基于风险管理的内部控制研究

钱一梅

摘要：随着互联网时代的到来，信息化地迅速发展使得企业更多地暴露在风险之中，这也就意味着企业需要有更高的风险抵抗能力和内部控制水平。但许多企业目前对于如何建立基于风险管理的内部控制尚未找到明确的道路。文章主要在风险管理与内部控制理论基础之上，深入分析我国内部控制中的风险管理实施中存在的问题，并据此提出关于内部控制优化的建议。

关键词：风险管理 企业内部控制 风险识别

一、引言

随着互联网时代的不断发展，证券市场的日渐成熟，企业目前已经面临越来越的风险，稍有不慎就会导致企业多年的经营成果毁于一旦，这意味着企业的内部控制和风险管理水平必须再上一个台阶。

由于安然财务造假事件导致企业失败等事件的爆发，企业对于建立更加完善的基于全面风险管理的内部控制体系的重要性认识的也在不断提高，国际上内部控制的发展越来越完善，我国内部控制与风险管理的建设也在持续推进中。现代企业的各种成功或者失败的实践都表明，企业的管理都必须建立在内部控制的基础之上，没有完善的内部控制，企业的管理活动都无法有效开展。因此本文通过梳理内部控制的内涵及其与风险管理的关系，以此为依据深入分析我国企业内部控制存在的一些问题，并对基于风险管理的内部控制的建立提出建议。

二、风险管理与内部控制关系分析

（一）内部控制

内部控制最初来源于西方企业财务舞弊系列事件的发生，与美国公司财务造假导致破产倒闭事件的周期性爆发有着密不可分的关系，每一次的财务造假以及破产倒闭事件都推动的内部控制理论的发展。从最初单纯的内部牵制发展到为保证会计信息的真实性和可靠性以及企业经营的效率效果而存在的较为成熟的内部控制，其发展到今天，已经融入到企业的日常活动、各个业务处理环节，融入企业各类人员的工作中。

虽然内部控制经历了许多的变革，但是从内部控制的目标来说，其本质却不曾发生变化，都是为了控制企业的风险。在最初的内部牵制阶段，其目的是为了避免员工徇私舞弊导致企业的财产损失；到后来的内部控制结构阶段，其目的除了防止舞弊和财产损失风险，还增加了降低企业经营效率低下的风险，而在企业内部控制与风险管理整合框架阶段，内部控制的目的已经发展到全面控制企业的风险，而不是局限于一个小的方面。

（二）风险管理与内部控制的关系

对于内部控制和风险管理的关系，COSO的报告曾明确表示：风险管理包含内部控制； 内部控制是风险管理不可分割的一部分。但另一种观点认为，从内部控制与风险管理的本质来说，风险管理与内部控制是完全等价的。如谢志华（2007）认为“内部控制和风险管理就是控制风险的两种不同的语义表达形式”。

在内部控制的实施之中，它本质上是企业针对各种风险而采取的措施，内部控制机制的设计和运行的主要依据正是风险，甚至在某些情况下，内部控制是完全由风险来决定的，当风险程度越高，就越有必要采取适时而又恰当的内控措施，若风险系数持续升高，那么企业不得不采取更多的内部控制措施去减少风险。企业如果想要实现长久而持续的发展，就必须对企业生产经营过程中面临的各种风险都采取有效的防范措施去控制风险，内部控制作为企业内部管理的重要手段，正是控制风险的最有效的方法，通过风险识别以及风险评估，利用内部控制措施控制风险，将企业风险遏制在萌芽状态下，避免风险失去控制从而最终导致企业失败。

无论内部控制和风险管理之间是什么关系，随着实际运用的发展，二者都将逐渐融合，这是因为它们有着相同的目标，都是基于风险防范的目的而作用于风险。企业越早将内部控制建立在风险管理的目标之上，就能越迅速地实现风险控制的目标，因为在实际企业的生产经营中，企业离不开内部控制，同时也需要风险管理，二者是相辅相成，共同作用的。典型的风险管理主要指关注特定事项中的战略实施或者与决策相关的收益与风险；典型的内部控制更多的是指会计程序控制，它们都局限于一个小范围之内，而没有融入整个企业的管理与信息系统之中。随着二者的不断完善，更高效率的内部控制一定是基于风险管理的，而有效的风险管理也一定是与内部控制相统一的。

三、我国企业内部控制存在的问题

当前，我国整体的内部控制环境还不完善，计划经济的长期影响导致整体范围内部控制得不到许多企业的重视。并且我国企业的内部控制实践时间也比较短，许多企业对于内部控制的内涵还不太理解，甚至有一些错误的理解，因此我国企业的内部控制实施还存在一些问题。

（一）内部控制意识薄弱

由于我国市场经济实施时间不长，许多企业的高层领导者仍然停留在过去行政领导的形象上，没有转变管理理念和经营方式。虽然许多企业依法设立了股东大会，董事会等权力机构，但是这只是形式上的改变，在实质实施上，许多公司仍然缺少完善的公司法人治理结构，存在着董事会和监事会的作用弱化，董事会成员不发挥作用等问题，很多公司的内部控制依旧是企业一把手个人做决定， 控制权，监督权与执行权并无分离。

此外，许多企业不重视“软环境”，实施内部控制仅靠“硬处理”，建立一些硬性制度来对企业的某些业务形成控制，但是实施效果不理想。这是因为缺乏“软环境”，导致内部控制缺乏参与性，未能建立自己独特的企业文化，没有将制度的执行与企业的文化、习惯融合在一起，也就不能形成一种好的制度执行氛围，这就导致企业整体对内部控制不够重视，员工不能自觉执行内控制度。正如美国COSO报告将控制环境作为内部控制的基础，如果仅仅只依靠硬性手段和措施来保障内部控制的实施，即使企业制定了较为合理的制度，员工也不能很好地执行。甚至更有一些企业没有建立内部控制制度，这也反映出部分企业尚未意识到内部控制的重要性。

（二）内部控制制度不健全

很多企业的内部控制制度仅针对单独的业务设施控制，而没有一个整体的内部控制框架，导致内部控制制度流于形式，仅体现在制度的文字编写上，可执行性差，形成一个不健全不完善的内部控制机制，无法触及许多内控死角。而且现有的制度也常常局限于会计业务的控制，而不能融入到企业其他的日常活动中，无法提高企业组织管理，风险控制的效率和效果，导致职工职责分工不明确，操作不规范，缺乏日常监督和专项监督机制，责任人缺乏控制意识和责任心，更重视上下级之间的权力与责任区别而忽视同级各部门之间的分工协调，导致部门之间信息传递与沟通不畅，工作效率低下。企业内部控制实质上应该是一种过程，贯彻到企业的每一项业务之中，通过员工的广泛参与来实现。内部控制要能随时随着变化而变化，并且必须被监督才能够被切实执行并且达到预期的效果。

（三）企业风险意识淡薄

风险意味着不确定性，可能会为经营者带来难以估量的损失。 企业在日常活动中，随时随地都会遭受来自企业自身和外部环境的风险。风险并不可怕，因为它是普遍存在并且是可以预防规避的，可怕的是意识不到风险的存在，无法对风险采取相应的措施。一个优秀的企业应该深刻了解自身的优点和缺陷，并据此建立适应的风险管理制度，建立高效的风险识别以及风险应对机制，以未雨绸缪的心态管理企业，规避可能的风险，才能减少暴风雨来临时的损失。

从目前的现状来看，企业整体上的风险意识还比较淡薄，多数企业都缺乏风险应对、控制的有效机制。很多企业制定的内部控制制度只是关注一个一个的业务控制点，而忽略从整体上控制风险，这样企业就很可能忽略现存的风险，从而导致不能及时的识别风险并采取措施分散风险，企业就可能因此而蒙受巨大的损失。

四、完善企业基于风险管理的内部控制的对策

（一）建立完善的内部控制制度

企业应当将更加重视控制环境，风险评估，而不是仅将内部控制建立在片面的会计控制和内部审计上。企业应当建立基于整个企业层面的完整的内部控制系统，既不能只针对具体业务实施控制点控制，也不能忽视风险因素实施内部控制。完善的内部控制，应当在业务细节上落实到位，岗位机构设置合理不累赘，同时依据企业的长远发展，将企业的控制目标和控制原则贯穿到企业的每一个流程之中。

（二）以“现金流量”为核心实施内部控制

资金是企业的血液，是企业持续生产经营的基础，企业的血液能否正常循环流通，决定着企业的生存和发展，如果资金周转不畅通，企业就会出现财务危机企业就会面临停产甚至倒闭清算的危险，这也正是企业可能面临的最大的风险之一。企业基于风险管理的内部控制如果需要一个中心内容，那只能是企业的资金。而企业的现金又是企业流动性最强的资金，现金能否及时的周转，有效的被利用直接决定着企业的财务状况。因此企业必须要强化现金流的内部控制，来保证企业正常的资金运作以及各项业务的资金需求，预防和减少资金风险，提升资金的使用周转效益。建立以现金流量为核心的内部控制和风险管理体系可以帮助企业实现快速并且持久的发展。

（三）强化企业内部控制软环境

内部控制不仅仅是一种制度，更为重要的是企业内部全员都参与其中并且高效地执行，才能达到预想的效果。而为了实现全员参与，企业势必需要采取一些措施，例如建立适合自身的企业文化，营造氛围，同时采取手段激励并且监督企业员工积极参与内部控制的执行，这对于提高企业经营效率效果，培养员工的主动性都有着非常重要的意义。在此基础上，企业需要重视人才，同时还要优化企业的结构，需要协调好机构与机构，部门与部门之间的关系。

参考文献：

[1]谢志华.内部控制、公司治理、风险管理：关系与整合[J].会计研究，2007，（10）：37-45

[2]丁友刚，胡兴国.内部控制、风险控制与风险管理——基于组织目标的概念解说与思想演进[J].会计研究，2007，（12）：51-54

[3]杨雨.从风险管理的角度分析电力企业内部控制[J].现代商贸工业，2016（4）：127

[4]陈关亭，黄小琳，章甜.基于企业风险管理框架的内部控制评价模型及应用[J].审计研究，2013，（6）：93-101

[5]李维安，戴文涛.公司治理、内部控制、风险管理的关系框架——基于战略管理视角[J].审计与经济研究，2013，（4）：3-12

[6]周筱琪.基于风险管理的内部控制体系研究——来自启明信息技术股份有限公司的案例[D].吉林：东北师范大学，2013

[7]Chih-Yang Tseng. Internal Control，Enterprise Risk Management and Firm Performance[M]. Simth School of Business.2007