基于ERM框架下內(nèi)部控制體系的構(gòu)建

曹倩

摘 要：隨著金融改革的不斷深化，金融業(yè)面臨的內(nèi)外部環(huán)境愈加復(fù)雜，風險管控面臨嚴峻的挑戰(zhàn)。近年來，中國華電集團財務(wù)有限公司（以下簡稱“華電財務(wù)”或“公司”）作為一家全國性非銀行金融機構(gòu)，不斷適應(yīng)復(fù)雜多變的內(nèi)外部經(jīng)營形勢，學(xué)習(xí)借鑒國際先進的COSO框架和COSO-ERM框架，積極探索構(gòu)建以風險為導(dǎo)向的內(nèi)部控制體系，努力打造集團金融風險防控中心，保證了公司的持續(xù)健康發(fā)展。

關(guān)鍵詞：COSO框架 ERM框架 內(nèi)控 風險管理

中圖分類號：F231.6 文獻標識碼：A

文章編號：1004-4914（2016）10-111-02

一、COSO框架、ERM框架和《企業(yè)內(nèi)部控制基本規(guī)范》介紹

（一）COSO框架和ERM框架

1992年9月美國COSO發(fā)布《內(nèi)部控制——整合框架》，并于1994年進行了完善，COSO框架是目前國際上認同度最高和最權(quán)威的內(nèi)部控制概念框架。自COSO框架發(fā)布以來，已被世界上許多企業(yè)采用，但是隨著實踐的發(fā)展，理論界和實務(wù)界紛紛提出COSO框架的建立應(yīng)與企業(yè)的風險管理相結(jié)合。2004年9月，COSO發(fā)布了《企業(yè)風險管理——整合框架》（簡稱《ERM框架》），新的框架是在1992年COSO框架的基礎(chǔ)上，結(jié)合《SOX法案》在報告方面的要求，將構(gòu)成要素擴展至八個要素，具體對比如下：

與COSO框架相比，ERM框架更為廣泛，無論在內(nèi)容還是范圍上都有所擴大和提高，引入了風險管理的理念，拓展和細化了內(nèi)部控制，形成了一個更全面、更強有力的風險整合系統(tǒng)。

（二）《企業(yè)內(nèi)部控制基本規(guī)范》

為了規(guī)范國有企業(yè)內(nèi)部控制建設(shè)，五部委在2008年聯(lián)合發(fā)布《企業(yè)內(nèi)部控制基本規(guī)范》（以下簡稱“規(guī)范”）以及一些配套指引。規(guī)范及配套指引的發(fā)布，標志著我國內(nèi)部控制規(guī)范體系的基本形成，是我們內(nèi)控體系建設(shè)的里程碑，對加強和規(guī)范國內(nèi)企業(yè)內(nèi)部控制，提高企業(yè)經(jīng)營管理水平和風險防范能力，促進企業(yè)可持續(xù)發(fā)展，維護社會主義市場經(jīng)濟秩序和社會公眾利益具有重要意義。這些都充分表明國家對內(nèi)部控制和風險管理的高度重視，在日益發(fā)達的市場經(jīng)濟環(huán)境中，在利率市場化的大背景下，風險無處不在、無時不在，企業(yè)只有建立了健全的內(nèi)部控制體系，才能實現(xiàn)企業(yè)的持續(xù)穩(wěn)健經(jīng)營，才能安全抵達美好愿景的彼岸。

二、構(gòu)建ERM框架下的內(nèi)部控制體系

財務(wù)公司作為集團的風險管控中心、資金集中管理中心，在集團發(fā)展戰(zhàn)略中起著雙重作用，既要對內(nèi)培育和完善企業(yè)集團的內(nèi)部“金融市場”，又要實現(xiàn)盈利目標保障公司持續(xù)性發(fā)展。因此，財務(wù)公司開展內(nèi)部控制體系建設(shè)，既是深入貫徹上級要求，保障集團公司持續(xù)健康發(fā)展的重大舉措，也是財務(wù)公司應(yīng)對復(fù)雜經(jīng)濟環(huán)境，提升企業(yè)管理水平的內(nèi)在需要。

2012年12月，公司作為集團公司內(nèi)部控制體系建設(shè)試點單位之一，按照《中國華電集團公司內(nèi)部控制與全面風險管理建設(shè)指導(dǎo)意見》相關(guān)要求，正式啟動內(nèi)部控制體系建設(shè)工作。華電財務(wù)公司通過深入研究國際先進的COSO、COSO-ERM、BASELⅢ的內(nèi)部控制理論，結(jié)合自身實際確立了以控制環(huán)境為前提、以風險評估為基礎(chǔ)、以控制活動為主體、以持續(xù)監(jiān)督為手段、以信息溝通為保障的內(nèi)控總體框架，之后不斷進行完善。內(nèi)控框架如下圖1所示：

公司內(nèi)部控制體系各要素基本內(nèi)涵和主要做法包括以下幾個方面：

（一）培育依法合規(guī)、全員參與的內(nèi)部控制環(huán)境

內(nèi)部環(huán)境是企業(yè)實施內(nèi)部控制的基礎(chǔ)，一般包括治理結(jié)構(gòu)、機構(gòu)設(shè)置及權(quán)責分配、內(nèi)部審計、人力資源政策、企業(yè)文化等，如果沒有內(nèi)控環(huán)境的保證，設(shè)計得再完美的內(nèi)部控制制度、機制也只是“鏡中花，水中月”，發(fā)揮不出應(yīng)有的作用。公司高度重視培育企業(yè)文化，將內(nèi)控文化融入到公司的“金帆文化”中去，公司優(yōu)秀的企業(yè)文化促進了董事、監(jiān)事、高級管理人員和全體員工的思想和意志的統(tǒng)一，激發(fā)了全體員工的潛力和熱情，紛紛積極投入到內(nèi)控體系建設(shè)中去，全體員工都成為了風險的監(jiān)控者、管理者，使內(nèi)控真正“內(nèi)化于心，固化于制，外化于行”。

（二）建立全方位、全過程的風險管理體系

華電財務(wù)根據(jù)ERM框架拓展了風險評估的內(nèi)容，將風險管理過程分為目標設(shè)定、風險識別、風險分析、風險應(yīng)對四個步驟，將公司的管理重心更多地向風險管理轉(zhuǎn)移，四個要素環(huán)環(huán)相扣，共同構(gòu)成了風險管理的完整過程。

1.目標設(shè)定：風險管理目標是公司進行風險管理的起點，只有設(shè)定了正確、清晰的目標才能保證公司的戰(zhàn)略航向不發(fā)生偏離。為此，公司每年根據(jù)實際情況，通過研判集團、公司戰(zhàn)略、利益相關(guān)方訴求等確定公司的總體風險偏好管理策略，作為公司風險管理的統(tǒng)領(lǐng)性文件。

2.風險識別：風險識別是風險分析的基礎(chǔ)，風險識別是否全面、深刻直接影響風險分析的質(zhì)量，進而影響風險管理目標能否實現(xiàn)。華電財務(wù)從實際出發(fā)，全面解構(gòu)公司風險，建立風險數(shù)據(jù)庫，按照戰(zhàn)略風險、合規(guī)風險、信用風險、市場風險、流動性風險和操作風險等分類建立控制規(guī)范和底層風險數(shù)據(jù)，通過對各類風險的識別、評估、分析，制定《風險數(shù)據(jù)庫管理辦法》，形成風險數(shù)據(jù)的收集與分析、處理與反饋、更新及維護的動態(tài)化運行機制。

3.風險分析。明確風險發(fā)生的可能行和影響程度是風險分析的兩大核心任務(wù)，華電財務(wù)根據(jù)風險發(fā)生的可能性將風險分為高、中、低三種情況，將風險對目標的影響程度分為重大風險、重要風險、一般風險三級。根據(jù)風險發(fā)生的可能性和影響程度繪制風險坐標圖，如圖所示：

其中，A區(qū)域是低風險區(qū)域；B區(qū)域是中風險領(lǐng)域；C區(qū)域是高風險領(lǐng)域。公司選擇承擔A區(qū)域的各項風險且不再增加控制措施；嚴格控制B區(qū)域的各項風險且專門補充各項控制措施；確保規(guī)避和轉(zhuǎn)移C區(qū)域中的各項風險且優(yōu)先安排實施各項防范措施。公司編制了覆蓋公司全業(yè)務(wù)流程的內(nèi)部控制矩陣，根據(jù)風險控制點的重要性程度將風險設(shè)為高、中、低三個級別，針對不同級別的風險確定不同的評價頻率，對于內(nèi)控評價發(fā)現(xiàn)的風險，根據(jù)其所在的風險區(qū)域分析風險發(fā)生的情況、原因、整改措施等，確保將有效的管理資源用在關(guān)鍵風險點管控之處。

4.風險應(yīng)對。風險應(yīng)對是指企業(yè)根據(jù)風險識別和分析的結(jié)果，結(jié)合自身的風險承受度和風險偏好，確定風險管理策略，制定風險解決方案，進而把風險控制在風險承受度范圍之內(nèi)，以實現(xiàn)企業(yè)風險管理目標的過程。華電財務(wù)的風險應(yīng)對目標與公司的戰(zhàn)略目標保持一致，通過采用專業(yè)的風險計量方法，將定性和定量相結(jié)合，匡算出公司總體的風險資本，分別確定了公司總的風險管理策略和各類風險的風險容忍度、風險限額、風險管理策略，通過風險規(guī)避、風險降低、風險轉(zhuǎn)移以及風險承受等方式達到公司風險—收益的平衡。

（三）設(shè)置崗位清晰、權(quán)責分明的內(nèi)部控制措施

良好的內(nèi)部控制措施是保障公司內(nèi)部控制體系順利運行的重要保障，華電財務(wù)在全公司范圍內(nèi)設(shè)計并實施了相應(yīng)的內(nèi)部控制措施，確保所有的業(yè)務(wù)運行規(guī)范可控。針對所有業(yè)務(wù)流程繪制崗位職責不相容矩陣圖，通過不相容職務(wù)分離、計算機信息技術(shù)和輪崗等手段確保形成各司其職、各負其責、相互制約的工作機制；公司為了避免出現(xiàn)“一支筆”制度和盲目授權(quán)，制定了《授權(quán)管理辦法》及各項具體業(yè)務(wù)制度，對業(yè)務(wù)的辦理實行逐級有限授權(quán)，對于重大的業(yè)務(wù)和事項實行集體決策審批或者聯(lián)簽制度，要求任何個人不得單獨進行決策或者擅自改變集體決策。

（四）建立順暢、有效的信息交流與反饋機制

信息與溝通是指企業(yè)及時、準確、完整收集整理與企業(yè)經(jīng)營管理相關(guān)的各種內(nèi)外部信息，并借助信息技術(shù)，促使這些信息以簽單的方式在企業(yè)各個層級之間進行及時傳遞、有效溝通和正確使用的過程。在制度上，華電財務(wù)建立信息與溝通的相關(guān)制度，確保董事會、監(jiān)事會、高級管理層及時全面了解公司的經(jīng)營管理、財務(wù)、經(jīng)營合規(guī)性及風險狀況，明確內(nèi)部控制相關(guān)信息的收集、處理和傳遞程序，確保信息及時溝通，促進內(nèi)部控制有效運行；在系統(tǒng)上，建立“信息共享平臺”，及時發(fā)布公司各個層面的信息和數(shù)據(jù)，確保公司信息傳遞及時、準確、有效。

（五）構(gòu)建內(nèi)控評價、內(nèi)部審計與紀檢監(jiān)察相結(jié)合的內(nèi)部監(jiān)督體系

內(nèi)部監(jiān)督是企業(yè)內(nèi)部控制得以有效實施的機制保障，在內(nèi)部控制構(gòu)成要素中，具有十分重要的作用。華電財務(wù)內(nèi)部監(jiān)督體系分為：內(nèi)部控制評價體系、內(nèi)部審計體系、紀檢監(jiān)察體系。公司定期開展內(nèi)控日常評價和年終評價，采取各部門自評價和風險部門再評價的方式，風險部最終出具內(nèi)控評價報告，編制《內(nèi)控待完善事項匯總表》，列明完善標準、完善期限，責任具體到部門，定期由風險部門進行督促跟蹤，確保內(nèi)控評價成果的落地；將內(nèi)部審計監(jiān)督職能與內(nèi)控有機結(jié)合起來，將公司內(nèi)部審計發(fā)現(xiàn)問題納入到公司內(nèi)控評價整改事項中去，實現(xiàn)了內(nèi)控與內(nèi)審的資源共享、相融共生；公司配備了專職的紀檢組長，設(shè)立了紀檢辦公室，配備了相應(yīng)的紀檢監(jiān)察人員，并定期對紀檢監(jiān)察人員進行培訓(xùn)。

三、結(jié)束語

“有控則正、無控則亂、得控則強、失控則弱”，公司通過建立以企業(yè)風險管理為導(dǎo)向的內(nèi)部控制體系，有效防范了風險，保障了公司的持續(xù)穩(wěn)健經(jīng)營。隨著內(nèi)外部環(huán)境的不斷變化，公司只有樹立牢固的風險防范意識，不斷總結(jié)內(nèi)控建設(shè)過程中的經(jīng)驗和教訓(xùn)，堅持與時俱進，不斷改進創(chuàng)新，才能不斷完善內(nèi)部控制體系，才能在日益激烈的市場競爭中立于不敗之地，才能為集團公司提質(zhì)增效、轉(zhuǎn)型升級，建成“三化一流”能源集團作出應(yīng)有的貢獻。

參考文獻：

[1] 池國華，朱榮著.內(nèi)部控制與風險管理[M].中國人民大學(xué)出版社，2015

[2] 張麗瓊.一種基于COSO框架的內(nèi)部控制體系建設(shè)方法[J].中國管理信息化，2011（12）

（作者單位：中國華電集團財務(wù)公司 北京 100031）

（責編：玉山）