大数据背景下企业内部控制与风险管理体系构建研究

●肖洪伟

一、引言

在新常态发展战略目标的指引下，经济的发展模式发生了巨大的变化。以大数据、区块链等为代表的互联网技术在各行各业得到了广泛应用。在严峻而复杂的经济浪潮中，企业要想健康、稳定地可持续发展，必定离不开完善的内部控制和风险管理体系。内部控制和风险管理在企业中是非常重要的管控活动，只有立足于企业生产经营的实际情况，运用大数据等互联网技术，实现对企业数据的全面掌握，才能构建出符合企业自身情况的内部控制和风险管理体系，为企业的生产经营保驾护航[1]。

二、企业内部控制与风险管理的相关概念

（一）企业内部控制的定义

企业内部控制是对企业的资产、人、财务和流程实行的一系列的监管活动，用于保障企业正常的生产经营秩序，是对企业的生产经营所有活动的一项强有力的监督机制。企业内部控制不仅针对于员工和工作流程，更要保证企业资产和财务信息的真实、准确和有效。企业内部控制的影响因素众多，涉及内部环境、内部监督、风险评估、控制活动和信息与沟通，主要过程包括预测、控制和监督。企业内部控制的实现途径依赖于体系的构建和流程管理的改革，这样既能让企业的生产经营活动合法合规，又能让信息、数据更加真实、完整。

（二）企业风险管理的定义

企业风险管理的内容则涵盖了企业商业风险管理、运营风险管理以及策略风险管理的内容。它更侧重于通过计划、组织、领导、控制企业生产经营活动的全过程，来让企业的资产和所受风险的概率降至最小。企业风险管理既涉及企业内部，同样也涉及企业外部，覆盖了企业生产经营的全过程，这也导致了企业风险管理并非一成不变，而是一个动态管理的过程。在此过程中，需要不断地对企业生产经营活动中可能存在的风险进行识别，对风险因素进行定性和定量分析，并采取防范、规避等应对措施，来保证企业正常的生产经营安全。企业的风险管理体系需要将其风险因素集合，制定出组织职能体系、内部控制系统、风险管理策略和风险应对措施四方面的内容[2]。

三、企业内部控制与风险管理的异同与关系

（一）企业内部控制与风险管理的相同之处

企业内部控制与风险管理的相同之处在于二者都需要企业内部的全员参与，从源头上激发全员的主观能动性，让全员都参与到风险识别、监控等环节。另外，二者都是为企业的合法、合规经营以及企业的平稳健康发展提供强有力的保障。同时企业内部控制和风险管理均是一个动态管控的过程，都将面对诸多的不确定因素，需要持续性地进行跟踪和监督，都属于对生产经营活动过程的管控。

（二）企业内部控制与风险管理的不同之处

首先，在体系的范围上，内部控制的范围仅限于企业内部，小于风险管理的范围。虽然风险管理体系中的内部控制系统与企业内部控制存在一些交集，但是内部控制更注重对于企业资产安全的保证，以及财务信息和报告的完整性与真实性，对于事前的参与度不高，多面向事中和事后，而风险管理侧重于事前和事中，有着较大的区别。其次，二者的关注点略有不同，内部控制主要针对企业中已出现的，影响企业经营合法合规方面和财务数据真实性方面的风险，而风险管理则偏向于战略风险和机会风险，为企业整体进行全方位的分析。最后在执行层面，内部控制更注重风险的评估工作，而风险管理更强调所有环节的闭环，所以风险管理更容易形成一整套体系结构[3]。

（三）企业内部控制与风险管理的关系

企业内部控制与风险管理相辅相成，内部控制可以作为企业风险管理体系中的一个环节，以内部控制为基础进行全方位的拓展，最终实现风险管理体系在企业的全覆盖。另外，内部控制是风险管理体系中的重要手段之一，通过内部控制能保障企业运营的合法合规性，将企业经营中的绝大多数风险扼杀在摇篮之中。当然从流程和方法上来说，内部控制的程序简化，使用的手段以传统的预算控制、数据分析等方法来进行风险应对，这些方法对于企业来说更加经济实惠。但是现在企业的生产经营面临的外部风险形式同样严峻，在内部控制的基础上，必须利用范围更广的手段，以帮助企业规避更多的风险，最大程度地保证经济不受损失。

四、大数据背景下企业内部控制与风险管理体系构建的具体策略

大数据时代，企业面临的内外部环境更加复杂，需要针对更多的企业财务信息进行分析，通过各种互联网技术的应用，快速、高效地帮助企业构建出具有鲜明时代特色的内部控制与风险管理体系，通过完整的体系，消除企业财务、营销和生产活动中的一切不确定因素，确保企业平稳、健康的发展。

（一）增强企业内部控制和风险管理体系的整合意识

企业内部需要加快梳理内部控制和风险管理体系工作之间的交集，本着集约化建设的原则，减少内部控制和风险管理体系之间的重复工作。在两个制度的制定方面，以整合意识为前提，通过协作、共促的原则，提高企业对经营风险的防御能力。同时让企业内部的所有人员树立整合的意识，将内部控制和风险管理体系整合在一起，真正做到风险事前、事中和事后的全流程闭环控制与监督[4]。

（二）打造集成式的企业内部控制和风险管理体系

企业经营的合法合规是企业内部控制和风险管理的首要任务，所以需要通过集成式的企业内部控制和风险管理体系，将企业内外部面临的风险均纳入到管理体系中。企业内部的风险更多借助于内部控制体系进行防范，外部则需要通过一些监督机制，如中介机构、监管机构等进行实现。同时对集成式的企业内部控制和风险管理体系进行分层，让企业的治理层、管理层和运营层进行分层管理，企业内部形成自己的协同监督机制。如生产和业务部门应以客户群体为目标，生产并提供目标群体所需的高性价比服务或者产品，而企业财务等职能部门则履行监督和服务职能，让企业内部控制系统正常运转，为经营活动提供强有力的支撑。当然为了检验内部控制策略的有效性以及帮助其进行持续性的改善，需要有审计人员对内控效果进行独立的评价。集成式的企业内部控制与风险管理体系实现了二者的合二为一，让企业的风险管理与控制更加便捷、高效。在此基础上，企业的财务信息会更加精准，财务报告的质量与透明度会有一定程度的提升，但是需要注意二者整合的难度与阻力。

（三）建立以风险管理为导向的企业内部控制制度

在企业内部控制制度设计时，需要以风险管理的体系内容为导向，紧密围绕企业风险管理的核心要点，实现内部风险的闭环，从而进一步构建良好的自我免疫风险防范机制。在内部控制制度中需要体现对内部各种潜在风险因素的识别，并针对性地做好各项应对措施。在企业内部控制制度中要充分体现企业风险管理的长效机制与措施，对于风险控制策略的制定必须以科学性和实用性为主要原则。特别是需要在制度中明确规定各项内部控制的指标和考核标准，真正体现出奖惩分明的原则，这样才能让企业全员对于内控控制和风险管理的意识得到显著的提升。在制度制定前，企业需要组织人员对经营管理和投资实践过程中存在的潜在风险因素和问题进行识别，对已识别的问题分类汇总，对经营和投资过程中可能存在的问题进行综合分析。同时要在企业内部控制制度中体现风险分类分级管理的思想，从风险管理的角度合理划分部门之间的权责，将风险管理放在内部控制制度中的显著位置，构建较为立体的内部控制和风险管理体系，从而达到企业内部规范化的管理效果。

（四）通过信息化手段构建风险识别与评估系统

在企业内部控制与风险管理体系的建设过程中，风险识别和评估工作的重要性不言而喻，这些都是建立在完整、准确地掌握企业经济活动数据的基础之上。由于当前国际国内形势瞬息万变，企业必须借助于信息化手段构建自己的风险识别与评估系统，这样才能更加高效、准确地完成此项工作。一般来说，企业面临的风险主要分为战略风险、财务风险和运营风险三大类，而企业的财务信息与这三类风险均息息相关。只有通过信息化手段，构建完善的风险识别与评估系统，才能对风险进行针对性定性、定量的分析，为后续的防御和化解风险提供可靠的依据。另外，由于风险的可变性，需要对风险进行动态的跟踪与控制，显然在这方面信息技术的优势高于相关人员。信息系统可以利用大数据、人工智能等技术，实现风险自动识别与评估，并通过与相同类型风险进行对比，实时提出科学、合理的方案，供企业的决策者参考[5]。当然企业内部可以通过内部控制过程对内部风险进行梳理，并针对重点风险制定相应的应急预案，一旦风险真正发生，可以按照应急预案的流程，由信息系统进行程序化的处置，大大节省内部控制和风险管理的时间。

（五）让审计监督体系成为风险管理体系中的重要组成部分

虽然当前部分企业没有建立完善的审计监督体系，但是审计监督组织机构的成立以及审计监督职责的良好履行，能使企业内部控制和风险管理体系更加完整，也有利于风险处理的闭环。对于未设置审计监督组织机构的企业应尽快设置，对于已有审计监督组织机构但未独立的，应尽快实现其独立性。企业的审计监督人员应在深入了解企业经营环境的同时，掌握审计监督必备的技能，从而实现对风险的实时监控。特别要对企业物资采购、计量、费用报销和资产验收等环节进行监督和管控，保证企业资产的安全和完整。当然内部控制的外部监督也是监督审计体系的重要组成部分，借助于外部财务、税务、审计等职能与机构的力量，对内部控制的规范性进行监督。让审计监督体系成为风险管理体系中的重要组成部分需要进行科学、合理的权责划分，避免因为审计监督影响企业正常的经营活动。同时在审计监督体系的构建时，除履行监督职责外，必要时还需要通过监督体系对经营活动进行反哺指导，杜绝为了监督而监督，而是通过审计监督体系，进一步完善企业内部控制和风险管理体系的不足。

五、结束语

综上所述，大数据背景下企业内部控制与风险管理体系的构建需要有完整的方式方法。既要从企业全员的意识开始二者的整合，还要通过集成式的体系模式，形成交叉、融合的完整体系构架。利用信息技术推动风险的识别与评估，让审计监督成为体系的重要环节。