如何构建风险导向型的内部控制体系

赵承燕

摘 要： 本文首先从典型的风险管理案例入手，分析企业由于不重视风险、内部控制缺失而失败的经验教训，说明构建风险导向型内部控制体系的重要性。接着从风险管理和内部控制的关系入手，重点讲述如何构建以风险管理为基础的内部控制体系，促进体系的正常有效运行，保障企业的健康安全发展。

关键词： 风险管理；内部控制；有效运行；不断改进

中国钢铁集团公司（简称中钢集团）在钢铁矿业鼎盛时期，中钢集团资产总值曾高达1800多亿元，位列美国《财富》杂志发布全球500强排行榜第354位。然而，2014年12月底，中钢集团及所属子公司的债务总额逾1000多亿元。中钢集团的债务困局源自对山西中宇钢铁有限公司（简称中宇钢铁）、河北邯郸纵横钢铁集团有限公司（简称河北纵横）以及澳大利亚中西部矿业股份有限公司（简称中西部矿业）的投资，从而导致了中钢集团的巨额亏损。

中钢集团的巨额亏损从表面上看是因为其盲目扩张、大量境内外并购，同时伴随钢铁行业严重产能过剩，钢价、矿价出现大幅下滑，而实质上却是中钢集团违反国资委相关规定，违规开展融资性贸易业务，内部控制不严，且风险意识淡薄，风险防控手段和方法缺失。如中钢集团在与中宇钢铁合作的项目中，业务部门将大额资金支出进行分拆以低于5000万元进行审批，以规避内部规定，内部控制流于形式，在与中宇钢铁、河北纵横的“全面合作”事项上均未开展有效风险评估，更未制定风险防控措施防范风险，最终出现大额损失。最终导致中钢出现巨大的“财务黑洞”。

类似中钢集团的案例还有很多，这些惨痛教训告诫我们：企业应该建立一套适合自身发展且运行有效的内部控制机制，最大限度的防范风险，保障企业的健康安全发展。

一、正确理解内部控制和全面风险管理的内涵，了解两者之间的关系。

（一）什么是内部控制和全面风险管理？

内部控制是受企业董事会、管理层和其他职员共同作用，为实现经营效果性和效率性、财务报告的可靠性，以及对适用的法律法规的遵循性等目标提供合理保证的一种过程。包括控制环境、风险评估、控制活动、信息与沟通及监控五个要素。

全面风险管理是以内部环境、目标设定、事项识别、风险评估、风险应对、控制活动、信息与沟通及监控等要素为环节的不断修正、循环往复的过程，并渗透于各项经营管理活动中。

（二）内部控制和风险管理的关系

从内部控制和全面风险管理的定义可以看出，内部控制是风险管理的基础，是全面风险管理体系的组成部分，风险管理涵盖了内部控制，拓展了内部控制内涵。随着内部控制的逐步实践，内部控制初步发展成了以风险为导向的内部控制。

二、构建风险导向型内部控制体系的重要作用

（一）推动企业规章制度的建立健全，进一步规范业务操作流程，提高企业的经营管理水平。为建立运行有效的内部控制体系，企业必须对内部的业务流程进行梳理，对业务流程中的风险进行甄别、评估并制定行之有效的风险控制措施。因此体系的建立就是流程的梳理和制度健全完善的过程，同时也提高了企业各级管理者的经营管理水平。

（二）提高企业的抗风险能力。内部控制体系建立的前提就是要进行风险评估，并建立风险信息库，尽可能的规避风险，内控体系的正常运转更是风险防控的过程，因此，内控体系建设可以将风险控制在萌芽状态，做到风险早预防、早发现、早控制，提高企业的抗风险能力。

（三）提升全员风险防范意识，形成良好的内控文化氛围。内控体系的建设是全员参与的过程，既需要企业领导层的支持，也离不开各级管理层及员工的大力配合与积极参与.要构建科学有效的内控体系，必须统一全员的思想，树立正确的风险防范及内部控制意识。内控體系的建立能大大提升企业的风险防范意识，构建重视风险、执行有力、遵规守纪的内控文化氛围。

三、构建以风险为导向的内部控制体系的具体措施

企业完善的内部控制体系必须具有良好的内部控制环境、健全的内部控制制度和完善的监督评价改进机制，内部控制制度设计是否合理健全，执行是否有效是内部控制目标能否实现的必要条件，而良好的内部控制环境是保证内部控制体系正常有效运转的前提，对内部控制体系进行监督评价是促进体系改进完善的原动力。

（一）统一思想，提高认识，深刻领会风险导向型内控体系建设的重要意义。

内部控制体系建设既是国资委及相关监管部门的要求，也是企业自身健康可持续发展的需要，健全有效的内控体系对进一步规范企业相关业务流程，控制风险，合理保证企业经营合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进实现发展战略，具有较强的现实意义。企业从领导或管理层应该统一思想，提高认识，高度重视内控体系建设工作。

（二）明确目标，周密部署，统筹策划风险导向型内部控制体系建设工作。

1、明确内控体系的建设目标，建立什么样的内控体系？

内控体系建设的目的是要防范风险，合理保证企业经营合法合规、资产安全、促进企业健康安全发展。因此，内控体系建设必然要以风险为导向，而风险会随着企业发展不同阶段、不同政策环境而发生变化，内部控制应随着风险的变化不断调整。内控体系建设首先应充分考虑企业自身的经营规模、业务范围、竞争状况等因素。内控体系涉及到决策、执行和监督全过程，不能一蹴而就，要克服一劳永逸的思想，做到与时俱进，在保持相对稳定的基础上不断加以优化改进。内控体系建设实施应当在治理结构、机构设置及权责分配、业务流程等方面形成相互制约、相互监督，同时应当权衡运行成本与预期效益，以适当的成本实现有效的控制。

因此，企业应当树立风险管理意识，结合自身实际，以业务流程为重点，关注重要业务事项和高风险领域，逐步建立“风险明确、流程规范、责任清晰、措施有力、制度管用、兼顾成本与效益的内部控制体系。同时建立科学的内控评价机制，及时发现内控体系的缺陷，实现体系的有效运行并持续改进完善。

2、成立内控体系建设组织机构，制定实施方案，全面部署体系建设工作。

健全的组织机构是推动内控体系建设的组织保障，必须建立上到董事长、总经理，下到基层员工的工作机构，明确责任分工，企业的最高管理层必须承诺对风险控制全面负责，自上而下地推动内部控制建设，从控制环境、内部控制制度和监督评价等层面制定切实可行的工作方案，全面部署体系建设工作。

（三）积极构建良好的内部控制环境，

控制环境是内部控制的基础，具体包括企业的道德价值观、干部员工的风险理念、工作作风和执行力等。控制环境对企业内部控制的构建与实施具有重大的影响，直接决定了内部控制与风险管理的效率和效果。

1、加强培训，深化对内部控制的理解，树立风险管理理念。首先，通过培训培育内部控制和风险管理文化，使全体员工拥有一个共同的风险语言，强调全局观和协作观，把风险管理意识贯穿于企业的生产经营管理全过程，尤其强调领导层的带头作用，以上率下，促进内控效果的提高。其次是突破对传统的内部控制的理解，内部控制不仅局限于财务层面，包含更高层次的战略目标，以中钢集团为例，中钢集团在作出对中宇钢铁、河北纵横以及中西部矿业的重大投资决策之前，如果从战略高度进行了风险管理和内部控制，就不会出现后面的负债困境。

2、建立完善的公司治理结构并充分发挥各部门职责。企业各层级各部门之间应分工明确，并相互监督、相互牵制，尤其是内部审计监督部门应隶属于董事会审计委员会，不应归总会计师或财务总监管理，这样有利于发挥审计部门在监督内控体系有效性上的作用。

3、培养员工的职业道德和胜任能力。员工是企业生产经营管理的执行者，良好的员工职业道德可以保证企业的正常发展，有效避免风险事件的发生。员工的知识和技能必须与其所在岗位要求相匹配，这是企业生产经营和内部控制活动得以有效运行的基本保障。因此，企业应以诚信等职业道德作为员工的行为准则，建立奖惩机制，加强员工的再教育，提升员工的岗位胜任能力。

（四）建立风险评估机制，形成风险信息库。

建立风险导向型内部控制体系，必须把风险管理落实到企业每个业务流程的各个节点。建立风险评估机制应重点关注三点：

1、全面排查风险。企业应从战略风险、市场风险、财务风险、运营风险和法务风险五大风险（一级）出发，按照职能部门和业务单位广泛、持续不断地收集与本企业相关的内部、外部初始信息，识别影响企业目标实现的内部及外部的潜在事项，甄别潜在风险，排查出企企可能面临的全部风险。

2、分析和评估风险。一是制定风险等级认定标准和预警指标。企业应根据各类风险发生的机率大小及可能造成的危害程度，将风险按照重要程度进行划分，并针对每个风险制定风险预警指标，形成风险等级认定和预警指标标准。

3、评定风险，编制风险数据库。具体分析每个风险发生的可能性及影响程度，对照风险等级认定标准，划分风险等级，编制风险等级目录，形成企业全面风险信息数据库。

（五）建立健全完善的内部控制制度

根据COSO的《内部控制—整合框架》，结合国资委的《中央企业全面风险管理指引》及大多数中国企业的实际情况，内部控制制度应从企业管理层面和业务流程层面来建立。

1、梳理企业现有的管理和业务流程。管理流程包括公司的组织架构、职能部门划分及分工、岗位工作说明等流程。企业组织架构的设计要与企業规模、运行环境、战略目标相适应，有助于推动企业战略目标的实现。业务流程包括财务、人力资源、市场开拓、产品购销、生产加工、固定资产等全业务流程，业务流程应科学、规范、可操作性强便于执行。梳理流程应结合企业现有的管理制度，将流程和制度结合在一起，建立业务流程与制度对照表。

2、结合风险评估情况，建立完善的流程制度。根据前期风险评估的结果，对重大风险和非重大风险采取不同的控制措施。对重大风险所涉及的各管理及业务流程，制定覆盖各个环节的全流程控制措施，对非重大风险所涉及的业务流程，要把关键环节作为控制点，采取相应的控制措施，将新的控制措施纳入制度和流程中，列明需要新建的制度或修改完善的制度内容，更新业务流程，形成业务流程与制度之间的对应关系，使得内控流程的执行有相应的制度支撑。

（六）建立内部控制监督与评价机制

为保证内部控制体系的运行有效，必须对内部控制进行监督与评价，可以及时发现体系运行中的问题，发现风险，促进体系的完善。

1、明确体系监督与评价的主体。为保证监督与评价结果的客观公正，应由独立的审计部门或审计委员会进行内部监督评价，同时，加强外部监督，如上级监管等。

2、建立内部控制监督与评价机制。无论是内部评价还是外部评价都应建立监督与评价的机制，明确评价的程序、方法和标准，对内部控制的有效性进行全面评价、形成评价结论、出具评价报告。内控评价应准确地揭示经营管理中存在的问题和风险状况，在内部控制评价报告中如实反映、准确描述内部控制缺陷，客观评价内部控制设计与运行的有效性。

3、抓好内控缺陷的与整改落实。内部控制监督与评价发现的问题，应责成责任部门编制内控缺陷整改工作计划，并由监督部门跟踪整改落实，确保缺陷整改到位。通过整改进一步完善流程和相关制度，实现内控体系的不断优化改进。

参考文献

[1]《基于风险管理的内部控制建设》王晓玲.

[2]《全面风险管理辅导手册》中央企业管理提升活动领导小组.