企業內部控制與風險管理

　　從英國巴林銀行、美國安然公司、世通公司到雷曼兄弟等國際知名公司相繼暴露出嚴重的財務失敗事件，加強公司治理、內部控制和風險管理的呼聲愈來愈高。
　　在我國，風險管理是企業管理中一個相對薄弱的環節，風險意識不強、風險管理工作薄弱，是企業發生重大風險事件的重要原因。2006年6月，國資委制定并發布了《中央企業全面風險管理指引》，對于建立健全風險管理長效機制，推動風險管理工作具有一定的意義。2008年6月財政部發布企業內部控制基本規范，強調企業應當建立實施風險評估程序。然而，在我國企業內部控制與風險管理，尚存在許多問題，在工作實踐中，就內部控制與風險管理的關系，多種觀點并存。有的認為風險管理包括內部控制，有的認為內部控制包括風險管理，還有的認為內部控制就是風險管理。

　　筆者認為，風險管理與內部控制是兩個不同的概念范疇，在企業管理中，二者同時存在并相互依存，存在著必然的內在聯系，而不是相互包含的關系，更不是簡單等同關系。

　　什么是內部控制

　　和風險管理

　　企業內部控制是以專業管理制度為基礎，以防范風險、有效監管為目的，通過全方位建立過程控制體系、描述關鍵控制點和以流程形式直觀表達生產經營業務過程而形成的管理規范。內部控制包括控制環境、風險評估、控制活動、信息與溝通、監控等五個相互聯系的要素。

　　風險管理又名危機管理，是指生產過程中，風險管理部門對可能遇到的各種風險因素進行識別、分析、評估，以最低成本實現最大的安全保障的過程(風險管理是一個過程，由風險的識別、量化、評價、控制、監督等過程組成)。

　　內部控制

　　與風險管理的不同

　　內部控制與風險管理的主要區別在于，目的不同、目標不同、作用不同和發揮作用的環境不同。

　　第一、風險管理的目的是要及時地發現風險、預測風險以及防止風險可能造成的不良影響，并設法把這種不良影響控制在最低的程度上。而內部控制是企業內部采取的風險管理流程規范，僅僅是管理的一項職能，只是對目標的制定過程進行評價，主要是通過事后和過程的控制來實現其自身的目標。

　　第二、風險管理工作，注重防范和控制風險可能給企業造成損失和危害，同時把機會風險視為企業的特殊資源，通過對其管理，為企業創造價值，促進經營目標的實現。而內部控制則是以專業管理制度為基礎，實施的遵循性控制活動，它無法防范管理層非理性風險和凌駕于管理制度以上的決策風險。

　　第三、企業開展全面風險管理工作是與其他管理工作緊密結合，在綜合考慮內部環境和外部環境的情況下，把風險管理的要求融入企業管理和業務流程中。而內部控制則是在內部環境下，根據國家有關法律法規和企業章程，建立的公司治理結構和議事規則。風險管理是以應有的風險意識開展企業管理的各項工作，內部控制是開展各項工作應遵循的操作規范。

　　第四、全面風險管理，指企業圍繞總體經營目標，通過在企業管理的各個環節和經營過程中執行風險管理的基本流程，培育良好的風險管理文化，建立健全全面風險管理體系，從而為實現風險管理的總體目標提供合理保證的過程和方法。內部控制的目標是合理保證企業經營管理合法合規、資產安全、財務報告及相關信息真實完整，提高經營效率和效果，促進企業實現發展戰略。

　　內部控制

　　與風險管理的內在聯系

　　從內部控制和風險管理的結構說，風險管理與內部控制的組成要素有五個方面是重合的，即控制環境、風險評估、控制活動、信息與溝通、監督。兩者存在著不可分離的內在聯系。

　　第一、內部控制的最重要目的之一就是防范風險，沒有風險防范這一既重要又明確的目的，內部控制的存在就大打折扣，至少發揮作用的空間會受到極大的限制。

　　第二、風險分為內部風險和外部風險，企業的內部風險普遍存在于生產經營的各個環節，如何識別、評估、分析風險，實施風險解決方案，必須采取一定的措施，風險信息的取得是實施風險管理的前提，收集不到風險信息，風險管理就無從談起。而內部控制是通過全方位建立過程控制體系、描述關鍵控制點和以流程形式直觀表達生產經營業務過程而形成的管理規范。內部控制這種嵌入式的工作方式，恰好為風險信息的收集提供了極大的方便，可見內部控制是作為風險管理的一種重要手段而存在的。

　　第三、風險管理是指生產過程中，風險管理部門對可能遇到的各種風險因素進行識別、分析、評估，以最低成本實現最大的安全保障的過程。從其過程看，風險得到控制是其最終目的，這恰是內部控制的最基本的作用所在。可見實施風險管理離不開內部控制這一強有力的工具。

　　第四、無論是內部控制還是風險管理，是一個全員全程參與的過程，實施內部控制和參與風險管理的主體是一致的，過程是一致的，它們的最終目的也是一致的。當我們在管理風險時,也正在實施控制，筆者認為這是一個協調統一的機制。

　　如何開展內部控制

　　和風險管理工作

　　如何實施內部控制進行有效的風險管理，是擺在我們面前的首要任務。

　　第一、要創造良好的控制環境，注重建立具有風險意識的企業文化。在企業風險管理過程中，每一位員工要樹立“風險無處不在”的理念，應當知道個人職責對公司風險有怎樣的影響，以及在公司內部的作用和責任與他人有怎樣的關系，這是企業風險管理的一個重要方面，也是充分有效開展風險管理工作進行的前提。

　　第二、要有強烈的風險意識和內控責任。風險管理的起點是風險識別，是進行有效風險管理的基礎和關鍵。我們有責任對企業面臨的各種風險進行識別，然后將風險進行分類，并追溯導致風險產生的各種因素。在全面風險管理框架下，風險識別的目標，就是要廣泛、持續地收集與本企業風險和風險管理相關的內部、外部初始信息，發現企業面臨的各種風險。

　　第三、要充分利用內控規范并使其得到不斷地優化。內控規范是根據管理制度和操作流程，征求相關責任崗位意見的基礎上制定的，使用內控規范是責任崗位執行人的本分，嚴格執行內控規范，使每項業務得到恰當處理，這樣既提高了工作效率，又合理保障了企業整體目標的實現。

　　筆者認為，內部控制與風險管理是體制與機制的關系，僅有內部控制這個體制，而無風險管理的意識，則內控管理就是空架子，缺乏靈魂。有了風險管理意識，而無內部控制框架，則風險管理就失去了科學的管理手段，也易形成風險管理目標的缺失。