浅议内部控制与风险管理

詹晓倩

摘要：本文通过介绍西方内部控制和风险管理理论，分析了ERM与IC-IF的关系，指出中国企业在借鉴世界发达国家的标准的同时，应结合中国企业的特点和实际情况，要有中国企业自己的内部控制和全面风险管理标准。

关键词：内部控制风险管理ERM框架IC-IF框架

一、内部控制的定义

那么什么是内部控制?理论界存在各种观点，1949年，美国会计师协会的审计程序委员会在《内部控制：一种协调制度要素及其对管理当局和独立注册会计师的重要性》的报告中，对内部控制首次作了权威性定义：“内部控制包括组织机构的设计和企业内部采取的所有相互协调的方法和措施。这些方法和措施都用于保护企业的财产，检查会计信息的准确性，提高经营效率，推动企业坚持执行既定的管理政策。”

1992年，美国“反对虚假财务报告委员会”下属的由美国会计学会、注册会计师协会、国际内部审计人员协会、财务经理协会和管理会计学会等组织参与的发起组织委员会(COSO)发布报告《内部控制——整体框架》(即“COSO报告”)。该报告将内部控制定义为：是受企业董事会、管理当局和其他职员的影响，目的在于取得经营效果和效率、财务报告的可靠性、遵循适当的法规等目标而提供合理保证的一种过程。

我国1997年开始实施的《独立审计具体准则第九号——内部控制与审计风险》的定义是：“内部控制是被审计单位为了保证业务活动的有效进行，保护资产的安全与完整，防止、发现、纠正错误与舞弊，保证会计资料的真实、合法、完整而制定和实施的政策与程序。”

上述三个定义具有几个共同特点：一是都将内部控制解释为一种政策或程序(过程)；二是都在定义中说明了内部控制的目标；三是都是从审计的角度做出的定义。

二、内部控制理论发展过程

内部控制理论的发展是一个逐步演变的过程，大致可以区分为内部牵制、内部控制制度、内部控制结构、内部控制整体框架、风险管理框架五个阶段。

第一，内部牵制阶段。

相互核对是此阶段内部控制的主要内容，设定岗位分离是内控的主要方式，这在漫长的几千年内被认为是一种最实用的控制方法。

第二，内部控制制度阶段。

内部控制制度有两类：内部会计控制制度和内部管理控制制度，内部管理控制制度包括，不仅限于组织结构的计划，以及关于管理部门对事项核准的决策步骤上的程序与记录。会计控制制度包括组织机构的设计以及与财产保护和财务会计记录可靠性有直接关系的各种措施。

第三，内部控制结构阶段。

内部控制被认为是为合理保证企业特定目标的实现而建立的各种政策和程序，内部控制由三个要素组成：内控环境、会计制度和控制程序。

第四，内部控制整体框架阶段。

1992年9月，COSO委员会提出了报告《内部控制——整体框架》(1994年进行了增补)，该框架指出“内部控制是受企业董事会、管理层和其他人员影响，为经营的效率效果、财务报告的可靠性、相关法规的遵循性等目标的实现而提供合理保证的过程。”

第五，风险管理框架阶段。

2004年9月《企业风险管理——整合框架》正式文本发布。企业风险管理整合框架认为“企业风险管理是一个过程，它由一个主体的董事会、管理当局和其他人员实施，应用于战略制订并贯穿于企业之中，旨在识别可能会影响主体的潜在事项。管理风险以使其在该主体的风险容量之内，并为主体目标的实现提供合理保证。”该框架拓展了内部控制，更有力、更广泛地关注于企业风险管理这一更加宽泛的领域。

三、关于内部控制和风险管理的研究报告

COSO发布的研究报告《内部控制整体框架》和《企业风险管理整体框架》是美国上市的公司需要重点研究的对象。

1992年《内部控制一整体框架》(Internal Control-Integrated Framework以下简称为“IC-IF”框架)报告对内部控制的定义是：“内部控制是一个受到董事会、经理层和其他人员影响的过程，该过程的设计是为了提供实现以下三类目标的合理保证：经营的效果和效率、财务报告的可靠性、法律法规的遵循性。”?它认为，内部控制系统是由以下五要素组成：

内控环境——内控环境是企业的基调、氛围，直接影响企业员工的控制意识。

风险评估——风险评估是识别、分析相关风险以实现既定目标，是风险管理的基础。每个企业都面临着诸多来自内部和外部的风险，影响企业既定目标的实现。因此必须设立一个机制来识别、分析和管理影响目标实现的相关风险，并适时加以管理。

内控活动——内控活动指那些有助于管理层决策顺利实施的政策和程序，是针对风险采取的控制措施。

信息与沟通——是指企业经营管理所需信息必须被识别、获得并以一定形式及时传递，以便员工履行职责。信息不仅包括内部产生的信息，还包括与企业经营决策和对外报告相关的外部信息。畅通的沟通渠道和机制使企业的员工能及时取得他们在执行、管理和控制企业经营过程中所需的信息，并交换这些信息。

监督——是对内部控制系统有效性进行评估的过程，可以通过持续性监督、独立评估或两者的结合来实现对内控系统的监督。

2002年萨班斯一奥克斯利法案频布后，COSO于2004年发布了《企业风险管理整体框架》(以下简称EBM框架)。ERM框架是IC-IF框架的更新补充。ERM框架对内部控制的定义明确了以下内容：(1)是一个过程；(2)被人影响；(3)应用于战略制定；(4)贯穿整个企业的所有层级和单位；(5)旨在识别影响组织的事件并在组织的风险偏好范围内管理风险；㈣合理保证；(7)为了实现各类目标。对比原来的定义，ERM概念要细化的多。

在内部控制整合框架五个要素的基础上，COSO企业风险管理的构成要素增加到八个：(1)内部环境；(2)目标设定：(3)事项识别；(4)风险评估；(5)风险应对；(6)控制活动；(7)信息与沟通；(8)监控。八个要素相互关联，贯穿于企业风险管理的过程中。

COSO企业风险管理的定义：“企业风险管理是一个过程，受企业董事会、管理层和其他员工的影响，包括内部控制及其在战略和整个公司的应用，旨在为实现经营的效率和效果、财务报告的可靠性以及法规的遵循提供合理保证。”COSO-ERM框架是一个指导性的理论框架。为公司的董事会提供了有关企业所面临的重要风险，以及如何进行风险管理方面的重要信息。

ERM框架重视的是企业风险管理，IC-IF框架中内部控制则是企业风险管理中不可分割的一部分。COSO在《企业风险管理框架》前言中指出，企业风险管理框架是建立在内部控制整体框架基础之上的，对企业风险管理内容的关注更加广泛与深入。ERM并非替代IC-IF，而是包容了IC-IF，在内控的有关概念上，两者保持了一致与连贯。企业风险管理框架不仅可以满足企业加强内部控制的需求，也能促进企业建立更为全面的风险管理体系。

COSO框架是目前美国使用最广泛的框架。SEC也建议企业采用COSO框架，中国企业要实施全面内部控制与风险管理，必然借鉴世界发达国家的标准，但不能照抄照搬，要适合中国企业的特点和实际情况，要有中国企业自己的内部控制和全面风险管理标准。

中国企业要实施全面内部控制与风险管理，必然借鉴世界发达国家的标准，但不能照抄照搬，要适合中国企业的特点和实际情况，要有中国企业自己的内部控制和全面风险管理标准。