内部控制与风险管理的关系

2009年3月

(总第99期)　　　　　　　　　　　　　　　　　　　大众商务Popular Business　　　　　　　　　　　　　　No.3,2009(Cumulatively,NO.99)

内部控制与风险管理的关系

郑玮玮

(中南财经政法大学,湖北武汉430060)

作者简介:郑玮玮(1986-),女,湖北秭归人,中南财经政法大学会计学专业硕士研究生。

【摘　要】企业风险管理与内部控制既有联系又有区别,本文对COSO报告下内部控制与风险管理的关系进行了分析,对在风险管理的框架下

如何加强和完善内部控制提出了几点建议。

【关键词】内部控制;风险管理;关系

中图分类号:C931　　　　　　　　　文献标识码:A　　　　　　　　　文章编号:1009-8283(2009)03-0065-01

1引言

内部控制理论的发展经过了内部牵制、内部控制制度、内部控制结

构与内部控制整体框架等几个不同的阶段。1992年,COSO委员会颁布

了《内部控制———整体框架》报告,认为内部控制是由企业的董事会、管

理层、和其他成员实施的,为营运的效率、效果财务报告的可靠性以及法

律规章的遵循性提供合理保证的过程。它是由控制环境、风险评估、控

制程序、信息与沟通和监督五大要素组成的。该框架得到了世界很多企

业认可,并为内部控制的权威规定所借鉴。

另一方面,理论界和实务界也对其提出了新建议,要求内部控制与

风险管理结合。2004年9月COSO委员会颁布了《企业风险管理———总

体框架》新报告。报告指出:企业风险管理是一个过程,该过程由企业董

事会、管理层和其他员工共同参与,应用于战略制定,贯穿于企业各层级

和部门,为识别影响企业的潜在事项和在风险偏好范围内管理风险而设

计,为企业目标的实现提供合理保证;提出了内部环境、目标制定、事项

识别、风险评估、风险反应、控制活动、信息与沟通、监控八个相互联系

要素。

2内部控制与风险管理关系研究回顾

第一种观点是风险管理包含内部控制。正如COSO委员会所指出,

企业风险管理框架并未取代内部控制,而是将内部控制框架整体纳入其

中。英国Turnbull委员会(2005)认为,公司的内部控制系统在风险管理

中扮演关键角色,内部控制应当被管理者看作是范围更广的风险管理的

必要组成部分。

第二种观点是内部控制包含风险管理。加拿大COCO报告认为,

“控制”是一个组织中支持该组织实现其目标诸要素的集合体,实质上就

是“内部控制”。CICA(1998)阐明了风险管理与控制的关系:“当您在抓

住机会和管理风险时,您也正在实施控制”。

第三种观点,即内部控制就是风险管理。Blackburn (1999)认为风

险管理与内部控制仅是人为的分离,而在现实的商业行为中,

它们是一

体化的。Matthew Leitch (2004)认为,理论上,风险管理系统与内部控

制系统没有差异,这两个概念正在变为同一事物。

3基于COSO报告下的内部控制与风险管理比较

3.1相同点

1、它们都是由“企业董事会、管理层以及其他人员共同实施的”,强

调了全员参与的观点,指出各方在内部控制或风险管理中都有相应的角

色与职责。

2、它们都明确是一个“过程”,其本身并不是一个结果,而是实现结

果的一种方式。企业内部控制与风险管理都是渗透于企业各项活动中

的一系列行动。这些行动普遍存在于管理者对企业的日常管理中,是企

业日常管理所固有的。

3、它们都是为企业目标的实现提供合理的保证。设计合理、运行有

效的内部控制与风险管理能够向企业的管理者和董事会在企业各目标

的实现上提供合理的保证。

3.2不同点

1、内容上,企业风险管理除包括原内部控制的三个目标之外,还增

加了战略目标;这意味着风险管理介入了企业战略制订过程,风险管理

比内部控制的层次更高,范围更广。另外,企业风险管理将风险评估要

素拓展为目标设定、事项识别、风险评估及风险应对等四个要素。还引

入了风险组合管理理念以及风险偏好、风险容忍度等新的概念。

2、技术方法上,风险管理更注重对风险的定量分析与管理。比如,

在风险评估要素方面,针对风险大小的定量度量提出了多种技术方法,

包括VAR(value at risk)、风险现金流量、风险收益、损失分布、事后检验

等概率技术和敏感性分析、情景分析、压力测试、设定基准等非概率

技术。

3内部控制与风险管理的内在联系

《内部控制———整体框架》之所以升级为《企业风险管理———整体框

架》,根本原因在于内部控制的出发点与最终目的都是为了控制和管理

风险。虽然内部控制的目标与控制层次不断提升,但风险控制与管理始

终是核心主线,只是其风险控制的目标、内容和层次伴随企业的环境、经

营的模式以及企业制度的变迁而变化。从语义上说,内部控制就是控制

风险,控制风险就是风险管理。所以内部控制和风险管理是控制风险的

两种不同语义表达形式。内部控制主要是从风险控制的方式和手段说

明风险控制的,风险管理就是从风险控制的目的来说明风险控制的。当

然,风险管理的提法更凸显了风险的重要性。因为传统的内部控制为企

业构筑的“防护墙”已很难抵挡市场瞬息万变带来的风险。风险管理无

疑是内部控制在新形势下的自然升华。它是更主动、更全面的内部

控制。

4贯穿风险管理理念、完善企业内部控制

我国于2008年5月颁布了第一部《企业内部控制基本规

范》,为企

业加强和规范内部控制提出了要求。为更好贯彻内部控制规范,实施风

险管理,我们应多管齐下:

4.1完善公司治理与内部控制环境

内部控制中强化公司治理的作用在我国显得尤为重要,由于我国证

券市场尚处于新兴加转轨阶段,股权结构异化,股权文化缺失,公司治理

形备而实不至。我国应加强公司治理建设,使股东、董事会和经理层相

互制衡,从根本上改善内部控制环境,防止管理层超越内部控制。

4.2重视风险因素在内部控制中的重要性

在企业实际经营管理过程中,风险管理与内部控制的关系并不是一

成不变的。战略制定阶段,内部控制服务于风险管理的需求;战略实施

阶段,风险管理体现于内部控制的过程。无论二者关系如何,对风险的

积极管理是进行内部控制的大势所趋。

4.3重视内部控制自我评估

自我评估是组织监督和评估内部控制系统的主要工具,它将运行和

维持内部控制的主要责任赋予公司管理者,同时要求员工和内部审计也

要承担对内部控制评估的责任。

参考文献:

[1]宋常.企业风险管理与内部控制关系探微问题的研究.学术交

流,2007,2

[2]张立民.内部控制、公司治理与风险管理.审计研究,2007,5

[3]谢志华.内部控制、公司治理、风险管理:关系与整合.会计研

究,2007,10

[4]赖章奎.内部控制与企业风险管理关系之探析.管理观察,

2008,13

65