通信企業內部控制與風險管理研究

□文/馬 棟

（中國移動通信集團安徽有限公司安慶分公司 安徽·安慶）

［提要］信息化時代，通信企業在移動通信市場高速發展的同時，也面臨著5G技術變革帶來的激烈競爭、新興業務快速發展對全業務運營能力帶來的沖擊、產業鏈延伸帶來的信息安全挑戰等現實問題，對企業的內部控制和風險管理也提出更高的要求。在此背景下，通信企業若想實現低成本高效運營和高質量發展，迫切需要建立全面的內部控制與風險管理體系。本文著重在內部控制體系、風險防控機制、監督評價等方面分析通信企業面臨的問題和挑戰，并提出應對策略。

近年來，國資委以“強內控、防風險、促合規”為目標，多次針對加強企業內部控制體系建設與監督管理工作提出具體的要求，將內部控制體系建設與完善定位到央企實現高質量發展、強基固本、防范重大風險、培養世界一流企業的重要基礎。現如今，移動通信市場的電話普及率再創新高，運營商同質競爭也更加激烈，5G等新一代通信技術應用快速落地，DICT等新興業務蓬勃發展，通信企業所面臨的內外部環境呈現出巨大變化，對企業的內部控制和風險管理也提出更高的要求。

一、內部控制與風險管理概述

（一）內部控制和風險管理的定義。內部控制是一個到結果的管理過程，但并不是結果的本身，是指由董事會、管理層和全體員工共同實施的，旨在為達到經營效率和效果、確保財務報告的真實完整性、并遵循適當的外部監管規定等特定控制目標而提供合理保證的一個過程。企業的內部控制管理體系主要包括基本規范和配套指引兩部分的內容，在國內上市公司、央企及國有大中型企業均必須強制執行，建設一套高質量的內部控制管理體系，有助于提升企業內部治理水平和風險防控能力。

風險管理也是一個管理過程，是指由企業董事會、管理當局和員工共同實施，應用于戰略制定并貫穿于企業之中，目標是分析企業所面臨的各種不確定性，旨在識別將發生的可能會影響企業的各種潛在風險，并管理風險以使其被控制在企業可承受的范圍內，為企業發展目標的順利實現提供合理保證。風險管理應當涵蓋企業發展戰略風險管理、經營業務和項目風險管理、日常業務操作執行風險管理等方面的內容。

（二）內部控制與風險管理的關系

區別：內部控制作用于各個業務系統中，其通過設置控制環節和控制方式，主要是讓各個系統及關鍵環節能夠持續且穩定地發揮作用，以提高系統響應的可靠性；而風險管理工作側重于對實現企業目標可能產生影響的各種不確定性，進行有效的識別、分析和應對。

聯系：從企業整體來看，內部控制與風險管理都需要董事會、企業管理層和其他員工的共同參與，是為企業發展目標的實現提供合理保證的過程；內部控制與風險管理均為企業內部管理的一種重要工具，內部控制實際上屬于風險管理的范疇，是落實風險應對舉措的重要手段之一，企業內部控制管理體系的建設應堅持以風險為導向，內部控制管理的有效落實，也需要借助風險管理的技術和方法，防控風險是內部控制的歸宿。在企業的內部管理層面，內部控制和風險管理工作是一個協調統一的整體，總體目標是企業管理層充分運用風險管理的技術和內部控制理念，通過協調風險偏好與戰略的關系，強化風險識別與應對決策，減少經營過程中的意外損失，進而提高企業創造價值的能力。從風險管理角度出發來評估內部控制的重要性，則有利于管理層進行內部控制規范的優化，以恰當調集資源來應對風險，進而提升企業價值，推動企業健康可持續發展，最終實現企業價值的最大化。

二、通信企業內部控制與風險管理面臨的問題與挑戰

（一）內部控制體系建設尚不完善。在信息化高速發展的背景下，企業的管理方式也在持續深化向信息化的轉型，復雜變化的內外部控制環境，對通信企業內控與風險管理體系的建設帶來更大的挑戰。現今國家法律法規進一步健全，尤其是對大中型企業的外部監管更加嚴格。通信市場上，DICT等新興業務蓬勃發展，但企業的全業務運營能力依然存在短板。隨著產業鏈的不斷延伸，與第三方的合作日趨廣泛和深入，信息安全管理的難度日益增加。復雜變化的經濟業務事項，使得參與的崗位角色、信息系統和控制環節也越來越多，對業務發生的真實性、合規性進行控制和監督管理的難度也越來越大。然而，部分企業的內部控制建設仍存在問題，如面對復雜多變的業務模式，企業集團尚未能建立統一的內部控制管理體系，信息化管理支撐手段仍不健全，部分企業對于新模式、新業務的發展，未能及時優化內部控制制度和流程規范，致使內控體系不能有效支撐業務的穩定發展。部分企業內部控制制度的設計存有缺陷，或內部控制操作手冊和控制點執行要求未能及時刷新，未立足于企業現行管理制度和實務體系，導致內控要求與業務實際經營管理狀況不符。部分企業依然存在重業務發展指標、輕風險防控的現象，內部控制責任和風險防范意識淡薄，制約著企業內部治理水平的提升。

（二）重點領域和關鍵環節風險防控執行不到位。企業治理水平的不斷提升，離不開高質量的內部管理體系，特別是在一些重點業務領域和關鍵業務環節，其基礎管理和風險應對能力關系到企業的市場競爭力，直接影響到企業能否保持健康穩定的發展。目前，通信企業內部管理模式呈現高度集中化和信息化，雖統一了管理標準、提高了管理效率，但部分企業在重點領域和關鍵環節通常也可能隱藏了一些潛在的風險防控執行問題，如：部分企業在基礎網絡建設、新業務落地與發展等方面，對重大投資、重大項目、與供應商或第三方單位合作等涉及的決策事項未開展風險評估或風險評估不到位，重大風險防控機制缺失、重點業務制度約束力不強。部分企業合同管理存在未簽合同先實施、先簽合同后審批等不規范現象，合同基礎管理水平不足。部分企業資金管控基礎工作薄弱，存有出納同時兼任會計相關崗位職責的情況，未能嚴格落實資金不相容崗位相分離的原則，存在資金安全管理風險。

（三）內控風險管理缺乏有效的監督評價。對企業內部控制體系和風險管理機制的設計有效性和執行有效性及時開展監督和評價，可以合理保證企業順利地實現既定目標。然而，部分企業存在評估考核機制不健全，或尚未建立有效的重大風險責任追究機制，不利于管理層及時運用監督評價結果；部分企業的風險管控標準相對粗放，責任落實相對不明確，內部監督檢查也不到位，致使企業不能合理規避相關業務風險；部分企業在監督評價過程中所發現的問題，未被基層業務單元認真剖析或未能徹底整改落實，就會出現內部控制缺陷和業務管理風險點屢查屢犯的現象，致使企業經營管理現狀得不到有效改善。

三、通信企業內部控制與風險管理應對策略

（一）完善全面內控管理體系，增強風險防控意識。通信企業結合自身發展所面臨的內外部環境和挑戰，應當建立以風險為導向，覆蓋市場、生產、運維、職能管理等各業務領域和各流程的全面內控管理體系。一是需要自上而下確立一套統一的內部控制管理基本規范框架，能為企業內控操作執行手冊的細化、通信市場業務快速的發展變化和風險應對提供指引。二是結合現有的信息化系統，進一步提升內控風險管理的信息化支撐能力，進一步規范內控點設計的維護職責和流程，強化業財管理協同，集中和整合業財系統數據，實現業務流程、業務角色和控制責任的系統化管理，同時推動業務前端參與內控要求設計，將內控管理要求同步嵌入到業務前端系統，實現系統自動控制，逐步減少人工控制所存在的管理短板。三是進一步完善內部控制基本規范的配套執行手冊，其既是業務部門具體執行的主要標準，也是內外部審計的主要依據，要結合企業經營業務發展中的熱點和難點及崗位職責的變動情況，及時進行刷新、優化，并能對新模式、新業務和新系統的上線結合實際情況及時制定相應的流程規范，確保各業務流程和各管理環節均有據可依。四是內部控制體系的執行關鍵要落實到人，更需要企業各級人員的參與和配合，要以明確部門職責、落實主體責任為主線，強化員工風險防范意識和內控責任意識，使得企業管理層和全體員工對于內控風險管理的理解不斷加深，推動各單元自主進行內控風險的自我管理和監督，加快企業形成內部控制文化，促進公司內控管理能力不斷提升。

（二）健全重大風險防控機制，強化重點領域內控執行。企業要進一步完善風險防控機制，可以組織各層級、各部門參與到企業風險信息識別、風險應對措施制定的過程中去，聚焦高風險領域和管理熱點，搭建“全員、全過程、全體系”的風險管理防控機制，促進風險管理的各層防線能有效落地。在各基層業務單元執行層面，可以通過明確業務目標和執行要求，在業務開展時即有效預防風險。在以財務為主的風險管理委員會層面，要充分發揮大監督的作用，對各業務單元風險和控制體系設計有效性和執行有效性進行定期管理及風險評估。在內外部審計層面，要適時對企業內部控制和風險管理的合規性與有效性進行獨立審計。企業要特別將風險防控的理念融入重點業務流程和關鍵控制環節，并強化關鍵崗位和流程的授權管理與權力制衡，定期開展重點領域內控管理的執行分析，如聯合前端業務單元共同梳理評估新業務領域風險，以合理設計風險防控要求，推動內部控制要點融入到業務制度和操作規范，通過采用業務視角和業務語言，闡明控制流程和執行要求，逐步實現風險防控與業務發展的動態融合，確保內部控制制度和風險管理機制執行有效。

（三）優化內控風險分析模型，加強監督評價閉環管理。通信企業要充分發揮本行業的IT技術優勢，利用企業現有的信息化系統，整合業務端和財務端的信息數據，進一步推進內控風險管理信息平臺的建設，建立基于大數據的風險分析和預警模型，提升風險分析和防控效果。要定期全面實施企業自評，強化上級單位監督評價和內外部審計監督，要覆蓋公司層控制、業務流程執行層控制、信息化技術整體流程控制等，既要保證內部控制監督評價覆蓋的全面性，也要對高風險及管理難點、熱點問題進行重點審計和跟蹤，確保客觀、真實地反映企業管理中所存在的內控缺陷和風險問題。內控風險的監督評價還需強化閉環管理，要將評價結果及時反饋于內控設計和執行部門，倒推內部控制流程和執行內容持續優化，倒推相關業務管理制度持續完善；并將評價結果及時運用到責任追究和經營業績考核中，從而強化制度執行力，促進企業提升內部控制的管理能力，持續防范企業的管理風險。

四、結語

全面內控與風險管理體系建設是循序漸進和逐步完善的，持續提升內部控制和風險管理的能力，能夠推動企業實現高質量和可持續發展。不斷健全以風險為導向的全面內控與風險管理體系，可以更好地促進企業規范運營和高效管理，促使企業更好地遵循相關監管規定，合理保證財務報告的真實性和完整性，對于提升企業內部治理水平和風險防控能力，持續提升企業價值具有積極的作用。