COSO企业内控风险管理模式

1、COSOO企业内内控风险险管理模模式 张玉玉 翻翻译前言 10年年前，CCOSOO发布了了内部部控制-整合框框架来来帮助企企业界和和其他实实体评价价和加强强他们的的内部控控制制度度。从那那时起该该框架被被结合并并入成千千上万企企业的政政策、规规则和规规定，并并被企业业用于更更好地控控制他们们的活动动，朝着着实现既既定目标标的方向向前进。 近年来来，关注注的重点点和焦点点是风险险管理，人们越越来越清清楚地认认识到健健全的框框架对于于有效地地识别、评价和和管理风风险是很很有必要要。在220011年，CCOSOO提议了了一个项项目，并并聘用普普华永道道会计事事务所开开发能方方便管理理部门用用于评价价

2、和改进进本组织织企业风风险管理理的框架架。 框架开开发的整整个期间间出现了了一系列列具有高高度标志志性的企企业丑闻闻和失败败案例，使投资资者、公公司人员员和其他他利益相相关者蒙蒙受了巨巨大损失失。灾难难的后果果是要求求用新的的法律法法规和上上市标准准来加强强公司治治理和风风险管理理。人们们越来越越多地认认识到提提供关键键的原则则和概念念，共同同语言和和明确方方向与指指南的企企业风险险管理框框架的必必要性。COSSO认为为，企业业风险管管理-一一体化框框架填补补了这种种需要，并希望望该框架架能被公公司、其其他组织织和所有有的利益益相关者者及团体体广泛接接受。 在美国国的发展展结果是是出台了了20

3、002年年的萨班班斯-奥奥克斯利利法案，其他他国家也也颁布了了或正在在考虑类类似的立立法。这这类法律律扩展了了对公营营公司维维护内部部控制制制度的长长期有效效要求，要求管管理层予予以证实实和独立立审计师师测试这这些制度度有效性性。持续续要求测测试时间间的内内部控制制-整合合框架适用于于满足报报告要求求的更广广泛的公公认标准准。 企业业风险管管理-整整合框架架扩展展了内部部控制，提供了了一种更更健全的的和广泛泛的焦点点在企业业风险管管理更宽宽广的题题目。它它的目的的不是取取代内部部控制框框架，而而是将内内部控制制框架合合并在一一起，公公司可以以决定审审查企业业风险管管理框架架，以满满足内部部控制

4、的的需要和和朝着更更完备风风险管理理过程发发展。 管理层层所面临临的最严严峻挑战战是决定定本实体体准备接接受多大大的风险险，因为为风险也也可以经经过奋斗斗而创造造价值。本报告告将更好好地鼓励励企业迎迎接这种种挑战。执行总结结 企业风风险管理理的根本本前提是是每一实实体存在在的目的的是为其其利益相相关者提提供价值值。所有有的实体体都面临临不确定定性，对对管理层层的挑战战是确定定能接受受多大的的不确定定性，因因为不确确定性也也可以促促进增加加利益相相关者的的价值。不确定定性同时时体现为为风险机机会，具具有流失失或增加加价值的的潜力。企业风风险管理理鼓励管管理层有有效地处处理不确确定性和和相关的的风

5、险和和机会，增强创创造价值值的能力力。 当管理理层制定定的战略略目标能能力求达达到增长长和利润润目标与与相关风风险之间间的最佳佳平衡，并在追追求本实实体目标标的过程程中有效效地调度度资源时时，价值值能达到到最大化化。企业业风险管管理包括括： 连连成一线线的风险险偏好与与战略-管理层层考虑本本实体的的风险偏偏好，在在评估战战略可选选择方案案时，制制定相关关目标，开发管管理相关关风险的的机制。 增增强风险险反馈决决策-企企业风险险管理提提供了森森严的识识别和挑挑选可选选择的风风险反馈馈-即风风险回避避、降低低、分摊摊和接受受的制度度。 减减少经营营意外事事故和损损失-各各实体应应获得增增强的能能力

6、来识识别潜在在事件和和建立反反馈，减减少意外外事故和和相关成成本或损损失。 识识别和管管理多样样化的和和交叉的的企业风风险-每每一企业业都将面面临影响响本组织织不同方方面的无无数风险险因素，企业风风险管理理能促进进对相互互关联的的影响做做出有效效反应，对多样样化的风风险做出出综合的的反应。 抓抓住机会会-通过过全面考考虑潜在在的事件件，管理理层被定定位于识识别和正正面积极极地抓住住机会。 改改进资本本配置-获得健健全的风风险信息息，允许许管理层层有效地地评估总总体资本本需要，增强资资本分配配。 这些企企业风险险管理中中内在的的能力有有助于管管理层实实现本实实体的绩绩效和盈盈利能力力目标，防止资

7、资源损失失。企业业风险管管理有助助于保证证有效的的报告和和遵守法法律法规规，避免免本实体体的声誉誉受到损损害和相相关的后后果。总总之，企企业风险险管理有有助于一一个实体体达到它它想要实实现的目目标，避避免前进进过程中中的陷阱阱和意外外事故。事件-风风险与机机会 事件可可以有负负面影响响、正面面影响，或二者者兼而有有之。负负面影响响的事件件表现为为能阻碍碍价值创创造或侵侵蚀现存存价值的的风险。正面影影响的事事件可以以抵消负负面影响响或体现现为机会会。机会会是一个个事件将将发生并并积极影影响目标标实现、支持价价值创造造或保护护价值的的可能性性。管理理层将机机会引导导向其战战略或目目标制定定过程，制

8、定抓抓住机会会的计划划。规定了企企业风险险管理 企业风风险管理理处理影影响价值值创造或或保值的的风险和和机会。其定义义如下：“企业风风险管理理是一个个过程，受到一一个实体体的董事事会、管管理层和和其他人人员的影影响，适适用于战战略制定定和在整整个企业业设计识识别可能能影响本本实体的的潜在事事件，在在风险偏偏好范围围内管理理风险，提供与与实现实实体目标标有关的的合理保保证。” 该定义义反映出出一些基基本的概概念。企企业风险险管理是是： 一一个过程程，持续续并贯穿穿一个实实体； 受受到一个个组织每每一层级级人员的的影响； 适适用于战战略制定定； 适适用于整整个企业业每一层层次和单单位，包包括所采采

9、纳的实实体总体体层次风风险业务务责任观观点； 设设计识别别可能影影响本实实体的潜潜在事件件，如果果它们发发生的话话，在风风险偏好好范围内内管理风风险， 能能够为一一个实体体的管理理层和董董事会提提供合理理保证； 在在一个或或更多独独立的但但重叠的的分类中中加速目目标的实实现。 该定义义的目标标广阔。它抓住住公司和和其他组组织如何何管理风风险的关关键基本本概念，为整个个组织、行业和和部门提提供适用用的依据据。它把把焦点直直接放在在实现由由某一方方面特定定实体制制定的目目标，为为定义企企业风险险管理的的效果提提供依据据。目标标的实现现 在实体体既定使使命和远远景规划划的条件件下，管管理层确确定战略

10、略目标，选择战战略和制制定将整整个企业业连接成成一线的的目标。这种加加速实现现实体目目标的企企业风险险管理框框架，可可陈述为为四类： 战战略-高高层目标标，连接接和支持持其使命命； 经经营-有有效率和和效果地地使用其其资源； 报报告-报报告的可可靠性； 合合规-遵遵守适用用的法律律法规。 这种实实体目标标的分类类准许把把重点放放在企业业风险管管理的各各别方面面。这些些性质截截然不同同但重叠叠的分类类-某一一特别的的目标可可以分成成几个分分类，强强调不同同的实体体需要并并可能对对不同的的执行部部门负直直接责任任。这种种分类同同样准许许从每一一目标分分类之间间区别可可以预期期的结果果。同样样也描述

11、述了一些些实体使使用的保保护资源源的另一一分类。 因为与与报告可可靠性和和遵守法法律法规规相关的的目标在在实体的的控制范范围内，企业风风险管理理可以预预期为实实现这些些目标提提供合理理的保证证。然而而战略目目标和经经营目标标的实现现易遭受受实体控控制范围围之外的的外部事事件的影影响，因因此，企企业风险险管理可可以提供供合理的的保证，使管理理层认识识这些目目标和董董事会意意识到其其监督作作用，及及时地促促进整个个实体朝朝着实现现目标前前进。企业风险险管理的的组成部部分 企业风风险管理理包括八八个相关关组成部部分。这这些组成成部分来来自管理理层经营营企业的的方式，并与管管理过程程相结合合。这些些组

12、成部部分是： 内内部环境境-内部部环境包包括一个个组织的的基调，制定作作为整个个实体的的人们如如何审视视和重视视风险的的依据，包括风风险管理理哲学和和风险偏偏好、正正直性和和道德价价值以及及他们经经营的环环境。 目目标设定定-在管管理部门门能够识识别影响响其业绩绩的潜在在事件之之前，必必须存在在有目标标。企业业风险管管理保证证管理部部门制定定目标的的过程到到位，选选定的目目标支持持和本实实体的使使命联成成一体，并与风风险偏好好相一致致。 事事件识别别-必须须识别影影响一个个实体实实现目标标的内部部和外部部事件，区别风风险和机机会。机机会开辟辟了反馈馈管理部部门战略略或目标标制定过过程的渠渠道。

13、 风风险评估估-要分分析风险险，考虑虑可能性性和影响响，作为为决定如如何管理理风险的的依据。在固有有的和有有后效的的基础上上评估风风险。 风风险反馈馈-管理理部门选选择风险险反馈-即避免免、接受受、降低低或分摊摊风险，开发一一系列行行动，使使风险与与实体的的风险承承受能力力和风险险偏好联联成一体体。 控控制活动动-政策策和程序序的制定定有助于于保证有有效地执执行风险险反馈。 信信息与沟沟通-以以一种能能够促进进人们履履行其职职责的形形式和时时间框架架来识别别、捕捉捉和沟通通相关风风险。有有效的沟沟通同样样发生在在更广泛泛的意义义上，即即在实体体内从上上到下、相互交交叉和自自下而上上的沟通通。

14、监监控-对对企业风风险管理理的整体体进行监监控并根根据需要要进行修修改。通通过持续续的管理理活动，分别评评估，或或二者同同时进行行来实现现监控。企业风险险管理不不是一个个严格的的系列过过程，一一个部分分只影响响下一个个部分。它又是是一种多多方向的的重复的的过程，在这一一过程中中几乎所所有的任任何部分分都可能能会影响响另一个个部分。目标与组组成部分分的关系系在一个实实体奋力力实现的的目标和和体现实实现目标标所必须须的企业业风险管管理组成成部分之之间存在在一种直直接的关关系。这这种关系系被描述述为立体体结构中中的三维维矩阵模模型。四种目标标分类-战略、经营、报告和和合法-由纵向向栏目所所代表，八个

15、组组成部分分横向排排列，一一个实体体的单位位由第三三个层面面所代表表。这种种描绘勾勾画出整整个企业业风险管管理重点点的能力力，或通通过目标标分类、组成部部分、实实体单位位或任何何子集合合说明整整个企业业风险管管理。效果确定一个个实体的的企业风风险管理理是否“有效”是对八八个组成成部分的的表现以以及是否否有效运运行进行行评估的的一种判判断。这这些组成成部分同同样可作作为有效效的企业业风险管管理的标标准。因因为这几几个组成成部分的的存在及及适当运运行不可可能产生生重大的的缺陷，风险需需要也已已控制在在一个实实体的风风险偏好好之内。当确定企企业风险险管理在在四类目目标的每每一类中中都是有有效的，相应

16、地地也就为为董事会会和管理理层提供供合理的的保证，使他们们了解整整个实体体战略和和经营目目标正在在实现的的程度和和整个实实体的报报告是可可靠的并并遵守适适用的法法律法规规。八个组成成部分在在每一个个实体的的运行并并不是完完全相同同的。例例如，在在中小型型实体中中的应用用可能不不那么正正式，结结构不那那么完整整。不过过，小的的实体仍仍然可以以有有效效的企业业风险管管理，只只要每一一个组成成部分都都存在并并适当运运行。局限性在企业风风险管理理提供重重要好处处的同时时，也存存在着局局限性。在上述述讨论的的因素之之外，局局限性来来自在决决策制定定过程中中人的判判断可能能出现错错误，反反馈风险险的决策策

17、，制定定控制需需要考虑虑相关成成本和效效益，因因为人类类的失误误，例如如简单的的错误或或过失可可能会造造成计划划的失败败，控制制可以防防止两个个人或更更多人勾勾结串通通事件的的发生，但管理理部门有有能力否否决企业业风险管管理决策策。这些些局限性性会妨碍碍董事会会和管理理层对本本实体目目标实现现所具有有绝对的的保证。围绕内部部控制内部控制制是企业业风险管管理的一一个组成成部分。本企业业风险管管理框架架围绕内内部控制制，为管管理部门门形成一一个更健健全的概概念论和和工具。在内内部控制制-整合合框架中对内内部控制制进行了了定义和和描述。因为此此框架已已经经受受了时间间的考验验，并成成为现行行法律法法

18、规和规规则的依依据，文文件保留留了内部部控制的的定义和和框架。在本框框架中只只有内内部控制制-整合合框架原文部部分是复复制的，该框架架的整体体作为关关联部分分已结合合到本框框架中。作用与职职责在实体中中的每一一个人对对企业风风险管理理都负有有一定的的责任，首席执执行官是是最终的的负责人人，应该该承担所所有责任任。其他他管理人人员支持持本实体体的风险险管理哲哲学，促促进遵守守风险偏偏好，在在职责和和风险承承受能力力相一致致的范围围内管理理风险。风险职职员、财财务人员员、内部部审计师师和其他他人员通通常有重重要的支支持职责责。其他他的实体体人员负负责按照照既定的的指令和和会议记记录执行行风险管管理

19、。董董事会对对企业风风险管理理提供重重要的监监督，知知道并赞赞成本实实体的风风险偏好好。一些些外部参参与者，例如客客户、卖卖主、企企业合伙伙人、外外部审计计师、监监管人员员和财务务分析家家常常提提供对实实现企业业风险管管理有用用的信息息，但他他们并不不对其效效果负责责任，他他们也不不是本实实体企业业风险管管理的一一部分。本报告的的组织本报告分分为两卷卷。第一一卷包括括本框架架和执执行总结结。该该框架规规定了企企业风险险管理，描述了了原则和和概念，为企业业和其他他组织内内部各级级管理部部门评估估和增强强企业风风险管理理的效果果提供了了方向。执行总总结是指指导首席席执行官官和其他他高级执执行人员员

20、、董事事会成员员和监管管人员的的一种高高层次的的检查。第二卷卷，应应用技术术提供供了说明明在采用用本框架架要素中中有用的的技术。本报告的的使用作为本报报告结果果可能采采取的建建议行动动取决于于涉及的的各当事事方的地地位和作作用： 董董事会-董事会会应与高高级管理理层讨论论本实体体企业风风险管理理框架的的状况，提供必必要的监监督。董董事会应应该保证证知道绝绝大多数数重大风风险和管管理层正正在采取取的行动动，以及及如何保保证有效效的企业业风险管管理。董董事会应应该考虑虑从内部部审计师师、外部部审计师师和其他他人那里里寻找输输入信号号。 高高级管理理层-此此次的研研究建议议首席执执行官评评价本组组织

21、的企企业风险险管理能能力。在在另一种种方法中中，首席席执行官官将经营营单位的的负责人人和主要要职能负负责人聚聚集在一一起讨论论企业风风险管理理能力和和效果的的初步评评价。不不管采取取什么形形式，初初步评价价应该确确定在哪哪里需要要和如何何进行范范围更广广和更深深入的评评估。 其其他实体体人士-管理人人员和其其他人士士应该考考虑他们们是如何何根据本本框架执执行他们们的职责责，与更更高级的的人员讨讨论加强强企业风风险管理理的想法法。内部部审计师师应该考考虑企业业风险管管理重点点方面的的广度。 监监管人员员-本框框架可以以促进分分享企业业风险管管理，包包括能做做的事及及其局限限性的看看法。监监管人员

22、员对他们们监督的的实体不不管是根根据规则则或指南南，还是是进行检检查，在在确定预预期值方方面可以以参考本本框架。 专专业人士士的组织织-规则则制定和和提供财财务管理理、审计计和相关关专题指指南的其其他专业业人士组组织应该该考虑根根据本框框架制定定他们的的准则和和指南。消除在在概念和和专业术术语方面面的多样样化程度度，使所所有参与与者都受受益。 教教育者-本框架架可以作作为学术术研究和和分析的的题目，以观察察未来可可以 采取取哪些强强化措施施。根据据这一假假定，本本报告可可成为公公认的理理解的共共同基础础，其概概念和术术语应能能发现其其进入大大学课程程的渠道道。作为共同同理解的的基础，所有的的参

23、与者者将能够够用共同同的语言言说话和和进行更更有效的的沟通。企业的的执行人人员将定定位在对对照准则则评价其其公司的的企业风风险管理理的过程程，并强强化这一一过程，使本企企业朝着着既定的的目标前前进。进进一步的的研究可可以发挥挥超出既既定基础础的杠杆杆作用。立法人人员和监监管人员员将能够够增强对对企业风风险管理理的理解解，包括括其好处处和局限限性。随随着所有有的参与与者都使使用共同同的企业业风险管管理框架架，这些些好处将将得到实实现。内部环境境包括一一个组织织的基调调，制定定作为整整个实体体的人们们如何审审视和重重视风险险的依据据，包括括风险管管理哲学学和风险险偏好、正直性性和道德德价值以以及他

24、们们经营的的环境。 目目标设定定-在管管理部门门能够识识别影响响其业绩绩的潜在在事件之之前，必必须存在在有目标标。企业业风险管管理保证证管理部部门制定定目标的的过程到到位，选选定的目目标支持持和本实实体的使使命联成成一体，并与风风险偏好好相一致致。 事事件识别别-必须须识别影影响一个个实体实实现目标标的内部部和外部部事件，区别风风险和机机会。机机会开辟辟了反馈馈管理部部门战略略或目标标制定过过程的渠渠道。 风风险评估估-要分分析风险险，考虑虑可能性性和影响响，作为为决定如如何管理理风险的的依据。在固有有的和有有后效的的基础上上评估风风险。 风风险反馈馈-管理理部门选选择风险险反馈-即避免免、接

25、受受、降低低或分摊摊风险，开发一一系列行行动，使使风险与与实体的的风险承承受能力力和风险险偏好联联成一体体。 控控制活动动-政策策和程序序的制定定有助于于保证有有效地执执行风险险反馈。 信信息与沟沟通-以以一种能能够促进进人们履履行其职职责的形形式和时时间框架架来识别别、捕捉捉和沟通通相关风风险。有有效的沟沟通同样样发生在在更广泛泛的意义义上，即即在实体体内从上上到下、相互交交叉和自自下而上上的沟通通。 监监控-对对企业风风险管理理的整体体进行监监控并根根据需要要进行修修改。通通过持续续的管理理活动，分别评评估，或或二者同同时进行行来实现现监控。企业风险险管理不不是一个个严格的的系列过过程，一

26、一个部分分只影响响下一个个部分。它又是是一种多多方向的的重复的的过程，在这一一过程中中几乎所所有的任任何部分分都可能能会影响响另一个个部分。目标与组组成部分分的关系系在一个实实体奋力力实现的的目标和和体现实实现目标标所必须须的企业业风险管管理组成成部分之之间存在在一种直直接的关关系。这这种关系系被描述述为立体体结构中中的三维维矩阵模模型。四种目标标分类-战略、经营、报告和和合法-由纵向向栏目所所代表，八个组组成部分分横向排排列，一一个实体体的单位位由第三三个层面面所代表表。这种种描绘勾勾画出整整个企业业风险管管理重点点的能力力，或通通过目标标分类、组成部部分、实实体单位位或任何何子集合合说明整

27、整个企业业风险管管理。效果确定一个个实体的的企业风风险管理理是否“有效”是对八八个组成成部分的的表现以以及是否否有效运运行进行行评估的的一种判判断。这这些组成成部分同同样可作作为有效效的企业业风险管管理的标标准。因因为这几几个组成成部分的的存在及及适当运运行不可可能产生生重大的的缺陷，风险需需要也已已控制在在一个实实体的风风险偏好好之内。当确定企企业风险险管理在在四类目目标的每每一类中中都是有有效的，相应地地也就为为董事会会和管理理层提供供合理的的保证，使他们们了解整整个实体体战略和和经营目目标正在在实现的的程度和和整个实实体的报报告是可可靠的并并遵守适适用的法法律法规规。八个组成成部分在在每

28、一个个实体的的运行并并不是完完全相同同的。例例如，在在中小型型实体中中的应用用可能不不那么正正式，结结构不那那么完整整。不过过，小的的实体仍仍然可以以有有效效的企业业风险管管理，只只要每一一个组成成部分都都存在并并适当运运行。局限性在企业风风险管理理提供重重要好处处的同时时，也存存在着局局限性。在上述述讨论的的因素之之外，局局限性来来自在决决策制定定过程中中人的判判断可能能出现错错误，反反馈风险险的决策策，制定定控制需需要考虑虑相关成成本和效效益，因因为人类类的失误误，例如如简单的的错误或或过失可可能会造造成计划划的失败败，控制制可以防防止两个个人或更更多人勾勾结串通通事件的的发生，但管理理部

29、门有有能力否否决企业业风险管管理决策策。这些些局限性性会妨碍碍董事会会和管理理层对本本实体目目标实现现所具有有绝对的的保证。围绕内部部控制内部控制制是企业业风险管管理的一一个组成成部分。本企业业风险管管理框架架围绕内内部控制制，为管管理部门门形成一一个更健健全的概概念论和和工具。在内内部控制制-整合合框架中对内内部控制制进行了了定义和和描述。因为此此框架已已经经受受了时间间的考验验，并成成为现行行法律法法规和规规则的依依据，文文件保留留了内部部控制的的定义和和框架。在本框框架中只只有内内部控制制-整合合框架原文部部分是复复制的，该框架架的整体体作为关关联部分分已结合合到本框框架中。作用与职职责

30、在实体中中的每一一个人对对企业风风险管理理都负有有一定的的责任，首席执执行官是是最终的的负责人人，应该该承担所所有责任任。其他他管理人人员支持持本实体体的风险险管理哲哲学，促促进遵守守风险偏偏好，在在职责和和风险承承受能力力相一致致的范围围内管理理风险。风险职职员、财财务人员员、内部部审计师师和其他他人员通通常有重重要的支支持职责责。其他他的实体体人员负负责按照照既定的的指令和和会议记记录执行行风险管管理。董董事会对对企业风风险管理理提供重重要的监监督，知知道并赞赞成本实实体的风风险偏好好。一些些外部参参与者，例如客客户、卖卖主、企企业合伙伙人、外外部审计计师、监监管人员员和财务务分析家家常常提提供对实实现企业业风险管管理有用用的信息息，但他他们并不不对其效效果负责责任，他他们也不不是本实实体企业业风险管管理的一一部分。本报告的的组织本报告分分为两卷卷。第一一卷包括括本框架架和执执行总结结。该该框架规规定了企企业风险险管理，描述了了原则和和概念，为企业业和其他他组织内内部各级级管理部部门评估估和增强强企业风风险管理理的效果果提供了了方向。执行总总结是指指导首席席执行官官和其他他高级执执行人员员、董事事会成员员和监管管人员的的一种高高层次的的检查。第二卷卷，应应用技术术提供供了说明明在采用用本框架架要素中中有用的的技术。本报告的的使用作为本报报告结果果可能采采取的