簡析風險管理框架下內(nèi)部控制在企業(yè)中的運用

【摘 要】內(nèi)部控制是企業(yè)為達到一定的目標而協(xié)調(diào)內(nèi)部活動所形成的一個過程。隨著經(jīng)濟的持續(xù)發(fā)展，風險管理已成為企業(yè)日常管理活動的重要環(huán)節(jié)。本文圍繞COSO框架論述了內(nèi)部控制和風險管理之間的關系，并結合中信泰富澳元衍生品巨虧案詳細分析了企業(yè)在風險管理框架下如何有效進行內(nèi)部控制。

【關鍵詞】風險管理；內(nèi)部控制；中信泰富

隨著企業(yè)所有權和經(jīng)營權的分離、委托代理問題的出現(xiàn)以及經(jīng)營活動復雜程度的不斷加大，內(nèi)部控制已成為現(xiàn)代企業(yè)經(jīng)營管理的重要環(huán)節(jié)。另一方面，在當今風險社會的背景下，企業(yè)經(jīng)營活動無可避免要面臨各種風險的挑戰(zhàn)，能否成功的分散和化解風險已經(jīng)成為了公司能否長治久安的先決條件。美國COSO委員會（The Committee of Sponsoring Organizations）將內(nèi)部控制框架擴充發(fā)展為風險管理框架也正體現(xiàn)了風險管理對于現(xiàn)代企業(yè)的重要性。

一、內(nèi)部控制和風險管理概述

1．內(nèi)部控制定義。內(nèi)部控制的思想由來已早，在COSO發(fā)布內(nèi)部控制框架之前，其發(fā)展先后經(jīng)歷了內(nèi)部牽制、內(nèi)部控制制度、內(nèi)部控制結構三個階段。1992美國COSO委員會頒布了《內(nèi)部控制——整合框架》，并在其中對內(nèi)部控制做了如下定義：內(nèi)部控制是一個過程，該過程受到公司董事會、管理層和其他人員的影響，其目的是為下列目標的實現(xiàn)提供合理保證。這些目標包括：經(jīng)營的有效性和效率、財務報告可靠性、法律法規(guī)的遵從性。從這一定義我們可以看出，內(nèi)部控制不是一系列制度的組合，而是企業(yè)為達成目標，有機協(xié)調(diào)內(nèi)部各項活動形成的一個動態(tài)過程，這個過程為企業(yè)三大目標的實現(xiàn)提供了保證。

2．COSO風險管理框架。2004年，COSO委員會在內(nèi)部控制框架的基礎上又發(fā)布了《企業(yè)風險管理——整合框架》，這被看做是對內(nèi)部控制框架的進一步延伸。該框架對風險管理的定義是：風險管理是一個過程，它由公司董事會、管理層以及其他員工執(zhí)行，適用于公司戰(zhàn)略的制定和整個公司范圍，用來識別可能對公司產(chǎn)生影響的潛在事項，并將風險控制在企業(yè)可以承受的水平之內(nèi)，為公司目標的實現(xiàn)提供合理保證。這些目標包括四類：戰(zhàn)略目標、運營目標、報告目標、合規(guī)目標。風險管理框架的目標在內(nèi)部控制框架的目標之上又增加了戰(zhàn)略目標這一項，把風險管理提到了戰(zhàn)略的高度，充分顯示了風險管理對于企業(yè)的重要性。具體而言，風險管理框架包括以下八要素：內(nèi)部環(huán)境、目標設定、事項識別、風險評估、風險應對、控制活動、信息與溝通、監(jiān)控。這八大要素是相互關聯(lián)形成的一個有機整體。與內(nèi)部控制框架相比，風險管理框架新增了目標設定、事項識別、風險應對這三個要素，強調(diào)事前對風險的識別、評估和應對。

3．內(nèi)部控制與風險管理的關系。從內(nèi)部控制和風險管理理論的發(fā)展和其涵蓋范圍來看，內(nèi)部控制是風險管理的一部分。首先，COSO風險管理框架是在內(nèi)部控制框架的基礎上發(fā)展而來的，風險管理八要素是在內(nèi)部控制五要素的基礎上擴展而來的，風險管理的目標也是在內(nèi)部控制目標基礎上擴充得到的。其次，從執(zhí)行層次而言，風險管理屬于企業(yè)治理層次，而內(nèi)部控制屬于企業(yè)管理層次。最后，從風險應對的角度而言，內(nèi)部控制只是降低風險的措施之一。因此內(nèi)部控制和風險管理的關系可以概括為：內(nèi)部控制的動力源于風險防范并構成風險管理的必要環(huán)節(jié)，但內(nèi)部控制并不等同于風險管理，它只能防范風險，不能轉嫁、承擔或分散風險。

4．企業(yè)進行風險管理的必要性。企業(yè)要進行生產(chǎn)經(jīng)營活動就必然要和內(nèi)外部環(huán)境發(fā)生各種關系，也無可避免要面臨各種風險，因此風險管理是企業(yè)日常管理活動的一部分。而在眾多的風險管理方法中，在企業(yè)內(nèi)部構建完善的內(nèi)部控制體系以降低風險發(fā)生的概率已經(jīng)成為企業(yè)風險管理的最重要方式。在風險管理框架下進行內(nèi)部控制，企業(yè)應當樹立風險管理的理念，比以往更加重視風險的識別、評估和應對，進行更多的事前控制，而不是風險事故發(fā)生后亡羊補牢式的事后控制。

二、案例分析

1．事件回顧。2007年，中信泰富為了降低公司在澳大利亞鐵礦石項目中面臨的貨幣風險，開始買進澳元累計外匯期權合約進行風險對沖。2008年10月20日，公司發(fā)布公告稱，該澳元累計目標可贖回遠期合約，因澳元的大幅貶值，已經(jīng)確認155億港元的虧損。到10月29日，由于澳元的進一步貶值，該合約虧損已接近200億港元。11月12日，中信泰富再次發(fā)布公告，稱與母公司中信集團達成初步重組協(xié)議：一是中信集團以強制性可轉債方式，向中信泰富注資15億美元；二是以“外科手術”般的方式將部分衍生品交易合約從上市公司剔除，中信集團將協(xié)助中信泰富分兩步重組現(xiàn)存的87億澳元合約。按照公告，中信集團希望在12月30日之前完成重組。此次衍生品巨虧事件階段性告一段落。

2．原因分析。（1）缺乏良好的內(nèi)部環(huán)境。內(nèi)部環(huán)境是內(nèi)部控制的基礎，對內(nèi)部控制的運行發(fā)揮著重要作用。中信泰富在事發(fā)后發(fā)公告稱外匯合約的目的在于套期保值。然而通過分析我們發(fā)現(xiàn)，公司簽訂的合約須接受的94.4億澳元總額遠大于公司鐵礦石項目預計所需的約26億澳元總量，這筆交易與合約本身的目的相悖。結合其他跡象我們可以發(fā)現(xiàn)，中信泰富的外匯合約充滿了投機色彩，與套期保值的初衷違背。公司內(nèi)部沒有樹立風險意識，冒險從事投機項目，這反映出了其薄弱的內(nèi)部環(huán)境。（2）風險識別、評估程序缺乏。中信泰富選擇的杠桿式外匯合約風險收益明顯不對稱，澳元匯率上升時公司所能獲得的利潤上限被標定，而匯率下跌時公司承擔的損失風險卻是無限的。在最初簽訂合約時，公司并沒有識別出其將要面臨的巨大風險，也沒有評估這一風險可能產(chǎn)生的嚴重后果，這些都表明公司缺乏風險管理意識。（3）事后未及時有效應對風險。在2008年7月澳元開始下跌后，公司本有機會在此期間采取措施止損，但是中信泰富并沒有采取任何的措施，面對風險反應遲緩。從另一個角度講，中信泰富此時可能仍然抱有幻想，寄希望于澳元匯率的反彈，如果是這樣的話，那么公司對可能面臨的巨大風險熟視無睹，更加反映出其內(nèi)部環(huán)境存在的問題。（4）控制活動有漏洞。中信泰富在公告中對此事件的解釋是：此次事件源于財務董事未遵守公司對沖風險政策，且在交易中未按規(guī)定取得批準，超越權限致公司虧損。授權審批是企業(yè)內(nèi)部控制所能采取的最基本措施之一，然而中信泰富連這一點都沒有做到，足見其制度缺陷。另一方面，相關交易的原始單據(jù)上也只有財務董事和一個交易員簽名，其內(nèi)部控制缺乏應有的職責分離。授權審批、職責分離是控制活動的基本方法，中信泰富都沒有做到，可見其內(nèi)部控制的混亂程度。（5）信息與溝通不暢。虧損事件發(fā)生后，中信泰富時任董事會主席榮智健表示其并不知情，面對金額高達上百億的外匯合約，董事會主席竟然不知情，公司內(nèi)部的信息溝通不暢可見一斑。此外，在事件發(fā)生后，董事會沒有及時向公眾披露相關事宜，并聲稱公司營運良好，其對外界的信息披露也存在問題。（6）監(jiān)控機制缺位。中信泰富的內(nèi)部控制尚且如此混亂，更不用說其對內(nèi)部控制的監(jiān)控。如果公司內(nèi)部有人去監(jiān)督內(nèi)部控制的執(zhí)行，及時完善內(nèi)部控制的缺陷，也許此次事件就不會發(fā)生。值得一提的是，在經(jīng)歷了這次事件后，中信泰富在董事會下設了資產(chǎn)負債管理委員會，專門負責對風險進行控制審批。

3．內(nèi)部控制改進建議。通過對中信泰富事件的分析，我們提出以下幾點改進建議：（1）加強企業(yè)的內(nèi)部環(huán)境建設。內(nèi)部環(huán)境涵蓋的范圍非常廣，主要包括員工的誠信和道德觀、員工勝任能力、董事會或審計委員會、管理理念和經(jīng)營方式、組織結構等方面。這些相對于具體的控制活動來說略顯抽象，但卻是內(nèi)部控制的根基，企業(yè)應當通過制度的完善以及培訓、研討會等方式加強內(nèi)部環(huán)境的建設。（2）設立風險事項識別、評估程序，增強風險管理意識。企業(yè)內(nèi)部應設立專門的風險管理機構，比如說在董事會下設風險管理委員會，專門識別、評估、應對企業(yè)面臨的各種內(nèi)外部風險。同時在企業(yè)全體員工當中樹立風險防范的意識。（3）提升企業(yè)的風險應對能力。企業(yè)的風險應對不僅包括事前應對，還包括事后應對。企業(yè)應當在風險事故發(fā)生之前完善相關制度，并設置相應的應急方案，以便于在風險事故發(fā)生后及時采取措施，將損失降到最低。（4）完善控制活動?？刂苹顒拥哪康脑谟诖_保風險應對措施的有效執(zhí)行。在中信泰富案例中，公司內(nèi)部連最基本的授權審批、職責分離等控制活動都沒有做到，這為風險事故的發(fā)生埋下了巨大的隱患。企業(yè)應當根據(jù)自身的實際情況，完善必要的控制環(huán)節(jié)，特別是關鍵控制點上的控制活動。（5）增強企業(yè)信息流動性。企業(yè)可在內(nèi)部推行信息公開制度，使得信息可在各個層級間流動，減少信息不對稱風險。同時還可以通過設置相關的授權審批程序強化信息溝通。對于企業(yè)對外的信息披露，則需要相關的監(jiān)管部門加強監(jiān)督，以免企業(yè)發(fā)布不實信息誤導公眾。（6）完善內(nèi)部監(jiān)控體系。在內(nèi)控建設的同時完善內(nèi)控監(jiān)控體系，有助于確保內(nèi)部控制的落實，發(fā)現(xiàn)內(nèi)部控制存在的漏洞并及時改正，這一點也非常重要。

三、結語

中信泰富事件爆發(fā)后，很多人將其歸因于金融危機的大背景，然而仔細分析，其巨虧的深層次原因在于內(nèi)部控制。沒有建立完善的內(nèi)部控制制度，已有的制度得不到充分執(zhí)行，對風險的識別、評估嚴重不足，風險發(fā)生后不能及時有效應對，公司內(nèi)部信息流動性差，溝通不暢，這些問題才是公司巨虧的真正原因。從這個角度而言，不完善的內(nèi)部控制就像是埋在企業(yè)內(nèi)部的一顆定時炸彈，只要導火索被引燃，必定造成嚴重損失。而這也進一步證明了在企業(yè)內(nèi)部建立健全內(nèi)控體系以防范風險的必要性。

隨著全球化進程的加速和經(jīng)營活動不確定性的增加，企業(yè)面對的風險因素不斷增加，而內(nèi)部控制正是應對風險的有效途徑之一。我國已于2008年發(fā)布了《企業(yè)內(nèi)部控制基本規(guī)范》，并于2010年發(fā)布了《企業(yè)內(nèi)部控制配套指引》，隨后財政部對配套指引逐一作了深入而權威的解讀，至此，我國內(nèi)部控制框架已經(jīng)基本形成。在內(nèi)部控制建設方面，我國企業(yè)還有很長的路要走，但相信在內(nèi)部控制框架的指引和歷史經(jīng)驗教訓的鞭策下，將來我們會在內(nèi)部控制建設方面取得進一步成就。

參 考 文 獻

[1]董月超．從COSO框架報告看內(nèi)部控制與風險管理的異同．審計研究．2009（4）：94～96

[2]高喜燕．“中信泰富”事件的反思．西部金融．2009（2）：37～38

[3]王勁，張慶，羅毅．從中信泰富巨虧看內(nèi)部控制．企業(yè)管理．2009（10）：38～41

[4]王艷芳，楊愛義．衍生金融工具投資風險控制問題研究——基于中信泰富事件的分析．財會月刊．2010（10中旬）：78～80