以風險管理角度探討企業內部控制創新

王洪波

[摘 要] 我國2010年發布了內控管理框架文件，但目前我國的企業內控管理，卻仍普遍存在著企業風險管理意識不足、管理層對內控風險并不過多關注、內部控制制度流于形式、風險防范措施缺失等問題，大多數企業的內控更起源于外部要求或簡單地查錯防弊，達不到真正管控企業經營管理風險的目的。那么，如何通過對風險管理的研究，從管理風險角度探討我國企業內部控制管理的創新，更具有實用性和迫切性。因此通過從風險管理與內部控制的關系出發，以企業實際需求為導向，分析我國企業內部控制與風險管理存在的問題，探討如何通過有效的措施和手段，建立起完善的企業內部控制制度、健全企業的風險防控和預警體系，找到適合企業內部控制管理的創新途徑。

[關鍵詞] 風險管理；內部控制；創新

[中圖分類號] F275 [文獻標識碼] A [文章編號] 1009-6043（2018）03-0033-03

2004年9月，COSO委員會發布了《企業風險管理——整合框架》，標志著內部控制的框架向前邁出了關鍵一步，內部控制更有傾向性、有重點地關注于企業風險管理。但國內的企業內控管理與國際相比，落后明顯，企業內部控制存在諸多問題，因此嘗試從風險管理角度出發，探討更適合中國企業現狀的內部控制創新方法和內控體系。

一、風險管理與內部控制的關系

企業的風險管理是圍繞總體經營目標，通過流程和制度使可能導致企業不能夠實現自身管理方向和策略的各種現實和潛在威脅因素得以有效控制，使企業正常穩定經營的一系列活動。內部控制就是使風險控制在企業能夠容量的范圍內的方式和手段。現代企業面對的環境紛繁多樣，所有可能導致企業目標無法實現的事件都是企業的風險，為了確保企業的生存和發展，就需要對所有影響企業目標實現的各種事件進行分析、控制和管理，杜絕純粹風險、控制機會風險，為實現企業目標提供保障。風險管理既是企業管理必不可少的生存之本，又是企業完善和建立內部控制機制的內在催動力量。在實踐中，風險管理與內部控制的實質并沒有明顯的界限，而且隨著企業對自身面臨風險認識深度的加強，在對內部控制手段不斷實踐、摸索和完善過程中，必然使兩者越來越契合，最終的結果必然是交叉融合，實現完全統一，達到企業風險管理的最佳狀態。

二、我國企業內部控制和風險管理存在的問題

（一）組織機構不合理

股東會、董事會、監事會、管理層是現代化的公司管理架構，并且各層級應權責清晰，但目前國內多數企業組織架構不全，或雖然設立齊全，但權責不清，其中一會一權獨大，使其他監督制約的功能失去作用，形同虛設。多數企業管理混亂，雖然存在內部控制，但卻并不嚴格執行。在企業管理中仍然處于人情管理當中，情大于制度，使制度和規范形同虛設。很多企業組織結構設置不合理，部門與部門間銜接處責權不夠清晰，內部缺乏有效的制約、溝通和監控機制，重要崗位缺少權力制衡，一旦出現間隙問題，責任無法界定、推諉扯皮和推卸責任等情況經常發生，而在組織內部運作過程中，也會因責權不清而降低效率，出現失控風險。

（二）缺乏內部控制環境

內部控制環境主要取決于企業核心成員的哲學理念和經營作風，包括領導者的道德觀、價值觀、風險意識，勝任能力和正直性。企業的內部控制環境是實行內部控制的前提和基礎，對于企業風險體系完整性和有效性，以及如何制定企業戰略目標、如何組織經營活動、如何識別和管理各種經營風險都是至關重要的，是內部控制的核心和關鍵。然而，我國多數企業對內部控制環境的改善不夠重視。部分企業核心成員缺乏風險管理意識，或者有意識地凌駕于風險管理甚至是企業管理之上，對于企業內部控制走過場，用制度和文件代替執行和落實，把內控制度當成上墻工程，做給人看的程序，僅用于應付各種檢查。大多數企業內部控制和審計機關缺乏獨立性和權威性，僅在領導授意范圍內發揮有限作用。內部控制缺乏和混亂的環境，勢必導致企業內部控制根基不牢，所有制度和體系都難以落實。

（三）企業風險管理意識薄弱

企業面臨的風險來自方方面面，每項風險都有可能威脅到企業的生存和發展，有些風險帶來的后果甚至是致命性的。但目前，我國企業風險管理意識薄弱的狀況普遍存在，大多數企業并不進行風險識別，更談不上風險分析，企業抗風險能力很低。部分企業即使是意識到風險存在，也并未將風險事項識別做為一個系統的工程加以重視，不進行評估、預警和管理。因此多數企業只能在內外部風險到來時，被動接受，隨機處理，手忙腳亂，處于“出現什么問題，解決什么問題”的事后被動彌補狀態，缺少風險防控觀念，使企業暴露于風險當中。

（四）缺乏有效的風險防范措施

許多企業風險意識薄弱，不能充分認識到風險會給企業帶來的后果。或者雖然企業具有風險意識，但并未建立完善的風險防控體系，在風險控制環節中缺少風險的分析、預測組織及人力資源保障，風險警示指標模糊，風險防范措施不足。由于風險防范措施的缺失，重大決策程序簡單，就使得一些公司決策草率，程序混亂，不做事先的評估測險，在沒有預防措施的前提下，盲目為了追求高收益，過度冒險，漏出風險防范的空門，對經營失敗和破產風險不予考慮，最終將經營管理失敗交由債權人、股東和社會買單。有的管理者決策不走程序，風險意識為零，主觀武斷，自大決策，易于出現決策失誤，而在這種情況下如果沒有有效的風險防范措施，就會導致企業經營風險和財務風險增加，最終損害公司和股東的利益。

三、企業內部控制體系重構的方向

（一）積極完善公司治理與內部控制環境

將理順企業治理主體的權利分配和制約機制做為治理方向，股東大會、董事會、經理層和監事會間要決策、經營、監督三權分離。落實各崗位、各層級的職責和權限，充分發揮各級、各部、各崗位間作用，使不同崗位形成監督、制約、牽制的內部控制制約機制，形成職責清晰、協調高效、相互制衡的健康環境。同時規范企業決策程序和內部管理制度，確保“三重一大”等各項集體決策制度有效落實。通過完善公司治理環境來改善企業內控環境，為良好的內控體系提供保障。

（二）建立健全內部控制的制度和標準

首先要針對內控體系尚未健全的情況建立補救和預防措施。即面對企業不完善的內部控制環境、內控制度不健全、內部控制投入不足、內部控制失效等現象，應急建立的補位機制。主要有例外報告、關鍵點檢查、獨立監督機制等。其次要健全內控制度，在補位機制基礎上，以風險治理為目標導向，全方位理順企業管理制度和業務流程，查擺經營管理中的關鍵控制點是否存在風險。評估各級、各類風險對企業經營的影響程度，整理編制風險清單，查找并確定關鍵風險節點，制定相應控制要求，實施業務的全流程重塑，在業務流程中嵌入內部控制制度和控制措施，編制企業內部控制管理的手冊，使各項經營和管理工作實現規范化、制度化和標準化。第三要改善企業內部控制過程中的信息反饋。高效準確的信息反饋可以保證內部控制及時發現問題，并時時糾錯。通過信息及時反饋，有利于發現及時執行過程中的違規違紀情況，發現控制手段和規范存在的漏洞，以便及時做出處理和調理。第四要建立自檢完善機制。依據內部控制目標，隨著業務發展變化，時時關注和順應內外部條件改變，建立長效的管理制度有效性檢驗和評估機制，對內控體系進行動態調整，安排專門的內部控制實施委員會定期的對內部控制制度進行研究，減少流程缺陷，不斷完善制度。只有建立起完善的內部控制制度、規范和標準，才能使內部控制與時俱進，持續改進，切實發揮其對企業運行的保障作用。

（三）強化企業內部審計監督

以內部審計做為主要手段進行監督和改進風險管理，對全面風險管理工作效果進行監督和評價。對重點管理流程與重點業務的內部審計，內部控制專職部門或牽頭機構要加強內部控制日常監管，通過現場檢查、監控回查、流程測試等方式，加強部門和各分子公司內部控制執行情況的日常監督檢查，著力抓好資金、投資、采購、銷售、資產管理、人力資源管理、質量健康環保等關鍵業務流程控制和審計。通過定期的審計，做出執行情況評估，對出現的問題進行嚴肅處理。同時要重點加強內控風險體系的漏洞管理，通過執行評價和監督，使內部控制在設計中存在的缺陷和運行漏洞能夠被及時發現，并且對存在的無效或者失效點，要析因究源，從整個管理鏈條上一環一環地排查問題、不放過每個鏈接處的缺陷，并認真分析設計之初忽略的原因，總結經驗和教訓，舉一反三對同類流程和制度進行同時改進和完善，并對整改后的效果進行測試和檢查，形成良性的自我優化程序。同時要通過績效考核內控制度設計人員工作質量，對內部控制設計的重大缺陷要追責，出現內控重大設計漏洞要逐級落實內部控制設計和審核人員責任。對內控人員檢查過程中因工作質量不到位出現的應查未查出的問題，要進行監督考核，通過監督促進企業內控人員盡職履責，加強內控人員工作協同，形成工作合力，共同推動企業管理的持續改進。

（四）完善企業風險預警體系

企業內部要完善重大風險預警機制，并針對重大風險制定應急處理預案，對于預估的較大風險要進行應急演練，提高風險突發時的處理能力。具體落實重大風險中各崗位的責任，建立上報、反饋、指令下達等處理流程和制度，使風險信息快速上達，處理指令順暢落實，確保風險事件發生時應對及時高效。企業面對的風險是動態和變化的，建立專門機構對各種信息收集，并建立健全分析系統，事先對風險進行預判，才能取得應對風險的主動權，在風險來臨前做出預估，快速做出反應，采取有針對性的處理策略。

（五）充分利用信息化手段

信息化的大發展推動了社會進步，企業管理已經進入信息化時代，企業內部控制因信息化的發展而大大提高了效率。內部控制要素之一就是信息溝通，計算機網絡及信息技術的大發展實現了數據高度集中和信息交換的快速、高效，企業實現了準確的數據整理分析、高效的數據交流和反饋。尤其是各種管理軟件已涵蓋了會計核算、財務管理及全部業務領域，使企業內部控制和風險管理依托于這些軟件實現了人為管控到系統管控的飛躍。因此企業要在內部控制管理過程中要充分利用信息技術，推動內部控制在業務信息系統、財務軟件、ERP系統等中的運用和有效嵌入，推進內部控制體系和信息化建設的交融集成。充分利用信息化能夠對風險因素進行剛性管控的優勢，形成“制度管控+信息管控”的模式，促進管理控制程序化、風險管控信息化。快速提升內控信息資源利用率，強化內控控制管理質量。

（六）重視企業文化建設

企業文化（企業核心價值觀）是構成控制環境的基本要素，并且是最重要的要素，直接影響內部控制其他要素的設計、執行和有效運作。再完美的企業內控最終落實的都是“人”，企業員工的道德修養是根基，企業文化是員工道德修養的領航方向，是企業的軟控制實力，企業文化雖然無形，卻對企業的一切活動具有非常巨大的內在約束力，是軟約束；內控制度和體系是一種外在的制度約束，是硬約束。優秀的企業文化與風險導向的全面內控體系是共同作用，才能形成剛柔并濟的風控制度文化，使企業的內控制度和風險體系切實起到應有作用。

[參考文獻]

[1]王海燕.基于風險導向構建集團公司內部控制體系[J].科技與管理，2008（3）.

[2]田寶振.基于風險管理的內部控制創新[J].金融商務，2013（6）.

[3]侯微.基于風險管理視角的企業內部控制體系重構[J].工商管理，2010（3）.

[4]《企業內控配套指引》編寫組.企業內控配套指引[M].北京：立信會計出版，2010.

[5]企業內控編審委員會.企業內控配套指引解讀與案例分析[M].北京：立信會計出版，2010.

[責任編輯：紀晨光]