浅析基于企业内控系统的全面风险管理机制

张筱彦　刘秀霖

摘要：《中央企业全面风险管理指引》指出全面风险管理包括风险理财措施、风险管理策略、风险管理信息系统、风险管理的组织职能体系和内控系统。本文主要研究全面风险管理与内部控制的辩证关系、两者的整合及对公司治理基于内控系统的全面风险管理机制发方面的发展提出建议。

关键词：内控系统 全面风险管理 公司治理

一、引言

全面风险管理包含在整个企业的经营管理活动过程之中，而并不是一种脱离企业经营管理活动的管理形式。为了进行全面风险管理，企业需要有一整套风险识别、风险控制的方法和程序，即企业管理的方法和程序。全面风险管理的目的同内部控制的目的是相同的，为企业目标的实现、为企业更好的发展提供服务与保证。因而理论上，公司决策层根据公司实际情况，在内部控制制度与全面风险管理体系中任择一项实施即可。但是在实践中，内控系统与全面风险管理机制是紧密相连的，所以，本文认为企业应该实现内部控制制度与全面风险管理体系的有效整合。

二、企业内控系统与全面风险管理机制的辩证关系

COSO框架中明确指出内控系统是全面风险管理体系框架下的一个子系统，但是它们之间既有联系又有区别。

一方面，全面风险管理机制涵盖了内控系统，而内控系统是全面风险管理机制的必要环节。内部控制的动力是企业对风险的认识和管理，同时内控系统是针对企业大多数运营风险的有效的和高效的风险管理方法。内部控制是实现经济组织管理目标的一种合理保障，良好的内控系统可以保证公司合法经营、经营结果的效率与效益和财务报表的真实可靠。而企业全面风险管理应该达到的基本状态也正是合法、有效益的经营和真实的财务报告。两者均为企业目标的实现提供了合理保障。企业实施内部控制的过程中会运用全面风险管理的理论和方法；同时，通过实施内部控制，企业可以有效防范风险，将重大风险控制在企业可承受的范围之内。

另一方面，两者也存在一定差异，两者的目的不一致。全面风险管理的目的是要及时地预测风险、防止风险可能造成的不良影响、发现风险以及设法把这种不良影响控制在最低程度。而内部控制侧重管理控制已评估风险的流程，通过各项内部控制活动的实施，实现风险的防控；两者的作用范畴不同。全面风险管理工作的开展紧密结合于其他管理工作，在综合考虑内外环境的情况下，把风险管理融入业务流程和企业管理中。而内部控制则是在考虑内部环境的情况下，建立公司的议事规则和治理结构。

三、内控系统与全面风险管理机制的并行与整合

从国内经济和企业发展趋势来看，随着内控系统和全面风险管理机制的不断完善，它们之间必然相互交叉、融合，直至统一。

（一）内控系统与全面风险管理机制的分工与并行

明确责任分工与积极协作互动是内控系统与全面风险管理机制并行实施的基础。在组织架构上既可以由风险管理部门统一负责也可以由企业的两个部门分别实施。实施的关键是企业决策层对内控系统与全面风险管理机制在范畴与作用上的进一步界定与划分，使内控系统与全面风险管理机制成为两个相对独立的体系，两者侧重不同但又相互协调。全面风险管理机制是对企业运营的全部阶段进行管理，侧重事前阶段，核心是搜集风险信息、评估风险及制定风险管理策略； 内控系统则侧重管理控制已评估风险的流程，通过各项内部控制活动的实施，实现风险的防控。通过内控系统与全面风险管理机制的进一步分工，不仅可以有效地实施风险管理与风险控制的全过程，还可以避免两体系部分功能的重叠与冲突。

（二）建设全面风险管理机制下的内控系统

将内控系统作为全面风险管理中一项必不可少的组成部分是建设全面风险管理机制下的内控系统的关键。企业在进行全面风险管理机制的构建时就应将内控系统定为全面风险管理机制的有效管理控制手段之一。这种方法系统的梳理搭建了风险管理控制流程，可有效保证体系运转的协调与统一，最大限度地避免了内部控制体系与风险管理机制的重叠与冲突。

四、对公司治理基于内控系统的全面风险管理机制的发展建议

（一）在公司内部创造良好的全面风险控制环境

创造良好的全面风险控制环境，要注重建立具有风险意识的企业文化。在企业全面风险管理过程中，每一位员工应当明确个人职责对公司风险的影响，树立“风险无处不在”的理念。公司治理与员工在公司内部的责任和作用的关系是企业全面风险管理的一个重要方面，也是充分有效开展全面风险管理工作的前提。

（二）在企业内部培养全面风险管理理念

全面风险管理理念即让每一位员工都具有强烈的风险意识和内控责任。全面风险管理理念是一个企业对风险的整体认知。只有被企业各个岗位的员工共同认同，才能在整体上对风险进行准确预测、及时发现、正确评估及合理应对。全面风险管理理念要求企业内部各个层次、各个岗位的员工必须对风险管理有正确的认知。企业应告知员工在企业经营中可能会出现的各种不确定情况及相应后果，并及时提醒员工保持全面风险管理意识，员工才能在日常工作中积极发现风险，主动上报风险，真正地具有危机意识和风险意识。

（三）充分利用并不断优化内部控制规范

内部控制规范是在征求相关责任岗位意见的基础上，根据公司的管理制度和操作流程制定的。通过严格执行内部控制规范，恰当处理每项业务，不但工作效率会有所提高，企业整体目标的实现也得到了合理保障。

（四）不断完善公司全面风险应对机制

一方面，要对公司风险事项进行全面识别。风险识别是风险管理的起点，是进行全面风险管理的基础和关键。只有对公司所面临的各种风险先进行识别，然后将风险事项进行细分，才能更高效的找到风险出现的原因，快速的做出反应。在全面风险管理框架下，广泛地、持续地收集与本企业风险和风险管理相关的内外部信息，及时发现企业面临的各种风险就是风险识别的目标。

另一方面，要对企业风险事项进行细分。公司所面临的各种风险可以被细分为公司层面风险和业务活动层面风险两个维度。企业产生公司层面风险的原因主要有内部因素和外部因素两个方面。内部因素主要包括财务风险、经营风险、战略风险等，外部因素主要有政策法律、技术因素、全球化因素、区位因素等。业务活动层面的风险主要指企业生产经营活动及管理职能中所产生的风险。处于不同的市场和不同的环境，企业所面临的风险也各不相同。因此，企业应根据自身的特点，选择合适的划分公司层面风险和业务活动层面风险的方法，及时找到风险产生的原因并快速应对。

五、结束语

内控系统与全面风险管理机制均是为企业更好的发展及实现其战略目标服务。企业应当从拥有的资源能力及发展目标等自身的实际出发，将两者有效地并行与整合，从而实现最佳的协同效应。

参考文献：

[1]谢志华.内部控制、公司治理、风险管理： 关系与整合[J].会计研究，2007（10）

[2]李莉.论企业内部控制的风险管理机制[J].企业经济.2012（3）

[3]范宝营.内控体系与全面风险管理体系的并行与融合[J].煤炭工程，2014（2）

[4]高存忠.企业内部控制与风险管理[N].天津网-数字报刊. 2011-01-31endprint