基于风险管理的内部控制体系研究

吕新颜

【摘 要】随着中国经济不断发展以及经济新常态的冲击，企业正面临着越来越大的市场竞争压力，如何以风险为导向进一步加强企业内部控制体系的建设变得日益重要。本文借鉴业界理论研究成果，结合风险管理和内部控制制度及文件的要求，分析了风险管理与内部控制的关系，总结了加强风险管理的内部控制的现实意义以及存在的主要问题，最后提出构建基于风险管理的内部控制体系的对策建议，以期有效防范风险。

【关键词】风险管理；内部控制；企业管理

随着经济不断发展、市场竞争越来越激烈，在经济新常态下如何找准经济增长点、在经济结构对称的基础上实现经济可持续发展成为企业关注的重点。企业管理层逐渐认识到通过以风险为导向进行有效的内部控制能减小风险发生的可能性并推动资源的合理优化配置，获得更多风险价值并推动企业健康稳定发展。

一、内部控制和风险管理的理论和关系

1.内部控制概述

内部控制是指在一定的环境下，单位为了实现其经营目标，，提高经营效率，充分有效地获得和分配资源，保护资产的安全完整和会计信息的可靠性而在单位内部实施的自我调整、约束、规划、评价和控制的一系列组织、计划、程序和方法的总称。内部控制是企业经济活动内部防范需求，是企业为达到经营目标的必要手段。随着市场的不断变化，外部竞争日趋激烈，企业内部管理逐步提升，内部控制也不断丰富和发展，逐渐由简单到复杂，并从企业内部向外部延伸。

2.风险管理概述

企业风险是企业经营过程中出现的各种不确定性因素，它与企业发展相伴相生，其中一些风险会威胁到企业的发展，给企业造成危机。当今社会是一个多元化经济社会，各种新事物不断涌现，新业务、新知识更是层出不穷，风险的多样化迫切需要企业不断提升对风险的管控能力。《企业风险管理-整合框架》中对风险管理的定义是：“企业风险管理是一个过程，它由组织的董事会、管理层以及其它人员来共同实施，应用于战略制定以及组织各个层次的活动，旨在识别可能影响组织的各种潜在事件，并按照企业的风险偏好管理风险，为组织目标的实现提供合理保证”。

3.内部控制与风险管理的关系

内部控制与风险管理的关系主要存在三种观点：（1）风险管理包含内部控制：《企业风险管理-整合框架》中提到“内部控制是企业风险管理不可分割的一部分”；（2）内部控制包含风险管理：COCO委会员发布的关于内部控制的框架性文件及后续的一系列指导性文件中提到内部控制涵盖风险的识别和控制；（3）内部控制与风险管理互相融合，密不可分。本文认为风险管理涵盖了内部控制的内容，风险管理的重要环节是内部控制，两者的目标都是通过防范和降低风险促进企业实现战略目标。因此，内部控制与风险管理二者是协调统一的。

二、现阶段加强风险管理的内部控制建设具有的现实意义

1.有助于提高企业市场竞争能力

企业要持续发展并实现经营目标，就需要提高市场地位，保持在已领先的竞争领域和未来扩张的经营环境持续稳定的盈利能力。国内外复杂多变的经营环境，风险的多样化和不确定性使得企业纷纷加大对新技术新产品的投入，拓展企业融资渠道，通过多种手段来提高自身竞争能力。强化企业风险经营意识，建立风险预警的长效机制，成为了推进企业适应外部环境，全面提升企业核心竞争力的有效措施。

2.有助于规避市场经营风险

由于企业要受到内外部环境不断变化的影响，所以需要根据市场及管理需求对各部门的职责定位和业务流程进行更新。这样不仅能提升企业管理水平，同时也是建立现代企业管理体系的重要途径之一。企业内部职责不清，管理不到位，内控失效，会增大风险事件发生的概率，并且在风险事件发生的时候也无法正确应对，造成更大的损失。因此，建立风险管理及内部控制的管控标准和管控体系，提高企业经营管理水平，才能有效规避和降低业务活动中的重大经营风险。

3.有助于实现企业战略目标

企业要实现战略目标，确保经营指标的完成，必须以健全完备、运行高效的内部控制体系为根本保障。对企业而言，风险是由于内外部环境存在的不确定性对企业完成经营目标、实现发展战略的潜在影响。以风险管理为基础的内部控制体系可以将企业发展战略、管理理念融入到公司治理、企业文化、管理制度和业务流程等各方面，推动企业建立完善公司治理结构，落实重大决策，优化资源配置，提高效率与效果，确保企业发展战略目标的实现。

三、现阶段基于风险管理的内部控制存在的主要问题

1.风险管理意识不强

目前，很多企业缺乏对风险管理知识的了解和掌握，对风险管理在公司管理中的重要性认识不足。企业缺乏应对风险的全局观和系统思维，遇到风险事件后不能有条不紊的应对，风险事件发生后，也未分析发生的原因并完善内控体系和相关制度。

2.内部控制体系建设不完善

部分企业仅通过企业制订的制度、流程及约定俗成的方式开展工作，没有真正形成内部控制体系。部分企业虽建立内部控制体系，但内部控制机构设置不科学，岗位职责不清晰，内部控制制度不健全，导致管理随意性大，企业员工职责不明，执行制度不到位的现象普遍存在。大部分企业内部控制制度未根据企业发展、管理需求及业务实质完善和更新，造成内部控制制度和实际操作“两层皮”的现象。

3.风险管理体系不完善

部分企业设置了风险管控的岗位，但未配备专业的风险管理人员；设置的风险管控岗位仅为部门的一部分职责，管理层级较低，无对企业全面风险管理的实际职权，还有很多企业根本没有设置专门的风险管理机构，加上风险管理人员参与公司重大经营事項的程度较低，严重影响了风险管理的效率和效果。

4.风险管理的信息化管理水平不足

部分企业自身经营管理信息化水平较高，但风险管理仅依靠经营部门上报，未真正嵌入到公司信息系统及业务流程中，无法通过通过数据分析技术对企业经营中存在的各类信息汇总分析并与同行业已发生的风险事件的特征比对，实时进行风险识别及应对。如果仅依靠大量人力来进行风险管理，无法实现高效的信息传递和信息处理，及时防范风险的发生。

5.风险管理队伍素质不高

风险管理工作不仅要了解企业管理的整体情况，还要熟悉国内外法律、法规，随时掌握国际经济、政策的变化，这就要求风险管理人员具备较高的综合管理水平。企业在成立风险管理部门时，大部分专职人员从财务、企业管理转型到风险管理岗位，对风险管理的工作了解程度不够，加上母公司下属机构的风险管理人员一般为兼职人员，风险管理整个队伍业务水平不高。

四、构建基于风险管理的内部控制体系的对策和建议

1.加强风险管理意识

提高企业风险的全局观和系统思维，加强风险管理意识，完善风险事件的应对措施，并结合风险事件、公司的流程制度建立和完善内控体系。风险管理组织架构主要由风险管理的决策机构、职能机构、业务部门以及审计监管部门构成。风险管理决策机构主要负责风险管理制度和管理策略的制定，研究、审定公司重大经营风险管理解决方案等。风险管理业务部门主要识别、评价和控制风险，作为经营风险管理的第一道防线；风险管理职能机构负责政策制定、管理监督，作为经营风险的第二道防线；审计监管部门对风险及内控体系的有效性进行评价，作为经营风险的第三道防线。

2.分类监控企业重大风险

风控管理机构可根据公司的风险偏好、承受度，建立重大经营风险指标体系，确定风险指标报告的方式、渠道、时间和管理责任等。按照风险发生的可能性和对目标的影响程度两个维度，梳理出公司现阶段的重大风险并进行分类，按业务相关度落实到各职能管理部门，作为公司风险管理的重点监控区域。

3.提高信息化风险管理能力

面对现代企业跨行业、多业务类型及海量信息，要快速、准确、高效地获取风险信息并做出有效的风险防范措施，必须应用先进的信息化手段，提升工作效率，充分应用海量信息处理方法，适应未来发展。企业可通过运用先进的数据集成能力、数据处理和分析技术，向经营管理各业务环节渗透，实现从企业数据仓库中获取业务、财务数据，建立多维度的分析指标，构建风险动态预警模型，形成风险动态预警系统。依靠IT技术，提高风险管理能力，节省人力物力，将更多的精力投入到建设和完善风险体系、制定风险规避措施上，将对企业的生产经营管理起到更重要的作用。

4.以风险为导向定期开展多层次的内控检查工作

基于重大风险的监控情况及公司风险预警系统，通过多维度的风险分析，开展多层次定期或不定期的内控审计项目。依据国家相关规定和制度要求，结合公司内部控制的制度和流程，定期评价母公司内部控制的有效性，并出具内控自评报告。不定期对下属子公司的内部控制情况、重点风险环节等组织自查、现场检查及评估与整改工作。

5.完善风险管理的专业队伍建设

公司越来越重视风险管理，对风险管理人员也提出了更高的要求，这就需要进一步加强风险管理专业队伍建设，把好准入关，做好后期培训和培养的工作，储备文化层次高、业务能力强的人员为企业风险管理奠定坚实的基础，适应新时期企业风险管理工作的需要。

参考文献：

[1]潘玉琪.全面风险管理视角下的企业内部控制体系研究.中国内部審计，2016年第8期.

[2]徐凯.构建以风险管理为导向的内部控制体系必要性研究.管理观察，2013年第11期.

[3]霍尔秋.国有企业财务管理中存在的问题及对策.经济研究导刊， 2014年第12期.