基于風險管理的內部控制體系研究

馬力

摘要：隨著我國市場經濟迅速發展以及資本證券市場逐漸成熟，我國企業面臨的內外部環境越來越復雜、企業間競爭日益加劇，風險因素已成為影響企業目標實現的重要因素之一。風險影響著每個經濟單位的生存能力和競爭能力。許多企業已逐漸意識到風險管理在企業管理中的重要地位。建立規范、有效的內部控制體系，將風險控制在一個合理的水平上，這已經成為企業經營實現戰略目標和維護企業持續經營的一個必要條件。在長期的實踐中，內部控制和風險管理的理論不斷改進和變化，兩者在目標、程序、控制方式上呈現趨向性，內部控制與風險管理逐漸走向融合。本文主要對內部控制與風險管理進行積極的探索和研究，理論依據主要來自美國cOs0委員會1992年頒布的《內部控制統一框架》和2004年頒布的《全面風險管理統一框架》的內容，闡述了內部控制和風險管理的概念、框架以及兩者的聯系和區別，在我國內部控制存在的問題進行深入分析基礎上，構建風險導向的內部控制體系，來不斷完善企業運營管理，降低企業各種風險，保證企業生存和發展。

關鍵詞：內部控制；風險管理；企業；cOs0

當前市場競爭越發激烈，風險幾乎無處不在，時刻威脅著企業生存與發展.為保證企業可持續經營、健康發展，許多企業構建了比較規范的內部控制體系。內部控制可以幫助企業防范舞弊、堵塞漏洞、降低內部管理風險、提高經營效率和效果，但是對于防范和控制外部不確定性因素仍然存在一定的局限性。而風險管理貫穿企業各個方面，更加重視戰略風險和經營風險。所以，將內部控制與風險管理有機結合，從風險管理角度來設計與完善企業內部控制是必然趨勢。

一、內部控制和風險管理的理論和關系

（一）內部控制和風險管理的理論

1.內部控制理論

隨著經濟發展和內部控制體系的發展，內部控制的概念不斷改進。其中，比較權威、影響力比較大的是美國cOs0委員會1992年發表了cOs0報告，也就是著名的《內部控制一整合框架》。cOs0報告核心內容包含內部控制定義、三個目標和五個要素。內部控制定義為“是一個由企業董事會、管理層和其他員工實施的，為達到經營的有效性和效率、財務報告的可靠性、相關法律和法規的遵守性等目標提供合理保證的過程。”三個目標為經營效率與效果、財務報告可靠和遵紀守法。五個構成要素為控制環境、風險評估、控制活動、信息與溝通和監測活動。這些概念的提出，為內部控制系統的建立、評價提供了一套完整的標準。報告中蘊涵了許多的理念和思想，也對現在的企業管理、財會工作和獨立審計都有著重要影響。

2.風險管理理論

cOs0委員會于2004年頒布實施了《全面風險管理統一框架》。在全面風險管理框架中，明確將風險定義為“對企業的目標產生負面影響的事件發生的可能性”，區分了風險和機會，體現出管理者尋找機會及控制風險的思路。企業風險管理定義為“是一個過程，受企業董事會、管理層和其他員工的影響，包括內部控制及其在戰略和整個公司的應用，旨在為實現經營的效率和效果、財務報告的可靠性以及法規的遵循提供合理保證”。風險管理框架中，內部控制要素由五要素增加到八要素，增加了3個要素即目標設定、事件識別、風險對策，風險管理流程更加清晰、順暢。風險管理框架在三類目標基礎上增加了戰略目標，擴大了報告目標的范疇，同時，對原有要素也進行了深化和拓展。風險管理范圍與內容擴展到戰略管理，戰略目標層次高于其他三類目標等，這是新報告的重要變化。

（二）內部控制和風險管理的關系

1.主要區別

從cOs0委員會1992年頒布的《內部控制統一框架》和2004年頒布的《全面風險管理統一框架》內容看，兩個框架都強調了企業全員參與、運行動態管理、保證實現目標幾個觀念，以及有5個要素是重合的。但風險管理框架與內部控制框架比較，增加了目標設定、事件識別、風險對策3項要素和戰略管理目標。風險管理在目標、內容、要素范疇等方面對內部控制進行了延伸和擴展。風險管理框架還提出了風險組合與整體管理的觀念，引入了風險偏好、風險容忍度、風險對策等相關概念和方法。從實質上看，內部控制是企業內部管理的一項職能，而風險管理包含企業管理的各個方面，貫穿整個管理的全過程。

2.主要聯系

從內部控制和風險管理的發展趨勢來看，兩者有相互融合發展的趨向。在實際管理過程中，內部控制基于風險控制目標，采取措施將識別與分析出的風險控制在企業可以接受的范圍之內。內控機制制定和實施的依據主要是風險，風險越高、越重大，就必須采取更多的內部控制措施。內部控制是企業實施風險管理的有效手段和措施，企業內部控制的健全、有效影響著企業的風險管理機制。風險管理是企業設計、實施內部控制體系的目的。風險管理拓展了內部控制的內涵，是內部控制的發展與完善的必然結果。如此看來，企業的內部控制與風險管理是相互依存、一脈相承的。

二、基于風險管理的內部控制現狀及分析

（一）內部控制環境不良

我國企業存在著內部控制環境紊亂的問題.主要體現在治理結構控制缺失、組織機構控制缺失、對內部控制管理重視程度不夠、職責分工與制約不清晰等情況。在實際運行中，沒有按照公司章程和制度規定的職責和權限進行，董事會沒有發揮預期作用，存在不合理治理結構的問題，比如應當由董事會做決策的事項，而由經理辦公會直接進行決策。企業為內部控制機構的建立、職責分工與制約提供了基本的組織框架，但缺少滿足企業監控職能的機構或機構獨立性差，使得對經理層的權力缺乏必要的監督和約束。企業組織機構設置不符合內部控制中不相容職務分離和程序控制的要求，存在職責不明，流程運行不順暢現象。如企業的董事長和總經理為一人，董事會成員和總經理班子人員重疊，權力過分集中于董事長或總經理，違背了內部控制的基本假設，必然帶來權責不清、制衡力差的結果。此外，企業員工作為內部控制運行的主要參與者，職業素質與修養的高低、執行力的強弱也影響著內控體系的運行。團隊和創新精神缺乏、企業文化建設缺失等，也會使得內部控制與風險管理流于形式。

（二）風險管理意識薄弱，風險管理體系不健全

我國多數企業風險管理方面比較薄弱。一是沒有設置專門的風險管理部門或風險管理部門，獨立性差，不能開展風險識別、風險評估、風險控制工作。當前企業所遇到的不確定因素越來越多，設置專職機構來管理和控制風險尤為重要。二是缺少健全的風險識別和風險預警機制。風險信息的收集、識別與分析工作較滯后，風險決策機制、方法不科學，交易決策的主觀隨意性和盲目性較大等，導致企業缺少有效的風險管理。三是未進行全面評估體系管理，風險評估方法不健全，未采用定性與定量相結合的方法來評估風險。企業應建立持續、動態的風險評估體系，來保證企業內控體系良好運行。四是企業建立了風險管理機制卻沒有得到有效執行，發現了風險而沒有采取適當的管理措施來避免或降低風險，造成企業重大損失。

（三）信息溝通不及時

信息與溝通是內部控制各個要素間連接的橋梁，對內部控制的深入執行、整體戰略目標及企業經營目標的實現有重大且直接影響。在我國，信息與溝通頻率很低，只發揮了傳遞信息的作用，執行也不到位，達不到提高效率的目的。企業相對重視管理層之間的信息與溝通，但對外部渠道、管理層與員工之間的信息與溝通不夠重視。企業重要信息受到管理層控制，信息傳輸時效性差、信息內容不全面、實用性弱等，造成下層員工盲目聽從上層指揮，工作效率極低。此外，下層員工對內部控制運行過程中發現的問題未能及時反饋給上層領導或缺少信息溝通渠道，管理者不能及時發現企業風險，做出不符合企業管理實際的決策，影響企業正常的經營生產。

（四）內部控制監督機制不健全

內部監督是實施內部控制的重要保證，是改進內部控制薄弱環節的有效手段。審計機構作為內部監督部門，缺乏必要的獨立性，使得內部審計形同虛設，監管不到位。企業開展了內部控制體系評價，卻未在有效實施上發揮作用，只是走形式。企業內部審計機構提交了風險評估報告、內部控制評價報告，卻沒有對缺陷整改進行跟蹤落實監督，未形成一個持續、動態的良性循環。企業應不斷檢查內部控制是否能夠控制風險，來保證對風險的管理是有效的。除此之外，企業沒有建立內部監督考核機制或建立了考核機制而考核指標欠科學或難以量化等問題，也使得內部監督有效性欠缺。

三、構建基于風險管理的內部控制體系

（一）創建良好的內部環境

內部環境是企業實施內部控制的基礎，對內部控制的建立和實施起著非常重要的作用，對實現控制目標有重要意義。營造良好的內部環境，第一要完善法人治理結構，建立權責清晰的組織體系。通過合理的組織結構設計和職能安排，形成有效制衡的法人治理結構，保證內部控制和風險管理有效實施。第二要把風險管理理念融入到企業文化建設的全過程，培養全體員工的風險意識，將風險管理意識轉化為員工的共同認識和自覺行動，促進企業管理目標達成。第三企業要建立有效的風險管理制度和內部控制制度，通過制度規范每一個員工的行為，提高員工工作自覺性和執行力。除此之外，企業也可以通過完善風險管理信息系統、風險事故應急機制等多種方式，防范企業各類風險。

（二）完善風險評估活動

企業應建立持續、動態的風險評估機制，根據公司內部資源和外部環境條件的變化，定期或不定期的實施風險識別，不斷完善風險清單和風險數據庫。風險分析應采用定性與定量相結合的方法，識別風險發生的可能性和分析預計帶來的后果，確定重點關注和優先控制的風險，并基于成本效益考慮，選擇合理、有效的風險應對策略。企業通過信息化輔助風險管理，建立風險預警系統，將重大風險的承受度分級、分類，便于企業做出快速反應、適當決策。同時，為保證風險應對策略的有效執行，企業應建立相應的考核與激勵機制，加大風險防范與管理力度。

（三）業務流程層面的內部控制

企業內部控制是一個過程，這個過程需要通過納入管理過程中的大量制度及控制活動來實現。控制活動是企業在實現既定目標過程中對可能遇到的風險制定和實施相關措施的過程。控制活動是實施有效內部控制的關鍵步驟，是風險應對策略的具體實施途徑，與風險應對的聯系是一體的。進行業務流程層面內部控制設計，首先根據風險控制目標來設計業務流程，要考慮目的是什么，然后考慮誰來實施、實施什么、怎么實施的問題。設計內部控制要結合企業具體業務和事項的特點和要求，將業務融人到控制活動流程當中，明確風險控制措施和執行部門。一個企業，所涉及的業務是多方面的，因此針對業務流程內部控制的設計是多方面的。企業控制活動的建立、流程的設計、風險控制措施等的選擇，應根據企業的實際情況因地制宜、靈活運用，才能達到防范風險的目的。

（四）完善信息與溝通

實施有效內部控制的信息主要考慮信息來源與收集、處理與分析及報告等。收集、處理、傳遞信息的方法和方式多種多樣，因信息的不同而有所差異。企業應對收集的各種內部信息和外部信息進行合理篩選、核對、整合，提高信息的有用性。信息方面主要控制措施包括建立內、外部信息的收集機制，信息篩選、分析和報告制度，以及建立完善信息系統等，確保信息必須及時、準確的傳遞給需要的人，以幫助其行使各自的控制和其他職能。

企業對在信息溝通中發現的問題，應及時報告并加以解決。建立良好的溝通渠道，具體的方法包括開辟員工信息反映渠道，使經營管理層能夠獲得特殊信息和合理化建議；通過文件會簽、辦公會議、內部刊物等多種形式，向員工傳達企業信息；建立外部溝通渠道，接受客戶對產品、服務及其他事項的投訴、建議等，利用媒體、廣告、公關等有效手段，提升企業形象。

（五）強化內部監督

要保證內部控制切實執行且執行的效果良好，內部控制必須被監督。內部監督是對企業內部控制制度健全性，方法、流程的合理性，執行的有效性進行全面監督。企業應建立內部控制管理制度，明確內部審計機構或其他機構的職責權限，規范內部監督的程序、方法和要求，保證審計機構的獨立性、權威性、專業性。我國審計署于2018年1月修訂了《關于內部審計工作的規定》，要求國有企業應當按照有關規定建立總審計師制度，來增強內部審計獨立性。通過國家法規保證保障內部審計工作的權威性。同時，企業應定期或不定期的實施風險導向性內部控制審計，識別影響發展目標實現的風險因素，及時制定有效措施，督促內部控制缺陷及時整改，維護內部控制體系的健全有效。同時，企業應建立內部監督考核機制，通過科學的方法確定考核指標，與企業管理層和員工績效獎金掛鉤，強化內部監督。此外，企業應加強內部控制信息披露，使企業管理者、員工都能了解自身內部控制的設計與運行情況，增強內部控制與風險管理意識，凝聚企業力量。

四、結束語

風物長宜放眼量，不畏浮云遮望眼。穩固的內部控制是抵御風險的重要防線，是投資者有效的保護傘。建立風險導向型內部控制體系，將內部控制與風險有機融合，可以有效防治舞弊欺詐的發生，提升企業風險防范能力，促進企業可持續發展，實現企業總體戰略目標。

參考文獻：

[1]張宇，全面風險管理框架與內部控制框架的比較分析[J].山東紡織經濟，2010（05）：32.

[2]陳矜，張艷.基于風險管理的企業內部控制研究[J].湖北經濟學院學報，2013（04）：88-89.

[3]李莉，論企業內部控制的風險管理機制[J].企業經濟，2012（03）：53-54.

[4]黃捷，企業內部控制與風險管理存在的問題及對策研究[J].會計師，2017（01）：48.