基于风险管理的企业内部控制研究

潘杨 湖北工业大学

一、内部控制及风险管理概述

（一）内部控制含义

企业为了达到良好的管理效果，往往会在公司内部执行各种条款制度、工作规划、执行策略、程序等，这就是企业中的内部控制，也是为了实现企业目标而实施的一系列方案和程序。由此可见，内部控制主要是一个过程。内部控制概念最初在西欧发达国家引入，中国关于内部控制系统的开始发展时间较晚。根据我国内部控制发展情况来看，我国正在积极修改和完善相关政策法规。通常，内部控制工作可以分为财务与管理两方面，其中，财务控制工作可以确保企业内部财务工作的高效率、业务规范性、拥有真实的数据、合理的财务行为，为企业资金安全性提供充分保障。而管理控制则可以保证企业近期乃至长期能够正常稳定的实施战略计划，对企业的日常经营运转提供保障，进而促进企业经营运转及发展水平的提升。

（二）风险管理含义

企业风险主要指在运行过程中为公司管理所造成的各种影响，具体分为经营风险、财务风险、企业战略风险、市场风险和法规风险等。

（三）内部控制与风险管理之间的关系

实际上，内控和管理相互之间存在着很紧密的联系，内控的真正含义便是管理。而经营风险不仅包含公司内在风险，还包含对外经营风险，而对公司内在的经营风险进行管理便是内控。风险控制同时也是企业内部控制的一种，丰富了企业内部管理的内容。所以，企业在发展进程中必须把内部管理和风险控制结合，在风险管理的视角下建立企业内控体系是管理的必然趋势。实施内控制度措施能够有效防止公司资本损失，提升公司资本的运用效益，达到公司运营效益最优化，促进公司长期发展。

（四）内部控制与风险管理的差异性

对企业内部控制与风险管理的大量调查发现，二者之间差异点多于共同点。首先，在实际工作中，企业管理者对于内控，更加注重与规章制度是否完善并适合该企业。企业管理者通过制定相关对员工的考核规则，降低出现问题的概率。由于内部控制属于管理性的职能工作，其大多是归属财务部门的任务，部门人员会侧重于会计控制，确保企业内部会计信息的真实性及资金安全性等方面。而风险管理工作则侧重于交易方面，借助市场交易及自由竞争等方式降低风险问题出现的概率，企业会更关注利率风险、汇率风险等方面，企业管理人员需要对该方面进行全面了解，以确保企业能够正常的运转下去。

其次，二者的范畴差异在公司进行内部管理和经营风险管理中，其业务范畴存在很大的差异。其中，内部控制管理涉及的经营风险问题是营运管理方面的，具体可以从外部、内部两方面来说，且大部分贯穿于企业经营和内部控制的逐个环节。而风险管理工作大多涉及战略风险，一旦处理不好，很有可能降低企业短期甚至长期的经济消音，从而影响其日常运转与发展。

二、COSO内部控制框架

针对企业内部控制而言，围绕其开展的研究逐渐深入并发生变化。虽然该领域内对此说法多种多样，但是目前应用最广泛的是1995年加拿大注册会计师工会提出的控制纲要。COSO 内部控制框架提出企业内部控制的终极目标是健全企业管理能效，确保企业长效稳定发展，企业内部控制主要有五点内容。

（一）内部环境

企业在开展内部控制的过程中，首要关注的应当是内控环境，这是分析企业内控工作制度、氛围的基础性要素。若是企业无法保证健康合理的内部控制环境，相关的内部控制流程和工作就无法顺利开展运行。稳定的内部环境，主要涉及公司内部组织架构、公司文化构建和人才资源配置等方面。

（二）风险评估

社会情况越来越复杂与多样，导致制约公司存续经营的因素越来越多，公司面对的风险也越来越复杂，公司管理中的所有过程都有可能身处僵局。尽管公司不能全面规避风险，却能够合理抵御风险，把危机发生可能性减至最小化或是尽可能减少危机造成的风险，所以公司若想履行良好的管理一定要建 立危机管理体系。

（三）控制活动

在对企业未来的风险情况进行初步评估后，根据风险评估方案来制定相关规避风险流程，帮助管理者获得适当、可靠的决策的工作，是控制活动。企业需要在生产、经营及决策各个环节中开展控制活动，这也是企业内控工作的重要因素，可以帮助企业规范内部活动秩序，实 现最佳控制目标。

（四）信息与沟通

随着公司规模逐步扩大，公司进行资讯传播和互动沟通的时间也将相应增加，拥有高效的信息传递与广阔的沟通路径可以提高企业总体工作效率，减少企业在运营过程中的成本，规避相关风险。内部的交流大致包括两个主要领域：一是公司管理层与职工间的有效沟通，确保领导层发布的命令、通知使员工明了清楚，部门间权责清晰，不相互推诿责任，企业可以平稳运行；二是企业必须制定完善的监督举报机制，以避免单位内部管理人员滥用职权，全力保障企业的合法权益。

（五）监督

企业进行良好监督的主要任务是发现和评价内部控制中的变化，及时找出内部控制管理期间存在的弱点，通过改变监督程序的类型、时间和范围，形成新的控制政策和标准，以此达到改善与调整企业内部控制的目的。

三、当前我国企业风险管理中普遍存在的内控问题

（一）内控环境较差

拥有一个健康稳定的内部控制环境是企业内部控制的基础。当前，我国大多数企业内部控制环境都较差，不完善的组织规划，较单一、落后的战略计划，不能够根据企业特性制定组织结构。另外，我国公司的风险管理能力不强，在生产经营方面不够重视系统风险。另外，由于经营目标战略引导力不足，管理者不能及时有效地分析企业面临的风险，也体现出领导层对风险管理没有足够的认识力和远瞻性，内部环境需要及时改善。

（二）信息沟通不畅

如今，我国绝大多数企业都使用办公自动化系统进行日常汇报和审批工作文件，用微信沟通工作内容。如今是大数据时代，信息很容易被有心人盗取泄露。虽然很多大中型企业会用ERP系统作为内控信息的传递平台，但对ERP的使用流于形式，浮于表面，没有掌握ERP系统的核心，甚至对于ERP的使用，需要录入传统表格，不仅使内容重复，而且浪费时间和人力资源，严重拉低工作效率。

（三）缺乏监督评价机制

很多企业比较注重内控体系的事中控制，忽视对内控的事后反馈及监督，缺乏监督评价机制，对很多内控活动的有效性无法进行有效的评价，企业无法判断自身内控活动及制度的准确性，内控效果得不到保障。另外，由于缺乏监督评价机制，企业无法对整个内控过程予以监督，即便出了违规事件，也没有合理的流程对其进行处理，导致员工的内控意识不足。这种低廉的违规成本也容易导致员工产生更多的违规行为，埋下更多的风险隐患。

（四）风险管理体系不合理

因为没有合理的风险管理制度，使得公司在面临经营风险时的防范能力和处理能力都力不从心，而且没有健全的风险管理制度还会影响公司一系列的运作，如人才招聘、考核制度、销售渠道与方式等都会受到冲击。重要的是缺乏健全的风险管理制度会使企业各部门之间职责分工不清、各部门之间缺少配合与沟通、对风险的防范和管理意识模糊。

四、基于风险管理的企业内控体系优化策略

（一）加强风险管理建设

经营风险主要出现在企业经营活动的各个环节中，防范和管理经营风险是企业始终要面临的问题。企业通过风险辨识、评估和管理等技术手段深化全面的风险管理，并以此监控和处理企业经营风险，把企业经营风险控制在社会能够接受的范围之内。首先，企业应履行好风险识别职责。围绕企业战略风险、行业风险、法律政策风险、运营风险以及财务管理风险等进行识别，结合风险特征给出针对性风险结构图，再根据企业目标与风控流程，分析风险出现原因。其次，企业需要针对风险展开清晰、客观地评价，结合企业现实发展情况以及风险成因，分析风 险发展等级，以确定是否要制定更加严谨、详细的管理举措。

（二）改进内部控制流程

1.优化全面预算管理系统

企业需要进行全面预算管理系统的优化处理，防范企业资金使用不当的情况，并通过编制预算，合理规划企业的各项管理流程，避免企业资金周转不足的问题，促使资源达到最优化的配置。首先，企业要优化预算编制。企业在预算编制的过程中，需要充分考虑各部门、各员工对预算工作的要求以及企业预算管理的安全性，确保预算管理符合企业发展实际，并且在开展预算编制时，需要数据完善准确，让其经得起推敲。企业在预算编制过程中，要开展零基预算，避免传统的增量预算导致不合理费用。其次，企业应优化预算的执行过程，严格管理预算的偏差，设置偏差范围。企业的财务部门每个月终都必须对计划执行的状况做出分析，确定计划实施过程中有无产生重大差错，当预算差异较大的，需要及时向管理层汇报并制定计划协调相关差异，并对差异成因进行详尽分析。财务部门应分析是预算计划编制不合理，还是企业内部员工工作问题，如若是由于预算计划问题，则需要仔细调整预算指标，如若是由于企业员工工作问题，则需要对相关人员予以告诫及处罚，让员工重视预算管理工作的要求，以确保预算资金的支出得到有效控制。再次，企业应对预算的考评需要分析内部的各部门是否按照预算工作要求落实预算规划。在进行考评时，企业要通过考核公司的财务与非重要财务，并督促管理人员在关注财务目标实现情况的同时，也关注顾客满意、公司内部过程效率等方面的非重要财务，并通过奖惩并重的方式促使预算有效执行，提高员工参与预算的积极性。

2.改善公司的固定资产管理

首先，企业应完善固定资产的质量控制环节。企业在固定资产管理工作过程中，还必须编写企业固定资产管理工作卡，将企业的各项资料录入企业固定资产管理卡内，以便于企业及时了解固定资产状况。其次，企业应优化盘点环节。企业在固定资产盘点过程中，还必须根据企业盘点的结果进行编写盘点清单，并将盘点清单和企业卡片进行核对，分析是否存在账实不符的问题，对于差异需要出具差异分析报告，通过差异分析报告落实相关责任，之后对固定资产进行账面调整。再次，企业应完善固定资产的处理环节。可以正常报废的固定资产应由所用主管部门撰写报废单，在通过一般的审核程序之后由财政部门做出账务处理，至于重大企业的处理则要交给第三方中介机构进行企业估价。

（三）从战略角度对内部控制环境进行优化

根据目前全员企业风险管理意识普遍低下的状况，公司需要在战略层次上把风险管理意识引入内控管理体系之中。企业管理者应先分析企业内部对风险的偏好，并评定公司可以承受的风险级别，再利用SWOT分析法对公司的战略风险进行分解，并提出公司自身的优点、劣势、遇到的机会和面临的威胁，然后从这4点入手对企业的内控环境予以优化。比如，在组织结构方面，企业管理者基于战略角度设立风险管理委员会及专项委员会，由风险管理委员会设计和实施整个风险管理方案，并在专项委员会中配备专门的风险管理人员，对企业重点项目进行风险专项管理。此外，企业还应在公司文化中加入了公司的风险管理意识，让公司员工在进行内控活动的过程中意识到了公司风险管理的重要意义，把经营风险防范当成了自身的行动指南，从而最大程度减少经营风险给公司所造成的不良影响。另外，企业应加强对公司员工风险管理方面专业知识的培养力度，每年定期录用优秀的大学生作为人力资源储备，吸纳外部成熟人员弥补公司人力资源不足的短板，改革薪资体系，为公司员工提供一个平等、公正的职业晋升环境。

（四）高度重视文化建设

每个公司都有特定的文化内涵，其必须根据公司当前设定和未来目标而确立，以此来明确公司文化的目标和内涵，形成公司文化的框架。让公司当好领头羊，建立积极正确的公司核心价值观，有效激发各部门员工的向心力，极力激发公司的中高层领导人员推动公司做好文化建设，成为品牌构建中的引导功能，实现全体员工对公司文化的归属感和认同感，让公司运营和公司品牌相结合，以此提高公司品牌知名度，提高员工的品牌自信。企业应高度重视企业文化推广普及工作，企业领导人要发挥表率作用，开展培训活动、宣讲会、公司团建等活动让企业员工深入了解在内部控制工作中企业文化的重要性。另外，企业还需要确保各部门人员分工明确，将内部控制如实推行下去，每个部门管理人员在管理期间都要高度关注不足和优点，竭力做到优点继续保持并优化，不足及时化解。

（五）加强管理人员素质，提升企业内控执行

有些分支企业的内部管理人员主要为兼职，专业能力和个人素养水平参差不齐，严重制约着内部管理实施的效果和效率。人员作为企业内部管理的执行基础，却缺乏专门的管理理论知识与个人的管理素养做其补充，再完善的内控制度也是空谈。实现内部管理制度的质量的根本条件就在于人员自身的管理胜任能力和素质，更何况更大的挑战源自于组织层级。所以，企业不仅要完善的风险管理部门与管理人员，也对其专业知识和素养加以严格的检测，并开展专门的适合于企业实践的培训活动，以提高管理层的有效执行力。

（六）依托计算机技术强化企业信息化建设

在科学技术不断进步的今天，计算机技术大大提高了工作效率和信息传播的速度。在此背景下，企业应不断强化自身的信息化建设，利用计算机技术，基于自身实际业务，以完全开发的形式设计出完整的信息管理闭环链条。对财务模块进行标准化，将风险管理融入 ERP 系统中，将内控管理活动简单化、清晰化，所有的业务操作都通过信息化系统展开，以此获取更多的企业经营信息，形成企业数据资源，从而进行企业大数据分析。只有这样，才能充分利用企业的数据资源，促进内部控制管理活动有效开展。

（七）构建完善的监管体系

为实现内控管理活动效果最大化、风险成本最小化，企业需构建起完善的监管制度，通过建立财务人员委派制度、内审监督制度、内控评价机制等一系列制度来实现对企业所有内控活动的监管。通过财务人员委派制度设立第一风险责任人，对各项业务的风险责任进行明确，对重点岗位进行财务监督。风险管理委员会牵头建立内控评价小组，对企业内部整体控制活动进行评价，对风险等级高的资金、采购、销售等业务流程着重进行穿行测试。

结语

综上所述，中小企业要想在如此强烈的国际竞争中站稳脚跟，就应在现代风险管理视野下严格进行内部管理，从严把控企业内部控制工作的各个环节，促使中小企业取得长期、健康、平稳的发展。而事实上，当前的公司内部风险内容管控工作实施成效仍亟待进一步提高，从而导致民营企业陷入了多重困局。所以企业应当增强自身风险控制意识，通过优化内部管理环境、明晰职责界定、完善内部内控机制等举措，协助企业突破困局，推动战略发展目标的实现，从而确保国有企业效益能够最优化，并推动了民营企业的长远健康发展。