國有企業全面風險管理體系和內部控制體系建設融合機制研究

張巖

【摘要】國有企業是中國特色社會主義的重要物質基礎和政治基礎，是中國共產黨執政興國的重要支柱和依靠力量。針對當前國有企業在實施全面風險管理體系和內部控制體系建設中存在的認識模糊、信息孤島、運行不暢等問題，提出戰略規劃導向下的“全面風性管理一內部控制”體系框架，以及相應的融合機制和策略，為國有企業更好控制內外部風險、實現有質量的可持續發展提供借鑒。

【關鍵詞】國有企業 全面風險管理

隨著國有企業改革的不斷深化，出資人和企業本身都對風險控制提出了越來越高的要求。目前，國有企業的風險控制存在著兩套并行的管控體系，即內部控制體系和全面風險管理體系。但對兩個體系之間的關系，理論和實踐上都還存在著一定的爭議，這就在實踐中給國有企業實施風險管控帶來了一定的困惑和挑戰。

一、問題的提出

2006年s月，國務院國資委印發我國第一個全面風險管理的規范性指導文件——《中央企業全面風險管理指引》（國資發改革[2006]106號），從初始信息、風險評估、風險管理策略、風險管理解決方案、組織體系、監督與改進、風險管理文化、信息系統等八個方面對中央企業開展全面風險管理工作進行了規范和指導。2008年6月，財政部等五部委聯合發布了《企業內部控制基本規范》（財會[2008]7號），從內部環境、風險評估、控制活動、信息與溝通、內部監督五個方面定義了企業內部控制的基本要素和操作規范；2010年4月，五部委又聯合印發了《關于印發企業內部控制配套指引的通知》（財會[2010]11號），發布了18項應用指引和內控評價、內控審計2項指引，形成了較為完備的企業內部控制規范體系。2012年5月，國資委與財政部聯合發布了《關于加快構建中央企業內部控制體系有關事項的通知》（國資發評價[2012]68號），對中央企業內部控制體系建設工作進行了部署。至此，國有企業的內部控制和全面風險管理有了基本遵循，從理論指導和標準規范層面解決了從無到有的基本問題。

從近年來國有企業特別是中央企業的實踐來看，這兩個體系對提高國有企業風險意識、建立健全風險管控規章制度、規避重大經營風險、培育企業核心競爭力、推進企業的可持續發展，起到了巨大的推動作用。但大部分情況下，兩個體系的建設、運行分別由企業的財務管理部門和風險控制部門獨立實施，由于概念的認知偏差、職責分工不同造成的“部門墻”現象、工作側重點不同等原因，兩個體系之間既獨立運行又相互重疊，有時還存在著一定程度的矛盾和沖突，不僅會形成兩個并行的“信息孤島”，提高了企業內部的溝通和交易成本，造成了管理上的低效率，甚至有的企業還把兩個體系的建設當做上級機關下達的“任務”，“過關”思維濃厚，體系建設流于形式，難以發揮應有的作用，這與前述指引和規范推行的初衷嚴重不符。

整體上來看，國有企業在風險管控方面還存在著以下幾個方面的突出問題：一是風險意識有待進一步提高。雖然多數國有企業都建立了較為完備的內部控制或風險管理基本制度，但在制度的完備性、可操作性扔有待加強；沒有形成科學合理的風險評估機制，風險評估缺乏有效的數據和方法支撐；在風險應對上也存在著普遍的“救火”意識，大都是風險暴露以后采聊‘亡羊補牢”方式；對風險的認識也相對感性、不夠全面，全員參與的意識和能力不足。二是國有企業的內部環境基礎依然薄弱。由于歷史和體制的原因，很大一部分國有企業的董事會、監事會、股東大會等法人治理結構不健全，缺乏有效的監督機制；職能部門和業務部門之間的職責邊界不清晰，部門之間的權責利結構和制衡機制不完善；給內部控制體系和全面風險管理體系的建設和運行帶來了諸多不利影響。三是風險管控的信息化水平不高。大部分國有企業的風險管控還處于相對分散、各自為政的狀態，缺乏統一規劃、建設、運行的風險管理信息化平臺，已有的風險管理信息系統也與常常其他信息系統形成不兼容的“孤島”，導致“煙囪林立”，無法實現風險數據的共享和增值，影響了風險管控的效率和效益。

二、全面風險管理和內部控制

關于全面風險管理和內部控制之間的關系，目前學術界尚未達成統一的認識。有的專家認為，全面風險管理與內部控制是一對等同的概念，可以看成是風險控制的兩種不同表達方式，沒有本質性的區別；也有的專家則認為，全面風險管理強調對外部的、動態的風險的管控，而內部控制強調內部的、靜態的風險的管控，是兩個不能等同的概念。

本文認為，全面風險管理與內部控制是兩個既有區別又有聯系的概念。相對于內部控制，全面風險管理在管控目標上增加了戰略目標，目標結構更具宏觀性和全面性；在管控方式上，更加注重事前的監測預警和防范，而不是事中和事后管控；在管控范圍上，更加注重對內外部風險的全面管控，同時強調對企業歷史、現實和未來的統一，風險管控更具前瞻性。此外，在風險應對策略上，內部控制采取的是防范措施，一般情況下不能轉嫁、承擔、化解或分散風險；而全面風險管理可以按照風險收益原則，采取不同的風險管理策略組合，對己經發現的風險采取措施進行有效控制，從而降低風險暴露的損失。雖然存在這些差別，但風險控制是內部控制的基本要素之一，全面風險管理的基本策略、解決方案等也包含著內部控制的基本職能，兩者的最終目標都是為了識別風險、評估風險、控制風險，涉及的管控主體也都是企業的全體員工，從這個意義上講，兩者之間是交叉融合、相輔相成的，這也印證了國際風險管理協會的判斷，“風險管理體系與內部控制體系并沒有原則性的區別，風險管理與內部控制正在趨同”。

正是由于兩者在概念上的趨同以及他們在本質上的統一性，這就為融合建設全面風險管理體系和內部控制體系帶來了可能。全面風險管理體系和內部控制體系都是為了應對企業風險而產生的，在最終目標上都歸于合理的風險防控，那么按照成本效益的基本原則，在實際操作過程中就沒有必要按照傳統模式，由財務管理部門和內控部門分別建設和管理，而應該圍繞國有企業改革發展的最終目標，從兩者的聯系和統一上統籌建立高度融合、有效協同的全面風險管理一內部控制體系。

三、融合建設“全面風險管理-內部控制”體系

從全面風險管理和內部控制的目標來看，最終的目標都是要確保企業的戰略規劃得到實現。根據上述分析，本文提出基于戰略規劃的“全面風險管理-內部控制”體系，基本框架如下圖所示：

在上述框架中，內部控制環境與全面風險管理的組織體系相融合，基于國有企業的治理結構建立全面風險管理的“三道防線”，即業務部門的第一道防線，風控部門的第二道防線，意見監督審計部門的第三道防線；內部控制的風險評估與全面風險管理的風險評估系統相融合，建立健全風險估計機制、風險預警機制，有效識別經營管理中的內外部潛在風險因素；內部控制的控制活動，與全面風險的應對策略、風險解決方案相融合，以重大重要風險為抓手，運用風險管理策略組合，有效應對可能或己經發生的各類風性，降低風險損失；內部控制的監督與評價，與全面風險管理的監督與改進相融合，對風險控制策略的有效性、風險責任的確認等進行監督，確保體系有效運行；內部控制的信息與溝通，與全面風險管理的信息搜集、風險管理信息系統等相融合，確保風險信息和數據的采集、加工、應用和傳遞。

國有企業在融合建設“全面風險管理-內部控制”體系還應重點把握以下幾個要素：

一是科學制定戰略規劃。戰略規劃包括企業的使命愿景、發展目標、業務體系和業務布局、行動計劃和資源配置計劃、管理運行體系和政策等。在融合建設的“全面風險管理-內部控制”體系中，戰略規劃具有引領性作用，要突出風險導向和問題導向，確保戰略規劃的制定符合企業的風險偏好和風險承受度。

二是要完善國有企業的內部環境。良好的內部環境是融合建設“全面風險管理-內部控制”體系的基礎和根本保證，內部環境的好壞直接決定著風險防控的效率和效果。國有企業應從企業的實際情況出發，持續深化改革，進一步完善法人治理結構，優化業務流程，建立科學的計劃管理、考核激勵、人力資源管理、風險管理等基本制度，加強風險意識與合規意識教育，動員全體員工參與風性管理，把風險管控融入到企業日常經營管理和員工日常行為規范的全過程。

三是要強監督和審計機制建設。企業的風險管控需要建立與之匹配的內部監督、審計措施，充分發揮國有企業黨組織的作用，統籌建立紀檢監察和審計機構，明確不同機構的職能職責，建立日常監督和專項監督相結合的監察審計機制；突出監督監察工作的風險導向，及時對體系運行的有效性、合規性進行評估，提出評估意見和整改要求，督促體系建設的逐步完善；建立重大風險事件責任追究制度，及時對風險事件的責任部門和責任人進行問責。

四是建立統一的風險控制信息系統。隨著信息技術的快速發展，企業智能化、智慧化發展的要求不斷提高。“全面風險管理-內部控制”體系的建設運行，關鍵是風險數據的全面搜集、風險水平的量化評估、風險策略的合理測試、風險信息的有效傳遞、風險應對的指揮調度，這都需要建立一個智能化的風險管理信息系統。在建設風險管理信息系統的同時，還要與企業整體的信息化規劃相統籌，避免出現新的信息孤島，從而實現不同信息系統之間的信息融合與共享，提高基于信息系統的體系化決策能力和管理水平。

四、結束語

理直氣壯做強做優國有企業是我國基本經濟體制的必然要求，良好的內部控制和有效的風險管理是國有企業深化改革、持續提高競爭力的必然要求。因此，就需要企業的管理者不斷把全面風性管理和內部控制有機結合起來，建立融合的“全面風險管理-內部控制”體系，持續強化風險意識，不斷優化風險管控體系和業務流程，實現業務發展和風險控制的有效融合，對各類風險進行全面識別、科學評估、合理預警、積極防范和有效應對，全面提高國有企業的管理水平，持續增加競爭力和發展活力。

參考文獻：

[1]高立法.企業全面風險管理實務（第三版）[M].北京：經濟管理出版社，2014.

[2]財政部會計司.企業內部控制規范講解（2010）[M].北京：經濟科學出版社，2010.

[3]劉霄侖.關于國有企業風險管理和內部控制實施方面幾個基本問題的思考和建議[N]，企業家日報，2014.

[4]楊書懷.全面風險管理框架與內部控制整體框架的比較分析[J]，財會通訊，2015.

[5]方紅星譯.COSO.內部控制——整合框架[M].大連：東北財經大學出版社2008.