企业研究论文-基于风险管理的企业内部控制探析.doc

企业研究论文-基于风险管理的企业内部控制探析【摘要】目前,很多企业内部控制存在风险管理缺失的问题。本文以ERM框架为参照,指出我国企业内部控制存在的问题以及ERM框架对我国企业内部控制的启示,并针对中信泰富巨亏事件从内部控制角度进行了分析。【关键词】风险管理；内部控制；ERM框架；企业内部控制基本规范一、引言2008年10月21日,中信泰富由于巨亏在港股高开293点时狂跌38%,截至收盘跌幅则扩大至55.10%,全天市值蒸发70.8亿港元,其跌幅之惨烈令人心惊肉跳。而中信泰富是恒生指数的成份权重股、蓝筹股,同时因其大股东是国企中信集团,所以也被视为红筹股,就是这样一支股票却发生了如此不可思议的一幕,究其原因却是我们反复强调而事实上又经常忽略的内部控制问题。美国COSO委员根据萨班斯法案的相关要求,于2004年底颁布了一个全新概念的报告:企业风险管理整体框架(EnterpriseRiskManagement,简称ERM),ERM报告是内部控制框架的新发展,侧重于用风险的理念来看待企业的管理和目标的实现。随着这个报告的颁布,在企业和理论界都掀起了一股重视风险管理的热潮。就是在这样的背景下仍然发生了中信泰富事件,实在让人扼腕叹息。中信泰富只是一个典型,其他还有很多企业都存在风险管理缺失问题,如四川长虹、创维数码、伊利股份等。为了加强和规范企业内部控制,提高经营管理水平和风险防范能力,促进企业可持续发展,维护社会主义市场经济秩序和社会公众利益,财政部会同证监会、审计署、银监会、保监会制定了企业内部控制基本规范,自2009年7月1日起在上市公司范围内施行,鼓励非上市的大中型企业执行。鉴于此,有必要从风险管理的角度对内部控制进行研究。二、我国企业内部控制现状与存在的问题(一)风险管理意识薄弱,对风险评估不足当前企业面临的风险主要有市场风险、信贷风险、营运风险、法律风险、管制风险等。在众多风险中,最主要的风险是营运风险。企业应当建立可以辨认、分析和管理风险的机制,并确认高风险领域,以加强管理。但我国企业缺乏的就是这种机制,对于风险的管理十分薄弱,缺乏有效的风险识别、评价和反应机制。企业抗险能力低,主要体现为:一是缺乏风险事项识别机制。企业管理层还未认识到风险事项识别是一个综合性的过程,需要在实践工作中进行全盘综合考虑。大多数企业目前只能被动地接受内部或外部变化带来的风险。二是没有适当的风险评估体系。三是风险的应对机制空白,还处于“出现一个问题,解决一个问题”的事后被动弥补状态。(二)缺乏有效的风险防范措施虽然在有效资本市场的条件下,风险和收益是对称的,低风险低收益,高风险高回报。但是从内部控制的角度看,企业应在认知和分析风险后,采取积极、创新的风险管理措施,把风险控制在企业可接受的范围内。但是一些公司为了追求高收益,过度冒险,违规经营,敞开风险防范的大门,将负债风险和破产风险交由股东承担,致使风险资产加大,经营风险和财务风险增加,最终导致公司和股东的利益受到损害。(三)内部控制制度执行不力,公司缺乏对内部控制状况定期进行有效评价的机制因内部控制制度执行不力导致经营失败的案例在我国可谓屡见不鲜。曾经以利润高速增长现身的“郑百文”,表面上有关会计凭证审核、批准等控制完美无缺,背地里却是一个不折不扣的造假链的银广夏,中国银行哈尔滨河松街支行的“巨额现金神秘消失”案件等等无一不是由于内部控制制度执行不力造成的。许多企业的内部控制制度是挂在墙上、写在纸上的制度,实际执行情况可想而知。企业内部控制制度执行情况评价、报告等也鲜有实施,没有建立有效的内部控制定期有效性评价的机制,大部分内控制度流于形式。另外,长期以来,对企业管理者业绩考核以利润为主要依据,评价方式单一,很少对其内部控制综合评价。三、ERM框架对我国内部控制的启示ERM对原COSO报告的整体框架进行了扩展,把更多的注意力放到了企业风险管理这一更加宽泛的领域。在内部控制的内涵、目标、要素以及内部控制责任承担等层面有了全新的突破。总的来讲,新的框架强调在整个企业范围内识别和管理风险的重要性,强调企业的风险管理应针对企业目标的实现在企业战略制定阶段就予以考虑。对风险的控制不仅面向过去,也要面向未来；使风险的管理不仅贯穿于战术层面也贯穿于战略层面；不仅贯穿于执行层面也贯穿于决策层面。因此,企业风险管理整体框架是涉及到企业全要素、全过程、全层次的风险控制。ERM框架对我国正在建设中的内部控制具有十分重要的启示作用。(一)以风险为导向来进行内部控制,加强针对管理层权力制衡的内部控制制度建设从COSO的两份重要报告:1992年的内部控制整体框架和2004年的企业风险管理整体框架可以看出,风险管理已经作为主要的内部控制要素。内部控制和风险管理日益融合,风险导向已是内部控制的发展方向。在企业内部控制制度的建设中,对于企业的高层管理者的合理授权,是非常重要的一个环节。国内出现的有重大舞弊经济案件的企业,大部分都是因为授权不当引起的。因此,在具体授权时,应考虑既能保护经营决策的有效运作,管理制度的有效贯彻,又能使权力制衡得到落实。ERM框架认为董事会在风险管理中负总体责任,企业风险管理的成功与否主要依赖于董事会,因为董事会需要批准组织的风险偏好。在企业风险管理中,CEO负有首要责任,并应对所有权负责,其他经理人员则起支持作用；风险部门管理者,财务部门管理者和内部审计人员等负有关键性责任；其他的企业人员负有按确定的指示和协议执行企业风险管理的责任。(二)完善重大决策的内控流程并保障实施完善制订重大决策的内控流程并保障实施是企业风险控制的关键。传统模式下的内控制度,业务部门经过会签,通过流程将决策信息提交给CEO,CEO可以对决策信息进行风险过滤后提供给董事会,从而诱导董事会作出有利于他们的决策。财务经理对CEO负责,即使出现问题,CEO也可以通过施加影响修改财务报表。在这种内控架构下,董事会很难发现舞弊问题,等到发现时局面往往已不可收拾。内部审计只能监控CEO以下的控制点,监事会则基本形同虚设。在修订后的内控架构中,决策权被上移至董事会。监事会(或风险管理委员会)的职责更加明确,除听取CEO的汇报外,还要关注CEO控制点之前各流程的风险评估,并且有权对相关部门进行质询。财务经理同时对CEO和董事会负责,并接受监事会的监督,监事会对决策流程做出客观的风险评估后提交董事会。这样,董事会在审议CEO提交的方案前,拥有来自业务层、财务经理、监事会从各自不同角度提供的风险评估信息。(三)强化对各关键环节的风险控制,建立科学的绩效考核和违规问责机制由于内部控制制度的设计受到成本效益原则的制约,不可能面面俱到,因此只有抓住关键的控制点才能建立有效的内部控制制度。关键控制点是指业务流程和单位经济活动中那些容易产生风险的环节。要求对每个关键控制点提出风险量化分析。首先,要对关键环节所涉及的人员进行培训,培养风险管理的理念,使其意识到他们提供的风险评价信息将对董事会的决策产生直接影响。其次,明确各主体在企业风险管理流程中承担的责任,强化责任意识,及时对内部控制进行有效性评价,评价可以采用自我评价结合外部专业机构评价,同时制订相应的奖惩措施,促使各控制点对风险和机会保持足够的谨慎态度。一些企业的风险管理意识薄弱,在投机心理驱使下出现的类似赌博的行为得到默许,甚至纵容,因此,必须建立正确的业绩观念,改变那种以利润为主要业绩的考核依据,且评价方式单一的局面。具体可以通过风险调整后的收益同时结合非财务指标考核,遏制高风险的投机冲动；另一方面强调违规问责,加大违规成本,提高全体员工的风险防范意识,抵制内部人控制和机会主义行为,提高制度实施的质量和效果。财政部等五部委制