浅谈如何构建集团内部控制体系.pdf

《浅谈如何构建集团内部控制体系.pdf》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、第五届会计与财务问题国际研讨会——当代管理会计新发展2005年7月9日-10日浅谈如何构建集团内部控制体系陈国钢（北京，中国中化集团公司，100045）摘要：本文首先从2004年的COSO报告中引申出企业内部控制的实质就是要通过一系列机制来控制“不同人的行为”可能带来的风险，从而保证企业风险的可知、可控和可承受，其次通过代理、契约、博弈理论分析得出集团内部控制体系的构建思路，再次通过中化集团（SINOCHEM）以全面预算管理为核心、“点线面”相结合的内控体系的构建实践来验证这些思路。关键词：内部控制风险预算委托－代理一、从COSO最新报告中认识内部控制的含义

2、与实质考察历史，内部控制理论是随着企业内控实践经验的丰富而逐渐发展起来的，大致经历了内部牵制、内部控制系统、内部控制结构、内部控制整体框架四个理论阶段（储稀梁，2004）。国际著名的美国COSO委员会（CommitteeofSponsoringOrganizationsoftheTreadayCommission）1992年发布并于1994年修订的《内部控制－整体框架》（internalcontrol-integratedframework）中，对内部控制进行了定义：“内部控制是由企业董事会、管理层和其他员工实施的，为经营的效率效果、财务报告的可靠性、相关法

3、律法规的遵循等目标的实现而提供合理保证的过程”。控制环境、风险评估、控制活动、信息与沟通、监督五大要素共同构成内部控制框架。尽管1992年的COSO报告标志着内部控制理论和实践进入了整体框架的新阶段，但理论界和实务界还是认为该内部控制框架在实际运用过程存在有一定的局限性，表现在：对风险强调不够，使得内部控制无法与企业的风险管理紧密结合。2004年10月，美国COSO委员会根据理论和实务的发展，又颁布了一个概念全新的COSO报告，即《企业风险管理－总体框架》（EnterpriseRiskManagement,简称ERM）。ERM框架把内部控制从“过程观”提升到

4、了“风险观”，将内部控制纳入风险管理，成为企业经营管理过程的重要组成部分。ERM框架新增加了一个观念（“风险组合观”）、一个目标（“战略目标”），同时引入了“风险偏好”和“风险容忍度”的概念，并将原五大要素进行深化和拓展，新增“目标制定”、“事项识别”和“风险反应”三大要素，将原有五大要素中的风险评估这一要素，发展成为目标制定、事项识别、风险评估和风险反应四个因素，共同组成了风险管理的预警、判定和防范的完整系统。ERM框架最大的变化，就是将企业内部控制改为企业风险管理，高度突出了风险管理的重要性，这给我们在实务中认识内部控制的含义和本质带来了新的启示。企业内

5、部控制的对象是风险，但对于风险，我们应该辩证地来认识，在复杂的市场经济环境下，企业不可能生活在远离风险的真空地带，只要经营，就必然面临风险，而风险在一定意义上也意味着机遇的存在，可以说，企业是在风险状态下运作，企业经营的实质就是在诸多风险的处理中规避不利因素、争取有利因素的过程，没有风险就可能没有收益。因此，企业的内部控制，其目的不在于彻底地清除风险（实际上这也不可能达到），而在于将企业面临的风险控制在可知、可控和可承受的范围之内，这“三可”是企业风险管理的现实目标，“可知”表示企业对出现的风险能迅速识别，“可控”表示企业能迅速地应对和控制风险，“可承受”表

6、示预期的风险损失能控制在企业合理的承受范围之内，达到了这“三可”，意味着企业的内部控制发挥了实质作用。在研究风险的同时，还应该看到影响风险的深层次因素－“人的行为”。企业面临的风险，272第五届会计与财务问题国际研讨会——当代管理会计新发展2005年7月9日-10日无论是可控风险，还是不可控风险，均和人的行为密切相关，战略风险、经营风险、财务风险、投资风险等对企业而言，是可控风险，均是由于人的行为直接产生，人的因素至关重要，而类似自然灾害、政策风险、国家风险及市场风险等对于企业而言，虽是不可控风险，不是由人的行为直接产生，但也需要通过人的行为来对风险进行识别

7、和处理，也和人的行为密切相关。因此，人的行为在较大程度上决定了风险的形成和处理。而人对自身利益的追求，及对风险的意识和态度又决定了人的行为，在风险意识上，有些人比较关注风险，而有些人忽视风险，同时，在对待风险的态度上，不同的人可能分别采取冒险、中立或厌恶的态度，这样在自身利益的驱使下，不同的风险意识和不同的风险态度决定了人的不同行为，从而使企业面临不同的风险。企业是由不同的人构成的团体，这些人分别承担着不同的分工和角色。这些不同个体的行为导致了企业风险形成和处理的不确定性，如果没有一个机制的制约，将无法保证企业风险的“可知、可控、可承受”。因此，从这个意义出

8、发，我们可以说，企业内部控制的实质就是要通过一系列机