全面风险管理体系与内部控制体系的并行与融合

杨蒲 成都生物制品研究所有限责任公司

一、内部控制与风险管理的概念及演进

风险管理与内部控制这两方面内容的形成经历了长久的发展，具有悠久的发展史。对于内部控制来说，其经历了五种不同的演进，由最初的内部牵制变为内部控制制度，从某种程度上来说，具有一定的规范性，其次又变为内部控制结构，意识到了企业结构的重要性，最后又经历了内部控制整体框架和风险管理整合框架，此时，内部控制的演进完成。而对于风险管理来说，经历了三个阶段的变革，分别是风险管理阶段的传统时期、现代时期与全面时期。但在最初，两个概念的内容所关注与侧重的方面有所不同，内部控制是在一开始主要对会计核算方面进行相互制约，进而保证财务正常管理的一种方式。风险管理是在一开始则注重于对风险进行预测并加以解决，从而降低企业损失的一种方式。

随着实践的不断发展，可以发现两个管理方式可以在一定程度上相结合，相互吸收。并在2004年的9月进一步增强融合的效果。从某种意义上来说，这是两者在发展中实现的一次重大突破，但也由此产生了“内部控制与风险管理”的探讨。而从企业的角度来看，将两者进行有机融合，很大程度上可以提高企业的管理成效，推动企业的发展，对企业有着重要的影响。

二、全面风险管理和内部控制的关系和异同

那么在内部控制与风险管理两者之间究竟有着什么样的关系呢？

根据调查研究发现，其中突出的观点主要有三种：首先是内部控制的概念属于风险管理概念的一部分。认为在企业的风险管理中内部控制发挥着重要的作用。其次是风险管理蕴含于内部控制体系中，因为从内部控制体系的基本内容中就可以发现风险管理的“身影”，最后是两者在一定程度上处于相同位置，但又存在着差异。两者的基本内容既相互补充又各自存在着独特的方面，不是涵盖与被涵盖的关系。

从一方面来看，在企业的发展过程中两者都为企业提供了支持，保证了企业的发展。在进行内部控制时，企业通常会选择风险管理理论所提出的办法，从内部控制出发，达到预防风险的作用，把即将产生的，对企业有着重要影响的风险控制在一个可控的范围之内。另一方面，两者之间也存在着不同之处，比如，两者的关注重点并不完全相同，内部控制主要是对过程进行管控，更加注重过程中的流程与实际操作，对企业目标的实现过程进行评价，同时对过程中的风险进行有效评估。企业的风险管理是企业发展的重点，在企业管理的各个方面都可以发现风险管理的“背影”，这就要求企业在进行战略目标的制定时就做好充分的准备，预防可能出现的风险。

除此之外，两个体系在实际运用中，所用到的方法具有一定的差异，风险管理通过提出评估模型来进行风险的防范，并且所用到的模型具有定性与定量的特点，同时创建出应对风险的各种工具与办法，在这种模型中内部控制被看作风险管理的重要途径之一。内部控制体系的管控措施主要有不同的职责相互分离、相互授权与审核。两者在融合的过程中既相互补充，又保持着各自体系的特点，推动了企业管理效率的提升。

三、全面风险管理和内部控制融合的必要性

全面风险管理体系和内控管理体系，虽然目标与内容有所差别，但其本质在一定程度上也有所相同，因此全面风险管理体系和内控管理体系不能分隔开来看，而应实现并行融合。

其必要性体现在以下几点。

（一）两者的预期目标

在企业的发展中，从某些方面来看，全面风险管理体系和内控管理体系的预期目标一样，都是为了企业的经济利益，把企业资产以及创造价值作为管理和控制的目的。正是有着相同的目标，因此两者才有了结合的前提。

（二）两者的组织结构

两者都是由同样的企业组织结构和人员进行。同一企业下，不能设置两套不同的机构来分别对两套体系进行管理，否则将造成管理幅度的重叠和管理上的混乱。因此，企业在机构设置以及人员分配中对两者的职责分配要加以考虑，对执行人的岗位职责中的专业管理、内部管理和风险管理等职责内容应充分明确。

（三）两者的关联性

在现代企业的管理过程中，对这两者的要求亦是同步存在的。内控体系的存在为风险管理提供保障；而风险管理则需要通过企业内控管理流程加以防范和控制。两者只有得到有机结合，才能发挥协同效应，真正为企业服务，推动企业的健康发展。

从以上方面来看，内部控制体系和全面风险管理体系只有实现融合和并行运转，才能发挥企业在风险和内控方面的最大效能，最终实现企业的各项经营目标。

四、全面风险管理体系与内控体系的融合方式

虽然全面风险管理体系与内控体系之间有着不同之处，但可以肯定的是，其对企业的发展与管理都有着重要的影响，处于同等重要的位置。那么如何让全面风险管理体系与内控体系相辅相成，有效结合，共同促进企业的发展呢？主要有以下方式：

（一）内控体系与全面风险管理体系并行实施

内控体系与全面风险管理体系并行的基础，是职责的明确安排与积极的合作。在企业的日常管理中，二者既可以被划分到统一的风险管理相关部门进行监管，同时还可以由两个不同的部门进行管理，其划分的依据在于内控体系与风险管理体系的职责与范围上的界定。通过不同的划分与定义，使内控体系与风险管理体系既相对独立，又可以并行融合，进而提高企业管理的效率，推动企业的发展。

内控体系注重对风险评估的流程进行监管，通过掌握各项内部控制的不同方面对风险进行预防。而风险管理体系则注重在管控的前端进行，其关键在于风险信息的收集、对风险进行准确的评估以及对风险监管提出相应的解决办法。将风险管理体系与内控体系进行不同的划分并赋予不同职责，不仅可以提高风险管控的全过程的效率，还可以避免两者在一定程度上部分功能的冲突，使内控体系与风险管理体系更好地发挥其作用。

（二）建设以风险为导向的内控体系

我国有些企业在国家颁布相关的文件之前就已经积极的对内控体系进行了有效的探究，并制定出了相关的策略，从某些方面来说内控体系在风险管理出现之前就已经完成了建立，先于风险管理体系的出现。对于此种情况，那么如何将两者进行有效融合呢？这时，“建设以风险为导向的内控体系”的提出就很好地解决了这个问题。对于早期内控体系的创建来说，往往侧重于对目标的流程进行管控，忽略了在目标实现过程中的风险预测与风险评估。而建设以风险为导向的内控体系，通过在内控体系中加入风险的内容，并运用风险管理中的风险预测与评估，制定相关的风险解决方法，充分完善了内控体系，同时也将两者进行了有效融合，发挥出了更大的作用，在企业管控中也有着重要的影响。

（三）建设风险管理框架下的内控体系

建设风险管理框架下的内控体系，就是在风险管理中加入内控体系的内容，作为风险管理框架下的一部分。建设此种方式体系，企业在最开始建立风险管理体系时就要将内部控制作为其进行管控的方式之一，将内部控制的管理要求嵌合在风险管理的各个环节之中。此种方案在体系建立初期就对风险管控流程以及内控管理要求做出了全面的整理，并进行了有机整合，确保其可以有效地发挥作用，避免出现冲突。

五、实施风险和内控融合体系的重点

（一）明确岗位分工，完善治理制度

要想实现企业的长久发展，就要创建一个切实可行的内部监督体系，通过有效的监督，相互的制约，稳固企业的管理，推动企业的进步与发展。首先，要对组织结构进行合理的设置，明确各个组织的职责，形成一个分工明确，相互制约的管理结构；尤其对于风险和内控融合的体系来说，应根据两个体系不同的融合方式，明晰相应人员的分工和职责。二是要明确各个部门，各个环节，各个人员的职责，通过良好的治理方式，创建激励与约束并行的管理制度，妥善处理员工与管理者的关系，并根据其效绩的不同，实行不同的激励机制，同时通过资本市场，管理人员市场与产品市场三者，建立与激励制度相符合的制约制度。三是制定出规范的员工考察制度与奖励机制，对于在企业管理中认真负责，高效完成工作的员工进行思想上的鼓励与物质上的奖励；而对于在企业管理中“浑水摸鱼”、偷懒给企业造成严重损失的员工与部门应给予警告与处罚，将员工的个人利益与企业的利益相挂钩，从而提高管理的有效性，推动企业的整体发展。

（二）高层管理者对风险和内控工作的重视程度

在企业的发展中，高层领导对于风险与内控工作发挥着引导者的作用，为企业的管理指引了方向，因此提高高层领导对风险与内控工作的重视，有利于企业管理的有效性，推动企业的发展。对于当前复杂多变的市场竞争，企业要想保持长久的发展，那么高层管理者就要充分把握企业的基本信息与发展现状，合理利用风险管理体系和内控体系为企业发展扫除障碍，使企业不断进步。

（三）充分发挥好内外部审计职能

企业应定期由审计部组织对内控管理工作开展评价。内控评价的目的，一是促进企业严格执行国家法规和内部规章制度；二是促进企业强化内部控制意识，建立健全内部控制体系；三是确保资产安全、财务报告及相关信息真实完整、提高经营效益和资产运营效率；四是及时发现内部控制中的缺陷，促进各项内部控制措施的完善和落地，有效评估和控制风险。同时，实施有效的内部审计，还能够对企业各经营环节经济活动操作者的权利实施有效监控，防止权利乱用，造成经济损失。

另外，除了加强企业内部审计，必要时，还需实施强制性外部审计。内部控制体系建立后能否切实实施，需要内外结合的力量给予保证。对于企业来说，其风险和内部控制的受益对象并不仅仅局限于企业所有者，还包括其他的利益相关者，例如供应商、消费者、同业竞争者、社区和政府等等。因此，随着我国资本市场的不断完善，更有必要发挥以注册会计师、审计师为主的外部监督力量的作用，加大对企业内部控制的审计力度。

（四）风险和内部控制文化的培育

重视企业员工文化意识上的教育，增强员工对内部控制内容的全面认识。企业的内部控制体系在企业管理的各个方面都发挥着重要的作用，包括技术部门的研发，质量的管控等方面，因此加强企业思想意识的教育有利于提高内部控制与风险管控的成效。

首先，要提高企业高层管理者的思想意识，让领导者意识到创建一个严格的内部控制标准的关键性，这是企业长远发展中的基础与第一步。其次，要增强企业财务人员的基本素养，使其对内部控制的基本内容有一个全面的了解，进而提高其工作能力。财务人员的能力高低直接影响到企业的管理水平，因此除了加强业务知识和法规知识的培训，企业还应持续对其进行职业道德教育，增强其风险和内部控制意识，不断提升自我约束能力。

另外还要加强企业的思想道德修养、风险管理体系和内部控制体系的制度认识。制定规定的日期，统一对员工进行风险管理体系和内部控制体系的宣讲，增强其对风险管理体系和内部控制体系内容理解的全面深化，约束自己的不当行为。因此要想使企业有长远的发展，就要让风险管理体系和内部控制体系的内容深入到每位员工的思想当中，为企业管理创建一个良好的环境，促进企业的发展。

六、结语

随着社会的不断进步与发展，一方面企业获得了发展的最佳时机，但也面临着许多的发展问题。就目前来看，大部分企业仍然受到传统风险管理思想的禁锢，依赖于管理者的经验和认知，而现代社会内外部环境的快速变化，则要求企业必须实施系统化、科学化的风险管理和内部控制，以最大限度降低企业风险发生概率。

本文就全面风险管理与内部控制两个体系的并行和融合进行探讨，系统分析了两个体系相互融合的必要性以及常见的三种融合方式，并对融合体系建设中的重点进行了浅析。在此基础上，现代企业还需结合自身的内外部环境、经营规模、业务范围、竞争状况和风险水平等实际状况，建立起一套适合本企业的风险内控管理融合体系，以应对企业未来发展过程中的各类风险，为企业的长足稳健发展保驾护航。