基于风险导向的企业内控指标体系构建

摘 要：2010年财政部等五部委联合了《企业内部控制配套指引》，标志着我国企业内部控制规范体系基本形成。本文在全面风险管理的理念下，对如何利用经济增加值（EVA）和平衡计分卡（BSC）构建企业的内部控制指标体系进行了探讨。

关键词：内部控制；EVA；BSC；风险导向

中图分类号：F271 文献标识码：A 文章编号：1008-4428（2012）06-06 -04

2010年，财政部等五部委联合了《企业内部控制配套指引》，该指引连同2008年的《企业内部控制基本规范》，标志着适应我国企业实际情况、融合国际先进经验的中国企业内部控制规范体系基本形成。本文在全面风险管理的理念下，提出利用经济增加值（EVA）和平衡计分卡（BSC）等管理工具设计内部控制的指标体系的设想。

一、内部控制的发展

自人类有了群体活动开始，就有了一定意义上的“控制”。我国古代的御使制度和西方的议会制度，均属于内部控制的范畴。内部控制制度产生的前提条件是“授权”，它是特定组织的管理当局为了确保各项活动在“授权”范围内进行而建立起来的一个“自我检查、自我调整、自我制约”的系统，目的是提高组织的“免疫”能力。

作为风险管理的基本工具，内部控制是一个历史范畴，其内涵随企业经营环境的复杂化和经营业务的多样化在不断丰富。它已经历了内部牵制 、内部控制制度、内部控制结构、内部控制整体框架、全面风险管理框架等五个不同发展阶段。

（一）内部牵制阶段

内部牵制是内部控制的雏形，主要基于以下两个基本设想：一是，两个或两个以上的人或部门无意识地犯同样错误的机会是很小的；二是，两个或两个以上的人或部门有意识地合伙舞弊的可能性大大低于单独一个人或部门。

内部控制在企业风险管理中最先应用于财务会计活动，主要用于控制财务会计活动中面临的操作风险，目的是预防错误与舞弊。

（二）内部控制制度阶段

股份制出现后，公司的委托关系更加复杂。公司管理层已经认识到了内部控制制度的经济价值，把内部控制视为一种“经济资源”或“制度资本”。1972年，AICPA所属的ASB在其公布的《审计准则公告第1号》（SAS NO.1）中，将内部控制分为内部会计控制和内部管理控制两类[1]。此时，内部控制制度已突破了单纯的财务会计控制的局限，目的是：防止错误与舞弊；提高经济效益。

（三）内部控制结构阶段

美国AICPA于1988年5月的《审计准则公告第55号》(SAS NO.55)，标志着内部控制的理论研究有了新的发展，在该公告中以“内部控制结构”概念取代了“内部控制制度”。该公告认为，内部控制结构由控制环境、会计制度和控制程序三个要素组成。

（四）内部控制整体框架阶段

1992年9月，美国COSO委员会研究报告《内部控制整体框架》（COSO报告），被称为内部控制理论研究历史性的突破，报告中将内部控制的概念突破了审计的局限，向企业全面管理控制的范畴发展，提出内部控制整体框架由控制环境、风险评估、控制活动、信息与沟通、监控五项要素组成。

（五）全面风险管理阶段

2004年10月COSO委员会《企业风险管理：总体框架》(COSO-ERM)，它在COSO报告的基础上，结合SOX法案的要求，强调在整个企业范围内实行风险管理，标志着企业内部控制进入了全面风险管理阶段。

COSO-ERM包括四类目标和八个要素。四类目标分别是：战略目标、经营目标、报告目标和合法性目标。八个要素为：内部环境、目标制定、事项识别、风险评估、风险应对、控制活动、信息与沟通、监控。

二、风险导向下企业内控的目标

企业内部控制目标包括战略控制目标、一般控制目标和业务控制目标三个层次。

（一）战略控制目标

企业内部控制的战略控制目标是公司的可持续发展和价值最大化（或股东财富最大化）。《企业内部控制基本规范》（以下简称为“规范”）第一条指出：“为了加强和规范企业内部控制，提高企业经营管理水平和风险防范能力，促进企业可持续发展，维护……，制定本规范”。即内部控制的功能主要表现在通过风险控制来实现公司价值的最大化。

（二）一般控制目标

企业内部控制的一般目标受到战略控制目标的制约。《规范》第三条指出：“本规范所称内部控制，是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略”。要求公司将风险管理纳入其整体发展战略，通过风险管理促进发展战略的实现，确保公司持续发展。一般控制目标包括遵循性（合法性）目标和经营性目标。

1、遵循性（合法性）目标：确保合规经营，严格遵循有关法律法规，符合监管要求。

2、经营性目标：确保风险可控，在可承受范围内实现风险、收益与发展的合理匹配。即在经营过程中要正确处理好公司整体价值与风险、收益、发展之间的关系，确保整体价值最大化。

（三）业务控制目标

企业内部控制的战略控制目标和一般控制目标要渗透到公司的各项业务流程中，形成业务控制目标。如，销售与收款循环业务、采购与付款循环业务等都应从公司价值最大化和一般控制目标出发，进而确定各类业务的控制目标。

不难看出，内部控制的目标是对运营有效性风险、财务报告可靠性风险及合规性风险的管理。内部控制目标的实现，是旨在将影响企业既定战略目标实现的风险控制到可接受的水平。换言之，内部控制是对企业既定战略目标的一种控制保障，是促其目标实现的必要条件[2]。

三、风险导向下企业内部控制指标体系的设计

以风险偏好为依据，建立科学、合理的风险容忍度体系，可以充分体现股东的价值取向和安全性要求，使得风险偏好在具体业务中得到贯彻。公司的风险容忍度体现在内部控制指标体系中，本文拟运用经济增加值（EVA）和平衡计分卡（BSC）等管理工具设计内部控制的指标体系。