风险导向下企业加强内部控制评价方法浅析

梁晓峦

摘要：现阶段，我国企业面临激烈的国内外竞争，深耕国内市场，占据行业优势的同时，积极拓展国际市场已成为各企业重要发展目标。企业在创新转型期面临的风险变化加剧，给企业治理带来挑战。企业想要稳定发展必须以风险为导向，加强内部控制，重视内部控制评价，促进内部控制和风险管理体系不断完善。，本文论述企业风险管理、内部控制和内部控制评价三者关系，列举企业在内部控制评价方面存在常见问题，提出加强内控评价的意见建议，有利于企业加强风险管理，加强内部控制，保障目标实现，具有一定参考意义。

关键词：风险导向;企业;内部控制评价

引言

健全的内部控制和风险管理体系对企业合规经营意义重大，有效的内部控制执行对企业风险管理起到促进作用，可以保障企业健康、高质量发展。近些年，企业因内部控制不严，风险管理不善产生各种问题，甚至出现亏损、亏空、破产等情况屡见不鲜。企业应加强对内部控制的评价，监督内部控制执行，以适应日益复杂的风险环境。国资委近年来也要求企业加强内部控制与风险管理体系建设，促进企业合规合法经营。本文将论述风险导向下的内部控制评价与内部控制、风险管理的关系，讨论内控评价常见问题和提升评价质量的建议，有助于企业提升管理水平，保障持续性发展。

一、内部控制、风险管理和内部控制评价的关系

（一）定义

风险管理是指通过对风险的识别、衡量，采用一定的防控手段，防止风险的发生或者以最低的成本控制风险造成的影响在可接受的范围。

内部控制是指企业为了实现经营目标，保护资产的安全完整，保证会计信息资料的正确可靠，确保经营方针的贯彻执行，保证经营活动的经济性、效率性和效果性而在企业内部采取的自我调整、约束、规划、评价和控制的一系列方法、手段与措施的总称。

内部控制评价是指企业董事会对内部控制的有效性进行全面评价，形成评价结论，出具评价报告的过程。内部控制评价的主体是董事会，董事会是内部控制设计和运行的责任主体。我国企业一般由内部审计部门实施内部控制评价，董事会对内部控制评价承担最终的责任，对内部控制评价报告的真实性负责。

（二）关系

在企业的发展过程中，风险管理、内部控制和内部控制评价三者相辅相成，相互引领和促进。风险管理体现在企业生产经营的各个方面，控制的手段可以在事前、也可以是在事中和事后，包括风险识别、衡量和控制等环节。内部控制是风险管理的一项职能，通过过程控制来实现风险管理目标。企业内部控制质量对企业发展有直接影响，由于内部控制不到位导致企业管理混乱，风险失控的例子很多。企业内部控制执行不到位的常见原因有：1.管理层风险意识不强，对内控不重视;2.执行层内控流程执行不到位;3.内部控制与风险管理体系建设存在缺陷;4.未能根据企业发展变化及时健全内部控制与风险管理体系。内部控制评价用来评价企业内部控制的有效性，主要作用有三点：1.发现并纠正内部控制缺陷;2.寻找并改善内控薄弱环节;3.促进企业健康发展。

由此可见，风险管理、内部控制和内部控制评价三者关系紧密，在实施企业治理时不能单独实施，必须统筹考虑，加强成果融合运营，才能互为促进，推动管理水平提升，保证企业合法合规经营，持续健康发展。

二、企业内部控制评价常见问题

由于各企业对内部控制与风险管理的认知不同，体系建设与制度执行存在差异，内部控制评价工作开展情况也不尽相同，一些常见问题如下所列。

（一）内控评价独立性不强

内部控制评价和内部审计类似，需要企业董事会和高级管理层的大力支持，能够独立，不受外界干扰地开展评价工作，才能从根本上保证内部控制评价质量。根据国际管理，内部控制评价工作主要有企业内部审计部门完成。我国企业内部控制与风险管理工作起步较晚，内部控制机制需要不断完善。在一些国企，早期的内部控制和风险管理体系建设部门和内部控制评价部门均是内部审计部门，这就产生自己评价自己工作的情况，本身就不符合内部控制要求的不兼容岗位分离原则。随着企业治理日趋成熟，绝大部分企业实现了内部控制建评分离，才慢慢解决了这个问题。但是，有些企业董事会仍未设立专门的内部控制与风险管理委员会，企业对内部控制评价的指导不够，也会对内控评价工作的独立性造成损伤。

（二）对企业风险把控不准

企业风险评估直接影响内部控制评价的成效。有些企业对生产经营风险评估不够灵活，对大部分风险一视同仁，没有对风险分级，管理时也没有区分管控。这种情况下，以风险等级为依据选取内部控制评价穿行测试流程，就会造成高风险流程管控的漏选。企业风险应对态度对内部控制评价也有影响。管理层倾向承受风险时会选择较低的风险评级，管理层倾向风险控制时风险评级会有所提高，管理层选择风险回避时可能将同一类风险定为高风险。评价人员在进行内控评价时如果不考虑企业的风险策略，选择评价流程时就会出现偏差，评价结果无法真实反映企业内控执行情况和風险管控情况。

（三）对业务变化掌握不全

企业的高风险较多出现在主营业务流程中，也就是说风险和业务种类相对应。随着企业发展和国内外市场环境变化，企业的主营业务并非一成不变。在市场竞争激烈，企业快速发展时期，主营业务每年都会有所调整，会产生新的风险或者对现有风险评估情况进行调整。开展内部控制评价工作时，如果不考察企业主营业务变化情况，就会忽略企业发展方向的调整，遗漏业务调整带来的风险变化，对评价重点把控不准，降低内部控制评价工作质量。

（四）对缺陷评价不够准确

企业内部控制评价经常发生的另一问题就是对缺陷的评价不够准确，主要产生原因包括：一是缺少内部控制缺陷认定标准。缺陷一般按重要程度分为重大缺陷、重要缺陷和一般缺陷，按性质分为设计缺陷和执行缺陷。企业应在内部控制评价制度中明确缺陷分类的定义和标准，指导评价工作对缺陷的准确定性。二是支持缺陷认定的证据不充分或不可靠。内部控制评价时抽样样本量不够，或者抽样不准确等都会影响缺陷的筛选和对缺陷的判断。三是评价人员对缺陷的认定不恰当。缺陷最终由评价人员进行定性，如果评价人业务水平不够，对制度把握不准确，会影响缺陷评价。同一个缺陷，可能会产生执行缺陷和设计缺陷的分歧，这也是企业内部控制评价中常见的现象。

三、做好内部控制评价的意见建议

综上所述，企业想加强内控管理，控制风险，就要做好内部控制评价，并根据评价结果不断完善内部控制和风险管理体系，才能起到促进企业管理效能提升，保障企业健康持续发展的作用。对于企业更好地开展内部控制评价工作，有以下几点意见建议。

（一）健全风险评估机制

企业做好内部控制评价的前提是做好风险评估。企业在生产经营过程中必须加强对各环节风险点的识别，并根据企业实际情况做好风险控制与管理。第一，企业管理层要确定对风险的态度，并加以宣贯，统一思想和认识。第二，企业要以部门为单位做好风险收集、风险评估，区分职能管理风险和生产经营风险，管理层要对部门上报的风险情况进行审核。第三，企业要定期召开全面风险管理会议，通报企业经营策略，审核风险评估情况，按照实际情况定义风险等级。第四，企业要定期修编内部控制手册，完善与公司发展相适应的内控制度，作为内部控制评价的评价依据。

（二）以风险为导向覆盖主营业务

基于风险实施内部控制评价就是以风险为指向标，结合重要性和成本效益原则，将内部控制评价的重点放到影响企业目标实现的主要风险点上，区分风险水平制定评价程序，分配评价资源。以风险为导向的内部控制评价遵循“业务-风险-控制”的逻辑关系，可以很好地兼顾企业主营业务与主要风险，通过内部控制评价可以反映生产经营流程管理的有效性以及存在的缺陷和短板。以风险为导向，覆盖主营业务的内部控制评价实施基本思路是：分析企业所处阶段和主营业务，识别和评估影响企业目标实现的风险，确定企业是否建立与之相适应的内部控制，通过评价确定内部控制运行是否有效，对发现的缺陷进行评估，提出整改意见并督促缺陷整改闭环。这种内部控制评价是自上而下实施的，具有全局性、综合性、针对性等特点，满足现代企业治理需要。

（三）提升内部控制评价人员能力水平

企业在风险导向下开展内部控制评价，评价结果更多地依赖管理层和评价人员的主观判断。无论是风险识别、内部控制设定还是内控执行有效性评价，都依靠于企业的风险管理人员和内控评价人员的决断。这就要求从业人员具有胜任工作的专业技能和职业素养，才能保证内部控制评价工作质量。企业要重视内部控制与风险管理相关人员的队伍建设，完善人力资源管理，保障相关工作质量。首先，企业要客观公正地选取评价人员。企业内部控制评价工作一般由内部审计部门开展，所以评价人员可以按照审计人员的标准进行选拔。其次，企业要优化内部控制评价人员队伍。根据具体评价对象不同，选择具有恰当专业背景、工作经验的人员开展评价，可以有效提高评价效率。再次，企业要加强从业人员的再教育工作。内部控制评价必须与时俱进，从业人员必须定期补充新知识，学习新技术，提高职业道德素质，评价工作才能更加高效，才能满足企业发展带来的新要求。最后，企业要加强内部控制评价考核。企业要建立明确的考核机制，用来考核内部控制评价工作成效，必须明确奖惩，激发评价人员内在动力，才能避免评价工作流于形式，保障评价工作客观开展。

（四）完善内部控制與风险管理体系

企业内部控制评价必须坚持通过评价完善内部控制与风险管理体系这一根本目的。内部控制评价如果仅仅停留在发现缺陷，整改缺陷的层次，不会对企业治理产生本质的影响，无法真正推动企业管理水平提升。所以，内部控制评价的结果必须在健全企业内部控制与风险管理体系方面发挥作用，才能建立企业治理的长效机制，推动企业合规合法经营。因此，企业内部控制评价要着眼“大闭环”理念，除了常规的访谈、抽样检查、自评价、评价、发现缺陷、整改缺陷等评价流程外，还要持续开展整改效果跟踪检查，关注评价后的内部控制手册修编和全面风险评估。企业只有将内部控制评价成果综合运用到内部控制、风险管理工作中，相互参考，相互促进，形成有机整体，才能从本质上促进管理效能提升，有效管控风险。

结语

企业内部控制和风险管理体系建设是一项系统性、持久性工程，直接关系到企业的生存和发展。企业为了改善内部控制环境，必须重视内部控制评价，高质量的内部控制评价是发现内部控制薄弱环节，加强内部监督，确保风险控制有效执行的管理手段。企业应重视内部控制评价，避免评价工作流于形式，将内部控制评价融入企业治理过程，提升企业治理内在动力，企业才会逐步壮大，健康发展。

参考文献：

[1]吴文通.风险管理视角下的国有企业内部控制方式分析[J].纳税，2019，13（36）：279.

[2]裴盈.内部控制视角下的企业税务风险管理研究[J].黑龙江科学，2019，10（21）：116-117.

[3]钟晓春.风险管理视角下企业内部控制问题研究[J].财经界，2019（10）：184.

[4]廖津武.论风险管理视角下的国有企业内部控制[J].财经界，2019（10）：212-213.