内部控制与风险管理的联系与区别
——以华为内部控制体系建设为例

龚靖翔 吴伟娜 张麒麟 刘 畅 董云飞

（北京邮电大学世纪学院，北京 102101）

一、引言

在公元前3600年苏美尔文化时期，就出现了内部控制最初的形态。经过社会的不断发展，如今内部控制在企业中的运用愈发重要。美国自21世纪初安然事件发生以来，对于企业内部控制的管控愈发重视，并以《萨班斯法案》立法的形式，对上市公司管理层加以严格的约束。

面对新时代国家治理、产业升级、财务共享等环境变化，我国紧跟时代步伐，自2002年初发布《上市公司治理准则》到2012年出台《公开发行证券的公司信息披露编报规则第21号——年度内部控制评价报告的一般规定》，表明了我国对内部控制制度建设的重视程度，同时这也敦促着企业进行内部控制的建设。企业要想由小变大，资本运营是企业加速发展的必由之路，是实现跨越式发展的必然选择。当企业想要变大变强时，建立现代企业制度并合理安排公司治理机制，对于提升企业核心竞争力十分必要。企业要在风险中获取收益，就必须评估风险、管理风险、驾驭风险。参考华为内部控制体系，近百条的内部控制条例，希望对其他企业有所启发。

图1 内部控制与风险管理的区别与联系

二、内部控制与风险管理的联系与区别

从重叠的关键要素来看，内部控制与风险管理有着密不可分的联系。它们相互交叉，共同影响着企业的经营活动和发展效果。内部控制和风险管理有三个主要目标：报告目标、经营目标和合规目标。此外，风险管理还增加了战略目标，这意味着风险管理更加注重在内部控制的基础上实现企业战略目标。在实际的企业经营过程中，企业内部控制管理与风险管理还存在较大差距，但其最终目标是一致的——合理保证企业目标的实现。内部控制的合理设计和有效运行，可以保证企业各项活动有序进行，避免发生偏离正常运行程序的突发事件，以给企业带来不利的损失。同时，风险管控做好风险管理的基础工作，这是一个动态管理的过程。为更好、更全面地识别风险事件提供便利，一个健全完善的风险管理体系能够有效地预防、避免和控制各种风险的发生，内控通过各种融合的制度规范，开展各类有序的控制事项。企业应积极探索内部控制和风险管理在实践中的应用，二者应该既交叉又独立，最终共同作用于企业运作中。

（一）平衡内部控制与风险管理关系——梳理流程

企业在经营过程中会面临各种风险，制约着企业发展的质量和速度，这就要求企业具有较强的风险评估和控制能力。企业的风险管理体系不完善，在风险防控方面也没有发挥实质性作用，反而造成资源的浪费。在企业进行战略调整、优化改善时，第一步往往都是梳理流程。将流程在进一步优化的基础上，再对经营进行改善。

为平衡内部控制与风险管理，单位负责人应高度重视内部控制制度的权衡，例如：定期或不定期地增减员工。每一枚硬币都有其利弊，机遇和风险必然是并存的，风险管理是一个完整的过程和风险管理机制。其中，风险评估的功能是识别、分析和评价风险，控制措施的功能是应对、防范和化解风险，内部监督的功能是全程监控。为了准确识别和处理风险信息，就必须对信息进行收集、传递、沟通和应用。风险管理框架下的内部控制是从企业战略层面分析、评价和管理风险，加强内部控制体系建设。

（二）前动和后动的平衡关系——流程责任制

华为内控制度的第一道防线是流程责任制。建立过程中的内部控制意识和能力。在华为的内部控制手册中，有这样一句话：如果你有一个目标，你就必须做出承诺；有了承诺，就要实现；公司财务总监负责全公司的内部控制管理，业务控制部向公司财务总监报告。华为倡导流程管理，体现了业务的本质。过程管理是企业管理的核心。设立专门的内控和风险管理部门，形成流程体系的外循环。定期进行风险评估，调整公司整体风险管理策略。任何业务活动都有一个清晰结构化的流程来引导，通过流程的构建，所有人都从大量低效的工作中解放出来，从事高价值、高主动性的工作，以专注于整个价值链的延伸，提高员工的工作效率。

（三）治理、管理、风险、控制的整合——风险监管体系与内部审计制度

治理、管理、风险、控制整合的过程将克服原本内部控制实施过程中内部控制与管理脱节的不足，提高了内部控制与组织的整合性和全员参与性。风险监管体系是华为内部控制体系的第二道防线。加强风险导向审计，防范风险事项。华为长期致力于通过资源的持续投入建立符合业界最佳实践的合规管理体系，并坚持将合规管理端到端地落实到业务活动及流程中。只有这样，才能取得更为有针对性的效果，使内部控制工作更加具体有效。

内部审计制度是华为内控制度的第三道防线：内部审计部门是司法单位。相对而言，风险管理涉及更为深入。将企业发展战略、内控目标和财务风险管理理念传达给每一位员工，建立可控的信息共享体系，以避免“一叶遮住百丑”的现象发生。因此，企业应积极接受外部审计师的监督，确保不相容岗位的分离，各单位要加强制度建设，以形成良好的内部控制环境、相互制约的工作体系，持续评估和改进内部控制行为，对预防腐败具有重要意义。

（四）“从上到下”和“从下到上”执行模式相融合

在华为，任正非要求：“员工参加管理，不断地优化从事工作的流程与工作质量，改革一切不合理的流程。”内部控制制度的建设不仅需要企业全体人员的通力合作，而且需要构建符合本单位需要的内部控制制度。需要企业每一个人的努力，自上而下、自下而上形成整体良好氛围，清晰分清企业的责、权、利三者关键要素之间的关系，有效加强内部控制和风险管理。企业要想在激烈的市场竞争中立于不败之地，就必须提高对内部控制的认识，明确内部控制与财务风险防范的区别和联系。内部控制制度建设总是走在路上，没有最好，只有更好，这需要企业不断去追逐、改进。

三、结语

任正非说：“全球统一核算和审计监督就像长江的两道堤坝。只有这两条堤坝足够强，才能顺利有效地发挥财务管理职能。”有效的设计方案和内部控制系统的合理运行，可以保证公司主题活动有序开展。

近年来，紧随国家政策，匹配华为企业的长期发展规划，华为致力于财经管理的精细化和综合化，持续建设资金风险管理体系、税务遵从管理体系，并积极推动财经作业高效、敏捷、智能地开展。他山之石——华为的内控管理体系为我们提供了一个很好的标杆，在基础工作中，可以方便、范围更广地识别风险事项。华为不仅重视基本的流程制度建设，而且更加重视内控体系的建设，制定并持续完善相应的问责机制、以保证流程制度的高效运行：以三道防线建立起点线面有机结合的内部控制管理体系，支撑起了华为的商业成功与持续发展。完善的风险系统管理可以有效地预防，避免和控制各种风险的发生。随着两者的逐步完善和不断完善，两者不仅应相互交叉，而且还应相互促进、融合，并最终改进公司的运营状况，输出更大的产出。因此，公司应从联系发展趋势的角度来对待两者之间的联系和区别，并适当地将两者结合起来，以保障公司的平稳运转，推动企业的发展壮大。