探讨企业的风险管理及内部控制

摘 要 企业的风险管理与企业自身的内部控制体系是否完善存在着密切的联系，一个完善的内部控制体系能够帮助企业规避经营风险，提高管理水平，增强自身核心竞争力，作为炼化企业，对于风险的防范与掌控显得尤为重要。本文通过结合目前我国经济管理政策，分析与风险管理紧密结合的内部控制的重要性，并针对目前企业存在的不足，提出二者结合的改善策略。

关键词 企业 风险管理 内部控制

作者简介：王秀霞，中国石油化工股份有限公司济南分公司，经济师，从事内部控制及全面风险研究。

一、企业风险管理含义

企业风险管理应视为一个持续的执行过程，紧密结合在企业经营战略的设定之中，通过企业的管理层及其他相关人员共同协作执行，其理念及制度应贯穿于整个企业运营过程中，为每一名企业员工所熟知和运用，从而确保能够及时发现企业可能存在的潜在风险，使一切风险都处于可控状态，为企业经营目标的达成提供有力保障。企业的风险管理通常分为八点要素，相互关联，相互协作，贯穿于企业经营活动始终。其内容包括：

1.内部环境识别。所有企业风险管理要素均是以企业自身的内部环境为基础的，只有明确了企业内部环境的特点，才能制定出切实有效的风险管理的框架及规则。通过对企业内部环境的认知，能够帮助管理人员正确制定企业战略及经营目标，从而有效地开展业务活动，并且准确地识别风险、评估风险并及时应对。

2.制定经营目标。管理人员在制定企业经营战略目标时，应当根据企业的经营任务及预期内容进行科学的分析和设计，从而确保战略实施的可行性，并切实将相关目标分层分级地落实到企业内部各个部门及各个岗位。

3.企业风险评估。管理人员在评估企业风险时，应当从发生可能性及影响程度两方面进行周密考虑，并且结合企业即期的经营战略及经营目标进行具有战略眼光的风险识别和评估。

4.经营事项评估。在企业的运营过程中，往往存在着较多不确定性，这些现阶段结果尚不明确的事项可能会对企业具有积极的影响，也可能存在着消极影响，甚至二者同时并存。因此，企业管理人员应当及时对这些不确定性予以识别和评估，认识到事项的负面影响即是企业的潜在风险因素，必须尽早识别和评估，并预先制定出应急措施。

5.风险应对方案。面对风险的发生，风险应对反应包括规避风险、控制风险、承担风险及转移风险四种，作为企业的风险管理，应当针对不同的风险，制定出相应的风险应对反应方案，从而确保将风险的影响降至最低。

6.风险控制措施。当风险应对反应方案开始执行时，制定正确的风险控制措施，能够确保反应方案遵循正确的流程得以有效执行。因此，控制措施应当针对企业的不同层面、不同部门及不同岗位全面制定和落实，其要素包括规范的应对政策及对政策产生影响的一系列操作章程。

7.信息获取及沟通。企业应定期对来自内外部的信息进行获取、识别，并通过固定的格式予以保存和传递，从而帮助企业员工正确执行自身职责，并提供执行结果的参考和评估。此外，还应当保持沟通顺畅，包括企业由上而下、由下而上的纵向沟通，各部门间的横向沟通，以及企业与外部环境间的信息交换。

8.风险效果监控。企业应当及时对风险管理要素有关内容的合理性和完善性进行定期评估，并对风险管理的运行情况进行评估和监督。其方式可采取持续性监控和个别要素评估两类。

二、内部控制的含义

内部控制是一个循环往复的动态过程，其内容包括控制目标设计、控制执行、执行评价、目标改进等多个环节，为企业提供持续不断的信息反馈，使企业能够准确掌握当前自身运营情况，以及内外部环境对自身带来的机遇及影响。

企业在获取信息的同时，还能够通过对内部控制设计及执行过程进行评估，从中获得当前内部控制体系的有关信息，从而能够及时进行内部控制体系的完善和补充。而内部控制的评估内容，主要包括对企业现行内部控制体系设计及执行的合理性、有效性及完整性进行系统的审核、检验及分析等工作。其作用主要包括：

1.确保企业管理的完善性。企业的经营管理应当顺应外部经济环境的变化不断做出调节，以便适应新的发展形势，这一要求便需要企业对内部控制进行不断的评估和完善，从而及时发现其中的缺陷和漏洞，杜绝营私舞弊，改善薄弱环节，从而提高企业的内部管理水平，增强企业竞争力。

2.有利于充分发挥审计职能。目前，审计已经发展到抽样审计的高度，企业实行内部控制评估，能够依据评估结果明确审计范围，突出审计重点，寻求最佳审计方法，使审计效率得到有效提高，并充分发挥审计的重要职能。

3.提供各方决策依据。内部控制评估结果公布后，除了企业自身之外，有关部门均能据此对企业财务报告的可信度进行评价，了解企业的长期可持续发展能力、成长性、运营合法性等多个方面，从而制定下一步的行动决策。

三、企业内部控制与风险管理之间的关系

2004年，COSO经过4年的研究之后，在之前《内部控制统一框架》理论的基础上发布了《全面风险管理统一框架》，为全面风险管理提供了执行标准和依据，在这一新的理论中，全面风险管理增加了三项内部控制目标，以及相应的管理战略目标。由此可见，内部控制与风险管理日趋融合趋向。然而，全面风险管理与内部控制仍然具有一定的差异：

1.全面风险管理作为一个持续性的执行过程，贯穿于企业管理始终，而内部控制则是企业管理职能中的一项。此外，全面风险管理内容包含了战略风险、财务风险、市场风险、运营风险、合规风险等多项风险内容，企业能够通过这些风险的分析和评估获取机遇，规避或预知影响。而内部控制则没有对风险和机遇进行明确的区分。

2.全面风险管理理念中包含了风险偏好、风险应对策略、风险零容忍度等战略要素，因此能够对风险进行准确全面的度量和评估，确保企业在风险偏好及运营发展战略方面保持一致。内部控制则是企业内部面对可能遇到的风险所采取的各种应对措施及方法，完全依据风险内容进行控制机制的制定及实施，内部控制措施的必要性与风险系数呈正相关的关系，企业在运营过程中，需要以具体的内部控制措施为有效手段，对各种风险进行控制和评估，从而将潜在的各类风险扼杀在萌芽之中。

四、我国企业风险管理及内部控制现状

国资委2006年颁布了《中央企业全面风险管理指引》，将国外先进风险管理经验与我国企业特色相结合，作为我国企业实施全面风险管理的重要依据和理论指导。2008年财政部会同相关部门联合发布《企业内部控制基本规范》，2010年再次发布《企业内部控制配套指引》，为我国企业内部控制与全面风险管理相结合的企业管理体系提供了理论指导依据。这些法律法规均促使企业充分审视、完善和加强自身内部控制管理工作，将风险管理理念列为管理重点，以有效的内部控制为基础，科学融合了现代企业管理体系中的风险管理理念，从而不断提升自身的风险管控能力。然而，全面风险管理工作仍然处于起步阶段，与国外先进管理体系相比，仍然存在着不足之处，具体包括：

1.未能充分认识风险管理的重要性，执行力度不足，对于内部控制与风险管理之间的关系概念模糊。部分企业将风险管理和内部控制分裂开来，视为两种彼此独立的管理体系，部分企业则仅仅将内部控制视为全面风险管理的一种手段，弱化了内部控制的重要作用。这些概念上的模糊认识使部分基层管理人员产生了管理体系重复、冗杂的误解，并使内部控制与全面风险管理体系彼此脱节，不利于企业风险管理的完善和发展。

2.偏重合规性，忽视实践性。部分企业过分强调全面风险管理体系的制度及手册等文件完善，却忽视了制度的执行、监督、评估和反馈等实践工作，从而不利于全面风险管理的执行报告及偏差纠正。

3.运行机制不到位。在部分风险系数较高的运营环节、经营领域及关键风险控制点，对风险因素的预警、应对及追踪力度仍显不足，或存在落实不到位的情况，尚需做进一步的完善和补充。

五、完善内部控制及风险管理体系的建议

（一）充分评估企业当前风险，设计切实可行的内部控制体系

内部控制体系必须紧密依据企业的风险评估结果，因此在制定切实可行的内部控制体系时，必须首先全面评估企业风险，并根据企业的实际情况从设计、执行、评估、完善等四个环节进行内部控制体系设计，其中，设计环节是极为重要的一环，这一阶段关系到企业内部控制体系是否科学可靠、切实可行，企业应当从自身经营情况及管理特点出发，注重全面性和科学性。

在执行环节，应当注重内部控制制度的可操作性，并根据企业各部门、各层级的技术特点，制定实质性的管理制度。在评估环节，应当注重内部控制预期目标达成率的评估，并确保评估的客观性、公正性和透明度，以便为管理人员提供真实有效的决策依据。在改善阶段，应及时对控制制度进行跟进和修正，并保持其改善的稳定性、科学性及实质性，并制定事前、事中及事后的监督机制。

（二）根据企业特点，制定明确的可执行制度

（三）完善组织机构，充分发挥内部审计部门职能

企业可根据自身特点建立完善的风险管理机构：一是建立由企业负责人负责的全面风险管理领导小组，全面负责指导企业的风险管理工作；二是设立专职部门或确定相应职能部门，具体履行全面风险管理职责；三是发挥内部审计部门的作用，负责研究提出全面风险管理监督评价体系，开展监督与评价，出具监督评价审计报告。其他职能部门及各业务单位在全面风险管理工作中，应接受风险管理职能部门和内部审计部门的组织、协调、指导和监督。

（四）增强风险意识

企业各部门应当提高风险意识，严格依据企业制定的规章制度执行，防范杜绝把关不严、执行不力等不良现象，避免因此导致的以权谋私、监守自盗等损害企业利益的行为，从而降低企业资产遭受损失的风险。此外，信息经济时代的到来造就了外部复杂多变的经营活动，企业越来越广泛地使用互联网技术，投身电子商务活动之中，企业应高度重视网络数据的风险控制，提高商业信息安全的风险意识，防范内部员工的道德风险及系统漏洞所造成的技术风险，从而避免给企业资产造成重大损失。

（五）提高企业各部门协同能力

企业应培养内部各部门的整体意识，明确企业作为利益整体，工作必须从整体利益出发，内部控制不能狭隘地谋求部门或个人自身的利益，积极增进各部门、各层级间的信息共享，加强信息沟通，建立起相互协作、相互配合、彼此促进的团队精神，在工作中互通有无，做到问题及时发现、共同分担、共同商讨，从而及时填补内部控制的漏洞，提高企业的经营效益。

六、结语

面对目前日益复杂化的内外部环境，企业应高度重视内部控制及风险管理，结合自身特点建立起科学有效的内部控制体系，从而更好地规避风险、提高企业管理水平，增强企业自身的核心竞争力。