;組織結構不合理等等。我國多數(shù)企業(yè)沒有很好地把控制環(huán)境各要素進行理順，造成企業(yè)整個控制基礎比較薄弱。

　　(三)內(nèi)部控制制度執(zhí)行不力

　　由于構建企業(yè)內(nèi)部控制體系的成本很高，因此很多企業(yè)在完善內(nèi)部控制方面大都是紙上談兵，不愿意花大力氣去真正地付諸于實踐。眾多企業(yè)僅注重內(nèi)部控制的規(guī)章制度的文字編輯，在執(zhí)行時并不徹底。尤其管理層自身違反內(nèi)部控制，就會造成上行下效，使內(nèi)部控制形同虛設。

　　(四)缺乏精通內(nèi)部控制和風險管理的專門人才

　　我國目前有關內(nèi)部控制的審核、評價和咨詢主要由注冊會計師來進行，企業(yè)沒有專門的內(nèi)部控制管理人才，因此無法從戰(zhàn)略目標制定和執(zhí)行、經(jīng)營目標實現(xiàn)、管理效率提高、資產(chǎn)安全性等角度來評價內(nèi)部控制，評估風險企業(yè)建立和完善內(nèi)部控制系統(tǒng)時缺乏有效的專業(yè)指導。

　　三、風險管理理念對內(nèi)部控制的影響

　　風險管理理念是企業(yè)共同的信念和態(tài)度，它決定著該企業(yè)在做任何事情時是如何考慮風險的。企業(yè)的風險管理理念實質(zhì)上反映在管理層在經(jīng)營企業(yè)的過程中所做的每一件事情上。風險管理程序的起點是企業(yè)的風險戰(zhàn)略，它要考慮與企業(yè)有關的人的需求和愿望。通過促進信息流動和強化貫穿組織的溝通，風險管理程序提供了一個連續(xù)的循環(huán)風險模型。

　　在我國，真正關注和重視風險管理，并建立風險管理機制的是銀行、證券公司、財務公司、投資公司等金融機構。由于金融風險危害的廣泛性和嚴重性，國家相關部門頒布了許多法律法規(guī)，很多學者對此也非常重視，發(fā)表和出版了不少相關研究成果。而我國的很多生產(chǎn)性企業(yè)則沒有建立風險防范機制。目前，相關機構也普遍不重視對一般企業(yè)的風險管理問題進行研究。但從美國COSO委員會提出的新報告來看，風險管理是企業(yè)內(nèi)部控制的一個重要組成部分，國外有的學者甚至認為:企業(yè)風險管理是企業(yè)的核心競爭力。按照COSO報告的理念，企業(yè)風險管理不僅僅只是一種對企業(yè)所面臨風險的簡單被動應對，而是一種積極主動地關注內(nèi)外部各種變化，并通過對這些變化進行分析和識別規(guī)避風險的機制。

　　四、構建基于風險管理內(nèi)部控制體系的對策

　　(一)完善企業(yè)控制環(huán)境

　　1.要有明確的內(nèi)部控制主體和控制目標

　　科學的組織結構在企業(yè)內(nèi)部應包含四個層次的經(jīng)濟主體，這四種控制主體都有各自的控制目標。股東的目標是財富最大化，經(jīng)營者的目標是不斷增加經(jīng)營效益;管理者的目標是完成責任目標、獲得業(yè)務運行的真實報告;普通員工的目標是遵從企業(yè)的內(nèi)部規(guī)章制度，不斷提高企業(yè)的生產(chǎn)經(jīng)營效率，提高工資薪酬。

　　2.要有先進的管理控制方法和高素質(zhì)的管理人才

　　具有先進的管理控制方法，輔以積極的人事政策，培養(yǎng)和引進一批具有高素質(zhì)、掌握先進管理方法的人才隊伍，以改善企業(yè)的全員控制意識，從而形成一個良好的企業(yè)控制文化氛圍。

　　(二)健全風險管理體系

　　企業(yè)的風險管理體系應自上而下地建立和實施。公司管理層應將風險管理體系的建設融入企業(yè)發(fā)展的全過程。在企業(yè)中，包括全體員工尤其是各級管理人員和內(nèi)部控制執(zhí)行人員，應牢固樹立風險無處不在、風險無時不在的意識和理念;企業(yè)還應將風險管理體系的建設與職工薪酬制度和人事制度相結合，增強各級管理人員的風險意識，積極構建“企業(yè)重視、全員參與、全面覆蓋、全程控制”的內(nèi)部控制和風險管理體系。

　　(三)優(yōu)化企業(yè)治理結構

　　企業(yè)應建立產(chǎn)權明晰、政企分開、管理科學的制度，保證股東大會，董事會和監(jiān)事會、經(jīng)理層的真正制衡機制，引進獨立董事，加強內(nèi)部的控制監(jiān)督，保持監(jiān)事會的獨立性，監(jiān)事會要對企業(yè)的決策進行監(jiān)督。同時，加強內(nèi)部審計部門的作用，內(nèi)部審計部門應當向董事會或其審計委員會直接報告工作，并且不斷地在日常工作中監(jiān)督評審內(nèi)控的總體效果。

　　(四)設計有效的控制活動

　　1.人員控制。人員控制方面包括：授權管理、職責分離、優(yōu)化工作流程、票據(jù)與記錄控制、資產(chǎn)接觸與記錄使用、績效考評等。

　　2.信息控制系統(tǒng)。在信息系統(tǒng)的日常使用中，信息系統(tǒng)產(chǎn)生的舞弊現(xiàn)象比更具隱蔽性，具體應通過采取權限控制、數(shù)據(jù)錄入、輸出控制、手工憑證的控制、對輸入數(shù)據(jù)的自動檢查、對例外報告進行人工干預等方式，規(guī)范對數(shù)據(jù)的查閱或修改。

　　內(nèi)部控制作為企業(yè)生產(chǎn)經(jīng)營活動自我調(diào)節(jié)和約束的內(nèi)在機制，其建立、健全及實施是企業(yè)生產(chǎn)經(jīng)營成敗的關鍵。風險管理與內(nèi)部控制是密不可分的。內(nèi)部控制系統(tǒng)與風險管理同樣內(nèi)置于企業(yè)經(jīng)營管理過程之中，與企業(yè)經(jīng)營管理活動水乳交融、渾然一體。本文通過對企業(yè)內(nèi)部控制和風險管理的研究，提出在企業(yè)內(nèi)部控制框架基礎上，吸收風險管理的要素，構建以風險控制為核心的內(nèi)部控制體系，并從完善內(nèi)部控制環(huán)境、健全風險管理體系、優(yōu)化治理結構、控制活動的構建等方面提出建議，希望對完善我國企業(yè)內(nèi)部控制提供一些啟示。