論企業(yè)風險管理與內(nèi)部控制

龍江進

摘 要：當今世界瞬息萬變,企業(yè)和市場受到外界環(huán)境的影響,必須快速作出反應。企業(yè)要提高自身的國際競爭力及在國際資本市場的信譽度, 減少財務丑聞的發(fā)生,必須加緊改善自身的管理,建立完善的內(nèi)部控制制度,識別和衡量企業(yè)所面臨的內(nèi)外部風險,開展恰當?shù)目刂苹顒?消除或減少企業(yè)風險帶來的損失,提高企業(yè)的應對能力和競爭力。文章主要通過對內(nèi)部控制與風險管理的概述，闡述內(nèi)部控制與風險管理的關系，對企業(yè)內(nèi)部控制制度存在的問題進行研究，提出企業(yè)風險防范的有效途徑，從而構(gòu)建企業(yè)風險管理的預警體系，做好企業(yè)風險的防范工作。

關鍵詞：風險管理 內(nèi)部控制 風險防范

中圖分類號：F270文獻標識碼:A

文章編號:1004-4914（2012）09-265-03

隨著社會主義市場經(jīng)濟建設的不斷深入、全球經(jīng)濟一體化進程的加快，國內(nèi)市場和國際市場融為一體,企業(yè)所面臨的風險與機遇也是越來越多。企業(yè)在新的競爭條件下要想立于不敗之地，實現(xiàn)自身經(jīng)營目標，建立現(xiàn)代企業(yè)制度，必須注重于內(nèi)部控制與風險管理的研究。

一、風險管理與內(nèi)部控制概述

（一）風險管理的涵義、要素及目標

企業(yè)風險管理是一個過程，它由一個主體的董事會、管理當局和其他人員實施，應用于戰(zhàn)略制訂并貫穿于企業(yè)之中，旨在識別可能會影響主體的潛在事項，管理風險以使其在該主體的風險容量之內(nèi)，并為主體目標的實現(xiàn)提供合理保證。企業(yè)風險管理一般由內(nèi)部環(huán)境、目標設定、事件辨別、風險評估、風險反應、控制活動、信息和交流以及監(jiān)督等8個方面組成。

1.內(nèi)部環(huán)境。企業(yè)的內(nèi)部環(huán)境是其它所有風險管理要素的基礎，為其它要素提供規(guī)則和結(jié)構(gòu)，也為風險管理的其它組成因素提供了框架。其中特別是管理當局的風險偏好，決定了公司對可能出現(xiàn)的預料之外的事件的態(tài)度，管理當局和董事會必須明確戰(zhàn)略及其執(zhí)行過程中的風險和回報。

2.目標設定。每個企業(yè)都面臨著來自內(nèi)部和外部的不同風險，這些風險都必須加以評估。評估風險的先決條件是制定目標，風險評估就是分析和辨認實現(xiàn)所定目標可能發(fā)生的風險。

3.事件辨別。在對企業(yè)目標、戰(zhàn)略和計劃以及對企業(yè)所處的內(nèi)部和外部環(huán)境都有深刻了解的基礎上，企業(yè)風險管理要求辨別可能對實現(xiàn)公司目標產(chǎn)生負面影響的所有重要情況或事件，事件辨別的基礎是將可能的風險與環(huán)境進行對比。

4.風險評估。一般用可能性（概率）和影響結(jié)果兩個維度度量風險，前者是一定的負面影響事件發(fā)生的可能性；后者是假設事件發(fā)生，對經(jīng)營、財務報告以及戰(zhàn)略產(chǎn)生影響的可能結(jié)果，潛在影響一般以對經(jīng)營、數(shù)量、金錢損失以及戰(zhàn)略目標可能造成的損失進行計算。

5.風險反應。風險反應是企業(yè)風險管理的整體重要組成部分。企業(yè)對每一個重要的風險及其對應的回報進行平衡和評價，結(jié)果取決于成本效益分析以及企業(yè)的風險偏好。而平衡的反應包括接受、規(guī)避或緩和這些風險，后者又包括風險分離、風險轉(zhuǎn)換或者減少的形式。

6.控制活動?？刂苹顒邮枪芾懋斁衷O計的政策和程序，為執(zhí)行特定的風險緩和反應提供合理保證?？刂苹顒影ㄔ谡麄€組織中使用的批準、授權(quán)、注銷、確認、觀察、查證以及對經(jīng)營業(yè)績復核、資產(chǎn)安全、職責分離等方法。

7.信息和交流。風險辨別、評估、反應和控制活動在組織的各個水平層次上產(chǎn)生有關風險的信息，與財務信息一樣，風險信息必須以一定的形式和框架進行交流，使員工、管理層以及董事履行各自的責任。

8.監(jiān)督。與內(nèi)部控制一樣，企業(yè)應通過持續(xù)的監(jiān)督和獨立的評價活動，監(jiān)督企業(yè)風險管理的有效性。持續(xù)監(jiān)督以日常經(jīng)營中發(fā)生的事件和交易為對象，包括管理當局和專門的監(jiān)督人員的活動。獨立評價一般以定期檢查計劃為基礎，或者以日常監(jiān)督中發(fā)現(xiàn)的意外為起點，由于在獨立調(diào)查、風險評估和報告方面具備能力、技巧和經(jīng)驗，內(nèi)部審計師是提供獨立評價的合適人選。

內(nèi)部控制是社會經(jīng)濟發(fā)展到一定階段的產(chǎn)物，其內(nèi)容隨著企業(yè)對外滿足社會需要，對內(nèi)強化管理而不斷豐富和發(fā)展。內(nèi)部控制經(jīng)歷了內(nèi)部牽制、內(nèi)部控制制度、內(nèi)部控制結(jié)構(gòu)和內(nèi)部控制整體框架四個階段。內(nèi)部控制是一個機構(gòu)內(nèi)董事會、管理層和其它各方進行的旨在加強風險管理、促進實現(xiàn)既定目標的行為，是一個組織的內(nèi)部活動，它是通過組織制度、組織機構(gòu)和組織指令或程序來完成的。

一個完善的企業(yè)內(nèi)部控制系統(tǒng)應該包括五類要素：

1.控制環(huán)境。控制環(huán)境提供企業(yè)紀律與框架,塑造企業(yè)文化,并影響企業(yè)員工的控制意識,是所有其它內(nèi)部控制組成要素的基礎。控制環(huán)境的因素具體包括:誠信的原則和道德價值觀；評定員工的能力；管理哲學和經(jīng)營風格；組織結(jié)構(gòu)；責任的分配與授權(quán)；人力資源政策及實務；其成員參與管理的程度以及公司內(nèi)部的董事會和審計委員會等。

2.風險評估。每個企業(yè)都面臨著來自內(nèi)部和外部的不同風險，這些風險都必須加以評估。評估風險的先決條件是制定目標，風險評估就是分析和辨認實現(xiàn)所定目標可能發(fā)生的風險。

3.控制活動。企業(yè)管理階層辨識風險,然后應針對這種風險發(fā)出必要的指令?？刂苹顒邮谴_保管理階層的指令得以執(zhí)行的政策及程序,如核準、授權(quán)、驗證、調(diào)節(jié)、復核營業(yè)績效、保障資產(chǎn)安全及職務分工等。控制活動在企業(yè)內(nèi)的各個階層和職能之間都會出現(xiàn),這主要包括:高層經(jīng)理人員對企業(yè)績效進行分析；直接部門管理；對信息處理的控制；實體控制；績效指標的比較和分工。

4.信息與溝通。企業(yè)在其經(jīng)營過程中,需要按其某種形式辨識、取得確切的信息進行溝通,以使員工能夠履行其責任。信息系統(tǒng)不僅處理企業(yè)內(nèi)部所產(chǎn)生的信息,同時也處理與外部的事項、活動及環(huán)境等有關的信息。企業(yè)所有員工必須從最高管理階層清楚地獲取承擔控制責任的信息,而且必須有向上級部門溝通重要信息的方法，并對外界顧客、供貨商、政府主管機關和股東等做有效的溝通。

5.監(jiān)控。內(nèi)部控制系統(tǒng)需被持續(xù)監(jiān)控。監(jiān)控是由適當?shù)娜藛T,在適當及時的基礎上,評估控制的設計和運作情況的過程。監(jiān)控活動由持續(xù)監(jiān)督和個別評估所組成,其可確保企業(yè)內(nèi)部控制能夠持續(xù)有效的運作。

COSO報告認為,企業(yè)建立完善的內(nèi)部控制體系,旨在達到三個目標：第一是經(jīng)營的效率和效果；第二是財務報告真實完整；第三是恰當?shù)刈裱讼嚓P法律、法規(guī)。

（二）風險管理與內(nèi)部控制的聯(lián)系與區(qū)別

1.風險管理與內(nèi)部控制的聯(lián)系。

（1）內(nèi)部控制是風險管理的必要環(huán)節(jié)。內(nèi)部控制的動力來自企業(yè)對風險的認識，內(nèi)部控制是為了實現(xiàn)經(jīng)濟組織的管理目標而提供的一種合理保障，良好的內(nèi)部控制可以保證企業(yè)合規(guī)經(jīng)營、財務報表的真實可靠。

（2）風險管理涵蓋了內(nèi)部控制。風險管理與內(nèi)部控制的組成要素有五個方面是重合的，即控制環(huán)境、風險評估、控制活動、信息與溝通、監(jiān)督，這些重合是由它們目標的多數(shù)重合及實現(xiàn)機制相似決定的。內(nèi)部控制是一個系統(tǒng)工程，風險管理是一個更大的系統(tǒng)工程。全面風險管理控制的手段不僅包括事中和事后控制，更為重要的是在事前制訂目標時就充分考慮了風險的存在，尤其是對戰(zhàn)略計劃制定當中的風險進行評估。

2.風險管理與內(nèi)部控制的區(qū)別。

（1）內(nèi)部控制僅僅是管理的一項職能，而全面風險管理屬于風險范疇，貫穿于管理過程的各個方面。

（2）風險管理與內(nèi)部控制都是為了實現(xiàn)企業(yè)的目標提供合理的保證。風險管理的目標不僅包括內(nèi)部控制的三個目標，還包括報告類目標。而且報告類目標有所擴展，它不僅要求財務報告準確可靠，而且要求所有的非財務類報告準確可靠。另外，風險管理增加了戰(zhàn)略目標，這意味著風險管理不僅是確保經(jīng)營的效果與效率，而且介入了企業(yè)戰(zhàn)略制定過程。

（3）COSO全面風險管理框架對風險的定義是：對企業(yè)的目標產(chǎn)生負面影響的事件發(fā)生的可能性。因此，該框架可以涵蓋信用風險、市場風險、戰(zhàn)略風險以及業(yè)務風險等各種風險，而內(nèi)部控制框架并沒有區(qū)分機會和風險。

（4）內(nèi)部控制是為實現(xiàn)經(jīng)營的效率、財務報告的真實與可靠性、合規(guī)性三類目標而提供合理保證的過程，而風險管理則是為實現(xiàn)包含經(jīng)營的效果和效率、財務報告的可靠性、合規(guī)性三類目標在內(nèi)的組織所有目標提供合理保證的過程。顯然，風險管理概念外延更廣。

（5）《企業(yè)風險管理框架》借用現(xiàn)代金融理論中的資產(chǎn)組合理論，提出了整體管理與風險組合的理念，要求企業(yè)從總體上把握分散于企業(yè)各層次及各部門的風險問題，以統(tǒng)籌考慮風險對策，防止分部門分散考慮與應對風險。因此，該框架在風險度量的基礎上，有利于企業(yè)的長期發(fā)展戰(zhàn)略與企業(yè)的風險偏好保持一致，風險與回報相聯(lián)系，從而幫助董事會和高級管理層實現(xiàn)全面風險管理的目標，而這些內(nèi)容都是內(nèi)部控制框架中所沒有的。

二、企業(yè)在防范風險方面存在的問題

在企業(yè)風險管理框架中內(nèi)部控制系統(tǒng)是風險管理的重要環(huán)節(jié)，內(nèi)部控制是企業(yè)對其所面臨風險的一種反應，是在風險狀態(tài)下對企業(yè)目標的實現(xiàn)提供合理的保證。所以說要防范風險首先必須完善內(nèi)部控制制度，建立健全的內(nèi)控體制。我國由于實行市場經(jīng)濟時間只有十多年的時間，企業(yè)剛剛認識到內(nèi)部控制的重要性，對內(nèi)部控制的研究和實踐正處于摸索階段。因此,企業(yè)內(nèi)部控制制度存在很多問題,主要表現(xiàn)在以下幾方面：

一是對內(nèi)部控制制度的認識不足，而且執(zhí)行不力。由于內(nèi)部控制制度的不能直接產(chǎn)生經(jīng)濟效益，間接效益需要較長周期才能看出，因而多數(shù)企業(yè)把精力放在生產(chǎn)和營銷上。

二是缺乏有效的監(jiān)督機制，目前我國雖形成了包括政府監(jiān)督和社會監(jiān)督在內(nèi)的企業(yè)外部監(jiān)督體系，但是監(jiān)管體系中的工作人員對一些企業(yè)的重視程度不夠，加上企業(yè)的內(nèi)部審計缺乏有效的監(jiān)督機制，不能充分發(fā)揮其職能，因此種種監(jiān)管形同虛設。

三是未形成完善的內(nèi)部會計控制制度體系。許多企業(yè)只注重建章建制,不考慮實際情況也沒有配套相應的責權(quán)制度,而且制度沒有隨著業(yè)務發(fā)展和競爭環(huán)境的改變及時進行修訂和補充,使得內(nèi)部控制制度操作性不足,有效性和完整性缺乏。

四是企業(yè)忽視事前事中的風險防范控制,過多地偏重于補救為主的事后控制,也造成了內(nèi)部控制不及時。

三、企業(yè)防范風險的有效途徑

（一）健全內(nèi)部控制制度以防范企業(yè)風險

內(nèi)部控制貫穿于企業(yè)經(jīng)營活動的各個方面，只要存在企業(yè)的經(jīng)營管理和經(jīng)營活動，就存在企業(yè)的內(nèi)部控制。要想做好企業(yè)的內(nèi)部控制，我認為應從以下幾個方面入手：

1.完善企業(yè)內(nèi)部治理結(jié)構(gòu)。這一體系要求職業(yè)的管理者階層和管理者市場，要求所有權(quán)與管理權(quán)的分離。

2.加強單位負責人的自覺控制意識。內(nèi)部控制成敗取決于企業(yè)員工的控制意識和行為，而單位負責人內(nèi)部控制的自覺意識和行為也是關鍵。

3.企業(yè)要重視風險評估?，F(xiàn)代社會是一個充滿激烈競爭的社會，每一個企業(yè)都面臨著成功的挑戰(zhàn)和失敗的風險。

4.建立有效的組織結(jié)構(gòu)與控制程序。在組織結(jié)構(gòu)方面，要建立健全符合會計制度要求的企業(yè)財務管理部門，要明確企業(yè)財務人員的職權(quán)范圍，明確劃分財會部門人員的權(quán)利和義務。

5.加強信息溝通。企業(yè)的信息系統(tǒng)包括企業(yè)的財務信息系統(tǒng)和管理信息系統(tǒng)。在企業(yè)內(nèi)部通過信息溝通，使每位員工都必須了解內(nèi)部控制制度的有關方面

6.加強內(nèi)部審計。內(nèi)部控制是對企業(yè)的整個經(jīng)營管理活動進行監(jiān)督與控制的過程，企業(yè)內(nèi)部控制是一個發(fā)現(xiàn)問題、解決問題、發(fā)現(xiàn)新問題、解決新問題的循環(huán)往復的過程。

（二）加強風險管理,化解企業(yè)風險

內(nèi)部控制雖然可以防范企業(yè)風險，并構(gòu)成風險管理的必要環(huán)節(jié)，但內(nèi)部控制并不等于風險管理本身，它不能轉(zhuǎn)嫁、承擔、化解或分散企業(yè)風險。因此，企業(yè)必須加強風險管理。

1.明確風險控制的目標責任。在健全的法人治理結(jié)構(gòu)下，企業(yè)經(jīng)營者全盤負責本單位的風險管理，建立從董事會到各職能部門、員工個人的嚴密、暢通的信息網(wǎng)絡，一旦發(fā)現(xiàn)問題，能夠及時尋找負責對象，并結(jié)合有效的獎懲制度，促使責任人在未來經(jīng)營期間不再重蹈覆轍。

2.建立風險預警機制,規(guī)避事前風險。風險的預警、評估既是現(xiàn)代企業(yè)內(nèi)部控制的重要組成內(nèi)容，更是企業(yè)風險管理的基礎。把風險消滅在萌芽狀態(tài)，以避免或減弱對企業(yè)的破壞程度。

3.事中風險、事后風險的管理。在企業(yè)經(jīng)營活動過程中，風險與危機可能存在的前提下，運用各種定量、定性分析方法，觀察監(jiān)督風險狀況，及時預防、阻止、抑制不利因素的發(fā)展，將風險損失及其有關財務后果轉(zhuǎn)嫁給其它單位或組織，實現(xiàn)風險社會化。

四、構(gòu)建企業(yè)風險管理的預警體系,做好企業(yè)風險防范工作

每個企業(yè)應按照風險管理的基本程序做好風險識別、風險評估和風險控制，按照內(nèi)部環(huán)境、目標設定、事件辨別、風險評估、風險反應、控制活動、信息和交流、監(jiān)督等要素構(gòu)建風險管理的基本框架。

1.要結(jié)合企業(yè)實際制定風險管理總體目標。在制定風險管理目標時要綜合考慮這幾個因素：第一是企業(yè)風險的承受能力；第二是確保內(nèi)外部，尤其是企業(yè)與股東之間實現(xiàn)真實、可靠的信息溝通，包括編制和提供真實、可靠的財務報告；第三是要遵守有關法律法規(guī)；第四確保企業(yè)有關規(guī)章制度和為實現(xiàn)經(jīng)營目標而采取重大措施的貫徹執(zhí)行，保障經(jīng)營管理的有效性，提高經(jīng)營活動的效率和效果,降低目標的不確定性；第五確保企業(yè)建立針對各項重大風險發(fā)生后的危機處理計劃，保護企業(yè)不因災害性風險或人為失誤而遭受重大損失。

2.加強對員工的風險控制管理，完整風險管理體系。大力加強對員工的職業(yè)道德教育，對員工開展誠信教育，使其增強自我控制能力，從而增強公司內(nèi)部控制系統(tǒng)的有效性。建立以誠信為基礎的公司文化，對違反誠信的員工進行懲罰，同時要加強員工的業(yè)務素質(zhì)培訓，使其在各自崗位上盡職盡責。全面風險管理是對整個機構(gòu)內(nèi)部各個種類、各個層次風險的通盤管理，全面風險管理可使組織中各業(yè)務單位分散的決策者之間協(xié)調(diào)合作，有利于審計和監(jiān)督。

3.建立健全風險分析、評估、預警、處置工作流程。要能夠很好地防范企業(yè)經(jīng)營風險，必須按照風險級別建立一套有效的企業(yè)風險管理制度和流程。

參考文獻：

1.樊行建.企業(yè)風險管理與內(nèi)部控制.會計之友,2007(10)

2.閆修輝,熊華根.論內(nèi)部控制與企業(yè)風險管理.航空工業(yè)經(jīng)濟研究,2007(5)

3.張曉麗.加強內(nèi)部控制防范企業(yè)風險.商業(yè)現(xiàn)代化,2007(4)

4.宋蔚蔚.新內(nèi)部控制規(guī)范風險導向化思路謅議.財會通訊,2007(8)

5.張穎萍.審計風險及其控制研究.會計之友,2007(6)

6.楊曉華.企業(yè)內(nèi)部控制與風險管理關系探究.集團經(jīng)濟研究，2007(5)

7.COSO制定發(fā)布.企業(yè)風險管理——整合框架.東北財經(jīng)大學出版社，2005

8.劉志遠.企業(yè)風險管理理念與公司治理和經(jīng)營治理的協(xié)調(diào).財務與會計，2007

9.楊書懷.企業(yè)風險管理框架》與《內(nèi)部控制整體框架》的比較分析.技術(shù)經(jīng)濟，2006(4)

10.劉霞.關于企業(yè)風險管理框架的若干思考.經(jīng)濟研究導刊，2007(2)

11.王福年.內(nèi)部控制在風險管理中的作用.工業(yè)審計與會計，2007(3)

12.曹亞勇.企業(yè)風險管理與內(nèi)部控制.當代經(jīng)濟，2007(7)

13.劉升勇.企業(yè)風險管理與內(nèi)部控制比較研究.財會新空,2006(1)

14.宋常，丁衛(wèi).企業(yè)風險管理與內(nèi)部控制關系探微.學術(shù)交流，2007(2)

（作者單位:西山煤電（集團）有限責任公司 山西太原 030053）

（責編:賈偉）