建设以风险管理为导向的企业内部控制体系_图文

1、建设以风险管理为导向的企业内部控制体系内部控制和风险管理在我国的发展主要经历了内部会计控制、证券投资基金管理公司、商业银行及上市公司内部控制、中央企业全面风险管理和企业内部控制规范(适用于国内大中型企业阶段。在认真研究中央企业全面风险管理指引和企业内部控制规范的基础上,我们认为:风险管理与内部控制并不矛盾,是目的与手段的关系,企业应该建设以风险管理为导向的内部控制体系。下面从构建动因、构建思路、体系成果等管理实践角度,阐述如何建设以风险管理为导向的企业内部控制体系。一、构建动因提升企业内部管理能力、满足外部监管体的要求、适应外部经营环境的变化,均是企业加强内控建设,防范风险的主要驱动因素。1、

2、提升企业内部管理能力企业的发展一般要历经创建期、成长期、成熟期、衰退期。处于成长期的企业存在着由于职责不清和人才素质差异引起的“成长综合症”,比如面临着多元化产业成熟度低、兼并购行为多而管控不适当、职能化管理条块分割明显等风险,迫切需要采取适当的手段提升管控能力。提升管控能力的目标是:建立风险管理及内部控制的组织机构和标准,形成企业“自我免疫机制”,持续优化各层级之间的管理和责任界面、工作流程,健全内部控制制度,使领导层“做正确的事”,执行层“正确地做事”。2、满足外部监管体的要求国有大型企业集团及所属单位面临国内外多重监管体的监督,出资人和不同的资本市场均有严格的监管规定。国资委从出资人角度

3、出发要求中央企业按照中央企业全面风险管理指引建设全面风险管理体系;财政部侧重于财务数据和资产安全,出台企业内部控制规范,提出国内大中型企业内部控制建设的整体框架和标准要求;证监会、上交所和深交所侧重于对上市公司的监管,各自发布了上市公司内部控制制度指引,要求上市公司建立有效的内部控制体系及风险防范机制。满足外部监管需要达到的目标是:让所有利益相关者放心,公司有良好的发展环境。3、适应外部经营环境的变化外部经营环境的变化使企业自身不进则退,许多优秀企业都在采取各种手段提高自身竞争能力,比如,不断加大新技术开发和应用力度,通过并购延长其产业链,强化以团队为主的虚拟组织,强化内部金融企业作用、强化风

4、险管理及内部控制等。推进企业适应外部经营环境变化的目标是:通过建设全面风险管理和内控体系,既要控制重点,又要保留一定的弹性空间;既要保证业务规范有序地进行,又要激发管理人员和员工的创新性。二、构建思路现状评估体系建设持续改进是建设以风险管理为导向的企业内部控制体系三步曲。1、从现状诊断着手,分析内控现状,找出相应问题 图1:内控现状评估通过对企业管理及内控体系现状的诊断评价,揭示主要问题,确定体系建设重点及目标。2、建立健全以风险管理为导向的内部控制体系2.1 从风险管理视角确定企业内部控制关键点2.1.1 根据企业经营管理特点,从战略、财务、运营、市场、法律等角度分别进行风险识别,建立企业风

5、险识别模型,规范风险语言,统一关于风险的认识和理解。 图2:风险识别模型示例2.1.2 根据风险识别模型,对各类风险进行分类细化,找出各风险的关键影响因素,揭示风险发生的内外部原因、暴露状态、产生的不利后果,明确关键责任单位,对接有关流程和制度。表1 *集团风险分类细化分析示例 2.1.3 针对辨识出的典型风险因素,从风险发生的可能性和风险发生对经营目标的影响程度两个纬度进行风险评估,确定其风险水平,找出公司面临的重大风险、重要风险、中等风险和低风险,确定对各项风险的重要性排序和管理重点,绘制企业风险图谱。 图3:风险图谱示例2.2 以COSO框架为标准,建立企业内部控制体系2.2.1 构建完

6、善的内部控制环境控制环境包括治理结构、组织结构、权利与责任的分配、员工胜任能力、管理理念和经营风格、人力资源政策与实践、诚信与道德价值观、反舞弊及信息系统等九部分内容。通过完善公司的内部控制环境,为公司提供纪律和架构,塑造公司文化,影响员工的控制意识,形成人岗匹配、授权有度、运行有序、监控到位的环境。 图4:内部控制环境完善组织机构和内控职责示例2.2.2 梳理并完善内部控制活动控制活动贯穿于整个公司内所有级别和职能部门,包括批准、授权、查证、核对、经营业绩评价、资产保全措施和职责分工等一系列活动,具体体现为公司的业务和管理流程。实施有效的控制活动,以风险防范和控制为出发点,结合风险评估结果,

7、按照手工控制与自动控制、预防性控制与发现性控制相结合的原则,综合运用各类控制措施,可以将风险评估过程中识别出的风险控制在可承受范围之内,保证企业战略目标、经营目标、报告目标以及合规目标的实现。 图5:梳理完善内部控制活动主要内容2.2.3 健全风险评估管理体系风险评估是公司及时识别、系统分析经营活动中与实现内部控制目标相关的内外部风险,确定相应的风险承受度,从而合理确定风险应对策略;包括目标设定、风险识别、风险分析与评价、风险应对。风险评估是动态的,影响公司经营活动的因素不断变化,因此必须对风险进行动态评估,以识别和处理与这些变化相关的风险;风险评估是贯穿整个公司经营活动始末的,公司每个经营环

8、节都有面临风险的可能;风险评估需要公司全员的参与,每个部门、相关机构和分支机构都是风险评估控制活动的重要组成。2.2.4 建立信息沟通机制建立有效的信息与沟通机制,明确信息的收集、处理和传递程序,对信息进行动态管理,建立健全部门间、分子公司间的信息共享和沟通机制;通过对信息的识别、掌握、加工和报告,及时应对行业、竞争对手、客户需求变化,保持信息与需求间的一致性,促进各项经营管理活动有效运行,促进公司董事会、管理层和员工及各分子公司正确履行相应的职责,以实现公司的目标。信息与沟通不是指信息系统的建设,而是企业内部信息的质量要求和使用要求。应该根据企业信息特点,梳理信息类别、信息内容等,确定信息流

9、汇总表,使得企业信息透明、精确、及时、可预测。3、引入自我评价及监督机制,开展年度检讨与管理持续改进自我评价是指负责某一单位或职责的人员对其控制自身活动的有效性进行评价,即各管理部门和人员定期或不定期地对各自执行内部控制制度情况进行检查,分析和评估其有效性及实施的效率效果,以期更好的地实现控制目标。监督是对内部控制体系设计及运行情况进行监督检查,评估其有效性,发现内部控制缺陷并及时加以改进的一个过程,提高内部控制的准确、有效性和控制效率,确保整个内部控制体系的有效运行。表2 内控自我评价示例 三、体系成果为了完善和优化公司的内部控制,建立统一、规范和有效运行并满足国内及上市地相关法律法规要求的

10、内部控制体系,并编制内部控制管理手册。这对于指导公司内部控制体系建设,促进各项经营管理活动进一步规范、有序运行,增强风险防范能力等,都有极其重要的意义:3.1 提供关于内部控制体系的一致信息,确保公司上下从思想上、认识上对内部控制体系保持高度统一,并进一步实现行为上的统一。3.2 建立一套统一、完备,内容涵盖公司经营管理各个领域的内控制度,确保公司各项工作统一、规范、有序运行,最大限度的减少或规避风险,保证公司协调、持续、快速发展。3.3 建立一套科学、系统的内部控制体系建设方法和标准,为公司内部控制体系建设、运行和维护提供指引,并作为建立、执行、评价及验证内部控制的依据。3.4 促进公司完善现代公司制度,规范公司管理行为,保证资产的安全、完整,