企業風險管理與內部控制一體化管理體系構建

王 強 中國寶武運營共享服務中心馬鞍山區域分中心

引言

隨著國家法律、法規、市場、行業等的不斷變化與調整，風險管理既是企業自身發展的必然要求，也是企業應對外部環境變化的必要手段，只有持續地對風險管理體系和內部控制體系進行審查、調整和優化，運用科學的方法和策略來構建風險管理體系，協調資源，共同參與，企業才能提升防范和化解重大風險的能力，從而保證高質量發展。近年來，伴隨著企業風險管理理論與實務的進步，企業風險管理的框架也逐漸成型。一體化管理體系將管理流程分為管理流程、運行控制以及支撐流程，構建企業風險管理與內部控制一體化管理體系，通過對潛在風險的識別，對風險產生的原因進行分析，對風險發生的可能性進行預測，對風險的影響進行評估、制定方法策略，對風險的變化進行監控，這樣就能夠將風險控制在可接受的范圍之內，從而對業務風險有更多的了解、更多的可控性和更多的可承受性。

一、風險管理與內部控制一體化體系構建的依據

(一)以風險管理目標為前提進行體系構建

企業經營的目標在于創造并實現其價值，提高業務運作水平，保證法律上的合規運作，這都是達成企業價值的重要先決條件。在企業內部，無論是計劃、組織、資源還是績效，都必須為企業的價值增值服務，包括風險管理。托馬斯·斯圖爾特強調，企業風險管理的基本任務是將損失降至最低，在“損失最小化、績效最好化、不確定性最小化”這三個目標中找到一個平衡點，對不確定性進行管理，并使企業業績達到最佳[1]。一味地追求虧損控制，把風險降至最低，常常會因為不確定而導致企業價值的增加，這說明企業風險管理的目的在于使企業的風險處于可接受的水平(即風險偏好設定)。企業在面對風險時，能夠按照事先制定好的方案，以最小的代價對風險進行控制，獲得最大的收益，保證企業的經營安全。企業的風險控制目標不僅要具有經濟性，還要具有一定的收益穩定性。收益穩定，就是指企業能夠走上正軌，好的企業領導者傾向于將企業的持續、穩定經營作為一個目標，而非將其作為一個高風險、高收益的目標。

(二)以風險識別為基礎進行體系構建

風險識別是企業風險管理的根本，企業經營過程中最主要的風險是企業對風險的識別不準確。《中央企業全面風險管理指引》從戰略風險、市場風險、財務風險、法律風險、業務風險等五個方面對我國中央企業的風險進行了分類。首先，針對不同的風險類型，采用不同的方法進行風險識別。在進行企業戰略風險識別時，要根據企業的經營目的、經營成果，搜集企業及同行業企業的風險資料。通過對企業戰略目標的剖析與分解，運用情境分析與成因分析等手段，對企業戰略目標進行識別。市場風險指的是未來市場價格、供需關系、競爭對手等各種不確定因素對企業經營績效的影響，其實質是價格風險。市場風險識別應該包括價格，供應和需求以及競爭者的狀況，運用PEST分析、基準分析等方法，對風險的特點及成因進行分析，對其造成的沖擊進行預測，并對其所需的費用進行估算。其次，必須以業務過程為支撐來進行風險識別。財務風險、法律風險、操作風險是指企業在經營過程中，圍繞著風險管理客體各種不確定因素而發生的風險。因此可以看到，對于財務、法律、操作風險的識別，在企業運作過程中，一定要結合企業的運作過程來進行，在企業經營過程中，通過對企業經營過程中的主要經營環節的分析與評價，識別出企業經營過程中的主要風險。除此之外，后續的風險評估、風險應對和風險監控都是在風險管理流程的基礎上展開的，通過以業務流程為基礎的風險防范，從而達到對企業各種業務管理問題的安全控制。

(三)以風險評價紐帶進行體系構建

風險評價應該建立在評價風險對目標影響的質與量的基礎上，并且應該按照評價的結果進行分級與排序。風險評價一般是從三個方面來進行的：事件的發生概率、事件的影響程度和事件的承受力。發生可能性是指在將來可能出現的風險，一般是根據企業的歷史資料，并與趨勢分析相結合，來估算出可能出現的風險。因此，需要從收益與損失兩個方面來評價風險對目標實現的影響。在確定影響的方向之后，還要對其可能的影響程度進行評價，該評價與其持續時間、影響速率等因素相關[2]。特別是在這個有時會發生“黑天鵝”“灰犀牛”的時期，迅速爆發的風險常常會給企業帶來毀滅性的打擊。風險承受力是一家企業為應付風險所做的準備，對風險的容忍性是與一個企業的管理水平相聯系的，管理愈成熟，愈能承擔愈多的風險，愈能控制企業的風險。風險評估可以通過數據分析、問卷調查、訪談、專家意見、頭腦風暴等方式，對所識別出的風險進行歸類和排序，根據風險評估結果，找出企業的主要風險點。

二、企業風險管理與內部控制一體化管理體系構建策略

(一)構建由所有人員共同參加的風險管控組織系統

董事會作為企業的最高決策機關，在企業的風險管理中起著重要作用。董事會負責企業的風險管理，并根據企業的風險偏好與容忍度，確定企業的經營策略。在董事會中，成立風險管理專業委員會，專門負責企業的風險管理工作，對企業的風險管理文化進行培育，對企業的風險管理戰略和目標進行明確，對各業務領域的風險管理工作進行指導，并確保將風險管理與企業的管理體系相結合。企業每個業務部門的主管都要對自己的業務部門進行風險管理，并且要把風險管理納入到企業的整體之中，在業務計劃中對風險進行識別和評價，在業務開發過程中貫徹執行風險管理戰略，在日常運作中對這些戰略的效果進行監督，保證風險被控制在可以接受的程度。同時，企業應當建立一個專門的風險管理機構，并聘請一批專業的風險管理人員來對企業的風險進行統籌與管理。各業務部門形成一套完整的風險管理機構，從決策到實施，將風險管理責任劃分到核心業務、輔助功能和監管功能，為各業務部門的風險管理工作提供有力的組織保障。

(二)持續完善管理體系文件

根據一體化管理體系的功能劃分，體系文件劃分為管理手冊、程序文件、業務流程與規則、作業標準與記錄。企業一體化管理體系文件在建立之后，由于其會隨著企業的實際發展而發生動態變化，并且會不斷地完善、補充和調整，因此，必須不斷地對其進行完善。首先，企業管理方面有了重大變化。當企業變革和重組、組織結構改變、主要功能的分配和資源分配的變化、新規章制度與法律法規標準的實施等，都需要對文件進行及時的檢查，以保證體系文件的正確性和適用性[3]。企業受內外部環境的影響，需要以已有的生產經營管理要求、環境績效、職業安全健康、績效管理以及不同利益相關者的反饋為基礎，迅速對變化進行梳理，從而對體系內容產生影響，并做出相應的調整。其次，在實際操作過程中所遇到的一些問題，會對整個制度造成很大的沖擊。要及時地對管理體系在日常運作中產生的問題進行收集，并對其進行系統地分析，以便區別出哪些問題是由不恰當的或缺少的體系文件造成的，而哪些問題是由雇員的不當行為造成的。在此基礎上，要對其進行系統性的分析，對其中存在的不合理之處進行修正，對遺漏之處進行補足，保證其正確性與適用性。再次，對于制度文件執行過程中存在的問題，要及時對其進行修正并對其進行完善。各單位應制定方案，搜集各專業部門的修訂意見或建議，并按照專業管理的需要，對有關的體系文件進行檢討，并加以完善。最后，提高職工對制度執行的參與度。在系統的運作過程中，企業應該建立起與之相適應的激勵機制將所有的員工都調動起來，深度參與到系統的治理當中，充分體現他們的主人翁意識，充分發揮他們的積極性、主動性和創造性得到充分的發揮，從而讓系統能夠更加高效地運作，并搜集有效的實踐經驗、先進的創新實踐以及對系統信息資料的優秀實踐結果，進行系統的管理內容的更新。

(三)以數字化的方式構建風險管理信息體系

不確定性是指企業所處的信息不完備的狀況，它既有企業所面臨的外部風險，也有企業所面臨的內部風險。企業的風險管理，既要對不確定因素進行有效的預測，又要對不確定因素進行有效的控制。企業在經營活動中所收集的行業、市場、利益相關方及企業經營等方面的資料，對企業的風險決策與管理有很大的參考價值，因此，以企業現有的信息為基礎，構建出一個數據庫，運用數字化和信息化的方法，構建出一個風險管理信息系統，對相關的風險管理信息進行實時收集、分析、評估和識別，進而幫助企業展開風險分析、評估、監測和預警工作。同時，根據已有的資料，對風險管理者所建議的不同方法進行預測，以協助他們選取最優的風險管理策略。風險管理信息系統所能降低的并不是損失的不確定性，而是在提高風險戰略的效率和影響，降低風險管理成本，提高風險管理的技術水平，以及提高企業及時處理風險的能力等方面所做的有關決策的不確定性[4]。

(四)重視內部審核提高內審工作的有效性

內部審計是企業自身完善、自我診斷、自我改進的一種重要方式，企業要按照“PDCA”原理來規劃和實施內審工作，全面地開展內審工作，對制度的運行情況進行準確的診斷與評價，針對不符合規定的問題、存在的問題以及潛在的問題，及時提出整改或防范的對策，并在此基礎上，對各環節進行有效控制，使各環節均得到有效控制，從而實現各環節的有效運行。在進行內部審計時，要考慮以下事項：

首先，建立高級審計師團隊。在多專業、多制度的內部人員中，選擇專業能力強、分析能力強、文化素養高的人員進行專業培訓，取得內審人員的資格。內審人員要將自身的業務活動與企業的業務活動有機地結合起來，在各個業務活動之間起到搭建橋梁的作用。如果一個實體需要進行外部審核，這些人應該被委派為隨行人員或聯絡員。在這種情況下，內審人員不僅可以觀摩外審人員的工作流程，而且還可以不斷地提升自身的工作能力，從而更好地了解內審技術與方法。內審隊伍應具有較強的穩定性，包括石油化工等行業的專業知識，對企業的各種經營活動了如指掌，能夠保證內審及外審工作的順利進行。

其次，管理部門應當了解并支持內部審計。內部審計牽涉到企業各個功能單位，要使內審工作的效果得到最大程度的發揮，就必須進行及時的信息交流，以獲得各層次管理者的理解與支持。企業可制訂審核方案，并通過工作表、郵件和會議等方式告知被審核單位。審計前，企業應積極與被審計單位的主管人員交流，明確審計的目標、內容、工作地點及工作重點。如果發現或者觀察到了什么問題或者不符合規定，一定要在第一時間和主管聯系，與被審計單位共同、仔細分析存在的問題及侵權風險，并提出改正、改正措施或改善方案，以便得到被審計方的重視和理解。同時，要使他們認識到，認清問題并不能幫助他們找到問題所在，而能幫助他們分析問題從而推動其改善與發展。在內審階段，全面體現內審的目的，幫助內審單位制定規范的內審制度[5]。

最后，充分利用內審清單功能，提升內審工作效率。企業要對內部審計流程進行清晰化，并對檢查表格的應用進行統一，同時，內部審計師要掌握編制和應用檢查表格的要領和方法，從而提高現場審計的效率。一是能夠保證抽樣檢驗的代表性和完全性，檢驗表上能夠反映出有關的樣品、抽樣數量和抽樣方法。二是保證審計師與被審對象密切聯系，降低審計師對被審對象的隨機性、盲目性。三是在審計師被打斷的情況下，能夠及時地提示審計師按照事先準備好的內容、目的，對被審計師進行調查、收集證據，以免出現偏差或漏掉的情況。四是為了保證審核程序文件的可追溯性，審查程序清單是最初審核程序的一份，應當保存在檔案中，以備查閱。五是核對表格可確定審核途徑與政策，保證系統高效地執行審核流程。

三、結語

總之，在當前的市場競爭日趨激烈的情況下，要想保持企業的經營效率，就必須對企業的風險管理體系進行周密的規劃與有效的執行。一體化管理體系的建立與實施，使經營過程有了更為系統化的控制手段，為經營過程中的產品質量、生產安全、員工健康、綠色環保、節能環保等方面的建設奠定了基礎。企業只有根據自己的規模和特征，將有關的體系標準和管理體系進行有機的整合，并做好日常的運營管理，把一切可能對一體化管理體系造成風險的有關活動都納入到系統管理的范圍內，保證管理體系的有序、完整、高效。唯有以基礎為基礎，對其進行分析、修正，才能使其不斷完善，為企業創造更多的價值。