浅论基于风险治理的内部控制自我评估

费韫婷 汪子林 韦祖彬

[摘要]目前实践中企业风险治理的常规做法是由独立的部门（风险管理部门或内部审计部门）实施定期的风险评估与处置工作。但此种风险治理模式在面对不断变化的经营环境与内部管理模式时，通常具有一定的时滞性，无法对经营风险做到适时的、动态的、持续性的监控与评估，难以做到对风险的及时预警、反馈与处置。本文从推行规范化的内部控制自我评估入手，对内部审计部门如何发动公司全体员工关注内部控制与风险治理，以风险管控为目标，实施灵活、全面、适时的内部控制自我评估，从而实现经营风险的适时预警、反馈与处置等问题进行了探讨。

[关键词]风险治理;内部控制;自我评估

一、内部控制自我评估的核心理念与主要特征

按照COSO委员会1992年发布的《内部控制整体框架》和2004年发布的《企业风险管理整合框架》精神， 内部审计不再是内部控制和风险管理的唯一责任主体，企业的所有成员都对内部控制负有相应的责任。内部控制自我评估充分体现了这一精神，其核心理念是由管理层或业务人员直接参与审查和评估内部控制的效果，是一种包括自我评估调查和协调研究的方法。它强调企业管理层和一线员工的参与，并通过专题会议、问卷调查、管理人员分析、跨部门的协调联席会议等多种手段，对经营管理过程进行持续的、日常化的评价，提出即时解决方案，以加强对经营风险的治理。

内部控制自我评估具有六个基本特征：关注管理的过程和控制的成效;由管理部门和职员共同进行;用结构化的方法开展自我评估;具有持续性和动态性;借助并发挥集体的知识和见解;灵活的实施方法。

二、内部控制自我评估的优势

内部控制自我评估与传统内部控制评价方法相比，具有明显的优势。1、更加贴近实际和灵活，从而具有更高的效率和效果。2、更适宜于对“软控制”要素的评价。3、具有在公司内部进行知识转移的功能，有利于进一步提升公司整体控制环境。4、评估结论更容易得到认同，纠正和整改措施更容易得到及时有效的执行。

三、基于风险治理的内部控制自我评估的主要方法

作为风险管理工作的重点内容，内部审计部门推行的内部控制自我评估主要以风险治理为基础，从明确单位（部门）经营管理目标出发，讨论并列举可能妨碍目标实现的各种障碍、威胁和风险，并对列举出的风险进行排序，确定风险的重要程度;接着对控制程序进行检查，以确定现有控制过程是否足以对关键风险予以合理管控;最后根据评价结果形成评价报告，拟定整改管控措施与行动时间表，开展整改与管控行动。一项完整的内部控制自我评估活动包括计划与选题、预备工作、单独的研讨会、系列的联席会议、报告和整改方案的实施、后期跟踪检查等一系列过程。

（一）前期计划與选题。内部审计部门首先应开展公司系统经营管理风险评估，形成公司系统风险评估初步结论，从中选择高风险管理领域和重点管理领域、具有代表性的基层单位和管理部门作为内部控制自我评估的对象，制定公司年度内部控制自我评估实施计划时间表，从而提高内部控制自我评估活动的针对性和时效性，确保内部控制自我评估活动切合公司实际经营管理和风险管理的需要。

（二）预备工作。1、与参与内部控制自我评估的基层单位（部门）高级管理层进行充分沟通，寻求支持。2、针对具体的活动主题，选择合适的参与人员。

（三）召开专题研讨会。内部审计部门按照预定的时间召开专题研讨会，召集评估小组成员进行讨论。讨论的内容不能局限于现有的内部控制制度完善性、制度执行的有效性等方面，还要包括人的因素（即员工职业道德情况、领导层管理理念、激励机制等）对本单位（部门）的经营管理目标的影响。

（四）形成初步结论，并予以复核。内部审计部门对专题研讨会收集到的评估意见予以整理汇总，形成初步评估报告。对高风险环节应进行具体陈述，说明其状况、影响，并提出改进方案和方案的完成时间、责任人。评估报告应详细列明专题研讨会上大家发表的各种意见，以供报告使用者参考，内部审计部门不能根据自身视角和观点对评估报告进行加工。

（五）召开联席会议。如果初步评估报告形成的结论涉及到其他单位和部门，内部审计部门应牵头组织召开部门联系会议，对初步评估报告进行讨论，寻求有效地解决方案后，形成完整的评估报告。

（六）报告和整改方案的实施。内部审计部门应将评估报告和整改方案分别报送公司最高管理层、参与内部控制自我评估的基层单位（部门）高级管理层。对具有代表性的风险环节和内控薄弱环节应予以重点提示，以便相关管理层能够充分认识到问题的严重程度和存在的广泛性，及时落实整改工作。

（七）后续跟踪检查。内部审计部门应根据评估报告和整改方案，及时调整审计工作计划，对该参与部门的整改落实行动实施适时的后续跟踪审计，督促其认真落实整改方案，从而通过整改，进一步完善内部控制、加强风险管控。这也是内部控制自我评估活动的连续性和动态性特征的重要体现。

四、影响内部控制自我评估活动成效的主要因素

一项内部控制自我评估活动能够取得成功，不仅需要严格履行规范化的程序，采用专业化的评估方法和手段，还应关注以下几个方面：

（一）评估企业文化，选择适当的内部控制自我评估方式。作为一种相对比较新的发展中的方法，内部控制自我评估的成功与员工的有效参与直接相关。而员工对内部控制自我评估的反应和接受能力在很大程度上受到企业文化的影响。如果企业文化不具备鼓励员工坦诚进行开放式交流的氛围，专题讨论会将由于参与者的顾虑或随大流的心态而失去广泛收集意见的意义，得出的评估结果也没有太大价值。此时内部审计人员应通过采取问卷调查和管理人员分析等其他替代手段实施内部控制自我评估活动。

（二）合理选择评估对象。在内部控制自我评估处于刚刚推行的阶段，内部审计部门不可能对有管理领域开展全面的内部控制自我评估活动。这就要求内部审计部门选择合适的评估对象，一方面要紧紧围绕公司经营管理重点工作;另一方面要尽量规避那些业务性质复杂，操作难度较大的对象。

（三）选择合适的参与人员。内部控制自我评估对参与人员的素质要求比较高，要求能够充分熟悉自己所在岗位的经营活动及内部控制，并具备思考、分析以及表达能力。理想的内部控制自我评估研讨会通常有8到10位参与者，参与者要能够覆盖评估对象的全部业务流程。

（四）充分认识到内部控制自我评估缺乏独立性和客观性这一特点。内部控制自我评估主要精神是由管理层和一般员工对本单位（部门）的内部控制过程实施自我评估。虽然与传统的内部控制评价方法相比内部控制自我评估更贴近实际、更加灵活，但这也导致了内部控制自我评估在先天上就缺乏独立性和客观性。因此内部审计部门和管理层应充分考虑这一因素，在实施自我评估活动过程中应对参与人员的客观性进行监督与控制，在运用评估成果时与相关的内部稽核结论和审计、监察等保障部门提交的分析报告结合起来。

参考文献

[1]IIA：《内部审计实务标准—专业实务框架（2004年修订）》中国时代经济出版社，2005年8月版.