基于风险管理的企业内部控制研究

王玉婷

摘要：随着我国经济的发展，企业的规模不断扩大，其面临的风险也越来越多。如何完善内部控制，加強企业财务风险管理，应对各种风险和挑战，成为理论和实务研究的重点课题。本文基于内部控制框架和风险管理理论阐述了我国企业风险管理和内部控制之间的关系，并基于内部控制和风险管理理论，分析了我国内部控制体系中存在的一些问题，并对我国健全内部控制制度、加强风险管理提出了一些建议。

关键词：风险管理 企业 内部控制

一、研究背景

近年来，一些企业暴露出的一些财务问题及事件，在一定程度上表明我国企业内部控制制度仍存在一定的缺陷。作为市场主体的企业，在激烈的市场竞争中面临的风险和不确定性越来越多，在复杂多变的市场环境中为了更好地获取市场和扩大经营，必须关注风险管理，建立完善的内部控制体系。我国内部控制起步较晚，在相关部门和证券监管机构的主导下，我国的内部控制理论和应用都得到了飞速发展。国资委、证监会等部门先后发布了《中央企业全面风险管理指引》、《上市公司内部控制指引》等法规，为我国企业加强内部控制建设提供了有力的指导和框架约束。2008年，我国发布《企业内部控制基本规范》，上市企业于2009年7月1日全面实施。对我国企业内部控制建设起到了积极作用。后金融危机时代，我国逐步建立起以风险为导向的内部控制制度，但在形成过程中还存在诸多问题，如尚未形成完整的内部控制体系，概念理论、概念框架尚未形成，对于风险管理和防范的关注还不够全面，内部控制执行不到位，管理层对于内部控制重视程度不够。本文基于风险管理理论和内部控制理论，从风险管理的视角来研究企业内部控制，逐步构建基于风险导向的内部控制体系，以期为我国企业构建系统完备的内部控制制度提供指引和帮助。

二、国内外研究综述

从国内外相关文献的研究中可以看出，国外内部控制概念框架已经逐步形成，并且将风险管理融入其中，逐步形成了基于风险导向的内部控制理论。我国在内部控制理论和实践研究方面还有一定的落后。在理论研究方面，逐步向基于风险导向的内部审计框架转变，结合我国的实际形成了理论基础。我国学者逐步从会计审计领域向风险管理控制转变。国内基于风险管理导向的内部控制体系研究为内部控制理论的发展做出了突出贡献，并取得了一定的成果。这些研究成果大部分是从理论上进行分析研判，如何真正从操作上实践，形成完备成熟的内部控制体系，相关研究还较少。本文在相关学者研究的基础上，对风险管理和内部控制相关理论进行了深入研究，结合具体实践，认为内部控制和风险管理有着本质的差别，但是随着经济社会的发展，科学技术的进步，以及企业发展的需要，内部控制与风险管理相融合的趋势无法改变。本文在对相关案例和企业进行深入调研的基础上，指出了企业内部控制中存在的主要问题，为规范企业内部控制行为、加强风险管理提出了建议。从内部控制的环境、制度构建、监督体系三个层面构建以风险为导向的内部控制理论架构和实践基础。

三、内部控制概念框架及体系的构建

（一）内部控制中存在的主要问题分析

后金融危机时代，随着企业投资金融衍生工具财务杠杆加大，受金融危机的影响和冲击逐步显现，加上企业内部控制和风险管理体系不完善，许多企业出现了财务风险的问题。目前我国企业内部控制主要存在以下几个问题。

1.内部控制环境不好

良好的内部控制环境是实施内部控制的前提和条件，而有效的执行是内部控制的生命。随着全球经济一体化，我国企业逐步走向世界，开始资源配置和优化。自从我国加入WTO后，国外企业也开始进入国内市场，我国企业所面临的不确定性因素逐渐增加。与此同时，我国企业仍处于财务风险控制阶段，风险管理意识淡薄，只关注生产经营，忽视系统风险，这在我国大部分企业中都有所存在。随着交易的广泛和深入，在汇率价格、资金周转、生产成本等方面，部分企业为规避风险，开始选择金融衍生工具，实施套期保值。但是随着国际价格以及外汇指数的变化，使得企业面临的风险不是在降低，而是在增加。全球化因素使得市场风险进一步增加，但这只是金融危机产生的客观原因，深层次的原因是我国企业对于风险管理认识不够重视，没有及时采取应对措施，有效抵御风险，导致损失进一步扩大。没有具体战略经营目标的指导，没有对企业面临的风险进行分析，错误的认为金融衍生工具能够规避所有的风险，从侧面反映出管理层对风险管理认识不到位，内部控制环境一般。

2.内部控制执行不到位

当前许多企业内部控制制度虽然较为完善，但也只是挂于墙上，缺乏执行，导致风险频出。一些企业管理层认为实施企业内部控制在一定程度上增加了企业成本，从这一思想来看，企业内部控制最大的问题在于管理层认识不到位，只是满足于被动的管理需要，而不是主动开展，主动发挥职能作用，对于一些控制活动的效果并不明显。

3.企业治理结构不完善

内部控制的前提是建立完善的治理结构和有效的运营方式和机制。内部控制的核心是建立完善的董事会制度，董事会在企业风险管理和控制方面负有总体责任。然而部分企业独立董事占比较低，存在不独立的问题，内部董事比例较高，董事会成员和经理管理层高度重叠等问题，导致了法人治理结构不健全。

4.企业战略定位不准确

风险管理和内部控制最根本的依据是企业战略目标，是为企业战略服务，如果企业战略目标定位不准确，企业内部控制体系也就无法服务于企业发展战略，导致在一些控制中无法把握原则和准度，导致控制失效或者部分失效，企业面临风险加大。

5.企业内部控制机构不健全

缺乏独立的控制机构和风险管理部门，往往是依托财务部进行管理，并没有把风险管理和控制提高到应有的高度。对于风险的管理识别以及判断、评估缺乏专业人员，风险管理制度形同虚设。缺乏对风险的全面评估，发现风险后，无法及时应对。

6.内部控制监督机制不完善endprint

企业内部控制是通过控制活动进行的，是一个持续过程。控制执行需要完善的监督机制，如果监督出现问题将无法进行事后控制监督，导致风险持续发酵，给企业带来无法挽回的损失。内部审计是内部控制重要的环节，如果缺乏独立性，侧重于项目资金审计，而忽略对内部控制和风险管理体系方面的审计和评价，内部审计将失去其应有的作用，使得审计流于形式，难以发挥有效监督的作用。

（二）建立基于风险管理的内部控制体系

1.突出风险管理理念

基于我国大部分企业风险管理意识淡薄、内部控制执行不到位等现状，我国企业要突出风险管理理念，加快制定企业内部控制基本规范，将内部控制与风险管理相融合，逐步构建以全面风险管理为导向的内部控制体系。

2.加强内部控制环境建设

明确企业发展目标，突出战略思维，要深入分析企业面临的内外部环境，明确优势和劣势，机会与挑战，结合企业使命制定企业发展战略目标。树立全員内部控制理念，将风险管理融入企业价值和发展目标以及企业战略，构建企业文化和经营风格，突出风险识别评估，逐步转变企业的管理方式，将风险管理纳入企业整体发展策略。通过日常沟通、及时评估、激励与约束等方式将企业发展战略、内部控制目标以及风险管理理念传达给每一名员工，形成全员管理的机制。加强员工道德建设和行为准则规范建设，提高内部控制的自觉性。要注重对员工的激励和约束，将企业文化中融入道德和价值观，明确企业员工应该做什么，不应该做什么。加大对员工年度考核，将员工的年度绩效与薪酬相挂钩，以激励员工积极遵守和执行。

3.完善企业法人治理结构

逐步建立以股东大会、董事会、监事会、管理层为主体的企业法人治理结构。重视独立董事的作用，充分发挥独立董事在内部控制中的核心作用。在董事会建立专业委员会，加强风险管理和控制。建立完善的风险管理体系，对面临或者发现的风险进行事前识别，事中评估以及事后防范。将风险进行划分，采用不同的应对措施。分清企业内部风险和外部因素，采取定量与定性相结合的方式有效化解风险。建立财务风险以及内部控制风险预警评估机制，及时发现风险，将风险控制在可能接受的范围之内。

4.强化以内部审计为主导的内部监督体系

强化风险导向审计，进一步保证内部审计的独立性，提高审计人员专业素质，审计中加强对内部控制的评估，构建完善的内部控制评价体系。要加大监督力度，及时披露内部控制的相关信息，促使管理层及时发现内部控制缺陷，改进内部控制，增强内部控制的有效性。

（作者单位：水利部中国科学院水工程生态研究所）endprint