风险管理和内部控制体系篇1
关键词：风险导向内部控制
针对多业态跨区域经营特点，为加强企业风险管控，公司结合生产经营实际，积极探索适合企业发展需要的以风险为导向的内部控制体系建设及管控模式。经过几年的探索实践，增强了企业风险管控能力，提升了企业经营管理水平，为实现公司战略目标起到了积极的促进作用。
一、建立以风险为导向的内控体系是提升公司风险防控能力的客观需要
（一）防控风险已经成为公司管理的重要目标
世界经济进入全球化时代，企业经营业务多元，地域分散，复杂的社会经济环境影响着公司的经营、稳定和发展。随着企业经营规模扩张，交易金额增大，交易频率加快，企业面临的不确定性因素增多，传统的企业管理制度局限性日益凸显。分析国内外企业倒闭或衰败的例证，总结本公司多年经营中的经验和教训，无不与企业风险管控密切相关，经营过程中的风险防控已经成为企业管理的重要目标和焦点。建设和完善风险为导向的内部控制体系已成为企业防控风险重要措施。
（二）防控企业风险要靠严密的内部控制体系做保障
公司风险管控经历了三个阶段，一是凭经验管理（公司初创时期），对有风险的业务选派“经验丰富”的人去管理，经营决策靠有经验的领导把关，被称为经验管控阶段。二是靠单项制度控制，针对高风险业务制定专门的控制措施，做到一事一制度，方法虽然简单，但由此步入了制度控制阶段。经过一段时间摸索，积累了一套行之有效的管理制度，在规范企业管理和防控风险中发挥了重要的作用。但由于规章制度多为单项规定，程序性规定很少，标准制度没有流程保证，且各专业部门颁布的管理制度都带有不同程度的局限性，缺乏系统性、全局性，已不能适应企业全面风险管理的要求。三是进入了体系控制阶段，为做好企业风险防控工作，公司结合不同风险特征，对现有的制度、标准和程序进行了完善，对业务流程进行了重构，提高了制度的可操作性、严谨性和规范性。将原有的内控制度提升以风险为导向内部控制体系，实现了风险管理多维度的体系控制。
（三）防控风险是提升公司综合管理能力有力手段
以风险为导向的内部控制体系建设及实施，不仅提升风险管控能力，而且提升了公司的综合管控能力，该体系明确了控制活动的对象，规范了交易活动源头控制的业务流程，强化了控制主体责任，使公司各种经济活动实现了全面受控。通过系统严谨闭环管控措施的落实，很好的与企业经营活动结合起来，逐步改善企业的内控管理，使公司综合管理能力不断提高。
二、以风险为导向的内部控制体系框架及做法
公司借鉴国内外内部控制实践经验，以CoSo框架及财政部等五部委颁发的《企业内部控制基本规范》和国资委的《中央企业全面风险管理指引》为基础，结合企业实际，建立以公司战略为核心，以风险为导向，以责任为主线，以业务流程管控为方法，以监督与评价为手段，注重管理改进的企业内部控制管理系统。从确定内部控制体系的目标、辨识评估风险、梳理管控流程、制定控制措施、开展内控监督与评价和持续改进等五个方面，推动、构建和完善了以风险为导向的内部控制体系建设。
（一）确定以风险为导向的内部控制目标
目标设定是以风险为导向的内部控制体系建立的前提条件，在风险管理过程中是一个重要环节。首先是在设定内部控制目标的过程中，要充分考虑各种风险对企业经营管理的影响程度，把握对重大风险的判断。其次是要根据内部控制目标设定，确定内部控制实施方案，并随着目标改变适时进行必要的调整。三是风险控制措施根据内部控制目标的存在而确定，随着目标的改变而改变，只有先明确了内部控制目标，才能对识别出的风险制定相应控制措施。
公司围绕经营及管理风险，确立以资产的存在、完整、归属、计价正确和收益等属性的落实为风险控制的现实目标，以实现“体系可靠、风险可控、运行可持续”为体系规划目标。总目标是：以国家相关法律法规为依据，以公司现有资源为基础，以财务报告风险、法律风险、经营风险为切入点，以源头治理和过程控制为核心，以防范风险为重点，对企业现有管理制度、职责分工、权限分配和业务流程进行全面梳理，建立起设计科学、简洁适用、运行有效的内部控制体系，推进科学治企。
（二）建立风险数据库
通过收集风险事件，确定公司层面风险分类和风险名称，形成公司层面风险事件库和风险数据库。针对风险事件关联性，主要收集了连续三年公司内部风险事件案例、行业内相关历史事件和未来风险预测，包括公司相关材料记载的相关事件、内外部审计发现的问题、各业务部门存在的重大问题或隐患等。通过分析筛选，选取具有代表性的、对公司影响较大的事件共77条，形成公司层面的《风险事件库》。
在收集风险信息过程中。按照内外部、业务板块、部门单位等条件将各类风险因素进行分类汇总，厘清各个问题之间的因果关系，方便从整体上把握风险和机会，有助于各职能部门更好地认识和关注与其直接相关的风险。经过比对分析，确定公司各项业务、重要经营活动及重要业务流程中的风险，并予以客观准确地表述。通过与各职能部门以及所属单位反复沟通，识别出可能影响公司实现经营目标的风险因素，进行整理分析并编制《风险汇总表》，最终确定了公司层面风险分类和风险名称，共4大类24个风险，形成公司层面的《风险数据库》。
（三）识别与评估风险
风险是指可以识别的不确定性事项，它能对企业经济利益造成有利或不利影响，其来源及影响具有不确定性。风险评估的目的是对影响公司的不确定性因素进行识别，对其进行科学评估、量化，指导对不确定性因素的把控。
风险识别是风险评估的基础，其结果直接影响着整个风险管理流程的节点设置，公司各职能部门及所属各单位运用确定的风险识别方法，结合内外部风险事件信息，对本部门及本单位业务涉及的风险事项进行识别、归类，在分析的基础上确定本部门及本单位公司层面、业务活动层面、信息层面的风险。根据各部门及各单位识别出的风险，进行分类整理、分析汇总，确定公司存在的各类风险。
风险评估。在编制公司层面风险事件库和风险数据库的基础上，根据获得的历史数据和行业资料等信息，查找风险发生的内外部原因，组织开展公司风险发生的可能性及影响程度评分分析，对公司层面24个风险发生的可能性和影响程度进行评分，并计算个体评分的风险值。按照风险评分人员的业务能力、技术水平和工作经历等，对参与风险评分人员划分类别，设置相应权重，并采用加权平均的方法计算风险等级分值，评估公司面临的风险。按照上述方法计算24个风险的加权平均风险值并排序，依据公司风险等级标准，确定公司层面重要风险12个。
（四）梳理管控流程
按照《企业内部控制基本规范》，遵循内部控制体系固定的框架及文本模板，编制组织结构图，描述部门及岗位职责，建立起业务管理流程。公司针对确定的各类风险，按照规范及重要性原则，以实现业务不交叉、管理不重叠和责任不遗漏为前提，实现各类资源的优化配置，提升管理效率和市场反应速度，防控风险的目的。业务流程管理遵循风险导向、业务驱动、规范描述和强化执行的原则，突出流程与业务与管理的深度融合，将业务操作、管理制度、工作职责和信息化建设有机结合起来，形成了脉络清晰的流程架构。公司共梳理一级流程22个，二级流程165个，三级流程553个。设置318个风险点。建立了一套清晰顺畅、完整严密的业务及管理流程体系。
（五）制定控制措施
根据风险评估的结果制定控制措施是内控体系的关键环节，一是要针对重要业务流程，分析控制重点，按照公司各项规章规章制度，制定控制措施。二是参照《企业内部控制基本规范》，查找现有控制措施中的缺项和遗漏，设计改进措施方案。三是落实相关部门和责任岗位，固化到内部控制的各环节中。四是根据控制措施的描述，补充相关管理制度，完善以风险导向的内部控制体系的各项控制措施。五是对公司层面的控制主体、信息系统和内部监督等总体控制进行系统衔接，形成完备的内部控制措施体系。
制定公司层面风险管理策略。各责任部门根据风险的定义、影响因素及风险表现，结合本业务的风险偏好，确定应对风险的具体策略。根据业务流程确定风险领域和风险源，依据风险源来找寻关键风险成因，并确定相应的风险预警指标数值或区间，从控制风险的目的、组织、方式和监督等方面制定风险管理策略70条，关键控制点240个，制定控制措施368条。
基于风险导向的内控体系是以风险识别、评估为基础，进而分析、设计和实施内部控制的风险管理行为，亦是以流程为载体，管理界面、岗位职责、管理权限和控制措施清晰，满足风险控制要求及涵盖经营管理全部业务的内部控制体系，是公司实施对风险有效管控的制度保证。
三、以风险为导向的内部控制体系的运行管理
内部控制体系重在建设、关键是执行。公司在内部控制体系的建设过程中，根据内部控制体系建设总体要求，统筹安排各项具体工作。公司对颁布《内部控制管理手册》、内部控制体系组织实施、内部控制体系监督、测试、评价及改进等工作进行了周密部署，提出了加强内部控制环境建设的要求，制定了打造内部控制支持系统的具体措施，确定了内部控制体系推行的阶段性目标。
（一）颁布并全面实施内部控制管理手册
按照内部控制体系建设总体实施方案，公司把内部控制体系的执行作为内控管理的关键环节来抓。落实过程中，一是由公司总经理签发，以公司文件形式颁布内部控制体系实施令，确保内部控制管理手册的权威性和各单位、各业务层面及各管理岗位的全面执行。二是充分考虑企业整体经营管理现状，采取近期目标和远期目标相结合，优先解决风险管理中的薄弱环节，突出对重要单位、重要业务、重要流程和重要风险点的管控，实现将企业的风险控制在合理水平的目标，力求取得控制实效。三是根据公司业务发展的不同阶段，在内部控制基本手册推广执行基础上，结合海外后勤服务和房地产开发业务的特殊管理需要，分别编制公司海外后勤服务和房地产开发业务内部控制分册，在相关业务领域实施。四是统筹公司总部、各单位和各经营业务内部控制管理手册执行的管理，疏通内部职能部门之间、上下游业务之间及横向同级单位之间的流程管理接口，形成较为畅通的运行管道，使内部控制管理体系的管控触角横向到边，纵向到底，不留死角。
（二）编制年度风险管理报告，实施风险动态评估
公司为推动以风险为导向的内部控制体系建设，使风险管理向规范化、科学化和常态化方向发展。公司每年开展一次包括所属单位在内的风险管理报告编制工作，完善企业重大风险管理报告机制。一是强调全面反映本单位存在所有风险，明确面临重大风险，剖析风险产生的原因，反映造成直接和间接经济损失的量化指标，以及对企业的影响程度。二是报告内容要突出风险管理的动态、量化和信息化控制目标。三是对公司重大风险，要明确责任单位和人员，提出风险管控要求，完善风险应对措施，建立风险预警指标体系，合理配置管控资源，确保重大风险管理责任到位。
公司每年编制并风险管理报告，拓展对企业风险认识的深度和广度，并以风险管理报告为抓手，对重大风险统筹管控，确定管控目标，明晰管控措施，制定管控责任，实现对公司风险评估的持续推进和对风险的动态监控。
（三）开展内部控制体系运行控测试及评价
按照内部控制体系建设总体要求，公司依据《公司风险管理与内部控制体系评价管理办法》每年一次对内部控制体系运行情况进行测试及评价，并出具对风险管控体系设计科学性与运行有效性的评价结论。测试主要围绕公司层面，包括职业道德、高管基调、权利及责任分配、举报与违规处理、反舞弊程序和控制；业务活动层面，包括财务管理（资金管理、资产管理、会计核算、财务报告）、物资管理、合同管理；信息系统层面，包括控制环境、信息安全、变更管理、项目管理、日常运维和最终用户操作等六个部分进行测试。并根据公司主营业务，对重要业务流程进行跟单和关键控制测试，同时对电子表格的内容、密码保护、保存地点、变更和备份等进行符合测试。
通过持续开展内部控制体系的运行测试、内部控制审计和内部控制综合检查，全方位督促内部控制体系的落实，切实提高了内部控制体系的运行效果。几年来，公司层面风险由4大类24个风险，下降为3大类12个风险。公司内部控制体系运行总体评价一直保持在“良好”以上水平。
（四）持续修订完善《内部控制管理手册》
针对公司经营业务变化调整和企业管理提升，不可避免存在已实施的《风险管理与内部控制管理手册》与企业发展及管理强化不相适应的矛盾。因此，要保证内部控制体系持续有效运行。一是根据国家法律法规等政策调整，对内部控制体系的合法性控制条款进行补充修订，增强内部控制体系条法约束。二是在公司经营和管理等环境发生重大变化或部门职责、流程和人员等发生调整时，及时对涉及的相关业务流程重新进行梳理、评估及修订，并适当增加关键控制措施。三是针对内部控制体系评价中发现的管控缺陷和提出的管理建议，制定切实可行的改进措施和方案，对管控体系进行持续完善，优化控制措施，形成内部控制提升管理、管理推动内部控制的互动机制。四是在总结海外后勤基地服务和房地产开发业务内部控制管理分册运行成果的基础上，加大对包括酒店物业等公司内部控制手册分册的编制和推广力度，增加内部控制手册专业分册的覆盖面，提高特殊专业领域关键控制措施的针对性，增强控制效果，推进公司内部控制手册向专业化管理方向发展。
公司通过以风险为导向的内控体系建设实践，企业员工风险意思普遍增强，风险管控措施得到了较好的落实，企业风险得到了有效控制，内部控制管理能力大幅提高，公司以风险为导向的内部控制管理为企业效益提升和稳步发展做出了积极的贡献。
参考文献：
[1]《企业内部控制基本规范》.
[2]《中央企业全面风险管理指引》.
风险管理和内部控制体系篇2
1.现代企业内部控制与风险管理的概述
1.1内部控制内涵。对于现代企业而言，做好内部控制对于增强企业竞争力、提高经济效益等均具有十分重要的意义。现代企业内部控制贯穿于整个经营、经济管理的过程中，其主要是由各级管理层、全体工作人员共同实施，以实现企业合法、合规经营、资产安全、财务报告真实完整等目标，最终促使企业健康、稳定发展。一方面，科学合理的内部控制，有利于企业各个部分的有效沟通和配合，明确各自的责任和权利，从而提高企业运行效率；另一方面，内部控制是企业管理的重要内容，通过财务控制与其相配合，有利于促进企业实现总体经营目标。
1.2风险管理内涵。风险指的是在一定的空间、时间背景下，人们的期望值与实际值之间存在的差异程度。对此，风险管理即为通过一定的措施和手段，最大限度地降低风险发生可能性、影响程度。风险管理的步骤主要为：风险识别、风险评估、风险应对以及效果分析，贯穿于企业的生产、销售等一系列流程中，与其他管理层面共同推动企业发展。科学、合理的风险管理有利于帮助企业管理者做出正确的决策，避免因为管理者的错误影响到企业的发展。
1.3现代企业内部控制与风险管理的融合。在现代企业中，其内部管理已经从单一的控制模式发展成为了基于风险管理的内部控制模式，对此可以发现内部控制与风险管理的融合成为了企业发展的一个重要趋势。将内部控制与风险管理进行有效融合，有利于利用内控和风险的互补关系，根据风险评估制定有效的内部控制制度。值得注意的是，对于企业而言，越是处于高风险的环境之下，越是需要建立一个科学的内控体系，同时内部控制主体应具有较强的风险意识以及风险认识能力，使得内部控制、风险管理统一，从而为企业的发展保驾护航。
2.我国内部控制和风险管理应用中存在的误区
（1）部分企业对于内部控制、风险管理的应用仅仅停留在建章立制的阶段，其认为在管理制度中提及内部控制、风险管理就是应用，但是若是仅仅只有规定，而没有施行，这样的内部控制依旧是不健全的，是没有任何效果的。对此，必须将内部控制、风险管理融入企业日常管理过程中，并在实践中不断完善制度。
（2）未能够将内部控制与风险管理相联系。在企业管理过程中，内部控制与风险管理属于一个系统系统工程，对此企业应综合考虑自身的业务特点、外部环境等，选择合适的管理体系。以金融业和制药、医疗行业为例，风险管理十分必要，以风险管理主导内部控制能够获得更好的经营效果；对于其他一些企业而言，则应以内部控制为主导，辅以风险管理，以满足企业发展需要。
（3）过高估计内部控制与风险管理的作用。当前，我国部分企业对于内部控制与风险管理的认识不到位，致使过高地估计了其作用，认为只要实施内部控制与风险管理制度，就能够保证企业稳定发展。
（4）内部控制与风险管理理念的落地难度较大。对于现代企业而言，先进管理理念的引进需要一个过程，这主要是由于这些管理理念与国内企业传统管理体系存在一些差异甚至是冲突，必须对其进行落地处理，从而与企业日常经营管理建立直接联系。
3.现代企业的内部控制与风险管理体系的构建
3.1评估企业风险，设计内部控制体系。企业风险评估结果是构建内部控制体系的重要基础，只有做好企业风险评估工作，方能保证内部控制体系的可行性和科学性。现代企业内部控制体系的设计步骤如下所示：设计执行评估完善。
（1）设计环节。在上述步骤中，最为重要的即为设计环节，其直接决定企业内部控制体系的科学性、可靠性，对此企业必须充分结合自身经营情况、管理特点，保证内部控制体系与企业发展现状相适应。（2）执行环节。在执行这一环节中，应根据企业各个部门和各层级技术特点，构建相应的管理制度，从而确保内部控制体系的有效落实。（3）评估环节。该环节中的重要任务即为评估内部控制预期目标达成率，注意评估过程必须公正、透明，从而为企业管理人员提供一个真实有效的改进依据。（4）改善环节。该环节的工作是建立的评估的基础上的，管理人员应根据评估据结果，对企业控制制度进行跟进、修正，使其能够与企业实际发展情况相是一个，以便发挥自身的管理、监督等作用。
3.2根据企业运行情况，制定严密的执行制度。企业建立了合适的内部控制体系之后，为了确保其执行度，必须根据自身运行情况，制定严密的执行制度，具体如下所示：（1）明确控制目标和控制责任，在内部控制体系的实际运行过程中，应做好控制授权工作，使得企业内各个部门与岗位能够明确自身的职责和控制权限；同时，因制定一个严密的执行制度，从而为各个部门与岗位的行为提供指导。（2）做好不相容职务的分离工作，从而实现人为风险的有效降低，为内部控制扫清障碍，有效填补好管理漏洞。
3.3完善风险管理组织机构。在现代企业内部管理过程中，一个做好风险管理组织机构的完善工作，其主要包括以下几个方面的内容：（1）建立全面风险管理领导小组，该小组应由企业管理者直接负责，主要任务是指导企业科学开展风险管理工作；（2）组织建立专职部门，负责全面风险管理工作的具体执行；（3）充分发挥企业内部审计部门的监督作用。企业内部审计部门应构建相应的风险管理监督评价体系，各个部门在进行风险管理工作中，必须自觉接受内部审计部门的监督与评价。
3.4提高风险意识。对于现代企业而言，其管理人员甚至是全体员工均应具备高度的风险意识，重视风险管理工作，严格执行企业内部控制体系，从而提高企业把控风险、应对风险的能力，避免出现以权谋私、内部管理混乱等问题，从而导致企业面临的风险增大、增多。此外，随着信息技术的不断发展，互联网技术的广泛使用，使得电子商务活动也越来越频繁。在此背景下，企业必须重视网络数据风险控制，增强信息安全风险意识，避免因为内部管理漏洞或是信息系统漏洞，导致企业内部数据泄露，从而造成重大损失。
3.5增强企业部门之间的协同能力。在现代企业中，由于分工的不同，导致各个部门之间经常出现各自为政的现象，这十分不利于企业的整体发展。因此，对于企业内部控制和风险管理而言，培养各部门的整体意识极为重要。内控体系不应仅仅是为个别部门或是个人的利益所服务的，而是应推动各部门、层级之间的信息共享，使其能够建立起一个和谐互助的管理，共同承担企业发展的重任。
风险管理和内部控制体系篇3
【关键词】内部控制；风险管理；公司治理；战略管理
受美国2002年出台的萨班斯——奥克斯利法案（以下简称sox法案）的影响，我国所有赴美上市及计划赴美上市的企业必须按照美国监管机构的要求，完善内部控制体系、完成内控评估报告。同时，随着经济全球化的深入，企业遭受产品市场、要素市场和金融市场的价格冲击越来越大，各类风险产生的扩张效应和联动效应越来越严重。因此，内部控制和风险管理成为现代企业重点关注的课题。
本文将在回顾内部控制和风险管理理论发展的基础上，探讨二者之间的关系，并结合宝钢在内控体系建设和风险管理方面的最佳实践，提出整合的风险管理框架设想，以期对我国企业的内控体系和风险管理体系建设提供借鉴。
一、内部控制、风险管理的理论发展及其关系
（一）内部控制理论的发展
20世纪70年代中期的“水门事件”引起了美国立法者和监管团体对内部控制问题的重视。美国国会于1977年通过的《反国外腐败法》是美国在公司内部控制方面的第一个法案。1980年后，美国coso委员会将“内部控制”定义为“一个组织设计并实施的一个程序，以便为达到该组织的经营目标提供合理保障”。在coso委员会制定的内部控制框架中，把内部控制活动分成五大组成部分，即：控制环境、风险评估、控制活动、信息与交流和监督评审。
2002年，美国成立的上市公司会计监管委员会（简称pcaob）明确采用了coso内控框架作为内控评价的标准体系。许多国家和地区的资本市场也采用了coso内控框架，有些国家和地区在参照该框架的基础上建立了自己的内控体系。
我国在2005年先后出台了《上交所上市公司内部控制指引》和《深交所上市公司内部控制指引》两个文件。上述两个文件参照了美国sox法案的要求，在理论体系上和coso内控框架一脉相承。
（二）风险管理理论的发展
企业风险管理理论发展大致分为三个阶段。第一阶段：以“安全和保险”为特征的风险管理。100多年前航运企业风险管理的主要措施就是通过保险把风险转移给保险公司。第二阶段：以“内部控制和控制纯粹风险”为特征的风险管理。随着工业革命的发展，公司对业务管理和流程方面的内部控制提出了要求。美国1977年的《反国外贿赂法》要求公司管理层加强内部会计控制；1992年的《coso内部控制综合框架》提出以财务管理为主线的内部控制系统。第三阶段：以“风险管理战略与企业总体发展战略紧密结合”为特征的全面风险管理。风险管理实践表明，仅靠内部控制难以实现企业的最终目标。为此，coso于2004年9月出台了《coso企业全面风险管理整合框架》（简称erm），提出了由三个维度构成的风险管理整合框架。
我国国务院国资委于2006年《中央企业全面风险管理指引》（以下简称《指引》），标志着我国中央企业建立全面风险管理体系工作的启动。
（三）内控体系建设与全面风险管理工作的联系和作用
全面风险管理与内部控制既相互联系又存在差异。企业的内部控制体系是企业全面风险管理体系中重要的组成部分之一，而内控体系建设的动力则来自企业对风险的认识和管理。良好的内部控制可以合理保证合规经营、财务报表的真实可靠和经营结果的效率与效益，而这正是全面风险管理应该达到的基本状态。此外，内控体系建设与全面风险管理工作的开展之间具有紧密的联动作用，具体体现在以下两个层面：
1.在理论框架层面，完整的内控体系包括依据coso内控整体框架开展内部控制的评审体系以及内控自我评估体系；而目前国内外较为认可的企业风险管理理论框架是coso企业风险管理整体框架。这两个框架在理论基础上具有继承性和发展性。
2.在推进工作的步骤层面，从国内大型国有企业集团开展内部控制和风险管理的推进步骤来看，以内控先行、再逐步开展全面风险管理的做法是符合我国国情的。通过内控体系建设，在组织架构的完善、人员经验的积累、内控流程的记录等方面做好准备，可为公司未来开展全面风险管理打下较为完善的基础。
至于差异，从二者的框架结构看，全面风险管理除包括内部控制的三个目标之外，还增加了战略目标；全面风险管理的八个要素除了包括内部控制的全部五个要素之外，还增加了目标设定、事件识别和风险对策三个要素。从二者的实质内容看，内部控制仅是管理的一项职能，而全面风险管理贯穿于管理过程的各个方面。内部控制主要通过防范性的视角去降低企业内部可控的各种风险，侧重于财务和运营；而全面风险管理强调通过前瞻性的视角去积极应对企业内外各种可控和不可控的风险，侧重于战略、市场、法律等领域。
二、宝钢在内控体系建设领域的实践
宝钢股份是宝钢集团的核心子公司。公司从2005年增资扩股后就着重于梳理内部流程，推广管理标准。2007年3月，由公司总经理担任组长的内控评审项目开始启动。
内控项目工作范围包括宝钢股份总部以及下属分子公司，资产规模和销售收入合计占整个宝钢股份合并报表范围的80%以上。评审涉及宝钢股份12大业务流程，梳理了各类大小流程300多个。在对12大流程风险控制点辨识的基础上，逐步建立宝钢股份上市公司内部控制体系，编制公司流程内控手册，形成公司全面的内控改进点报告，建立公司层面基本内控体系。并在前期工作的基础上，开展内控体系的自我评估工作，形成公司内控自我评估报告。
在项目实施过程中，公司组织了多场内控培训会，形成了全员内控的企业文化。同时，公司对发现的内控薄弱点狠抓落实整改，并对各单位的问题汇总报告进行整理；评审项目组还组织各单位把相关流程发现的内控薄弱点和自身的业务进行对比分析，就同类问题开展自查自纠，以形成辐射效应。此外，宝钢股份还将内控评审项目和常规审计工作相结合，在内部审计工作中跟踪检查问题的整改情况。
三、宝钢在风险管理领域的实践
宝钢从2007年开始全力推进全面风险管理体系建设，这既是资本市场的要求，也是宝钢自身发展的需要。宝钢集团有限公司董事会确定的全面风险管理的总体目标是：围绕宝钢的战略目标，在企业管理的各个环节和经营过程中执行风险管理流程，培育良好的风险管理文化，使风险管理机制成为宝钢经营管理各个环节的有机组成部分。公司具体实施情况包括以下几个方面：
（一）以法人治理为基础，建设风险管理的组织体系
完善的法人治理是风险管理重要的内部环境，也是风险管理体系建设的起点和保障，而董事会建设则是法人治理的核心。宝钢作为国资委所属中央企业中首批董事会试点企业，在完善董事会试点的过程中优化董事会成员结构，建立外部董事制度，不断完善董事会运作机制，初步形成了出资人、决策机构、监督机构和经营层之间各负其责、协调运转、有效制衡的治理机制。
同时，宝钢按照国资委《指引》的要求，构建了业务部门、风险管理部门和内部审计机构三道防线。第一道防线建设：总部各职能部门和各子公司作为风险管理的第一道防线，是所管业务风险的责任者，公司明确了其各自相应的职责。第二道防线建设：总部层面成立由分管副总经理担任组长的“全面风险管理体系建设领导小组”，由系统运行改善部作为风险管理的综合管理部门，对全面风险管理的日常工作进行协调和推进。第三道防线建设：审计部负责对风险管理体系的建设情况及工作效果进行客观、独立的监督评价。对各单位内部控制的合理性、完整性、有效性、可靠性作出评价，及时发现流程中存在的问题，提出内控完善的建议。
（二）与管控模式相结合，制定风险管理策略和流程
宝钢采取的是“战略控制型”的管控模式，即总部通过对策略性、全局性业务进行管控来确保战略意图的实现，对于具体执行性业务则授权给各子公司来执行，以确保整体运作效率和响应速度。
因此，宝钢的风险管理体系分集团公司和各子公司两个层面推进。集团公司以兼并重组、子公司管控和辅业改制等重大决策、重要业务和流程的风险管理为重点，通过推进风险管理文化建设、推动内控系统优化，确定重大风险的应对策略、完善重大风险预警和报告机制、强化风险管理的检查监督机制等措施，建立并不断完善风险管理体系。各子公司则结合自身产业特征，从防范运营风险的角度出发，重点推进四项工作：1.建立风险管理的组织体系和工作机制；2.对重大风险进行识别和评估，形成重大风险清单，确定风险管理的重点领域；3.针对重大风险涉及的重要业务流程和重大事件，评估、完善内控体系，并落实为工作规范，制定管理制度，形成内控手册；4.针对可能发生重大突发事件的业务领域，建立预警机制，制定应急预案。
（三）建立了财务预警指标体系，使得财务风险以及可能造成的损失可以通过财务指标的计算和分析得到量化和预警
在应急预案方面，在总部和子公司层面编制了一系列应急预案，提高宝钢处置突发事件、保障公共安全的能力，最大程度地预防和减少突发事件及其造成的损害。
四、整合的风险管理框架设想
通过长期的工作实践和思考分析，笔者认为：企业的风险管理工作需要和企业管理的多方面相结合，构建整合的企业风险管理系统。这不仅要考虑和内控体系的融合，还必须与企业公司治理、战略管理等系统相整合。企业风险管理整合系统如图1所示：
（一）风险管理系统应与公司治理系统进行整合
风险管理功能与公司治理功能相耦合和良性互动是风险管理系统与公司治理系统整合的目标。美国内部审计师协会（iia）指出，企业风险管理的本质是“通过管理影响企业目标实现的不确定性来创造、保护和增强股东价值”。而公司治理则是董事会为了维护公司利害相关者的利益而对管理层提供指导、授权和监督的过程。整合风险管理与公司治理就是在公司治理框架中加入风险管理的角色。在这种拓展的公司治理框架中，高管和风险主管应当直接承担风险管理的责任，董事会则应积极参与增值型的风险管理活动，如在风险管理的过程中对管理层进行指导、授权和监督等活动。
（二）风险管理系统应与公司战略管理系统相整合
风险管理功能与公司战略管理功能相耦合，主要体现在图2所示的战略管理全过程中：
将战略管理系统与风险管理系统相整合，有利于以较低的成本顺利实现企业的战略目标。公司治理确定企业风险管理的范围和边界，并为风险管理提供政策；而战略管理则为风险管理提供资源与支持。公司实施不同的战略，会引起不同的风险，也应采取不同的风险应对措施。因此，不同的战略模式将会导致在不同的领域配置风险管理的资源。
企业战略管理的最终目标是为了实现企业价值的持续增长，企业价值创造路径应围绕“股东价值客户价值业务流程核心资源”这一路径展开，该路径表明企业长期股东价值的增长来自于客户价值的增长。企业要获得长期稳定的客户价值，必须具有高效、快捷和质量可靠的业务流程，这些业务流程的价值创造能力又依赖于企业核心资源的研究与开发。这也是企业价值链的形成路径，企业风险管理也应遵循这一路径而展开。
总之，整合的风险管理框架应该是由公司治理层面确定风险管理的政策；由高管确定风险管理的偏好；由战略管理层确定风险管理流程、文件和模型；在应用和基础设施层面配备相应自动控制装置，以促进事件的自动处理和报告的自动生成，并使用分析工具对这些事件及其组合与公司政策的相关性进行分析，为决策者提供风险应对的信息。
【主要参考文献】
［1］张谏忠，吴轶伦.内部控制自我评价在宝钢的运用［j］.会计研究，2005，（2）.
［2］吴轶伦.内部控制自我评价［j］.上海财经大学学报，2004,（4）.
［3］吴轶伦.内部审计职能的发展与风险管理模式的建设［j］.冶金财会，2006,（3）.
［4］方红星.内部控制审计组织效率［j］.会计研究，2002,（7）.
［5］课题研究组.内部会计控制规范操作实务［m］.中国商业出版社，2001.
［6］阎达五，宋建.双元控制主体构架下现代企业会计控制的新思考［j］.会计研究，2000,（3）.
［7］朱荣恩、贺欣.内部控制框架的新发展——企业风险管理框架［j］.审计研究，2003，（6）.
［8］金或日方,李若山,徐明磊.coso报告下的内部控制新发展［j］.会计研究，2005，（2）.
［9］严晖.风险导向内部审计整合框架研究［m］.中国财政经济出版社，2004.
［10］宋夏云.现代风险导向审计模式的背景分析与理论创新［j］.中国审计，2005.
［11］胡春元.审计风险研究［m］.东北财经大学出版社，1997.
［12］吴轶伦.内部审计的风险管理模式［j］.上海审计，2006,（1）.
［13］郑石桥等.现代企业内部控制系统［m］.立信会计出版社，2000.
［14］张国康等.内部控制制度［m］.立信会计出版社，2003.
［15］课题组.现代企业内控制度：概念界定与设计思路［j］.会计研究，2001,（11）.
［16］arthura.thompson.jranda.j.stricklandш，段盛华等译，战略管理.中国财政经济出版社，2005.
［17］roberts.kaplananddavidp.norton,刘俊勇等译.战略地图.广东经济出版社，2005.
［18］larryf.konrath,auditing:ariskanalysisapproach,5thedition,south-western.
［19］paulj.sobel,auditor'sriskmanagementguide:integratingauditinganderm,aspenpublishers,inc.
风险管理和内部控制体系篇4
关键词：内部控制风险管理CoSo
1概述
近年来，企业面临的经济环境越来越复杂多变，各种风险因素都在变化和增大。与国外发达国家相比，我国企业的内部控制和风险管理水平还比较落后。我国的风险管理体系亟待完善。因此，通过科学的方法研究一套有效的风险管理体系变成了我国企业进一步发展的必然要求和重要保证。在内部控制的基础上建立风险管理体系，可以使企业在复杂的环境中更有竞争优势，提升其风险承受力，降低损失，提升适应环境的能力。
2基础理论分析
2.1内部控制、CoSo的含义与构成要素分析①内部控制的含义。内部控制是由企业管理人员以及学术界学者们在实践中不断创新和改进而共同推动发展的。内部控制作为企业自我调节和制约的一个内在机制，是由企业的董事会、管理层和其他人员实现的过程，旨在为财务报告的可靠性、经营的效果和效率提供合理保证，与风险的管理密切相关。②CoSo内涵。CoSo是美国最早在1985年由各大会计师协会创建的防范虚假财务报告委员会，自创建以来，通过分析财务舞弊原因以提升财务真实性为最终目的，有很高的权威性。随后，CoSo委员会相继了内部控制整合框架等管理内部控制的纲领性经典文件。这些文件指导我国企业完善风险管理，并进入了一个法制化的阶段。1992年，CoSo委员会内部控制的相关报告，同时也对风险管理进行了比较全面的阐述，并在1994年对内部控制的涵义进行了补充和增加，不断完善我国基于内部控制的风险管理水平。③内部控制的构成要素分析。内部环境是企业进行风险管理的基础，为其他要素的顺利进行提供了基本的组织结构。CoSo报告阐述了组成内部控制的构成分别为内部环境、目标设定、事项识别、风险评估、风险应对、控制活动、信息与沟通和监督8大要素。这要素是一个有机的整体，它们并不是单纯罗列的过程，而是一个相互作用、相互影响的过程。内部控制的这要素彼此关系非常紧密。
2.2风险管理的内涵风险存在于企业的生产管理和经营管理的每一个阶段，有客观性、可转变性、不确定性和偶然性。风险可以被分为系统风险以及非系统风险。其中，非系统风险来自内部，而系统风险更多的来自外部的宏观因素。非系统风险对企业整体都会产生影响，并且较难规避。
2.3通过CoSo对内部控制与风险管理的启示通过对CoSo的深入理解，得到了对企业内部控制与风险管理的启示。内部控制能够触及到企业的任何部门，可以设置相互制约的岗位及人员，提高预测和控制风险的及时度和准确度。促进企业有效的规避风险。内部控制有不可忽视的作用，从内部控制的角度来进行风险管理，弥补了之前关于这方面研究的欠缺。对丰富风险管理方法、提高预测风险的准确性、节约风险控制成本、改善现状等具有重要的意义。
3基于内部控制构建风险管理体系
3.1基于内控构建风险管理体系的原则结合内部控制管理应对策略，确定风险管理体系构建方案，遵循的原则为：①系统原则。风险管理是一个整体相互联系、相互作用的体系。这个体系以防范风险为出发点，以实现风险管理为最终目的，将所有流程作为一个有机整体，促进管理目标的实现。②基于内部控制原则。风险管理要通过内部控制管理的流程来逐步完成，设计风险管理体系时也要以内部控制的8大要素为基础来考虑风险管理的操作要求，把所有控制和管理活动划分为以每个要素为基础进行风险管理。③预防原则。构建全面风险管理体系时要尽量以突出预防为主，以预防为主才能将风险控制在发生前，事前采取预防措施，防止风险发生后再补救而给公司带来的损失。④持续改善原则。由于外部和内部管理环境的要求是不断变化的，所以风险管理不是一个静态系统，而是一个必须持续改进的动态系统。
3.2基于内部控制完善风险管理的实施步骤①制定风险管理的总体目标和子目标，收集风险管理的初始信息确定风险管理的总体目标，将风险管理的目标分解到企业内部的各个职能部门，形成风险管理总体目标统领各部门的子目标。②在内部控制的基础上进行风险辨识和风险评估。建立规范化的内部控制体系，根据内部控制的8大要素完善战略目标、控制风险活动等与风险管理有关的制度。③针对不同类风险，建立风险管理制度政策。设立能够反映企业运营状况的风险管理指标，同时建立重大风险的指标监控和预案，对危险值的变化趋势进行量化分析，实时监控风险指标在经营生产中每个状态的趋势变化状态。④对重大风险建立风险应对措施和预案。按照我国企业制定的风险管理政策和计划，分配到企业内部各个部门来实施具体计划。制定风险管理措施有力实施的保障预案，最大程度的使风险管理规范化。
4总结
综上所述，本文通过CoSo的启发，基于内部控制分析进行风险管理，并融合了内部控制进行风险管理。结合企业自身的规模、特点和环境等，在完善内部控制管理的同时，构建风险管理体系，尽早处理风险。
参考文献：
[1]唐妍.企业会计信息系统内部控制影响因素研究[D].辽宁大学，2012.
风险管理和内部控制体系篇5
［关键词］内部控制风险管理CoSo全面风险管理区别和联系
内部控制与风险管理理论的发展与演变过程
现代内部控制和风险管理理论的发展是一个逐步演变的过程，大致可以区分为内部控制制度、内部控制整体框架、风险管理框架三个阶段。
（一）内部控制制度阶段。1936年美国颁布了《独立公共会计师对财务报表的审查》，首次定义了内部控制：“内部稽核与控制制度是指为保证公司现金和其他资产的安全，检查账簿记录的准确性而采取的各种措施和方法”，此后美国审计程序委员会又经过了多次修改。1973年在美国审计程序公告55号中，对内部控制制度的定义作了如下解释：“内部控制制度有两类：内部会计控制制度和内部管理控制制度，内部管理控制制度包括且不限于组织结构的计划，以及关于管理部门对事项核准的决策步骤上的程序与记录。会计控制制度包括组织机构的设计以及与财产保护和财务会计记录可靠性有直接关系的各种措施。”
（二）内部控制整体框架阶段。1992年9月，CoSo委员会提出了报告《内部控制——整体框架》。该框架指出“内部控制是受企业董事会、管理层和其他人员影响，为经营的效率效果、财务报告的可靠性、相关法规的遵循性等目标的实现而提供合理保证的过程。”1996年底美国审计委员会认可了CoSo的研究成果，并修改相应的审计公告内容。
（三）风险管理框架阶段。2004年CoSo委员会《企业风险管理——整合框架》。企业风险管理整合框架认为“企业风险管理是一个过程，它由一个主体的董事会、管理当局和其他人员实施，应用于战略制订并贯穿于企业之中，旨在识别可能会影响主体的潜在事项，管理风险以使其在该主体的风险容量之内，并为主体目标的实现提供合理保证。”该框架拓展了内部控制，更有力、更广泛地关注于企业风险管理这一更加宽泛的领域。风险管理框架包括了八大要素：内部环境、目标设定、事项识别、风险评估、风险应对、控制活动、信息与沟通、监控。
风险管理与内部控制关系研究回顾
在风险管理理论提出之后，理论界对内部控制与风险管理两者之间的关系进行了不断的研究。总体来说主要有以下三种观点：
（一）第一种观点认为内部控制包含风险管理。CiCa（1998）将风险定义为，“一个事件或环境带来不利后果的可能性”，阐明了风险管理与控制的关系：“当您在抓住机会和管理风险时，您也正在实施控制”。巴塞尔委员会的《银行业组织内部控制系统框架》中指出，“董事会负责批准并定期检查银行整体战略及重要制度，了解银行的主要风险，为这些风险设定可接受的水平，确保管理层采取必要的步骤去识别、计量、监督以及控制这些风险……。”这里显然是把风险管理的内容纳入到了内部控制框架中。加拿大注册会计师协会控制标准委员会（1999）认为，“控制应该包括风险的识别与减轻”，其中的风险不仅包括与实现特定目标相关的风险，而且还包括一般性的风险，如不能识别和利用机会，就不能使企业在面临未预料到事件以及不确定信息时保持灵活性或弹性。
（二）第二种观点认为风险管理包含内部控制。CoSo委员会提出的《企业风险管理——整合框架》（2004）中明确指出，企业风险管理包含内部控制；内部控制是企业风险管理不可分割的一部分；内部控制是风险管理的一种方式，企业风险管理比内部控制范围广得多。英国turnbull委员会（2005）认为，风险管理对于企业目标的实现具有重要意义，公司的内部控制系统在风险管理中扮演关键角色，内部控制应当被管理者看作是范围更广的风险管理的必要组成部分。
（三）第三种观点认为内部控制就是风险管理。Blackburn（1999）认为，风险管理与内部控制仅是人为的分离，而在现实的商业行为中，它们是一体化的。LauraF.Spira（2003）分析了内部控制是怎样变为风险管理的，并指出，“将内部控制定义为风险管理强调与战略制定的联系，刻画了内部控制作为组织支撑的特点，但是，它也掩盖了一个不争的事实：现在没有人真正明自内部控制系统是什么。”
基于CoSo报告下的内部控制与风险管理比较
现论界对内部控制与风险管理的定义各不相同，但被普遍接受的定义是国际权威机构美国的CoSo委员会对内部控制与风险管理的定义。本文以CoSo报告为基础对内部控制与风险管理的联系与区别进行研究。
（一）两者的定义与内涵。1992年的CoSo《内部控制整合框架》将内部控制定义为，“受董事会、管理层及其他人员影响的，为达到经营活动的效率和效果、财务报告的真实可靠性、遵循相关法律法规等目标提供合理保证而设计的过程。”它包括三个目标：与运营有关的目标，即确保企业的经营效率和效果；与财务报告有关的目标，即确保财务报告真实可靠；与法律法规的遵循有关的目标，即确保企业经营过程中遵守有关的法律法规。它由五个方面的要素组成：控制环境、风险评估、控制活动、信息与沟通、监控。其中控制环境是基础、风险评估是依据、控制活动是手段、信息与沟通是载体、监控是保证。
2004年的CoSo《风险管理整合框架》将风险管理定义为，“由企业的董事会、管理层以及其他人员共同实施的，应用于战略制定有企业各个层次的活动，旨在识别影响企业的各种潜在事件，并按照企业的风险偏好管理风险，为企业目标的实现提供合理保证的过程。”风险管理的目标有四个：报告类目标、经营类目标、遵循性目标以及战略目标。风险管理的组成要素有八个：内部环境、目的设定、事件识别、风险评估、风险对策、控制活动、信息与沟通和监控。
（二）两者的比较
1、它们都是由“企业董事会、管理层以及其他人员共同实施的”，强调了全员参与的观点，指出各方在内部控制或风险管理中都有相应的角色与职责。
2、它们都明确是一个“过程”，不是某种静态的东西。其本身并不是一个结果，而是实现结果的一种方式。企业内部控制与风险管理都是渗透于企业各项活动中的一系列行动。这些行动普遍存在于管理者对企业的日常管理中，是企业日常管理所固有的。
3、它们都是为企业目标的实现提供合理的保证。设计合理、运行有效的内部控制与风险管理能够向企业的管理者和董事会在企业各目标的实现上提供合理的保证。
4、风险管理的目标有四类，其中三类与内部控制相重合，即报告目标、经营目标和遵循性目标。但报告目标有所扩展，它不仅包括财务报告的准确性，还要求所有对内对外的非财务类报告准确可靠。另外，风险管理增加了战略目标，即与企业的远景或使命相关的高层次目标。这意味着风险管理不仅仅是确保经营的效率与效果，而且介入了企业战略（包括经营目标）制定过程。
5、风险管理与内部控制的组成要素有五个方面是重合的，即（控制或内部）环境、风险评估、控制活动、信息与沟通、监督。这些重合是由它们目标的多数重合及实现机制相似决定的。风险管理增加了目标设定、事件识别和风险应对三个要素。在重合的要素中，内涵也有所扩展，例如内部控制环境包括诚实正直品格及道德价值观、员工素质与能力、董事会与审计委员会、管理哲学与经营风格、组织结构、权利与责任的分配、人力资源政策和实践等七个方面。风险管理的“内部环境”除包括上述七个方面外，还包括风险管理哲学、风险偏好和风险文化三个新内容。在风险评估要素中，风险管理要求考虑内在风险与剩余风险，以期望值、最坏情形值或概率分布度量风险，考虑时间偏好以及风险之间的关联作用。在信息与沟通方面，风险管理强调了过去、现在以及关于未来的相关数据的获取与分析处理，规定了信息的深度与及时性等。
国内关于内部控制与全面风险管理的定义
（一）目前国内关于内部控制和全面风险管理的正式定义主要是财政部关于印发《企业内部控制规范——基本规范》和17项具体规范（征求意见稿）的通知以及国务院国资委的《中央企业全面风险管理指引》中有相关的表述。
财政部关于内部控制规范的《通知》中对内部控制的定义是：是指由企业董事会、管理层和全体员工共同实施的、旨在合理保证实现以下基本目标的一系列控制活动：企业战略；经营的效率和效果；财务报告及管理信息的真实、可靠和完整；资产的安全完整；遵循国家法律法规和有关监管要求。
国资委《指引》中关于全面风险管理的定义是：指企业围绕总体经营目标，通过在企业管理的各个环节和经营过程中执行风险管理的基本流程，培育良好的风险管理文化，建立健全全面风险管理体系，包括风险管理策略、风险理财措施、风险管理的组织职能体系、风险管理信息系统和内部控制系统，从而为实现风险管理的总体目标提供合理保证的过程和方法。
（二）、国内关于内部控制和全面风险管理与CoSo框架的差异
总体上来说，国内关于内部控制和全面风险管理的内容基本参照或遵从了CoSo委员会《内部控制管理框架》和《全面风险管理框架》，但结合国内的实际情况和一些前沿的研究成果，国内对于内部控制和全面风险管理在各自领域都有不同程度的调整、拓展和延伸。
1、目标纬度：财政部关于内部控制的定义相对CoSo委员会对内部控制定义在实现目标上有所拓展，增加了企业战略目标和资产的安全完整目标。而在国资委全面风险管理的实现目标增加了“确保企业建立针对各项重大风险发生后的危机处理计划，保护企业不因灾害性风险或人为失误而遭受重大损失。”另外，其他四个目标也与CoSo全面风险管理四个目标在表述上有所差异，使之更适应我国企业经营管理表述习惯或者更具体而易于理解。从这个角度来说，特别是内部控制实现目标的拓展使得其与全面风险管理实现目标差异不大。
2、要素纬度：财政部内部控制《通知》形式上借鉴了CoSo报告5要素框架，同时在内容上体现了风险管理8要素框架的实质；国资委全面风险管理《指引》中则没有明确指出是5要素还是8要素，但通过风险管理基本流程将全面风险管理的一些要素融合到流程中，从实质来说，也体现的是8要素的CoSo全面风险管理框架。
国内关于内部控制与全面风险管理运用的一些误区
（一）把内部控制与全面风险管理体系的建设理解为建章立制。其实从CoSo框架的定义中，我们可以看出它们都被明确为是一个“过程”，不能当作某种静态的东西，如制度文件、技术模型等，也不是单独或额外的活动，如检查评估等，最好是内置于企业日常管理过程中，作为一种常规运行的机制来建设。
（二）内部控制体系和全面风险管理体系是相互独立的。建设内部控制和全面风险管理体系都是一个系统工程，两者在内涵上也有一定重合，企业需要综合考虑自身业务特点、发展阶段、信息技术条件、外部环境要求等，确定选择合适的管理体系和建设重点。比如，在监管严格的金融业或涉及人民生命健康的制药与医疗行业，风险管理的迫切性更强，企业以风险管理主导内部控制可能更方便。而在另一些企业，为了符合信息披露中内部控制报告的要求，企业以内部控制系统为主导、兼顾风险管理可能更适合。
（三）内部控制和全面风险管理的作用被夸大。有些企业对内部控制和风险管理体系的建设寄有过高期望，他们希望内部控制和风险管理可以确保企业的成功、确保财务报告的可靠性和法律法规的遵循性。而实际上无论多么先进的内部控制和风险管理体系都只能为企业相关目标的实现提供合理的而非绝对的保证。
（四）内部控制与全面风险管理理念在企业实践落地难。由于新的管理理念和方法的引进，与国内企业原有的管理体系和观点存在较多的差异和差距，目前这些理念和方法还更多的处于导入阶段，大多数企业管理人员还不能在这些框架和概念与企业的日常经营管理行为和语言之间建立直接的联系。
参考文献
［1］盖地;试论内部控制与内部会计控制，中国成本研究会编;企业内部控制原理、经验与操作一企业内部控制高层研讨会文集;中国财政经济出版社，2002年版57一60.
［2］李凤鸣;《内部控制与风险防范》;经济科学出版社，1998年版.
［3］周兆生;C0So企业风险管理框架（中文版）;华融资产管理公司，2004.
［4］程新生;公司治理，内部控制，组织结构互动关系研究;会计研究，2004年4期.
［5］张砚；内部控制历史发展的组织演化研究；会计研究，2005年2期.
风险管理和内部控制体系篇6
关键词企业风险管理内部控制
作者简介：王秀霞，中国石油化工股份有限公司济南分公司，经济师，从事内部控制及全面风险研究。
一、企业风险管理含义
企业风险管理应视为一个持续的执行过程，紧密结合在企业经营战略的设定之中，通过企业的管理层及其他相关人员共同协作执行，其理念及制度应贯穿于整个企业运营过程中，为每一名企业员工所熟知和运用，从而确保能够及时发现企业可能存在的潜在风险，使一切风险都处于可控状态，为企业经营目标的达成提供有力保障。企业的风险管理通常分为八点要素，相互关联，相互协作，贯穿于企业经营活动始终。其内容包括：
1.内部环境识别。所有企业风险管理要素均是以企业自身的内部环境为基础的，只有明确了企业内部环境的特点，才能制定出切实有效的风险管理的框架及规则。通过对企业内部环境的认知，能够帮助管理人员正确制定企业战略及经营目标，从而有效地开展业务活动，并且准确地识别风险、评估风险并及时应对。
2.制定经营目标。管理人员在制定企业经营战略目标时，应当根据企业的经营任务及预期内容进行科学的分析和设计，从而确保战略实施的可行性，并切实将相关目标分层分级地落实到企业内部各个部门及各个岗位。
3.企业风险评估。管理人员在评估企业风险时，应当从发生可能性及影响程度两方面进行周密考虑，并且结合企业即期的经营战略及经营目标进行具有战略眼光的风险识别和评估。
4.经营事项评估。在企业的运营过程中，往往存在着较多不确定性，这些现阶段结果尚不明确的事项可能会对企业具有积极的影响，也可能存在着消极影响，甚至二者同时并存。因此，企业管理人员应当及时对这些不确定性予以识别和评估，认识到事项的负面影响即是企业的潜在风险因素，必须尽早识别和评估，并预先制定出应急措施。
5.风险应对方案。面对风险的发生，风险应对反应包括规避风险、控制风险、承担风险及转移风险四种，作为企业的风险管理，应当针对不同的风险，制定出相应的风险应对反应方案，从而确保将风险的影响降至最低。
6.风险控制措施。当风险应对反应方案开始执行时，制定正确的风险控制措施，能够确保反应方案遵循正确的流程得以有效执行。因此，控制措施应当针对企业的不同层面、不同部门及不同岗位全面制定和落实，其要素包括规范的应对政策及对政策产生影响的一系列操作章程。
7.信息获取及沟通。企业应定期对来自内外部的信息进行获取、识别，并通过固定的格式予以保存和传递，从而帮助企业员工正确执行自身职责，并提供执行结果的参考和评估。此外，还应当保持沟通顺畅，包括企业由上而下、由下而上的纵向沟通，各部门间的横向沟通，以及企业与外部环境间的信息交换。
8.风险效果监控。企业应当及时对风险管理要素有关内容的合理性和完善性进行定期评估，并对风险管理的运行情况进行评估和监督。其方式可采取持续性监控和个别要素评估两类。
二、内部控制的含义
内部控制是一个循环往复的动态过程，其内容包括控制目标设计、控制执行、执行评价、目标改进等多个环节，为企业提供持续不断的信息反馈，使企业能够准确掌握当前自身运营情况，以及内外部环境对自身带来的机遇及影响。
企业在获取信息的同时，还能够通过对内部控制设计及执行过程进行评估，从中获得当前内部控制体系的有关信息，从而能够及时进行内部控制体系的完善和补充。而内部控制的评估内容，主要包括对企业现行内部控制体系设计及执行的合理性、有效性及完整性进行系统的审核、检验及分析等工作。其作用主要包括：
1.确保企业管理的完善性。企业的经营管理应当顺应外部经济环境的变化不断做出调节，以便适应新的发展形势，这一要求便需要企业对内部控制进行不断的评估和完善，从而及时发现其中的缺陷和漏洞，杜绝营私舞弊，改善薄弱环节，从而提高企业的内部管理水平，增强企业竞争力。
2.有利于充分发挥审计职能。目前，审计已经发展到抽样审计的高度，企业实行内部控制评估，能够依据评估结果明确审计范围，突出审计重点，寻求最佳审计方法，使审计效率得到有效提高，并充分发挥审计的重要职能。
3.提供各方决策依据。内部控制评估结果公布后，除了企业自身之外，有关部门均能据此对企业财务报告的可信度进行评价，了解企业的长期可持续发展能力、成长性、运营合法性等多个方面，从而制定下一步的行动决策。
三、企业内部控制与风险管理之间的关系
2004年，CoSo经过4年的研究之后，在之前《内部控制统一框架》理论的基础上了《全面风险管理统一框架》，为全面风险管理提供了执行标准和依据，在这一新的理论中，全面风险管理增加了三项内部控制目标，以及相应的管理战略目标。由此可见，内部控制与风险管理日趋融合趋向。然而，全面风险管理与内部控制仍然具有一定的差异：
1.全面风险管理作为一个持续性的执行过程，贯穿于企业管理始终，而内部控制则是企业管理职能中的一项。此外，全面风险管理内容包含了战略风险、财务风险、市场风险、运营风险、合规风险等多项风险内容，企业能够通过这些风险的分析和评估获取机遇，规避或预知影响。而内部控制则没有对风险和机遇进行明确的区分。
2.全面风险管理理念中包含了风险偏好、风险应对策略、风险零容忍度等战略要素，因此能够对风险进行准确全面的度量和评估，确保企业在风险偏好及运营发展战略方面保持一致。内部控制则是企业内部面对可能遇到的风险所采取的各种应对措施及方法，完全依据风险内容进行控制机制的制定及实施，内部控制措施的必要性与风险系数呈正相关的关系，企业在运营过程中，需要以具体的内部控制措施为有效手段，对各种风险进行控制和评估，从而将潜在的各类风险扼杀在萌芽之中。四、我国企业风险管理及内部控制现状
国资委2006年颁布了《中央企业全面风险管理指引》，将国外先进风险管理经验与我国企业特色相结合，作为我国企业实施全面风险管理的重要依据和理论指导。2008年财政部会同相关部门联合《企业内部控制基本规范》，2010年再次《企业内部控制配套指引》，为我国企业内部控制与全面风险管理相结合的企业管理体系提供了理论指导依据。这些法律法规均促使企业充分审视、完善和加强自身内部控制管理工作，将风险管理理念列为管理重点，以有效的内部控制为基础，科学融合了现代企业管理体系中的风险管理理念，从而不断提升自身的风险管控能力。然而，全面风险管理工作仍然处于起步阶段，与国外先进管理体系相比，仍然存在着不足之处，具体包括：
1.未能充分认识风险管理的重要性，执行力度不足，对于内部控制与风险管理之间的关系概念模糊。部分企业将风险管理和内部控制分裂开来，视为两种彼此独立的管理体系，部分企业则仅仅将内部控制视为全面风险管理的一种手段，弱化了内部控制的重要作用。这些概念上的模糊认识使部分基层管理人员产生了管理体系重复、冗杂的误解，并使内部控制与全面风险管理体系彼此脱节，不利于企业风险管理的完善和发展。
2.偏重合规性，忽视实践性。部分企业过分强调全面风险管理体系的制度及手册等文件完善，却忽视了制度的执行、监督、评估和反馈等实践工作，从而不利于全面风险管理的执行报告及偏差纠正。
3.运行机制不到位。在部分风险系数较高的运营环节、经营领域及关键风险控制点，对风险因素的预警、应对及追踪力度仍显不足，或存在落实不到位的情况，尚需做进一步的完善和补充。
五、完善内部控制及风险管理体系的建议
（一）充分评估企业当前风险，设计切实可行的内部控制体系
内部控制体系必须紧密依据企业的风险评估结果，因此在制定切实可行的内部控制体系时，必须首先全面评估企业风险，并根据企业的实际情况从设计、执行、评估、完善等四个环节进行内部控制体系设计，其中，设计环节是极为重要的一环，这一阶段关系到企业内部控制体系是否科学可靠、切实可行，企业应当从自身经营情况及管理特点出发，注重全面性和科学性。
在执行环节，应当注重内部控制制度的可操作性，并根据企业各部门、各层级的技术特点，制定实质性的管理制度。在评估环节，应当注重内部控制预期目标达成率的评估，并确保评估的客观性、公正性和透明度，以便为管理人员提供真实有效的决策依据。在改善阶段，应及时对控制制度进行跟进和修正，并保持其改善的稳定性、科学性及实质性，并制定事前、事中及事后的监督机制。
（二）根据企业特点，制定明确的可执行制度
（三）完善组织机构，充分发挥内部审计部门职能
企业可根据自身特点建立完善的风险管理机构：一是建立由企业负责人负责的全面风险管理领导小组，全面负责指导企业的风险管理工作；二是设立专职部门或确定相应职能部门，具体履行全面风险管理职责；三是发挥内部审计部门的作用，负责研究提出全面风险管理监督评价体系，开展监督与评价，出具监督评价审计报告。其他职能部门及各业务单位在全面风险管理工作中，应接受风险管理职能部门和内部审计部门的组织、协调、指导和监督。
（四）增强风险意识
企业各部门应当提高风险意识，严格依据企业制定的规章制度执行，防范杜绝把关不严、执行不力等不良现象，避免因此导致的以权谋私、监守自盗等损害企业利益的行为，从而降低企业资产遭受损失的风险。此外，信息经济时代的到来造就了外部复杂多变的经营活动，企业越来越广泛地使用互联网技术，投身电子商务活动之中，企业应高度重视网络数据的风险控制，提高商业信息安全的风险意识，防范内部员工的道德风险及系统漏洞所造成的技术风险，从而避免给企业资产造成重大损失。
（五）提高企业各部门协同能力
企业应培养内部各部门的整体意识，明确企业作为利益整体，工作必须从整体利益出发，内部控制不能狭隘地谋求部门或个人自身的利益，积极增进各部门、各层级间的信息共享，加强信息沟通，建立起相互协作、相互配合、彼此促进的团队精神，在工作中互通有无，做到问题及时发现、共同分担、共同商讨，从而及时填补内部控制的漏洞，提高企业的经营效益。
风险管理和内部控制体系篇7
【关键词】财务；风险；依法治企；内控
一、风险管理的理念或策略
1.公司开展全面风险管理与内部控制工作，遵循以下原则：
（1）战略导向原则
以公司发展战略为导向，从公司战略目标出发，为保障公司战略目标的实现服务。
（2）全面性与重要性相结合的原则
全面风险管理与内部控制工作逐步覆盖公司所有的管理活动和业务流程，逐步实现公司全员、全方位参与，贯穿决策、执行和监督全过程，防范面临的各种风险；同时关注重要业务事项和高风险领域，以重大风险和重大决策、重要流程为重点，实施重点管理，加强风险管理和内部控制。
（3）风险管理与经营管理有效结合的原则
将全面风险管理与内部控制的方法和思路融入公司具体的管理活动和业务流程中，在各个管理领域和业务模块形成全面风险管理与内部控制工作的科学体系和有效机制，提高公司的经营管理水平。
（4）科学主导、持续改进的原则
开展全面风险管理以内部控制为基础，实施内部控制以风险管理为导向，以科学发展观为指导，根据公司内、外部经营环境的变化，不断改进、创新，持续增强公司的风险管理水平和管控能力。
2.风险管理的指标体系及目标值
（1）建立风险监控组织机构的单位达100%；
（2）利用风险信息系统开展风险监控的单位达100%；
（3）统一财务风险分类标准和管控标准范围达100%；
（4）风险管理与内部控制实施细则制定工作完成100%；
（5）风险管理报告质量分值达到国家电网公司要求。
二、防范全面风险依法从严治企措施
1.加强组织领导，明确建设目标
为加强风险防控体系建设的组织领导，成立了由总经理任主任、总会计师任副主任、各部门负责人为委员的风险管理委员会，负责领导风险防控体系的建设与实施工作，行使风险管理决策权；在供电、农电及非电企业建立相应的风险管理机构，形成省、市、县三级风险监控组织架构，为建设全方位风险防控体系提供了坚实的组织保障。同时，明确风险防控体系建设目标，即：引用先进的风险管理理念和方法，力争在公司内部形成“一种文化，两套机制，三项保障（即：培育一种积极进取、稳健经营的风险文化，建立风险决策和风险监控两项机制，健全组织、制度和技术三项保障）”，有效提升公司风险管理水平。
2.缜密制定方案，完善工作机制
围绕风险防控体系建设目标，公司深入调研，广泛征求意见，制定《全面风险管理与内部控制体系建设实施方案》，提出了“整体设计、前期试点、分步实施、整合运行”的工作思路，将风险防控体系建设分为基础准备、风险建设、深入实施、整合提升等四个阶段。同时，公司各部门指定专人负责风险管理，建立风险防控体系联络员制度，定期召开风险防控体系委员会和联络员会议，协调解决体系建设中存在的问题；根据各部门工作进展，定期编制季度工作简报，及时总结阶段性工作。
3.构建防控体系，防范全面风险
公司以信息平台建设为契机，将风险防控体系建设与各业务信息系统有机结合，推进全面风险管理体系建设。一是开展风险辨识评估调研，获得风险基础信息，确定公司面临的政策风险、社会形象风险、安全风险等重大风险，编报年度风险管理报告。二是以业务链为依托，梳理各专业管理流程，构建多维度的风险信息库，将风险、流程、责任部门、关键指标有机关联。三是强化内部体系建设，制定公司内部控制体系建设实施细化方案，明确工作目标和责任。
4.发挥监督合力，推进依法治企
坚持依法从严治企，构建由财务、审计、纪检等各部门组成的内控监督防线。一是加强业务部门沟通协作，重点发挥业务部门的监督合力，拓展稽核监督深度广度。二是利用在线稽核系统，对重点业务进行动态监控，利用审计成果，加大重点领域和薄弱环节的现场稽核，利用“联席会议机制”对稽核结果进行效能监察。三是建立稽核结果、内审外检、典型案例等信息共享平台，促进稽核成果转化应用。四是加大日常业务稽核力度，对成本、资金等重点领域进行专项稽核，做好事前、事中、事后的联合监督。五是推行公司抽查、省农电公司督查、市公司普查三级稽核方式，实现对县农电企业稽核的闭环管理。六是强化审计监督，开展“三指定”自查整改、“小金库”和工程建设领域专项治理等活动。
参考文献：
[1]翟志华.建立企业内部会计控制制度[J].资产与产权，2003（3）
风险管理和内部控制体系篇8
关键词：内部控制风险管理企业利润
随着经济社会的高速发展，我国企业也越来越正规，其内部控制制度也逐步走向规范，但是目前内部控制理论的发展已经与风险防控理念相结合，因为各种各样的风险时刻威胁着企业的财产安全与可持续发展，企业必须从内部控制的规范完善入手来提高自身风控风险的能力。内部控制与风险防控虽然独立存在，但是目标一致、联系紧密、相辅相成、缺一不可。现代内部控制规范和制度的建设，不能离开风险控制理念和方法的应用。论文通过对内部控制体系和风险控制体系的论述，了解其现状，并结合企业自身实际情况找出解决之路。
一、简述企业内部控制与风险管理的概念
1.内部控制的概念
企业内部控制是指为了保护企业财产安全、保证会计信息的准确性、确保经营管理制度的有效执行、全面实现企业经营目标而实施的一种自我监督和自我管理的手段。企业内部控制是通过实施企业内部会计控制和内部管理控制，对企业内部各部门、各阶层、各工作环节和程序进行事前预测、事中控制、事后监管，全面贯彻经营策略、执行管理任务，以实现提高经营管理水平、促进经济效益实现、扩大企业利润空间的目标。
2.风险管理的概念
企业风险是指企业在经营过程中产生的可能造成企业经济利益流失的因素。风险管理是对风险的确认、预防和控制，旨在减少风险造成的损失。企业风险管理通过对风险辨识、估测和评价来选择管理风险的方法，对风险进行实施监管和妥善处理。有效的风险管理可以减少风险给其带来的损失，有助于企业所有者和管理者为企业未来发展做出正确决策，最大限度的保证经营管理的正常运行，保护其财产安全和完整，实现企业经营活动目标。
3.内部控制与风险管理结合的重要性
内部控制和风险管理在企业内部的实施有效预防财务报表造假现象，端正员工工作态度，依法办事，保证会计信息的准确性，确保企业所有者和管理者能够获得真实、有效的经营现状，促使企业做出正确的决策。与此同时，提高员工的风险意识，遵循其各项规章制度，提高工作效率，保护企业资产安全，促进企业各项发展策略的顺利实施，进而推进企业发展目标的实现。
二、内部控制与风险控制的关系
1.内部控制与风险控制的内在关系
（1）风险控制包含内部控制
从组成结构来看，风险管理包括内部环境、设定目标、风险评估、风险辨认、活动控制、风险对策、信息与沟通和监督八个部分组成；内部控制由环境控制、活动控制、信息与沟通、风险评估和监督五个部分组成。由此可见，风险控制包括了内部控制。
目前，内部控制作为实施风险控制的重要手段，在确认风险和控制风险环节起到重要作用，甚至是不可或缺的地位。内部控制保证了会计信息的可靠性，使企业领导层及时了解到真实的企业现状，企业经营者及时发现风险，并找出正确方法予以解决。如果企业缺少内部控制，将很难保证风险控制的有效性或效果不明显，进而造成企业发展失衡、待滞。
（2）内部控制等于风险管理
在一些学者眼中，内部控制等于风险管理。内部控制和风险管理的最终目标都是实现企业可持续、稳定的发展。内部控制是实现风险管理的技术与方法，风险管理是内部控制的延续。如果没有内部控制，风险管理则无法有效进行，也就达不到预期目标；如果没有风险管理，内部控制的工作失去了原有的意义。
（3）风险管理与内部控制互为前提
内部控制和风险管理同属于企业经营管理的范畴，互为前提，都是通过对风险的有效控制以实现减少风险、扩大利润的目的。企业风险是源自于收益的不确定性，所以，实施有效的经营管理来确保企业未来收益最大化是最科学的风险管理。实际上，风险管理目标就是通过减少风险带来的损失，来实现其利益最大化。但是，一旦风险管理不能有效实施，损失将会转化为成本，根据“利润=收入-费用”的原理，同等收入的情况下企业利润空间会缩小。
2.内部控制与风险控制的异同
内部控制和风险管理二者关系紧密，目标一致，互相联系，相辅相成，缺一不可。内部控制和风险管理的最终目的都是通过风险控制实现企业财产安全、完整和企业利益最大化。
内部审计和风险管理虽然有着共同目标，但是实施工作的具体范围不尽相同。风险管理是对可能与风险有关的经营管理程序或内容进行监督和控制；内部控制是对企业内部各部门、各阶层的监督和管理，不仅仅是与风险相关的，而是实现企业内部的全面覆盖。风险管理旨在通过风险控制，实现企业利润的最大化；内部控制不仅要对风险有敏锐的洞察，还要发现和帮助企业经营者解决企业在经营管理中可能出现的各种问题。
三、关于内部控制与风险管理未来发展的建议
1.内部控制与风险管理的现状
（1）对风险管理的认识不够，缺乏先进的管理体制。目前，我国大多数中小企业所有者和管理者对风险的认识不够，导致风险管理体系落后，不能及时的发现风险、控制风险、化解风险。由于风险管理体系发展的落后，导致内部控制不能全面、有效的运行，进而严重阻碍企业稳定、持续的发展。
（2）企业内部控制和风险管理未能实现整合。目前，我国正处于经济体系发展阶段，国内、外经济环境瞬息万变，因此给企业发展带来了诸多不确定因素，包括机遇，也包括挑战。显然，传统的内部管理制度已经不能完美应对风险带来的危险。只有将内部控制和风险管理有效结合、互补互用，才能化解风险，实现企业利润最大化。如果内部控制和风险管理继续分开管理、分开运行，其实施将受到限制，不能有效发挥起作。
（3）对内部控制和风险管理的关系了解不够，导致不能正确运用。通常情况下，企业不能准确梳理内部控制和风险管理之间的关系，工作不能承上启下，致使对风险的控制工作不能正常、有效的进行。内部控制要为风险管理提供工作资料，风险管理为内部控制提高工作效率。如不能依据二者关系进行工作，将阻碍风险控制，严重影响企业持续、稳定的发展。
2.完善内部控制与风险管理的策略
（1）提高风险管理和内部控制在企业中的地位。由于行动受到主观意识的影响与支配，所以风险管理得到重视是进行风险控制和内部控制的主要前提条件。目前，我国与内部控制相关的政策与规范正在逐步完善，企业要认识到内部控制与风险管理在企业发展中的作用，充分发挥的其作用，提高其工作效率。增加工作价值，进而减少其财务和管理风险。
（2）建立严格的风险评估机制。内部控制与风险管理是相互关联的，风险评估是实施内部控制的重要依据。由此可见，企业结合自身实际情况，建立完善的风险评估机制是做好内部控制工作的基本途径。在内部控制设计上要设置风险识别点，在内部控制流程上要融合各种风险识别方法，在内部控制培训上也要对风险识别的理论知识和方法技巧有所涉猎，发现风险点后，还要结合专业技术方法和经验进行风险评估。然而风险评估的进行也是与企业内部控制是否完善和自身内部控制经验相关联的。
（3）聘用、选拔高素质人才，培养员工业务能力。高素质人才是企业发展的关键。企业要通过严格的招聘、面试等制度挑选适合的人才。对在职员工进行专业培训，开积极展技术交流活动，提高员工专业素质，及时更新员工知识储备，从而使员工为企业创造更多的经济利益。
（4）建立有效的信息沟通体系。企业要建立有效的信息流通体系，加强各阶层之间、各部门之间、各员工之间的信息沟通，加快信息的传递速度，实现企业资源共享，以此达到企业所有者和经营者及时、准确掌握企业现状的目的。
四、总结
根据前文的分析，内部控制与风险管理是相辅相成、不可分离的。建立健全内部控制制度、完善风险管理体系与明确二者关系，是有效控制风险的前提。内部控制和风险管理作为企业抵御风险的重要手段，必须加强合作，互通信息，全面贯彻企业经营管理方针，有效控制风险，实现企业利润最大化目标。企业要高度重视内部控制与风险管理建设，强化风险意识，积极应对，有效防范。
参考文献：
[1]顾红斌.浅析企业内部控制与风险管理[J].金山企业管理，2013，（3）：42-44
风险管理和内部控制体系篇9
关键词：金融控股公司风险管理控制机制
一、导论
金融控股公司是一种金融混业经营的组织模式,在经营管理上具有一定的优越性,但其结构与经营也比一般金融机构复杂,发生风险的可能性也比一般金融机构要大,发生风险后化解的难度与成本也比一般金融机构要大。同时,由于金融控股公司的巨大规模和对经济的巨大影响,一旦金融控股公司发生问题,必将引起整个经济体系的巨大波动。
金融控股公司的内部控制是金融风险防范的重要内容,有效的内部控制也是金融机构自身管理的基础和重要内容。对于单个金融机构的稳健经营和社会声誉,以及对于整个金融系统的安全来说,内部控制都是十分重要的,所以研究金融控股公司的内部控制对完善我国现有的金融控股公司的组织结构,提高自身抵御风险的能力都有很大的应用价值,不仅如此,还可以为潜在的控股公司或者集团建立内部控制系统提供一些思路。
二、金融控股公司的主要风险
(一)金融控股公司的一般性风险
金融控股公司作为母公司,控制着众多的专业化金融子公司,与一般金融机构相比,它所引发的风险更为复杂。主要表现在资本金重复计算、系统性风险和内部控制风险三个方面。
1.资本金重复计算
金融控股公司资本金的重复计算有两种情况:一是母公司拨付子公司资本金。这样,一笔从集团外注入的资本金在母公司和子公司的资产负债表中同时反映,造成资本金的重复计算。如果子公司又用该笔资本金在集团内继续投资,则该笔资本将被多次计算;二是子公司之间相互持有股份,造成股权结构混乱及资本金多次计算。由于只有来自集团外部的资本金才能抵补集团的整体风险,因此,无论是上述哪一种情况,同一笔资本金被用来抵御多家公司的风险,显然是不适当的。
2.系统性风险
金融控股公司是一个涉及多种金融领域的金融混合体,其所引发的风险会因为这种特殊的组织结构而在系统内逐渐聚集,并迅速蔓延开来。金融控股公司所追求的协同效应在带来经济效益的同时也加大了金融控股公司风险聚集的可能性:金融控股公司为集团建立的统一信息平台、统一客户服务中心、统一销售渠道,虽然降低了整体运营成本,但是,子公司存在的风险也可能借此通道向母公司不断聚集,在一个机构内发生的失误和可能发生的危机或破产,其危害和影响原本仅限于自身的业务范围或行业范围,但在金融控股公司的架构下,就会向母公司集中风险并蔓延危害。同时,金融控股公司在总体经营上倾向于建立统一的发展战略和业务规划,一旦决策失误,就会影响到全部子公司,错误迅速覆盖整个系统。
3.内部控制风险
金融控股公司的内部控制风险主要表现在其经营和组织方面难于被监察和控制,金融控股公司的内控风险有诸多方面,但与金融控股公司的组织形式、经营方式最为密切的风险是内部交易。
金融控股公司的各子公司之间进行关联交易,使得集团内各子公司的经营状况相互影响,这就增大了金融控股公司的内部交易和利益冲突的风险。由于金融集团内部复杂的控股关系和资金往来,彼此关系紧密,相互往来交易势所难免,其种类主要有:交叉持股、集团内公司间之相互交易行为、集团内公司自同属集团内公司取得保证、贷款或其他担保承诺、集团成员间之资产买卖行为、以再保险的方式所为之风险转移、集团成员间就第三人关系风险之转移交易等。这类交易常伴随风险的传递与聚集,最终形成集团的整体经营风险,危及集团的经营安全与稳健运行。
(二)中国金融控股公司的特殊性风险
在中国,金融控股公司当前所面临的风险不尽止于一般意义上的市场金融风险,还有计划经济向市场经济体制过渡过程中表现出来的特殊制度性金融风险,这些特殊性风险大多是政府、企业和银行延续旧体制进行管理和运作的产物,是旧体制下金融抑制所产生的风险的延伸,它主要表现在以下几个方面:
1.风险承担主体不明确
任何有效的风险管理都应该是以风险承担主体明确,权利、责任和利益的合理分配为根本前提。在欧美发达的银行制度下,代表全体股东利益的董事会明确地承担起银行在其全部经营管理过程中的所有风险,并以银行的全部资本金作为承担风险的最终责任界限。董事会因此负责制定有关风险管理的重大政策,并在银行内部建立起有效的风险内控体系。
然而,在中国目前现行的金融体制下,许多金融机构,尤其是国有商业银行,风险承担的最终主体和边界并不明确。在现行的产权制度和治理结构下,中国国有商业银行并没有有效地实行所有权和经营权的分离,商业化程度并不高,政策性业务和行政干预仍很多,这都使得银行的最高管理层(董事会)没有也不能最终承担起全部金融风险的责任。
2.内控体制不健全
在现代的金融风险管理中,完善的内控体制是金融机构得以有效进行风险管理的重要内部制度保障。根据巴塞尔银行监管委员会在1998年提出的《银行机构内控指引》,完善的现代银行内控体制应该以运作合法、有效和信息畅通为目标,涵盖银行的管理和控制文化、风险的有效识别和评估、控制活动和责任分离、信息和交流以及监控和缺陷修正等五个方面的内容。
中国的银行内控体制经过改革开放以来多年的发展已经取得了很大的进步,然而,相对于国际上对现代银行内控体制的要求,中国银行内控体制还显得相当落后,一个突出的表现就是在风险管理的组织制度上。由银行董事会及其高级经理直接领导的,以独立风险管理部门为中心,与各个业务部门紧密联系的风险内部管理系统是现代金融风险管理的组织保障,但是,由于公司治理结构问题,中国金融机构的风险管理明显缺乏这种有效运作机制和组织制度的保障。
3.管理工具缺乏
在欧美先进国家的金融市场体系中,管理风险的工具是多种多样的,而且在不断创新。相比之下,由于中国金融体系建立较晚,现行的金融市场还不能向投资者和金融机构提供足够的风险管理工具,市场工具的匮乏是中国金融风险管理落后的重要表现之一。衍生金融产品市场是目前西方金融体系中向投资者和金融机构提供最直接、最有效的风险管理工具的市场;衍生金融工具具有直接对冲风险的性质,被认为是管理市场风险最有效的市场工具,使得金融体系能更加有效地在风险承担能力不同的金融主体之间配置风险。
目前,除了一些地方性的商品期货交易所,中国并没有真正的衍生金融产品市场。衍生金融产品的缺乏不仅是金融体系不完整的表现,也是风险管理市场工具匮乏的表现,它明显地制约了中国金融风险管理现代化的进程。
三、中国金融控股公司风险管理体系建设的建议
面对我国金融业发展的内外部环境,中国金融控股公司的风险管理体系建设是一个非常复杂和艰难的系统工程,同时也是一个分阶段逐步建设和完善的过程。
(一)明确风险管理的目标定位
金融机构在复杂多变的市场环境中,必须通过建立有效的风险管理系统,适时地调整自身机制,防范和化解风险,其中,准确地目标定位是风险管理有效运转的关键和前提,笔者认为,金融控股公司的风险管理体系目标应当定位于:
(1)发挥金融控股公司的协同效应,防范、控制和化解控股公司及所属金融子公司所面临的各类金融风险,保证控股公司及其所属金融子公司的各项业务经营活动遵守相关法律、法规,符合监管部门的各项要求,符合公司制定的各项经营政策和规章制度,有效推动所属金融子公司各项业务健康、有序地发展。
(2)提高控股公司及所属金融子公司经营管理状况的透明度,保证对内对外信息传递的真实性、完整性与及时性,为公司管理层提供有效的决策信息。
(3)实现在风险—收益均衡下的金融控股公司整体价值的最大化。金融控股公司风险管理系统的运作必须贯穿于公司经营管理的整个业务流程中,通过建立风险的识别、评估与预警机制、风险的转移和补偿机制,使得公司运营在风险环境中实现效益性、安全性和流动性三者之间的均衡与协同。
(二)树立金融控股公司统一的风险管理理念
1.平衡风险和收益,实现集团利益最大化
金融控股公司的风险管理同样并不是要消除子公司在经营活动中的风险因素、风险来源,而是在于经营风险和管理风险。是通过合理的安排和实施一系列的决策、管理、操作政策和程序,保证在风险—收益平衡下实现整个集团价值的最大化,同时避免和减少风险发生的可能性和危害性,保证子公司经营管理活动的连续性和有效性。
2.全面、全员、全过程的风险管理意识
为了有效地识别、防范和控制风险,金融机构一般都设有专门的风险管理部门,专司风险控制之职。但是,风险控制又决不单单仅是风险控制部门的事情,每个岗位、每个人在做每项业务时都要考虑风险因素,一定是要在风险能够控制的情况下才去操作和经营业务。
3.风险管理独立和透明
独立和透明是一套好的风险管理体制能够有效发挥作用的重要保证条件。金融控股公司风险管理的独立性主要在三个方面:即风险管理职责的独立性、风险管理部门的独立性以及对风险管理进行监督评估职责的独立性。独立运作的风险管理部门意味着高度权威性,尽可能不受外部因素的干扰,以保持其客观性和公正性。
(三)完善金融控股公司的组织架构
金融控股公司的组织架构可以分为三个层级:
第一层级:建立和完善金融控股公司层面的风险管理体制,明确各风险管理相关部门的职责。金融控股公司应成立隶属于董事会的风险管理委员会,并在同事会领导下指挥控股公司全面风险管理工作,具体职责分工如下:控股公司董事会:是控股公司风险管理的最高决策层,确定控股公司整体的风险与回报要求;控股公司风险管理委员会:制定整个集团的风险管理目标、制定控股公司整体的风险管理政策和制度、监控重大风险,审批子公司的风险管理组织架构、政策、程序、方法等;控股公司风险管理部:负责落实控股公司整体的风险管理政策,指导子公司建立、健全的风险管理体系和内部控制制度,指导子公司建立适当的风险管理方法和程序;规划控股公司风险管理信息系统,对主要风险进行监控;对控股公司的整体风险进行管理。
第二层级:各子公司建立风险管理委员、建立风险管理部门,集中、全面的管理子公司的风险;实行业务经营、风险管理和设计监督三项主要职能相互分离和相互制约的机制。
子公司风险管理委员会:子公司层面风险管理的最高权力机构,在控股公司统一风险管理政策下,规划子公司风险管理体系、制定子公司的风险管理政策、制度、流程,审批资本分配和风险限额。
子公司风险管理部:子公司风险管理的执行机构,受自公司董事会和风险管理委员会的领导,全面管理子公司各类风险:根据集团战略拟定子公司风险管理政策、制度、流程及标准;对子公司日常的各类风险进行动态的测量和监督,并及时向集团风险管理部门和子公司风险管理委员会报告;提出针对风险来源的具体控制办法;建立子公司有效的事后补救机制;管理分支机构的风险管理工作和人员。
第三层级:子公司内部建立垂直的风险管理架构。各子公司分支机构也应建立风险管理部门,由子公司直接管理并委派风险主管。子公司业务部门的风险经理以及下属分支机构的风险主管虽然是集团风险管理系统组织架构的基层单位,但在金融控股公司模式中,他们具有相当自主的、对各部门及分支机构业务风险和资金风险进行管理的权力,其职责主要有:督促子公司业务部门或分支机构正确实施风险管理战略、政策和措施;向子公司风险管理分部提供精确、及时的风险信息等。
四、结论
各国必须根据自身的社会经济发展水平、金融混业经营程度、金融控股公司的发展现状、金融经营体系结构以及传统金融监管制度等一系列因素来设计、选择、安排符合本国国情的金融控股公司的监管体制。我国应该顺应当今世界金融控股公司监管体制的发展趋势,从结构性监管转向功能性监管,注重对金融控股公司监管中的分权与制衡。
设计一套适合中国国情的金融控股公司市场规范运作机制,一方面有利于规范金融领域的发展,另一方面也可为金融控股公司提供一个活动空间和运营的自主机会,既能发挥金融控股公司的效率优势,又能维护金融稳定与安全,使金融效率、金融自由的法律价值得到充分的体现。
参考文献:
[1]王文宇,控股公司与金融控股公司法[m].北京:中国政法大学出版社,2009.
风险管理和内部控制体系篇10
关键词：内部控制全面风险管理关系
一、全面风险管理与内部控制在概念上的界定
（一）风险管理的定义
风险是指由于某种不利的因素产生并极有可能给经营主体造成实际损失，导致组织目标不能实现的可能性。全面风险管理是对风险进行检测评估，通过对测评结果的分析，采取相应解决措施，从而避免或降低风险的一种管理手段。风险管理的最终目的是保证企业目标的实现。
（二）内部控制的定义
内部控制是指一个机构内管理层、董事会和其他各方面进行的目的在于加强风险管理、保障既定目标实现的行为，是一种企业内部活动，它是通过组织机构、组织制度和组织指令来完成的。公认的内部控制目标有三项，一是财务报告的可靠性、二是经营的效果和效率、三是合规性。同时企业内控应具备五个要素：信息与交流、风险评估、控制环境、监控、控制活动。
二、内部控制和全面风险管理的关系
（一）内部控制和全面风险管理之间的区别
首先，涉及的范围不同。内部控制主要的作用发挥在事中及事后控制，是一种管理职能。而全面风险管理则是贯穿于整个企业的生产经营活动中，覆盖了各个不同的环节，在管理范围上应该说是要大于内部控制。另外，全面风险管理在风险考虑上带有很强的预见性，起到了事前控制的作用。
其次，二者的执行方式不同。全面风险管理包含了选择风险评估方法、制定风险管理目标、制定相关战略、报告程序及聘用管理人员等多个环节。这其中的很多管理活动都是不需要内部控制来完成的，内部控制更多的是倾向于对企业经营流程的事中和事后进行控制，其中包括对信息交流进行监督、对不规范的操作流程纠正、对财务报告的评估等。企业的经营目标与战略目标是全面风险管理的作用范围，这点是内部控制不涉及的，内部控制主要是对目标的制定过程进行监控，这是两个体系最大的区别。
最后，二者对于风险的管理不同。全面风险管理体系包括风险预警、风险偏好、风险对策等方法及概念，所以全面风险管理体系能够对企业的战略目标和发展方向进行指引，根据企业的经营风险、资金投入、利润回报之间的关系来进行合理的资源分配。而内部控制体系不涉及此类功能。
（二）企业内部控制与企业全面风险管理之间的联系
内部控制从本质上讲是从属于全面风险管理的，它来源于实际工作并需要在实际工作中完善。内部控制为实现企业管理目标提供了保证。进行有效的内控可以保证企业财务可靠、营运有效、企业资产安全、降低企业风险，保证企业的良性发展。
全面风险管理贯穿于企业的各个环节，产生于战略决策之中，在企业日常经营中进行实践，为企业的良性发展奠定基石。一般来讲企业的全面风险管理应该包括三个方面：一是企业内部各个组织单元的设置及相应的风险管理职责。包括企业整体、各业务口、各个项目团队及各个层级的风险控制职责；二是企业的相关风险管理目标。包括企业的战略目标、生产经营目标、报告目标及合规目标；三是全面风险管理的要素。主要有进行事件分析、建立内部环境、合理的风险评估、抵御风险的措施等。
通过上面的描述，我们可以看出，全面风险管理及内部控制实际上都是以保护企业的财产安全、保证企业的经营结果、实现企业的战略目标为最终的目的。内部控制是全面风险管理的重要核心内容，而全面风险管理则在内部控制的基础上升华扩散。概括的说，内部控制使得企业的日常经营管理流程更加规范、财务管理真正的有效实施，与此同时企业内部的规范性操作流程、财务管理控制也正是全面风险管理在企业实施的基本条件。从目前企业的管理发展趋势来看，企业的全面风险管理与内部控制管理已经交集密切，互相密不可分。
三、全面风险管理及内部控制在企业实施应关注的问题
（一）企业内控与全面风险管理并不是相互独立的
全面风险管理的实施和内控制度的建设对企业同等重要，但二者之间并非互相独立。企业对两个体系建设构造时应该考虑自身发展程度、企业性质、客观环境等因素。在资源有限的情况下，如果企业在市场中的经营风险较大，那么企业应把构建体系的重点放在全面风险管理上，以全面风险管理为方向来主导内部控制，反之如果企业的经营风险较小则可以把重点放在内部控制上，兼顾全面风险管理的实施。
（二）全面风险管理和内控的有效实施必须有好的控制环境
企业的内部环境好坏对企业内控和风险管理的实施效果有着直接影响。控制环境主要包括企业员工的综合素质、企业文化、管理思路、明确的权责划分、目标达成的相应奖罚机制等，这些都是保证企业全面风险及内控在企业有效实施的基本前提。如果企业对控制环境没有给予关注，很可能导致全面风险管理与内控实施的失败。
（三）内控与全面风险管理并非一成不变
无论是全面风险管理还是内部控制，都具有一定是时效性的，并不是说企业已经建立起了相关体系就可以一劳永逸了，内部环境及外部环境无时无刻都在变化，这些环境因素的每一次变化都在冲击着企业的体系架构，所以企业应该结合环境因素变化，在实际工作中不断的对体系修正、检查、完善。
（四）企业实施内部控制必须有严格的监督措施
制度的执行过程中离不开严格的监督，没有严格的监督任何体系制度在企业都无法真正有效的实施，监督使得制度在企业实际工作中真正的落实。但如果企业缺乏有效的监督，指标达成情况也没有严格的考核制度，那么所有的体系制度都被挂在了墙上，没有人真正关注执行，最终将出现全面风险管理与内控失控的局面。
（五）风险评估要做到准确真实
企业的风险评估方式和方法的选择极为重要，企业应该对有可能出现的风险进行科学合理的评估，并且通过分析制定一系列解决措施，如果企业内部评估失准、方式方法不当，就将直接导致企业决策失误，给企业造成无法挽回的经济损失。
参考文献：