風險導向下國有企業內部控制優化研究

2008年，我國財政部在COSO內部控制整合框架、企業風險管理整合框架的基礎上，結合我國國情制定并發布《企業內部控制基本規范》。隨后，越來越多的國有企業進入到了內部控制的建設與實踐中。2018年到2023年，國務院國資委先后發布了多項以中央企業為主體的政策文件，點明了合規管理的重要性，推動企業搭建“風控、內控、合規‘三位一體’的控制體系”，要求企業加強重大經營風險事件報告工作機制建設。由此可見，構建基于風險管理導向的內部控制體系，對國有企業而言勢在必行。

一、核心概念概述

（一）風險導向

國有企業風險導向是指國有企業在經營管理中注重識別、評估、管理和應對風險的理念和實踐。與傳統的以穩定經營為主導的觀念不同，風險導向強調企業應積極主動地面對風險，并通過有效的管理措施降低風險帶來的損失。在國有企業風險導向的框架下，企業管理者需要建立健全風險管理體系，企業需具備靈活的應變能力，能夠在面對不同類型、不同程度的風險時及時作出調整和應對，以保障企業可持續發展。在國有企業風險導向的理念下，企業能夠積極探索創新、勇于承擔風險，以期在競爭激烈的市場環境中獲得更大的發展空間。

（二）內部控制

國有企業內部控制是指國有企業在組織結構、管理制度、業務流程、信息系統等方面采取的一系列措施，確保企業運作合法合規、風險可控以及內部運營有效。內部控制體系的建設強調企業內部對各項活動的規范、監督和控制，以防范和減少內部原因引發的各種風險和問題。國有企業內部控制的核心目標包括以下內容。保障企業資產安全、防范資產流失、損壞和濫用，確保資產使用的合理性和高效性；促進企業業務活動的合法合規，遵守國家法律法規和相關政策，防止違法違規行為的發生，維護企業的聲譽和形象；確保財務報告的真實性和可靠性，提高財務信息披露的透明度和準確度，為內外部利益相關方提供可信的信息依據；提升企業管理效率和運營效能，優化資源配置，降低成本，增強競爭力。

二、風險導向下國有企業內部控制存在的問題

（一）內部控制意識薄弱

欠缺內部控制意識使得國有企業難以有效識別、評估和管理各類風險，無法及時規避潛在隱患。首先，國有企業對于內部控制的重要性認識不足，未將風險管理和內部控制活動與企業文化相融合，企業內部缺失風險管控的環境及氛圍，各部門員工思想懈怠，工作執行環節容易受個人主觀意志影響，提高了風險發生概率，且因控制措施滯后而并未采取相應措施，會給企業帶來嚴重的損失。其次，國有企業組織架構設置不合理，國有企業管理人員長期以來更注重產品研發、銷售等生產運營環節，忽視了風險管理和內部控制等的重要性，未獨立設置風險管理和內部控制部門，一人多崗現象嚴重，導致相關內控工作往往流于形式，無法有效強化企業內部控制，嚴重威脅國有企業的經營安全。最后，國有企業從事內部控制工作的人才綜合素質不足，缺乏全局觀念和綜合管理能力，難以有效協調各部門及崗位之間的內控工作，導致內控管理出現斷層和盲區。

（二）內部控制制度不健全

內部控制制度是指導企業員工規范執行各項工作、規避企業運行風險的重要舉措。然而，在當前的企業環境中，國有企業仍缺乏健全的內部控制政策和流程文件，這導致企業內部工作的執行具有較強的主觀性，各部門和崗位對內控要求的理解和遵守存在一定差異，執行不一致，難以形成統一的標準化操作，進而影響了企業內部控制效果。一方面，部分國有企業依托自身情況進行內部控制措施與制度制定，控制措施的內容較為豐富，但各項制度之間的銜接性較低，在具體運作時仍存在漏洞。企業在開拓新業務內容時，沒有對其進行風險控制管理與預測，更沒有針對性地制定控制方案，進而使得內部控制與風險管理的制度流于形式；另一方面，部分國有企業系統程序建設較為滯后，傳統的行政管理模式在一定程度上阻礙內部控制管理制度的有效執行和系統程序的建設實施。

（三）風險管理不全面

國有企業面臨的風險隱患具有較強的不確定性，未來可能遭遇更多的挑戰。在當前階段，部分企業由于尚未建立完善的風險管理機制，風險管理工作覆蓋不夠全面，無法有效應對各類風險。與此同時，由于內部控制的不完善，企業無法充分發揮內控作用，難以識別、評估和應對潛在風險，導致風險累積。首先，企業風險管理職責分工不明確，一旦出現風險問題，員工容易出現推卸責任的現象。同時，企業并未事前全面收集各項歷史數據分析潛在風險，因而對未來預測不足，風險管理的有效性大打折扣。其次，企業未能有效加強風險評估，缺乏規范的評估程序，選擇風險應對策略針對性不足。同時，欠缺相應的風險預警機制，采用人工方式監控風險，效率較低，且難以及時全面把控各業務環節的風險。最后，企業內部不重視監督、評價風險管理工作，未針對風險管理機制的不足進行優化，風險管理工作整體較為滯后。

（四）內部審計監督不到位

在國有企業中，企業內部審計結構的體系架構并不完全，由此導致對國有企業的資金使用情況與財務報表等沒有形成內外監督合力。首先，部分企業內部審計獨立性和專業性不足，存在審計工作職責由財務人員承擔的現象，缺乏獨立的審計部門，導致由于不相容崗位未分離，審計工作的權威性無法得到有效保障；其次，審計內容相對單一，傳統的審計工作環節較為重視財務收支的合法合規性，審計監督覆蓋的范圍和頻次不足，導致風險管控措施的有效性無法得到充分評估和監督；再次，審計工作存在事前準備不足、對各個環節信息調研不充分、執行過程溝通機制不完善等問題，導致審計工作效率較低；最后，未有效應用審計結果，對于審計工作發現的問題，未能加強整改和追蹤，導致審計效果不夠理想。

（五）內部信息溝通不順暢

信息共享與傳遞是企業內部控制體系有效運行的關鍵所在。信息化發展背景下，更多的國有企業選擇搭建信息化管理系統來實現信息共享與傳遞。然而，整體來看，一些企業的信息化程度不高，“系統邊界”“信息孤島”等現象較為突出，嚴重影響了信息共享與傳遞的時效性、準確性。首先，在信息化建設中沒有充分考慮各成員單位的需求，而各成員單位間的系統類別有明顯差異，未能實現有機對接；其次，未充分利用線上社交工具，多采用線下對接的方式，導致工作對接效率偏低，且容易出現差錯；最后，企業各個系統之間存在壁壘，內部系統之間難以暢通傳遞信息。由于內部控制涉及層面眾多，信息傳遞障礙不利于內控部門監督各部門業務執行，加大了國有企業內控工作難度。

三、風險導向下國有企業內部控制優化思路

（一）增強全員風險內控意識

國有企業在強化全員內部控制意識的同時也應增強員工的風險敏銳度，全面提高風險管理和內部控制的有效性。首先，企業可以將風險意識融入企業文化，潛移默化地影響員工行為，使全體員工都意識到風險管理的重要性，并積極參與內部控制工作，培養員工良好的職業道德和責任心。其次，完善風險管理組織架構，成立獨立的風險管理部門，負責制定風險管理制度、組織風險監測識別、評估與控制工作，部門人員可由財務部、審計部、法務部調任優秀人員，嚴格遵循不相容崗位分離的原則，通過切實落實風險管控工作，增強各部門人員的警醒意識，從思想層面更加重視合法合規執行各項工作。最后，企業可以通過舉辦培訓活動、引進風控人才等方式提高相關人員綜合素質。在培訓方面，可以開展以風險為主的培訓活動和講座，為員工普及風險管理和內部控制等相關知識，以增強其辨別和應對風險的能力；在人才招聘方面可依據風險管理的實際工作需求制訂詳細的招聘計劃，以提高人才招聘的針對性，吸納具備相應專業知識和實踐經驗的人才，促使企業形成良好的風控合規氛圍。

（二）完善基于風險導向的內控制度和流程

國有企業應構建科學的制度體系，不斷推進內部改革，完善資產內部控制與風險管理機制，從而優化企業運營與管理制度。一方面，國有企業應基于風險導向建立內控制度。第一，建立內部崗位授權制度。針對不同崗位加強內控授權，明確其授權范圍及條件，確保決策層面的風險管理權力處于合理范圍，避免越權行為。第二，健全內控報告制度。明確相關報告的內容、被報告人以及報告的時間、責任部門和人員，確保及時匯報風險管理情況，使內部控制的發布和反饋更加規范和有效。第三，建立內控批準制度。針對重要內控事項，建立對應的審批規定和程序，通過文件對相關主體的責任加以明確，確保重要內控事項經過審批。另一方面，國有企業應設定標準的內部控制流程，涵蓋預測、控制和監督三個環節。在預測環節，企業依據內部資產、財務及各項經營數據，識別經營發展環節風險，制訂解決方案。在控制環節，企業依據預測結果，采用流程管理法，控制內部人力、財務、資源和業務活動風險，保障經營活動的透明性、財務工作的嚴謹性和真實性，使各項工作流程有跡可循。在監督環節，嚴格的內部監督可確保內控措施有效，人力監督包括管理層之間、員工之間以及管理層與員工之間的相互監督；財務監督則要求財務報表、工作流程和資金流的透明化，讓企業員工享有一定的知情權。

（三）建立全面科學的風險管理體系

國有企業在識別風險時，要依托國資委發布的《中央企業全面風險管理指引》，建立全面科學的風險管理體系。首先，收集風險管理初始信息，涉及內部、外部兩個方面，通過歷史數據科學預測未來。例如，針對戰略風險，收集宏觀經濟政策、技術環境、市場需求等信息，對企業發展戰略、年度經營目標及規劃的合理性進行評估。針對財務風險，掌握企業盈利能力、資產運營能力、償債能力、發展能力等各項信息，對成本核算、資金結算及現金管理的重點流程環節予以關注。其次，重點關注風險評估環節。企業應建立相應的風險評估文檔，包括假設、評估方法、數據來源及評估結果等。評估程序包含確定風險管理理念、明確風險接受程度、制定目標、識別風險、分析風險、風險反應等六個環節。企業可以將風險根據其重要程度和發生頻率進行評估，劃分為高、中、低三類風險。針對不同等級的風險采取差異化的應對策略，包括規避高風險、接受中風險、減輕低風險的影響以及轉移或分擔低風險。如今，央企、國企均在開展司庫體系建設，可以將風控與大數據智能聯系在一起，在系統中設置關鍵風險點、安全警戒值，全程監督業務環節數值波動，一旦超出安全警戒外的情況及時發出預警，提醒潛在風險急需處理。

（四）加強內部審計監督

國有企業審計工作是加強內部監督、防范經營風險的重要手段，為提高審計監督效果，需注意以下環節：首先，國有企業在推進內部控制與風險管理的過程當中，需要企業自身與注冊會計師、監管部門三方進行有效結合，搭建內外部監督評價體系。審計委員會對企業內部的審計工作進行統一管理，切實擴大審計機構在企業當中的權責范圍，從而強化對企業內部注冊會計師的監督。其次，明確審計監督內容。現代企業審計監督應全面涉及內部控制、預算績效、國有資產、國有資本投資等各個環節，確保所有重要領域都受到審計監督的覆蓋和評估。再次，擴展審計方法。加強審計監督事前布局，掌握各個環節基本信息，提高審計工作效率，并建立穩固的審計監督溝通機制，保障各項工作的順利推進。最后，強化對審計監督成果的轉化率。建立常規糾錯機制，跟蹤事后糾錯情況，逐步強化企業的風險防范能力，推動企業改進和優化。

（五）加強跨部門合作和信息共享

為提高國有企業內部控制質量，可以建立跨部門的合作機制，搭建暢通的信息共享平臺。首先，國有企業不同成員單位所應用的信息化系統差異較大，系統建設要考慮各個成員單位的建設需求，注重各個系統的有機對接。特別是在業財融合的大趨勢下，企業通過搭建一體化的管理平臺對各個系統進行集成，統一數據標準、數據口徑，統一會計核算規則，以實現系統間的互聯互通。其次，在建立內部合作層面，企業可充分利用微信、釘釘等社交工具，建立不同部門的工作對接群，以便相關人員能夠及時聯系，提高工作對接效率。最后，企業應重視打破內部“信息孤島”現象，通過連接企業各部門系統，建立穩定暢通的信息傳遞渠道，逐步打造共享信息平臺，集中化處理各項業務。內部控制人員可以利用信息系統實施監督，及時發現各個業務環節的風險，并制訂有針對性的應對方案。此外，企業也可利用系統的自動預警功能，減少內控人員的工作量，使其將工作重心置于分析風險及制訂風險應對方案等管理工作層面。

結語：

國有企業實施內部控制是其管控經營風險的重要手段。企業要增強全員內控意識，在完善企業文化、人才培養、組織架構、績效考核等多個層面建立良好的內控環境，規避風險；健全內控制度及流程，確保各環節規范運作、合規到位，通過監控內控執行，及時發現和糾正問題，提高內部控制效用；構建適宜的風險管理體系，通過劃分職責、收集信息、評估風險、加強風險預警和監督改進，提高企業整體的風險應對能力；加強內部審計監督，確保審計機構獨立，豐富審計內容，應用審計結果，進一步增強企業風險管理能力；建立跨部門合作與信息共享機制，構建內部溝通渠道和信息傳遞平臺，促進內控工作的執行和協調。