浅析施工企业内部控制与风险管理

• 通常将企业风险管理分为八个相互关联的组成要素，即内部环境、目标设定、事件识别、评估风险、应对风险、控制活动、信息沟通和监督。

随着信息技术和网络技术的高速发展，企业面临的经营环境具有复杂性、多变性和高度的不确定性等特点，企业的经营活动处于完全的市场竞争环境之中，施工企业显得尤其突出。也可以说施工企业面临的风险是无处不在，如何应对和适应瞬息万变的环境，实现企业管理的战略目标和短期经营管理目标，笔者认为：只有依靠建立健全科学有效的内部控制制度和流程，有效实施对企业的全面风险管理才是必由之路。

一、施工企业内部控制与经营风险管理的特点

施工企业内部控制：施工企业经营的特点是面临环境的多变性、复杂性和不确定性。施工企业的内部控制是为了实现其经营目标，通过制定和实施一系列制度、程序和方法，对风险进行事前防范、事中控制、事后监督和纠正的动态过程和机制。其目标是贯彻执行国家法律法规和企业各项内部规章制度，合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现经营目标和发展战略。其基本要素包括内部控制环境、风险识别与评估、内部控制措施、信息交流与反馈、监督评价与纠正等五个方面。

施工企业经营风险管理：施工企业的经营风险具有影响的普遍性、较强的隐蔽性和不可逆转性。经营风险是损失的可能性和盈利的机会，这是双侧风险概念。企业风险管理（ERM）是指“综合管理业务风险、财务风险、经营风险和风险转移，力求公司股东价值最大化。”也就是说，通过统一分析公司内外的风险，制定系统的管理策略来处理这些风险，从而提高公司的盈利能力和实现企业目标。由此可知有效的风险管理能为企业创造价值。

内部控制与风险管理的联系与区别：1992年，美国COSO委员会发布了《内部控制框架》（简称COSO报告），自从COSO报告发布以后看，已被世界大多数国家广泛采用，包括我国五部委2008年颁布的“企业内部控制基本规范”也不例外。但随着内外部环境的发展，人们逐渐认识到内部控制必须与企业的风险管理相结合。新的企业风险管理框架就是在这基础上，结合《萨班斯一奥克斯法案》在报告方面的要求，研究得到的。研发人员认为，新报告中有60％的内容得益于COSO1992年所做的工作。风险是一个比内部控制更为广泛的概念，因此，新框架中的许多讨论比92年的报告要更全面、更深刻。此外，COSO也认为风险管理框架是建立在内部控制框架的基础上，内部控制是企业风险管理必不可少的一部分，但风险管理框架的范围比内部控制框架的范围更为广泛，是对内部控制框架的扩展，是一个主要针对风险的更为明确的概念。概而言之，内控强调的是对具体目标实现的过程管理，着重于正确的做事；风险管理强调的是对整体目标的管理，着重于做正确的事。

二、施工企业经营过程中的主要内部控制框架

企业内部控制是由受企业董事会、管理层和其他员工影响并实施，旨在实现企业经营效果和效率、财务报告的真实性和可靠性及法律的遵循性等目标，而采用的一系列具有控制作用的方法、措施和程序，并以规范化、系统化、制度化所形成的一套比较完整、严密、科学的控制机制。

内部控制的措施一般包括：不相容职务分离控制，授权审批控制，会计系统控制，财产保护控制，预算控制，营运分析控制和绩效考核控制。

1、投标业务的内部控制。施工企业投标业务的内部控制重点是：首先是建立投标信息的归类收集与归口管理制度，根据收集归类的信息组织时时分析和筛选制度，按照“五不揽、四慎揽”的原则进行选择投标，做到有的放矢；其次是建立施工技术标中的施工方案三级分工复核制度；再次是建立商务标中的投标报价三级分工复核制度；最后是建立实施对投标业务的综合评审制度。

2、施工运营的内部控制。施工企业施工实施阶段的内部控制重点是：首先是建立施工方案预控制度，即建立公司层面、项目部层面、作业层面三级施工方案预控制度；其次是建立安全质量预控制度，即制定安全质量控制总体目标的基础之上，制定出关键控制性单位工程、重点接点控制性单位工程的详细安全质量保证措施，以及发生安全质量事故处理的应急预案措施等；再次是建立成本预控制度，即建立公司层面、项目部层面、责任中心层面的责任成本管理制度。

3、竣工交付的内部控制。施工企业项目竣工交付阶段的内部控制重点：首先是建立项目竣工交付技术资料归类整理制度，关键在于对各类技术交底、检验实验、施工日志等资料的收集、整理和归类，编制竣工图纸；其次是建立项目竣工决算责任制度，确定竣工决算目标，明确责任职责与范围，尤其是建立对合同外变更索赔的清理责任制度。

4、资源管理的内部控制。施工企业资源管理的内部控制重点：首先是建立人力资源管理、物质设备管理、内部资金管理、劳务用工管理等四大中心管理制度，促进企业各项生产要素在企业内部合理、有序、受控的流动，确保各项资源的有效组合。其次是建立企业资源配置制度，按照标准化管理中专业化施工要求对四大要素进行配置。

5、投资业务的内部控制。施工企业投资业务的内部控制重点：首先是建立企业投资可行性分析制度，按照技术上可行、经济上合理、风险上可控、投资回报上优先的原则进行分析，按照“三重一大”的要求实行集体决策制度，重大投资实行上报审批制度；其次是投资项目的过程跟踪制度，防止实施过程中的偏差过大、对风险的估计不足而导致的重大损失；再次建立投资项目最终评价制度。从项目投资的事前分析，到事中控制，再到事后评价等全过程进行跟踪，从而达到对企业投资的营运风险进行掌控。

6、法务管理的内部控制。施工企业法务管理的内部控制重点：首先是建立施工企业的合同管理制度，坚持企业依法经营、合法经营这个前提；其次是建立企业的合同评审制度，坚持对外的所有合同必须进行合同评审方为有效的原则；再次是制定企业对外合同的统一范本，避免政出多门的弊端。从而对施工企业在经营过程中的合同风险、税务风险、监管风险等法律风险进行掌控。

三、施工企业从内部控制到全面经营风险管理的实现

根据管理者经营方式的不同，通常将企业风险管理分为八个相互关联的组成要素，即内部环境、目标设定、事件识别、评估风险、应对风险、控制活动、信息与沟通和监督。这八个要素体现的是一个动态过程，是一个有机整体。借鉴COSO风险管理模式在施工企业推行全面经营风险管理。

1、优化施工企业的内部环境。企业的内部环境不仅影响企业战略和目标的制定、业务活动的组织和对风险的识别、评估和反应，还影响企业控制活动、信息和沟通系统以及监控活动的设计和执行，董事会、管理层是内部环境的重要组成部分。主要包括：培育健康的风险管理文化、制定切合施工企业实际的人力资源政策、设立风险管理机构、提高高管层综合素质和确立董事会的核心地位、对权力和责任进行合理分配等。

2、制定适应本企业实际的风险管理目标。目标的制定和实施是一个企业的重要工作，企业风险管理要确保企业有一个科学的目标制定流程、以及企业选择的目标与企业的长远发展规划相一致、与企业对待风险的态度相一致。

3、建立适合施工企业业务的风险预警和识别系统。企业目标的实现有赖于大量的经济活动，这些经济活动的发生对企业可能产生正面的影响、也可能产生负面的影响。因此，风险是指某一对企业目标的实观可能造成负面影响的事项发生的可能性，要求管理层首先对其加以识别，然后进行评估和作出应对。

4、建立科学合理的风险评估机制。当风险被识别出以后，就要对它的影响度加以评估。首先应对企业的固有风险进行评估，这有利于制定应对固有风险的管理措施；然后，根据实施的管理措施，再对企业的剩余风险进行评估。

5、树立科学的风险应对策略观。风险管理的目的不是去消灭风险，而是将企业风险发生的可能性和影响都控制在可接收到风险容忍度范围内。如投标阶段的“五不揽、四慎揽”原则，施工阶段的“两挂钩、两不准”制度等都是施工企业应对经营风险的具体措施。

6、建立科学规范的风险控制体系。控制活动是应对风险的相关政策和程序。控制活动存在于企业的各部分、各个层面，通常包括两个要素：确定应该做什么和应该怎么做的一系列政策和程序。应当强调的是，风险管理制度虽然重要，但它抵抗不了风险，真正的执行才是最重要的。

7、建立高效的风险信息沟通网络。企业内部和外部的相关信息必须以一定的格式和时间间隔进行确认、记录和传递，以保证企业的员工能够执行各自的职责。有效的沟通包括企业内自上而下、自下而上以及横向的沟通。有效的沟通还包括将相关的信息与企业外部相关方的沟通和交换，如客户、供应商、行政管理部门和股东等。

8、建立科学完善的内部控制检查、评价与考核机制。对企业风险管理的有效性必须从整体上予以监督，并在必要时不断修订。这种监督常常是通过持续的管理活动和独立的评价来实施的。包括：强化内部审计作用，拓展内部审计的责权、制定施工企业内部控制检查评价与考核办法，形成持续监督的企业氛围。

（本文作者涂连友工作单位系中铁二十四局集团西南指挥部）