企業內部控制與風險管理探析

鄧寶金 山東方亞新能源集團有限公司

引言

現代企業在運營發展過程中，會面臨不同類型的風險因素，這就需要管理者重視風險管理及內部控制工作，在遵循科學性與有效性原則下，建立健全內部管理機制，從而迅速建立競爭優勢與競爭地位。從企業管理體系來看，內部控制、風險管理占據著核心的位置，是將風險概率及損失程度降至最小化的有效途徑。需要說明的是，風險是客觀存在的事實，是無法全面消除的，我們只能通過規避、轉移等手段來降低風險發生的概率、減少風險造成的損失。通過對前人研究成果的梳理，我們可以確定，風險管理、內部控制兩者相輔相成、相互影響，但又存在部分差異。為了進一步深入剖析，識別其差異成因以及具體表現，筆者將結合框架報告展開全方位的剖析。

一、內部控制與風險管理的定義

（一）內部控制的定義

內部控制是企業管理制度的重要組成部分，其初衷就是保證企業運營系統的穩定性與安全性，即圍繞企業發展目標與實際情況，制定科學有效的管控措施，保證目標的順利實現。在此過程中，還需要對內外部要素進行通盤考慮，強調全員共同參與，全過程管理。內部控制并非一成不變的，是根據內外部環境的改變而不斷調整，保證內部控制體系與企業運營系統達到最大匹配。

（二）風險管理的定義

風險是無處不在的，遍布于企業運營發展的各個領域、各個環節。風險的出現，會造成企業實際發展與預期目標出現嚴重偏差，最終可能導致經濟損失、信譽損失等。風險管理是對風險進行識別、分析、評估、預防、管控、補救等一系列行為的綜合表現。風險管理注重事前、事中、事后三大環節，旨為全面識別風險因素、精準判定風險權重、科學制定風控措施、最大程度降低風險發生的概率及造成的損失。

二、內部控制與風險管理之間的關系

內部控制、風險管理兩者存在緊密的聯系。其實，從傳統管理學的角度來說，內部控制屬于風險管理的一種。具體共同點、差異點概括如下：

（一）內部控制與風險管理的相同點

其一，實施主體相同。兩者均要求企業內部全體員工共同參與，包括董事會、管理層、一線員工等。全員參與是內部控制、風險管理的基本要求，公司自上而下、自下而上、上下結合，通過分工合作、明確責權，共同保證目標的高效推進。

其二，注重過程管理。風險管理、內部控制都屬于過程管理，因為這兩種管理措施均貫穿于企業經營發展的各個環節、各個領域。同時由于企業處于動態的發展過程中，兩者在具體管理措施、管理目標上面也會進行調整，而非一成不變、靜止不動。

其三，是企業步入持續穩定發展正軌的重要保障。從兩者目標角度來說，存在很多的相同點，具體可概括為三種，一是報告類目標；二是經營類目標；三是合規類目標。兩者均是企業戰略體系的核心結構。

最后，兩者內容存在相同點。例如控制環境、風險評價、控制活動、監督、信息與溝通等。造成此現象與兩者自身運作機理有著很深的聯系，但需要說明的，重復并非全部事項，風險管理涉及的內容要大于內部控制。結合相關內容來分析，風險管理又包括三個結構要素，即制定目標、風險識別、風險防范。所以，通過對比可知風險管理與內部控制存在很多相似之處，但在細化內容后也有所不同。

（二）內部控制與風險管理的聯系

其一，無論是風險管理，抑或是內部控制，其目標最終體現為保持企業運營系統的穩定性，確保資產安全完整，為股東創造更多的財富價值。從理論角度而言，內部控制屬于制度層面，是基于雙權（所有權、經營權）分離背景下，為維護投資者、債權人、股東合法利益，實現價值增值的基本保障。旨為確保會計信息的準確性、完整性以及可靠性，避免管理層操縱利潤，發生道德風險、逆向選擇，出現財務舞弊等。內部控制發展時間較長，可從立法層面進行闡釋。風險管理是由于技術創新、市場條件改變的綜合影響，對內部控制內涵范圍進一步繼承、延伸和發展。

其二，在全面風險管理中，內部控制占據著核心的位置。內部控制必須建立在企業全員擁有高度風險控制意識以及較強風險管控能力的基礎上。通過對其雙方內涵的界定可發現，內部控制屬于一種制度性保障，要求企業內部資產安全完整、會計信息真實可靠等，這同樣也是全面風險管理的基本要求。

其三，隨著技術的不斷革新，市場環境的持續完善，內部控制與風險管理的銜接關系也不斷加深。企業通過引入先進的信息系統，對經營數據進行全面記錄、核算、分析、管理，提升了整體會計工作效率，并逐步替代傳統的會計手工作業。但是，各類創新變革活動也加劇了風險。尤其近幾年外界對企業履行社會責任尤為關注，如果管理不善，那么很大概率會面臨風險損失，比如沒有履行環保責任導致環境污染，受政府處罰并整改通報；沒有履行消費者社會責任，侵害了消費者合法權益，在賠償經濟損失的同時還要承擔信譽損失等。所以，管理者只能通過內部控制、風險管理對內外不確定因素進行識別與控制，這從另一方面也闡釋了兩者有著共同的管理目標。

三、內部控制與風險管理的區別

（一）兩者內涵不同

1.目標體系不同

通過文獻分析，可總結四種風險管理目標，分別是經營目標、合規目標、戰略目標及報告目標。對于以上前兩種目標，內部控制與風險管理存在一致的情形。但風險管理增加的戰略目標，內部控制沒有提及，主要原因戰略目標是由治理層制定的，而內部控制主要針對管理層而言，兩者層次不一樣；風險管理把財務目標外延為報告目標，即報告包括財務報告與非財務報告兩種形式。一方面延伸了目標的涉及層面，另一方面也有效解決了內控目標體系受注冊會計師影響而導致企業對財務信息過于重視、而忽略非財務信息的問題。需要說明的，即便兩者在目標體系方面存在差異，但是對企業長期發展來說均發揮著保障作用。

2.組成要素不同

內部控制要素主要有五種，分別是：控制環境、風險評估、控制活動、信息與溝通、監督。風險管理框架新增了三大要素，并將控制環境要素轉變為內部環境。其中新增要素主要是目標制定、風險識別、風險應對。這三種要素對風險管理框架有著很好的完善效果。此外，內部環境囊括了企業文化、風險偏好、控制環境等諸多內容；在稱呼一致的要素中，風險管理對其內容進行了不斷的完善與改進，例如：風險評估要素囊括了企業的內外部各類風險，包括經營風險、財務風險、債務風險、社會責任風險等，同時還對風險偏好、風險對沖等問題加以兼顧；而在“信息與溝通”方面，更加注重對信息的全過程、全方位的采集，包括歷史信息、當前信息以及未來信息的預測。信息是開展風險管理工作的基礎，信息是否全面、是否準確、是否可靠，直接決定了風險管理的效率與效能；溝通部分強調并說明：在正常報告之外應有替代溝通渠道。

（二）兩者的職能不同

其一，職能定位存在差異。內部控制屬于管理職能的一種，在確定管理目標的基礎上，強調過程控制；風險管理則不同，它強調全員參與、全過程理念，將管理措施貫穿于企業運營的各個環節與各個領域，事前控制是風險管理最為注重的核心部分，風險管理更傾向于在風險尚未形成爆發前，便開展預防消除工作。并且，從目標角度來看，全面風險管理的目標設定，要比內部控制更加龐大復雜。

其二，活動范圍表現不同。風險管理活動涉及企業的方方面面，部分活動不屬于內部控制活動范疇。比如，內部控制與企業經營目標的設立沒有直接的聯系，僅是負責目標的順利開展、目標成果的評估分析。而風險管理關注目標實施過程中各類工作及要素的評估。

其三，風險識別有顯著差異。通過《企業風險管理整合框架》可知，風險是指經濟主體在運營發展中由于各種不確定性要素影響而造成自身實際運營結果與預期目標產生偏差的可能性，這種“偏差”既有正面的、也有負面的。但是在《內部控制整體框架》中卻沒有明確的分類，統一將風險視為企業的一種直接性或間接性損失。

其四，風險應對措施制定不同。《企業風險管理整合框架》在風險管控理念與手段方面，加入了很多科學有效的指標，比如風險容忍度、風險偏好、壓力測試等。換言之，在風險量化的基礎上進行分析，可準確衡量戰略、風險偏好兩者的匹配性，揭示收入、成本、風險三者的具體關系，所得數據可為企業管理者制定或調整決策給予可靠的保障。而在《內部控制整體框架》中，僅注重企業內部各環節的管理控制，并未延伸到經營戰略領域。

四、完善風險管理與內部控制的建議

（一）設置全面風險管理及內部控制體系

在風險管理及內部控制體系的構建過程中，應當圍繞風險管理目標相關性原則。其一，以董事會為核心，完成風控組織體系的建立。在企業治理結構中，股東會、股東大會是公司的最高權力機構，董事會是由股東會、股東大會選舉產生的公司決策和管理機構。現代企業大部分都是委托代理模式，即股東將經營權交給職業經理人。所以，公司應當做好委托人、代理人兩者利益關系的協調，這也是每一個企業內部治理的核心問題。考慮到內部人控制問題的出現，還應當建立相關委員會，對重大決策事項的可行性、合法性進行監督審核，并制定對應的激勵措施，調動管理者參與管理、為股東創造更多財富的積極性。比如風險管理委員會，在確保獨立性的同時，賦予相應的管理權與監督權，對各環節風險管理工作的實施進程、實施效果進行評估，保證風險管理體系穩定高效運行并發揮即有價值。從風險管理措施實施角度來說，要從橫縱雙重視角開展管理監督工作，確保風險控制覆蓋全局，確保無死角。

（二）強化各關鍵環節風險控制，制定風險管理解決預案

企業的運營發展離不開制度規則的支撐，所謂無規矩不成方圓便是如此。所以，在業務流程改造、優化等過程中，應當將風險管理要素納入考慮范圍，以提升各業務、各環節風險管控水平。流程改造并非一蹴而就，涉及層面較廣，屬于內部的重大創新舉措，旨在將各類風險因素納入可控范圍內，結合內部控制，對各薄弱節點進行管理。公司應對業務流程進行全面審視，識別不足，并加以改善，即對經營業務、管理流程等信息進行采集、歸納、整合、分析，識別相關風險，及時評估相關風險，掌握關鍵控制節點，明確各部門、各崗位職責，制定并實施風險控制方案，確保內部控制各項工作真正的執行到點、落實到位。對核心管理環節的人力資源應當保證高質量配置，通過宣傳教育，樹立良好的內控意識與風控意識。在風險控制推進過程中，要建立內部嚴謹的層級結構，明確各層級、各部門的職責范圍。此外，還應當在內部建立高效的信息交互機制，信息與溝通對于內部控制、風險管理而言，都至關重要。與此同時，還應當對企業管理結構進行不斷優化，挖掘各部門崗位的功能優勢，識別無效、低效作業，進行業務調整，確保風險管理預案的是能夠切實可行的、是有效的。

（三）構建先進的風險管理信息系統，實現風險預警

風險是動態變化的，它會隨著企業運營以及時間推移而不斷改變。通過實踐分析可知，想要實現風險管理效率、效能最大化，就應當對風險的發展規律有一個正確的認知；企業應當對涉及風險的各環節信息數據進行全面整理、分析，確保防控策略制定的針對性，將風險管理從被動逐步向主動轉化。這就需要企業管理者在重視風險管理的基礎上，投入諸多的資源，加快內部信息化建設進程。其一，以全過程管理理念為核心，加快管理信息系統的構建與完善進程，將更多的線下管理業務轉移至線上，憑借信息系統的功能優勢，滿足自動化、高效化、標準化、專業化的管理要求。在信息系統中采用固化業務流程、系統自動轉賬等科學技術，將業務信息進行加工處理后，形成可量化的會計信息；其二，以風險管控預警作為切入點，建立健全風險預警體系。具體可以引入風險管理技術，使用各種先進技術工具對風險進行識別、量化，計算風險權重影響，確定哪些是關鍵風險，是需要重點關注的，哪些是次要風險，從而確定風險解決策略。其三，要加強部門管理，將風險管理理念融入實踐工作中，確保全體人員對風險有著較強的反應能力、識別能力以及應對能力，當確認某環節存在風險隱患后，應當第一時間告知上級，共同研究，制定風險管理措施，力求做到早發現、早防治、少損失。

結語

在企業發展過程中，內部控制和風險管理之間的關系十分密切，既有區別又有聯系，都是十分重要且必要的。內部控制和風險管理都是企業應對風險的有效措施之一，但無論是哪一種應對措施都強調全員參與，并將內部控制和風險管理措施落到實處，上下一心為企業經營目標的實現而共同努力。