美國COSO（The Committee of SponsoringOrganizations of theTreadwayCommittee），即Treadway委員會(huì )的發(fā)起組織委員會(huì )于1992年發(fā)布了一份關(guān)于內部控制的綱領(lǐng)性文件，即《內部控制-整體框架》（InternalControl-IntegratedFramework），該委員會(huì )在《內部控制-整體框架》的基礎上，又于2003年出臺了最新報告——《企業(yè)風(fēng)險管理框架》；在國內，也進(jìn)行著(zhù)內部控制和風(fēng)險管理領(lǐng)域的引進(jìn)和探索，國務(wù)院國資委于2006年6月6日，發(fā)布了《中央企業(yè)全面風(fēng)險管理指引》（以下簡(jiǎn)稱(chēng)《指引》），財政部在2007年3月2日發(fā)布了《關(guān)于印發(fā)<企業(yè)內部控制規范——基本規范>和17項具體規范（征求意見(jiàn)稿）的通知》（以下簡(jiǎn)稱(chēng)《通知》）。我們在咨詢(xún)的實(shí)踐過(guò)程中發(fā)現有很多企業(yè)不能真正理解全面風(fēng)險管理與內部控制的區別和聯(lián)系，要么將兩者完全隔離開(kāi)來(lái)，要么只是簡(jiǎn)單地將它們等同起來(lái)。本文試著(zhù)從兩者在COSO框架中的內涵以及在國內的運用對比分析來(lái)辨識兩者之間的區別與聯(lián)系，同時(shí)結合我們在相關(guān)領(lǐng)域的咨詢(xún)經(jīng)驗探索企業(yè)內部控制體系和風(fēng)險管理體系建設的一般過(guò)程和方法。
一、內部控制和全面風(fēng)險管理在COSO框架中的內涵 1、COSO框架中關(guān)于內部控制與全面風(fēng)險管理的定義
現代理論界對內部控制的定義各不相同，但被普遍接受的定義是國際權威機構美國的COSO委員會(huì )對內部控制的定義。該組織認為：企業(yè)內部控制是由企業(yè)董事會(huì )、經(jīng)理層以及其他員工共同實(shí)施的，為財務(wù)報告的準確性、經(jīng)營(yíng)活動(dòng)的效率與效果、相關(guān)法律法規的遵循等目標的實(shí)現而提供合理保證的過(guò)程。在COSO委員會(huì )的《內部控制管理框架》中，把內部控制活動(dòng)分成五大組成部分，即：控制環(huán)境、風(fēng)險評估、控制活動(dòng)、信息與交流和監督評審。
在多年的管理實(shí)踐中，人們意識到一個(gè)企業(yè)內部不同部門(mén)或不同業(yè)務(wù)的風(fēng)險，有的會(huì )相互疊加放大，有的則相互抵消減少。因此，風(fēng)險的考慮不能僅僅從某項業(yè)務(wù)、某個(gè)部門(mén)的角度出發(fā)，必須根據風(fēng)險組合的觀(guān)點(diǎn)，從貫穿整個(gè)企業(yè)的角度看風(fēng)險，即要實(shí)行全面風(fēng)險管理。
依據COSO委員會(huì )2003年7月完成的《全面風(fēng)險管理框架》定義：企業(yè)風(fēng)險管理是一個(gè)過(guò)程，是由企業(yè)的董事會(huì )、管理層以及其他人員共同實(shí)施的，應用于戰略制定及企業(yè)各個(gè)層次的活動(dòng)，旨在識別可能影響企業(yè)的各種潛在事件，并按照企業(yè)的風(fēng)險偏好管理風(fēng)險，為企業(yè)目標的實(shí)現提供合理的保證。該框架有三個(gè)維度，第一維是企業(yè)的目標；第二維是全面風(fēng)險管理要素；第三維是企業(yè)的各個(gè)層級。第一維企業(yè)的目標有4個(gè)，即戰略目標、經(jīng)營(yíng)目標、報告目標和合規目標。第二維全面風(fēng)險管理要素有8個(gè)，即內部環(huán)境、目標設定、事件識別、風(fēng)險評估、風(fēng)險對策、控制活動(dòng)、信息和交流、監控。第三個(gè)維度是企業(yè)的各個(gè)層級，包括整個(gè)企業(yè)、各職能部門(mén)、各條業(yè)務(wù)線(xiàn)及下屬各子公司?！度骘L(fēng)險管理框架》三個(gè)維度的關(guān)系是：全面風(fēng)險管理的8個(gè)要素都是為企業(yè)的四個(gè)目標服務(wù)的；企業(yè)各個(gè)層級都要堅持同樣的四個(gè)目標；每個(gè)層次都必須從以上8個(gè)方面進(jìn)行風(fēng)險管理。
2、內部控制與全面風(fēng)險管理的聯(lián)系
?。?）全面風(fēng)險管理涵蓋了內部控制。COSO2003年7月公布了全面風(fēng)險管理框架的征求意見(jiàn)稿中明確地指出全面風(fēng)險管理體系框架包括內控作為一個(gè)子系統。全面風(fēng)險管理除包括內部控制的3個(gè)目標之外，還增加了戰略目標；全面風(fēng)險管理的8個(gè)要素除了包括內部控制的全部5個(gè)要素之外，還增加了目標設定、事件識別和風(fēng)險對策3個(gè)要素。從時(shí)間先后和內容上來(lái)看，全面風(fēng)險管理是對內部控制的拓展和延伸。
?。?）內部控制是全面風(fēng)險管理的必要環(huán)節。內部控制的動(dòng)力來(lái)自企業(yè)對風(fēng)險的認識和管理，對于企業(yè)所面臨的大部分運營(yíng)風(fēng)險，或者說(shuō)對于在企業(yè)的所有業(yè)務(wù)流程之中的風(fēng)險，內控系統是必要的、高效的和有效的風(fēng)險管理方法。同時(shí)，維持充分的內控系統也是國內外許多法律法規的合規要求。因此，滿(mǎn)足內部控制系統的要求也是企業(yè)風(fēng)險管理體系建立應該達到的基本狀態(tài)。
3、內部控制與全面風(fēng)險管理的差異
?。?）兩者的范疇不一致。內部控制僅是管理的一項職能，主要是通過(guò)事后和過(guò)程的控制來(lái)實(shí)現其自身的目標；而全面風(fēng)險管理則貫穿于管理過(guò)程的各個(gè)方面，控制的手段不僅體現在事中和事后的控制，更重要的是在事前制訂目標時(shí)就充分考慮了風(fēng)險的存在。而且，在兩者所要達到的目標上，全面風(fēng)險管理多于內部控制。
?。?）兩者的活動(dòng)不一致。全面風(fēng)險管理的一系列具體活動(dòng)并不都是內部控制要做的。目前所提倡的全面風(fēng)險管理包含了風(fēng)險管理目標和戰略的設定、風(fēng)險評估方法的選擇、管理人員的聘用、有關(guān)的預算和行政管理、以及報告程序等活動(dòng)。而內部控制所負責的是風(fēng)險管理過(guò)程中間及其以后的重要活動(dòng)，如對風(fēng)險的評估和由此實(shí)施的控制活動(dòng)、信息與交流活動(dòng)和監督評審與缺陷的糾正等工作。兩者最明顯的差異在于內部控制不負責企業(yè)經(jīng)營(yíng)目標的具體設立，而只是對目標的制定過(guò)程進(jìn)行評價(jià)，特別是對目標和戰略計劃制定當中的風(fēng)險進(jìn)行評估。
?。?）兩者對風(fēng)險的定義不一致。在COSO委員會(huì )的全面風(fēng)險管理框架中，把風(fēng)險明確定義為“對企業(yè)的目標產(chǎn)生負面影響的事件發(fā)生的可能性”（將產(chǎn)生正面影響的事件視為機會(huì )），將風(fēng)險與機會(huì )區分開(kāi)來(lái)；而在COSO委員會(huì )的內部控制框架中，沒(méi)有區分風(fēng)險和機會(huì )。
?。?）兩者對風(fēng)險的對策不一致。全面風(fēng)險管理框架引入了風(fēng)險偏好、風(fēng)險容忍度、風(fēng)險對策、壓力測試、情景分析等概念和方法，因此，該框架在風(fēng)險度量的基礎上，有利于企業(yè)的發(fā)展戰略與風(fēng)險偏好相一致，增長(cháng)、風(fēng)險與回報相聯(lián)系，進(jìn)行經(jīng)濟資本分配及利用風(fēng)險信息支持業(yè)務(wù)前臺決策流程等，從而幫助董事會(huì )和高級管理層實(shí)現全面風(fēng)險管理的4項目標。這些內容都是內部控制框架中沒(méi)有的，也是其所不能做到的。 二、內部控制和全面風(fēng)險管理在國內的運用 1、國內關(guān)于內部控制與全面風(fēng)險管理的定義
目前國內關(guān)于內部控制和全面風(fēng)險管理的正式定義主要是財政部關(guān)于印發(fā)《企業(yè)內部控制規范——基本規范》和17項具體規范（征求意見(jiàn)稿）的通知以及國務(wù)院國資委發(fā)布的《中央企業(yè)全面風(fēng)險管理指引》中有相關(guān)的表述。
財政部關(guān)于內部控制規范的《通知》中對內部控制的定義是：是指由企業(yè)董事會(huì )（或者由企業(yè)章程規定的經(jīng)理、廠(chǎng)長(cháng)辦公會(huì )等類(lèi)似的決策、治理機構，以下簡(jiǎn)稱(chēng)董事會(huì )）、管理層和全體員工共同實(shí)施的、旨在合理保證實(shí)現以下基本目標的一系列控制活動(dòng)：企業(yè)戰略；經(jīng)營(yíng)的效率和效果；財務(wù)報告及管理信息的真實(shí)、可靠和完整；資產(chǎn)的安全完整；遵循國家法律法規和有關(guān)監管要求。
國資委《指引》中關(guān)于全面風(fēng)險管理的定義是：指企業(yè)圍繞總體經(jīng)營(yíng)目標，通過(guò)在企業(yè)管理的各個(gè)環(huán)節和經(jīng)營(yíng)過(guò)程中執行風(fēng)險管理的基本流程，培育良好的風(fēng)險管理文化，建立健全全面風(fēng)險管理體系，包括風(fēng)險管理策略、風(fēng)險理財措施、風(fēng)險管理的組織職能體系、風(fēng)險管理信息系統和內部控制系統，從而為實(shí)現風(fēng)險管理的總體目標提供合理保證的過(guò)程和方法。
2、國內關(guān)于內部控制和全面風(fēng)險管理與COSO框架的差異
總體上來(lái)說(shuō)，國內關(guān)于內部控制和全面風(fēng)險管理的內容基本參照或遵從了COSO委員會(huì )《內部控制管理框架》和《全面風(fēng)險管理框架》，但結合國內的實(shí)際情況和一些前沿的研究成果，國內對于內部控制和全面風(fēng)險管理在各自領(lǐng)域都有不同程度的調整、拓展和延伸。
?。?）目標緯度：財政部關(guān)于內部控制的定義相對COSO委員會(huì )對內部控制定義在實(shí)現目標上有所拓展，增加了企業(yè)戰略目標和資產(chǎn)的安全完整目標。而在國資委全面風(fēng)險管理的實(shí)現目標增加了“確保企業(yè)建立針對各項重大風(fēng)險發(fā)生后的危機處理計劃，保護企業(yè)不因災害性風(fēng)險或人為失誤而遭受重大損失?！绷硗?，其他四個(gè)目標也與COSO全面風(fēng)險管理四個(gè)目標在表述上有所差異，使之更適應我國企業(yè)經(jīng)營(yíng)管理表述習慣或者更具體而易于理解。從這個(gè)角度來(lái)說(shuō)，特別是內部控制實(shí)現目標的拓展使得其與全面風(fēng)險管理實(shí)現目標差異不大。
?。?）要素緯度：財政部?jì)炔靠刂啤锻ㄖ沸问缴辖梃b了COSO報告5要素框架，同時(shí)在內容上體現了風(fēng)險管理8要素框架的實(shí)質(zhì)；國資委全面風(fēng)險管理《指引》中則沒(méi)有明確指出是5要素還是8要素，但通過(guò)風(fēng)險管理基本流程（如圖1）將全面風(fēng)險管理的一些要素融合到流程中，從實(shí)質(zhì)來(lái)說(shuō)，也體現的是8要素的COSO全面風(fēng)險管理框架。 ?。?）層級緯度：財政發(fā)布的內部控制《通知》目前主要以財務(wù)報告內部控制目標為主線(xiàn)所涉及的業(yè)務(wù)層級有較詳細的規范；國資委全面風(fēng)險管理《指引》關(guān)注范圍更廣泛，包括戰略、財務(wù)、市場(chǎng)、運營(yíng)、法律等方面。因此，從企業(yè)的戰略風(fēng)險依次到經(jīng)營(yíng)風(fēng)險、財務(wù)風(fēng)險，最后到財務(wù)報告，風(fēng)險管理與內部控制的相對重要性應該各有不同。在戰略風(fēng)險方面，風(fēng)險管理應該發(fā)揮主導作用，內部控制起到配合作用。這一角色逐步逆轉，到財務(wù)報告層次，應該是內部控制發(fā)揮主導作用，風(fēng)險管理起到配合作用。
?。?）兩者關(guān)系：國資委《全面風(fēng)險管理指引》明確指出內部控制是全面風(fēng)險管理體系的組成部分，同時(shí)也指出除內部控制外的其他全面風(fēng)險管理組成部分（如圖2）。但由于財政部?jì)炔靠刂啤锻ㄖ烦雠_較晚，且借鑒了COSO全面風(fēng)險管理框架的內容，使得其內部控制的邊界擴大了不少，包括實(shí)現目標和要素都與全面風(fēng)險管理差異不大。因此，我們理解《全面風(fēng)險管理指引》中提到的內部控制與財政部?jì)炔靠刂埔呀?jīng)不可同日而語(yǔ)。從國際國內發(fā)展趨勢來(lái)看，隨著(zhù)內部控制或風(fēng)險管理的不斷完善和變得更加全面，它們之間必然相互交叉、融合，直至統一。 3、國內關(guān)于內部控制與全面風(fēng)險管理運用的一些誤區
?。?）把內部控制與全面風(fēng)險管理體系的建設理解為建章立制。其實(shí)從COSO框架的定義中，我們可以看出它們都被明確為是一個(gè)“過(guò)程”，不能當作某種靜態(tài)的東西，如制度文件、技術(shù)模型等，也不是單獨或額外的活動(dòng)，如檢查評估等，最好是內置于企業(yè)日常管理過(guò)程中，作為一種常規運行的機制來(lái)建設。
?。?）內部控制體系和全面風(fēng)險管理體系是相互獨立的。建設內部控制和全面風(fēng)險管理體系都是一個(gè)系統工程，兩者在內涵上也有一定重合，企業(yè)需要綜合考慮自身業(yè)務(wù)特點(diǎn)、發(fā)展階段、信息技術(shù)條件、外部環(huán)境要求等，確定選擇合適的管理體系和建設重點(diǎn)。比如，在監管?chē)栏竦慕鹑跇I(yè)或涉及人民生命健康的制藥與醫療行業(yè)，風(fēng)險管理的迫切性更強，企業(yè)以風(fēng)險管理主導內部控制可能更方便。而在另一些企業(yè)，為了符合信息披露中內部控制報告的要求，企業(yè)以?xún)炔靠刂葡到y為主導、兼顧風(fēng)險管理可能更適合。在相關(guān)管理理論和實(shí)踐不斷發(fā)展變化的今天，有時(shí)候先做起來(lái)比爭論更有意義。
?。?）內部控制和全面風(fēng)險管理的作用被夸大。有些企業(yè)對內部控制和風(fēng)險管理體系的建設寄有過(guò)高期望，他們希望內部控制和風(fēng)險管理可以確保企業(yè)的成功、確保財務(wù)報告的可靠性和法律法規的遵循性。而實(shí)際上無(wú)論多么先進(jìn)的內部控制和風(fēng)險管理體系都只能為企業(yè)相關(guān)目標的實(shí)現提供合理的而非絕對的保證。
?。?）內部控制與全面風(fēng)險管理理念在企業(yè)實(shí)踐落地難。由于新的管理理念和方法的引進(jìn)，與國內企業(yè)原有的管理體系和觀(guān)點(diǎn)存在較多的差異和差距，目前這些理念和方法還更多的處于導入階段，大多數企業(yè)管理人員還不能在這些框架和概念與企業(yè)的日常經(jīng)營(yíng)管理行為和語(yǔ)言之間建立直接的聯(lián)系。這造成了企業(yè)在這方面的理解有差異或者關(guān)注度不夠，除非出現強制性的相關(guān)規范和要求。其實(shí)這些理念、概念的出現并不是說(shuō)企業(yè)就缺乏這些，事實(shí)是理論來(lái)源于實(shí)踐又高于實(shí)踐，這些理論的提出有助于我們將散布于企業(yè)管理各個(gè)方面的相關(guān)元素按照框架的要求和標準進(jìn)行補充、修正和組合。 三、內部控制與全面風(fēng)險管理體系構建的一般過(guò)程 內部控制和全面風(fēng)險管理體系的構建都是一個(gè)系統工程，基本涉及了企業(yè)管理的方方面面，因此企業(yè)不可能一步到位建立一個(gè)完善的體系。實(shí)踐中企業(yè)往往根據自身的特點(diǎn)先搭建一個(gè)合理的體系框架并在此基礎上選擇某一目標或某一層面作為主線(xiàn)深入下去建立一個(gè)局域內部控制或風(fēng)險管理體系，然后再在企業(yè)全局推廣。因此，由于內容多，牽涉面廣，工作量大，企業(yè)往往需要組建相應的專(zhuān)職團隊以項目的方式來(lái)運作或者在外界咨詢(xún)團隊的協(xié)助下開(kāi)展工作。一般來(lái)說(shuō)，我們將體系建設分為以下五個(gè)步驟，如圖3：圖3:全面風(fēng)險管理體系建設的五個(gè)步驟
（注：圖三為示例，根據項目情況不同，在各步驟具體內容上會(huì )有所區別）
第二步：各業(yè)務(wù)層面分析：綜合運用各種調研手段和現狀描述方法清晰表述出業(yè)務(wù)現狀，并進(jìn)行研究分析，歸納總結出內部控制/風(fēng)險管理存在的問(wèn)題點(diǎn)。層面的劃分需要根據目標要求和企業(yè)特點(diǎn)，比如單體公司往往劃分為公司層面、業(yè)務(wù)層面、信息系統層面等，而集團公司就可能多出集團公司層面。
第三步：差距分析：結合COSO框架中的5要素或8要素標準進(jìn)行分析評價(jià)，發(fā)現差距，提出補充、修正或完善的方向。
第四步：內部控制/風(fēng)險管理體系建設：以前幾步工作成果為依據，搭建內部控制/風(fēng)險管理框架體系；以某個(gè)目標或某個(gè)業(yè)務(wù)層面為主線(xiàn)，進(jìn)行內部控制/風(fēng)險管理體系的建設。
第五步：測試及運營(yíng)維護：協(xié)助企業(yè)或外部審計機構進(jìn)行評估和測試；根據測試結果進(jìn)行調整；運行維護(推廣實(shí)施計劃)。
前三步驟緊密結合COSO框架的三個(gè)緯度展開(kāi)（第一步審視企業(yè)體系建設目標緯度，強調體系建設的目標導向，第二步結合目標要求分析業(yè)務(wù)層面內部控制或風(fēng)險管理存在的問(wèn)題，第三步以某目標或業(yè)務(wù)為主線(xiàn)分析與COSO框架評價(jià)要素之間的差距），第四步根據前三步的分析結果針對性的進(jìn)行內部控制或風(fēng)險管理體系的設計，第五步為測試及運行維護。
本站僅提供存儲服務(wù)，所有內容均由用戶(hù)發(fā)布，如發(fā)現有害或侵權內容，請
點(diǎn)擊舉報。
