談企業(yè)內(nèi)部控制
——基于風險管理視角

許巧珍

（濟源市公路管理局，河南 濟源 459000）

一、風險管理和內(nèi)部控制概述

（一）風險管理的含義和作用

1.風險管理的含義

風險管理是企業(yè)為降低或抑減經(jīng)營活動過程中給企業(yè)帶來損失或增加成本的意外事件發(fā)生的可能性，而進行的由決策層、管理層和其他人員共同參與的經(jīng)濟活動管理過程。

2.風險管理的作用

（1）能有效保證企業(yè)穩(wěn)定的生產(chǎn)經(jīng)營環(huán)境

良好的風險管理，不僅能使企業(yè)針對自身發(fā)展實際，清醒認識風險發(fā)生的重要環(huán)節(jié)和可能性，增強識別潛在事件的能力，而且促使企業(yè)積極通過選擇規(guī)避、分擔、降低等風險應對方案，抑減企業(yè)經(jīng)營意外和損失的發(fā)生，減少風險發(fā)生給企業(yè)帶來的災害，保證企業(yè)擁有一個安全穩(wěn)定的生產(chǎn)經(jīng)營環(huán)境，順利實現(xiàn)企業(yè)的各項生產(chǎn)經(jīng)營目標。

（2）能有效降低企業(yè)成本并提高經(jīng)濟效益

一方面，可以通過風險控制降低風險發(fā)生的概率或減輕風險事件發(fā)生的損失，從而最終避免增加企業(yè)的管理和生產(chǎn)成本；另一方面，可以對實施的項目綜合進行風險預測和評估，對下一步極可能會出現(xiàn)不利發(fā)展的風險項目，及時調(diào)整對其資金投入，從而避免企業(yè)損失的進一步加大；再一方面，企業(yè)還可以通過風險轉(zhuǎn)移將風險帶給企業(yè)的損失能有效得到補償，通過風險對沖將風險帶給企業(yè)的影響相互抵消。最終通過不同的風險應對策略，有效降低企業(yè)成本，從而提高企業(yè)的經(jīng)濟效益。

（二）內(nèi)部控制的含義和作用

1.內(nèi)部控制的含義

內(nèi)部控制是企業(yè)從決策層、管理層到全體員工共同參與和實施的，通過一定的制度和實施程序，對企業(yè)各項經(jīng)濟活動面臨的風險進行防范和控制的過程。

2.內(nèi)部控制的作用

（1）規(guī)范企業(yè)內(nèi)部的經(jīng)濟業(yè)務活動

由于企業(yè)內(nèi)部控制涵蓋了企業(yè)的各項經(jīng)濟業(yè)務活動，對涉及的不管是單位層面還是業(yè)務層面，一是針對性地建立內(nèi)部控制管理制度，促使當事人在操作和執(zhí)行環(huán)節(jié)嚴格按規(guī)程辦事，從而規(guī)范其具體操作行為，減少執(zhí)行差異率；二是明確的崗位職責分工，可以避免當事人在履行崗位職責時因責任劃分不清而推諉扯皮影響工作進度和效率；三是通過內(nèi)部控制評價環(huán)節(jié)，可以對企業(yè)的各項經(jīng)濟活動運行狀態(tài)中存在的非正常和不良現(xiàn)象進行篩查，發(fā)現(xiàn)內(nèi)部控制缺陷，找出內(nèi)部控制漏洞，最終規(guī)范企業(yè)內(nèi)部的經(jīng)濟業(yè)務活動。

（2）強化對企業(yè)內(nèi)部權(quán)利運行的制約

由于按照內(nèi)部控制規(guī)程，要求科學設置內(nèi)設機構(gòu)、管理層級、崗位職責權(quán)限、權(quán)利運行規(guī)程，切實做到分事行權(quán)、分崗設權(quán)、分級授權(quán)，并定期輪崗，以滿足企業(yè)決策、執(zhí)行、監(jiān)督相互分離、相互制衡的要求，從而避免由于權(quán)利過分集中，發(fā)生內(nèi)部權(quán)利濫用，以致發(fā)生舞弊和違法違紀行為，給企業(yè)帶來重大損失。

（3）提升企業(yè)防范風險能力

加強企業(yè)內(nèi)部控制，要求企業(yè)要全面梳理業(yè)務流程，明確各個業(yè)務環(huán)節(jié)，分析各環(huán)節(jié)的風險隱患，找出關(guān)鍵控制點，在一定程度上將風險管理關(guān)口前移，使企業(yè)能提前針對風險管理薄弱環(huán)節(jié)及早制定有效的防范控制措施，堵塞風險管理漏洞，從而降低風險發(fā)生的概率，甚至避免風險事件的發(fā)生，在一定程度上可以提升企業(yè)防范風險的能力。

（三）風險管理和內(nèi)部控制的關(guān)系

1.二者目標方向一致

加強內(nèi)部控制，是為了使內(nèi)部經(jīng)濟活動流程盡可能規(guī)范、順暢、良好運行，降低或減少風險發(fā)生的可能性，促進企業(yè)順利實現(xiàn)經(jīng)營管理目標；而風險管理，是對影響企業(yè)實現(xiàn)戰(zhàn)略與經(jīng)營目標過程中可能帶來損失的不確定因素進行化解或抑減。二者都是為了幫助企業(yè)經(jīng)營管理目標能順利實現(xiàn)，因此目標方向一致。

2.二者涉及范圍、參與人員一致

風險管理涉及企業(yè)管理的各項活動、各個環(huán)節(jié)，并且風險管理從制定、實施到整體制度運行，涉及企業(yè)決策層、管理層到全體員工在內(nèi)的所有人員。內(nèi)部控制設計和實施包括了企業(yè)管理的所有經(jīng)濟活動，細化到各個層面和環(huán)節(jié)，要求企業(yè)從上到下各個部門和所有員工人人參與。因此可以說二者涉及范圍、參與人員具有高度一致性。

3.二者相互影響、相輔相成

風險管理是對企業(yè)各個工作環(huán)節(jié)面對的風險進行科學有效的管理和控制，但具體的實施必須通過內(nèi)部控制來協(xié)助實現(xiàn)，即不同的風險應對策略必須對應不同的內(nèi)部控制措施，要提高風險管理水平，必須從內(nèi)部控制入手。而內(nèi)部控制程度的高低和內(nèi)部控制的好壞，又直接決定了風險發(fā)生的可能性大小和輕重程度。因此，二者之間相互影響、相互促進，并且相輔相成。

二、基于風險管理視角的內(nèi)部控制策略

由于風險管理和內(nèi)部控制具有相同的目標，并且都貫穿于企業(yè)管理的全過程，涉及企業(yè)的各個層級和業(yè)務單元，都需要企業(yè)治理層、管理層和所有員工的參與，因此根據(jù)風險管理的決策機構(gòu)、職能機構(gòu)、業(yè)務部門以及審計監(jiān)管部門，在企業(yè)組織架構(gòu)上建立三道風險管理防線，結(jié)合內(nèi)部控制要求，建立適合本單位實際情況的內(nèi)部控制體系，充分發(fā)揮他們在加強風險管理和內(nèi)部控制方面各自應有的作用，可以有效促進企業(yè)經(jīng)濟價值的順利實現(xiàn)。

（一）以相關(guān)職能部門和業(yè)務單位為第一道防線

由于各部門員工是最先與風險源接觸的群體，他們對具體業(yè)務操作的正確性和恰當性，決定了單位所面臨的風險程度。他們在日常業(yè)務中負有及時識別、上報與初步管理風險的職責，是事前控制風險的關(guān)鍵。因此，必須加強對他們的管理。具體措施為：

1.明確建立崗位責任與制衡制度

嚴格按照崗位責任進行明確分工，劃分職責權(quán)限，對易發(fā)生危害企業(yè)行為的崗位采取制衡機制，避免不相容職務由一人擔任或負責引起錯誤和舞弊行為發(fā)生，盡早將風險扼殺在萌芽狀態(tài)。

2.加強內(nèi)部控制關(guān)鍵崗位工作人員業(yè)務培訓和職業(yè)道德教育

內(nèi)部控制關(guān)鍵崗位的工作人員的具體行為，嚴重影響著該崗位所涉及的業(yè)務的方方面面，因此，加強業(yè)務上和職業(yè)道德培訓教育顯得尤為重要。通過培訓學習，使他們具備與其工作崗位相適應的資格和能力，避免因思想認識欠缺、能力不足或操作水平低下造成風險隱患。

3.強化內(nèi)部控制關(guān)鍵崗位人員風險管理意識和技能

一方面，嚴格要求內(nèi)部控制關(guān)鍵崗位人員必須重視風險管理的重要性，正確、充分認識內(nèi)控不嚴造成的嚴重風險后果，對風險管理具有高度的管控意識和自覺性，明確自己在內(nèi)部控制實施過程中控制風險的責任，克服僥幸和麻痹心理，杜絕違規(guī)操作，遏制冒險行為。另一方面，加強內(nèi)部控制關(guān)鍵崗位人員風險管理方面的培訓學習，使之充分了解單位戰(zhàn)略目標及可能影響單位達標的風險，能準確快速識別風險類別，掌握當前內(nèi)部控制措施的效度，協(xié)助完成風險的分析和評估，實施決定轉(zhuǎn)移、避免或降低風險的策略。

（二）以風險管理部門和董事會風險管理委員會為第二道防線

他們主要負責領(lǐng)導和協(xié)助單位內(nèi)部各部門在風險管理方面的工作，并對風險管理工作進行統(tǒng)籌組織、協(xié)調(diào)與規(guī)劃，對第一道防線的風險管理工作、內(nèi)部控制開展情況進行實時監(jiān)控。其主要職責包括：

1.建立健全規(guī)章制度

規(guī)章制度是企業(yè)各項經(jīng)濟業(yè)務活動正確開展的依據(jù)和規(guī)程，風險管理部門和董事會風險管理委員會必須針對企業(yè)各項活動的各個環(huán)節(jié)，充分考慮各種風險存在的可能性，參與制定控制或降低風險的規(guī)章制度，尤其是建立健全風險監(jiān)測及預警管理制度。列示存在風險的可能性、類別、發(fā)生程度、控制方式等，保證對風險信息動態(tài)持續(xù)跟蹤和把握。并加強對單位職工的風險管理理念教育，和風險知識方面的培訓學習。主要針對國家相關(guān)政策、單位內(nèi)部控制制度，以及本單位擬實現(xiàn)的目標和采取的措施、各部門及其人員在內(nèi)部控制實施過程中的責任，和風險管理政策、風險管理行動方案、風險應急處理措施等內(nèi)容進行專題培訓學習。

2.開展內(nèi)部控制風險評估

風險管理部門和董事會風險管理委員會要站在單位整體利益角度，考察單位各個項目和活動的風險，開展內(nèi)部控制風險評估。綜合合本單位的業(yè)務特點和實際情況，立足于企業(yè)內(nèi)部控制要求，對風險易發(fā)高發(fā)點進行重點評估，根據(jù)風險形成的規(guī)律和頻率進行定期或不定期評估。最后根據(jù)風險管理效果對各職能部門進行考核和獎懲。

（三）以內(nèi)部審計部門和董事會審計委員會為第三道防線

內(nèi)部審計部門和董事會審計委員會主要對第一、第二道防線部門的工作進行監(jiān)督和審計，對內(nèi)部控制系統(tǒng)的建立、運行和結(jié)果，檢查測試是否存在缺陷，并對缺陷進行認定和評價。一般對經(jīng)營管理者進行經(jīng)濟責任審計，對企業(yè)信息系統(tǒng)有效性進行審計，對企業(yè)財務報表進行審計等。因此，必須保證他們的機構(gòu)設置、人員配備和工作的獨立性，使他們能真正站立在客觀、公正的角度，去審查、監(jiān)控和評價企業(yè)內(nèi)部控制的設計和運行的有效性。一般采取調(diào)查問卷法、穿行測試法、抽樣實地查驗法 、比較分析法、專題討論法等系統(tǒng)的評價方法，從單位層面和業(yè)務層面的各項評價指標和評價要點上，進行量化評價。最終通過評價結(jié)果，為企業(yè)找出內(nèi)部控制薄弱環(huán)節(jié)，以及風險管控漏洞和重大風險管理缺陷，從而改進企業(yè)的風險管理、控制和治理流程效益，改善企業(yè)的經(jīng)營和增加企業(yè)價值，幫助企業(yè)實現(xiàn)經(jīng)營目標。

三、結(jié)語

企業(yè)通過組織架構(gòu)設立的三道風險管理防線，分別從風險的事前、事中、事后三個階段，對風險的管控進行了屏障設置。由于企業(yè)的最大風險承受度是由董事會來確定的，最后企業(yè)高層必須統(tǒng)籌管理和監(jiān)督三道防線的有效運行，對企業(yè)內(nèi)部控制的建立健全和有效實施負責，并且建立起企業(yè)高層相互制衡的機制，最終使企業(yè)的風險管理與內(nèi)部控制有效整合，在共同防范控制企業(yè)風險，促進企業(yè)目標實現(xiàn)上，發(fā)揮出巨大的協(xié)同效應。