企業(yè)內(nèi)部控制與風險管理探析

鄧寶金 山東方亞新能源集團有限公司

引言

現(xiàn)代企業(yè)在運營發(fā)展過程中，會面臨不同類型的風險因素，這就需要管理者重視風險管理及內(nèi)部控制工作，在遵循科學性與有效性原則下，建立健全內(nèi)部管理機制，從而迅速建立競爭優(yōu)勢與競爭地位。從企業(yè)管理體系來看，內(nèi)部控制、風險管理占據(jù)著核心的位置，是將風險概率及損失程度降至最小化的有效途徑。需要說明的是，風險是客觀存在的事實，是無法全面消除的，我們只能通過規(guī)避、轉(zhuǎn)移等手段來降低風險發(fā)生的概率、減少風險造成的損失。通過對前人研究成果的梳理，我們可以確定，風險管理、內(nèi)部控制兩者相輔相成、相互影響，但又存在部分差異。為了進一步深入剖析，識別其差異成因以及具體表現(xiàn)，筆者將結(jié)合框架報告展開全方位的剖析。

一、內(nèi)部控制與風險管理的定義

（一）內(nèi)部控制的定義

內(nèi)部控制是企業(yè)管理制度的重要組成部分，其初衷就是保證企業(yè)運營系統(tǒng)的穩(wěn)定性與安全性，即圍繞企業(yè)發(fā)展目標與實際情況，制定科學有效的管控措施，保證目標的順利實現(xiàn)。在此過程中，還需要對內(nèi)外部要素進行通盤考慮，強調(diào)全員共同參與，全過程管理。內(nèi)部控制并非一成不變的，是根據(jù)內(nèi)外部環(huán)境的改變而不斷調(diào)整，保證內(nèi)部控制體系與企業(yè)運營系統(tǒng)達到最大匹配。

（二）風險管理的定義

風險是無處不在的，遍布于企業(yè)運營發(fā)展的各個領域、各個環(huán)節(jié)。風險的出現(xiàn)，會造成企業(yè)實際發(fā)展與預期目標出現(xiàn)嚴重偏差，最終可能導致經(jīng)濟損失、信譽損失等。風險管理是對風險進行識別、分析、評估、預防、管控、補救等一系列行為的綜合表現(xiàn)。風險管理注重事前、事中、事后三大環(huán)節(jié)，旨為全面識別風險因素、精準判定風險權(quán)重、科學制定風控措施、最大程度降低風險發(fā)生的概率及造成的損失。

二、內(nèi)部控制與風險管理之間的關(guān)系

內(nèi)部控制、風險管理兩者存在緊密的聯(lián)系。其實，從傳統(tǒng)管理學的角度來說，內(nèi)部控制屬于風險管理的一種。具體共同點、差異點概括如下：

（一）內(nèi)部控制與風險管理的相同點

其一，實施主體相同。兩者均要求企業(yè)內(nèi)部全體員工共同參與，包括董事會、管理層、一線員工等。全員參與是內(nèi)部控制、風險管理的基本要求，公司自上而下、自下而上、上下結(jié)合，通過分工合作、明確責權(quán)，共同保證目標的高效推進。

其二，注重過程管理。風險管理、內(nèi)部控制都屬于過程管理，因為這兩種管理措施均貫穿于企業(yè)經(jīng)營發(fā)展的各個環(huán)節(jié)、各個領域。同時由于企業(yè)處于動態(tài)的發(fā)展過程中，兩者在具體管理措施、管理目標上面也會進行調(diào)整，而非一成不變、靜止不動。

其三，是企業(yè)步入持續(xù)穩(wěn)定發(fā)展正軌的重要保障。從兩者目標角度來說，存在很多的相同點，具體可概括為三種，一是報告類目標；二是經(jīng)營類目標；三是合規(guī)類目標。兩者均是企業(yè)戰(zhàn)略體系的核心結(jié)構(gòu)。

最后，兩者內(nèi)容存在相同點。例如控制環(huán)境、風險評價、控制活動、監(jiān)督、信息與溝通等。造成此現(xiàn)象與兩者自身運作機理有著很深的聯(lián)系，但需要說明的，重復并非全部事項，風險管理涉及的內(nèi)容要大于內(nèi)部控制。結(jié)合相關(guān)內(nèi)容來分析，風險管理又包括三個結(jié)構(gòu)要素，即制定目標、風險識別、風險防范。所以，通過對比可知風險管理與內(nèi)部控制存在很多相似之處，但在細化內(nèi)容后也有所不同。

（二）內(nèi)部控制與風險管理的聯(lián)系

其一，無論是風險管理，抑或是內(nèi)部控制，其目標最終體現(xiàn)為保持企業(yè)運營系統(tǒng)的穩(wěn)定性，確保資產(chǎn)安全完整，為股東創(chuàng)造更多的財富價值。從理論角度而言，內(nèi)部控制屬于制度層面，是基于雙權(quán)（所有權(quán)、經(jīng)營權(quán)）分離背景下，為維護投資者、債權(quán)人、股東合法利益，實現(xiàn)價值增值的基本保障。旨為確保會計信息的準確性、完整性以及可靠性，避免管理層操縱利潤，發(fā)生道德風險、逆向選擇，出現(xiàn)財務舞弊等。內(nèi)部控制發(fā)展時間較長，可從立法層面進行闡釋。風險管理是由于技術(shù)創(chuàng)新、市場條件改變的綜合影響，對內(nèi)部控制內(nèi)涵范圍進一步繼承、延伸和發(fā)展。

其二，在全面風險管理中，內(nèi)部控制占據(jù)著核心的位置。內(nèi)部控制必須建立在企業(yè)全員擁有高度風險控制意識以及較強風險管控能力的基礎上。通過對其雙方內(nèi)涵的界定可發(fā)現(xiàn)，內(nèi)部控制屬于一種制度性保障，要求企業(yè)內(nèi)部資產(chǎn)安全完整、會計信息真實可靠等，這同樣也是全面風險管理的基本要求。

其三，隨著技術(shù)的不斷革新，市場環(huán)境的持續(xù)完善，內(nèi)部控制與風險管理的銜接關(guān)系也不斷加深。企業(yè)通過引入先進的信息系統(tǒng)，對經(jīng)營數(shù)據(jù)進行全面記錄、核算、分析、管理，提升了整體會計工作效率，并逐步替代傳統(tǒng)的會計手工作業(yè)。但是，各類創(chuàng)新變革活動也加劇了風險。尤其近幾年外界對企業(yè)履行社會責任尤為關(guān)注，如果管理不善，那么很大概率會面臨風險損失，比如沒有履行環(huán)保責任導致環(huán)境污染，受政府處罰并整改通報；沒有履行消費者社會責任，侵害了消費者合法權(quán)益，在賠償經(jīng)濟損失的同時還要承擔信譽損失等。所以，管理者只能通過內(nèi)部控制、風險管理對內(nèi)外不確定因素進行識別與控制，這從另一方面也闡釋了兩者有著共同的管理目標。

三、內(nèi)部控制與風險管理的區(qū)別

（一）兩者內(nèi)涵不同

1.目標體系不同

通過文獻分析，可總結(jié)四種風險管理目標，分別是經(jīng)營目標、合規(guī)目標、戰(zhàn)略目標及報告目標。對于以上前兩種目標，內(nèi)部控制與風險管理存在一致的情形。但風險管理增加的戰(zhàn)略目標，內(nèi)部控制沒有提及，主要原因戰(zhàn)略目標是由治理層制定的，而內(nèi)部控制主要針對管理層而言，兩者層次不一樣；風險管理把財務目標外延為報告目標，即報告包括財務報告與非財務報告兩種形式。一方面延伸了目標的涉及層面，另一方面也有效解決了內(nèi)控目標體系受注冊會計師影響而導致企業(yè)對財務信息過于重視、而忽略非財務信息的問題。需要說明的，即便兩者在目標體系方面存在差異，但是對企業(yè)長期發(fā)展來說均發(fā)揮著保障作用。

2.組成要素不同

內(nèi)部控制要素主要有五種，分別是：控制環(huán)境、風險評估、控制活動、信息與溝通、監(jiān)督。風險管理框架新增了三大要素，并將控制環(huán)境要素轉(zhuǎn)變?yōu)閮?nèi)部環(huán)境。其中新增要素主要是目標制定、風險識別、風險應對。這三種要素對風險管理框架有著很好的完善效果。此外，內(nèi)部環(huán)境囊括了企業(yè)文化、風險偏好、控制環(huán)境等諸多內(nèi)容；在稱呼一致的要素中，風險管理對其內(nèi)容進行了不斷的完善與改進，例如：風險評估要素囊括了企業(yè)的內(nèi)外部各類風險，包括經(jīng)營風險、財務風險、債務風險、社會責任風險等，同時還對風險偏好、風險對沖等問題加以兼顧；而在“信息與溝通”方面，更加注重對信息的全過程、全方位的采集，包括歷史信息、當前信息以及未來信息的預測。信息是開展風險管理工作的基礎，信息是否全面、是否準確、是否可靠，直接決定了風險管理的效率與效能；溝通部分強調(diào)并說明：在正常報告之外應有替代溝通渠道。

（二）兩者的職能不同

其一，職能定位存在差異。內(nèi)部控制屬于管理職能的一種，在確定管理目標的基礎上，強調(diào)過程控制；風險管理則不同，它強調(diào)全員參與、全過程理念，將管理措施貫穿于企業(yè)運營的各個環(huán)節(jié)與各個領域，事前控制是風險管理最為注重的核心部分，風險管理更傾向于在風險尚未形成爆發(fā)前，便開展預防消除工作。并且，從目標角度來看，全面風險管理的目標設定，要比內(nèi)部控制更加龐大復雜。

其二，活動范圍表現(xiàn)不同。風險管理活動涉及企業(yè)的方方面面，部分活動不屬于內(nèi)部控制活動范疇。比如，內(nèi)部控制與企業(yè)經(jīng)營目標的設立沒有直接的聯(lián)系，僅是負責目標的順利開展、目標成果的評估分析。而風險管理關(guān)注目標實施過程中各類工作及要素的評估。

其三，風險識別有顯著差異。通過《企業(yè)風險管理整合框架》可知，風險是指經(jīng)濟主體在運營發(fā)展中由于各種不確定性要素影響而造成自身實際運營結(jié)果與預期目標產(chǎn)生偏差的可能性，這種“偏差”既有正面的、也有負面的。但是在《內(nèi)部控制整體框架》中卻沒有明確的分類，統(tǒng)一將風險視為企業(yè)的一種直接性或間接性損失。

其四，風險應對措施制定不同。《企業(yè)風險管理整合框架》在風險管控理念與手段方面，加入了很多科學有效的指標，比如風險容忍度、風險偏好、壓力測試等。換言之，在風險量化的基礎上進行分析，可準確衡量戰(zhàn)略、風險偏好兩者的匹配性，揭示收入、成本、風險三者的具體關(guān)系，所得數(shù)據(jù)可為企業(yè)管理者制定或調(diào)整決策給予可靠的保障。而在《內(nèi)部控制整體框架》中，僅注重企業(yè)內(nèi)部各環(huán)節(jié)的管理控制，并未延伸到經(jīng)營戰(zhàn)略領域。

四、完善風險管理與內(nèi)部控制的建議

（一）設置全面風險管理及內(nèi)部控制體系

在風險管理及內(nèi)部控制體系的構(gòu)建過程中，應當圍繞風險管理目標相關(guān)性原則。其一，以董事會為核心，完成風控組織體系的建立。在企業(yè)治理結(jié)構(gòu)中，股東會、股東大會是公司的最高權(quán)力機構(gòu)，董事會是由股東會、股東大會選舉產(chǎn)生的公司決策和管理機構(gòu)。現(xiàn)代企業(yè)大部分都是委托代理模式，即股東將經(jīng)營權(quán)交給職業(yè)經(jīng)理人。所以，公司應當做好委托人、代理人兩者利益關(guān)系的協(xié)調(diào)，這也是每一個企業(yè)內(nèi)部治理的核心問題。考慮到內(nèi)部人控制問題的出現(xiàn)，還應當建立相關(guān)委員會，對重大決策事項的可行性、合法性進行監(jiān)督審核，并制定對應的激勵措施，調(diào)動管理者參與管理、為股東創(chuàng)造更多財富的積極性。比如風險管理委員會，在確保獨立性的同時，賦予相應的管理權(quán)與監(jiān)督權(quán)，對各環(huán)節(jié)風險管理工作的實施進程、實施效果進行評估，保證風險管理體系穩(wěn)定高效運行并發(fā)揮即有價值。從風險管理措施實施角度來說，要從橫縱雙重視角開展管理監(jiān)督工作，確保風險控制覆蓋全局，確保無死角。

（二）強化各關(guān)鍵環(huán)節(jié)風險控制，制定風險管理解決預案

企業(yè)的運營發(fā)展離不開制度規(guī)則的支撐，所謂無規(guī)矩不成方圓便是如此。所以，在業(yè)務流程改造、優(yōu)化等過程中，應當將風險管理要素納入考慮范圍，以提升各業(yè)務、各環(huán)節(jié)風險管控水平。流程改造并非一蹴而就，涉及層面較廣，屬于內(nèi)部的重大創(chuàng)新舉措，旨在將各類風險因素納入可控范圍內(nèi)，結(jié)合內(nèi)部控制，對各薄弱節(jié)點進行管理。公司應對業(yè)務流程進行全面審視，識別不足，并加以改善，即對經(jīng)營業(yè)務、管理流程等信息進行采集、歸納、整合、分析，識別相關(guān)風險，及時評估相關(guān)風險，掌握關(guān)鍵控制節(jié)點，明確各部門、各崗位職責，制定并實施風險控制方案，確保內(nèi)部控制各項工作真正的執(zhí)行到點、落實到位。對核心管理環(huán)節(jié)的人力資源應當保證高質(zhì)量配置，通過宣傳教育，樹立良好的內(nèi)控意識與風控意識。在風險控制推進過程中，要建立內(nèi)部嚴謹?shù)膶蛹壗Y(jié)構(gòu)，明確各層級、各部門的職責范圍。此外，還應當在內(nèi)部建立高效的信息交互機制，信息與溝通對于內(nèi)部控制、風險管理而言，都至關(guān)重要。與此同時，還應當對企業(yè)管理結(jié)構(gòu)進行不斷優(yōu)化，挖掘各部門崗位的功能優(yōu)勢，識別無效、低效作業(yè)，進行業(yè)務調(diào)整，確保風險管理預案的是能夠切實可行的、是有效的。

（三）構(gòu)建先進的風險管理信息系統(tǒng)，實現(xiàn)風險預警

風險是動態(tài)變化的，它會隨著企業(yè)運營以及時間推移而不斷改變。通過實踐分析可知，想要實現(xiàn)風險管理效率、效能最大化，就應當對風險的發(fā)展規(guī)律有一個正確的認知；企業(yè)應當對涉及風險的各環(huán)節(jié)信息數(shù)據(jù)進行全面整理、分析，確保防控策略制定的針對性，將風險管理從被動逐步向主動轉(zhuǎn)化。這就需要企業(yè)管理者在重視風險管理的基礎上，投入諸多的資源，加快內(nèi)部信息化建設進程。其一，以全過程管理理念為核心，加快管理信息系統(tǒng)的構(gòu)建與完善進程，將更多的線下管理業(yè)務轉(zhuǎn)移至線上，憑借信息系統(tǒng)的功能優(yōu)勢，滿足自動化、高效化、標準化、專業(yè)化的管理要求。在信息系統(tǒng)中采用固化業(yè)務流程、系統(tǒng)自動轉(zhuǎn)賬等科學技術(shù)，將業(yè)務信息進行加工處理后，形成可量化的會計信息；其二，以風險管控預警作為切入點，建立健全風險預警體系。具體可以引入風險管理技術(shù)，使用各種先進技術(shù)工具對風險進行識別、量化，計算風險權(quán)重影響，確定哪些是關(guān)鍵風險，是需要重點關(guān)注的，哪些是次要風險，從而確定風險解決策略。其三，要加強部門管理，將風險管理理念融入實踐工作中，確保全體人員對風險有著較強的反應能力、識別能力以及應對能力，當確認某環(huán)節(jié)存在風險隱患后，應當?shù)谝粫r間告知上級，共同研究，制定風險管理措施，力求做到早發(fā)現(xiàn)、早防治、少損失。

結(jié)語

在企業(yè)發(fā)展過程中，內(nèi)部控制和風險管理之間的關(guān)系十分密切，既有區(qū)別又有聯(lián)系，都是十分重要且必要的。內(nèi)部控制和風險管理都是企業(yè)應對風險的有效措施之一，但無論是哪一種應對措施都強調(diào)全員參與，并將內(nèi)部控制和風險管理措施落到實處，上下一心為企業(yè)經(jīng)營目標的實現(xiàn)而共同努力。