中小企业风险导向内部控制的建立和实施探析

（河源职业技术学院 广东河源 517000）

一、提出问题

一直以来，中小企业在发展过程中存在着对风险管理和内部控制重视不足的问题。由于中小企业往往处于快速发展阶段，规模较小，业务单一，经营灵活，经营和管理不够稳定，人员调整频繁，业务流程经常变动，管理制度一直在不断完善之中，难以建立健全的风险管理和内部控制制度。因此，许多中小企业对风险管理和内部控制不够重视，形成了诸多劣势，比如组织结构简单、规章制度缺失、经营人才缺乏、管理水平不高。这些劣势导致了中小企业法律意识淡薄，偷逃税和逃废债务的愿望比较强烈；在经营策略上偏向投机取巧，质量意识淡薄；在管理上随意性大，职能部门职责不清；在企业内涵建设上薄弱，不注重企业文化建设；在人力资源管理上不重视精神激励，人员选用任人唯亲等。这些风险管理和内部控制问题成为了制约中小企业发展壮大的瓶颈。一方面导致企业财务制度不透明，会计信息失真严重，外部融资困难：另一方面导致企业抗风险能力较差，一旦政策变更，外部环境变革或者金融危机等发生，企业就可能面临资金周转困难而难以维持正常经营甚至破产倒闭。因此，中小企业必须足够重视风险管理和内部控制，建立健全有效的风险管理和内部控制制度，使企业的生产经营制度化、程序化，增强抗风险能力，确保企业健康、稳定发展。

中小企业应如何在建立健全内部控制的基础上实现较好的风险管理呢？笔者认为，必须先厘清风险管理和内部控制之间的关系。关于二者的关系目前的观点主要有三种：一是认为风险管理包含内部控制，典型代表是美国的ERM框架，英国的Turnbull指南认为内部控制是风险管理的必要组成部分，南非的 Kingll Repor（2002）认为风险管理是一个比内部控制更复杂的过程；二是内部控制包含风险管理，典型代表是加拿大COCO报告认为风险评估和风险管理是控制的关键要素；三是认为内部控制就是风险管理，Black-burn（1999）认为风险管理与内部控制仅是人为的分离，在现实的商业行为中，二者是一体化的，Matthew Leitch（2004）认为，这两个概念的外延变得越来越广，正在变为同一事物。其中，第一种观点得到了更多的共识，认为全面风险管理是内部控制框架的延伸与扩展。

笔者也赞同第一种观点，从历史发展来看，内部控制思想的起源要早于风险管理的思想，但是从两者的含义来看，风险管理包含内部控制，可以说内部控制仅仅是风险管理的一部分或者说是实施有效风险管理的一种手段。风险管理是内部控制发展的必然归宿，这是由内部控制内在的根本目的决定的。另一方面，内部控制与风险管理的终极目标是相同的，它们的终极目标都是为了实现企业价值的最大化。

基于此，结合中小企业的风险管理特点和内部控制现状来看，建立一个以风险管理为导向的内部控制机制是中小企业健康稳定发展的前提。中小企业要将风险意识深入到内部控制中，将风险识别、风险评估和风险应对的方法运用到内部控制活动中，实现内部控制对未来不确定事项的识别和应对。

二、中小企业风险管理和内部控制现状

与大型企业相比，中小企业的风险管理和内部控制存在以下问题：一是无法实现有效的内部牵制。虽然中小企业从事经营的业务与大型企业相同，其业务流程和经营过程从本质上来说也基本相同，但是由于其员工数量相对较少，导致在大型企业由几个人分别从事的工作在中小企业则可能仅由一人承担。所以，员工数量的限制导致其不能充分实施不相容职责的分离，容易发生舞弊和错误。二是管理层凌驾于内部控制之上的风险较大。与大型企业相比，中小企业高级管理层的控制幅度较宽，与具体业务层面可以进行更直接的沟通。这一方面会增加管理层对具体业务层面的了解，降低了基层人员发生错误与舞弊的可能性；另一方面，也增加了高级管理层凌驾于内部控制之上的风险，来自高层的舞弊和不轨行为增多。三是中小企业难以建立完整的文档记录和稳定的控制程序。主要是因为中小企业往往处于快速发展的阶段，经营和管理不够稳定，人员调整频繁，业务流程经常变动，管理制度一直在不断完善之中。四是中小企业风险管理水平低，缺乏完善的风险管理信息系统。首先，企业管理层通常都重收益轻管理，只顾眼前利益，从而忽略了企业今后的生存发展，风险管理得不到重视。其次，专业人员的风险管理水平低，在对风险预测、评估及防范的过程中，由于管理人员对风险的敏感度不够，从而不能准确识别、评估及应对、防范风险。最后，企业的风险管理手段落后，缺乏完善的风险管理信息系统，不能及时掌握相关数据及信息，降低了企业风险应对的能力，竞争中处于被动劣势，甚至产生巨大的经济损失。

三、中小企业风险管理导向与内部控制机制的整合

随着我国市场经济的发展，交易品种和交易方式越来越多，风险也变得更加多变和复杂。对这些多变和复杂风险的识别和控制是在新的市场环境下每个中小企业都要面临的新课题，因此，中小企业必须将风险管理和内部控制进行整合，建立以风险管理为导向的内部控制机制，使之成为企业防范风险，实现既定目标的免疫系统。

然而，中小企业由于规模较小、员工数量较少，采用全面风险管理框架或内部控制规范不符合成本效益原则。因此，本文认为中小企业风险管理和内部控制的重点不在于机械照搬所谓“五要素”、“八要素”框架去建立相关的制度和流程，而在于抓住那些关键的、核心的风险控制点和环节，采取切实可行的内部控制措施来达到风险识别和风险应对的目的。也就是说，在设计内部控制体系时，需要重点关注风险的导向作用，对于高内控风险的领域设计严格的控制程序，给予足够的关注；而对于低内控风险的领域，则可以适当放松控制标准。本文认为，中小企业风险管理导向的内部控制机制应重点关注以下几个方面。

首先，保证财产物资的安全完整和会计信息的真实可靠。企业所有者最关心的是投入资本的安全性和收益性，要求实现其资本的保值增值。因此，保证财产物资的安全完整和会计信息的真实可靠仍然是中小企业内部控制发展的主线，是最基本目标。

其次，关键业绩评价指标应该成为风险评估的重点。中小企业应根据外部环境、行业现状及企业实际情况，建立以关键业绩评价指标为核心的财务预警机制，有效进行风险识别和评估。一般来说，中小企业应重点监测净利润和经营性净现金流量的正向关系指标和偿债能力指标。企业可自行确定财务危机警戒标准，并及时沟通企业有关财务危机预警的信息，提出解决财务危机的措施和方案。

第三，建立重要事项和重大项目的集体决策制和责任追究制。对中小企业来说，由于规模小、分工有限、所有权和经营权相对集中从而导致管理层凌驾于内部控制之上的风险较大。因此，中小企业内部控制的重要任务之一就是合理制约管理层的行为，降低内部控制被凌驾而失效的风险。那么，重要事项和重大项目应实行集体决策制并建立责任追究制对中小企业的内控尤为重要。

四、中小企业实施风险导向内部控制应注意的问题

要实现企业的经营管理目标，建立健全风险管理导向的内部控制是基础，而有效实施则是关键。风险管理导向的内部控制在实施环节，同样要把更多的注意力放在内部控制风险较高的领域。对于高风险领域，要重点关注，保证执行到位；对于低风险的领域，企业则可以将较少的精力用到关键点上。在实施过程中，应注意以下问题。

一是保证内部控制的执行力。内部控制执行力指企业内部控制制度执行的能力与力度，是一系列价值准则、行为规范、运行模式、制度体系、技术支撑，是企业所具有的独特竞争优势。目前，绝大部分中小企业都存在着忽视内部控制执行力的问题。保证内部控制的执行力，一方面，可以将内控运行流程与人员、制度相结合，在执行人员之间进行充分的讨论和论证的前提下确定内控实施计划；另一方面，明确规定各部门职责、权限以及相应责任和义务，同时要将企业目标融入各部门主管意识之中，使各部门协调起来，保证执行的实施。

二是内部控制与风险管理都要求全员参与。这两种思想只有渗透到每一个员工的观念中，才能真正发挥效用，让企业在每一个可能出现风险的控制点都能有所作为。为了达到这种状态，必须采取相应的监督和激励措施动员全体员工，让每一个员工都能找到最终成果与个人努力之间的联系，提高员工参与的主动性与积极性。

三是形成风险管理的企业文化。企业文化是企业在长期的生产经营活动中创造的物质财富和精神财富的总和，是凝聚企业员工思想，协调员工行为并为员工所认同的价值取向和道德规范，是做好企业内部沟通工作的重要手段、形式和载体之一。只有当企业的每一位员工目标明确，责任清晰，风险意识强烈，在整个企业形成一种风险管理氛围，内部控制才更有实效。企业应通过建立风险管理的企业文化，引导员工正确地履行责任，及时识别和应对风险，达到内部控制的有效实施。