浅谈内部控制要素

【摘要】现代内部控制是风险导向型的，要使控制制度发挥其应有的作用，企业必须能够识别所面临的风险，并对其进行定性或定量的评估，然后针对风险评估的结果采取相应的控制活动，本文结合具体案例，就风险评估对内部控制有效性产生的影响进行探讨。

【关键词】内部控制；风险评估；有效性

在经济全球化的背景下，企业的经营充满了风险和不确定性，强化风险管理，有效的识别和控制风险，已成为企业经营成败的关键。2001年，美国安然、世通、施乐等一大批知名企业接连发生财务丑闻，使世界各国政府重新审视风险控制的内部制度，2002年7月，美国国会通过的《萨班斯法案》要求上市公司全面关注风险，2004年9月，COSO委员会在90年代出台的《内部控制整合框架》报告的基础上，按照《萨班斯法案》的要求，正式了《企业风险管理整合框架》，从企业全局与战略的高度全面关注企业风险。

我国财政部等五部委共同制定的《企业内部控制基本规范》在形式上借鉴了COSO报告的五要素框架，同时在内容上体现了风险管理八要素框架的实质，构建了以内部环境为基础、以风险评估为重要环节、以控制活动为手段、以信息与沟通为条件、以内部监督为保证，相互联系、相互促进的五要素框架，使我国企业的内部控制从一开始就站在了一个较高的起点上。

《企业内部控制基本规范》将内部控制定义为：内部控制是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。企业要实施有效的内部控制，就要识别和衡量它所面临的风险及其风险因素，这是采取有效控制活动的依据和前提，这里的识别和衡量风险就是风险评估。

一、风险评估应当从企业发展战略的制定开始

（一）目标设定是风险评估的前提条件

对企业来说，风险就是影响企业发展战略目标顺利实施的各种因素发生的可能性，而风险评估则是识别、分析影响企业目标实现的各种不确定因素并采取有效应对策略的过程。COSO在2004年制定的《企业风险管理——整合框架》认为，目标设定是风险评估的前提条件，必须首先有目标，管理层才能识别这些目标的风险，并采取必要的措施来管理风险，因此，风险评估应当从企业发展战略的制定开始。企业在制定发展目标时，应当突出主业，只有集中精力做强主业，才能增强核心竞争力，同时，发展目标不能过于激进，不能盲目追逐市场热点，合理的发展战略应当与企业的风险偏好相一致，当企业发现战略风险明显超过企业风险偏好时，就应当选择风险回避策略，对发展战略进行调整，以适当降低其相关风险。三九集团经营失败的案例表明，过于激进的发展战略是企业重大风险的源头，三九集团作为一个以制药为主营业务的企业，曾一度拥有超过200亿元的总资产，3家上市公司和400余家子公司，由于其在发展战略上选择盲目扩张，大力发展多元化经营，向与其完全不相关的其他领域扩张，且扩张速度之快令人瞠目结舌，最终导致了三九危机。综上所述，发展战略直接决定着企业风险的高低，是引发风险的首要因素，对内部控制风险评估具有重要的影响，直接制约风险识别、风险计量和风险应对。

（二）管理层的风险观念对内部控制产生至关重要影响

内部控制是管理经营风险最重要的工具，因此，管理层的风险观念对内部控制有着直接的重要的影响，管理层只有充分认识到风险的特性，才能全面识别，准确评估风险水平，采取恰当的措施应对风险，提高内部控制的效果。2009年丰田的召回门事件，管理层的风险观念难逃其咎，作为一家国际知名的大企业，丰田管理层在制定战略过程中，没有充分考虑各种风险因素，只是片面追求利润，过度扩张、过分注重降低成本，最终导致了丰田汽车出现大规模质量问题，使其深陷“召回门”泥潭。管理层的风险防范意识决定了风险评估的结果，如果他们的风险防范意识较强，风险来临的时候，能够及时的识别，通过各种措施防范风险，应对风险，有可能将风险规避掉或者将风险带来的损失降到最低。2004年美国国际贸易委员会裁定中国彩电在美国倾销成立，对中国彩电征收反倾销税，中国彩电是微利产业，反倾销税只要超过10％，就基本上扼杀了出口美国的可能性，其中长虹反倾销税率为26.37％，TCL、康佳、厦华分别为21.25％、9.6％、5.22％，其他应诉企业加权平均税率为22.94％，厦华获得了最低终裁，因而得以继续开拓美国市场。据悉在美国商务部作出终裁后一周，厦华就接到了来自美国主流经销商数字彩电的有效订单6.82万台。面对同样的反倾销诉讼，厦华之所以能够获得一线生机，在很大程度上利益于其完善的内部控制，而厦华的风险管理意识与管理层对风险的态度是决定应诉结果的关键。在美国提起对我国彩电的反倾销诉讼之初，厦华集团就在最高层的直接领导下，成立了专门的反倾销应对小组，制定了详细的应对措施，在反倾销应诉的过程中，厦华始终保持积极主动的姿态：积极聘请美国著名律师所本案；主动申请接受单独调查，并最终被美国商务部选中成为特别调查对象，为争取单独税率走出成功的第一步；第一个完成调查问卷并提交。这种风险管理意识和管理者对风险的态度，为后来的胜诉奠定了基础。厦华在反倾销案中胜诉的经验说明，在竞争激烈的市场环境中，为了防范可能发生的各种危机，企业管理层应树立风险管理意识，注重适时对其所面临的风险进行评估，并结合评估的结果，运用相应的控制措施，将风险控制在可承受度之内。

二、风险评估对内部控制有效性的影响

（一）风险评估是内部控制的主旋律

现代内部控制是风险导向型的，90年代以后，COSO提出《内部控制整体框架》的报告，风险评估被纳入内部控制系统之中。2004年9月，COSO委员会又在《内部控制整合框架》的基础上，正式了《企业风险管理整合框架》，从最初的将风险评估作为一个要素纳入内部控制整体框架中到重点着手进行风险管理，可以看出内部控制与风险管理的趋同性和风险这一因素在内部控制中的作用和地位越来越重要。风险评估从识别风险开始，《企业内部控制基本规范第》第3章第21条规定，企业开展风险评估，应当准确识别与实现控制目标相关的内部风险和外部风险，确定相应的风险承受度。风险识别的目的就是确认所有风险的来源、种类以及发生损失的可能性，为风险分析和风险应对提供依据，风险识别是否全面，直接影响风险评估的质量。由于内部或外部因素的影响，企业的业绩可能存在偏离目标的情况，目标与业绩的偏离越大，风险就越大，只有识别并有效管理所面临风险的企业，才能在激烈的市场竞争中脱颖而出，并立于不败之地。中海集团在内部控制上的缺失酿成了一桩中国航运界罕见的财务丑闻，2008年1月31日，中海集团驻韩国釜山公司大约4000万美元的巨额运费收入及部分投资款，被公司内部人非法截留转移，给国家和企业造成巨大损失。从风险评估角度看，航运公司的主营业务收入是运费收入，而行业内的收费标准各有不同，现金流出入大是行业特点之一，但公司对于这一影响内部控制目标实现的重要风险点缺乏必要的识别、分析与评估，导致“资金门”事件发生。如果企业对这一风险点能够有效识别，启动“不相容职务分离”等控制活动，即可将这一风险控制在风险承受度之内。2008年，雷曼兄弟的巨厦颠覆同样源于其内部控制的严重缺失，风险管理措施约束力不足，2006年，雷曼开始采取激进的扩张战略，扩张潜在高收益领域的投资业务以追求更高的利润。在激进战略的指导下，雷曼的高管们依赖自己的经营经验和成功记录，将增加利润放在优先考虑的地位，而不是将公司的风险水平保持在根据风险识别和计量工具得出的限额以内，雷曼兄弟在破产时商业地产超越风险限额的比例高达70％，而杠杆贷款更是超限100％。特别是当发现公司的风险头寸已经超过了设定的警戒线时，管理层不是尽量降低风险，而是通过提高公司的风险偏好限额来应对这些可能带来过度风险的投资业务，使得公司的风险管理政策和程序被轻易凌驾。国内外大量因为风险管理不足而导致经营失败的案例说明，要使控制制度发挥其应有的作用，企业必须清楚所面临的风险，并对整个企业的风险进行定性或定量的评估，然后针对风险评估的结果采取相应的控制活动，将风险控制在可以承受的范围之内，从而提高内部控制的有效性。

（二）恰当的风险应对策略有助于提高内部控制的有效性

在风险管理过程中，风险应对建立在深入的风险评估基础之上，为风险控制活动提供依据。一般来讲，风险应对有四种基本类型：即风险规避、风险降低、风险分担和风险承受，管理层只有合理确定风险偏好，才能恰当选择风险应对策略，进而合理设置和有效运行控制活动。当经营风险超过风险偏好的时候，企业就应当选择风险回避或分担策略，启动相关授权审批控制活动，通过放弃或停止与该风险相关的业务活动来避免和减轻损失，或借助他人力量，采取业务分包、购买保险等方式和适当的控制措施，将风险控制在风险承受度之内；当经营风险低于风险偏好的时候，企业就应当选择风险降低或容忍策略，在权衡成本效益之后，采取适当的控制措施或不采取控制措施来降低风险或减轻损失。2006年，博士伦多功能隐形眼镜护理药水在新加坡被质疑导致真菌性角膜炎的消息传出，博士伦积极作出反应，在调查结界公布之前自愿暂停在新加坡和中国出售该种护理药水，并向媒体公开声明，由于该药水可能给消费者的健康带来风险，公司将在全球市场永久性回收该护理液产品，博士伦的风险规避策略实现了对风险的有效控制。在2009年的“3·15”，美国一家非盈利性消费者组织公布了涉及强生、帮宝适等多家公司的婴儿卫浴产品含有有毒物质的检测报告。与此同时，国内某知名论坛也出现了一篇题为《强生差点把我一岁半的女儿毁容》的帖子，国内外市场的质疑同时涌来，强生站在了危机的风口浪尖，短时间内，不少超市中的强生的货品已经下架。针对此次危机，强生从两大主要渠道入手：一方面向全国各大媒体发出产品澄清说明的传真；另一方面向各大卖场发去质检部门的无毒证明，为挽救消费信心做尽可能在的努力，在很大程度上降低了企业的损失。

在一个充满竞争的市场上，企业应树立高度的风险观念，建立完善的内部控制制度和风险管理措施，在识别风险、分析风险的基础上，采取恰当的风险应对措施，可以提高企业抵御风险的能力，进而提高内部控制的有效性。

参考文献

[1]企业内部控制基本规范．财会【2008】7号．2008年6月28日

[2]企业内部控制配套指引．财会【2010】11号．2010年4月26日

[3]胡为民．《内部控制与企业风险管理》．电子工业出版社，2011

[4]胡伯根．浅论现代企业内部控制制度[J]．企业导报．2010（7）

[5]傅胜，池国华．《企业内部控制规范指引操作案例点评》．北京大学出版社，2011