林盛(中國海洋石油總公司審計部,北京 100010)

內(nèi)部控制與企業(yè)風(fēng)險管理的關(guān)系探討

林盛(中國海洋石油總公司審計部,北京 100010)

本文從內(nèi)部控制與企業(yè)風(fēng)險管理的現(xiàn)狀入手，在比較內(nèi)部控制整體框架和企業(yè)風(fēng)險管理總體框架的基礎(chǔ)上，對內(nèi)部控制和風(fēng)險管理的聯(lián)系和區(qū)別進(jìn)行了分析，得出的啟示為風(fēng)險管理包含內(nèi)部控制。同時，簡要思考了風(fēng)險管理在我國運用中存在的問題。

內(nèi)部控制；風(fēng)險管理；業(yè)務(wù)流程

1　內(nèi)部控制與企業(yè)風(fēng)險管理的現(xiàn)狀

1992年美國COSO發(fā)布了《內(nèi)部控制——整體框架》（ⅠC框架）報告，將風(fēng)險評估納入內(nèi)部控制范疇，成為美國上市公司內(nèi)部控制參照標(biāo)準(zhǔn)。2004年美國COSO在ⅠC框架基礎(chǔ)上，拓展了發(fā)布了風(fēng)險識別、風(fēng)險評估和風(fēng)險應(yīng)等企業(yè)風(fēng)險管理內(nèi)容，發(fā)布了《企業(yè)風(fēng)險管理總體框架》（ERM框架），在內(nèi)部控制的基礎(chǔ)上拓展了企業(yè)風(fēng)險管理。

2003年以來，我國證監(jiān)會、上交所和深交所、銀監(jiān)會、財政部等相關(guān)政府部門和行業(yè)監(jiān)管機(jī)構(gòu)先后出臺《企業(yè)內(nèi)部控制基本規(guī)范》等多個內(nèi)部控制指引。2004年以來，我國銀監(jiān)會、國資委、國標(biāo)委先后頒布《中央企業(yè)全面風(fēng)險管理指引》等多個風(fēng)險管理指引。

2　IC整體框架與ERM框架比較

2.1定義比較

COSO對內(nèi)部控制的定義是，內(nèi)部控制是由董事會、經(jīng)理層以及其他員工共同實施的，為經(jīng)營效率與效果、財務(wù)報告可靠性、相關(guān)法規(guī)遵循性等目標(biāo)的實現(xiàn)而提供合理保證的過程。COSO對企業(yè)全面風(fēng)險管理的定義是，企業(yè)風(fēng)險管理是一個過程，是由企業(yè)董事會、管理層以及其他人員共同實施的，應(yīng)用于戰(zhàn)略制定及企業(yè)各個層次的活動，旨在識別可能影響企業(yè)的各種潛在事件，并按企業(yè)的風(fēng)險偏好管理風(fēng)險，為企業(yè)目標(biāo)實現(xiàn)提供合理的保證。從這定義看，內(nèi)部控制和風(fēng)險管理存在以下區(qū)別與聯(lián)系：

一是都強調(diào)全員參與，都由企業(yè)董事會、管理層以及其他人員共同實施。

二是都是為企業(yè)目標(biāo)的實現(xiàn)提供合理保證。但內(nèi)部控制的目標(biāo)較窄，包括經(jīng)營效率與效果、財務(wù)報告可靠性、法規(guī)遵循性等子目標(biāo)。企業(yè)風(fēng)險管理的目標(biāo)是企業(yè)總目標(biāo)，包含內(nèi)部控制的三個子目標(biāo)。

三是都是一個管理“過程”，都是管理“活動”的組合。

四是內(nèi)涵有所區(qū)別。風(fēng)險管理的內(nèi)涵包括企業(yè)戰(zhàn)略制定過程，而內(nèi)部控制則沒有。

五是方式方法有所區(qū)別。風(fēng)險管理強調(diào)按風(fēng)險偏好管理風(fēng)險，而內(nèi)部控制沒有強調(diào)風(fēng)險管理相關(guān)內(nèi)容。

2.2構(gòu)成要素比較

COSO內(nèi)部控制的五個要素包括控制環(huán)境、風(fēng)險評估、控制活動、信息與溝通、監(jiān)督。COSO風(fēng)險管理的八個要素包括內(nèi)部環(huán)境、目標(biāo)設(shè)定、事件識別、風(fēng)險評估、風(fēng)險對策、控制活動、信息與溝通、監(jiān)督。內(nèi)部控制和風(fēng)險管理在要素構(gòu)成上存在以下區(qū)別與聯(lián)系：

第一，內(nèi)部環(huán)境關(guān)于董事會和管理層的作用存在細(xì)微但卻十分重要的差別。ⅠC框架的控制環(huán)境要素一是包括“董事會提供的關(guān)注和方向”，即內(nèi)部控制體現(xiàn)董事會的關(guān)注，沒有強調(diào)董事會對內(nèi)部控制的更多作用和職責(zé)；二是包括管理層的經(jīng)營模式和管理方式，但沒有按現(xiàn)代公司治理要求強化管理層應(yīng)有效銜接公司治理和內(nèi)部控制，并將公司治理原則和要求落實到內(nèi)部控制中去。ERM框架的內(nèi)部環(huán)境要素一是包括“董事會是內(nèi)部環(huán)境的重要組成部分，對其他控制有著重要影響”，強調(diào)董事會對風(fēng)險管理的重要作用；二是包括“管理者也是控制環(huán)境的一部分，職責(zé)是建立風(fēng)險管理理念、確定風(fēng)險偏好、營造風(fēng)險文化”，強調(diào)并明確了管理層對風(fēng)險管理的職責(zé)。

第二，兩者服務(wù)的目標(biāo)存在差別。ⅠC框架的要素中不含企業(yè)“目標(biāo)”，但在定義中列出了經(jīng)營效率與效果、財務(wù)報告可靠性、法規(guī)遵循性等三個子目標(biāo)，但這些目標(biāo)不夠全面且未上升到戰(zhàn)略層面。ERM框架的要素中目標(biāo)制定，強調(diào)戰(zhàn)略目標(biāo)需層層分解和落實到各個子目標(biāo)，要求子目標(biāo)遵循戰(zhàn)略方案，應(yīng)與戰(zhàn)略方案保持關(guān)聯(lián)性，更強調(diào)風(fēng)險管理在戰(zhàn)略管理中的重要作用。

第三，對風(fēng)險管理的深度和廣度存在明顯差別。ⅠC框架的要素中包含風(fēng)險評估，指出“風(fēng)險評估是確認(rèn)和分析實現(xiàn)目標(biāo)過程中的相關(guān)風(fēng)險，需建立一套機(jī)制來辨認(rèn)和處理相應(yīng)風(fēng)險”，存在的不足一是風(fēng)險識別沒有和目標(biāo)直接對應(yīng)，二是沒有強調(diào)外部環(huán)境對風(fēng)險識別的影響，三是沒有設(shè)置風(fēng)險容忍度，且未規(guī)范化地評估和應(yīng)對。ERM框架的要素中包含了事件識別、風(fēng)險評估、風(fēng)險應(yīng)對三個要素，是對內(nèi)部控制的“風(fēng)險評估”一個要素的深化和拓展，有效彌補了ⅠC框架存在的不足。

第四，兩者描述的控制活動、信息與溝通、監(jiān)督等三個要素表述略有不同，但實質(zhì)基本一致。

第五，ERM框架是在ⅠC框架的基礎(chǔ)上發(fā)展起來的。通過上述差別的分析，主要為解決ⅠC框架與戰(zhàn)略掛鉤不足、目標(biāo)不夠全面、董事會重要性認(rèn)識不充分等局限，COSO針對性地改進(jìn)，形成了ERM框架。

3　內(nèi)部控制與風(fēng)險管理的比較

在上文對ⅠC框架和ERM框架的比較分析的基礎(chǔ)上，結(jié)合我國學(xué)者的研究和企業(yè)界管理實務(wù)，對內(nèi)部控制和風(fēng)險管理再進(jìn)行比較分析，發(fā)現(xiàn)存在以下聯(lián)系和區(qū)別。

3.1兩者統(tǒng)一于業(yè)務(wù)流程

邁克爾·哈默（Michael Hammer）與詹姆斯·錢皮（James A．Champy）將業(yè)務(wù)流程定義為“某一組活動為一個業(yè)務(wù)流程，這組活動有一個或多個輸入，輸出一個或多個結(jié)果，這些結(jié)果對客戶來說是一種增值。簡言之，業(yè)務(wù)流程是企業(yè)中一系列創(chuàng)造價值的活動的組合”。核心定義是“增值”和“活動的組合”，另外“這組活動有一個或多個輸入，輸出一個或多個結(jié)果”隱含的意義是需要適當(dāng)控制以保障業(yè)務(wù)流程目標(biāo)的實現(xiàn)。也就是說，業(yè)務(wù)流程的有效運轉(zhuǎn)需要恰當(dāng)?shù)膬?nèi)部控制，控制活動是構(gòu)成流程的不可或缺的要素。因此，內(nèi)部控制扎根于業(yè)務(wù)流程。

業(yè)務(wù)流程管理（BPM）理論和實踐認(rèn)為，企業(yè)運轉(zhuǎn)由一系列業(yè)務(wù)流程組成，業(yè)務(wù)流程需要具有戰(zhàn)略目標(biāo)導(dǎo)向，能充分分解戰(zhàn)略目標(biāo)，需成為實現(xiàn)戰(zhàn)略目標(biāo)的載體，是企業(yè)的價值創(chuàng)造的鏈條。企業(yè)外部環(huán)境和內(nèi)部環(huán)境變化時刻影響戰(zhàn)略目標(biāo)的實現(xiàn)，戰(zhàn)略目標(biāo)確定和業(yè)務(wù)流程清晰并不必然保證戰(zhàn)略目標(biāo)的實現(xiàn)。戰(zhàn)略目標(biāo)的實現(xiàn)存在著不確定性，這正是風(fēng)險管理的任務(wù)。因此，風(fēng)險管理也是扎根于業(yè)務(wù)流程。

戰(zhàn)略目標(biāo)是業(yè)務(wù)流程設(shè)計的起點，內(nèi)部控制和風(fēng)險管理可以說是孿生兄弟，相輔相成、不可分割，與業(yè)務(wù)流程組成穩(wěn)定的三角，共同支撐戰(zhàn)略目標(biāo)的實現(xiàn)。戰(zhàn)略目標(biāo)調(diào)整或流程再造，那么內(nèi)部控制和風(fēng)險管理也需要相應(yīng)調(diào)整。

3.2內(nèi)部控制是風(fēng)險管理的重要手段

陳綱（2013）指出企業(yè)對風(fēng)險的識別、分析、評估、整理、歸類、應(yīng)對，內(nèi)部控制都起著不可替代的作用。內(nèi)部控制是為風(fēng)險管理而控制，是風(fēng)險管理的重要手段。而風(fēng)險管理則是對內(nèi)部控制的進(jìn)一步鞏固和提升。兩者相互依存，相互制約，形成一個有機(jī)整體，共同實現(xiàn)企業(yè)戰(zhàn)略目標(biāo)。

3.3風(fēng)險管理是內(nèi)部控制的拓展和提升

企業(yè)戰(zhàn)略目標(biāo)的制定和調(diào)整需要綜合考慮企業(yè)外部內(nèi)部環(huán)境的影響。內(nèi)部控制通過控制環(huán)境間接地和企業(yè)外部環(huán)境發(fā)生關(guān)系，除了法律法規(guī)遵循外，主要和企業(yè)內(nèi)部環(huán)境發(fā)生互動關(guān)系。風(fēng)險管理應(yīng)對的戰(zhàn)略目標(biāo)實現(xiàn)的不確定性，將內(nèi)部環(huán)境和外部環(huán)境及其變化的影響提到同一高度。因此，內(nèi)部控制主要是面向企業(yè)內(nèi)部，而風(fēng)險管理同時面向企業(yè)內(nèi)部和外部。

目前就“戰(zhàn)略控制、管理控制、作業(yè)控制”三個層級而言，內(nèi)部控制主要解決管理控制和作業(yè)控制，而風(fēng)險管理從理論上已經(jīng)達(dá)到解決戰(zhàn)略控制的高度。

朱大華（2009）總結(jié)出，風(fēng)險管理提出了“風(fēng)險組合管理”的新概念，即一個企業(yè)的不同風(fēng)險可能相互增強，也可能相互抵減；或者雖然單個業(yè)務(wù)單元的風(fēng)險在風(fēng)險容忍度內(nèi)，但整體可能超出風(fēng)險容忍度。風(fēng)險管理能從全局的角度衡量風(fēng)險組合對企業(yè)的整體影響，這是內(nèi)部控制所不能解決的。

實務(wù)中，風(fēng)險管理是使用了風(fēng)險坐標(biāo)圖定性識別、蒙特卡羅定量分析、建立風(fēng)險數(shù)據(jù)庫跟蹤關(guān)鍵風(fēng)險指標(biāo)等方法識別風(fēng)險，運用壓力測試、場景分析等工具應(yīng)對風(fēng)險，比內(nèi)部控制從面到線、從線到點，逐個控制點識別和應(yīng)對風(fēng)險的方式更先進(jìn)，更有效。

風(fēng)險管理的外延比內(nèi)部控制大，達(dá)到了戰(zhàn)略控制的高度，從風(fēng)險組合的角度看待企業(yè)整體風(fēng)險，豐富了風(fēng)險識別和應(yīng)對方法，是對內(nèi)部控制的拓展和提升。

［1］周兆生.內(nèi)部控制與風(fēng)險管理.審計與經(jīng)濟(jì)研究，2004，4：P47～48.

［2］馬澤生.基于流程管理的企業(yè)風(fēng)險管理模式.企業(yè)管理，2015，2：P92.

［3］陳綱.企業(yè)風(fēng)險管理：歷程、實質(zhì)及誤區(qū).財會通訊，2013，3下：P112.

［4］朱大華.企業(yè)風(fēng)險管理與內(nèi)部控制的關(guān)系及應(yīng)用.財會通訊，2012，9中：P46～47.

［5］路世誼.企業(yè)全面風(fēng)險管理.經(jīng)濟(jì)研究參考，2012，16：P25～27.

林盛（1977-）男，漢，福建福安人，注冊會計師，注冊內(nèi)部審計師，注冊風(fēng)險管理師，中級審計師，主要從事內(nèi)部審計工作。