中航工業內部控制體系與全面風險管理體系整合研究

一、問題的提出

我國建設與實施企業內控規范體系，是促進企業防范重大風險、實現可持續發展的必然要求。2012年5 月，國資委與財政部聯合下文，發布了《關于加快構建中央企業內部控制體系有關事項的通知》（國資發評價[2012]68號文），統一部署了中央企業推進內部控制體系建設工作。中航工業于 7月27日召開全面推進內部控制體系建設大會，對全面推進中航工業內部控制體系建設進行了動員部署。2012年8月，中國航空工業集團公司下發了《關于開展企業內部控制體系建設工作的指導意見有關要求》（航空財[2012]1169號），要求相關單位結合集團公司的發展戰略和本研究所的發展實際，全面深入開展內部控制體系建設。

其實早在2006年，我國國務院國資委就出臺了《中央企業全面風險管理指引》，對央企的全面風險管理提出了指導性的意見，也是國內其他企業實施全面風險管理的主要參照依據。2011年6月，中航工業召開全面風險管理體系建設工作啟動大會，標志著中航工業規劃建設全面風險管理體系建設工作正式啟動，公司將按照規劃建設全面風險管理的實施步驟，積極有序地開展公司的全面風險管理工作。

我國不同的政府監管部門都對風險管理和內部控制做出了法律規范說明，一方面反映出對內部控制的重視程度達到了前所未有的高度，但另一方面，也反映出其中還有不協調的地方。究竟內部控制和風險管理究竟是什么關系？能不能整合？怎樣整合？這些問題不搞清楚，不僅影響因體系建設思路不清造成重復工作與浪費資源，更有甚者會因為概念不清導致相關工作無所適從。在筆者看來，內部控制與風險管理是統一的。筆者認為在風險管理和內部控制體系建設中可以整合進行，構建統一的全面風險管理體系，以避免概念重疊，浪費資源。

二、兩個體系整合的理論基礎——內部控制與風險管理的融合

（一）整合的必要性

關于內部控制與風險管理的關系，目前理論界存在分歧：第一種觀點是風險管理包含內部控制，COSO 委員會于 2004 年發表的《企業風險管理——整合框架》認為，內部控制是企業風險管理不可分割的一部分；第二種觀點認為內部控制包含風險管理，1998年亞洲相互協作與信任措施會議（CICA）認為，風險管理包含于內部控制之中，在闡明了風險管理與控制的關系時指出：“當您在抓住機會和管理風險時，您也正在實施控制。”另外，加拿大 COCO 報告（1995）認為，風險評估與風險管理是控制的關鍵要素；第三種觀點認為內部控制就是風險管理，Matthew Leitch（2004）認為，從理論上講，風險管理系統與內部控制系統沒有差異，這兩個概念的外延變得越來越廣，正在變為同一事物，國際風險管理協會認為，“風險管理系統與內部控制系統并沒有原則性的區別，風險管理與內部控制正在趨同。”

國內內部控制與風險管理概念和規范并存，內部控制的主要依據是財政部、證監會、審計署、銀監會、保監會 2008年聯合發布的《企業內部控制基本規范》與2010年的《企業內部控制基本規范配套指引》；風險管理的依據則是國資委2006年出臺的《中央企業全面風險管理指引》，兩種理論“各自為政”，既在一定程度上相互重疊、相互協調，又在一定程度上相互獨立、相互矛盾，可能導致對同一問題有不同的規范或者出現監督真空，阻礙了三者在理論上的發展與實務中的應用。如果能將內部控制與風險管理兩者進行融合，則可以解決上述問題。內部控制和風險管理都是源于企業風險的存在而產生的，二者的目的都是為了進行風險控制，根據成本效益原則，在實務中就沒有必要設置兩個部門來進行分別管理，而應該從他們的共同點入手進行整合，在確保企業目標有效完成的情況下使成本降到最低。

（二）整合的可行性——內部控制和風險管理本質上的統一性

COSO—ERM（1992年稱為內部控制整體框架，在2004年稱為風險管理整合框架，并非是本質內容發生了重大變化，而是更加關注風險，更加強調為企業發展戰略服務的控制目標）是COSO委員會繼“內部控制—整體框架”（即COSO報告）后又起草的一個關于企業風險管理的標準框架。在ERM中，企業風險管理是一個過程，受組織的董事會、管理層和其他人員影響，風險管理應用于戰略制定，貫穿整個企業。企業風險管理旨在識別影響組織的潛在事件，在組織的風險范圍內管理風險，為組織目標的實現提供合理的保證。風險管理系統的構成要素包括：內部環境、目標設定、事項識別、風險評估、風險應對、控制活動、信息與溝通、監督。而內部控制是由企業董事會、監事會、經理層和全體員工實施的、旨在實現控制目標的過程。內部控制由內部環境、風險評估、控制活動、信息與溝通和內部監督等五要素構成（該表述是《企業內部控制基本規范》中關于內部控制的定義）。風險評估由目標設定、風險識別、風險分析和風險應對構成。

從上述對內部控制與風險管理的相互關系的討論來看，這兩者是密不可分的，兩者是統一的。其統一性首先表現為兩者都是為了控制企業的風險，以保證企業目標的最終實現，風險控制的出發點和落腳點在于實現企業目標；統一性還表現在ERM框架中八要素包含內部控制五要素并有所擴展，從新增加的要素中可以看出，風險管理更加重視對風險的控制，它從企業戰略角度出發，運用風險組合的觀念對企業的風險進行識別、評估，為企業目標的實現提供了更為合理的保證。

（三）整合的結果——構建基于“《中央企業全面風險管理指引》+《企業內部控制規范》”的全面風險管理體系

《企業內部控制規范》（包括《企業內部控制基本規范》和《配套指引》）確立的是內部控制的五要素，但吸收了ERM八要素的全部成分，與世界領先的內部控制框架在所有主要方面保持了一致。《企業內部控制規范》的發布，為我國企業內部控制與風險管理的融合創造了契機，新規范對于風險的關注為內部控制與風險管理的融合提供了基礎——風險控制。《企業內部控制基本規范》及《配套指引》具有權威性、科學性、針對性和操作性，是上市公司和非上市大中型企業學習貫徹企業內部控制規范體系的工具，必將對我國企業建立以風險管理為導向的內部控制規范體系發揮重要作用。然而目前《企業內部控制基本規范》及《配套指引》規范的內容主要集中在業務流程層面，風險評估的內容還有待進一步完善。值得欣慰的是《中央企業全面風險管理指引》對企業全面風險管理提出了較為系統的要求，特別在風險評估的方法和工具方面比較具體。因此，筆者認為中航工業的內部控制體系建設一定是以全面風險管理為導向的內部控制體系建設，他們具有統一性。在具體實踐中，考慮到建設依據的操作性，可以結合《企業內部控制基本規范》及《配套指引》與《中央企業全面風險管理指引》的特點，相互補充，構建基于《企業內部控制規范》+《中央企業全面風險管理指引》的全面風險管理體系。

三、中航工業整合的全面風險管理體系建設中應注意的問題

（一）統籌規劃，循序漸進，分步實施

以全面風險管理為導向的內部控制體系建設是一項系統工程，非一朝一夕之功。各單位要以開展管理提升活動為契機，以提高經營效率和效果為目標，以風險管理為導向，以相關的法律法規和規章制度為參考依據，以梳理流程為基礎，以財務內部控制為切入點，以關鍵控制活動為重點的工作開展原則，制定風險管理體系建設實施方案或持續改進計劃，來明確總體建設目標和分階段任務。

（二）注重內部環境建設，完善公司治理

企業所處的生產經營環境包括內部環境和外部環境。內部環境是內部控制與風險管理進行整合的重要因素。公司治理是內部控制制度設計、運行的制度環境，也是管理層超越內部控制的重要約束機制。許多單位的董事長與總經理由一人擔任，董事會與經理層是“一套人馬，兩塊牌子”，導致對公司治理層面的風險缺乏關注。另外，由于國有資產所有者缺位問題的存在，由管理層實際控制企業，出現了較為嚴重的“內部人控制”現象。中航工業應加強公司治理建設，使股東、董事會和管理層相互制衡，防止管理層超越內部控制。

（三）充分利用信息化手段進行風險管理

信息系統和信息技術應用不僅僅可能帶來新的風險，另一方面，也能夠幫助我們控制風險。信息系統可以讓我們盡快地掌握企業各個環節的風險苗頭，通過網絡將風險數據收集在一起，進行綜合分析和數據挖掘。這樣的工具對于企業經營者的感知和決策是非常重要的。在關鍵時刻，甚至于可以說是生死攸關的。信息系統不僅可以成為一個風險監控系統，也同樣可以成為一個風險應對與響應的支撐工具和平臺。

參考文獻：

[1] 財政部會計司.企業內部控制規范講解2010[M].北京：經濟科學出版社，2010.

[2] 國務院國有資產監督管理委員會.中央企業全面風險管理指引[Z].2006.

[3] 孟慶祥.企業內部控制與風險管理的融合[J].管理工程師，2012，（6）.

[4] 張桂玲.基于“大”風險管理的內部控制研究[J].會計之友（下旬刊），2009，（2）.

基金項目：航空科學基金項目（2010ZG55024），航空科學基金項目（2010ZG55029）階段性研究成果

作者簡介：楊錄強（1974—），男，河南新鄉人，副教授，碩士研究生，從事審計理論與實務研究。

（鄭州航空工業管理學院會計學院）

（責任編輯：李曉群）