美国的《企业风险管理整体框架》对我国的启示

1、美国的企业风险管理整体框架对我国的启示    摘 要: 世界各国都非常重视企业的内部控制,不断地完善内部控制体系,加强内部控 制制度建设。文章介绍了美国企业内部控制的最新进展,结合我国企 业内部控制的实际情况,并针对我国内部控制中存在的主要问题,提出了加强和完善我国企 业内部控制的建议,以推动我国内部控制的发展。 关键词:内部控制 国际趋同发展对策 中图分类号:F270 文献标识码:A 文章编号:1004-4914(2007)11-094-02 近年来,全球范围内出现了严重的会计信息失真、经营管理失控、舞弊行为频发的现象 ,企业的内部控制倍受关注。建立健

2、全有效的内部控制是防止舞弊的有效手段之一,世界各 国越来越重视加强企业的内部控制,我们应借鉴国际上先进的内部控制理念、方法和手段, 加强我国企业内部控制的建设。 2004年,美国COSO发布了企业风险管理整体框架,对1992年发布的内部控制整 体 框架进行了全面的提升,更加强调风险管理的框架。COSO希望通过新框架能够成为组织董事 会和管理者的一个有用工具,用来衡量组织的管理团队处理风险的能力,并希望框架能够成 为衡量组织风险管理是否有效的一个标准。 ERM框架对风险管理的定义是:组织的风险管理是一个由组织的董事会、管理层和其他 员工共同参与的,应用于组织战略制定和组织内部各个层次与部门的,用

3、于识别可能对组织 造成潜在影响的事项并在其风险偏好范围内管理风险,为组织目标的实现提供合理保证的过 程。它提出在整个组织范围内实行风险管理。 ERM框架的核心是四个目标和八个要素。企业目标由三个扩展为四个,即战略目标、经 营目标、报告目标、合法性目标,而且在目标的内涵上有了提高。企业内部控制要素由五个 要素扩展为八个要素,即内部环境、目标制定、事项识别、风险评估、风险反应、控制活动 、信息和沟通、监控。ERM将风险分为策略风险、营运风险、财务风险和外部风险,而且企 业目标和企业内部控制要素贯穿于整个企业的各个层面,形成了立体的内部控制体系。 美国内部控制评价与报告体系分为三个层次:一是管理层和

4、审计师仅对财务报告的内部 控制进行评价。二是管理层对内部控制的有效性负主要责任,向董事会下属的审计委员会报 告,同时还要评估内部控制的有效性并对外发布内部控制报告。三是外部注册会计师要在审 计财务报表的同时对公司的财务报告内部控制进行审计,既要评价管理层对内部控制的评价 ,又要对内部控制的有效性发表意见。 总的来说,企业风险管理框架强调在整个组织范围内识别和管理风险的重要性,强调组 织的风险管理应针对组织目标的实现在组织战略制定阶段就应予以考虑,而组织在对其下属 部门进行风险管理时,应对风险进行加总,从组织的顶端,以一种全局的风险组合观来看待 风险。此外,根据风险管理的需要,对组织目标进行重新

5、分类,明确战略目标在风险管理中 的地位。同时,由于框架紧紧围绕组织的目标和风险来进行,使得框架在执行过程中自觉地 考虑目标、风险、管理策略和程序之间的关系,提高对风险的把握和认识。 美国的风险管理整体框架强调了风险管理是一个过程,强调了风险管受到每一个员工的 影响,强调了风险管理涉及到企业的各个层面,强调了风险管理是实现企业目标的合理保证 。美国的风险管理整体框架给我们的带来了几点启示: 一、建立完善内部控制体系 财政部企业内部控制规范起草说明中提出的我国内部控制标准体系,由基本规范、 26个具体规范和应用指南组成。具体规范涉及财务报告内部控制和其他方面的控制,主要是 财务报告内部控制,它可分

6、为三类:第一类是财务报表项目相关的控制规范;第二类是财务 报表编报相关的控制规范;第三类是为实现有效财务报告所必需的制度支持相关的控制规范 。由此可见,我国仍然是以会计控制为主的内部控制体系。 偏重会计的内部控制系统,容易使执行者对内部控制产生误解,认为内部控制就是会计 控制,缩小了内部控制的范围,从而使得管理者不能从整体上考虑内部控制,不能从战略的 高度建立、执行内部控制,最终不利于现代企业应对复杂的内外部环境,实现企业的战略目 标。同时,在执行中也会因为过于注重对会计真实、有效的关注,所以就会忽略其他一些管 理活动,如风险管理活动等。 因此,我国的内部控制建设应当更新观念,打破传统的会计控

7、制观,避免就会计论会计 ,建立内部控制系统的整体观,从企业与市场的关系以及从企业目标实现的角度来建立全方 位、全过程、立体的,涵盖企业各个层次各个方面管理活动的内部控制体系。 二、更加注重企业风险控制 现代社会,企业每时每刻都面临着来自内外部的各种风险,如战略决策风险、经营风险 、财务风险、产品质量风险、服务风险、政策风险等。鉴别、审查、预防、控制和处理这些 风险成为企业建立和运行内部控制的目标之一。而实际中,我国企业还未充分认识到风险管 理对企业经营的重要性,一是管理当局认识不够。企业管理当局对建立风险导向内部控制重 视不够,存在误解;管理人员风险管理观念淡薄,重视经营忽略管理。二是内部控制

8、目标的 落后。我国内部控制的目标是:经营的效率和效果,财务报告的完整性,法律法规的遵循性 。ERM框架中,除有经营目标、遵循目标外,报告目标内容更广,包括“内部和外部的,财 务和非财务的报告”,同时提出了战略目标,并突出强调风险问题。三是内部控制理念落后 。美国内部控制规范进入到“风险观”阶段,内部控制发展到“企业风险管理”框架。我国 虽借鉴了国外的八要素框架,但实质上仍是偏重会计控制的内部控制,对风险管理的关注明 显不够。 因此,我国企业管理层应建立起风险管理理念、风险偏好以及风险文化,将风险管理与 相关目标联系起来,建立整体风险观和风险组合观,将分目标放在组织整体高度考虑。将风 险管理作为

9、内部控制的重点,认识到内部控制不是消灭风险,而是将风险降至合理范围内。 在进行内部控制时,分析外界的机会和威胁,考虑自己的生存机遇,根据企业内外环境制定 战略目标;对影响战略目标实现的各种不确定事件进行识别;对影响战略目标实现的潜在事 件进行评估,评论它们如何影响目标的实现及影响程度,通过风险评估,将风险降到企业可 承受的范围内。同时,将风险管理方法全面引入企业内部控制机制,即通过风险识别确定控 制点,通过风险分析确定因素,从而确定内部控制的源头;通过风险评价确定风险级别,从 而确定关键控制点,最终建立合理有效的内部风险控制制度;注意各种信息的沟通及相关部 门工作的协调,从而形成长效的内部控制机制。