風險導向型內(nèi)部控制體系初探

□許媛芳譚 鳳伍婷婷

（1、3重慶工商大學 重慶4000672四川外語學院國際商學院 重慶400031）

隨著金融危機向?qū)嶓w經(jīng)濟蔓延，部分基礎薄弱、內(nèi)部控制失效的銀行、證券公司、實體企業(yè)紛紛倒閉，經(jīng)濟舞弊詐騙案件頻頻曝光，諸如：雷曼兄弟破產(chǎn)、AIG深陷次貸泥潭、房利美和房地美被接管、中信泰富等公司衍生金融產(chǎn)品投資巨虧等。此類案例詮釋了內(nèi)部控制失效的極大危害，同時引發(fā)了企業(yè)和監(jiān)管部門對內(nèi)部控制制度的反思。在此背景下，COSO委員會于2009年1月發(fā)布了《監(jiān)督內(nèi)部控制系統(tǒng)的指南》，該指南力圖把以風險為導向作為核心理念，構(gòu)建了一個有效內(nèi)部控制監(jiān)督模型。風險管理是內(nèi)部控制與企業(yè)經(jīng)營活動循環(huán)相結(jié)合的直接目標所在，是鏈接內(nèi)部控制與公司戰(zhàn)略規(guī)劃的關(guān)節(jié)點。而我國企業(yè)內(nèi)部控制風險監(jiān)督機制的建設情況不容樂觀。風險監(jiān)督的低效甚至無效直接影響了內(nèi)部控制系統(tǒng)的有效運行。基于此，本文以內(nèi)部控制組織體系為基本依托，提出鑲合危機管理、預警管理、金融風險控制、戰(zhàn)略風險控制等的風險導向型內(nèi)部控制構(gòu)建模型。

一、風險導向型內(nèi)部控制的基本內(nèi)涵及其意義

（一）風險導向型內(nèi)部控制的內(nèi)涵

風險導向型內(nèi)部控制指以風險管控為邏輯起點，把將風險管理理念鑲嵌到內(nèi)部控制流程中形成的以風險為導線、價值增值責任為主線的內(nèi)控體系基礎框架。即以 “戰(zhàn)略規(guī)劃——風險考量——風險內(nèi)控——戰(zhàn)略目標”為基本思路，在內(nèi)部控制設計時，關(guān)注重點風險區(qū)域和關(guān)鍵業(yè)務，以提升內(nèi)部控制的針對性。根據(jù)內(nèi)部控制的五要素理論，風險導向型內(nèi)部控制的構(gòu)建涵蓋以下幾個方面：一是構(gòu)建全面風險管理體系基礎框架；二是設計科學的風險動態(tài)重估機制；三是建立高效的經(jīng)營指標風險動態(tài)監(jiān)控預警機制；四是建立合理的風險管理考核體系；五是搭建全面風險管理信息系統(tǒng)框架。

（二）風險導向型內(nèi)部控制的意義

當今社會，面對日趨激烈的競爭環(huán)境實施風險導向型內(nèi)部控制具有重大意義。

1.風險的巨大危險性使得風險管理相對于常規(guī)內(nèi)部控制工作中的資產(chǎn)安全性及其記錄正確性而言更加重要。風險一旦來臨，無論資產(chǎn)和記錄的質(zhì)量如何，企業(yè)可能都會在瞬間蕩然無存。面對此種情況，要求企業(yè)以風險管理為導向，即要求內(nèi)部控制視角不僅僅要放在某幾個關(guān)鍵控制點上，也要包括凡是可能誘發(fā)和產(chǎn)生風險的所有經(jīng)營管理作業(yè)活動上。

2.風險導向型內(nèi)部控制是現(xiàn)代內(nèi)部控制發(fā)展的必然趨勢，我國內(nèi)部控制發(fā)展緩慢，其滯后性、形式化等問題亟待解決，加之于內(nèi)部利益沖突、信息和權(quán)力等不對稱問題的客觀存在，極易造成內(nèi)部控制的缺失和脫節(jié)。因此，通過加強風險管理，才可以更好地完善內(nèi)部控制體系，真正發(fā)揮內(nèi)部控制的作用。

3.風險導向型內(nèi)部控制促進戰(zhàn)略發(fā)展。在原有的內(nèi)部控制體系中融入風險管理而產(chǎn)生風險導向型內(nèi)部控制。這使得風險偏好、風險容忍度、風險對策、壓力測試、情景分析等風險度量的概念和方法，也融入到內(nèi)部控制體系。這對企業(yè)是大有裨益的，有利于發(fā)展戰(zhàn)略與風險偏好相一致，進行經(jīng)濟資本分配及利用風險信息支持業(yè)務前臺決策流程等，以此幫助董事會和高級管理層實現(xiàn)原內(nèi)部控制所不能實現(xiàn)的戰(zhàn)略目標。

二、風險導向型內(nèi)部控制系統(tǒng)的價值鏈

價值鏈的定義最初是由邁克爾·波特根據(jù)企業(yè)經(jīng)營活動提出的，他把企業(yè)價值鏈定義為顧客愿意為企業(yè)提供的產(chǎn)品或服務支付的價格。價值可以用企業(yè)的最終產(chǎn)品來衡量，即企業(yè)銷售其產(chǎn)品或服務的價格。對于風險導向型內(nèi)部控制體系來講，其價值鏈可以用圖1刻劃：

圖1 風險導向型內(nèi)部控制價值鏈分析圖

正如上圖所示，風險導向型內(nèi)部控制價值鏈存在以下顯著特點：

（一）從內(nèi)部控制的目標維度看。風險導向型內(nèi)部控制把經(jīng)營有效性目標與控制流程特別是其中的風險評估與控制活動緊密銜接，最終落實到企業(yè)價值增值和戰(zhàn)略目標的實現(xiàn)上來，使得內(nèi)部控制內(nèi)容更豐富、目標更明確。具體而言，內(nèi)部控制目標由以前的三目標擴充為運營有效性風險控制、財務報告可靠性風險控制、合規(guī)性風險控制以及企業(yè)戰(zhàn)略目標風險控制。

（二）從流程鏈條維度上講。風險導向型內(nèi)部控制是以風險事項識別為起點，構(gòu)建涵蓋風險識別、風險評估、風險內(nèi)控、監(jiān)察與評價等四項基本活動以及內(nèi)部控制基本環(huán)境建設、內(nèi)部控制信息與溝通等兩項輔助活動的內(nèi)部監(jiān)控鏈條，有效管理企業(yè)的資金運動、物資運動和各業(yè)務活動信息處理過程等。

（三）從內(nèi)涵來看。風險控制與內(nèi)部控制結(jié)合，更體現(xiàn)了內(nèi)部控制的過程性，從動態(tài)的角度解釋了內(nèi)部控制是一個活動流程，而不僅僅局限于政策、措施和手段等層面。

三、風險導向型內(nèi)部控制的作用機理

如前所述，風險導向型內(nèi)部控制是以風險為中心軸的風險控制。從確認潛在風險事項入手，將整體風險分解到不同層次，再區(qū)別剖析各層次風險的特點、進而有針對性地采取措施協(xié)調(diào)企業(yè)內(nèi)部管理各個部門和環(huán)節(jié)，將內(nèi)部控制滲透到企業(yè)風險管控各個業(yè)務流程。具體而言，風險導向型內(nèi)部控制動態(tài)的流程如圖2所示分為風險排序、識別控制、執(zhí)行監(jiān)督以及評估報告四個環(huán)節(jié)，每個環(huán)節(jié)都在某種程度上持續(xù)運行。

（一）風險排序。風險導向型內(nèi)部控制是把焦點放在評估及應對重大風險控制。重大風險是那些通過內(nèi)部控制的風險評估要素確定的，在特定的時間范圍內(nèi)可能對組織目標產(chǎn)生不確定性影響的事項。同時，對潛在的控制缺陷排序不僅要關(guān)注風險的危害量，更要注意從性質(zhì)上把握風險控制。

（二）識別關(guān)鍵控制。組織通過了解內(nèi)部控制系統(tǒng)如何應對或減輕重大風險以及確定哪些控制對風險控制結(jié)論貢獻最大來確定關(guān)鍵控制。對關(guān)鍵控制的判斷可能發(fā)生在組織中不同層級。通過考慮那些會增加控制失敗風險的因素，如控制的復雜性、是否需要高度判斷、人工或自動化、人員的勝任能力或經(jīng)驗、高管凌駕的風險等，可以促進關(guān)鍵控制的分析。

圖2 風險導向型內(nèi)部控制的作用機理

（三）實施控制監(jiān)督程序。控制監(jiān)督包括風險即時管理和持續(xù)監(jiān)督兩個層面。持續(xù)監(jiān)督為管理層關(guān)于控制有效性的日常信念提供主要支持，確保了內(nèi)部控制的長期有效。

（四）評估和報告結(jié)果。評估和報告結(jié)果強調(diào)內(nèi)部控制缺陷的發(fā)現(xiàn)要及時向執(zhí)行該流程和相關(guān)控制的人員以及更高級別的管理層報告；重大缺陷要與高管層和董事會溝通；來自內(nèi)部或外部的缺陷報告都應該予以考慮，并有針對性地采取控制措施。這種事后評估和報告的后監(jiān)督效應能夠促進內(nèi)部控制的持續(xù)有效。