我国企业内部控制的风险管理问题及对策

我国企业内部控制的风险管理问题及对策Problems and Countermeasures of Risk Management of Enterprise Internal Control

摘要

我国企业内部控制的风险管理问题既是实践发展中的问题，也是必须理论上解决的问题，本文以我国企业内部控制的风险管理问题及对策为题。运用规范分析、案例分析和实证数据分析等方法对我国企业内部控制的风险管理问题及对策进行了积极的探索。首先回顾了内部控制与风险管理理论，指出内部控制与风险管理必然走向融合的国际趋势；然后，分析了我国内部控制框架体系存在对风险管理关注不够全面，企业内控制度建设存在风险管理机制缺失、.内部控制制度不健全等问题。最后，提出了以理论框架为总体指导，企业实施为主体，外部监督机制为保障的基于风险管理的企业内部控制构建体系。理论框架方面突出全面风险管理理念，引入惩罚机制加强监管的发展思路；企业风险管理导向的内控建设方面，重视内控环境建设、明确战略目标、完善风险管理体系、加强内部审计的构建措施；外部监管方面通过提高内控信息披露加强监管等构建措施。

关键词：内部控制风险管理风险应对

-I-

Problems and Countermeasures of Risk Management of

Enterprise Internal Control

Abstract

Enterprise risk management is the practice of internal control in China in the development of questions and must in theory to solve the problem, based on the problems and countermeasures of internal control of enterprise risk management as its theme. Normative analysis, case studies and empirical data analysis on the problems and countermeasures of internal control of enterprise risk management has carried out active exploration. First reviewed the internal control and risk management, points out that the internal control and risk management will inevitably move towards integration with the international trend and analysis system of our country's internal control framework was comprehensive enough attention to risk management, enterprise risk management mechanism is missing, the internal control system development. internal control system is not perfect, and so on. Finally, we propose a theoretical framework as a general guide, enterprises as the main body, external oversight mechanisms for the protection of the construction of internal control system of enterprise based on risk management. Overall theoretical framework highlights risk management philosophy, punishing mechanism to strengthen supervision of development; enterprise risk management-oriented internal control construction, paying attention to internal control environment and define strategic goals, improve construction of risk management system, strengthen internal audit measures; external regulation by improving the internal control construction measures such as strengthening supervision of information disclosure.

Key words: The Internal Control Risk Management Risk Response

-II-

目录

摘要 ............................................................................................................................................ I Abstract ...................................................................................................................................... I I 1 前言.. (1)

1.1 本研究的目的与意义 (1)

1.2 国内外研究文献综述 (1)

1.3 本研究的主要内容 (3)

2 内部控制与风险管理相关概述 (3)

2.1 内部控制的概念界定 (3)

2.2 相关理论概述 (4)

3 企业内部控制的风险管理问题分析 (4)

3.1 内部控制环境不理想 (4)

3.2 战略目标定位不清晰 (6)

3.3 风险管理体系不健全 (7)

3.4 内部控制监督机制不健全 (8)

4 企业内部控制的风险管理问题产生的原因分析 (9)

4.1 我国经济环境对企业内部控制的影响 (9)

4.2 我国社会法律和文化环境对企业内部控制的影响 (9)

4.3 内部控制的理论研究对企业内部控制的影响 (9)

5 加强企业内部控制的风险管理的措施 (10)

5.1 重视内部控制环境建设 (10)

5.2 明确企业的战略目标 (11)

5.3 完善风险管理体系 (12)

6 结论 (14)

参考文献 (15)

致谢 ......................................................................................................... 错误！未定义书签。

-III-

1 前言

1.1 本研究的目的与意义

1.1.1 本研究的目的

英国著名历史学家，阿诺尔德.约瑟.汤因比说“一个国家乃至一个民族，其衰亡是从内部开始的，外部力量不过是其衰亡前的最后一击。”小到一个企业来说，也是如此，内部控制体系存在的缺陷和疏漏，是许多庞大帝国般的企业走向没落的重要原因之一。内部控制制度是现代企业管理的一个重要组成部分，其目的在于帮助企业的经营活动更具合理化，具有经济性、效率性以及效果性；保证管理决策的贯彻，维护资产和资源的安全，保证会计记录的准确和完整，并提供及时的、可靠的财务和管理信息。完善有效的内控制度是企业永葆健康、持续经营下去的重要保证。风险管理是企业管理的必要部分，也是内部控制机制建立的内在动力。全球经济一体化，使得全球各国的经济联系日趋紧密，这也使得企业的经营环境面临很多的不确定性，面临的经营风险也日益复杂和增加。因此，企业应该建立良好的内部控制系统，进行风险管理，实现企业目标。

1.1.2 本研究的意义

在此次金融危机的背景下，国内企业衍生产品交易巨亏的案例可以看出我国企业内部控制和风险管理机制的缺失或不健全，给企业应对日益复杂的市场竞争风险带来的挑战。但是经过此次金融危机的洗礼，企业各界对建立健全有效的风险管理和内部控制机制，对于企业在经营过程中有效的识别和防范风险，合理保证企业目标实现的重要作用有了更加深刻的认识。因此，本文的研究具有十分重要的理论价值和实践指导意义。

本文在对内部控制和风险管理理论分析的基础上，借鉴国际经验和内部控制走向与风险管理相融合的发展趋势，评价了我国内部控制框架体系的取得的成果和不足，并结合案例分析了当前企业内部控制的建设现状，然后依据国际上比较成熟的内部控制框架—企业风险管理框架，对构建以理论框架为总体指导，企业实施为主体，外部监督机制为保障的基于风险管理的企业内部控制体系进行了探讨，以期对构建系统、有效的风险管理导向的企业内部控制长效机制提供指引和帮助。

1.2 国内外研究文献综述

1.2.1 国外研究文献综述

英国，1999年英格兰和威尔士特许会计师协会颁布的《内部控制：董事会在综合章程方面的指南》中定性的阐述了内部控制系统，并明确指出风险管理与内部控制存在一定的关系。

Tumbull委员会（2012）指出，风险管理在企业目标实现的过程中具有重要作用，

-1-

公司的内部控制系统在风险管理中至关重要，企业高层应把内部控制看作是范围更广的风险管理的必要组成部分。

KingHRePort（2012）指出，传统的内部控制系统对许多风险不能进行控制，比如政治、法律和技术风险等，风险管理把内部控制视作控制与减轻风险的一种关键措施，相比内部控制来说风险管理是一个更为复杂的过程。

加拿大特许会计师协会（CJCA）（2013）认为风险是“一个事件或环境带来不利影响的可能性”，并对风险管理与控制二者之间的关系进行了阐释：“当您在抓住机会和管理风险时，同时您也正在实施控制。

Blackbum（2011）指出内部控制与风险管理仅是人为的分离，而在企业的管理活动中，它们是一体化的。

MatthewLeitch（2014）指出，从理论上来说内部控制系统与风险管理系统没有差异，并且这两个概念的外延变得越来越广泛和相似，逐步趋向于同一事物。

1.2.2 国内研究文献综述

杜滨、李若山（2010）认为，企业在设计内部控制制度时应根据对风险的评估、内部结构以及成本效益原则来综合考虑。对于认为可能产生虚假会计信息的主要风险，应将其分解为几个重要影响因素，按重要性原则来设计内部控制。

朱荣恩（2011）在对内部控制规范建设和内部控制构建的研究方面，提出我国内部控制的发展与政府的推动和支持是分不开的，应注重内部控制理论和方法的研究，同时还要重视内部控制的实务指导。

朱荣恩（2014）从我国内部控制实践的角度分析了上市公司对内部控制理论的理解，指出内部控制与风险管理并非平行的关系，应该说内部控制是风险管理的一个重要组成部分，而风险管理则是内部控制的发展和延续。

金或防、李若山、徐明磊等（2012）在对ERM框架进行研究和评价的基础上，指出认真学习ERM框架的内容，并将其与企业具体经济业务结合起来，对我国企业内部控制制度的重新调整，具有一定借鉴意义，也为我国在当前环境下建立起一套适合企业实际情况的内部控制措施，提供了一个新的理论基础。

陈关亭（2013）指出企业层次内部控制是在企业高层和综合管理活动中确立的控制环境、目标设定、事项识别、风险评估、风险反应、控制活动、信息与沟通、监督机制，其通常体现为企业的关键管理制度。

谢志华（2014）认为，内部控制和风险管理是控制风险的两种不同语义表达形式。前者是从风险控制的方式和手段的角度阐释风险控制的，后者是从风险控制的目的角度来阐释风险控制的。

徐宁（2011）在《构建体现全面风险管理的内部控制新机制》中阐述了全面风险管理与内部控制的关系，认为内部控制与风险管理有密切的关系，内部控制是全面风险管理的必要环节，全面风险管理涵盖了内部控制，并且提出了中国上市公司应该在风险管理框架下构建具有中国特色、符合中国实际情况的风险控制工具。

李春瑜（2013）在《基于风险管理的内部控制框架解读》中指出了基于风险管理内

-2-

部控制建设的基本要点，即要以控制活动为落脚点，以公司原有的各类政策和程序为基础，以流程为主要形式，公司层内部控制和交易层内部控制同时并举，最重要的是要完善对外披露报告真实性相关的内部控制。

古淑萍（2012）在《基于企业风险管理的内部控制体系研究》中在对企业面临的风险进行详细分析的基础上，提出通过完善控制环境、完善风险评估体系、设立良好控制活动、建立广泛的信息与沟通、加强内部控制的监督与评审五方面来构建以风险管理为导向的内部控制制度。

1.3 本研究的主要内容

本文的研究从以下六个部分展开：第一部分绪论，论述了本文的研究背景、研究意义、国内外文献综述；第二部分内部控制的概念与风险管理相关理论概述。首先概述了内部控制和风险管理的基本理论知识；第三部分企业内部控制的风险管理问题分析。从内部控制环境、战略目标定位、风险管理体系、监督机制等四方面，分析了在基本规范实施之前，企业内部控制建设的现状；第四部分企业内部控制的风险管理问题产生的原因分析；第五部分加强企业内部控制的风险管理的措施。从内部控制框架体系的发展、企业内部控制制度构建和外部监管三个层次。第六部分结论。对本文的研究结论进行了总结。

2 内部控制与风险管理相关概述

2.1 内部控制的概念界定

2.1.1 风险

风险，就是生产目的与劳动成果之间的不确定性，大致有两层含义：一种定义强调了风险表现为收益不确定性；而另一种定义则强调风险表现为成本或代价的不确定性，若风险表现为收益或者代价的不确定性，说明风险产生的结果可能带来损失、获利或是无损失也无获利，属于广义风险，所有人行使所有权的活动，应被视为管理风险，金融风险属于此类。而风险表现为损失的不确定性，说明风险只能表现出损失，没有从风险中获利的可能性，属于狭义风险。风险和收益成正比，所以一般积极进取的投资者偏向于高风险是为了获得更高的利润，而稳健型的投资者则着重于安全性的考虑。

2.1.2 内部控制

所谓内部控制，是指一个单位为了实现其经营目标，保护资产的安全完整，保证会计信息资料的正确可靠，确保经营方针的贯彻执行，保证经营活动的经济性、效率性和效果性而在单位内部采取的自我调整、约束、规划、评价和控制的一系列方法、手段与措施的总称。应用于会计领域最广泛的制度。

-3-

2.2 相关理论概述

2.1.1 内部控制理论

现代的内部控制理论和实践都兴起于20世纪40年代的西方国家，随着内部控制实践的发展，内部控制理论也一直不断的随之发生演变，其概念的内涵和外延也发生了较大的变化，其理论也日益成熟和完善。根据国内外学者比较认同的划分方式，我们把内部控制理论的发展演变历程，大致分为了内部牵制、内部控制制度、内部控制结构、内部控制整体框架和企业风险管理框架这五个阶段。

2.1.2 风险管理理论

COSO对风险管理的定义为：“企业风险管理是一个过程，它由一个主体的董事会、管理当局和其他人员实施，应用于战略制订并贯穿于企业之中，旨在识别可能会影响主体的潜在事项，管理风险以使其在该主体的风险容量之内，并为主体目标的实现提供合理保证。

我国国务院国有资产监督管理委员会在2006年发布的《中央企业全面风险管理指引》中指出全面风险管理是“企业围绕总体经营目标，通过在企业管理的各个环节和经营过程中执行风险管理的基本流程，培育良好的风险管理文化，建立健全全面风险管理体系，包括风险管理策略、风险理财措施、风险管理的组织职能体系、风险管理信息系统和内部控制系统，从而为实现风险管理的总体目标提供合理保证的过程和方法”

3 企业内部控制的风险管理问题分析

3.1 内部控制环境不理想

3.1.1 风险管理意识淡薄

随着政治、经济的全球一体化，我国经济与世界经济的走势联系越来越密切。越来越多的国内企业走出国门在全球范围内优化资源配置，我国也开放大门放手国外的企业进来与本土企业市场化竞争。因此企业所面临的各种不确定因素也逐渐增多，风险也逐渐变得复杂。在目前的实践中，我国企业在风险管理的意识方面非常淡薄，多数管理层只关注企业所面临的财务风险，这是不全面的也与当前企业所面临的全球化的市场竞争环境所不匹配的。

随着我国一批大型企业开始在全球范围进行材料采购和开拓市场，为了抵消原材料价格、汇率等剧烈波动所给企业经营发展、资金周转、生产成本带来的压力和风险，一些企业开始选择金融衍生工具进行套期保值等业务来规避风险。对这次金融危机中，截至2008年10月底，68家央企涉足金融衍生产品业务浮亏114亿元这一事件，我们调查发现，这些企业之所以选择金融衍生产品其初衷都是为了规避在各自经营领域所面临的

-4-

大批原材料采购价格或汇率波动的风险。例如，中信泰富签订的外汇合约是因为其在澳大利亚建立一个铁矿石项目，为了支付从澳大利亚和欧洲购买的设备和原材料，需要澳元和欧元支付，因此签订外汇合约锁定外汇成本：东航、上航、国航进行衍生品业务是基于不断上升的国际原油价格带来的运营成本压力，和对国际油价将不断上涨的预期而试图锁定国际原油价格；中远集团的远期费用协议合约（FFA）、中国中铁和中国铁建的外汇结构性存款业务、深南电原油期权合约等等，其初衷都是为了规避经营中所面临的风险，但是无一例外的是都遭遇了巨大亏损。

上述中信泰富澳元外汇交易亏损事件中，中信泰富集团是出于规避澳大利亚铁矿项目面对的澳元汇率变动的风险的目的，而签订的若干复杂的外汇杠杆合约以对冲风险。外汇杠杆合同被普遍认为投机性很强，属于高风险产品。这种产品的原理可近似解释为当澳元汇率高于0.87美元时，中信泰富以低于市场价的0.87每天买入1个单位外汇而获利，但当汇率下降到0.87以下时，则中信泰富必须每天以0.87的高价买入2个单位外汇。这意味着，中信泰富基于对澳元看涨的预期把宝完全押在了多头。

因此，尽管风险巨大，中信泰富却基于对市场走势判断选择了单边赌博，将自己陷入了复杂衍生品的陷阱，澳元一段时间走强后，市场风险迅速暴露。至此，由于产品的高杠杆性，不管中信泰富是选择终止或重组合约、抑或继续执行合约至期满，都会有巨额的资金支出。

中信泰富的教训就是，其高管风险管理意识淡薄且投机心理严重，没有在其战略目标的指导下，认清所选金融衍生工具的全部风险，没有根据实际经营需要选择与公司风险偏好和风险容量相适应的避险工具。

3.1.2 管理层对内部控制认识不深刻

良好而有效的内部控制环境是内部控制制度得以实施的关键。无论多么完善的内部控制制度，都是由人在一定条件下和一定环境中进准确的理解和执行才能够保证的。德勤会计师事务所为了更加深入了解中国上市公司在全球金融危机的经济形势下，内部控制建设和评价的现状，在07、08两年对我国上市公司内控已经展开调查的基础上，09年6月采取统计分析与问卷调查相结合的方式，对上交所08年年报中相关内控信息进行了整理，得出以下结论。

据对被调查者的访谈，100%的被访谈者认为，加强内部控制有助于企业防范风险，为正常运营提供合理保证，同时也有47.06%的企业认为加强内部控制有助于企业符合监管机构的要求，降低监管风险。但仅有29.41%的企业认为，加强内部控制有助于企业监控并降低成本和费用。一些企业甚至表示，实施内部控制在一定程度上增加了企业员工的工作量，但并没有收到提升效率的作用，反而是提高了成本和费用。这一结果有力的指出了当前企业内部控制建设的最大弊端，企业对内部控制的积极作用认识不够全面，只是为了满足监管的需要才被动的进行内控建设的。完善的内控系统是需要管理层以及企业所有员工的积极配合的，仅仅在监管层的强制推行下的内部控制是不能发挥积极作用的，由此而建立的形式主义的内部控制也是内控频出问题的根本原因。并且内控调查报告分析认为，我国上市公司对内部控制的了解和认识不够深刻，仅关注控制活动层面

-5-

的内容，对以公司治理结构为代表的内部控制环境的重视程度不够，较大的影响了内部控制实施的预期效果。

3.1.3 公司治理结构不完善

完善而充分发挥效用的公司治理结构是促使内部控制有效运行、保证内部控制功能发挥的前提和基础，是实行内部控制的制度环境。内部控制的主体是公司的经营管理者，不合理的公司治理结构，公司的权利制衡体系以及权利设置必然存在缺陷，内部控制制度的实施就成为了空谈。ERM框架中指出：董事会是企业内部控制和风险管理的核心，董事会要在企业风险管理方面负总体责任。作为公司内部控制系统核心的董事会能否发挥作用，对企业内部控制和风险管理体系建设的合理性和有效性起着至关重要的作用。

依据公司法的规定，在形式上我国上市公司都设置了股东大会、董事会、监事会及经理层等权利机构，满足了监管层的要求，但实质上并没有建立完善的法人治理结构。从董事会人员的构成情况分析，具体存在以下问题：董事会内部董事占比过高，独立董事缺乏或者独立董事不“独立”，独立董事不“懂事”，董事会成员和经理成员高度重叠等问题。

据中信泰富发布公告，此次澳元累积外汇期权合约是集团张立宪和周志贤私自与香港多家银行签订的，董事局主席荣智健并不知情。这种事情发生在这家绩优蓝筹股的身上，还真令人大跌眼镜。该公司年报中关于公司管治的表述中，很清晰的写着，董事会有责任维持一个适当的内部监控系统，并检讨其运行。董事会对公司的战略和重要合约的签订负责。对于财务董事和财务总监如何能跳过董事会去签订这些重大的投资理财合约，以及合约的签订后董事会为什么没有通过内部监控系统发现这一问题，我们不得不说，中信泰富的公司治理结构出现了重大的漏洞，其制定的管治文件并没有得到有效执行，使内部控制流于形式成为一纸空文。

3.2 战略目标定位不清晰

ERM框架要求管理人员能适当的设立目标，并且使选择的目标能支持、连接企业的使命，并与其风险偏好相一致。该要素适用于管理层在确立目标时考虑风险战略。金融衍生工具是为金融市场的参与者提供了低成本、高效率的规避风险、资产管理和投机的工具。但是，作为一种金融产品，金融衍生工具本身也同样存在着各种风险，而且由于金融衍生工具的杠杆性、虚拟性等特性，它的风险相对于传统金融工具来说更加集中、更加巨大。因此，企业在进行金融衍生工具交易之前，必须有明确的目标，这一目标要符合企业的发展战略与风险偏好。但是一些企业在进行金融衍生工具投资理财过程中，目标设定不合理或者仅根据管理层的投机偏好去选择衍生产品，没有与企业的战略目标相结合。

2008年东航燃油套期保值导致巨幅亏损事件，与管理层对金融衍生工具交易的目标定位不清晰有很大的关系。从2000年到2003年，国际油价非常活跃，最低达到每桶17.45美元，最高达到每桶37.8美元。由于以东航为代表的大型航空公司，燃油支出占其总体经营成本的三分之一，所以航油成本随着油价的涨跌起伏而波动，给公司每年的经营绩

-6-

效带来很大的不确定性，因此为了规避油价波动给公司收益带来的不确定性影响，东航从2004年起开始开展航油的套期保值业务。其管理层对套期保值业务的目标定位是控制和锁定航油成本，通过套期保值业务与现货成本相对冲，从而规避油价波动带来不确定的经营风险稳定航油成本。

如果严格依据套期保值的目标开展航油套期保值业务，东航只需在场外买入履约价为预算价位左右的看涨期权即可实现涨价时的套保目的，还可以在跌价时锁定套保的亏损，不至于在油价大幅下跌时产生如此严重的亏损。但是在东方航空发布的燃油套期保值的提示性公告中，我们可以看出东航执行的并不是一个简单的锁定航油采购成本的套期保值策略，而是出于对国际油价未来高涨的预期，实际采用的合同试图将航油价格锁定在一个较宽泛的波动区间内，具有较强的投机套利心理。在购入了看涨期权后他们已经达到了最初的减免油价变动风险的目的，却又为了获得投机收益而卖出了看跌期权。在目的之间犹豫不决与侥幸心理都是使用金融工具的大忌。

于是，在全球金融危机的冲击下国际油价持续走低，东航的海外套期保值业务的巨大风险就不断浮出水面：据东航在公报中披露，截至2008年10月31日，公司在航油套期保值合约方面浮亏约为18.3亿人民币。从东航燃油套期保值导致巨幅亏损事件，我们就能深刻的认识到明确企业的战略目标定位，使得风险业务目标服务于企业的战略目标进行风险管理导向的内部控制是多么的重要和势在必行。

3.3 风险管理体系不健全

3.3.1 缺乏独立于风险交易部门的风险管理部门

在如今信息社会时代，世间万物瞬息万变，企业面临不确定性的风险也越来越多，因此，设置专门的风险管理部门，对企业面临的所有风险予以识别、评估、并采取相对应的策略就显得比较重要。金融衍生工具在设计和创新上具有很强的灵活性，可以通过对基础工具和金融衍生工具的各种组合，创造出大量的特性各异的金融产品。另外，相对于基础工具而言，金融衍生工具出于分散风险等目的一般是采用多种组合技术，显得较为复杂，所以金融衍生工具构造具有复杂性。因此，对于金融衍生工具的高复杂性、高杠杆性、高灵活性的特征，应该由相对专业、独立的风险管理人员对其实施动态的风险监督。

但是，我国企业的风险意识并没有提到应有的高度，普遍未进行实质的风险管理，更没有对企业面临的风险设置专门的机构进行辨认、评估和管理。大部分企业没有一个健全有效的风险评估和预警机制，也没有专门设立金融衍生工具交易相关的风险管理部门，没有形成风险意识，更缺乏有效的风险管理机制。即使有些企业建立了风险管理机制，但是由于没有很好的执行，导致已经建立的风险管理制度形同虚设。

由于金融衍生工具的复杂难懂、比较专业的术语和冗长且非常详细的合同书，加上我国这方面专业人才的缺乏，国内大多数企业在选择衍生工具规避风险的时候，并没有真正的搞清楚所面临的全部风险，盲目听信交易对手或具体操作人员的意见，往往是在遇到亏损才知道上当受骗，悔之晚矣。

-7-

3.3.2 没有对风险进行全面的评估

金融衍生工具使用风险的产生主要与企业管理层的风险偏好以及企业的内部控制制度，尤其是与企业的风险管理机制是否健全和是否得到有效执行有关。企业也必须设立可辨认、分析和管理相关风险的机制，以了解自身所面临的风险，并适时加以处理。从风险管理的角度来看，使用金融衍生工具相关的公司目标应该与企业风险管理的目标保持一致。企业金融衍生工具的选择和使用，必须建立在对金融衍生工具风险的全面仔细评估的基础上。公司董事会和管理层应将衍生工具使用所带来的可能的收益与公司总体目标相联系，同时具有对交易人员、操作系统与流程、价值评估方法的记录的理解和控制能力，并将其作为管理层辨识和评价管理衍生品交易风险的能力。管理层还应该制定详细的计量标准，比如通过风险价值模型等，以便衡量衍生品交易目标的完成和偏离情况。金融衍生工具交易风险的分析过程最少应该包括风险识别、评估风险发生的可能性以及重要程度。

3.4 内部控制监督机制不健全

企业内部控制是一个持续的过程，这个过程通过纳入管理过程的大量制度及活动来实现。因此，要确保内部控制制度切实执行且具有良好的执行效果，内部控制能够随时适应因企业内外环境的变化而产生的新情况、新问题等，就必须对内部控制实施持续的监督。而不仅仅是在发现问题之后才进行亡羊补牢式的事后控制与监督，更重要的是事前和事中的持续的监督。从上边所述的中信泰富、东航等衍生工具亏损案例来看，缺乏对衍生工具交易相关控制系统的持续监督，使得企业没有及时发现与之相关的风险并及时加以管理，也是酿成亏损的重要原因之一。

内部审计作为企业进行独立评价和监督的一种内部机构，是企业内部控制体系的一个重要组成部分，其主要作用是监督企业的经营活动是否按照有关的政策和程序合理进行，它是企业内控体系有效执行的强有力的保障。ERM框架更加注重内部审计在企业风险管理过程中的作用，要求其向管理层和审计委员会提供持续的对企业风险管理流程和内部控制系统的评估，并对企业风险管理的恰当程度做出保证。也就是说ERM框架更加推崇构建风险导向型的内部审计。但是当前我国很多企业对内部审计工作并不重视，大多内部审计工作主要侧重于企业经营、舞弊调查以及特殊项目审计上，在内部控制体系和风险管理体系的有效性评价等方面，没有发挥其应有的作用，在一定程度上也说明了内审人员缺乏执行内部审计所必需的专业胜任能力和经验。另外，我国内部审计机构和人员缺乏独立性的现象普遍存在。内部审计机构并不是隶属于内部审计委员会直接领导，将财务和审计合并，或者由经理层、财务总监等领导内部审计部门，内部审计人员身兼数职、专门从事内部审计的人员较少等原因都造成了内部审计人员缺乏独立性。使得内审人员在其职责范围内开展工作时，不能针对机构内特权阶层进行监督，内部审计流于形式，内部审计机构和人员受各方利益牵扯，也就难以独立进行监督活动，更不要说对内控和风险管理程序的有效性给出客观评价。

-8-

4 企业内部控制的风险管理问题产生的原因分析

4.1 我国经济环境对企业内部控制的影响

风险管理和内部控制都属于经济领域的课题，追求其根本原因是我国目前处于计划经济向市场经济转型时期。

我国的市场化改革实质上是一个利益主体不断分化的过程，正是利益主体的分化，使得决策的形成需要经过不同利益主体之间的相互协调并充满着冲突。不同行为主体的力量及其组织的程度，决定着某一类行为主体在决策中的实际影响力，从而影响着实际上得到实施的决策规则。可以说，市场化的改革，使规则实际上成为不确定性，而规则的不确定性决定其他不确定性。计划经济的制度缺陷依然存在，市场经济体制还不健全。这造成企业在计划经济条件下形成的内部控制系统，不能适应竞争日益激烈、变化日益频繁的市场经济条件下的管理需求，而新的内部控制体系还没有建立。

4.2 我国社会法律和文化环境对企业内部控制的影响

改革开放以来，我国已经颁布了不少新的法律和法规，这些都正在保障经济运行、企业发展中发挥着重要的积极作用。但就市场经济进一步发展和现代企业制度的建立以及世界经济一体化的要求来看，我国还有很多法律没有建立起来，有些法律还不适应国际经济发展的要求。法律建设的滞后主要表现在：

缺乏与企业关系最直接的基本法律。比如系统的、完备的商法和民法还没有完全建立起来。

（2）调整政府与企业纵向关系的经济法不健全，比如反垄断法、反倾销法、反不正当竞争法、消费者权益保护法以及银行法、物价法、计划法、预算法等。

（3）社会诸方面的法律尚不完善。比如工资法、劳动法、社会保障法等。

（4）规范程序和资格的法律执行不力，甚至束之高阁，比如破产法等，到目前为止，实施极为困难。

我国社会的法律执行弱化是一种普遍存在的现象，有法不依、执法不严、违法不究的问题很多。面对法律执行不力的社会环境，企业在实施内部控制时有不利的影响。从总体看，我国尚未形成一种成熟的股东文化和公司治理文化，不存在一套完整的、可相互支持、相互补充的公司治理法规架构，也缺乏一套成熟的、自我实施的公司治理最佳做法或自律机制。我们的上市公司，高管人员对公司治理文化一是不熟悉，二是因为没有这方面的文化底蕴和积累，对这种文化有一种本能的反感和抗拒，形成文化不适症。

4.3 内部控制的理论研究对企业内部控制的影响

我国股市目前所处的大环境与2002年前后的美国市场极其相似。2001年安然公司宣告破产，美国股市剧烈动荡，投资人纷纷抽逃资金。当美国国会在审理这项法案的过程之中，又爆发了世界通讯公司虚假财务案，这加速了法案的正式出台。而在我国，上

-9-

市公司的诚信危机也已成为导致股市持续低迷的重要原因。仅仅2005年1月的31天里，就有12名上市公司高管相继涉案落马。美国对上市公司丑闻的反思，也几乎可以完全套用在我国公司上：丑闻的屡禁不止与董事会、管理层、外部审计和内部审计未能完全履行其职能有关；董事会、审计委员会听任管理层摆布，管理层则由少数人或一个人说了算；外部审计师根本无法独立、客观地执业，内部审计工作的价值尚未得到管理层的充分认识与重视。

但是同样的反思不等于就要采用相同的方法论，更不等于过于迷信美国的权威。内部控制在西方国家已经有50多年的历史，在近20年更是得到快速发展。而我国内部控制理论的研究起源于八十年代，对内部控制概念的理解、内部控制的方法、特别是对内部控制实务指导方面的研究还没有形成体系。我国政府，从九十年代起开始加大对企业内部控制的推动。我国的内部控制系统的理论和实践都处于起步阶段。缺乏统一的指导思想，前瞻性和实用性差。COSO企业风险管理框架的出台，其对实务界无疑具有现实的指导意义；但是比起具体的框架文本，风险概念的演变和风险管理理念出现的影响更加深远。如果无法理解风险管理的理念，或理解得很片面，将对实际工作产生误导。

理论指导实践，建立完善的内部控制理论，才能加强对内部控制实践的系统指导。我国应统一认识，明确内部控制的确切定义、内部控制的目标、构建内部控制体系的框架性方法等，逐步构建起我国的内部控制整体框架，为内部控制的设计、执行等形成统一的标准和依据，为企业界、司法界、会计界等不同行业和部门的人对内部控制的沟通与理解提供一个统一的平台。同时，为构建我国的内部控制规范体系提供总的理论指导。

5 加强企业内部控制的风险管理的措施

5.1 重视内部控制环境建设

5.1.1 培育良好的风险管理观念

风险管理观念是风险管理生存的土壤，同时也是内部环境的因素之一。企业的风险管理理念是企业从战略制定到日常生产经营活动中对待风险的一系列信念与态度，它反映了企业的价值观，并影响着企业的文化和经营风格，也影响到企业目标的设定，如何识别风险，承担那些风险，以及如何管理这些风险等问题。

管理者要树立风险管理理念，从总体上来管理企业面对的风险，才能使企业有立于不败之地的可能。企业的风险管理理念实质上反映在管理当局在经营该企业的过程中的每一件事上。管理者的道德素质、经营风格和管理理念，包括对待风险的态度、对外部环境因素变化的反映、企业的管理方式、在建立一个有利的控制环境中起者关键性的作用。所以，企业的管理层应提高风险意识，树立风险管理理念，对企业所从事的经营活动涉及到的风险因素要有清晰的认识。

与此同时，风险管理理念是一个企业一整套共同的信念和态度，因此它必须被企业里各个层次和岗位的员工所信奉时，企业整体才能有效的识别和管理风险。这些代表着

-10-

企业内部所有层次的员工如何考虑所有活动中面临的风险的共同信念和态度，也要及时通过各种途径，比如企业制定的各项政策、口头和书面的沟通等措施让每一位员工所了解并熟识。并将企业可能面临的不确定及其带来的后果，企业采取的应对措施和方法，通过日常沟通交流等途径传达给所有员工。这样，不同岗位的员工在工作中才可能有所侧重的关注这些风险，并反馈给管理层采取相应的措施去应对。

5.1.2 加强道德与行为准则体系建设提高内控建设自觉性

无论多么完美的制度都是需要人去执行的，因此，建立一套被公司员工广泛接受的道德规范和行为准则标准体系，对员工的行为进行约束和激励是非常重要的。内部控制制度的执行者是包括高层管理人员在内的全体员工，激励和约束的对象也是企业的员工，因此，员工的道德水准和价值观念长期被认为是内部控制环境的重要要素，内部控制结构的建立要考虑员工道德水准和价值观念的承接性。企业的高层管理人员，应该确定适当的高层基调，在企业文化建设中融入道德和价值观体系，并制定《公司员工道德和行为规范》。管理层应该在企业内部对该规范进行有效的宣传，并且必须不折不扣地执行。该规范要告诉员工，公司所遵循的价值观，什么行为是可以接受的，什么行为是不可接受的，以及遇到与公司价值观和道德规范相冲突的时候应该怎么去做。但是，在该规范的建设中尽量避免空洞的内容，而是根据内部控制结构的要求，在公司各个层级员工的广泛参与下，针对不同的岗位的不同特点，建立起一套具有具体操作性的行为规范与准则体系，并尽量全面的囊括员工在工作中可能会遇到的各种问题。最后，该规范还应该对规范的遵守提出相对应的奖惩措施，并委托公司的人力部门对员工的表现进行考核，纳入员工的年度绩效考核中去，以激励员工积极的实施和遵守。

5.1.3 完善公司法人治理结构

公司法人治理结构是指股东大会、董事会、监事会、经理层之间形成的一种权责明确、激励与约束、权力制衡的契约关系，他们各司其职，相互制衡，协调运转。科学的公司治理结构包括民主、透明的决策程序和管理议事规则、高效、严谨的业务执行系统以及健全、有效的内部监督和反馈系统。完善、有效的公司治理架构是内部控制和风险管理制度执行的基础。重视独立董事作用，发挥董事会在内部控制中的核心监督地位COSO《内部控制—整体框架》也高度肯定独立董事的重要作用；根据需要在董事会下设专业委员会，应对特别事项，董事会可以根据公司战略发展的需要，或针对公司业务中出现的重要或特殊事项，临时调集相关专业人员组成相关专业委员会，他们的专业和资历能够使其有效地处理相关的重要问题。

5.2 明确企业的战略目标

目标设定是企业进行全面风险管理的基础和先决条件。ERM框架认为风险是目标不能实现的可能性，目标设定是事项识别、风险评估和风险应对的前提。战略目标是企业最高层次的目标，它与企业任务和预期相联系并指导企业的任务和预期的实现。企业经营目标、报告目标和合规目标都应该服从于战略目标。在上一章东航航油期货亏损案例

-11-

中，就是由于东航的战略目标定位不清晰，导致本来出于套期保值的航油期货业务，偏离了在主营业务上努力发展的战略愿景，试图通过投机航油衍生业务来弥补主营业务的亏损，结果弄的铎羽而归走上了资产重组的道路。另外东航在航油衍生业务交易时超出公司实际航油需求，签订了远远大于自己实际需求的套期保值合约，也说明了其业务目标没有服从于战略目标，制定过程中没有充分考虑企业的风险偏好和风险容量问题。

企业在战略目标制定过程中，管理层必须在评估自身优势与劣势的基础上，深入分析公司所面临的内外部环境、机会和挑战，紧密结合企业的使命（我们为什么存在）、价值观（我们相信什么）、愿景（我们想成为什么）。在战略目标制定之后，还应该对战略目标进行分解。在企业使命、愿景、核心价值观的支持下，企业战略目标分解为部门目标和层级目标，部门然后将目标层层分解到个人。战略目标分解使得企业各部门、各层次人员对企业的战略有了清晰明确的了解，同时也明确了个人的目标，将员工的奋斗目标与企业的战略目标紧密地结合起来。各具体业务层面的目标也必须服务于组织总体的战略目标。

5.3 完善风险管理体系

5.3.1 充分进行事项识别

风险管理中的一个重要的步骤就是，把这些可能会突然跳出来咬我们一口的风险都识别出来。事项识别是风险管理的基础和起点，也是企业内部控制实施中首要和最困难的一项工作。一个企业必须全面的识别出对其目标的实现可能产生影响的潜在事项。事项识别的意义在于准确及时的辨明企业所面临的各种风险，分清机会和风险，以便企业能采取措施抓住机会或采取措施有效地防范和应对风险。通过事项识别，能引导管理层保持其目标不被偏离。

应采取定性和定量相结合的技术方法来识别潜在事项，常用的方法有问卷调查法、德尔菲法、风险专家调查列举法、政策分析法、失误树分析法等。通过应用各种事项识别技术或技术的组合，识别出代表机会的潜在事项，就能够引导管理者制定战略和相关目标，以便采取行动抓住机会；相应地，对于识别出代表风险的潜在事项，管理者就要对之进行评估和做出反应。各种识别方法各有其优缺点和适用条件，在风险管理过程中要根据企业经营活动的特点、内外部环境变化和经营管理的需要，对其作出适当的选择和组合。

5.3.2 建立动态的风险评估机制

当风险被识别出来之后，接着要做的就是风险评估。风险评估就是对识别出来的风险进行计价和衡量，评估它对企业目标实现的影响程度和可能造成的损失。ERM框架下的风险评估不能把注意力仅放在威胁上，要既评估因威胁而退缩的风险，也要评估未抓住机会的风险。因为利用机会的本身也是一种风险。也就是说，ERM框架要求在评估风险发生的可能性和影响的同时，还要评估机会失去的可能性和影响。风险评估其实是站在过去历史数据分析的基础上，尽可能科学的、准确的预测未来。因此建立比较完善的

-12-

关于企业过去风险的数据库，也是非常必要的。

风险评估环节最重要的就是给风险计价，也就是风险衡量，它是将风险分析信息，依据损失发生的可能性与可能产生的幅度，予以数据化的统计过程。对风险的计价，可以考虑从风险损失的幅度和风险发生的频率两个维度进行计价。风险幅度是风险损失发生的影响程度，可划分为轻微沪、较轻、一般、较重、非常严重五个等级；风险频率是风险发生的可能性概率，可划分为非常低、低、中等、高、非常高五个等级。对风险幅度的衡量可以采用风险值法—即最大的风险损失，收益值法—度量风险的可能性收益等方法，对风险频率的衡量可以采用概率和统计的方法。

需要指出的是，由于风险的不确定性是一个动态变化的过程，所以风险评估也必须.是一个动态和连续不断的重复过程，需要针对风险变量的变化持续进行。因此，企业应该针对公司层面和业务层面的风险建立起动态的风险评估机制，使得风险评估工作日常化，使之成为一项长期的制度，为建立风险管理导向的内部控制机制提供支撑。

5.3.3 选择合理的风险应对策略

在风险评估结束之后，管理层在风险评估的基础上，依据企业风险管理战略，根据自身条件和外部环境，针对不同的风险选择不同风险应对策略的过程，就是风险应对的过程，是全面风险管理的重要环节。

风险管理不是去追求消灭不利风险而是在可接受的范围内控制风险。企业在选择风险应对策略的时候，首先要考虑企业的风险偏好和风险容量因素。企业应根据不同业务特点确定风险偏好和风险承受度，并据此确定风险的预警线及相应的应对策略。其次，不同的风险采用的应对策略也是不同的。例如，对企业战略、财务、运营和法律风险，可以采用风险接受、规避等策略；对于企业具体业务层面的风险，如通过期货、期权等金融衍生工具进行理财的风险，可以采用风险转移、风险对冲等策略。企业在选择风险应对策略的同时，也要考虑选择此策略而不选择彼策略所造成的潜在的风险，以及风险应对策略的成本和效益等因素。

最后，ERM要求从整个企业的范围或组合的角度去考虑风险。管理层通常应当首先从各个业务单元、部门或职能机构的角度去考虑风险，让负有责任的管理人员对本单元的风险进行复合评估，以反映该单元与其目标和风险容限相关的剩余风险。然后，在对各个单元风险了解的基础上，企业的高层管理当局能够很好地采取组合观来确定企业整体的剩余风险和其目标相关的总体风险容量是否相称。进而，从企业整体水平上考虑对风险应对策略的评价。

5.4 强化企业内部审计主导的内部监督机制

第一，在企业内部实行风险导向的审计制度。企业内部审计作为公司内部一种相对客观和独立的咨询、评价、监督活动，建立内部审计制度的主要目的是为了防止舞弊和错误的产生，从而提高企业整体运作效率，为企业增加更多价值。风险导向型的内部审计制度采用规范化、系统化方法应对，以便测试各相关部门和各业务循环的风险识别、评价、应对为基础的一种审计活动，注重风险的导向性。在风险导向的内部审计模式中，

-13-

企业内部审计人员主要承担着保险人或者是风险减少者的角色，他们积极参与到企业生产经营的各个方面和各个环节中，特别是在风险识别、风险评估、风险应对等关键环节，充分运用自身专业优势，提高企业风险管理水平和能力，为企业管理者提供更为客观的风险管理措施和建议，及时将企业生产经营中的风险点消除，将风险损失控制在最低限度。

第二，充分保持企业内部审计的独立性。企业内部审计工作是否具有权威性的必要前提是内部审计是否能够保持独立性，而内部审计独立性则取决于企业内部审计机构设置的独立性，这也是企业内部审计人员是否能够保持客观公正审计态度的前提。因此，企业一定要保持内部审计部门的独立性，确保内部审计工作不受任何部门和个人的干预,要在企业董事会下设审计委员会，根据企业规模大小及风险大小设置审计部门，直接领导企业内部审计工作，确保内部审计具有较高的权威性和独立性。

6 结论

通过对内部控制与风险管理理论的发展过程整理、归纳、分析，运用辩证唯物主义过程论，提出内部控制和风险管理在发展的前期是两门独立的学科，但是随着经济、技术的发展和进步，内部控制和风险管理必然要走向相互融合的趋势。在对我国内部控制法律法规整理、归纳的基础上，对我国内部控制规范的制定机构、内部控制框架体系和内部控制的最新成果展开了分析，得出了我国内部控制框架己经趋向于风险管理导向的内部控制，但是对风险管理关注不全面的评价。理论体系上，提出内部控制框架的发展要更加全面的关注风险管理，并且引入惩罚机制等措施来确保框架被完整、有效的执行；企业内控制度构建层次，重视内部控制环境建设、明确企业的战略目标、完善风险管理体系、强化内部审计主导的内部监督四个具体措施；外部监管机制层次，完善内控信息披露机制加强外部监管。提出了构建以理论框架为总体指导，企业实施为主体，外部监管机制为保障的基于风险管理的企业内部控制体系。

-14-

参考文献

1.毛新述.内部控制与风险管理：中国会计学会2009内部控制专题学术研讨会综述.会计研究，2009（5）.

2.李然.我国企业内部审计存在的问题及对策.财会研究，2012（4）.

3.张砚.内部控制历史发展的组织演化研究.会计研究，2011（6）.

4.杨雄胜.内部控制理论研究新视野.会计研究，2012（9）.

5.韩传模.会计监管之本：公司内部会计控制的监管.会计师，2013（3）.

6.阎达五.内部控制框架的构建.会计研究，2104（14）.

7.李明辉.论我国衍生工具内部控制机制的构建.会计研究，2013（5）.

8.杨雄胜.中国内部控制的社会认同度研究.会计研究，2012（9）.

9.陈志斌.内控规范制定机构研究.会计研究，2011（8）.

10.李春瑜.基于风险管理的内部控制框架解读.会计师，2012（7）.

11.陈利军.内部控制与组织控制实证研究.东北财经大学出版社，2012.

12.胡为民.内部控制与企业风险管理：实务操作指南.电子工业出版社，2012.

13.郑洪涛.全面风险管理理论与实务.中国时代经济出版社，2013.

14.张颖.企业内部控制.机械工业出版社，2013.

15.方红星.企业风险管理：整体框架.东北财经大学出版社，2013.

16. COSO. Internal Control-Integrated Framework.,1992.

17. Hart Oliver,Moore John. Property Rights and the Nature of the Firm. Journal of Political Economy,1990.

18. Alchian Armen A,Harold Demsetz.Production. information costs and economic organization. The American Economist,2012.

19. COSO. Enterprise Risk Management-Integrated Framewor.,2013.

20. Pricewater House Coopers. Management’s Responsibility for Assessing the Ef fectiveness of Internal Control Over Financial Reporting Under Section 404 of the Sarbanes-Oxley Act.

-15-