（工商管理专业论文）COSO框架下内部控制体系建设研究.pdf

coso 框架下内部控制体系建设研究 coso 框架下内部控制体系建设研究 摘 要 随着我国改革开放的不断深入， 我国企业终将与跨国企业们站在 同一水平线上角逐。为增强我国企业的竞争力，同时进一步改善我国 的资本市场环境，加强企业内部控制建设，已经成了我国企业乃至各 有关部门的紧迫任务！ 本文以上市公司 n 公司为研究标本， 运用了案例分析和规范研究 相结合的方法对 n 公司内部控制体系建设进行研究。 首先对内部控制 的发展历程作了回顾，对内部控制整合框架及企业风险管理整 合框架作了解读，分析了新框架与以往内部控制框架相比的突破和 进步。并结合国外内部控制发展状况，总结出我国内部控制方面存在 的问题。然后结合新框架企业风险管理整合框架八要素对 n 公司 内部现状进行分析，并针对 n 公司内部控制现状，以内部控制新框架 为指导，为 n 公司内部控制体系建设提供了建议。本文所阐述的内部 控制体系建设不仅对 n 公司实际管理工作有一定的指导意义， 同时对 目前我国企业内部控制体系建立也有一定的借鉴意义。最后，在论文 的结尾部分，笔者提出了对我国内部控制建设后续工作的一些思考。 关键词：内部控制，风险管理，coso 框架 the research of internal control systems establishment according to coso framework abstract along with the continuing deepening of our countrys reform and opening, the enterprises of our country are destined to run in a same race with international enterprises from foreign countries. therefore strengthening our enterprises internal control construction, so as to make themselves more competitive and improve the environment of our countrys capital market, has already been a pressing task for not only our enterprises but also relevant departments. this article took n company as an example, made a research on n companys internal control systems construction using a method combining both sample study and standard study. the article made a review of internal controls development course at first, elaborated and compared the two coso framework of internal control integrated framework and enterprise risk management integrated framework, pointed out the breakthroughs and progress the latter made. then compared internal controls development status in and abroad our country, concluded remaining problems of our country in this field. and then analyzed the statues of n companys internal control and also gave advice on how to establish a sound and effective system in n company using coso framework. the internal control system the author had given in this article could not only guide the n companys practical management practice, but also apply to other enterprises in our country. at the end of this article, the author made a conclusion and pointed out some issue need to be noted in this field. key words: internal control, risk management, coso 上海交通大学上海交通大学 学位论文原创性声明学位论文原创性声明 本人郑重声明：所呈交的学位论文，是本人在导师的指导下，独立进行研究工作所 取得的成果。 除文中已经注明引用的内容外， 本论文不包含任何其他个人或集体已经发 表或撰写过的作品成果。 对本文的研究做出重要贡献的个人和集体， 均已在文中以明确 方式标明。本人完全意识到本声明的法律结果由本人承担。 学位论文作者签名：谭文娟 日期： 年 月 日 上海交通大学上海交通大学 学位论文版权使用授权书学位论文版权使用授权书 本学位论文作者完全了解学校有关保留、 使用学位论文的规定， 同意学校保留并向 国家有关部门或机构送交论文的复印件和电子版， 允许论文被查阅和借阅。 本人授权上 海交通大学可以将本学位论文的全部或部分内容编入有关数据库进行检索， 可以采用影 印、缩印或扫描等复制手段保存和汇编本学位论文。 保密保密，在 年解密后适用本授权书。 本学位论文属于 不保密 不保密。 （请在以上方框内打“” ） 学位论文作者签名：谭文娟 指导教师签名： 陈亚民 日期： 年 月 日 日期： 年 月 日 上海交通大学 mba 学位论文 coso 框架下内部控制体系建设研究 1 前言 建立与完善企业内部控制制度，已成为当前理论界和实务界最为关注的话题之一。据 美国最新的职务调查资料显示约有 46.2%的欺诈事件之所以能够发生是由于公司未建立适 当的内部控制。另外根据美国会计总署的估算，年舞弊和欺诈案例造成仅在医疗支出方面 的耗费就高达亿美元。美国布鲁斯学会公布的一项研究报告也显示，仅安然公司和世界通 信公司的造假丑闻就使年美国经济损失亿至亿美元。 正是由于频频发生的财务丑闻、欺诈和舞弊案件，为重拾公众信心，美国于 2002 年颁 布了萨班斯-奥克斯利法案 ，该法案中引用了 coso 于 1992 年发布的内部控制整合 框架 ，要求公众公司的管理层评估和报告公司最近年度财务报告的内部控制的有效性。第 404 条款明确规定了管理层应承担设立和维持一个应有的内部控制结构的职责。它要求上 市公司必须在年报中提供内部控制报告和内部控制评价报告；上市公司的管理层和注册会 计师都需要对企业的内部控制系统做出评价，注册会计师还必须对公司管理层评估过程以 及内控系统结论进行相应的检查并出具正式意见。 萨班斯-奥克斯利法案 的实施给在美国 上市的公众公司带来的影响是巨大的，尽管关于萨班斯-奥克斯利法案的适当性的争论 时至今日仍在进行，但该法案为进一步规范上市公司的治理及内部控制指明了方向。 2004 年 10 月， coso 委 员对沿用了将近 10 年的内部控制整合框架进行了 进一步的延伸和扩展，并在此基础上提出了企业风险管理整合框架 。 上述法案和理论的提出及发展使得内部控制理论和实践出现了很大的突破性进展，对 我国相关政府部门、企业界和理论界也产生了很大的影响，为切实改善我国企业，尤其是 大型企业及上市公司公司治理及内部控制薄弱、财务造假频繁出现等问题，我国政府目前 对内部控制空前关注。2006 年 7 月 15 日，财政部、国资委、证监会、审计署、银监会、保 监会联合发起成立企业内部控制标准委员会，研究新的适用于我国的内部控制标准。上交 所与深交所分别先后发布了上市公司内部控制指引，并要求执行。 2006 年 6 月 6 日，国务 院国有资产管理委员会也发布了中央企业全面风险管理指引 。2007 年 3 月财政部发布了 企业内部控制规范基本规范和 17 项具体规范（征求意见稿） 。2007 年初，证监会要 求上市企业加强公司治理，并对内部控制进行自查。 以上充分说明了内部控制已经成了我国各界目前的关注重点。尽管国外成熟的内部控 制整合框架已经实际运行了十几年，并且目前已经从内部控制框架发展到了全面风险管理 框架，但多年以来，我国内部控制基本上只是停留在会计控制阶段。虽然上文中提到的近 两年我国颁布的内部控制指引文件或规范所指“内部控制”均指的是现代意义上的内部控 制，借鉴了 coso 内部控制整合框架及 coso 企业风险整合框架的内容。这标志着我国内部 控制研究已经走向了现代内部控制的概念。但从理论角度来说，我国新的内部控制标准尚 未出台，从实践角度来说，目前只有在海外上市的企业按照上市地的法律要求建立并实施 上海交通大学 mba 学位论文 coso 框架下内部控制体系建设研究 2 未出台；从实践角度来说，除了个别在国外上市的公司，我国目前绝大部分企业均无建立 新要求下的内部控制体系的经验。故在目前加强对现代内部控制体系建设的研究和实践， 尤其是 coso 框架下的内部控制体系建设非常具有现实意义。 本文以在上海交易所上市的 n 公司为研究标本，剖析了 n 公司内部控制方面的现状， 并以 n 公司为例，系统阐述了如何在我国企业建立一套基于 coso 内部控制要求、适合本 国国情的内部控制体系。 本文正文共包括五部分内容： 第一部分 内部控制理论发展历程。介绍了内部控制理论发展的五个阶段：内部牵制、 内部控制制度、内部控制结构、内部控制整合框架、企业风险管理整合框架。介绍了各个 阶段的背景及主要内容，并对内部控制整合框架及企业风险管理整合框架进行了比较。 第二部分 内部控制现状。介绍了国内外内部控制研究及实践现状及我国内控建设面临 的主要问题。 第三部分 n 公司内控现状。 对 n 公司的内控现状按照 coso 企业风险管理整合框架八 要素的要求逐条进行了剖析，指出了 n 公司内控方面的主要问题。 第四部分 n 公司内控体系建设。 阐述如何针对 n 公司内部控制的现状， 结合 coso 企 业风险管理整合框架八要素，建立一套既体现 coso 框架精髓，又符合中国国情的内部控 制体系。 第五部分 总结与展望。 本文在研究方式上采用规范研究与案例分析相结合、理论与实务相结合的研究范式。 以 n 公司为研究标本，结合笔者在 n 公司进行内部控制咨询的经历及体会，研究了如何在 中国企业建立一套符合中国实情的内部控制体系。在充分利用原有 coso 框架成熟经验的 基础上合理利用新 coso 框架的内容，结合二者所长。既考虑了新框架的先进性，又充分 利用了原 coso 整合框架的实施经验以加强操作性。打破了萨班斯-奥克斯利法案及大 部分内部控制研究仅限于财务报告控制的局限性，将内部控制体系建设范围进行了扩展。 对整个内控体系按全面风险管理框架的八要素进行了系统的阐述，所研究的内容对我国其 他企业内控体系构建与实施具有现实意义。 但由于我国企业构建 coso 框架下的内部控制体系尚处于摸索阶段， 尚未有统一的定 义及标准，同时 coso 新框架全面风险框架即使在国外也尚未进入全面实施阶段。笔者 考虑了如何在我国现行情况下建立并实施引进风险管理框架内容的内部控制体系，在合理 保证其系统有效性的同时不过多增加企业的经济负担，但仍比较粗浅，有待于在以后的工 作和学习中进一步地调研和思考。 上海交通大学 mba 学位论文 coso 框架下内部控制体系建设研究 3 第 1 章 内部控制理论发展历程 1.1 内部牵制内部控制的萌芽时期 1.1.1 内部牵制制度产生的环境 一般认为，20 世纪初期以前的时期，是内部控制的萌芽时期。18 世纪产业革命之后， 随着企业大规模化及资本大众化，近代内部控制出现了。18 世纪末，美国铁路公司为了控 制、考核遍及各方的客货运业务，采用了内部稽核制度，以其显著的效果，引得各大企业 纷纷仿效。20 世纪初期，美国的一些企业逐渐摸索出一些组织、调节、制约和检查企业生 产经营活动的方法，建立了“内部牵制制度” ，内部控制的雏形出现了。 内部牵制制度源于这样的设想：两个或两个以上的人或部门，无意识犯同样的错误的 可能性很小，两个或两个以上的人或部门，有意识地合伙舞弊的可能性也大大低于单独一 个人或一个部门舞弊的可能性。 1.1.2 内部牵制制度的主要内容 内部牵制制度，也称钱账分离制度，是指凡涉及款项和财物收付、结算及登记的任何 一项工作，必须由两人或两人以上分工办理，以起到相互制约作用的一种工作制度。其目 的是为了查错防弊，以保证会计信息质量和财产物资的安全完整。以帐目间的相互核对为 主要内容，并实施岗位分离，这是早期被认为是确保所有帐目正确无误的一种理想的控制 方法。 1.1.3 内部牵制的原则 （1） 互相制约原则。 每一项经济业务的处理过程必须由两人或两人以上共同分工负责； （2）权力分割原则。内部机构设置合理，分权分工适当，保证有完成其职责应有的权 力； （3）账、钱、物相互独立分管原则。货币资金实物形态的保管、处理必须与反映货币 资金增减变化记录完全独立开来，财产物资的保管与财产物资增减变化的记录，必须完全 独立； （4）稽核对证原则。会计部门必须采用稽核方法，并对不同来源的原始凭证进行核对， 保证账账相符、账证相符和账物相符； （5）建立完整的记录体系原则。对经济业务活动应有足够的记录，对企业的经济活动 进行分类、整理、总结、监督，以保证所有的经济活动应有足够的记录，并能反映在会计 报表中； （6）职责分清原则。应在会计部门和业务部门建立岗位责任制。职责要明确，对任何 业务应由何人办理，手续传递时间和传递顺序，都应作明确规定。 上海交通大学 mba 学位论文 coso 框架下内部控制体系建设研究 4 1.1.4 内部牵制的基本手段 在划分职责范围时，对一项业务的全过程，要尽量避免由一个人或一个部门单独处理。 在通常情况下，一项经济业务的处理程序至少包括规划、审批、执行、记录和复核五个步 骤。上述五个步骤中，审批与执行、执行与记录、记录与复核必须划分。企业在划分职责 范围、设置业务环节和工作岗位时，应该把互不相容的职务交由两个或两个以上部门或人 员承担。根据不相容职务分离控制的要求，企业需要对有关岗位的职责和权限做出规定。 执行某项业务的职务与复核该项业务的职务分离。 1.2 企业内部控制制度内部控制的发展时期 从 20 世纪 30 年代开始，以帐户核对和职务分工的内部牵制逐步向由组织结构、岗 位职责、人员条件、业务处理程序、检查标准和内部审计等要素构成的较为严密的内部控 制演变。 美国注册会计师协会审计程序委员会于 1949 年发表了题为企业内部控制：协调系 统的要素及其对管理部门和独立公共会计师的重要性的专题报告，对内部控制首次作出 了定义：内部控制是企业所制定的旨在保护资产，保证会计资料可靠性和准确性，提高经 营效率，推动管理部门所制定的各项政策得以贯彻执行的组织计划和相互配套的各种方法 及措施。在这一定义中，承认企业内部控制制度超过了与财会部门直接相关的事项。为了 按照公认审计标准来规范内部控制检查和评价的范围，1953 年 10 月，审计程序委员会又 发布了审计程序公告第 19 号 ，对内部控制定义进行修订，把内部控制分为会计控制和 管理控制，这也是我们所知的企业内部控制“制度二分法”的由来。 1972 年美国注册会计师协会所属审计准则委员会在其公布的审计准则公告第 1 号 中再一次修订了内部控制的定义，对会计控制和管理控制进行了重新阐述，也即今天为我 们所广知的定义：内部会计控制。会计控制由组织计划以及与保护资产和保证财务资料 可靠性有关的程序和记录构成。会计控制旨在保证：经济业务的执行符合管理部门的一般 授权或特殊授权的要求；经济业务的记录必须有利于按照一般公认会计原则或其他有关标 准编制财务报表，以及落实资产责任；只有在得到管理部门批准的情况下，才能接触资产； 按照适当的间隔期限，将资产的帐面记录与实物资产进行对比，一经发现差异，应及时采 取相应的补救措施。内部管理控制。管理控制包括但不限于组织计划以及与管理部门授 权办理经济业务的决策过程有关的程序及其记录。这种授权活动是管理部门的职责，它直 接与管理部门执行该组织的经营目标有关，是对经济业务进行会计控制的起点。 这一定义以会计控制工作为主，把主要精力放在了纠错防弊上，主要用于界定审计人 员的责任，因此遭到了管理界的质疑，他们从经营管理角度认为，内部控制的目标和范围 应予以扩展，区分会计控制与管理控制意义不大。1980 年 3 月在“内部审计师协会”代 表大会的发言中，凯罗鲁斯先生把美国注册会计师协会将内部控制定义区分为会计控制和 管理控制的行为描绘为“将美玉击成了碎片” 。他声称，在这块美玉完全修复以前我们 上海交通大学 mba 学位论文 coso 框架下内部控制体系建设研究 5 不可能有一个对管理人员有用，为管理人员理解的内部控制定义。 1.3 内部控制结构内部控制的完善时期 进入 20 世纪 80 年代，由于环境的变化，不断产生新问题，有许多财务机构破产。 在为此而进行的调查中发现在大多数案件中，审计人员不能发现公司舞弊的情况。由此， 对内部控制的关注也提上了日程。由五个美国职业团体共同组建的委员会全国欺诈性 财务报告委员会发现现有发表的公告和研究关于内部控制的解释与概念有许多不同，结果 导致了管理层、内部审计人员和注册会计师对内部控制充分性的不同看法。因此委员会敦 促各职业团体一起合作发表内部控制的统一概念。1988 年 4 月美国注册会计师委员会发 布的审计准则公告第 55 号 ，该文告首次提出以内部控制结构取代原有的“企业内部控 制制度” ，跳出了“制度二分法”的圈子，开始向“结构分析法”演变。并把内部控制环境 纳入内部控制范畴。这被认为是内部控制理论研究的一个新的突破性成果。 审计准则公告 第 55 号指出： “企业的内部控制结构包括为合理保证企业特定目标的实现而建立的各种 政策和程序” ，并且明确了内部控制结构的内容，具体如下 （1）控制环境 (control environment)。控制环境是指对建立、加强或削弱特定政策和 程序效率发生影响的各种因素。具体包括：管理者的思想和经营作风；企业组织结构；董 事会及其所属委员会，特别是审计委员会发挥的职能，确定职权和责任的方法；管理者监 控和检查工作时所用的控制方法，包括经营计划，预算，利润计划，责任会计和内部审计； 人事工作方针及其执行，影响本企业业务的各种外部关系，例如由银行指定代理人的检查 等。 （2）会计制度 (accounting system)。会计制度规定各项经济业务的鉴定，分析，归类， 登记和编报的方法，明确各项资产和负债的经营管理责任。健全的会计系统应实现下列目 标：鉴定和登记一切合法的经济业务；对各项经济业务按时进行适当分类，作为编报财务 报表的依据；将各项经济业务按适当的货币价值计价，列入财务报表；确定经济业务发生 的日期，以便按照会计期间进行记录；在财务报表中适当地表述经济业务以及相关内容进 行揭示。 （3）控制程序 (control procedures)控制程序指管理当局所制定的用以达到一定目的的 方针和程序。它包括下列内容：经济业务和经济活动的批准权；明确各个人的职责分工， 防止有关人员对正常业务图谋不轨。职责分工包括：指派不同人员分别承担批准业务，记 录业务和保管财产的职责；凭证和帐单的设置和使用，应保证业务活动得到正确的记载； 对财产及其记录的接触和使用要有保护措施；对已登记的业务及其计价要进行复核。 1.4 企业内部控制整合框架阶段coso 报告 企业内部控制整体框架理论由美国 coso 委员会于 20 世纪 90 年代提出。其一经提 上海交通大学 mba 学位论文 coso 框架下内部控制体系建设研究 6 出， 即引起了理论界的广泛关注并引发了大量的后续研究。 内部控制整体框架理论对 20 世 纪 90 年代以来的内部控制实务产生了深远的影响。 1.4.1 coso 企业内部控制整合框架产生的背景 在美国，20 世纪 70 年代中期，对水门事件的调查中发现不少美国大公司进行违法的国 内捐款，甚至贿赂外国政府官员，使得立法机关与行政机关开始注意到内部控制问题。针 对调查的结果，美国国会于 1979 年通过了反国外贿赂法 （简称 fcpa） 。fcpa 除了规定 了关于反贿赂的条款外，还规定了与会计及内部控制有关的条款。不久，美国证券交易委 员会（sec）发布了管理阶层对内部会计控制的报告书 ，强制公司对其内部会计控制提 出报告书，因此美国许多机构都加强了对内部控制的研究并提出许多建议。 1985 年， 由美国注册会计师协会(aicpa)、 美国会计协会(aaa)、 财务经理人协会(fei)、 内部审计师协会(iia)、管理会计师协会(ima)联合创建了反虚假财务报告委员会（通常称 treadway 委员会） ，旨在探讨财务报告中的舞弊产生的原因，并寻找解决之道。两年后，基 于该委员会的建议，其赞助机构成立 coso（committee of sponsoring organization，coso） 委员会，专门研究内部控制问题。1992 年 9 月，coso 委员会发布内部控制整合框架 （coso-ic） ， 简称 coso 报告， 1994 年进行了增补。 这些成果马上得到了美国审计署(gao) 的认可，美国注册会计师协会（aicpa）也全面接受其内容并于 1995 年发布了审计准则 公告第 78 号 。由于 coso 报告提出的内部控制理论和体系集内部控制理论和实践发展之 大成，成为现代内部控制最具有权威性的框架，因此在业内倍受推崇，在美国及全球得到 广泛推广和应用。 1.4.2 coso 内部控制整合框架的内容 在 coso内部控制整合框架中，内部控制定义为：由董事会、管理层和员工共同 设计并实施的，旨在为实现组织目标(主要包括经营的效率和效果，财务报告的可靠性，相 关法律法规的遵循性等，简称三类目标)提供合理保证的过程。 coso内部控制整合框架把内部控制划分为五个相互关联的要素，分别是（1）控 制环境； （2）风险评估； （3）控制活动； （4）信息与沟通； （5）监控。每个要素均承载三 个目标： （1）经营目标； （2）财务报告目标； （3）合规性目标。 这三个目标与五个要素贯穿于机构的各业务单位和各个层面的业务活动中。在内部控 制制度设计中，公司可以根据公司的规模和结构采用不同的方式来实施这五大要素。如下： （1）控制环境 控制环境是内部控制体系的基础，是有效实施内部控制的有力保障。控制环境的情况 决定了整个机构高层管理的态度与基调，同时也至上而下的影响了整个机构的内控意识， 包括最基层员工的内部控制意识。 控制环境包括以下内容： （1）诚信与道德价值观； （2）致力于提高员工工作能力及促 进员工发展的承诺； （3）管理层的理念与风格； （4）组织架构与职责分配； （5）人力资源 上海交通大学 mba 学位论文 coso 框架下内部控制体系建设研究 7 政策及程序； （6）监管部门（董事会、审计委员会）的参与。 （2）风险评估 风险评估是识别及分析影响公司目标实现的风险过程，是风险管理的基础。由于经济、 行业、监管环境和公司的运营状况在不断发生变化，管理层必须对各种变化采取措施，以 便识别和应对它，是采取相关的措施化解还是积极管理它，或者就根据情况去承受。在实 际操作中，需要明确与重要会计科目、披露事项和相关财务报表认定中产生重大错报的风 险。 （3）控制活动 控制活动是确保管理层的指令得到贯彻执行的必要措施，存在于整个机构内所有级别 和职能部门，包括批准、授权、查证、核对、经营业绩评价、资产保全措施及分工活动等。 控制活动又可以分成预防性控制、检查性控制、人工控制、计算机控制、管理层控制等类 型。 （4）信息与沟通 信息系统产生包括有关运营、报告、合规性的信息报告，这些信息帮助企业管理层及 普通员工经营和掌控整个公司，信息必须要有渠道，并使得员工能够通过信息渠道各负责 任。信息与沟通主要指两个方面：一是有一套能够支持信息确认、信息获取的信息交流的 系统，二是公司各个层面对相关信息进行有效的沟通和将其传达给相关的外部。 （5）监控 监督是指对内部控制体系有效性进行评估的持续过程，包括持续监督、定期监督和缺 陷报告。 持续监督是指建立内控体系维护与管理制度、保证内控体系运行有效性，建立内控测 试标准，持续监控内控体系的问题；定期监督是指公司审计或者风险管理部门定期对内控 系统进行审核的工作；缺陷报告是指制订缺陷确认标准，向相关管理人员和董事会上报内 控缺陷，并采取改进措施。 1.4.2 coso 内部控制整合框架与萨班斯奥克斯利法案 2001 年，美国安然公司(enron)、世通（worldcom） 、施乐(xerox.)、默克(merck)公司 等一大批知名企业接连发生财务丑闻，诚信危机极大地震撼了整个美国和国际社会。为了 提高民众对美国金融市场、政府经济政策的信心，2002 年 7 月美国国会通过了萨班斯 奥克斯利法案 (sarbanes-oxley act of 2002 简称萨班斯法案，sox)，该法案对渎职和做假 账的企业主管实行严厉的制裁，对上市公司实行更为严格的监管。 coso内部控制整合框架是美国证券交易委员会(sec)唯一推荐使用的内部控制框 架，萨班斯法案第 404 条款的“最终细则”也明确表明 coso 内部控制整合框架可以作为 评估企业内部控制的标准。 由于萨班斯法案适用对象涵盖了在美国上市的外国公司，使 coso 内部控制整合框架 上海交通大学 mba 学位论文 coso 框架下内部控制体系建设研究 8 在美国乃至国际的应用得到了快步而广泛的推进。 1.5 风险管理整合框架内部控制的新趋势 1.5.1 新 coso 报告企业风险管理框架的提出 coso 内部控制是内部控制发展的里程碑，但是另一方面理论界与实务界也提出了内 部控制整体框架的局限和不足，主要认为对企业整体战略上和风险管理方面关注的不够。 应这些方面的局限和不足，委员会开始进行企业风险管理框架的研究。2004 年 9 月 29 日，coso 委员会发布了企业风险管理整合框架 （erm-if） ， （又译全面风险管理 整合框架 ） 。 1.5.2 企业风险管理框架的主要内容 （1）企业风险管理框架定义 coso 委员会提出，企业风险管理是企业的董事会、管理层和其他员工共同参与的一 个过程，应用于企业的战略制定和企业的各个部门和各项经营活动，用于确认可能影响企 业的潜在事项，并在风险偏好范围内管理风险，以对企业目标的实现提供合理的保证。 这是一个广义的风险管理定义，适用于各种类型的组织、行业和部门。该定义直接关 注企业目标的实现，并且为衡量企业风险管理的有效性提供了基础；强调企业的风险管理 是一个过程，其本身并不是一个结果，而是实现结果的一种方式；企业的风险管理是渗透 于企业各项活动中的一系列行动,这些行动普遍存在于管理者对企业的日常管理中，是企业 日常管理所固有的;企业风险管理是一个由人参与的过程，涉及一个企业各个层次员工。 （2）企业风险管理的构成要素 企业风险管理分为内部环境、目标制定、事项识别、风险评估、风险反应、控制活动、 信息和沟通、监控等八个相互关联的要素，各要素贯穿在企业的管理过程之中。 内部环境 企业的内部环境是其他所有风险管理要素的基础，为其他要素提供规则和结构。企业 的内部环境不仅影响企业战略和目标的制定、业务活动的组织和对风险的识别、评估和反 应，还影响企业控制活动、信息和沟通系统以及监控活动的设计和执行。董事会是内部环 境的重要组成部分，对其他内部环境要素有重要的影响。企业的管理者也是内部环境的一 部分，其职责是建立企业风险管理理念，确定企业的风险偏好，营造企业的风险文化，并 将企业的风险管理和相关的初步行动结合起来。 目标制定 根据企业确定的任务或预期，管理者制定企业的战略目标，选择战略并确定其他与之 相关的目标并在企业内层层分解和落实。其中，其他相关目标是指除战略目标之外的其他 三个目标，其制定应与企业的战略相联系。管理者必须首先确定企业的目标，才能够确定 对目标的实现有潜在影响的事项。而企业风险管理就是提供给企业管理者一个适当的过程， 上海交通大学 mba 学位论文 coso 框架下内部控制体系建设研究 9 既能够帮助制定企业的目标，又能够将目标与企业的任务或预期联系在一起，并且保证制 定的目标与企业的风险偏好相一致。 事项识别 不确定性的存在，使得企业的管理者需要对这些事项进行识别。而潜在事项对企业可 能有正面的彭响、负面的影响或者两者同时存在。有负面影响事项是企业的风险，要求企 业的管理者对其进行评估和反应。因此，风险是指对企业目标的实现可能造成负面影响的 事项发生的可能性。对企业有正面影响的事项，或者是企业的机遇，或者是可以抵消风险 对企业的负面影响的事项。机遇可以在企业战略或目标制定的过程中加以考虑，以确定有 关行动抓住机遇。可能潜在地抵消风险的负面影响的事项则应在风险的评估和反应阶段予 以考虑。 风险评估 风险评估可以使管理者了解潜在事项如何影响企业目标的实现。管理者应从两个方面 对风险进行评估风险发生的可能性和影响。风险发生的可能性是指某一特定事项发生的 可能性，影响则是指事项的发生将会带来的影响。对于风险的评估应从企业战略和目标的 角度进行。首先，应对企业的固有风险进行评估。确定对固有风险的风险反应模式才能够 确定对固有风险的管理措施。其次，管理者应在对固有风险采取有关管理措施的基础上， 对企业的残存风险进行评估。 风险应对 风险应对可以分为规避风险、减少风险、共担风险和接受风险四类。规避风险是指采 取措施退出会给企业带来风险的活动。减少风险是指减少风险发生的可能性、减少风险的 影响或两者同时减少。共担风险是指通过转嫁风险或与他人共担风险，降低风险发生的可 能性或降低风险对企业的影响。接受风险则是不采取任何行动而接受可能发生的风险及其 影响。对于每一个重要的风险，企业都应考虑所有的风险应对方案。有效的风险管理要求 管理者选择可以使企业风险发生的可能性和影响都落在风险容忍度之内的风险应对方案。 选定某一风险反应方案后，管理者应在残存风险的基础上重新评估风险，即从企业总体的 角度、或者组合风险的角度重新计量风险。各行政部门、职能部门或者业务部门的管理者 应采取一定的措施对该部门的风险进行复合式评估并选择相应的风险反应方案。 控制活动 控制活动是帮助保证风险反应方案得到正确执行的相关政策和程序。控制活动存在于 企业的各部分、各个层面和各个部门，通常包括两个要素确定应该做什么的政策和影响该 政策的一系列程序。 信息和沟通 来自于企业内部和外部的相关信息必须以一定的格式和时间间隔进行确认、捕捉和传 递，以保证企业的员工能够执行各自的职责。有效的沟通也是广义上的沟通，包括企业内 自上而下、自下而上以及横向的沟通。有效的沟通还包括将相关的信息与企业外部相关方 上海交通大学 mba 学位论文 coso 框架下内部控制体系建设研究 10 的有效沟通和交换，如客户、供应商、行政管理部门和股东等。 监控 对企业风险管理的监控是指评估风险管理要素的内容和运行以及一段时期的执行质量 的一个过程。企业可以通过两种方式对风险管理进行监控持续监控和个别评估。持续监 控和个别评估都是用来保证企业的风险管理在企业内务管理层面和各部门持续得到执行。 监控还包括对企业风险管理的记录。对企业风险管理进行记录的程度根据企业的规模、 经营的复杂性和其他因素的影响而有所不同。适当的记录通常会使风险管理的监控更为有 效果和有效率。当企业管理者打算向外部相关方提供关于企业风险管理效率的报告时，他 们应考虑为企业风险管理设计一套记录模式并保持有关的记录。 1.5.3 从内部控制整合框架走向企业风险管理整合框架的突破 （1）企业风险管理整合框架是内部控制整合框架的延伸和发展。风险管理框架建立在 内部控制整体框架的基础上，企业风险管理整合框架的范围比内部控制整体框架的范围更 为广泛，是对内部控制框架的扩展，是一个针对风险的更为明确的概念。企业风险管理整 合框架其实是内部控制整体框架的一个发展，新框架从战略上以更系统、全面的理念来阐 述内部控制。 （2）全新风险组合观理念的提出。企业风险管理整合框架借用现代金融理论中的资产 组合理论，提出了风险组合与整体管理的观念，要求企业管理者以风险组合的观点看待风 险，对相关的风险进行识别并采取措施使企业所承担的风险在风险偏好的范围内。对企业 内每个单位而言，其风险可能落在该单位的风险容忍度范围内，但从企业总体来看，总风 险可能超过企业总体的风险偏好范围。这就要求从企业层面上总体把握分散于企业各层次 及各部门的风险暴露，以统筹考虑风险对策，防止分部门分散考虑与应对风险，统筹制定 风险管理方案。 （3）增加了战略目标，并扩大了报告目标的范畴。新报告除了以往内部控制框架中设 定的经营目标、财务报告目标和合法性目标的三个企业目标外，又增加了战略目标。战略 目标的层次高于其他三类目标。企业风险管理应用于实现这四类目标的过程中，应用于企 业战略制定阶段，这样风险管理范围与内容扩展到战略高度。这是新报告与内部控制整体 框架的区别，也是新报告与其他风险管理的重要区别。 财务报告目标的范围有所扩大，内部控制框架中的财务报告目标只与公开披露的财务 报表的可靠性相关，而企业风险管理框架中的报告目标的范围有很大的扩展，该目标覆盖 了企业编制的所有报告。 （4）增加了三个风险管理要素，对其他要素的分析更加深入，范围上也有所扩大。企 业风险管理框架新增了三个风险管理要素：目标制定、事项识别、风险应对，因而形成清 晰的风险管理流程：目标制定事项识别风险评估风险反应控制活动。且这一流程 处于企业内部环境提供的规则和结构的背景下，借助于信息与沟通进行，并处于监控之下。 上海交通大学 mba 学位论文 coso 框架下内部控制体系建设研究 11 此外，针对企业将管理的重心移至风险管理，风险管理框架更加深入地阐述了其他要素的 内涵，并扩大了相关要素的范围。 内部环境。由内部控制整体框架的控制环境发展到企业风险管理整合框架的内部环境， 内部控制的环境内涵在增大，内部控制环境包括诚实正直品格及道德价值观、员工素质与 能力、董事会与审计委员会、管理哲学与经营风格、组织结构、权力与责任的分配、人力 资源政策和实践等七个方面。风险管理的“内部环境”除包括上述七个方面外，还包括风 险管理哲学（理念） 、风险偏好和风险文化三个新内容。 目标设定。在风险管理框架中，由于要针对不同的目标分析其相应的风险，因此目标 的制定自然就成为风险管理流程的首要步骤，并将其确认为风险管理框架的一部分。 事项识别。企业风险管理和内部控制框架都承认风险来自于企业内、外部各种因素， 而且可能在企业的各个层面上出现，并且应根据对实现企业目标的潜在影响来确认风险。 但是，企业风险管理框架深入探讨了潜在事项的概念，认为潜在事项是指来自于企业内部 和外部资源的，可能影响企业战略的执行和目标实现的一件或者一系列偶发事项。存在潜 在的积极影响的事项代表机遇，而存在潜在负面影响的事项则称为风险。企业风险管理框 架采用一系列技术来识别有关事项并考虑有关事项的起因，对企业过去和未来的潜在事项 以及事项的发生趋势进行计量。 风险应对。企业风险管理框架提出对风险的四种反应方案规避、减少、共担和接受风 险。作为风险管理的一部分，管理者应比较不同方案的潜在影响，并且应在企业风险容忍 度范围内的假设下，考虑风险反应方案的选择。在个别和分组考虑风险的各反应方案后， 企业管理者应从总体的角度考虑企业选择的所有风险反应方案组合后对企业的总体影响。 风险评估。内部控制框架和风险管理框架都强调对风险的评估，但风险管理框架建议 更加透彻地看待风险管理，即从固有风险和残存风险的角度来看待风险，将风险与相关的 目标联系起来。 信息和沟通。企业风险管理框架扩大了企业信息和沟通的构成内容，认为企业的信息 应包括来自过去、现在和未来潜在事项的数据。企业的信息系统的基本职能应以时间序列 的形式收集、捕捉数据，其收集数据的详细程度则视企业风险识别、评估和反应的需要而 定，并保证将风险维持在风险偏好的范围内。 （5）提出两个新概念风险偏好和风险容忍度，并引入了风险偏好、风险容忍度、风 险对策、压力测试、情景分析等概念和方法。 针对企业目标实现过程中所面临的风险，风险管理框架对企业风险管理提出风险偏好 和风险容忍度两个概念。从广义上看，风险偏好是指企业在实现其目标的过程中愿意接受 的风险的数量。企业的风险偏好与企业的战略直接相关，企业在制定战略时，应考虑将该 战略的既定收益与企业的风险偏好结合起来，目的是要帮助企业的管理者在不同战略间选 择与企业的风险偏好相一致的战略。这也是在内部控制的理论中，新报告首次提出管理层 在确定战略目标和战略时要考虑企业风险偏好。 上海交通大学 mba 学位论文 coso 框架下内部控制体系建设研究 12 风险偏好的概念是建立在风险容忍度概念基础上的。风险容忍度是指在企业目标实现 过程中对差异的可接受程度，是企业在风险偏好的基础上设定的对相关目标实现过程中所 出现差异的可容忍限度。在确定各目标的风险容忍度时，企业应考虑相关目标的重要性， 并将其与企业风险偏好联系起来。 由于企业风险管理框架引入了风险偏好、风险容忍度、风险对策、压力测试、情景分 析等概念和方法，因此，该框架在风险度量的基础上，有利于企业的发展战略与风险偏好 相一致，增长、风险与回报相联系，进行经济资本分配及利用风险信息支持业务前台决策 流程等，从而帮助董事会和高级管理层实现企业风险管理的四项目标。这些内容都是内部 控制框架中没有的，也是其所不能做到的。 （6）区分风险和机会，更加主动，全面的去管理风险。在企业风险管理框架中，由于 把风险明确定义为“对企业的目标产生负面影响的事件发生的可能性”将产生正面影响的 事件视为机会，事件既可能带来消极后果，也可能带来积极后果，或者带来混合后果。消 极后果的事件意味着风险，它会阻碍价值创造或破坏现有价值。积极后果的事件会抵消消 极影响，或者带来机会。所谓机会，就是事件如果发生，能促进目标的实现，能支持价值 创造或价值的保存，内部控制框架没有区分风险和机会，新框架体现出了管理层更主动去 寻找机会和管理风险。 （7）设立风险主管或风险经理，明确内部审计人员的风险管理监控责任。企业风险管 理框架中增加了风险经理角色。他与企业内其他管理者一起，在各自的职责范围内建立并 维护有效的风险管理框架，也负有帮助其他管理人员在企业内向上、向下和横向报告有关 风险信息的职责，并可以成为企业风险管理委员会的一员。在企业风险管理监控中内部审 计人员发挥着重要作用，他们协助管理层和董事会实施有效的风险管理，对管理层风险管 理过程的有效性和充分性进行检查、评价、报告和提出建议。 （8）一种更新的风险导向内部控制理念，以“自控制”为核心的战略性整体控制. 内部控制仅是管理的一项职能，而企业风险管理属于风险范畴，贯穿于管理过程的各 个方面。风险管理更注重战略目标的导向性来实施风险管理，利用风险的理念来支持业务 前台的决策流程及全面控制，以理念来带动行动，体现了风险管理框架的高度预先性和前 瞻性。以“自控制”为基础的组织战略性整体控制成为新世纪内部控制发展的方向。企业 风险管理整合框架正是体现了这一发展方向和思想理念。 上海交通大学 mba 学位论文 coso 框架下内部控制体系建设研究 13 第 2 章 国内外内部控制现状 2.1 我国内部控制现状 2.1.1 我国内部控制研究现状 1980 年以前，我国企业的内部控制在生产管理等方面有一些应用，但理论研究上基本 是空白。我国内部控制的建设和发展始于 20 世纪 90 年代，主要由政府、监管层（包括 证券监督管理机构和行业监管机构）等制定的一系列法律、法规和指引所推动。1996 年财 政部发布独立审计准则第 9 号-内部控制与审计风险 ，首次完整地提出了内部控制的“三 要素” ， 并要求注册会计师应当审查企业内部控制。中国人民银行、中国证监会等先后发 布过部门或系统的有关内部控制的行政规范。 1999 年修订并于 2000 年 7 月 1 日起正式施行 的会计法从法律角度对内部控制做出了规定，对单位内部会计监督提出了明确的要求 （职责分明、相互分离、相互制约、相互监督） 。进入新世纪，我国内部控制建设在政府、 行业的推动下，正从理论研究向政策指导、实务应用领域迅速展开。证监会在 2000 年 11 月发布的公开发行证券公司信息披露编报规则要求公开发行证券的商业银行、保险公 司、证券公司应建立健全内部控制制度，并在招股说明书正文中专设一部分，对其内部控 制制度的完整性、合理性和有效性做出说明