航运企业全面风险管理与内控一体化研究

航运企业全面风险管理与内控一体化研究作者：许遵武来源：《价值工程》2013年第29期摘要：长期以来，我国大部分航运企业都是基于ISM规则、ISPS、ISO9001等构建和实施管理体系的，导致的问题就是重船舶安全管理而轻经营风险控制。

随着风险管理和内部控制体系逐渐深入人心，大多航运企业将不得不重新审视自己的管理。

针对我国航运企业全面风险管理和内部控制建设的现状，在深入分析全面风险管理、内部控制和综合管理体系的相容性、互补性的基础上，阐述三者之间的内在逻辑关系，提出三者的融合之道——全面风险管理必须有内部控制体系来做支撑，内部控制需要综合管理体系作执行的着落点，并在此基础上构建航运企业全面风险管理与内控管理一体化框架。

Abstract： For a long time， most of the shipping companies' management system was established and conducted based on ISM code， ISPS， ISO9001 etc. in China， which will inevitably lead to that paying more attention to ship safety management but not attaching importance to risk control for operation. Rooted in the hearts of the people with risk management and internal control system， majority of the shipping companies have to re-inspect themselves. According to this situation， on the basis of deep analysis of compatibility and complementarity of enterprise-wide risk management， internal control and integrated management system， the logical relationship between the three parts is illustrated and fusion rule is put forward— enterprise-wide risk management should be supported by internal control system and the internal control system requires the integrated management system for the execution of the placement. Accordingly， integrated framework of enterprise-wide risk management and internal control is established on this basis.关键词：全面风险管理；内部控制；综合管理体系；管理融合Key words： enterprise-wide risk management；internal control；integrated management system；management integration中图分类号：F550 文献标识码：A 文章编号：1006-4311（2013）29-0163-040 引言2008年国际金融危机对航运业造成了非同一般的冲击，使得航运企业不得不重新审视自己的管理，如何更有效的应对市场风险成为摆在航运企业面前的一道最大难题。

于是，在政府行政力量的推动下，很多大型航运企业纷纷于近期开始构建各自的风险管理和内部控制体系。

但是，由于大部分航运企业长期以来都是基于ISM规则（国际船舶安全营运和防止污染管理规则）、ISPS（国际船舶和港口设施保安规则）、ISO9001、ISO14001和ISO18001建立和实施管理体系的（基于某些航运企业长期以来形成的习惯，本文称之为综合管理体系），因此现在都将面临一个管理思路转型的问题，即新建立的风险管理和内部控制体系如何与原管理体系共存，是新的管理体系覆盖旧的管理体系，还是二者并行运作。

而目前实际操作中，绝大多数航运企业的解决思路是采用并行的管理模式，成立新的风险管理和内部控制部门，与原有的体系管理部门并行运作。

但这样一来，实践操作与风险管理和内部控制就容易脱离，影响航运企业管理体系的整体有效性发挥，而且存在管理成本过高、管理效率太低的问题。

因此，探索航运企业管理体系的融合以实现整体有效性的发挥具有重要的现实意义。

本文将通过研究综合管理体系、内部控制体系和全面风险管理体系三者之间在内容上、结构上所具有的独特的相融、交叉和互补特点，探索三者的融合思路，并在此基础上构建航运企业的一体化管理体系。

1 融合的必要性①内部控制自身要素——活动过程控制只是一个简单框架，缺乏一套可供企业员工执行的、具体的操作手段，在其实际运作过程中需要寻求综合管理体系的实践支撑，以获得内控执行的操作点和着落点。

②成本与效率要求三者融合。

如果把风险管理、内部控制和综合管理体系整合在一起，建立和实施整合型管理体系，那么企业就没有必要同时设立风险管理部、内部控制部和体系管理室，设一个风险控制部就足够了。

这样，一个部门、一班人马、一套文件实施监管与审核，统一协调，管理成本更低，管理效率效果会更佳。

③概念内涵的一致性、实践的有效性要求三者融合。

三者的根本目的都是为了控制风险，保证企业可持续发展目标的实现，能否融合运作将成为航运企业风险控制成败的关键。

2 航运企业内部控制与综合管理体系的融合对于大型航运企业来说，个人认为以《企业内部控制基本规范》为基础框架进行整合更适合于管理实践，有两个方面的原因。

一方面，内控体系有一个很大的优点，它规定了这样的一个流程：从业务发生的起点出发，通过绘制流程图，规范部门、岗位职责，建立风险数据库，绘制风险控制矩阵，使管理者、操作者明确业务过程中存在哪些风险，应该如何控制风险，而综合管理体系只是将流程、风险及其控制措施在管理文件中进行描述，结构上不如内控体系清晰。

另一方面，内部控制和全面风险管理在基本原则上用“推定有罪”代替了ISO9000质量管理所用的“推定无罪”，即内部控制评价和审计时遵循的是没有证据说明控制有效就判定无效；而ISO质量管理体系内审和认证时遵循的是没有证据说明控制无效就判定有效。

这就需要重新建立以风险为导向的管理体系，要将“怎么做就怎么写，怎么写就怎么做”、“能做到才写”、“先做成熟了再写”，这样一套以“持续改进建立有效性”为核心的原有的ISO9000质量管理体系建立理念转换为事前就预见并防范风险、完成系统的顶层设计并制定好上下贯通的符合《企业内部控制基本规范》要求的内部控制管理体系，以“风险导向、持续监控、不断优化、执行有效”为核心的现代整合管理体系建立理念。

综合管理体系是航运企业在不同时期，基于不同目标、按照不同标准建立起来的，其在航运企业的管理中涉及到两大块：一是安全生产与污染风险，二是面对整个复杂的经营环境，航运企业为提高自身管理素质、管理质量，增强服务竞争实力，并符合环境、职业健康安全标准而必须达到的要求。

但是综合管理体系缺乏对业务流程风险的总体把握，其关注的风险更像是某一特定危险情况发生的可能性及其后果的组合，比如海盗威胁、环境污染、人身伤害等，它将流程、风险及其控制措施统一在管理文件中进行描述，缺乏对具体业务流程中风险的分析和评估，导致控制在针对业务流程风险方面有所欠缺，而这些问题都可以在内部控制体系中得到解决。

企业所建立的内部控制应当是与企业经营活动相结合的，而这个结合点最突出的地方就是活动控制。

企业的管理、要求、方针及目标都需要在规范、细化后由员工去系统性执行，以产生最佳的执行效果，这个执行效果才是我们所要的活动控制。

内部控制在其自身要素——控制活动中，也提到程序，提到控制措施，但是更像是一个框架，一个抽象的概念。

事实上，由于不同企业面临着不同的风险特点，内部控制不可能也没必要列出对所有风险的具体控制方案，比如说内部控制提到通过授权审批明确岗位权限和责任，通过全面预算管理进行预算控制，但这里边缺少一个更具体的，更具实践性的标准或者程序来规范和细化整个控制过程，而这个标准或程序就需要企业根据其自身的特点和所面临的内外部环境来具体制定。

对于航运企业来说，综合管理体系就可以很好的解决这个问题。

可见，内部控制与综合管理体系在内容上是互补的，相互支持的：内部控制中的活动控制所缺乏的具体、细化、规范管理可以在综合管理体系这块得到支撑，而通过借鉴内部控制的作法可以绘制综合管理体系的业务流程图，建立风险控制数据库，使综合管理体系的执行更有效。

内部控制与综合管理体系融合很重要的一点就是，应当对内部工作流程中的重点风险进行梳理，并细化到部门。

我们以船舶安全运营管理为例，根据企业安全生产的目标，通过流程梳理可以将其细分为三级风险，如表1所示。

一级风险可以定为运营风险，下设执行风险、自然灾害风险等二级风险，然后自然灾害风险下面又可以再划分为海啸风险、灾害风险、台风风险等，最后海啸风险里边又包括遇到海啸后如何应对以及海啸预警机制是否健全这两个风险点。

那么海务/机务监督室就可以通过对这两个风险点进行分析，制定一整套具体的安全风险内部控制措施及方案，以达到控制海啸风险的目的。

由于内部控制中关于控制措施及方案怎么执行是一个抽象的概念，导致的问题就是执行效果参差不齐。

对此，我们提出的解决方案就是通过综合管理体系中包含了整个ISM规则的一系列程序文件、工作职责、工作标准、操作须知和应急预案来规范、细化安全风险管理，从事前防范、事中监控、事后处置的角度出发，使得风险控制活动执行更加的严谨有效，同时这也保证了内部控制达到一个更佳的目标效果。

内部控制与综合管理体系融合的另一方面是可以通过采用内部控制的分析方法，将综合管理体系中的流程、风险等用图表列示出来，使之更直接，更便于操作，更易于控制。

比如将综合管理体系中的船舶安保控制程序用流程表的方式表现出来，如表2所示。

综上所述，内部控制与综合管理体系两者之间相互协调、相互补充、相互衔接、相互促进。

综合管理体系为内部控制的活动控制提供支持，反过来，内部控制可以为综合管理体系的实施提供更好的风险控制思路和方法。

因此，以内控为抓手，并强化综合管理体系是航运企业能够持续经营发展的根本保证，将两者融合可以极大促进管理效率的提高。