全面風險導向下的企業內部控制評價：創新與挑戰

隨著市場環境愈加復雜、競爭加劇，內部監管法規逐漸完善，企業面臨的市場風險，信用風險、操作風險等內外風險日益嚴峻，給企業治理帶來了巨大挑戰。近年來，因內部控制不嚴、風險管理不善而出現虧損、虧空、破產等情況的企業屢見不鮮。這充分說明，企業想要穩定發展，必須以全面風險為導向，加強內部控制，重視內部控制評價，促進內部控制和風險管理體系不斷完善。

全面風險導向下的內部控制評價能夠幫助企業更好地識別、評估和應對風險，提高企業的風險管理能力，及時發現并糾正內部控制缺陷，尋找并改善內部控制薄弱環節，從而促進企業健康發展。通過創新風險導向下的內部控制評價的方法和路徑，可以將風險管理融入內部控制評價中，提高其效率和質量，實現風險管理與內部控制的有機結合，從而有針對性地制定內部控制措施，幫助企業更好地應對內外部風險，提高競爭力。

一、傳統內部控制評價在風險關注上不足

風險評估是企業內部控制評價的重要環節，準確的風險評估對于制定科學的內部控制措施以及評價內控措施是否有效至關重要。在實際操作中，許多企業的內部控制評價往往不從實際風險出發，對風險評估把控不準，無法給出讓人信服的內控評價結論，導致其流于形式。

首先，風險評估不靈活。企業面臨的風險是不斷變化的，因此風險評估也應該是一個動態的過程。但在一些企業中，風險評估不靈活，未能根據企業內外部環境變化及時進行調整。例如，企業沒有建立有效的風險監測機制，或者風險評估方法過于單一，無法適應復雜多變的風險環境，使企業在進行內部控制評價時，難以準確把握風險狀況，從而影響評價結果的有效性。

其次，風險評估缺乏全面性。風險評估應該涵蓋企業的各種業務和經營事項，但在一些企業中，風險評估缺乏全面性，未能充分考慮企業面臨的各種風險。例如，企業可能只關注財務風險，而忽視了市場風險、運營風險等其他風險，使企業在進行內部控制評價時，容易遺漏重要風險領域，從而影響評價結果的全面性。

最后，風險評估缺乏深度。風險評估應該深入分析風險的成因和影響，但在一些企業中，風險評估缺乏深度，未能對風險進行深入分析。例如，企業可能只關注風險的表面現象，而忽視了風險的深層次原因，使企業在進行內部控制評價時，難以制定有效的風險控制措施，從而影響評價結果的針對性。

二、全面風險導向下內部控制評價的原則

（一）全面性原則

全面性原則要求內部控制評價工作應當涵蓋企業及其所屬單位的各種業務中的風險事項。這意味著企業在進行內部控制評價時，不能僅關注部分業務或環節，而應將所有業務活動都納入評價范圍。例如，企業的生產、銷售、采購、財務等各個環節都應進行全面的風險識別和內部控制評價。全面性原則確保了企業內部控制評價的完整性，能夠及時發現各個業務領域中存在的風險和內部控制缺陷問題。

（二）重要性原則

重要性原則強調以風險為導向，根據風險發生的可能性及其對實現控制目標的影響程度，確定需要評價的重要業務單位、重大業務事項和高風險領域。企業在進行內部控制評價時，應首先識別出可能對企業經營目標產生重大影響的風險領域，重點進行內部控制評價。遵循重要性原則，企業能夠將有限的資源優先集中在關鍵領域，提高內部控制評價的效率和效果。

（三）客觀性原則

客觀性原則要求評價工作應當準確揭示經營管理的風險狀況，如實反映內部控制設計與運行的有效性。為確保客觀性原則的實施，企業在進行內部控制評價時，應建立科學的評價方法和標準，避免主觀因素的干擾。例如，采用定量和定性相結合的方法，對內部控制的有效性進行評價。同時，評價人員應具備相應的專業知識和技能，獨立客觀地進行評價工作。此外，企業還應建立有效的監督機制，對評價過程進行監督，確保評價結果的客觀性和真實性。

三、全面風險導向下內部控制評價的工作機制及其價值

（一）風險點與控制點的結合評估

在全面風險導向下的內部控制評價中，先分析風險點再尋找控制點的評估方法具有重要意義。

企業首先需要全面梳理業務流程，識別可能出現風險的環節，即風險點。例如，在采購業務中，供應商選擇、價格談判、合同簽訂等環節都可能存在風險，通過對這些風險點的分析，可以確定風險類型、發生的可能性以及可能造成的影響。針對識別出的風險點，尋找相應的控制點，旨在降低風險發生的可能性或減輕風險造成的影響，控制點可以是制度、流程、審批環節等。比如，針對供應商選擇環節的風險，可以建立供應商評估體系，明確對供應商的資質要求和選擇標準；針對價格談判環節的風險，可以制定價格審批流程，確保價格的合理性。在評估過程中，要對風險點和控制點進行綜合分析，判斷控制點是否有效覆蓋風險點，以及控制點的執行情況是否良好。如果發現控制點存在缺陷或執行不到位的情況，應及時進行改進和完善。

（二）建立動態防御風險機制

建立積極主動的全過程動態防御風險機制是全面風險導向下內部控制評價的關鍵。

首先，企業應建立風險監測體系，實時關注內外部環境的變化，及時發現新的風險點。例如，可以利用大數據技術對市場動態、行業趨勢、政策法規等進行監測，提前預警潛在風險。

其次，根據風險監測結果，動態調整內部控制措施。當出現新的風險點時，及時制定相應的控制措施，確保內部控制能夠有效應對風險。同時，對已有的控制措施進行定期評估和優化，以適應不斷變化的風險環境。

再次，加強內部溝通與協作，形成全員參與的風險防御氛圍。各部門之間應及時共享風險信息，共同制定和執行風險應對策略。例如，財務部門發現資金風險時，應及時與業務部門溝通，共同采取措施降低風險。

最后，建立風險應急機制，對突發風險事件能夠迅速作出反應，降低風險造成的損失。例如，制定應急預案，明確應急響應流程和責任分工，確保在風險事件發生時能夠迅速采取有效的應對措施。

分析出發，抓關鍵領域的重要風險，確保在重大環節上實現全面檢查，不發生重大缺陷。

其次，提升效率。全面風險導向下的內部控制評價通過前置的風險識別和分析，讓內控評價人員可以根據風險大小，更加高效地進行內控評價步驟的調整、內控評價點的選擇以及抽樣樣本量的確定，從而在不降低內控評價質量的基礎上提高內控評價流程效率。

再次，精準定位。內部控制評價是要發現讓人信服的內控缺陷以及實實在在的管理不足。這就需要從風險維度更好地理解和認定缺陷，而不是教條主義地將文件規范作為缺陷認定的唯一標準。

最后，適應變化。企業的風險隨著內外部環境的改變而變化：有些風險從無變有，有些風險從有變無；有些風險從大變小，有些風險從小變大。在這種情況下開展內部控制評價時，一定要結合企業實時的風險情況對內部控制評價的檢查點進行動態調整，才能確保內部控制評價與企業經營管理實際的匹配性，才能發現業務部門和管理者真正認可的缺陷。

四、全面風險導向下內部控制評價的方法創新

（三）全面風險導向對內部控制的價值

全面風險導向的思維和工作機制可以幫助企業在內部控制評價中更加快速高效地發現缺陷和問題，完善內部控制機制，具體體現在以下四個方面。

首先，抓住重點。企業內部控制評價工作往往時間緊、任務重、資源少，這時最忌“眉毛胡子一把抓”，面面俱到卻忽略重點。全面風險導向下的內部控制評價可以讓內控評價人員從風險

（一）標桿比較法的特點與應用

標桿比較法一般分為兩個步驟。首先，企業需要建立或確認自身所在行業的最佳實務。例如，在制造業中，一些行業領先企業通過優化供應鏈管理，實現了成本降低和效率提升，企業可以將這些先進的供應鏈管理實踐作為標桿。其次，了解企業風險管理整體框架實際情況并將其與最佳實務進行對比，用定量或定性方式評估差距。比如，可以對比自身企業與標桿企業在庫存周轉率、交貨期等方面的指標差異，分析差距產生的原因。

如果發現自身在庫存管理方面存在不足，可以借鑒標桿企業的庫存管理方法，以提高企業的內部控制水平。

（二）風險矩陣法的特點與應用

風險矩陣法具有以下特點。首先，為企業確定各項風險重要性等級提供了可視化的工具。將風險發生的可能性和風險發生后果的嚴重程度繪制在矩陣圖中，企業可以直觀地了解不同風險的重要性等級。例如，風險矩陣可以將風險分為高、中、低三個等級，對于高風險的業務活動，企業可以優先進行內部控制評價和改進。其次，風險矩陣法的應用較為簡便快捷。企業可以根據自身的實際情況，制定風險發生可能性和后果嚴重程度的評估標準，然后將各項風險對應到矩陣圖中，確定風險等級。

風險矩陣法對內部控制評價的作用主要體現在以下幾個方面。一是幫助企業全面識別風險，同時發現潛在的高風險領域，從而有針對性地進行內部控制評價。二是為企業制定風險應對策略提供依據。根據風險矩陣確定的風險等級，制定相應的風險應對策略，如風險規避、風險降低、風險轉移等。三是促進企業內部溝通與協作。風險矩陣法將風險可視化，使企業不同部門之間能夠更好地理解風險狀況，加強溝通與協作，共同制定和實施內部控制措施。

五、結論與展望

全面風險導向下的內部控制評價是企業實現穩定發展的重要保障。企業應充分認識到內部控制評價的重要性，遵循相關原則，針對存在的問題采取有效的創新方法，不斷完善內部控制體系，提高風險管理水平，以適應日益激烈的市場競爭。為此企業要做好以下幾點。

（一）加強內控研究

首先，加強對業務的研究，內控評價人員要深入了解公司的發展階段、商業模式、業務機制，要從管理視角看風險，從而對企業風險有一個更加客觀的認識。其次，加強對內部控制評價與企業戰略的結合研究。內部控制評價不應僅僅局限于財務和運營層面，還應與企業的戰略目標緊密結合。企業需要探索如何將內部控制評價融人企業戰略規劃、決策制定和績效評估過程中，以確保企業的戰略目標能夠得到有效實現。最后，加強對跨學科的研究，這將為內部控制評價和企業風險管理帶來新的視角。結合管理學、心理學、社會學等學科的理論和方法，可以深入研究企業內部人員的行為和決策對內部控制和風險管理的影響。

（二）推動技術創新

隨著科技的不斷進步，大數據、人工智能等技術將在內部控制評價中發揮更大的作用。例如，利用大數據分析可以更加準確地識別風險點，實時監測企業運營情況，及時發現潛在的風險。同時，人工智能可以輔助進行內部控制評價，提高評價的效率和準確性。通過對大量數據的學習和分析，人工智能可以自動識別內部控制的薄弱環節，并提出相應的改進建議。

（三）促進相互學習

企業間的合作與交流將有助于推動內部控制評價方法的創新和發展。不同企業在內部控制和風險管理方面面臨著不同的挑戰和機遇，通過合作與交流，可以分享各自的經驗和最佳實踐，共同探索適應經濟環境的內部控制評價方法和企業風險管理策略，推動企業內部控制評價手段和能力的持續提升。

（作者單位：安邦護衛集團股份有限公司，郵政編碼：310000，電子郵箱：804646434@qq.com）