基于風險管理的企業內部控制研究

[摘要] 基于風險管理的內部控制正在發展為一種潮流。本文首先闡述國內外內部控制理論的產生和發展，分析了我國企業內部控制的現狀，進一步提出企業應從制定合理的發展目標、加強企業內部環境建設、建立有效的信息系統、準確評估企業風險、合理回應各種風險、加強風險控制活動、持續監督風險管理活動等八個方面完善內部控制。

[關鍵詞] 風險管理 內部控制 現狀 體系

隨著世界經濟一體化和資本市場國際化的深入發展，中國企業無論是在國際市場還是在國內市場都面臨著全球范圍的競爭，同時也面臨著巨大的風險。為了在激烈的競爭中立于不敗之地，現代企業必須樹立風險管理哲學觀、運用科學的風險管理技術方法，轉移和分散風險，加強內部控制，提高企業經濟效益。

一、國內外相關理論發展

隨著對內部控制的理解和認識的不斷深化，內部控制理論及實踐在不斷發展和完善。內部控制理論的發展經歷了一個漫長的歷史過程，它的發展可以分為四個階段：內部牽制、內部控制制度、內部控制結構、內部控制架構。目前，國外內部控制理論獲得進一步發展，進入風險管理階段。

企業風險管理（ERM）是指現代企業為實現所定目標，對可能發生的各種風險進行一系列防范、控制的管理活動，是一種涉及多層次、多方面的現代企業管理職能。在全球競爭激烈的市場，任何企業都處于動蕩多變的環境之中。企業面臨的風險越來越多，風險引發的損失規模也越來越大，這些都促使企業對風險管理給予高度的關注。近年來國外對于ERM的研究重點放在以下三個方面：ERM如何與企業整體相整合，如何以企業整體視角來看待ERM：企業通過執行ERM應當增加利益相關者的價值，從而使企業的利益最大化：企業在執行ERM的時候應當重視CRO的作用。美國后援委員會（COSO）在2004年6月提出《企業風險管理——整合框架》，為企業有效地進行風險管理提供了強有力的理論指導。COSO對企業風險管理的定義是：企業風險管理是個過程，受組織的董事會、管理層和其他人員影響，貫穿整個企業，應用于戰略制定。企業風險管理在識別影響組織的潛在事件，在組織的風險偏好范圍內管理風險，為組織目標的實現提供合理的保證。Patruck Jstroh指出在當前的環境下，不可能使用一種方式管理所有的企業。企業要獲得經營上的成功，超越利益相關者的期望等長期目標。然而一個潛在的失誤就有可能改變整個企業的命運，所以必須將ERM與企業整合，增強公司治理，創建風險管理文化。Bob Stein認為ERM不僅有助于企業更好地做決策和創造更大的相關者利益，而且為企業提供更強有力的內部控制。

在中國，內部控制和風險管理制度的發展隨著對上市公司信息要求的提高和國際社會在此領域的發展而快速發展。1997年中國人民銀行印發《加強金融機構內部控制的指導原則》表明中國開始關注內控。2005年10月，中國證監會出臺《關于提高上市公司質量意見》。2006年5月12日，深圳證券交易所發布公開征求《上市公司內部控制指引》意見的通知，從全國范圍內為建立內控制度體系征詢意見，拉開了中國上市公司內部控制體系制度建設的序幕。2006年5月17日，中國證券監督管理委員會發布第32號令——《首次公開發行股票并上市管理辦法》。該辦法第29條規定“發行人的內部控制在所有重大方面是有效的，并由注冊會計師出具了無保留結論的內部控制鑒證報告”。這是中國首次對上市公司內部控制提出具體的要求。德勒企業風險管理服務合伙人楊瑩認為，指引要求的內控框架比美國“薩班斯法案”更高，只是這個指引還沒有具體的操作細則出來，也不像“薩班斯法案”已經上升到法律的高度。2006年6月6日，國資委也發布了“關于印發《中央企業全面風險管理指引》的通知”；7月15日，財政部選擇美國薩班斯法案對中國在美上市企業生效的日子，發起成立了“企業內部控制標準委員會”；中國注冊會計師協會也發起成立了“會計師事務所內部治理指導委員會”。這些都標志著中國內部控制體系已經走到了最關鍵的時期。由國內外形勢可見，基于風險管理的企業內部控制正成為一種新的潮流。

二、構建基于風險管理的企業內部控制體系

2006年2月頒布的《中國注冊會計師審計準則第1211號》從被審計單位的控制環境、風險評估過程、信息系統和溝通、控制活動、對控制活動的監督五個方面刻畫內部控制系統。依據COSO委員會2004年提出的風險管理框架和上海證券交易所2006年6月公布的《上海證券交易所上市公司內部控制制度指引》，筆者提出完善企業內部控制應從以下幾方面著手:

1.加強企業內部環境建設

企業內部環境是其他所有風險管理要素的基礎，為其他要素提供規則和結構。內部環境受企業歷史和文化的影響，具體包括企業員工的道德觀和勝任能力、人員的培訓、管理者的經營模式、分配權限和職責的方式等。培養員工的忠誠成為現代內部控制的工作出發點，由于內部控制的全面性和動態性，決定了在吸引一流員工并培養起他們對企業的忠誠方面，擔負了特別重大的使命。為了營造一個良好的控制環境，可以建立一些控制團隊，通過團隊訓練產生擴散效應，促進全體員工樹立風險管理哲學觀、掌握自我優化行為的技巧。在建立企業風險文化的時候要注意建立統一的風險語言，以方便企業內部對風險的溝通和交流。此外，要優化董事會結構，加強董事會的獨立性和董事會對管理層的監督。

2.制定合理的發展目標

目標設定是有效的事項識別、風險評估和風險應對的前提。目標與企業的風險偏好是相對應的，風險偏好決定企業的風險容忍水平。制定明確的戰略和目標，如果企業沒有明晰的戰略和目標，使用ERM就沒有任何意義了。明確風險管理組織結構及風險管理活動的高級負責人的相關責任也是十分重要的。從董事會的執行者到每位員工，風險管理是每個人的責任。作為一種懲罰機制，問責制能保障內部控制制度的有效實施。所謂問責制，就是在某項活動中針對相應的權力明確相應的責任，有權力就應有對等的責任，對相應責任履行進行嚴格科學考核，及時察覺失責，依據相應的失責度量對當事人追究和懲罰，靠“問”的“制度化”來保證“權責對等”實現的一種機制。每個人都要了解風險并承擔相應的責任，在既定的風險承受力下管理風險。

3.準確評估企業風險

風險評估可以使企業考慮潛在事件如何影響目標的完成；管理層從兩個方面對事件進行評估：可能性和影響。可能性表明的是事件將會發生的概率，而影響表明的是如果事件發生，其結果如何。一般可以利用過去事件的數據獲得風險概率和影響的估計值。企業的風險評估方法通常包括定性分析技術和定量分析技術。VAR、敏感性分析等數理統計法是目前運用較多定量分析技術，其典型特征是精確度要求更高，適合在比較復雜的活動中作為對定性技術的補充。當風險本身無法量化，或者無法獲取進行定量分析的充分可信的數據，或者對數據進行分析不符合成本效益原則時，通常應采用定性分析方法。

4.加強風險控制活動

控制活動是有助于風險反應正確執行的政策和程序。控制活動發生在整個組織的所有層面和所有職能中。控制活動是企業力爭達成其經營目標的流程的一部分。在制定控制活動時關鍵是抓住重要控制點，其設計要基于風險評估結果，以提高控制活動的針對性。它們通常包括兩個要素：政策和程序。由于企業普遍采用信息系統，需要對重要的系統進行控制。如，利用互聯網實施會計的實時控制。會計信息是會計控制的基礎，控制過程也就是信息的收集、傳輸與加工處理的過程。充分利用互聯網絡技術，實時通過會計工作和利用會計信息對企業的生產經營活動進行了指揮、調節、約束和促進，使供應商、生產商、分銷商、客戶，通過供應鏈緊密集成，物料不間斷地流動，實現零庫存，最大限度減少經營成本，快速響應客戶需求，提高公司市場競爭能力和經濟效益。

5.持續監督風險管理活動

企業風險管理應該受到監督，這是一個對風險管理各組成部分的存在和機能以及風險管理執行質量進行評價的持續過程。可以采用兩種方法進行監督：持續監控或定期評價。持續監控是企業經常性活動的一部分，包括：評估和監督日常經營過程中的內部控制及人員；管理層利用內部審計協助進行監控；管理層實施內外審計對內部監控缺陷提出的建議，發現內控缺陷及時改正，對監管部門的報告及建議及時回復。通常，持續監控和定期評價結合能夠保證企業風險管理效力的持久性。隨著現代通訊與網絡技術的發展，信息實現了高度共享，組織實現充分溝通，員工行為自我優化，內部控制則成了全體員工及整個組織持續優化行為及績效的保障性制度。建立適合內部控制需要的信息系統，是開放式管理體制的重要特征。

參考文獻：

[1]金或肪李若山徐明磊:COSO報告下的內部控制新發展[J].會計研究，2005(2)

[2]張文賢孫琳:內部控制會計制度設計[M].立信會計出版社，2005

[3]儲稀梁:COSO內部控制整體框架：背景、內容、理論貢獻與啟示[J].金融會計，2000(6)

[4]楊雄勝:內部控制理論而臨的困境及其出路[J].會計研究，2006(2)