企业内部控制和风险管理整合探究

《企业内部控制和风险管理整合探究》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、企业内部控制和风险管理整合探究　　摘要中外企业失败案例表明，传统的内部控制已经不能适应企业全面风险管理的需要，要求企业建立以风险管理为导向的内部控制体系。本文探讨了内部控制与风险管理的关系，并就如何对二者进行整合进行了探讨。关键词内部控制风险管理整合中图分类号：F272.7文献标识码：ACOSO分别于1992年和2004年先后发布了两个内部控制框架，后者被命名为《风险管理——整合框架》，不但与原《内部控制——整合框架》名称不一，并将风险管理理念和方法导入其中。尽管我国2008年发布的《企业内部控制基本规范》采用了前者的形式和后者的思想，但是与我国企业的习惯认识产生了冲突。

2、如何认识内部控制与风险管理的联系和区别，并对二者进行整合是当前会计理论界和实务界需要进一步思考的。一、风险管理与内部控制关系综述8一般认为，企业内部控制是为了保护资产安全、提高企业经营效率和效果、保证财务信息真实性和可靠性所建立的一套自我管理和自我约束的管理制度或机制。但是，COSO于2004年重新提出的《企业风险管理——整合框架》强调了内部控制是风险管理不可分割的一部分，同时又指出了风险管理框架并没有打算取代在的内部控制框架。但并没有说清楚内部控制与风险管理究竟是一种什么样的关系。而且既然不准备替代内部控制框架，那么提出风险管理框架的用意又是什么。其实，长期以来，理论界

3、和实务界对内部控制与风险管理之间的关系始终没有达到一致意见。概括而言，主要有以下三种观点：（一）内部控制包含风险管理。巴塞尔银行业监管委员会发布的《银行业组织内部控制系统框架》主张把风险管理内容纳入到内部控制框架之中。例如该框架指出：“董事会负责批准并定期检查银行整体战略及重要制度，了解银行的主要风险，为这些风险设定可接受的水平。确保管理层采取必要的步骤去识别、计量、监督以及控制这类风险。”。另外，加拿大注册会计师协会控制标准委员会也认为：控制应该包括风险的识别与减轻。（二）风险管理包含内部控制。2004年，OSO委员会提出的《企业风险管理——整合框架》明确指出：内部控制

4、是企业风险管理不可分割的一部分；内部控制是风险管理的一种方式。2005年，英国特恩而尔委员会也认为：公司的内部控制系统在风险管理中扮演关键角色，内部控制应当被管理者看作是范围更广的风险管理的必要组成部分。（三）内部控制就是风险管理。8国内外也有不少学者认为，风险管理系统与内部控制系统没有差异。这两个概念的外延变得越来越广，正在变为同一事物。风险管理与内部控制仅仅是人为的分离，而在现实的商业行为中，二者其实是一体化的。将内部控制定义为风险管理只是为了强调控制与战略制定的联系，刻画了内部控制作为组织支撑的特征。二、内部控制与风险管理比较1992年COSO提出的《内部控制——整

5、合框架》将内部控制定义为，“受董事会、管理层及其他人员影响的，为达到经营活动的效率和效果、财务报告的真实可靠性、遵循相关法律法规等目标提供合理保证而设计的过程。”2004年COSO重新推出《风险管理——整合框架》，将风险管理定义为“由企业的董事会、管理层以及其他人员共同实施的，应用于战略制定和企业各个层次的活动，目的是识别影响企业的各种潜在事件，并按照企业的风险偏好管理风险，为企业目标的实现提供合理保证的过程。”（一）内部控制与风险管理的相关性。1、风险管理包含内部控制，是内部控制的改进版8内部控制是生产规模化和资本社会化的产物，是基于委托代理关系的，其目标是保证会计信息

6、的真实和资产安全；而风险管理则是经济全球化的产物，是对内部控制的拓展和延伸，其目标是提高企业对外部市场的反应能力，提升企业战略的适应性。因此，内部控制与风险管理的融合是必然的。2004年COSO委员会发布的《企业风险管理——整合框架》通过控制目标和控制要素的安排，将内部控制全面纳入到了风险管理框架之下，从而实现了内部控制与风险管理的全面融合。融合后，风险管理目标多了一个战略目标，这一目标正是内部控制升华到风险管理的核心体现。另外，为了强调风险的重要性，风险管理框架另外增加了事件识别、目标设定和风险对策三个要素。由此可以看出，内部控制实际上是包容在风险管理框架之中的。2、风

7、险管理以内部控制为工具。风险管理是以内部控制为基础的，必须得到内部控制的支持，才能实现风险控制的目标。内部控制受风险管理驱动，反过来为企业实现管理目标而提供有效的保证。完善的内部控制是当今世界大多数国家的法定要求，是现代企业建立风险管理体制应达到的基本状态。（二）内部控制与风险管理的差异。1、内部控制与风险管理控制的对象不同。8内部控制是企业实现目标采取的政策和程序，仅仅是一项管理职能，侧重于事后和过程的控制。因而与风险管理相比，内部控制相对滞后，如控制活动、信息与沟通、对控制的监督等要素都属于事后性质的，这就决定了内部控制不