COSO企业内控风险管理模式

1、COSO企业内控风险管理模式 张玉 翻译译 前言 110年前前，COOSO发发布了内内部控制制-整合合框架来来帮助企企业界和和其他实实体评价价和加强强他们的的内部控控制制度度。从那那时起该该框架被被结合并并入成千千上万企企业的政政策、规规则和规规定，并并被企业业用于更更好地控控制他们们的活动动，朝着着实现既既定目标标的方向向前进。 近近年来，关关注的重重点和焦焦点是风风险管理理，人们们越来越越清楚地地认识到到健全的的框架对对于有效效地识别别、评价价和管理理风险是是很有必必要。在在20001年，CCOSOO提议了了一个项项目，并并聘用普普华永道道会计事事务所开开发能方方便管理理部门用用于评价价和

2、改进进本组织织企业风风险管理理的框架架。 框框架开发发的整个个期间出出现了一一系列具具有高度度标志性性的企业业丑闻和和失败案案例，使使投资者者、公司司人员和和其他利利益相关关者蒙受受了巨大大损失。灾灾难的后后果是要要求用新新的法律律法规和和上市标标准来加加强公司司治理和和风险管管理。人人们越来来越多地地认识到到提供关关键的原原则和概概念，共共同语言言和明确确方向与与指南的的企业风风险管理理框架的的必要性性。COOSO认认为，企企业风险险管理-一体化化框架填填补了这这种需要要，并希希望该框框架能被被公司、其其他组织织和所有有的利益益相关者者及团体体广泛接接受。 在在美国的的发展结结果是出出台了2

3、20022年的萨萨班斯-奥克斯斯利法案案，其其他国家家也颁布布了或正正在考虑虑类似的的立法。这这类法律律扩展了了对公营营公司维维护内部部控制制制度的长长期有效效要求，要要求管理理层予以以证实和和独立审审计师测测试这些些制度有有效性。持持续要求求测试时时间的内内部控制制-整合合框架适适用于满满足报告告要求的的更广泛泛的公认认标准。 企企业风险险管理-整合框框架扩扩展了内内部控制制，提供供了一种种更健全全的和广广泛的焦焦点在企企业风险险管理更更宽广的的题目。它它的目的的不是取取代内部部控制框框架，而而是将内内部控制制框架合合并在一一起，公公司可以以决定审审查企业业风险管管理框架架，以满满足内部部控

4、制的的需要和和朝着更更完备风风险管理理过程发发展。 管管理层所所面临的的最严峻峻挑战是是决定本本实体准准备接受受多大的的风险，因因为风险险也可以以经过奋奋斗而创创造价值值。本报报告将更更好地鼓鼓励企业业迎接这这种挑战战。 执行总结 企企业风险险管理的的根本前前提是每每一实体体存在的的目的是是为其利利益相关关者提供供价值。所所有的实实体都面面临不确确定性，对对管理层层的挑战战是确定定能接受受多大的的不确定定性，因因为不确确定性也也可以促促进增加加利益相相关者的的价值。不不确定性性同时体体现为风风险机会会，具有有流失或或增加价价值的潜潜力。企企业风险险管理鼓鼓励管理理层有效效地处理理不确定定性和相

5、相关的风风险和机机会，增增强创造造价值的的能力。 当当管理层层制定的的战略目目标能力力求达到到增长和和利润目目标与相相关风险险之间的的最佳平平衡，并并在追求求本实体体目标的的过程中中有效地地调度资资源时，价价值能达达到最大大化。企企业风险险管理包包括： 连连成一线线的风险险偏好与与战略-管理层层考虑本本实体的的风险偏偏好，在在评估战战略可选选择方案案时，制制定相关关目标，开开发管理理相关风风险的机机制。 增增强风险险反馈决决策-企企业风险险管理提提供了森森严的识识别和挑挑选可选选择的风风险反馈馈-即风风险回避避、降低低、分摊摊和接受受的制度度。 减减少经营营意外事事故和损损失-各各实体应应获得

6、增增强的能能力来识识别潜在在事件和和建立反反馈，减减少意外外事故和和相关成成本或损损失。 识识别和管管理多样样化的和和交叉的的企业风风险-每每一企业业都将面面临影响响本组织织不同方方面的无无数风险险因素，企企业风险险管理能能促进对对相互关关联的影影响做出出有效反反应，对对多样化化的风险险做出综综合的反反应。 抓抓住机会会-通过过全面考考虑潜在在的事件件，管理理层被定定位于识识别和正正面积极极地抓住住机会。 改改进资本本配置-获得健健全的风风险信息息，允许许管理层层有效地地评估总总体资本本需要，增增强资本本分配。 这这些企业业风险管管理中内内在的能能力有助助于管理理层实现现本实体体的绩效效和盈利

7、利能力目目标，防防止资源源损失。企企业风险险管理有有助于保保证有效效的报告告和遵守守法律法法规，避避免本实实体的声声誉受到到损害和和相关的的后果。总总之，企企业风险险管理有有助于一一个实体体达到它它想要实实现的目目标，避避免前进进过程中中的陷阱阱和意外外事故。 事件-风险险与机会会 事事件可以以有负面面影响、正正面影响响，或二二者兼而而有之。负负面影响响的事件件表现为为能阻碍碍价值创创造或侵侵蚀现存存价值的的风险。正正面影响响的事件件可以抵抵消负面面影响或或体现为为机会。机机会是一一个事件件将发生生并积极极影响目目标实现现、支持持价值创创造或保保护价值值的可能能性。管管理层将将机会引引导向其其

8、战略或或目标制制定过程程，制定定抓住机机会的计计划。 规定了企业业风险管管理 企企业风险险管理处处理影响响价值创创造或保保值的风风险和机机会。其其定义如如下： “企业风风险管理理是一个个过程，受受到一个个实体的的董事会会、管理理层和其其他人员员的影响响，适用用于战略略制定和和在整个个企业设设计识别别可能影影响本实实体的潜潜在事件件，在风风险偏好好范围内内管理风风险，提提供与实实现实体体目标有有关的合合理保证证。” 该该定义反反映出一一些基本本的概念念。企业业风险管管理是： 一一个过程程，持续续并贯穿穿一个实实体； 受受到一个个组织每每一层级级人员的的影响； 适适用于战战略制定定； 适适用于整整

9、个企业业每一层层次和单单位，包包括所采采纳的实实体总体体层次风风险业务务责任观观点； 设设计识别别可能影影响本实实体的潜潜在事件件，如果果它们发发生的话话，在风风险偏好好范围内内管理风风险， 能能够为一一个实体体的管理理层和董董事会提提供合理理保证； 在在一个或或更多独独立的但但重叠的的分类中中加速目目标的实实现。 该该定义的的目标广广阔。它它抓住公公司和其其他组织织如何管管理风险险的关键键基本概概念，为为整个组组织、行行业和部部门提供供适用的的依据。它它把焦点点直接放放在实现现由某一一方面特特定实体体制定的的目标，为为定义企企业风险险管理的的效果提提供依据据。 目标的的实现 在在实体既既定使

10、命命和远景景规划的的条件下下，管理理层确定定战略目目标，选选择战略略和制定定将整个个企业连连接成一一线的目目标。这这种加速速实现实实体目标标的企业业风险管管理框架架，可陈陈述为四四类： 战战略-高高层目标标，连接接和支持持其使命命； 经经营-有有效率和和效果地地使用其其资源； 报报告-报报告的可可靠性； 合合规-遵遵守适用用的法律律法规。 这这种实体体目标的的分类准准许把重重点放在在企业风风险管理理的各别别方面。这这些性质质截然不不同但重重叠的分分类-某某一特别别的目标标可以分分成几个个分类，强强调不同同的实体体需要并并可能对对不同的的执行部部门负直直接责任任。这种种分类同同样准许许从每一一目

11、标分分类之间间区别可可以预期期的结果果。同样样也描述述了一些些实体使使用的保保护资源源的另一一分类。 因因为与报报告可靠靠性和遵遵守法律律法规相相关的目目标在实实体的控控制范围围内，企企业风险险管理可可以预期期为实现现这些目目标提供供合理的的保证。然然而战略略目标和和经营目目标的实实现易遭遭受实体体控制范范围之外外的外部部事件的的影响，因因此，企企业风险险管理可可以提供供合理的的保证，使使管理层层认识这这些目标标和董事事会意识识到其监监督作用用，及时时地促进进整个实实体朝着着实现目目标前进进。 企业风险管管理的组组成部分分 企企业风险险管理包包括八个个相关组组成部分分。这些些组成部部分来自自管

12、理层层经营企企业的方方式，并并与管理理过程相相结合。这这些组成成部分是是： 内内部环境境-内部部环境包包括一个个组织的的基调，制制定作为为整个实实体的人人们如何何审视和和重视风风险的依依据，包包括风险险管理哲哲学和风风险偏好好、正直直性和道道德价值值以及他他们经营营的环境境。 目目标设定定-在管管理部门门能够识识别影响响其业绩绩的潜在在事件之之前，必必须存在在有目标标。企业业风险管管理保证证管理部部门制定定目标的的过程到到位，选选定的目目标支持持和本实实体的使使命联成成一体，并并与风险险偏好相相一致。 事事件识别别-必须须识别影影响一个个实体实实现目标标的内部部和外部部事件，区区别风险险和机会

13、会。机会会开辟了了反馈管管理部门门战略或或目标制制定过程程的渠道道。 风风险评估估-要分分析风险险，考虑虑可能性性和影响响，作为为决定如如何管理理风险的的依据。在在固有的的和有后后效的基基础上评评估风险险。 风险险反馈-管理部部门选择择风险反反馈-即即避免、接接受、降降低或分分摊风险险，开发发一系列列行动，使使风险与与实体的的风险承承受能力力和风险险偏好联联成一体体。 控制制活动-政策和和程序的的制定有有助于保保证有效效地执行行风险反反馈。 信息息与沟通通-以一一种能够够促进人人们履行行其职责责的形式式和时间间框架来来识别、捕捕捉和沟沟通相关关风险。有有效的沟沟通同样样发生在在更广泛泛的意义义

14、上，即即在实体体内从上上到下、相相互交叉叉和自下下而上的的沟通。 监控控-对企企业风险险管理的的整体进进行监控控并根据据需要进进行修改改。通过过持续的的管理活活动，分分别评估估，或二二者同时时进行来来实现监监控。企业风险管管理不是是一个严严格的系系列过程程，一个个部分只只影响下下一个部部分。它它又是一一种多方方向的重重复的过过程，在在这一过过程中几几乎所有有的任何何部分都都可能会会影响另另一个部部分。 目标与组成成部分的的关系 在一个实体体奋力实实现的目目标和体体现实现现目标所所必须的的企业风风险管理理组成部部分之间间存在一一种直接接的关系系。这种种关系被被描述为为立体结结构中的的三维矩矩阵模

15、型型。 四种目标分分类-战战略、经经营、报报告和合合法-由由纵向栏栏目所代代表，八八个组成成部分横横向排列列，一个个实体的的单位由由第三个个层面所所代表。这这种描绘绘勾画出出整个企企业风险险管理重重点的能能力，或或通过目目标分类类、组成成部分、实实体单位位或任何何子集合合说明整整个企业业风险管管理。 效果 确定一个实实体的企企业风险险管理是是否“有效”是对八八个组成成部分的的表现以以及是否否有效运运行进行行评估的的一种判判断。这这些组成成部分同同样可作作为有效效的企业业风险管管理的标标准。因因为这几几个组成成部分的的存在及及适当运运行不可可能产生生重大的的缺陷，风风险需要要也已控控制在一一个实

16、体体的风险险偏好之之内。 当确定企业业风险管管理在四四类目标标的每一一类中都都是有效效的，相相应地也也就为董董事会和和管理层层提供合合理的保保证，使使他们了了解整个个实体战战略和经经营目标标正在实实现的程程度和整整个实体体的报告告是可靠靠的并遵遵守适用用的法律律法规。 八个组成部部分在每每一个实实体的运运行并不不是完全全相同的的。例如如，在中中小型实实体中的的应用可可能不那那么正式式，结构构不那么么完整。不不过，小小的实体体仍然可可以有有有效的企企业风险险管理，只只要每一一个组成成部分都都存在并并适当运运行。 局限性 在企业风险险管理提提供重要要好处的的同时，也也存在着着局限性性。在上上述讨论

17、论的因素素之外，局局限性来来自在决决策制定定过程中中人的判判断可能能出现错错误，反反馈风险险的决策策，制定定控制需需要考虑虑相关成成本和效效益，因因为人类类的失误误，例如如简单的的错误或或过失可可能会造造成计划划的失败败，控制制可以防防止两个个人或更更多人勾勾结串通通事件的的发生，但但管理部部门有能能力否决决企业风风险管理理决策。这这些局限限性会妨妨碍董事事会和管管理层对对本实体体目标实实现所具具有绝对对的保证证。 围绕内部控控制 内部控制是是企业风风险管理理的一个个组成部部分。本本企业风风险管理理框架围围绕内部部控制，为为管理部部门形成成一个更更健全的的概念论论和工具具。在内内部控制制-整合

18、合框架中中对内部部控制进进行了定定义和描描述。因因为此框框架已经经经受了了时间的的考验，并并成为现现行法律律法规和和规则的的依据，文文件保留留了内部部控制的的定义和和框架。在在本框架架中只有有内部部控制-整合框框架原原文部分分是复制制的，该该框架的的整体作作为关联联部分已已结合到到本框架架中。 作用与职责责 在实体中的的每一个个人对企企业风险险管理都都负有一一定的责责任，首首席执行行官是最最终的负负责人，应应该承担担所有责责任。其其他管理理人员支支持本实实体的风风险管理理哲学，促促进遵守守风险偏偏好，在在职责和和风险承承受能力力相一致致的范围围内管理理风险。风风险职员员、财务务人员、内内部审计

19、计师和其其他人员员通常有有重要的的支持职职责。其其他的实实体人员员负责按按照既定定的指令令和会议议记录执执行风险险管理。董董事会对对企业风风险管理理提供重重要的监监督，知知道并赞赞成本实实体的风风险偏好好。一些些外部参参与者，例例如客户户、卖主主、企业业合伙人人、外部部审计师师、监管管人员和和财务分分析家常常常提供供对实现现企业风风险管理理有用的的信息，但但他们并并不对其其效果负负责任，他他们也不不是本实实体企业业风险管管理的一一部分。 本报告的组组织 本报告分为为两卷。第第一卷包包括本框框架和执执行总结结。该该框架规规定了企企业风险险管理，描描述了原原则和概概念，为为企业和和其他组组织内部部

20、各级管管理部门门评估和和增强企企业风险险管理的的效果提提供了方方向。执执行总结结是指导导首席执执行官和和其他高高级执行行人员、董董事会成成员和监监管人员员的一种种高层次次的检查查。第二二卷，应应用技术术提供供了说明明在采用用本框架架要素中中有用的的技术。 本报告的使使用 作为本报告告结果可可能采取取的建议议行动取取决于涉涉及的各各当事方方的地位位和作用用： 董事事会-董董事会应应与高级级管理层层讨论本本实体企企业风险险管理框框架的状状况，提提供必要要的监督督。董事事会应该该保证知知道绝大大多数重重大风险险和管理理层正在在采取的的行动，以以及如何何保证有有效的企企业风险险管理。董董事会应应该考虑

21、虑从内部部审计师师、外部部审计师师和其他他人那里里寻找输输入信号号。 高级级管理层层-此次次的研究究建议首首席执行行官评价价本组织织的企业业风险管管理能力力。在另另一种方方法中，首首席执行行官将经经营单位位的负责责人和主主要职能能负责人人聚集在在一起讨讨论企业业风险管管理能力力和效果果的初步步评价。不不管采取取什么形形式，初初步评价价应该确确定在哪哪里需要要和如何何进行范范围更广广和更深深入的评评估。 其他他实体人人士-管管理人员员和其他他人士应应该考虑虑他们是是如何根根据本框框架执行行他们的的职责，与与更高级级的人员员讨论加加强企业业风险管管理的想想法。内内部审计计师应该该考虑企企业风险险管

22、理重重点方面面的广度度。 监管管人员-本框架架可以促促进分享享企业风风险管理理，包括括能做的的事及其其局限性性的看法法。监管管人员对对他们监监督的实实体不管管是根据据规则或或指南，还还是进行行检查，在在确定预预期值方方面可以以参考本本框架。 专业业人士的的组织-规则制制定和提提供财务务管理、审审计和相相关专题题指南的的其他专专业人士士组织应应该考虑虑根据本本框架制制定他们们的准则则和指南南。消除除在概念念和专业业术语方方面的多多样化程程度，使使所有参参与者都都受益。 教育育者-本本框架可可以作为为学术研研究和分分析的题题目，以以观察未未来可以以 采取哪哪些强化化措施。根根据这一一假定，本本报告

23、可可成为公公认的理理解的共共同基础础，其概概念和术术语应能能发现其其进入大大学课程程的渠道道。 作为共同理理解的基基础，所所有的参参与者将将能够用用共同的的语言说说话和进进行更有有效的沟沟通。企企业的执执行人员员将定位位在对照照准则评评价其公公司的企企业风险险管理的的过程，并并强化这这一过程程，使本本企业朝朝着既定定的目标标前进。进进一步的的研究可可以发挥挥超出既既定基础础的杠杆杆作用。立立法人员员和监管管人员将将能够增增强对企企业风险险管理的的理解，包包括其好好处和局局限性。随随着所有有的参与与者都使使用共同同的企业业风险管管理框架架，这些些好处将将得到实实现。 内部环境包包括一个个组织的的

24、基调，制制定作为为整个实实体的人人们如何何审视和和重视风风险的依依据，包包括风险险管理哲哲学和风风险偏好好、正直直性和道道德价值值以及他他们经营营的环境境。 目标标设定-在管理理部门能能够识别别影响其其业绩的的潜在事事件之前前，必须须存在有有目标。企企业风险险管理保保证管理理部门制制定目标标的过程程到位，选选定的目目标支持持和本实实体的使使命联成成一体，并并与风险险偏好相相一致。 事件件识别-必须识识别影响响一个实实体实现现目标的的内部和和外部事事件，区区别风险险和机会会。机会会开辟了了反馈管管理部门门战略或或目标制制定过程程的渠道道。 风险险评估-要分析析风险，考考虑可能能性和影影响，作作为

25、决定定如何管管理风险险的依据据。在固固有的和和有后效效的基础础上评估估风险。 风险险反馈-管理部部门选择择风险反反馈-即即避免、接接受、降降低或分分摊风险险，开发发一系列列行动，使使风险与与实体的的风险承承受能力力和风险险偏好联联成一体体。 控制制活动-政策和和程序的的制定有有助于保保证有效效地执行行风险反反馈。 信息息与沟通通-以一一种能够够促进人人们履行行其职责责的形式式和时间间框架来来识别、捕捕捉和沟沟通相关关风险。有有效的沟沟通同样样发生在在更广泛泛的意义义上，即即在实体体内从上上到下、相相互交叉叉和自下下而上的的沟通。 监控控-对企企业风险险管理的的整体进进行监控控并根据据需要进进行

26、修改改。通过过持续的的管理活活动，分分别评估估，或二二者同时时进行来来实现监监控。 企业风险管管理不是是一个严严格的系系列过程程，一个个部分只只影响下下一个部部分。它它又是一一种多方方向的重重复的过过程，在在这一过过程中几几乎所有有的任何何部分都都可能会会影响另另一个部部分。 目标与组成成部分的的关系 在一个实体体奋力实实现的目目标和体体现实现现目标所所必须的的企业风风险管理理组成部部分之间间存在一一种直接接的关系系。这种种关系被被描述为为立体结结构中的的三维矩矩阵模型型。 四种目标分分类-战战略、经经营、报报告和合合法-由由纵向栏栏目所代代表，八八个组成成部分横横向排列列，一个个实体的的单位

27、由由第三个个层面所所代表。这这种描绘绘勾画出出整个企企业风险险管理重重点的能能力，或或通过目目标分类类、组成成部分、实实体单位位或任何何子集合合说明整整个企业业风险管管理。 效果 确定一个实实体的企企业风险险管理是是否“有效”是对八八个组成成部分的的表现以以及是否否有效运运行进行行评估的的一种判判断。这这些组成成部分同同样可作作为有效效的企业业风险管管理的标标准。因因为这几几个组成成部分的的存在及及适当运运行不可可能产生生重大的的缺陷，风风险需要要也已控控制在一一个实体体的风险险偏好之之内。 当确定企业业风险管管理在四四类目标标的每一一类中都都是有效效的，相相应地也也就为董董事会和和管理层层提

28、供合合理的保保证，使使他们了了解整个个实体战战略和经经营目标标正在实实现的程程度和整整个实体体的报告告是可靠靠的并遵遵守适用用的法律律法规。 八个组成部部分在每每一个实实体的运运行并不不是完全全相同的的。例如如，在中中小型实实体中的的应用可可能不那那么正式式，结构构不那么么完整。不不过，小小的实体体仍然可可以有有有效的企企业风险险管理，只只要每一一个组成成部分都都存在并并适当运运行。 局限性 在企业风险险管理提提供重要要好处的的同时，也也存在着着局限性性。在上上述讨论论的因素素之外，局局限性来来自在决决策制定定过程中中人的判判断可能能出现错错误，反反馈风险险的决策策，制定定控制需需要考虑虑相关

29、成成本和效效益，因因为人类类的失误误，例如如简单的的错误或或过失可可能会造造成计划划的失败败，控制制可以防防止两个个人或更更多人勾勾结串通通事件的的发生，但但管理部部门有能能力否决决企业风风险管理理决策。这这些局限限性会妨妨碍董事事会和管管理层对对本实体体目标实实现所具具有绝对对的保证证。 围绕内部控控制 内部控制是是企业风风险管理理的一个个组成部部分。本本企业风风险管理理框架围围绕内部部控制，为为管理部部门形成成一个更更健全的的概念论论和工具具。在内内部控制制-整合合框架中中对内部部控制进进行了定定义和描描述。因因为此框框架已经经经受了了时间的的考验，并并成为现现行法律律法规和和规则的的依据

30、，文文件保留留了内部部控制的的定义和和框架。在在本框架架中只有有内部部控制-整合框框架原原文部分分是复制制的，该该框架的的整体作作为关联联部分已已结合到到本框架架中。 作用与职责责 在实体中的的每一个个人对企企业风险险管理都都负有一一定的责责任，首首席执行行官是最最终的负负责人，应应该承担担所有责责任。其其他管理理人员支支持本实实体的风风险管理理哲学，促促进遵守守风险偏偏好，在在职责和和风险承承受能力力相一致致的范围围内管理理风险。风风险职员员、财务务人员、内内部审计计师和其其他人员员通常有有重要的的支持职职责。其其他的实实体人员员负责按按照既定定的指令令和会议议记录执执行风险险管理。董董事会

31、对对企业风风险管理理提供重重要的监监督，知知道并赞赞成本实实体的风风险偏好好。一些些外部参参与者，例例如客户户、卖主主、企业业合伙人人、外部部审计师师、监管管人员和和财务分分析家常常常提供供对实现现企业风风险管理理有用的的信息，但但他们并并不对其其效果负负责任，他他们也不不是本实实体企业业风险管管理的一一部分。 本报告的组组织 本报告分为为两卷。第第一卷包包括本框框架和执执行总结结。该该框架规规定了企企业风险险管理，描描述了原原则和概概念，为为企业和和其他组组织内部部各级管管理部门门评估和和增强企企业风险险管理的的效果提提供了方方向。执执行总结结是指导导首席执执行官和和其他高高级执行行人员、董董事会成成员和监监管人员员的一种种高层次次的检查查。第二二卷，应应用技术术提供供了说明明在采用用本框架架要素中中有用的的技术。 本报告的使使用 作为本报告告结