全面风险管理视角下的企业内部控制体系构建初探

张超

[摘 要]企业发展同时受内部和外部环境的影响，内控体系的建设与执行非常重要。在现代风险管理理论下，原有的内控体系存在一定的不足，不能满足企业经营战略管理的需要，因此，有必要分析全面风险管理和内部控制之间的联系，并在全面风险管理的基础上搭建内控体系，以更好地帮助企业实现目标。基于此，本文分析了全面风险管理视角下的内控体系。

[关键词]风险管理；内部控制；体系建设

doi：10.3969/j.issn.1673 - 0194.2018.18.014

[中图分类号]F239.45 [文献标识码]A [文章编号]1673-0194（2018）18-00-02

1 全面风险管理与企业内部控制理论

风险指结果发生的不确定性，即最终结果与原有预期之间的偏离，人们往往用偏离的程度来衡量风险，而在企业实际经营管理的过程中，人们更加注重损失发生的可能性，也就是控制不确定结果所带来的期望损失。风险管理是在实践中不断发展、完善起来的，总体来说风险管理可以分为传统风险管理、现代风险管理和全面风险管理3个阶段。全面风险管理理念使企业能围绕经营发展的战略目标，将风险管理的理念贯穿于企业管理的各个层面和各个环节，培养全员参与的风险管理文化，从管理策略、管理措施、管理职能、管理信息系统和内部控制等诸多方面综合考虑实现企业经营管理的总体目标。

内部控制是指控制企业经营管理中的风险，并以实现企业盈利为最终目的而采取的一系列管理、控制活动的基础上产生发展起来的过程性活动。现阶段对内部控制最具代表性的解读是《内部控制整体框架》，COSO委员会在这个框架中明确地指出，内部控制是为了保障企业正常运营并不断提升企业的经营管理效率，要求公司董事会、管理层、普通员工各阶层与各部门共同参与的企业管理过程，内部控制包括控制环境、风险评估、控制活动、信息的沟通与交流和环境监控5个方面。同时，框架明确规定了各个层面的控制职责，即管理层、董事会、内部审计师和外部人员都需要按照各自的职责构建内部控制保障体系。

2 全面风险管理与内部控制的区别和联系

全面风险管理和内部控制的区别包括以下几个方面。第一，全面风险管理体系包含了内部控制，是风险管理中不可或缺的一部分。因此，全面风险管理比内部控制更加广泛，是对内部控制的进一步扩展和细化，包含了内部控制中所没有的经营目标、事项分析和风险处理等环节。第二，企业经营管理包括内部风险和外部风险两个方面，既包括经营风险、财务风险，也包括利率风险、政策风险。内部控制主要针对企业内部经营管理风险，且更加关注企业过去和现在的经营状况，以过去的信息为分析的主要出发点，而对影响企业未来经营发展的因素关注较少。第三，全面风险管理不仅注重损失产生的可能性，还从风险容忍度和风险偏好入手，帮助企业正视其所能接受多大程度的潜在风险，管理里风险的手段和工具也较为丰富。

全面风险管理和内部控制的主要联系包括以下几个方面。第一，内容体系有所重合。全面风险管理和内部控制中都包括了控制环境、控制活动、信息沟通、风险评估和监督5大因素，二者并不是完全孤立的，而是有所重合、相互融合的。第二，全面风险管理和内部控制的最终目标都是不断提升经营管理的效率并最终实现企业目的。二者的实现路径都包括风险识别、风险评估和风险防范。第三，实施过程相互影响。内部控制的主要目标就是风险预测、风险防范，其主要针对企业内部的经营风险，而全面风险管理的管理内容包括了内部经营风险、外部风险以及具体的实现路径，因此具有更加广泛的意义。从上述可知，内部控制可以被视为全面风险管理的有机组成部分，在风险管理和实施的过程中，双方也是相互影响、相互融合的。

3 全面风险管理模式下构建内部控制体系的原则

内部控制体系的构建原则是企业完善内部控制系统、提升内部控制作用、实现内控控制目标的依据，是企业内部控制的出发点和首先需要解决的问题。全面风险管理模式下的内控体系构建原则应该以全面风险控制理论为基础，在此基础上扩大内部控制的范围，使内控体系建设服务于风险管理目标，具体来说应包括以下几个方面。

（1）全面原则。全面风险管理包括企业内部风险和外部风险管理，要求企业需要综合考虑风险的识别、判断和解决途径，而全面风险管理下的内部控制不仅需要企业管理层和员工层加入内部控制体系的建设、完善和执行，也需要综合考虑企业愿景、企业文化、企业战略和现行政策、操作实用性、解决风险的各项途径等各项问题，既包括决策管理又包括操作細节，是一种全过程、全方位的管理。

（2）重要原则。全面风险管理要求企业综合考虑企业在生存发展过程中面临的现实性和未来可能发生的风险，同时需要有主有次、有张有弛，掌握影响企业发展的重点环节、重点领域、重大风险，通过控制重大风险达到推动企业发展的目的。

（3）真实原则。内控体系所控制的对象和有关活动应该是真实的，源头失真会导致整个内控体系崩溃，无法起到规避和防范风险的效果。同时，在全面风险管理下，风险影响因素错综复杂，各种风险相互交织，风险的误读、误判会导致内控徒劳无功，评价和控制的过程存在根本性的错误，最终的结果也只能以失败告终。

（4）独立原则。内控体系是建立在对各项活动的控制和监督上的完整的、相互配合的体系，因此，内控体系的实施和评价部门需要具有较高的独立性，不能与监督、管理对象存在利益上的纠葛，从而才能真正发挥内控体系的作用。

（5）成本原则。影响企业的因素各种各样，内控体系不是包打天下的，内控体系的搭建和执行本身也是企业的一种经济活动。内控体系一定要在成本效益环节上下功夫，寻求风险控制和经济效益的平衡点，以最小的成本防范企业风险，最大限度地增加企业效益。

4 全面风险管理模式下内部控制体系构建

通过对全面风险管理、内控体系的区别和联系，以及内控体系的构建原则进行阐述，说明全面风险管理是建立内控体系的基础，也为如何构建内控体系指明了方向。

4.1 构建全面风险管理为基础的内控体系的影响因素

为确保内控体系符合企业的发展要求，使内控体系真正发挥作用，企业应从以下几个方面入手。第一，培养全面风险管理意识。企业需要具有将全面风险管理和内控体系结合起来的意识，真正认识到风险管理和内控体系的内在关系，从而才能组织开展有效的活动，保障内控体系有效运行。第二，划分组织机构。内控体系的一个重要环节就是合理划分各个部门的职能，清楚地划分各部门的职能边界，能在有效提高效率的同时明确权利与义务，保障内部各部门的有效运转。第三，营造企业文化。企业文化是企业员工共同遵守的信条，良好的企业文化能有效提升效率，保证员工认同企业经营管理理念和风险管理活动，对风险管理下的内控体系运行起到了至关重要的作用。

4.2 全面风险管理下的内控体系指标构建

根据COSO框架和全面风险管理的有关理念，本文对内控体系的评价指标体系进行了优化。该指标体系分为两个层面、20个指标，具体指标体系如下。①控制环境要素。该指标包括企业文化、人员素质、组织架构、公司治理和规章制度。②风险控制要素。该指标包括管理目标、有效性、风险识别、风险控制。③控制活动要素。该指标包括销售环节、采购环节、存货环节、生产环节和投融资环境。④信息与沟通要素。该指标包括信息系统、信息质量、信息系统自动化。⑤监督管理要素。该指标包括内部控制报告、内部审计、外部审计。

4.3 权重设定

概括来说，指标权重的确定方法有定性和定量两种方法，定性方法包括德尔菲法、层次分析法等，定量分析法包括熵值法、灰色关联度法等。本文主要介绍定性方法。

（1）德尔菲法。该方法需要在匿名的情况下进行多轮调查，直至各专家的意见趋于一致。在此基础上，对专家的评价意见进行汇总分析，如果各专家的意见集中度和离散度达到能接受的程度，则对权重进行归一化处理，得到各指标的权重。该方法的优势在于可操作性强，不受数据的约束，缺点在于受人为的主观性影响大，准确度较低。

（2）层次分析法。在应用层次分析法时，首先需要对问题进行层次化，将不同问题分为不同的影响因素，再对第1层的影响因素进行分解，形成第2层的影响因素并以此类推。在假设每个影响因素都是相互独立影响上层指标的前提下，对每层的影响因素以及隶属关系将不同层次的因素进行聚合，形成一个多层次的分析结构模型，根据各因素的重要性程度进行赋值，最终形成优劣次序的排列。

5 结 语

本文首先梳理了全面风险管理和内部控制理论，在此基础上对全面风险管理及內部控制之间的区别与联系进行了系统的阐述，说明了二者之间的区别和联系，并重点说明了二者之间的融合性。之后，本文基于全面风险管理的视角构建了内部控制评价指标体系，对影响因素、指标体系、权重设定进行了全面分析，说明基于全面风险管理的内部控制体系可以更好地指导内部控制实践，确保能够顺利实现企业目标，希望能够为企业的风险管理及内部控制提供借鉴。

主要参考文献

[1]袁春燕.全面风险管理视角下企业内部控制体系构建研究[D].兰州：甘肃政法学院，2015.

[2]岳世忠，袁春燕.基于全面风险管理视角下的企业内部控制研究[J].生产力研究，2014（12）.

[3]潘玉琪.全面风险管理视角下的企业内部控制体系研究[J].中国内部审计，2016（8）.