风险导向内部控制机制研究

风险导向内部控制机制研究

作者：杨学华 文小亮

来源：《会计之友》2011年第01期

【摘要】 2000年以来，我国发生了多起重大财务舞弊案件。这些案件实质与内部控制有关，与忽视风险有关。文章探讨了内部控制与风险管理的关系；从理论和实践两个角度分析了我国企业建立风险导向内部控制机制的必要性与可行性；对《企业内部控制基本规范》中有关风险导向内部控制机制的内容进行了解读与评述；提出了我国建立和建设风险导向内部控制机制中应该重点关注的问题。

【关键词】 内部控制； 风险管理； 风险导向

近十年来，我国几乎每年发生重大的财务舞弊案件，诸如银广夏、蓝田股份、中航油、中信富泰等等。这些事件表面上看是财务问题，实质上却与企业内部控制关系重大，内部控制的失效使得一些显而易见的高风险行为被忽略不计了。那么，内部控制与风险管理存在什么样的关系？现在盛行的“风险导向内部控制”在我国是否必要和可行？我国现有的规范与COSO风险管理框架相比，是否真如很多学者所认为的漏洞百出？如何在我国现有规范的指导下充分发挥内部控制机制的作用？这些问题是理论界和实务界必须厘清的问题。

一、内部控制与风险管理的关系

关于“内部控制与风险管理的关系”，理论界存在三个主要的观点：第一种观点认为，内部控制包含风险管理，如加拿大特许会计师协会（CICA）控制委员会（1999）指出，“控制应该包括风险的识别与减轻”；第二种观点认为，风险管理包含内部控制，如美国COSO（2004）在《企业风险管理框架》中将五要素的内部控制扩展到八要素的风险管理，明确了前者包含于后者的关系；第三种观点认为，内部控制与风险管理相融合，如英国的Turnbull报告认为，风险管理和内部控制只是人为的分离，而在现实商业行为中，两者是一体化的。本文基本认同第三种观点。一方面，内部控制与风险管理之间相互交叉，彼此之间存在重合的地方；另一方面，随着企业文化的积淀，控制意识和风险意识的深入，风险管理水平的提高，内部控制与风险管理的重合部分将越来越多，互补的效用也越来越明显。

二、风险导向内部控制机制在我国企业建立的必要性和可行性分析

龙源期刊网 http://www.qikan.com.cn

（一）必要性分析

从制度经济学的角度看，内部控制是用来弥补企业不完备契约的一种契约装置，而且这一契约同样也是不完备的。由于世界的复杂多变性、人的认知能力的有限性以及对成本效益的考虑，内部控制存在着“先天不足”，需要通过“后天的营养”来弥补。这里所说的“后天的营养”就是风险意识和风险管理理念，要将风险意识深深地嵌入到内部控制的控制环境中，要将风险识别、风险评估和风险应对的方法运用到内部控制的控制活动中，建立一个以风险为导向的动态的内部控制机制。

从我国的现状来看，我国已经建立起比较完善的市场经济。随着市场经济的发展，交易品种和交易方式越来越多，市场经济中存在的风险也变得更加多变和复杂。对这些多变和复杂风险的识别和控制是在新的市场环境下每个企业都要面临的新课题，因此，建立以风险为导向的内部控制机制是十分必要的。 （二）可行性分析

从管理学的角度看，风险管理和内部控制有很多相通的地方。比如，两者都应该以企业的战略目标作为最高的向导，都具有防弊的功能，都涉及到风险的评估和控制（“风险评估”在内部控制中是作为一个基本要素而存在的）。因此，风险管理中的风险偏好、组合风险观、风险识别和评估的方法以及风险应对的对策都可以接嫁到内部控制中来。也就是说建立以风险为导向的内部控制机制是可行的。

从我国的现状来看，风险意识和风险管理理念在理论界和实务界已广泛存在，且出现了风险管理与内部控制融合的趋势。2004年美国风险管理整体框架发布以来，理论界对于“风险管理与内部控制”的相关问题研究很多，并提出了建设性的意见；2008年我国财政部等五部委联合制定《企业内部控制基本规范》，提供了政策上的指导。在实务界，一些企业逐步建立起风险导向的内部控制机制，比如中国联通，中国神华等等，为我国企业界风险导向内部控制机制的建立和建设建立了信心，树立了榜样。

三、对《企业内部控制基本规范》中有关风险导向内部控制机制的解读

2008年6月28日，财政部会同证监会、审计署、银监会、保监会制定并发布了《企业内部控制基本规范》（以下简称《基本规范》），自2009年1月1日起在上市公司范围内施行，同时鼓励非上市的大中型企业执行。有人称该规范为中国的风险管理框架，也有人批评它并未突破传统，视野仍然狭窄。笔者认为，该规范是现阶段我国国情与国际先进经验的有机结

龙源期刊网 http://www.qikan.com.cn

合，是我国企业风险导向内部控制机制建立的指导框架。它固然不是一个完美无缺的规范，但是与我国的现状是相适应的，比如与我国的市场经济发展程度、相关法律的完善程度以及公司治理传统等方面。因此，与其百般挑剔或者观望新规范的出台，还不如在现有规则指导下切实做好内部控制的建设工作。 （一）内部控制的定义

《基本规范》中定义：内部控制是由企业董事会、监事会、经理层和全体员工实施的，旨在实现控制目标的全过程。

该定义强调了内部控制的全员性、全面性和全程性，即参与内部控制是企业每个成员的责任和权力，与实现控制目标有关的对象都应该得到控制，内部控制是一个动态的过程，应该随着客观环境和情况的变化而采取相应的举措。但是，该定义仅仅明示了内部控制的主体，而对内部控制的客体以及内容的定义特别隐晦。 （二）内部控制的目标

《基本规范》认为，企业内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，帮助企业实现发展战略。

该规范与COSO风险管理框架相比，最显著的特点是把战略目标放到了最后的位置，本文比较认同这种做法。在COSO风险管理框架中，战略目标是放在第一位，许多学者赞扬和推崇其明智，因为企业一切行为的最高目标都是战略目标，实现企业价值最大化。固然如此，但是，既然是界定内部控制的目标，应该是内部控制所特有的目标，而如上所述，战略目标是统领企业一切行为的目标，也就不应在界定内部控制目标之列了。因此，内部控制的目标应该是“合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果”，这些目标的实现都服务于企业的终极目标或者说所有行为的共同目标，即规范中所说的“促进企业实现发展战略”。 （三）内部控制的要素

规范认为内部控制应该包括五个要素：内部环境、风险评估、控制活动、信息与沟通、内部监督。

五要素中，环境是根基，风险是导向，控制活动、信息与沟通、内部监督是环境基础之上，风险导向之下，贯穿于整个内部控制系统的持续不断地活动。五要素中，“风险的分量”不像COSO风险管理框架那样张扬，但占据其中之一，恰到好处。殊不知，过犹不及，轻视风险与过分强调风险都将带来负效应，轻视风险可能导致一些风险不被识别而遭受损失，而过分强调风险可能导致对一些程序性和原则性很强的控制进行不必要的风险分析，不符合成本效益原则。从我国的现状来看，企业的风险管理水平和内部控制水平还没有娴熟到可以将两者合二为

龙源期刊网 http://www.qikan.com.cn

一。因此，以风险为导向的企业内部控制，只是将风险管理的一些理念和方法运用到内部控制中，而不是将两者等同。

四、我国企业风险导向内部控制机制建设应关注的问题

（一）要特别重视企业文化的建设

重视企业文化的建设是由文化的重要性和我国国情所决定的。文化的重要性不言而喻，它是企业的灵魂，一种积极的、正直的、和谐的企业文化将促使企业上下秉公办事，自觉为企业谋利益。我国的国情包括两个方面：一是很多企业不重视企业文化的培育和建设，富士康连跳、山木丑闻等事件就是很好的例证，企业的眼光聚焦于单纯的经济利益，缺乏甚至亵渎人文关怀；二是我国自古以来深受儒家思想的影响，道德的约束力较强，做了被认为“不道德”的事情会觉得良心不安。正因为如此，企业应加强其文化的培育，使良好的行为规则、企业的愿景深入治理层、管理层和普通员工的心里。 （二）合理界定企业内部控制

内部控制的界定存在很多争议，以前囿于会计和审计视角，过于狭窄；而自从2004年美国风险管理框架出台以后，理论界纷纷解读和赞扬美国的新框架，同时对我国的基本规范提出了质疑。那么，新框架是否真的就完美无缺，我国的基本规范是否真的就弊病不少呢？这值得商榷。一方面，内部控制定义过于狭窄，确实容易导致控制流于形式，孤立于企业管理之外，无法真正实现其目标；另一方面，内部控制是经济发展的产物，应该随着经济的发展而发展，应该适应当下的经济发展水平。我国的市场经济没有美国发达，管理水平也相对落后，如果将内部控制定义过于宽泛，将导致企业更加无可适从，内部控制的评价也缺乏衡量标准。因此，笔者认为，内部控制的建设和发展是一个循序渐进的过程，并不能一味地追求所谓完美的设计。

（三）执行比设计更重要

内部控制制度和程序的设计固然重要，但是执行比设计更重要。一个再好的设计，如果没能执行下去，那么它就等于空谈。目前，企业内部控制未能有效预防、发现和制止舞弊事件的发生，未能做到提高经营效率和效果，关键不是制度问题，而是执行的问题。绝大部分企业有了控制和风险意识，制定了一系列的制度和规定，但是，企业并没有把控制和风险理念实实在在地贯彻到活动中，更没有考虑如何把内部控制和风险管理以及更宽泛意义上的管理联系起

龙源期刊网 http://www.qikan.com.cn

来，互相利用、互相弥补。内部控制流于形式，控制与风险、管理相互孤立，这是当前企业内部控制建设中存在的最大的弊病。

（四）建议制定企业内部控制实施细则与指南

《基本规范》总则第二条规定：“本规范适用于中华人民共和国境内设立的大中型企业。小企业和其他单位可以参照本规范建立与实施内部控制。”而企业要遵循的“内部控制”的规定除了《基本规范》之外，还有其他的很多出自各方的规定，且对内部控制的界定不统一，要求也不相同。企业可能陷于无所适从的困境。因此，建议财政部会同其他有关部门再统一出具《实施细则》和《规范指南》。《基本规范》是指引、是大方向，指导《实施细则》和《规范指南》的制定，也指导企业内部控制中灵活性较强的控制制度和程序的制定和执行；《实施细则》的制定应由各行业主管机关制定，由财政部审核通过，主要说明各行业应该强制执行的各种制度；《规范指南》需要详细罗列各种典型案例及其分析，类似于国外的习惯法，但不具有法定效力，只作为企业内部控制建设的参考。

总之，在现阶段的中国，建立风险导向内部控制机制是十分必要而且可行的。我们不必消极地谴责甚至否定我国的《基本规范》，它就是现阶段我国企业风险导向内部控制机制建立的指导框架，其定义、目标与要素的界定与我国国情是基本相适应的。在建设风险导向内部控制机制的过程中，我们必须予企业文化建设以重要地位，要合理界定内部控制，十分重视内部控制的执行；同时我国的企业内部控制规范体系有待完善，建议制定企业内部控制实施细则与指南。●

【参考文献】

［1］ 张桂玲.基于“大”风险管理的内部控制研究[J].会计之友，2009（6）:38—40. ［2］ 罗绍德，唐群力.企业内部控制的新制度经济学解析[J].审计与经济研究，2003（11）:58—60.

［3］ 财政部.企业内部控制基本规范

［EB/OL］.http://zhidao.baidu.com/question/59403304.html.

［4］ 赵杰，郑石桥.内部控制架构评述与构建[J].会计之友，2008（16）:40—42. ［5］ 李连华，汪祥耀.内部控制规范的国际分野与融合——中国特点及未来趋势[G].第八届全国财务理论与实践研讨会论文集，2009（10）:1—9.

［6］ 李晓慧，沈树忠.内部控制:从设计合理到执行有效的飞跃[J].会计之友，2008（28）:62—65.

龙源期刊网 http://www.qikan.com.cn