基于全面風險管理的企業內部控制研究

潘紹立 周嘉宇

摘要：企業經營在任何時候都會面臨或多或少的風險， 但管理內容、模式及工具的變遷，必然是隨著技術條件、經營環境及業務模式變化而變化的。在數字網絡經濟時代，企業的經營環境變得更加開放也更加殘酷，傳統的各種壟斷優勢變得脆弱甚至消失，即企業必須對經營的每個環節和模塊進行不斷強化，因為任何一個弱點都會被競爭對手抓住機會而擊敗。首先介紹了數字網絡經濟時代企業經營面臨的主要風險，以及企業風險管理的主要內容及方法，最后探討了基于全面風險管理的企業內部控制措施。

關鍵詞：企業經營;風險管理;內部控制;平臺化

中圖分類號：F23文獻標識碼：Adoi：10.19311/j.cnki.1672-3198.2019.07.060

1數字網絡經濟時代企業經營面臨的主要風險

用一句話概括在數字網絡經濟時代的企業經營，即“沒有什么是可靠的”。企業經營的風險來自對外部經營環境和組織內部失去控制，與傳統經營環境相比，數字網絡經濟時代在內外各個方面對企業經營風險產生了根本性影響。

市場和渠道控制力削弱。傳統經營環境下，由于時間和空間的限制，交易只能在有限的范圍和管道內進行，企業通過市場活動、品牌建設以及渠道管理，就能夠將相對固定的市場維護得較為穩定，從而保證為訂貨提供保障。特別是對于具備壟斷優勢的企業而言，在市場和渠道方面的風險很小，因此風險管理也是相對薄弱的。而在數字網絡經濟時代，任何供應者和任何消費者可以通過網絡，在幾乎沒有時間和空間限制的條件下完成交易。也就是說企業的市場和渠道可能隨時會被大大小小的競爭者“偷”走，或者用投票而主動流失，企業對市場和渠道的控制力大大減弱，凸顯或潛在的風險急速放大。

技術和知識外溢加速。技術創新和模式創新也是企業經營的核心競爭優勢之一，也是需要保密的核心資產。然而在數字網絡經濟時代，模仿成為“創新”的捷徑，交易透明化暴露了更多的細節，因此技術和知識的外溢加速。基于技術和知識的競爭優勢變得更加短暫，如果企業缺乏更加動態持續的創新和提升，將很快會被趕超甚至被淘汰，從而經營風險也演變為存亡危機。

顧客關系維護難度越來越大。在“互聯網+”時代，每個網名都有可能引發一場企業難以應對的危機。網絡自媒體的出現，使得消費者在體驗或消費產品、服務過程中，會將不慢發布到微信、微博以及商家銷售平臺或渠道商，通過發酵就可能引發大面積的負面輿論，并在各種新媒體中快速傳播。面對全新的客情環境，如果企業應對危機不得法，很可能引發更大規模和影響更深的危機。

企業組織穩定性下降。當市場、技術、模式及資本的流動性加大，意味著企業生存維系的基礎軟化，同時也意味著新生者更容易出現，行業的“新陳代謝”更快。一方面企業組織內部隨著經營環境經常進行調整，人員的流動成為常態，不僅影響員工的長期發展也降低了忠誠度;另一方面由于外部機會增加，員工和團隊對企業的依賴降低，因此企業面臨著更大的人才、經驗和技術流失威脅。

如上分析，數字互聯網經濟時代企業面臨的經營風險是全面的，并且牽一發而動全身。然而我國絕大多數企業經營者缺乏全面風險管理的意識和能力，一些中小企業索性沒有建立風險管理機制，全靠所有者或核心團隊的人治。單靠人力進行風險管理是無法應對如此紛雜和持續的風險威脅的，只有建立規范而靈活的內部風險控制制度，有效利用網絡經濟經營管理工具，才有可能建立起全面的企業風險管理機制。

2企業風險管理的主要內容及方法

在認識了企業經營面臨的風險后，對企業風險管理主要內容的認識就顯而易見了，主要包括市場風險、技術風險、投資風險、競爭風險、內控風險、政策風險和法律風險等。企業風險管理的目標為要通過對經營風險的識別，制定對應的預防和控制措施，消除或減少風險帶來的潛在損失，從而實現企業有能力：一是確保企業經營效益的穩定，可持續和修復能力;二是滿足政府的有關法規要求;三是承擔相應的社會責任;四是減輕企業和員工對經營風險的憂慮，提高組織凝聚力。然而，應對經營風險，不同企業根據自身處境和能力，采用的管理方法和工具存在差異。

從企業規模和風險管理制度規范程度關系來看，在傳統環境下，隨著企業規模，主要是人員規模和分工的擴大，企業風險管理制度更加規范，不僅拜托了全面人治，也建立起了基于ERP、CRM及OA等信息化系統的一體化經營管理平臺，即企業規模的擴大過程也是企業信息化不斷深化的過程。但在“互聯網+”環境下，企業經營活動的全面信息化和網絡化，模塊化的企業管理軟件及系統能夠匹配不同規模和業務特點的企業，即從管理工具和平臺來看，任何企業都能買到使用的管理軟件和工具。

在應用企業風險管理方法和工具時，也不應單純地看企業的人員和收入規模，還要看企業的業務流程和分工。對于業務環節簡單，分工很少的科技型企業而言，只要少量的人力投入即可，因此其風險主要是技術風險、設備風險及市場風險，而由于組織人員簡單，因此能夠通過集體決議對所有問題進行討論并快速決策，因此盡管企業應收規模巨大，其經營風險管理的主要手段主要還是依據核心管理團隊的個人經驗和能力。而對于自研制造型企業，組織結構從研發到市場服務，端到端涉及諸多業務環節，不僅每個單元都需要應對各自的風險，還需要解決端到端協調問題，這樣一來單純依靠核心團隊的人治就難以危機了，必須建立基于規范制度和業務平臺的內控系統，將風險管理的要素和方法融合到制度和軟件系統中，形成例行的操作規范和管理動作。

就具體的風險管理方法而言，絕大多數企業都能夠針對各個模塊的風險，指定相應的管控制度和流程，例如采購流程、研發流程、訂單流程等。但各個模塊風險管理之間的銜接和融合較難實現，特定風險引發的“蝴蝶效應”的減輕和消除還需要通過更加融合化的全面風險管理機制和工具來支撐。

3基于全面風險管理的企業內部控制措施

全面風險管理的目標對企業經營管理活動中所有涉及的主要風險進行識別，并建立動態、端到端融合的管理機制。由于企業的經營環境和業務會不但調整，因此不可能一勞永逸地定義所有企業面臨的風險，并制定一成不變的管理套路。本文認為建立全面風險管理的企業內部控制機制，應當重點關注一下幾個方面：

第一，全面風險管理的理念是實現動態、端到端融合的風險管理機制。如何實現動態和端到端融合，必須基于風險管理的動作包括風險識別、風險定義和影響評估、風險預防和控制方法，對企業內部管理制度、業務流程和業務系統進行設計和構造。即在企業內部分工協作職責界定和業務流程文件指定時，必須對風險管理動作進行細化，明確各環節的風險管理責任人以及標準輸出。對于業務系統設計進行模塊化和一體化架構，風險管理動作輸出轉化為系統模塊的更新，流入增加風險項，則在業務系統中增加風險管理的評審人、決策人，并上載相應的風險預警和管控指導書。

第二，建立端到端拉通的業務管理系統。風險的存在和最終轉為現實，大多數并不是沒有被識別和評估，而是由于各業務模塊之間缺乏風險傳導的機制或者信息孤島的存在。例如研發投入是否與市場拓展匹配，投資回報風險必須雙方的協調和制衡，如果各自為戰，那么無需、浪費和沖突必然出現，最終拖累的是企業的經營效率。又如某部門由于缺乏流程上缺乏其他部門和模塊的制衡，對于已經發現的風險進行隱藏或者輕視風險的潛在影響，那么日積月累最終會大規模爆發。因此建立融合各業務模塊、各業務流程和各組織單元的統一化的企業信息平臺，將所有的業務活動在IT系統中進行展現和操作，通過模塊之間的流程銜接、制衡，實現互相監查，從而打通風險信號的傳遞通路，消除信息孤島。

第三，設立高級別的內控組織。為了統領企業全面風險內控工作，必須要在關鍵部門例如財務和商務選擇合適的崗位人員，承擔起全面內控的管理和推行工作，獨立于業務團隊，專門對風險活動進行梳理、推行及優化。通過開展風險管理活動，發現業務流程和系統的漏洞，不斷補全，從而促使企業信息平臺更加自動化和智能化地對開展風險管理活動。內控組織必須在企業內部具備較高的話語權和處罰權，由最高管理團隊領導。

第四，業務活動的系統化。為了盡可能減少個人因素干擾，最大程度地展現業務活動的細節，必須推行更多的企業經營互動系統化和信息化，即將所有人、所有工作及相關活動通過企業信息系統來操作和記錄，從而將最細節客觀的信息、數據、材料存儲在系統中。個人活動的灰度由于系統而曝光，操作細節由系統固化變得更加標準化。

參考文獻

[1]周愛妹.企業內部控制在財務風險管理中的應用研究[J].財會學習，2018，（01）.

[2]楊春妮.企業風險管理與內部控制的關系與應用[J].中國商論，2018，（10）.

[3]何建秋.風險管理視角下的內部控制體系構建——以某施工企業項目管理為例[J].交通財會，2018，（07）.

[4]程桂芝.風險管理視角下中小企業內控制度的實施與應用研究[J].財經界（學術版），2018，（01）.

[5]張芳潔，張桂霖，亓明.壽險公司實施全面風險管理對企業價值的影響研究[J].保險研究，2017，（10）.

[6]武達.淺析企業內部控制與風險管理中存在的問題及應對策略[J].中國內部審計，2016，（03）.