浅谈风险导向兼顾管理导向型的内部控制评价体系

摘要：内部控制是一个需要持续完善的动态工作机制，是一个从设计到执行、评价和整改的动态循环的过程，而内部控制评价是推动整个内部控制体系成为闭环的重要手段。内部控制评价是指企业内部为实现控制目标、控制风险而对内部控制系统设计和运行有效性实施自我评价的方法。在内部控制体系建设过程中，为保证内部控制体系的持续有效运行，内部控制管理得到持续完善，建立企业内部管理长效机制，内部控制评价工作始终在内部控制体系建设中发挥重要作用。内部控制评价是内部控制体系运行和完善的机制保障，只有通过监督改进机制，一个规范的内部控制体系才能很好地运行、完善。

关键词：内部控制、风险管理、内部控制评价

中图分类号：O23文献标识码： A

一、内部控制及内控评价的发展趋势

21世纪以来,随着经济全球化的深入，企业面临的外部环境趋于复杂多变，企业的经营面临更大的风险。为了应对外部环境的变化，各个发达国家的企业都在加强风险管理和内部控制，内部控制与风险管理趋于融合。为了更好适应国内外形势的变化，不断提高风险管控能力，开展内部控制和风险管理也成为国有企业发展的内在需求。自从2008年《企业内部控制基本规范》以来，上市公司以及大中型国有企业都逐步建立了内部控制体系。我国企业面临走向市场、走向世界，迫切需要进一步完善风险导向型的内部控制体系建设，使得内部控制可以防范风险，提升企业价值。内部控制保持有效，就必须随着企业的发展变化进行动态调整，而内部控制评价正是促使管理型内控体系持续优化完善，保持有效运转的机制。企业开展内部控制是为了控制风险，提升管理效率的需要。内部控制要保持有效，必须随着企业的发展变化进行动态调整，而内部控制评价正是促使管理型内控体系持续优化完善，保持有效运转的机制。

二、基于内部管理的风险导向型内控评价体系

对企业而言，内部控制的最高或者说终极目标，就是促进企业健康、协调、可持续发展，实现企业的发展战略。内部控制的框架体系应该为公司战略服务，为实现战略目标提供支持。内部控制规范体系是一个企业内部控制应有的基本管理要求，在规范的基础上进行风险控制才是最有效率和效果的。风险管理与内部控制作为企业管理的两大工具，各自经历了理论体系的创新和实务操作的发展。内部控制由传统的内部控制制度逐步发展为以风险为导向的内部控制整合框架，风险管理也由分散的财务、经营和战略风险管理逐步发展为整合风险管理。实践证明，内部控制的有效实施有赖于风险管理的技术方法，而风险管理离开了内部控制作为手段支撑也流于形式。我国的企业内部控制规范体系将内部控制与风险管理融为一体。内部控制评价是对企业内部控制有效性进行评价，内部控制是否有效关键是看内部控制能否真正防控风险，能否促进企业战略目标的实现。现在有相当部分企业只是立足于合规型内控，真正跟业务融合仍有一定的距离。企业可以从合规型内控开始，以外部监管要求为对标，发现合规差异，改进管理。但是外部监管要求是最基础的、普适的、通用性的，企业不能永远停留在合规型内控。合规型的内部控制体系难于实现对企业风险的管控，不能满足提高经营的效率和促进实现企业发展战略方面的实际需要。面对新的经济形势与外部环境，企业的内部控制要与风险管理融合，并逐步地将内部控制体系与企业自身管理模式、管理特点和已有的管理制度和程序相结合，推动合规型内部控制向风险导向兼管理型内部控制转型，建立以风险管理为主线，基于内部管理视角的内部控制评价体系。

具体来说，企业应下工夫梳理、摆正内部控制与风险管理的关系，需要独立运行的部分则独立运行，能够结合的地方尽量统筹运作，从而走上既有机融合又自成体系的和谐发展之道。首先是机构整合一致，成立内部控制与风险管理合署办公的领导小组及办公室，统一组织开展两项工作，从源头上确保两者不分割、共发展。其次是统筹运作，凡是两者有交集的地方，如可控风险的识别、评估与管控等，应统筹考虑，并依托日常专业管理，将内部控制与风险管理有机融合起来。最后是形成完整体系，对于两者无交集的部分（如不可控风险的管控、重大风险的预警或者内控长效运行机制的顶层设计等），企业可独立运行，并将独立运行部分与统筹运作部分贯通起来，形成完整的内部控制体系和风险管理体系。

内部控制体系包括评价组织、评价程序、评价方法、评价模型、内控缺陷认定和整改以及评价报告。内部控制评价应紧紧围绕内部环境、风险评估、控制活动、信息与沟通、内部监督五要素进行，企业应结合《企业内部控制基本规范》、各项应用指引以及本企业的内部控制制度，确定具体评价内容，对内部控制设计和运行情况进行全面评价。建立评价模型是建立评价体系的重点，企业应当以内部控制五要素为基础，建立内部控制核心指标体系以及评价标准，对五要素进行层层分解、展开，进一步细化。

风险导向型的内控评价体系，其评价模型应该结合企业的实际情况。企业所处的发展阶段差异非常大，不同行业、不同成长阶段，不同规模，不同所有制的企业，企业的风险不一样，风险不一样，内控上存在的缺陷表现形式不一样，控制重点和控制的方式也存在很大的差异。如集团企业更多关心战略风险、管控风险，投资风险，资金风险等，而单体企业更关心市场风险、生产风险、质量安全风险等。

基于管理视角的内部控制评价体系还要紧密结合企业的其他管理活动状况，企业内部控制在执行中是否有效，能否实现风险控制与企业的业务、集团管控模式、企业生产和质量控制、用人机制和激励放权措施等都有关系。影响内部控制的效率可能是系统问题，因此在内部控制评价过程中，要评价内部控制与业务活动以及其他管理活动的融合情况，从而评价内部控制的有效性。要实现集团内部控制与集团管控、全面预算管理、绩效管理等管理活动的有机融合，才能真正建立管理型的内部控制体系，实现内部控制的目标。

风险导向兼顾管理导向型的内部控制评价体系是将全面风险管理与内部控制有机结合，以内部控制五要素为基础，以风险管理为主线，基于内部管理视角的内部控制评价体系。一方面，全面风险管理与内部控制有机结合，使企业更好地面对当前国内外不断变化的形势，增强企业抵御风险的能力。另一方面，内部控制与企业的业务有机融合，内部控制与企业的各项管理活动实现对接，使得内部控制在风险控制和提升管理效率中发挥作用。风险导向兼顾管理型内部控制评价体系为更加全面的识别企业现阶段存在的问题以及未来面临的战略风险、变革风险提供了明晰的思路，是新形势下内部控制发展的必然要求，是内部控制有效运行的重要保障。

小结

内部控制的建立是一项系统工程，需要管理者和全体员工的共同努力，企业要根据自身发展的实际情况，坚持循序渐进的原则，采取先进的风险管理理念和科学的风险管理方法，不断完善内部控制制度。企业内部控制要以风险管理为导向，以内部控制为手段，以流程梳理为基础，以关键控制活动为重点，以重大风险报告、预警与应急机制为支撑，结合自身管理的实际情况，促进内部控制与风险管理的有效融合，并通过内控评价体系发现并克服内控缺陷，实现内控的持续改善。通过建立基于内部管理视角，以风险管理为主线的内部控制评价体系，引导企业内部控制工作逐步转变为基于内部管理的风险导向型内部控制。

参考文献：

1、《企业内部控制基本规范》；《企业内部控制应用指引》；《企业内部控制评价指引》。

2、《基于内部管理的风险导向型内部控制评价体系》视野咨询 ，上海视野经济研究所。