论文部分内容阅读
【摘 要】 建立风险导向内部控制机制并不意味着将内部控制范围无限扩大，简单地将其与风险管理等同是不明智的；执行比设计更重要，设计不能落实到实际行动和结果上，都是空话。内部控制建设要通过落实风险管理的责任，强化风险管理的手段来实现。建立内部控制必须要针对特定的风险，明确谁来管理这个风险，授予它的针对该风险是否适度，要求它承担相应责任并纳入考评。
【关键词】 内部控制；风险导向；建立
企业经营过程中，风险是无处不在的。但人们会因长期身处企业中，对周边环境和内部管理逐渐习惯而无法察觉风险及其向危机的转化，从而使企业最终走向失败。要摆脱失败的命运，企业必须对风险要保持清醒的认识、建立与企业风险状况相对应的内部控制体系。
近年来，国内外出现了一系列舞弊事件。从安然、世通、巴林银行到如银广夏、蓝田股份、中航油、中信富泰等。再到2010年 2 月25 日《第一财经日报》发表的《四川长虹十年财务迷踪：被指虚增销售收入50 亿》文章，引起了市场的巨大反响，也引起了证监、税务等部门的关注。这些事件的发生使我们必须深入思考怎样建立完善的内部控制体系来降低企业风险。
一、内部控制与风险管理的基本概念
(一)、风险管理
根据《企业风险管理——整合框架》定义，企业风险管理是一个过程，是由企业的董事会、管理层以及其他人员共同实施的，应用于战略制定及企业各个层次的活动，旨在识别可能影响企业的各种潜在事件，并按照企业的风险偏好管理风险，为企业目标的实现提供合理的保证。它包括了内部环境、目标设定、事件识别、风险评估、风险应对、控制活动、信息与沟通、监控八个要素。
（二）内部控制
我国《企业内部控制基本规范》定义：“ 内部控制是由企业董事会、监事会、经理层和全体员工共同实施的，旨在实现控制目标的过程。内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现战略发展”。内部控制包括内部环境、风险评估、控制活动、信息与沟通、内部监督五要素。
（三）内部控制与风险管理的关系
1、内部控制与风险管理密切相关。
首先，内部控制与风险管理是相互统一的。在实际经营过程中，内部控制与风险管理是密不可分的。在企业的不同层次，风险管理与内部控制的重要性各不相同。例如，在战略风险控制方面，风险管理应发挥主导作用，内部控制起配合作用；从战略风险到经营风险、财务风险、财务报告，风险管理与内部控制的重要性逐步发生逆转，内部控制发挥主导作用，风险管理起配合作用。
其次，一个强有力的内部控制系统意味着公司能够提高效率和功效, 加强对外部事物的控制能力，人们可以得到可靠的相关信息, 他们可以在合适的时间和地点来使用. 好的管理和有效的内部控制可以保证一个组织随时处理出现的不利情况, 限制其不利影响. 有效的控制可以给公司成员充分的自由度来发挥其判断力与想象力, 管理错误行为带来的风险, 从而帮助公司成功。
第三，内部控制与风险管理在要素上有五个是重合的，二者在内部环境、风险评估、控制活动、信息与沟通、监控(内部监督)这五个要素上是重合的。风险管理在内部控制五要素的基础上增加了目标设定、事件识别、风险应对三要素。
2、 内部控制与风险管理存在一定的差异。
内部控制仅是管理的一项职能，而风险管理属于风险范畴，贯穿于管理过程的各个方面。内部控制的出发点是分工中的相互牵制、防范错弊及企业内部的协调管理，风险管理是对企业经营中的不确定性进行管理，主要包括对不确定性的认知辨别、计量分析、应对和处理。
三、建立风险导向的内部控制体系
（一）、目前我国内部控制建设中存在的问题
随着《内部控制基本规范》及其配套指引的颁布，我国企业对内部控制的建设越来越重视，很多企业都建立了自己的内部控制制度，但在具体实施过程中还存在一些误解和问题。根据德勤对中国上市公司内部控制调查分析，我国企业内部控制体系建设中还存在以下问题。
1、缺乏对风险意识和企业文化的重视。
目前，在我国企业中普遍存在重生产经营、轻文化建设；重短期业绩、轻长远规划等问题。很多企业基本都建立了内部控制制度，但有些企业的内部控制制度的制定缺乏科学的指导；有的企业管理者认为内部控制就是各项工作制度和业务规章的汇总，建立了企业规章制度就等于做好了内部控制。有的甚至认为风险管理仅仅是公司高层的事情，与自己无关。没有创造出良好的执行氛围，没有从根本上提高全员的风险意识，使得内部控制流于形式。所以要建立一套科学有效内部控制制度及风险管理机制，应提高企业管理者对这方面的认识。
2、治理结构形同虚设。公司治理是内部控制制度设计、运行的制度环境，也是管理层超越内部控制的重要约束机制。企业所有权与经营权缺乏清晰界限一直是中国企业的大问题，“内部人控制” 现象严重，未达到内部权力制衡的效果。董事会不能发挥应有的作用，管理者在内部控制中起着关键性作用，企业管理高层大权独揽又难以控制，没有相应的组织或机构进行监督制约，随时面临着失控的局面。相互制衡的法人治理结构无法建立，内部控制制度不能有效运行。治理结构形同虚设可能导致企业缺乏科学决策和运行机制，难以实现发展战略和经营目标。
3、不能保证内部控制的执行力。目前，企业内部控制未能有效预防、发现和制止舞弊事件的发生，未能做到提高经营效率和效果，关键不是制度问题，而是执行的问题。绝大部分企业有了控制和风险意识，制定了一系列的制度和规定，但并没有把控制和风险理念实实在在地贯彻到活动中，也没有把条条框框切实运行到实践当中，更没有考虑如何把内部控制和风险管理以及更宽泛意义上的管理联系起来，互相利用，互相弥补。内部控制流于形式，控制与风险、管理相互孤立，这是当前企业内部控制建设中存在的最大的弊病。
（二）构建以风险为导向的内部控制 1、什么是风险导向的内部控制。
风险导向的内部控制就是以风险识别和风险评估为基础，管理风险，继而分析、设计和实施内部控制的过程，旨在降低风险以实现企业的既定目标。
2、树立良好的企业文化氛围和风险管理理念。
（1）、风险管理理念是指企业从战略制定到日常经营过程中对待风险的一系列信念和态度，它反映企业的价值观，影响着企业的文化和经营风格，也影响到企业的目标设定和对风险的识别及应对。确立风险管理理念时，应遵循以下原则：企业进行决策时，应该考虑不同形式的风险；不仅对单个业务部门或职能部门的风险进行评估，还应从企业整体角度考虑风险；企业管理层应该努力创建一个公司层次上的整体的风险观念；监督并保证企业政策、程序及风险管理相关规定能够得到有效的执行；提高公司内部各方面、各层级的风险管理实务能力；对公司存在的重大风险以及风险管理系统的缺陷或失效进行记录和报告。
（2）、企业文化能够为企业提供长久时候的发展动力。企业要活动长久稳定的发展，必须建立起自己的信仰体系，让员工坚定地确认企业的战略目标、经营方针、管理规范等，自觉地把自我价值和企业价值、个人命运和企业命运联系在一起。纵观全球核心企业都有着自己的核心价值观，而且这些价值观都是积极向上的。企业应当加强文化建设，培育积极向上的价值观和社会责任感，倡导诚实守信、爱岗敬业、开拓创新和团队精神，树立现代管理理念，强化风险意识和法制观念
2、 完善企业治理结构。
（1）、 公司治理结构是公司内部控制环境的最高层次，其完善性是公司内部环境的坚实基础。完善的公司治理结构能够保持良好的内部控制系统，检查内部控制的有效性。完善公司治理结构首先要确立董事会在内部控制体系中的核心地位，积极加强董事会建设；其次要建立健全独立董事的职责、问责、监督等制度，强化公司制衡机制，遏制“内部人控制”；三要加强监事会监督职能，增强其独立性，加强对董事会行为和活动的制约，提高监事会的监督能力。
（2）、董事会对内部控制的建立健全和有效实施负责，定期召开董事会会议，商讨内部控制建设中的重大问题并作出决策。审计委员会是董事会下设的专业委员会，审计委员会负责人及其成员必须具备相应的独立性、良好的职业操守和专业胜任能力。监事会对董事会建立与实施内部控制进行监督，它不同于审计委员会对经理层的监督，是一种层次更高、独立性更强的再监督，监事会主席及其成员应当定期参加董事会及其审计委员会召开的内部控制会议。经理层负责内部控制的日常运行。
3、 控制活动与风险评估相结合。
（1）、控制活动指为确保管理层指示得以执行的政策和程序，它们有助于保证采取必要措施来管理风险以实现企业目标。管理层在进行风险评估时，应该针对特定风险找出并实施有效的措施，这些被确定用于管理风险的行动也用于重点关注控制活动是否到位，以有助于确保正确、及时地执行这些控制活动。
（2）、内部控制体系应是贴合企业日常营运，并能有效控制风险的流程规范。这样才能实现对企业经营目标的保护作用。内部控制设计需要进行业务活动和关系的梳理；同时，按照资源的稀缺程度和风险高低分析出业务流程的关键点。针对可能的舞弊和失误，在此控制点制定出相应的措施和方法，以减少其发生的概率和损失。这样，在业务实施过程中自觉将业务风险加以控制和防范，内部控制的思想和各种要求都在各项业务和管理过程中得到实现。
5、加强内部控制的监督与检查，强化内部控制的执行力。
（1）、再好的内部控制必须得到有效的执行，否则就是纸上谈兵，一纸空文。现实中很多企业出现的问题，并不是内部控制不健全，而是内部控制没有得到有效的执行。内部控制的有效执行有赖于全员参与以及权责体系的界定。这就要求企业要营造“企业文化”引导员工主动加强内部控制，同时要完善治理结构，界定各层次的具体责任。
（2）、评审监督对内部控制有效的执行至关重要，监督过程中要注重自我监督与独立评估并重。首先，各级管理层应在日常的经营过程中注重对内部控制有效性的监督，如果发现错误、舞弊等异常情况，不仅要就事论事的处理，还必须考虑其中是否隐含了内部控制出现漏洞的信号，亡羊补牢，惩前毖后。同时，企业还应考虑使用专业工具或咨询专业机构，定期对内部控制的有效性进行自我评价。其次，企业要建立完善的内部审计制度，内部审计机构要独立于其它部门，直接受董事会领导，内部审计人员的职责不再局限于监督内部控制是否执行，而是通过独立的检查和评价，发现内部控制缺陷、管理漏洞，从而提出建议和措施，促进企业进一步改善经营管理，实现经营目标。最后，企业应有顺畅的沟通渠道(如专门的举报邮箱、举报热线等)，保护和奖励举报人的制度，建立有效的舞弊汇报和监察机制，使各种舞弊事件或迹象能迅速有效地汇报给有能力的管理层或董事会。
总之，建立风险导向内部控制机制并不意味着将内部控制范围无限扩大，简单地将其与风险管理等同是不明智的；执行比设计更重要，设计不能落实到实际行动和结果上，都是空话。风险管理不是孤立的,更不仅仅是风险模型的建设，对风险的有效管理要在识别和评估的基础上，将风险反映在企业的经营活动过程中,通过适用有效的内部控制体系加以实现； 内部控制也不是孤立的，它不是单纯的组织机构设置和流程再造,内部控制是企业实现风险管理的手段,应基于风险识别和评估来建设内部控制体系。内部控制建设要通过落实风险管理的责任，强化风险管理的手段来实现。建立内部控制必须要针对特定的风险，明确谁来管理这个风险，授予它的针对该风险是否适度，要求它承担相应责任并纳入考评。
参考文献
［1］财政部，企业内部控制基本规范，中国财政经济出版社，2008
［2］徐玉德，企业内部控制设计湖实务，经济科学出版社，2009
［3］张颖、郑洪涛，企业内部控制，机械工业出版社，2009
［4］叶陈刚、郑君彦，企业风险评估与控制，机械工业出版社，2009
［5］德勤永华会计师事务所有限公司企业风险管理服务组，构建风险导向的内部控制，中信出版社，2009
［6］杨学华、文小亮，风险导向内部控制机制引进，中国注册会计师，2011，5
［7］袁泉，试论风险导向内部控制，商业会计，2010，11，21
（作者单位：成都铁路局贵阳机务段）
【关键词】 内部控制；风险导向；建立
企业经营过程中，风险是无处不在的。但人们会因长期身处企业中，对周边环境和内部管理逐渐习惯而无法察觉风险及其向危机的转化，从而使企业最终走向失败。要摆脱失败的命运，企业必须对风险要保持清醒的认识、建立与企业风险状况相对应的内部控制体系。
近年来，国内外出现了一系列舞弊事件。从安然、世通、巴林银行到如银广夏、蓝田股份、中航油、中信富泰等。再到2010年 2 月25 日《第一财经日报》发表的《四川长虹十年财务迷踪：被指虚增销售收入50 亿》文章，引起了市场的巨大反响，也引起了证监、税务等部门的关注。这些事件的发生使我们必须深入思考怎样建立完善的内部控制体系来降低企业风险。
一、内部控制与风险管理的基本概念
(一)、风险管理
根据《企业风险管理——整合框架》定义，企业风险管理是一个过程，是由企业的董事会、管理层以及其他人员共同实施的，应用于战略制定及企业各个层次的活动，旨在识别可能影响企业的各种潜在事件，并按照企业的风险偏好管理风险，为企业目标的实现提供合理的保证。它包括了内部环境、目标设定、事件识别、风险评估、风险应对、控制活动、信息与沟通、监控八个要素。
（二）内部控制
我国《企业内部控制基本规范》定义：“ 内部控制是由企业董事会、监事会、经理层和全体员工共同实施的，旨在实现控制目标的过程。内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现战略发展”。内部控制包括内部环境、风险评估、控制活动、信息与沟通、内部监督五要素。
（三）内部控制与风险管理的关系
1、内部控制与风险管理密切相关。
首先，内部控制与风险管理是相互统一的。在实际经营过程中，内部控制与风险管理是密不可分的。在企业的不同层次，风险管理与内部控制的重要性各不相同。例如，在战略风险控制方面，风险管理应发挥主导作用，内部控制起配合作用；从战略风险到经营风险、财务风险、财务报告，风险管理与内部控制的重要性逐步发生逆转，内部控制发挥主导作用，风险管理起配合作用。
其次，一个强有力的内部控制系统意味着公司能够提高效率和功效, 加强对外部事物的控制能力，人们可以得到可靠的相关信息, 他们可以在合适的时间和地点来使用. 好的管理和有效的内部控制可以保证一个组织随时处理出现的不利情况, 限制其不利影响. 有效的控制可以给公司成员充分的自由度来发挥其判断力与想象力, 管理错误行为带来的风险, 从而帮助公司成功。
第三，内部控制与风险管理在要素上有五个是重合的，二者在内部环境、风险评估、控制活动、信息与沟通、监控(内部监督)这五个要素上是重合的。风险管理在内部控制五要素的基础上增加了目标设定、事件识别、风险应对三要素。
2、 内部控制与风险管理存在一定的差异。
内部控制仅是管理的一项职能，而风险管理属于风险范畴，贯穿于管理过程的各个方面。内部控制的出发点是分工中的相互牵制、防范错弊及企业内部的协调管理，风险管理是对企业经营中的不确定性进行管理，主要包括对不确定性的认知辨别、计量分析、应对和处理。
三、建立风险导向的内部控制体系
（一）、目前我国内部控制建设中存在的问题
随着《内部控制基本规范》及其配套指引的颁布，我国企业对内部控制的建设越来越重视，很多企业都建立了自己的内部控制制度，但在具体实施过程中还存在一些误解和问题。根据德勤对中国上市公司内部控制调查分析，我国企业内部控制体系建设中还存在以下问题。
1、缺乏对风险意识和企业文化的重视。
目前，在我国企业中普遍存在重生产经营、轻文化建设；重短期业绩、轻长远规划等问题。很多企业基本都建立了内部控制制度，但有些企业的内部控制制度的制定缺乏科学的指导；有的企业管理者认为内部控制就是各项工作制度和业务规章的汇总，建立了企业规章制度就等于做好了内部控制。有的甚至认为风险管理仅仅是公司高层的事情，与自己无关。没有创造出良好的执行氛围，没有从根本上提高全员的风险意识，使得内部控制流于形式。所以要建立一套科学有效内部控制制度及风险管理机制，应提高企业管理者对这方面的认识。
2、治理结构形同虚设。公司治理是内部控制制度设计、运行的制度环境，也是管理层超越内部控制的重要约束机制。企业所有权与经营权缺乏清晰界限一直是中国企业的大问题，“内部人控制” 现象严重，未达到内部权力制衡的效果。董事会不能发挥应有的作用，管理者在内部控制中起着关键性作用，企业管理高层大权独揽又难以控制，没有相应的组织或机构进行监督制约，随时面临着失控的局面。相互制衡的法人治理结构无法建立，内部控制制度不能有效运行。治理结构形同虚设可能导致企业缺乏科学决策和运行机制，难以实现发展战略和经营目标。
3、不能保证内部控制的执行力。目前，企业内部控制未能有效预防、发现和制止舞弊事件的发生，未能做到提高经营效率和效果，关键不是制度问题，而是执行的问题。绝大部分企业有了控制和风险意识，制定了一系列的制度和规定，但并没有把控制和风险理念实实在在地贯彻到活动中，也没有把条条框框切实运行到实践当中，更没有考虑如何把内部控制和风险管理以及更宽泛意义上的管理联系起来，互相利用，互相弥补。内部控制流于形式，控制与风险、管理相互孤立，这是当前企业内部控制建设中存在的最大的弊病。
（二）构建以风险为导向的内部控制 1、什么是风险导向的内部控制。
风险导向的内部控制就是以风险识别和风险评估为基础，管理风险，继而分析、设计和实施内部控制的过程，旨在降低风险以实现企业的既定目标。
2、树立良好的企业文化氛围和风险管理理念。
（1）、风险管理理念是指企业从战略制定到日常经营过程中对待风险的一系列信念和态度，它反映企业的价值观，影响着企业的文化和经营风格，也影响到企业的目标设定和对风险的识别及应对。确立风险管理理念时，应遵循以下原则：企业进行决策时，应该考虑不同形式的风险；不仅对单个业务部门或职能部门的风险进行评估，还应从企业整体角度考虑风险；企业管理层应该努力创建一个公司层次上的整体的风险观念；监督并保证企业政策、程序及风险管理相关规定能够得到有效的执行；提高公司内部各方面、各层级的风险管理实务能力；对公司存在的重大风险以及风险管理系统的缺陷或失效进行记录和报告。
（2）、企业文化能够为企业提供长久时候的发展动力。企业要活动长久稳定的发展，必须建立起自己的信仰体系，让员工坚定地确认企业的战略目标、经营方针、管理规范等，自觉地把自我价值和企业价值、个人命运和企业命运联系在一起。纵观全球核心企业都有着自己的核心价值观，而且这些价值观都是积极向上的。企业应当加强文化建设，培育积极向上的价值观和社会责任感，倡导诚实守信、爱岗敬业、开拓创新和团队精神，树立现代管理理念，强化风险意识和法制观念
2、 完善企业治理结构。
（1）、 公司治理结构是公司内部控制环境的最高层次，其完善性是公司内部环境的坚实基础。完善的公司治理结构能够保持良好的内部控制系统，检查内部控制的有效性。完善公司治理结构首先要确立董事会在内部控制体系中的核心地位，积极加强董事会建设；其次要建立健全独立董事的职责、问责、监督等制度，强化公司制衡机制，遏制“内部人控制”；三要加强监事会监督职能，增强其独立性，加强对董事会行为和活动的制约，提高监事会的监督能力。
（2）、董事会对内部控制的建立健全和有效实施负责，定期召开董事会会议，商讨内部控制建设中的重大问题并作出决策。审计委员会是董事会下设的专业委员会，审计委员会负责人及其成员必须具备相应的独立性、良好的职业操守和专业胜任能力。监事会对董事会建立与实施内部控制进行监督，它不同于审计委员会对经理层的监督，是一种层次更高、独立性更强的再监督，监事会主席及其成员应当定期参加董事会及其审计委员会召开的内部控制会议。经理层负责内部控制的日常运行。
3、 控制活动与风险评估相结合。
（1）、控制活动指为确保管理层指示得以执行的政策和程序，它们有助于保证采取必要措施来管理风险以实现企业目标。管理层在进行风险评估时，应该针对特定风险找出并实施有效的措施，这些被确定用于管理风险的行动也用于重点关注控制活动是否到位，以有助于确保正确、及时地执行这些控制活动。
（2）、内部控制体系应是贴合企业日常营运，并能有效控制风险的流程规范。这样才能实现对企业经营目标的保护作用。内部控制设计需要进行业务活动和关系的梳理；同时，按照资源的稀缺程度和风险高低分析出业务流程的关键点。针对可能的舞弊和失误，在此控制点制定出相应的措施和方法，以减少其发生的概率和损失。这样，在业务实施过程中自觉将业务风险加以控制和防范，内部控制的思想和各种要求都在各项业务和管理过程中得到实现。
5、加强内部控制的监督与检查，强化内部控制的执行力。
（1）、再好的内部控制必须得到有效的执行，否则就是纸上谈兵，一纸空文。现实中很多企业出现的问题，并不是内部控制不健全，而是内部控制没有得到有效的执行。内部控制的有效执行有赖于全员参与以及权责体系的界定。这就要求企业要营造“企业文化”引导员工主动加强内部控制，同时要完善治理结构，界定各层次的具体责任。
（2）、评审监督对内部控制有效的执行至关重要，监督过程中要注重自我监督与独立评估并重。首先，各级管理层应在日常的经营过程中注重对内部控制有效性的监督，如果发现错误、舞弊等异常情况，不仅要就事论事的处理，还必须考虑其中是否隐含了内部控制出现漏洞的信号，亡羊补牢，惩前毖后。同时，企业还应考虑使用专业工具或咨询专业机构，定期对内部控制的有效性进行自我评价。其次，企业要建立完善的内部审计制度，内部审计机构要独立于其它部门，直接受董事会领导，内部审计人员的职责不再局限于监督内部控制是否执行，而是通过独立的检查和评价，发现内部控制缺陷、管理漏洞，从而提出建议和措施，促进企业进一步改善经营管理，实现经营目标。最后，企业应有顺畅的沟通渠道(如专门的举报邮箱、举报热线等)，保护和奖励举报人的制度，建立有效的舞弊汇报和监察机制，使各种舞弊事件或迹象能迅速有效地汇报给有能力的管理层或董事会。
总之，建立风险导向内部控制机制并不意味着将内部控制范围无限扩大，简单地将其与风险管理等同是不明智的；执行比设计更重要，设计不能落实到实际行动和结果上，都是空话。风险管理不是孤立的,更不仅仅是风险模型的建设，对风险的有效管理要在识别和评估的基础上，将风险反映在企业的经营活动过程中,通过适用有效的内部控制体系加以实现； 内部控制也不是孤立的，它不是单纯的组织机构设置和流程再造,内部控制是企业实现风险管理的手段,应基于风险识别和评估来建设内部控制体系。内部控制建设要通过落实风险管理的责任，强化风险管理的手段来实现。建立内部控制必须要针对特定的风险，明确谁来管理这个风险，授予它的针对该风险是否适度，要求它承担相应责任并纳入考评。
参考文献
［1］财政部，企业内部控制基本规范，中国财政经济出版社，2008
［2］徐玉德，企业内部控制设计湖实务，经济科学出版社，2009
［3］张颖、郑洪涛，企业内部控制，机械工业出版社，2009
［4］叶陈刚、郑君彦，企业风险评估与控制，机械工业出版社，2009
［5］德勤永华会计师事务所有限公司企业风险管理服务组，构建风险导向的内部控制，中信出版社，2009
［6］杨学华、文小亮，风险导向内部控制机制引进，中国注册会计师，2011，5
［7］袁泉，试论风险导向内部控制，商业会计，2010，11，21
（作者单位：成都铁路局贵阳机务段）