风险导向型内部控制体系构建

李影

（安徽财经大学，安徽蚌埠 233041）

风险导向型内部控制体系构建

李影

（安徽财经大学，安徽蚌埠 233041）

随着世界经济的发展、科技进步及虚拟经济的出现，企业所面临的市场环境更加千变万化，这些都增加了企业在运作当中的风险。鉴于此，企业对风险管理也就越来越重视，并希望通过加强内部控制制度的方式达到管理风险的目的。文章对COSO风险管理框架做了简要介绍，并指出当前中国企业基于风险管理的内部控制体系建设的必要性，进而初步探讨了风险导向型内部控制体系的构建步骤。

风险管理；内部控制；体系构建

2004年，COSO委员会在借鉴以往有关内部控制研究报告精神的基础上，结合《萨班斯——奥克斯利法案》在财务报告方面的具体要求，发表了新的研究报告——《企业风险管理框架》。这个报告的出台，预示着COSO委员会对待内部控制的认识和态度有了新的变化，即从重视内部控制本身转向了重视风险管理，或者说其更加倾向于在风险管理的背景下研究内部控制问题。随着企业经营环境的日益复杂，面临的风险威胁日益增加，基于风险管理的内部控制体系构建也成为中国企业尤为紧迫的事情。

一、风险导向型内部控制体系构建动因

1.实现企业战略目标的需要[1]

企业经营战略的关键在于培养和发展能使企业在未来市场居于有利地位的核心竞争力。企业要想长期稳定地保持其竞争优势，必须制定明确的战略目标。而制定的战略能否最终实施，取决于企业各个业务流程的有效执行。所以制定风险导向型内部控制制度并切实执行是企业实现战略目标的重要保证。

2.适应内外部环境变化的需要

外部经营环境的变化使企业自身不进则退，许多优秀企业都在采取各种手段提高自身竞争能力，比如，不断加大新技术开发和应用力度，通过并购延长其产业链，强化以团队为主的虚拟组织，强化内部金融企业作用、强化风险管理及内部控制等。

推进企业适应外部经营环境变化的目标是：通过建设全面风险管理和内控体系，既要控制重点，又要保留一定的弹性空间；既要保证业务规范有序地进行，又要激发管理人员和员工的创新性。

3.提高内部管理能力的需要

企业的发展一般要历经创建期、成长期、成熟期、衰退期。处于成长期的企业存在着由于职责不清和人才素质差异引起的“成长综合症”，比如面临着多元化产业成熟度低、兼并购行为多而管控不适当、职能化管理条块分割明显等风险，迫切需要采取适当的手段提升管控能力[2]。提升管控能力的目标是：建立风险管理及内部控制的组织机构和标准，形成企业“自我免疫机制”，持续优化各层级之间的管理和责任界面、工作流程，健全内部控制制度，使领导层“做正确的事”，执行层“正确地做事”。

4.满足外部监管的需要

国有大型企业集团及所属单位面临国内外多重监管主体的监督，出资人和不同的资本市场均有严格的监管规定。国资委从出资人角度出发要求中央企业按照《中央企业全面风险管理指引》建设全面风险管理体系；财政部侧重于财务数据和资产安全，出台《企业内部控制规范》，提出国内大中型企业内部控制建设的整体框架和标准要求；证监会、上交所和深交所侧重于对上市公司的监管，各自发布了《上市公司内部控制制度指引》，要求上市公司建立有效的内部控制体系及风险防范机制。满足外部监管需要达到的目标是：让所有利益相关者放心，公司有良好的发展环境。

随着国内外内控失败事件的频频发生，各方都认识到健全内部控制机制、加强企业的风险管理水平，已经显得十分迫切和必要。此外，建立和完善内部控制制度也有利于强化企业内部管理、提高工作效率、增加经营效益，是上市公司建立规范、高效的现代企业制度的内在要求。

二、风险导向型内部控制体系构建

内部控制体系的构建不是一蹴而就的，而是有着循序渐进的过程，其形成和完善都有着严密的逻辑程序。一般来说，内部控制体系构建是以一个项目的形式启动，集中企业外部和内部的一切优势力量，在一定的时期内完成内控建设的主要工作，即完成项目，再进行项目验收及交接，将内部控制长效机制落实到各个部门的日常职责，是内部控制无缝融入企业的日常运作。笔者认为，从项目的角度，构建内控的实施方法从纵向实施的角度通常包括五个阶段，即计划阶段、评估阶段、推广阶段、测试阶段及总结与报告阶段。[3]

1.计划阶段

计划工作在整个内控实施过程中扮演着很重要的角色。与项目和内控实施有关的所有计划工作和准备工作都在本阶段进行，按照一定的技术要求并结合公司现有制度，识别重大风险领域，确定内控范围及目标，制定内控实施方案。

内部控制的建立应当是基于风险的，因此必须对企业的目的进行分析，对企业面临的风险进行评估，识别出高风险的领域，并确定内部控制的目标和范围。同时应考虑不同分子公司的重要性、业务的多样性、地域分布特点、特殊的行业风险等因素。

2.评估阶段

通过对整个企业集团公司层面和流程层面进行风险评估，设计内控管理循环模型以及管控工具，定义内控标准语言，将内控工作分解到具体流程和控制要点。选择集团中具有代表的典型子公司或分公司机构进行试点，梳理和建设内部控制，并进行适当的测试，发现内部控制的缺陷环节，提出整改方案；同时，通过试点经验修正内控标准模板，使标准模板更具有使用性和可操作性，为下一个阶段的推广工作积累经验。

3.推广阶段

在企业内组建内控项目工作组，对相关人员进行内控知识和标准模板的培训，在第二阶段中既定的范围内大规模开展内部控制的梳理工作，了解公司的整体内部控制的现状，并对现状进行记录，以作为了解公司内控的关键文档。

4.测试阶段

基于前面对内控了解的基础上，编制标准的测试方法，对识别出来的控制活动进行设计有效性和执行有效性的测试，通过测试发现内控中存在的缺陷，并提出相应的整改措施，进而帮助公司完善内部控制体系。一般经验表明，整改措施的实施必须通过及时检查才能及时达到整改效果。一般说来，在整改措施实施一段适当的时间后，应当对这些整改措施进行再次测试，这一阶段的测试有两个目的：一个是检查整改执行的效果，另一个是检查整改措施的适用性和可操作性。若在实施过程中发现整改措施设计不当，可以及时进行改进，避免整改措施流于形式。因此多轮测试是必要的，有效的整改能够促进内部控制体系逐步完善。

5.总结与报告阶段

通过之前阶段的实施，公司已经建立了完善的内部控制体系，可以接受来自公司内部和外部的监督及评价，并满足国内外监管机构的法规要求。这一阶段要做的重要工作是工作成果的整理、项目的总结和交接，要把内部控制各项职责落实到相关的部门和岗位。这些职责中，比较重要的是内部控制体系的动态维护和监督，以及对相关部门关于内部控制的、新要求的时时跟踪，使内部控制融入企业的日常运营，形成风险和内控的长效管理机制。

三、风险导向型内部控制体系评价

企业应当根据面临的风险、自身的规模、所处的发展阶段、所在的行业以及法律环境，选择恰当的内部控制评价标准以及内容。如在美国上市的公司，以COSO框架或其他美国证监会认可的内部控制框架作为内部控制评价标准就是恰当的选择；而中国上市的公司，则以财政部的《企业内部控制基本规范》作为基本评价标准，同时兼顾上交所或深交所的相关具体要求。一旦确定评价的内容和选择适合企业的内部控制评价方法，内部控制评价机构应该根据企业整体控制目标，制定内部控制评价的工作方案。

首先，需要明确评价的目的，然后，根据目的确定评价范围和组织，范围的确定应当遵循风险导向、自上而下的原则来确定需要的评价分支机构、重要业务单元、重点业务领域和流程环节，同时根据前面提到的评价标准和内容，制定具体的工作方案。

其次，企业按照审批通过的评价方案实施评价活动。在执行评价工作时，内部控制评价机构通过适当的方法收集、确认、分析相关信息，确定与实现整体控制目标相关的风险及细化控制目标，并在此基础上辨识与细化控制目标相对应的控制活动，然后进行必要的测试，获取充分、相关、可靠的证据对内部控制的有效性进行评价，并做出书面记录。

对企业来说，建立健全内部控制制度是一个渐进的过程，必须建立其内部控制评价体系，根据情况的变化和出现的问题对相应的内部控制制度做出及时修正或建立新的内部控制制度，只有不断进行内部控制的自我评价和改进，才能建立起有效的内部控制体系。

［1］杨博.中国企业基于风险管理视角的内部控制体系构建[J].北京市经济管理干部学院学报，2009，（2）.

［2］刘今秀.建设以风险管理为导向的企业内部控制体系[Z].中华通讯，2009，（33）.

［3］刘伟杰等.构建风险导向的内部控制[M].北京：中信出版社，2009.

F272

：A

：1672-0547（2010）04-0018-02

2010-07-29

李影（1980-），女，安徽财经大学2008级会计学专业硕士研究生，研究方向：国家建设投资项目跟踪审计。