企业风险管理与内部控制体系化建设的思考

王思聪

(中海油研究总院，北京 100027)

项目评价

企业风险管理与内部控制体系化建设的思考

王思聪

(中海油研究总院，北京 100027)

介绍了企业内部控制的内涵、目标、原则和内容等相关理论，指出目前我国企业内部控制存在的主要问题，并对产生问题的原因进行分析。以中国海洋石油总公司风险管理与内控控制体系化建设为例，提出了解决企业内部控制问题的对策和实施内部控制的保障措施。

内部控制 风险管理 制度

内部控制是为合理保证单位经营活动的效益性、财务报告的可靠性和法律法规的遵循性，而自行检查、制约和调整内部业务活动的自律系统。其贯穿于经营活动的全部过程，包括控制环境、风险评估、信息与沟通、监督等要素，并受企业董事会、管理阶层及其他人员影响。内部控制是由组织的董事会成员、管理层和其他成员实现的过程，目的是为了合理地保证经营的效率性和效果性，财务报告的可信性，以及对有关法律和规章制度的遵循性。

内部控制的内容，归根结底是由基本要素组成的，这些要素及其构成方式，决定着内部控制的内容与形式。美国“全国虚假财务报告委员会下属的发起人委员会”(COSO)提出内部控制五项要素：(1)控制环境，即提供企业纪律与架构，塑造企业文化，并影响企业员工的控制意识，是所有其他内部控制组成要素的基础；(2)风险评估，每个企业都面临来自内部和外部的不同风险，这些风险都必须加以评估；(3)控制活动，企业管理阶层辨识风险，继之应针对这种风险发出必要的指令；(4)信息与沟通，企业在其经营过程中，需按某种形式辨识、取得确切的信息，并进行沟通，以使员工能够履行其责任；(5)监督，内部控制系统需要被监督[1]。

1 企业内部控制制度的含义及其价值

所谓企业内部控制制度，就是企业为了控制目标过程而由董事会、监事会、经理层及企业员工共同实施的一项制度。从企业内部控制制度的含义中我们可以知道企业内部控制制度的一些基本特点：第一，企业内部控制从本质上说只是企业实现目的的一个过程与手段，而非企业的根本目的；第二，企业内部控制的有效实施与企业的全体组成人员都密不可分；第三，企业内部控制制度是实现企业目标的前提和保障之一；第四，企业内部控制制度对企业生产及信息方面的安全具有积极意义[2]。

企业内部控制制度的价值主要体现在以下几个方面：首先，从企业经营角度来看，内控体系建设工作的推进，可以强化经营业务流程的监控，风险管理逐步纳入日常化、专业化轨道，做到事事有制度覆盖、人人受程序约束，为企业加强基础管理、提升精细化管理水平和集团管控能力、依法合规经营、有效防范风险等方面提供了制度保障，有力地促进企业稳健、安全和科学发展；其次，从企业决策的科学性来考虑，在现代企业管理中，一般都认为管理的重心在经营，经营的重心在决策，而决策是否科学与合理，则与企业的财务管理及其内部控制制度密切相关[3]；再次，从经营风险防范方面来看，企业规模的不断扩大、竞争的日趋激烈，都会在一定程度上增大企业的经营风险，企业的风险防范能力变得越来越重要；最后，基于企业内部监督控制方面的考虑，企业被认为是各种契约关系的总和，从董事长到总经理再到一线员工，彼此之间都存在着相应的委托代理关系，这种关系要确保有效就需要委托人对代理人进行监督控制[4]。企业内部控制制度很大程度上体现了委托人的意志，并对代理人进行监督与控制，进而提升企业价值。

以中国海洋石油总公司(以下简称中国海油)为例，中国海油是中国三大石油公司之一，成立于1982年，负责在中国海域对外合作开采海洋石油及天然气资源，是中国最大的海上油气生产商。近年来，其综合竞争实力不断增强，品牌价值不断提高，逐渐树立起精干高效的国际石油公司形象，这些都得益于公司基于战略层面的，融合现代公司治理与风险管理理念的风险管理文化、风险管理制度与程序等要素于一体的风险管理体系的打造和富有成效地运行。

中国海油经过30多年的改革与发展，形成了具有特色的管理模式。在风险管理和内部控制方面建立了很好的实践基础，中国海油的大多数子公司都建立了内控制度，如在美国上市的中国海洋石油有限公司通过了萨班斯·奥克斯利法案(SOX法案)的第三方审核，全资子公司中海油气开发利用公司率先进行基于控股公司股权多元化的风险管理的探索等。但是中国海油各所属单位的风险管理与内控水平仍然参差不齐，相对零散、不系统，其风险管理和内控实践与国际一流能源公司相比还有一定差距。特别是伴随着业务范围的不断扩大，产业链的快速延伸，面临的潜在风险也在迅速加大，业务范围正逐步超出过去经验和能力所覆盖的范围，这使得中国海油既面临着重大发展机遇，同时也面临着重大不确定性和风险挑战，企业的发展对提高风险管理专业化水平和内控制度体系化建设提出了迫切要求。

2 我国企业内部控制执行中的主要问题

2.1 全面贯彻内部控制制度的理念不强

目前，国内部分企业经营者对内部控制的重要性认识不够，固守传统的管理理念，停留在“唯我独控”阶段，没有配备专职机构或人员去明确分工和落实责任，即使有内部控制制度也是流于形式，应付检查，有的管理人员甚至认为经营管理活动按照内部控制流程进行监管，加重了企业的工作量和负担，这些理念势必影响内部控制的执行效果。

2.2 企业建立、执行内控的动力不足

内部控制的内容是企业的经营管理活动，控制的对象是企业管理层管理企业的权限，而内部控制的执行主体也是企业的管理层，这就意味着“自我控制”，所以部分管理人员对建立和执行约束自己的控制系统的积极性并不高。另外，由于内部控制的成本是由企业自己承担的，直接影响企业的经济效益，而企业内部控制产生的效益却是无形的，这也导致了企业自身的内部控制动力不足。

2.3 风险意识差，企业内部控制依然薄弱

随着全球经济一体化不断深入和全球金融危机的蔓延，企业间的竞争也越来越激烈，经营风险也越来越高。但是，从目前一些企业的现状来看，各级管理的风险意识还比较薄弱，缺乏风险控制的有效机制。能否搞好内部控制工作更多是取决于内部控制相关人员的责任心和风险意识，如果内部控制相关人员综合素质不高，就有可能做出错误估计和判断，给企业带来无法挽回的经济损失[5]。

2.4 内部控制检查、评价的独立性未得到充分保证

有些企业的内部控制主要执行者就是内部控制的建设者和检评者，这违反了“不相容岗位职责分离”的原则。内部控制的检查、评价部门必须独立于内部控制的建立和执行部门。企业建立的内部控制制度的好坏，应由第三方来检查和评价，充分保证内部控制检查和评价工作的独立性，进而确保检查和评价结果的客观性。

3 我国企业内部控制执行改进对策

3.1 制定科学合理内控制度体系

任何好的、有生命力的制度都需要对其自身的有效性、可行性等方面适时开展分析评价，持续改进和完善。通过内部控制制度体系的建设，可以梳理出一些流程设计欠科学合理、过于繁琐、可操作性差的环节，以及明显存在内部控制漏洞和缺失等主要问题，通过认真研究整改，及时调整、简化、完善有关运行流程和环节，可以增强企业内部控制制度体系的合理性、可行性和有效性，强化对权利运行的规范和制约，提高管理效率和内控水平。

如中国海油通过不断完善和改进，建立起系统、规范的内部控制制度体系，涉及公司15个子体系，包括众多基本制度、管理办法和实施细则。同时要求各下属单位按照统一部署和规范，推进内部控制制度体系建设，建立起三级内部控制制度体系。随着公司内部控制体系建设工作的推进，强化了经营业务流程的监控，风险管理逐步纳入日常化、专业化轨道，基本做到事事有制度覆盖、人人受程序约束，为公司加强基础管理、提升精细化管理水平和集团管控能力、依法合规经营、有效防范风险等方面提供了制度保障，有力地促进了公司稳健、安全和科学发展。

3.2 提升内部控制执行力，加大内部审计

按照内部控制建设与监督评价职责相分离的要求，公司内部控制检查评价工作主要由内部审计以及相关监督部门(如派出监事会等)组织实施，加强与内部审计等监督工作的协调配合，扎实推进检查评价工作。强调检查评价要立足于自我评价，以我为主，也可以根据需要聘请外部中介机构协助开展内部控制评价。把检查公司内部控制流程的健全性和有效性，与经济责任审计、专项审计以及相关监督检查工作有机结合。采用这种国际一流企业的通行做法，其目的是保证内部控制检查评价工作的独立性和客观性，确保公司内部控制体系能够切实得到持续改进和优化。

3.3 完善内部控制考核评价机制及激励约束机制

企业应制定完善的内部控制自我评价考核体系，通过定期或不定期抽查相关业务部门的内部控制实施情况，及时了解、跟踪不同岗位、不同层次内部控制工作的实施进度和效果，评价内部控制的合理性及有效性，以此作为企业建立激励约束机制的依据。通过建立有效的指标考核制度和薪酬制度，将薪酬管理与内部考核管理相结合，使管理者更关注企业的长远发展，督促员工严格遵守和执行内部控制制度，确保内部控制制度层层落实到各岗位、各员工，最大限度发挥员工遵循内部控制制度的积极性和主动性。

在中国海油，企业一直强调内部控制检查评价结果要与绩效考评紧密挂钩，并建立相应的问责机制，这在国际一流公司已经是非常成熟的做法。国务院国有资产监督管理委员会和财政部联合发布的《关于加快构建中央企业内部控制体系有关事项的通知》(国资发评价[2012]68号文件)中，对中央企业也作了这方面的规定：“监督检查中发现内部控制存在重大缺陷的，将根据其性质或影响程度在业绩考核中给予扣分或降级处理；对于因内部控制缺陷造成资产损失的，按照《中央企业资产损失责任追究暂行办法》(国资委令20号)的有关规定，追究相关责任人的责任；对于在监督检查中发现的重大缺陷，企业在自我评价和审计工作中未充分揭示或未及时报告的，将追究内部控制评价部门或外部中介机构的责任。对于建立规范董事会的中央企业，国资委还将把内部控制的有效性作为董事会履职评估的重要内容”。企业在开展内部控制检查评价工作中，应加快建立和完善内部控制考核评价体系和标准，对内部控制检查评价中发现的重大缺陷，应视情节轻重和影响程度，切实与绩效考核挂钩并实行责任追究。

4 从中国海油内部控制成效看解决我国国企内部控制建设的具体措施

4.1 全面启动建立一套适合公司整体发展的内部控制制度体系

公司内部控制建设要以制度建设为基础。中国海油自2007年以来，内部控制制度体系建设工作取得积极进展和明显成效，目前已建立了较为系统、规范的内部控制制度体系，涉及公司治理、生产管理、销售管理、财务管理、战略计划管理、科技管理、采办及物资管理、人力资源管理、法律事务管理、健康安全环保管理、行政管理、矿权管理、内部监督、信息化管理、工程管理15个子体系，包括24个基本制度，199个管理办法和350个实施细则。同时要求各下属单位按照统一部署和规范，同时推进内部控制制度体系建设，截止到2014年底，已经有90%以上的单位建立了三级内部控制制度体系。从根本上解决了政出多门、政出多时、行文不规范、体裁不统一、制度之间存在重叠以及管理盲区的问题。

4.2 完善公司内部控制体系建设，增强防范风险能力

当今内部控制与风险管理的融合日趋紧密，健全内部控制是企业加强管理、防范经营风险的内在需要。在实施SOX法案404条款过程中，中国海油选择了COSO内部控制框架作为建立和评价财务报告内部控制的标准，通过对内部控制设计和执行的有效性进行评价，对内部控制缺陷制订改进计划等方法，确保对重要风险和关键控制的管理。在前期实施工作中，确认公司各重要流程及相关的控制目标和风险因素，并要求各流程负责人对相关内部控制的有效性进行自我评价。在此基础上，由独立的测试人员执行符合性测试，检查各项内部控制制度是否覆盖了关键风险和控制点，制度是否正规、更新是否及时等，以对其设计有效性进行评价。之后中国海油组织独立的测试小组，对内部控制执行有效性进行测试。从重要风险入手，在关键控制上取得突破，将整体工作推向深入。通过内部测试，重点解决流程和控制与实际工作的一致性、重要风险与关键控制的完整性、规章制度的规范性和控制实施的有效性等问题。

4.3 重视公司治理建设，为风险管理创建良好平台

建设良好的公司治理是风险管理体系的一部分，企业全面风险管理框架提出，公司的董事会、管理层及内部审计是风险管理中的主要责任主体，应充分发挥各自的责任和作用。SOX法案在强化公司管制方面发挥了强大作用，该法案中对公司治理提出的若干要求，推动了全球公司治理标准的改革和发展。

4.4 内部控制检查评价结果与绩效考评紧密挂钩

内部控制检查评价结果要与绩效考评紧密挂钩，并建立相应的问责机制。这在国际一流公司已经是非常成熟的做法。不好的内部控制审计结果在中国海油就意味着绩效考评降级，连续2次“不满意”或连续3次“尚可”的测评结果可能会导致相关管理者被免职。某业务或经营单元的审计结论是“不满意”，该业务或经营单元负责人将被邀请到审计委员会做出解释。公司在开展内部控制检查评价工作中，建立和完善了内部控制考核评价体系和标准，对内部控制检查评价中发现的重大缺陷，视情节轻重和影响程度，切实与绩效考核挂钩并实行责任追究。

总之，随着市场经济的迅速发展，企业在面临日益激烈的市场竞争时，能否立于不败之地，企业的内部控制制度的建立，将起着决定性的作用。中国海油正是意识到了这点，在这些年的企业管理过程中，充分的重视企业内部控制及风险管理，同时加强自身的内部控制与风险管理意识，进一步的完善企业的管理，同时也为企业今后更快更好发展做好了铺垫。

[1] 吴水澎，陈汉文，邵贤弟.企业内部控制理论的发展与启示[J].会计研究，2000(5)：2-8.

[2] 来敏.企业内控制度若干设计原则探讨[J].会计之友，2004(10):51-52.

[3] 王剑英.企业内部控制的现状分析[J].山西财政税务专科学校学报，2004，6(6):29-33.

[4] 付林.企业内部控制制度建设的思考[J].哈尔滨商业大学学报(社会科学版)，2004，7(3):78-79.

[5] 安永红.论如何加强和完善行政事业单位内部控制[J].山西科技，2010，25(5):54-55.

Views on Enterprise Risk Management and Internal Control Systematization Construction

Wang Sicong

(CNOOCResearchInstitute,Beijing100027)

This paper introduced the relative theories such as connotation,objective,principle and contents of internal control of enterprises,pointed out the main problems existing in internal control of Chinese enterprises,and analyzed the causes of them.With the case of risk management and internal control systematization construction in CNOOC,the countermeasures for settling internal control problems and guarantee measures for implementation of internal control were raised.

internal control,risk management,system

2015-06-02。

王思聪，女，1981年出生，2007年毕业于中国石油大学(北京)管理科学与工程专业，现就职于中海油研究总院财务管理部资金主管，经济师，已发表文章10余篇。

1674-1099 (2015)04-0011-04

F2

A