论企业内部控制风险管理的重要性

崔立华

摘要：企业内部控制风险管理的目的是为了保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。企业要建立内部控制体系，需要建立在对企业进行风险管理的基础之上。建立健全全面风险管理体系，包括风险管理策略、风险理财措施、风险管理的组织职能体系、风险管理信息系统和内部控制风险管理系统。为了实现这一目标本文从企业的内部机构设置、管理制度的建设、业务流程的关注、风险的评估、企业文化建设等方面进行了探讨，旨在提升企业抗风险能力和可持续发展能力。

关键词：流程控制 风险管理 风险评估

潜在风险伴随于企业经营管理的整体过程中，企业的发展过程就是一个风险释放的过程。面对风险，企业永远处于收益和潜在损失之间的博弈状态。为深化企业改革，完善社会主义市场经济体制，我国企业内部控制规范体系的建设与实施，对提升企业抗风险能力有着深远的影响。

财政部等五部委关于印发《企业内部控制风险管理基本规范》的通知（财会[2008]7号）中将内部控制管理定义为：由企业董事会、经理层和全体员工实施的、旨在实现控制目标的过程。内部控制的目的是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略，即帮助企业防范不同阶段的风险。

对于如何搞好企业的内部控制专家学者进行了大量的论述，我想结合企业的实际，略谈几点个人的看法：

1 企业控制机构设置要符合本企业发展的要求

《企业内部控制基本准则》要求企业在治理结构、机构设置及权责分配、业务流程等方面要形成相互制约、相互监督，同时兼顾运营效率。《基本准则》给出了几项原则性的要求，企业究竟设置什么机构还得根据本企业发展阶段、工作目标和面临的主要风险来确定。准能公司在建设初期，根据基本建设期间的管理需要，按单项工程设置了露天煤矿项目管理部、铁路项目管理部、电厂项目管理部和公用工程项目管理部。随着基建期的结束，各项目部完成了自己的历史使命，退出了舞台，相继成立了黑岱沟露天煤矿、大准铁路公司、发电厂和公用事业公司等机构。二次创业开始后，为了实现“五年实现经济总量翻番，再造一个准能”的战略目标，公司又开始大量的基本建设活动，为了控制投资风险，公司设置了项目前期办公室，负责项目的可行性研究与初步设计工作。为了使决策和执行这两个不相容职责分离，将工程管理部门分为工程部和基建工程管理中心。随着对基本建设领域所存在风险的认识加深，2011年成立了造价管理中心，负责对基本建设过程进行价格监督。

2 在企业内部管理制度和流程的建设中，要兼顾控制与效率

内部控制是企业为控制经营风险、实现经营目标而制定的各项政策与程序。内部控制能够帮助企业达到其目标，同时将风险降低至合理范围内，保证企业资产安全，有效防范各种舞弊活动。

业务部门总希望控制越少越好，流程越简单越好，这样才能提高工作效率，以确保相关业绩指标的实现；但是控制的减少很可能导致风险的发生，由此可能给企业造成重大的损失，因此管理部门则要求控制越多越好，这样才能有效地控制风险的发生。这就是内部控制建设中一个非常两难的问题，即：要效率还是要控制。

实际上，在控制与效率之间，任何偏废都是不可取的。仅考虑效率而忽视控制当然不可取，但仅关注控制而不考虑效率同样是不可取的。解决效率与控制这个两难问题的基本思路，就是要实现控制与效率的平衡，即既要保证风险得到有效控制，避免由于追求效率而导致风险增大，由此造成企业的重大损失；同时又要保证业务运行有很好的效率，避免由于强化控制而导致效率大幅下降，影响竞争能力。理论的方法是在风险评估过程中根据企业的实际情况确定一个风险承受度，制定管理制度和流程后要对管理的效果也就是剩余风险进行评估，当剩余风险略低于风险承受度时效率和控制就达到了平衡。当剩余风险大大高于风险承受度时就表现为控制不足，当剩余风险大大低于风险承受度时就表现为效率低下。当控制不足时就要在流程中增加控制点，当控制冗余时就要在流程中压缩一般控制点，保留关键控制点。在实际工作中风险承受度很难确定，可行的做法是在内部控制建设与完善过程中，企业应当在完善流程管控后，对流程的效率进行评估，以评估完善控制后流程的效率状况。如果发现完善控制后，流程的效率仍然在合理的水平上，则说明控制与效率处于一个平衡状况；如果通过评估，发现强化控制后，流程的效率有大幅下降，严重影响业务运行，则需要对流程进行进一步优化，以确保在效率与控制方面得到有效的平衡。

在制度流程建设中要注意两个问题：

①各控制点的控制责任必须明确，没有控制责任的审批点不设或改为事后报告。

②将风险细分，进行分类控制。比如对库存物资按对生产经营目标的影响程度（即风险大小）进行A、B、C分类管理。

3 识别业务流程的风险点，减少风险的发生

任何事务的进行都存在着风险，即使是最简单的走路也可能摔跟头，最简单的喝水、吃饭都会被呛到或者被噎着，企业的经营发展、扩大所面临的风险是无法完全避免的，但风险是一定能被控制在最小范围中的。

首先建立健全企业内部风险承担的机制，明晰各领导的岗位责任制和各职能部门职责权限，保证各机构、岗位合理设置及职责权限的合理划分，坚持不相容职务相互分离，确保不同部门、岗位之间权责分明和有利于相互制约、相互监督，形成科学的决策机制、执行机制和监督机制，强化风险管理，保证公司各项经营业务活动的正常有序运行，使公司经营管理走上市场化、规范化、科学化的轨道，不断提升工作效率。

其次梳理各项业务流程，识别风险，建立风险数据库。企业的风险控制是企业各位员工的共同责任，以制度化的形式明确公司工作流程和各个部门、岗位的工作职责，发挥全体员工的积极性和创造性，而不是仅仅依靠管理层单方面的努力来防范风险。以人力资源部门为例，第一步是人力资源部门根据国家相关规定，结合企业的实际情况制定《职工考勤管理制度》，经领导审批和职工代表大会审议通过，成为全体员工所需要遵守的行为规范。第二步员工接受考勤系统的监督和管理，月末各部门将考勤记录汇总编制考勤表。第三步将汇总的考勤表报送人力资源部进行审核。审核通过后再进入下一流程“工资发放流程”。人力资源管理的风险控制是：①新员工的招聘和选择，根据企业的发展战略，制定人力资源招聘计划，根据人力资源部的招聘渠道，选择最有效的招聘方式，扩展已有的招聘方式，吸引适合的员工，将候选者的能力与岗位要求对照，剔除不合适的应聘者，关注适合的应聘者；②对正式员工要不断进行内外部培训教育，提高员工的工作绩效，将培训的知识运用到实际工作中，转换为自己的技能，对具有高潜质的员工给予关注和合适的发展平台，为企业选拔优秀的人才；③人力资源部要重视对汇总考勤表的审核，防止并及时发现、纠正各种错误，虚假的考勤表会影响员工的工作积极性，损害企业的利益。因此各部门要找准风险控制点，制定风险应急预案，降低风险发生的概率，最大限度地降低损失。

第三，风险的分析，对识别出的风险进行分析，并采取必要的应对措施。

随着社会主义市场经济体制的建立和深入，企业面临的市场环境越来越复杂，影响企业发展的风险因素也成为企业经营发展必须关注的内容。企业风险，指未来的不确定性对企业实现其经营目标的影响。风险往往同机遇并存，企业要及时准确的将每个风险辨别出来，结合企业实际确定风险承受度，以便根据市场的发展，抓住机遇，应对风险。根据风险发生的可能性和其影响程度，企业要采用定性与定量相结合的方法，分析风险，确定重点风险。同时要根据风险分析的结果，权衡风险和收益，确定风险应对策略。企业应当合理分析公司管理人员的风险偏好，采取适当的控制措施，避免因个人风险偏好给企业经营带来重大损失。

风险管理要做到：第一，高层直接参与；

第二，决策要快；

第三，沟通要清晰，这个沟通不仅是内部沟通，还有外部沟通。一个公司要成功地管理风险控制，真的是要深入到骨髓里面，深入到每一个员工心中，使每一位员工觉得风险控制很重要，这样的风险控制才能成功。

第四，风险的评估，找出内部控制管理体系中的的管控缺陷，进行有效的改进。

风险评估是内部控制的重要环节，只有科学的风险评估、自觉地将风险控制在可承受范围内，才能最大限度的保护企业财产的安全和完整，保持企业可持续发展。风险是时刻存在的，这就要求我们要时刻有风险意识。要根据不同的风险类型，采取不同的策略，对于纯粹风险，必须尽可能规避；对于投机风险应根据不同情况，分别采取完全规避、完全不规避以及部分规避、部分不规避的对策。决策对于公司应对危机和将来的发展密切相关，一旦采取了错误的决策，公司可能会面临尴尬局面，甚至会导致公司的灭亡。明确责任单位或责任人制定管控缺陷整改计划整改措施，尽量使得每个风险都在我们的掌控之中。

第五，风险应对策略

①风险应对策略是指企业对已经识别的风险进行分析，根据自身的实际发展条件，制订相应的应对措施。风险应对策略与企业的经营项目有着直接的联系，不同的项目应该采取不同的风险应对策略，同样在企业发展的不同阶段面对风险也要采取不同的策略。

②风险应对策略主要包括风险回避策略 风险抑制策略、风险自留策略、风险转移策略、风险组合策略等。管理者要在识别风险的基础上，尽可能地回避或分散风险。

第六，风险管理的监督与改进

①企业应对重大风险、重大事件重点关注。针对每一项重大风险，制定风险管理解决方案。建立重大风险预警制度，对重大风险进行持续不断的监测，制定应急预案，及时发布预警信息，并根据情况变化调整控制措施。建立风险责任制度，明确规定各部门和人员的责任，将各部门风险管理执行情况与绩效薪酬挂钩。在事故发生前，降低事故的发生频率；在事故发生时，控制损失继续扩大，将事故损失减少到最低限度，从而达到降低企业风险损失的目的。

②企业应建立贯穿于整个风险管理基本流程，加强各部门的交流沟通，合理分配风险，调动各方面的积极性。通过改善沟通，加强和改善信息流通，增进团队合作，经常性地进行项目监督及项目检查和管理，发现潜在风险，为风险管理监督与改进奠定基础。

第七，加强企业文化建设

企业应当培育体现企业特色的发展愿景、积极向上的价值观、诚实守信的经营理念、履行社会责任和开拓创新的企业精神，以及团队协作和风险防范意识。

董事、监事、经理和其他高级管理人员应当在企业文化建设中发挥主导和垂范作用，以自身的优秀品格和脚踏实地的作风，带动影响整个团队，共同营造积极向上的企业文化环境。

企业文化建设要以服务企业发展战略，不断增强企业员工风险意识，坚持“以人为本”的原则，重视、激励员工，为职工搭建学习平台，进行智力投资，充分发挥每个人的聪明才智， 提高企业职工队伍的整体素质，树立现代企业管理理念，培养正确的价值观，增强企业的创造力，提升竞争力，为企业的发展提供强大的精神动力和文化支持。

第八，加强各级管理人员的培训

企业的竞争归根结底是人的竞争，解决好人的问题将是企业长足发展的动力，目前我国的企业员工思想观念还比较落后，缺乏管理的专业背景与技能，对于接受新的管理理念有着一定的抵触，管理层与员工之间缺乏上下交流的畅通渠道，管理政策无法全面贯彻实施，对于实施的具体情形无法准确反馈。内控管理是一项新型的管理理念，需要全力开展培训工作，将内控管理工作渗透到各项工作中去。

总之随着经济全球化的发展，企业在市场竞争中面临的风险也在不断变化着，世界在发展，企业管理也需要不断适应企业发展的要求，不断进步，内部控制管理是一项新型的、科学的管理模式，为保证企业健康、科学快速的发展，企业应当根据自身发展的具体情况，选择和建立适合自己的管理体系。

参考文献：

[1]企业内部控制规范讲解2010/财政部会计司.

[2]北京：经济企业应当根据自身发展的具体情况，选择和建立适合自己的风险管理体系.

[3]李冠强，司徒春妹.石油企业如何应对金融危机系列之1风险管理化解危机[J].中国石油石化，2008-12-15.