航空航天器零部件研发公司治理与内部控制制度

1、泓域/航空航天器零部件研发公司治理与内部控制制度航空航天器零部件研发公司治理与内部控制制度xxx投资管理公司目录 TOC o 1-3 h z u HYPERLINK l _Toc114175571 一、 控制活动的基本原理 PAGEREF _Toc114175571 h 3 HYPERLINK l _Toc114175572 二、 内部控制的种类 PAGEREF _Toc114175572 h 4 HYPERLINK l _Toc114175573 三、 财产保护控制 PAGEREF _Toc114175573 h 9 HYPERLINK l _Toc114175574 四、 不相容职务分离控

2、制 PAGEREF _Toc114175574 h 11 HYPERLINK l _Toc114175575 五、 内部控制的重要性 PAGEREF _Toc114175575 h 14 HYPERLINK l _Toc114175576 六、 内部控制的局限性 PAGEREF _Toc114175576 h 17 HYPERLINK l _Toc114175577 七、 内部控制与企业风险管理的关系分析 PAGEREF _Toc114175577 h 21 HYPERLINK l _Toc114175578 八、 企业风险管理 PAGEREF _Toc114175578 h 23 HYPER

3、LINK l _Toc114175579 九、 SASNO.55：内部环境的形成 PAGEREF _Toc114175579 h 33 HYPERLINK l _Toc114175580 十、 我国的借鉴与创新 PAGEREF _Toc114175580 h 33 HYPERLINK l _Toc114175581 十一、 内部环境如何发挥作用 PAGEREF _Toc114175581 h 35 HYPERLINK l _Toc114175582 十二、 有效内部环境的属性 PAGEREF _Toc114175582 h 36 HYPERLINK l _Toc114175583 十三、 项目

4、基本情况 PAGEREF _Toc114175583 h 40 HYPERLINK l _Toc114175584 十四、 公司简介 PAGEREF _Toc114175584 h 42 HYPERLINK l _Toc114175585 十五、 发展规划 PAGEREF _Toc114175585 h 43 HYPERLINK l _Toc114175586 十六、 SWOT分析说明 PAGEREF _Toc114175586 h 46 HYPERLINK l _Toc114175587 十七、 人力资源配置分析 PAGEREF _Toc114175587 h 54 HYPERLINK l

5、_Toc114175588 劳动定员一览表 PAGEREF _Toc114175588 h 54控制活动的基本原理企业开展经营活动的目的是有效、高效地使用资源。如何保证有效、高效使用资源？一般认为，企业的资源是有限的，有限的资源一定能管控，风险应该被有效控制。如何控制？由于企业资源被各种活动（如交易、经济事项、经营业务等）使用，因此控制了活动就管理了资源。由于活动都要进入相应流程（如资金活动流程、采购业务流程、资产管理流程、销售业务流程、研究与开发流程等），因此，控制活动的总体思路是：通过实施流程控制，在流程中找关键风险点（即控制点），以达到有效管控资源的目标。控制了流程也就控制了活动，企业资

6、源融入流程后形成了企业控制架构。控制行为（政策和程序）也并非盲目实施，我国企业内部控制基本规范规定的控制程序包括不相容职务分离控制、授权审批控制、会计系统控制、财产保护控制、预算控制、运营分析控制、绩效考评控制和合同控制等。不同国家、不同时期控制程序不尽相同，这是由内部控制的动态过程观确定的。COSO报告与我国企业内部控制基本规范在控制活动内容方面的比较，通过比较可以看出，两者之间没有太大的区别，预算控制实际上是从授权审批控制中分离出来的政策和程序，从对授权审批控制的理解而言，预算控制属于日常经营管理活动按照既定程序和原则实施的控制。企业应当根据内部控制目标，结合风险应对策略，依据流程控制原理

7、，综合运用控制程序，对各种业务和事项实施有效控制。控制行为的主要目的是降低风险，针对的是风险降低应对策略。内部控制的种类内部控制按控制内容可分为一般控制和应用控制，按控制地位可分为主导性控制和补偿性控制，按控制功能可分为预防性控制和发现性控制，按控制时序可分为原因控制、过程控制和结果控制。（一）按控制内容分为一般控制和应用控制1、一般控制般控制是指对企业经营活动赖以进行的内部环境所实施的总体控制，也称基础控制或环境控制。它包括组织控制、人员控制、业务记录以及内部审计等内容。这类控制的特征，是并不直接地作用于企业的生产经营活动，而是通过应用控制对全部业务活动产生影响。（1）合法性控制，即用各种方

8、法检查所记录的经济业务，以保证其能够如实反映经济事项。在会计基础控制方面，它主要通过由熟悉会计制度的人员审查会计文件，以确定所记录的业务是否真正发生，检查其处理过程是否与规定的程序相一致，查明业务处理是否经过授权与批准，有无越权行事等行为，以及是否进行了严格的监督和审核。（2）正确性控制，即为了确保单位每笔经济业务的发生都能够及时用正确的金额与账户记载的一种控制。它通过建立发生额计算、余额计算、账户分类检查、双重核对、事先控制与分工牵制等方法来保证会计记录的正确性。（3）完整性控制，即保证发生的一切合法的经济业务均记入控制文件的一种控制。它主要通过凭证的连续编号、总额控制、登记账簿、档案管理并

9、运用备忘录等手段来保证记录的完整性。现在，实行会计电算化的单位已由计算机解决部分完整性的控制工作。（4）一致性控制，即保证记录一致性的控制。它主要通过实地盘存、对内对外账实核对、差异分析、调账等方法来保证会计记录的一致性。2、应用控制应用控制是指直接作用于企业生产经营业务活动的具体控制，也称业务控制，如业务处理程序中的批准与授权、审核与复核以及为保证资产安全而采用的限制接近等控制。这类控制的特征，在于它们构成了生产经营业务处理程序的一部分，并都能够防止和纠正一种或几种错弊。（二）按控制地位分为主导性控制和补偿性控制1、主导性控制主导性控制是指为实现某项控制目标而首先实施的控制。如凭证连续编号可

10、以保证所有业务活动都得到记录和反映，因此，凭证连续号对于保证业务记录的完整性就是主导性控制；为实现组织的战略目标，管理层要根据组织规划指导各项生产及经营管理工作，并组织专门机构和人员进行定期或不定期的检查，对于发现的偏差进行分析，找出问题的成因、采取措施、予以纠正。这里，管理层的组织专门机构和人员开展的定期或不定期检查活动对于发现偏差就是主导性控制。预防性控制和发现性控制则是为了预防、检查和纠正不利的结果，在正常情况下，主导性控制能够防止错误和舞弊的发生，但如果主导性控制存在缺陷，不能正常运行时，就必须由其他的控制措施进行补充。2、补偿性控制补偿性控制就是针对某些环节的不足或缺陷而采取的控制措

11、施能够全部或部分弥补主导性控制的缺陷，主要是为了把风险暴露限制在一定的范围内。如果凭证没有连续编号，有些业务活动就可能得不到记录。这时，实施凭证、账证、账账之间的严格核对，就可以基本上保证业务记录的完整性，避免遗漏重大的业务事项。因此，“核对”相对于凭证“连续编号”来说，就是保证业务记录完整性的一项补偿性控制。由独立于银行存款收支业务的人员进行银行存款的核对和调整，是对收支业务中存在的薄弱环节的一种补偿性控制。一项控制和其他控制之间存在一定联系，当该项控制存在控制缺陷的时候如果其他控制执行有效，可以有效地降低该缺陷导致财务报告错报的影响程度，而且所影响金额也可以明确，那么其他控制就是该控制的补

12、偿性控制。从上述分析可见，主导性控制与预防性控制存在密切的联系，都是在实现有利结果的同时，避免不利结果的发生。但是，两者也有一定的差别。（三）按控制功能分为预防性控制和发现性控制1、预防性控制预防性控制是指为防止错误和非法行为的发生，或尽量减少其发生机会所进行的一种控制。它主要解决“如何能够在一开始就防止错弊的发生”这个问题。预防性控制是由不同人员或职能部门在履行各自职责的过程中实施的，属于操作性的控制。预防性控制措施主要包括职务分离、监督性检查、双重检查、编辑校验、合理性校验、完整性校验以及正确性校验等。2、发现性控制发现性控制是指为及时查明已发生的错误和非法行为或增强企业发现错弊机会的能力

13、所进行的各项控制。它主要是解决“如果错弊仍然发生，如何查明”的问题。如果缺乏发现性控制，当预防性控制实施存在困难时，有关人员就会为所欲为，使控制失败：更为严重的是由于组织难以及时发现存在的问题及影响，从而不能及时采取措施加以解决，从而加大损失影响范围及程度。一般认为，预防性控制优于发现性控制，因为预防性控制能够在事前防止损失的发生，降低风险。但是，真正全面地采取预防性控制是相当困难的，实际工作中风险很难百分之百地预防，所以必须将两者结合起来控制。（四）按控制时序分为原因控制、过程控制和结果控制1、原因控制原因控制也称事先控制，是指企业单位为防止人力、物力、财力等资源在质和量上发生偏差，而在行为

14、发生之前所实施的内部控制。2、过程控制过程控制也称事中控制，是指企业单位在生产经营活动过程中针对正在发生的行为所进行的控制。3、结果控制结果控制也称事后控制，是指企业单位针对生产经营活动的最终结果而采取的各项控制措施。财产保护控制我国企业内部控制基本规范第三十二条规定：财产保护控制要求企业建立财产日常管理制度，采取财产记录、实物保管、定期盘点、账实核对等措施，确保财产安全；企业应当严格限制未经授权的人员接触和处置财产。企业的财产可以分为两类：有形资产和无形资产。有形资产又可以分为固定资产、存货等。无形资产又分为商标、商誉、专利权、非专利技术、土地使用权等。公司的财产是公司可利用的资源，是公司生

15、存和发展的物质保证，因此加强财产安全保护，防止财产流失、浪费是非常重要的。财产保护控制的主要内容如下。1、限制接近控制企业应当严格限制无关人员对资产的直接接近，只有经过授权批准的人员才能够接触资产。另外，不仅对资产接近加以限制，同时对授权使用和处分资产的文件加以限制，才能形成充分的保护措施。主要包括保证存货、小型工具、证券等贵重和流动资产存入地点的安全；限制接近未使用票据并恰当注销已使用票据；每日及时将现金收入送存银行；限制接近计算机、终端代码、磁盘文件、数据库要素；限制单独接近可转让证券及其他便携式有价资产，以免未经授权的挪用发生。2、定期盘点控制盘点应当根据实际需要定期和不定期进行，应当建

16、立盘点制度和盘点流程，明确责任人，确保财产安全。盘点可以采用先盘点实物再核对账务的形式，也可以采用先核对账务再确认实物的形式。对盘点中出现的财产差异应进行调查、分析和处置，并修正相关制度。定期盘点制度包括确定各账户余额下的财产的数量和金额。典型的盘点和复核方法有：永续盘存记录和定期清点及复核制度；建立应收账款、应付账款、投资项目、实收资本的明细账，并把总账以及重要财产账户与各明细分类账加总数比较核对；每月核对银行存款余额调节表；每月审核现金记录；送款单与现金记录相核对等。3、记录保护控制记录保护控制是指对企业各种文件资料尤其是资产、会计等资料妥善保管，以避免记录受损、被盗窃及毁坏。对某些重要资

17、料，应当留有备份记录，以便在遭受意外损失或毁坏时能重新恢复。4、财产保险控制财产保险控制是指通过对资产投保，增加实物受损后的补偿机会，保护实物安全。企业的主要财产应当投保火灾险、盗窃险、责任险等，降低企业经营风险，确保财产安全、保值、增值。不相容职务分离控制我国企业内部控制基本规范第二十九条规定：不相容职务分离控制要求企业全面系统地分析、梳理业务流程中所涉及的不相容职务，实施相应的分离措施，形成各司其职、各负其责、相互制约的工作机制。（一）不相容职务分离的含义所谓不相容职务是指那些不能由一个人兼任，否则既可弄虚作假，又能掩盖其舞弊行为的职务。不相容职务分离就是这些职务由两人或两人以上担任，从而

18、达到相互制约、相互监督的目的，即所谓“四只眼”原则或双人控制原则。不相容职务的分离基于两个假设，一是两个或两个以上的人或部门无意识地犯同种错误的概率要低于一个人或一个部门犯该种错误的概率；二是两个或两个以上的人或部门有意识地合伙舞弊的可能性大大低于一个人或一个部门舞弊的可能性。（二）不相容职务分离的内容不相容职务分为不相容部门、不相容岗位和不相容流程。根据大部分企业的经营管理特点和一般业务性质，需要分离的不相容职务一般包括：授权批准职务、业务经办职务、会计记录职务、财产保管职务、稽核检查职务，具体内容如下。1、授权批准职务与业务经办职务分离按照授权批准职务与业务经办职务分离控制的要求，请购与审

19、批、采购与审批、采购合同的订立与审批、销售商品与审批、筹资计划编制与审批、对外投资预算的编制与审批、投资或筹资的决策与执行等职务必须分离，以利于决策、审批人从独立的立场来评判业务行为的合理性、科学性与可行性，从而防范舞弊。2、业务经办职务与稽核检查职务分离按照业务经办职务与稽核检查职务分离控制的要求，现金出纳、会计与稽核职务相分离，采购员与库管员职务相分离，库管员与盘点稽核人员职务相分离，预算编制、执行与检查职务相分离等。这些职务相分离使相关业务执行人员都受到应有的监督，同时也应使稽核、审计人员处于相对客观、独立、公正的地位，保证监督质量。3、业务经办职务与会计记录职务分离业务经办职务与会计记

20、录职务分离是企业实施内部控制最基本的要求。销售部门和销售人员必须专职独立，不得兼记会计部门销售收入账和应收账款账；企业的会计不能兼任采购员。如果不进行业务经办与会计记录职务分离，业务执行的过程和结果就缺乏了在记录时所应该进行的复核和确认。4、财产保管职务与会计记录职务分离会计和出纳相分离就是一个最基本的不相容职务分离，也就是钱账分管制度，即管钱的不管账，管账的不管钱，出纳专职负责货币资金的收支业务，除现金和银行存款日记账外，不得兼记总账和债权债务等明细账，不负责汇总记账凭证，不抄寄各种往来结算账户对账单。5、业务经办职务与财产保管职务分离企业财产物资的保管职务应该与实物核对和财务盘存职务相分离

21、。如果一个企业的材料采购员既负责材料采购又负责入库保管，那么这样身兼数职的行为，由于缺乏内部牵制和监督，就有可能给经办人员创造舞弊的机会，形成职务犯罪的隐患，给企业造成损失。（三）不相容职务分离控制程序不相容职务分离的核心在于实现牵制、制衡。企业在设计内部控制制度时，首先要确定哪些岗位和职务是不相容的；其次是要明确规定各个机构和岗位的职责、权限。控制不相容职务的方法，就是从组织设计以及职务安排上进行分离，将不相容职务分别安排给不同人员，甚至不同部门，以形成一个可以相互监督、相互牵制、相互核查的业务机制。要做好不相容职务相分离控制，以下两个程序是关键。（1）设立管理控制机构，企业可以根据自身的经

22、营特点设立审计委员会、价格委员会、报酬委员会等，通过这些机构的设置来监督不相容职务分离实施的过程和效果，对不完善的地方及时做出调整。（2）推行职务不相容制度，用制度约束不相容职务的兼任对企业来讲是一种有效的办法，通过制度在企业中的制定和实施，杜绝高层管理人员交叉任职，从而可以避免关键人物大权独揽或徇私舞弊。同时，需要坚决贯彻不相容职务相分离的要求。所有经济业务的控制，必须按照不相容分离的要求，合理设计相关岗位，明确职责权限，形成内部牵制、内部制衡机制。内部控制的重要性内部控制作为现代组织管理框架的重要组成部分，是一个组织持续发展的机制和重要保证。现代组织理论和管理实践表明，组织的一切管理工作，

23、都要从建立与健全内部控制制度开始；组织的一切活动，都无法游离于内部控制之外。“得控则强，失控则弱，无控则乱”，内部控制的重要性主要体现在以下4个方面。（一）内部控制是实现企业发展战略的基础企业的发展不能是为现在而发展，而应该是为未来而发展，必须要有一个长期的目标。企业的发展战略是企业对全局的一种总体设想，是从宏观的角度对企业的未来的一种较为理想的设定。它所提出的是企业整体发展的总任务和总要求，它所规定的是整体发展的根本方向。因此，人们所提出的企业发展战略总是高度概括的，而且着眼于未来和长远。一般认为，要实现企业长远的发展战略就要有健全有效的内部控制作为支撑。实践证明，在我国经济快速发展的背景下

24、，只有建立和实施科学的内控体系，才能提升风险防范能力，实现企业可持续发展战略。在西方，内部控制提出得较早，相关的法律法规也对此有了明确的要求。而在我国，具有强制性要求的内部控制基本规范形成较晚，许多企业并没有自发地认识到建设与执行内部控制的重要性，因此，在与国外企业交往的过程中，常常由于这方面的欠缺而遭到不公正的待遇。企业应该意识到，内部控制及其评价制度不只是为了满足外部强制要求，而应该最终成为一种自发的行动。建设和完善内部控制体系是我国企业融入国际社会和健康、可持续发展的必由之路。（二）内部控制是提高企业经营管理效率的保证内部控制产生于组织管理的需要，存在于组织经营管理活动之中，是组织内部管

25、理的重要组成部分，这就决定了内部控制的主体是组织的管理部门和具体执行各项控制措施的人员，企业内部控制划分为内部管理控制与内部会计控制两大类。内部管理控制制度是指那些对会计业务、记录和报表的可靠性没有直接影响的内部控制。内部会计控制是指那些对会计业务、记录和报表的可靠性有直接影响的内部控制，通过这种控制的建立，能维护财产物资的安全、完整，保证会计信息的真实、可靠，保证经营管理活动的经济性、效率性和效果性，保证各项法律和规范的遵守。内部控制贯穿于企业经营管理活动的各个方面，只要企业存在经济活动和经营管理，就需要建立、健全企业的内部控制并加强内部控制。（三）内部控制是提高企业信息质量的保证众所周知，

26、在信息化时代，信息足以决定一个企业的兴衰存亡。首先，高质量的报告信息将为管理当局提供准确而完整的信息，用以支持管理当局的决策和对主体活动及业绩的监控。同时，高质量的对外报告和披露有助于企业的外部投资者、债权人等利益相关者以及监管当局做出正确的决策。有效的内部控制系统通过职务分离、岗位轮换、内部审计等控制方法及手段对企业信息的记录和报告过程进行全面持续的监控，及时发现和纠正各种错误与舞弊，保证企业信息能够真实完整地反映企业经营活动的实际情况。反思我国近年来的一系列财务舞弊案件，如红光实业、银广夏、蓝田股份等，其组织的内部控制失效负有不可推卸的责任。国内外证券市场的财务丑闻，使得广大投资者蒙上厚重

27、的心理阴影，要求规范上市公司财务报告的呼声越来越高。有效的内部控制，对于重塑投资者的信心，维护资本市场的公平和透明，进而保护投资者利益与国家经济安全意义重大。（四）内部控制是加强企业制度管理的根本现代企业制度是指以市场经济为基础，以完善的企业法人制度为主体，以有限责任制度为核心，以公司企业为主要形式，以产权明晰、权责明确、政企分开、管理科学为条件的新型企业制度。企业是一系列“契约的联结”，由于委托人不能直接观测到代理人选择了什么行动，委托人和代理人之间存在信息不对称，具有机会主义倾向的管理当局会利用自己的信息优势，发生偷懒、不当消费等行为，以牺牲委托人的利益为代价，使自己的利益最大化。因此，企

28、业所有者需要监督代理人，防止代理关系下的信息不对称，降低代理成本，实现公司治理目标，从而有助于最大限度地满足企业所有者的权益。同时，通过不相容职务分离控制、授权审批控制、会计系统控制、资产安全控制、绩效考评控制等手段形成各司其职、各负其责、相互制约的工作机制，逐渐推动企业管理水平与会计信息质量的提升，提升经营的效率和效果。内部控制的局限性依据唯物辩证法的观点，任何事物都不可能尽善尽美，内部控制也有其两面性：一方面它对企业预期目标具有控制作用：另一方面也有他的不足和缺陷，存在固有的局限性。一般而言，内部控制的局限性表现在以下几个方面。1、成本限制内部控制受到成本与效益原则的限制，内部控制系统所需

29、求的保证水平有必要根据其成本而定。一般来说，控制程序的成本不能超过风险或错误可能造成的损失和浪费。否则，再好的控制措施和方法也将失去意义。由于存在资源稀缺问题，企业必须考虑建立控制的相应成本。般而言，用于衡量控制成本与收益的标准不同。控制成本量化较为容易，控制效益量化则相当复杂，难免包括主观的评估。在评估潜在收益时可以考虑以下特定因素：不理想情形发生的可能性、各项活动的特性、时间价值有可能对实体造成的潜在财务或经营影响。此外，成本效益决策的复杂性还在于当控制与管理或运营过程相结合，或“纳入”管理或营运过程时，很难区分哪些是控制的成本与效益，哪些是管理或营运的成本与效益。同样，若干项控制措施组合

30、在一起，在很多时候，可用以防范或减轻某一特定的风险，但对具体单项的控制成本与效益则很难估计。另外，控制成本与效益的估计，也会因单位或业务性质的不同而有所侧重。高风险活动明确要求进行成本收益分析，而低风险活动则可以省略。2、人为失误内部控制的设计会受到设计人员经验和知识水平的限制，因而可能存在缺陷。同时，执行人员的粗心大意、精力分散、判断失误以及对指令的误解等，也可能使内部控制系统失控或陷于雍疾。例如，经营决策必须在规定的时间内，根据所掌握的信息，在经营行为的压力之下通过人为判断来做出。根据事后的剖析，有些基于人为判断的决策，并不能产生预期的效果，而且可能需要做出改变。3、串通舞弊两人或多人的合

31、谋活动可能导致内部控制的失效。从事犯罪或者试图隐瞒某项行为的个人，通常会设法改变财务数据或其他管理信息，使其不能为内部控制系统所识别。例如，执行一项重要控制职能的员工可能会与客户、供应商或其他员工串通。不同级别的销售人员或部门经理有可能合谋绕过控制，以使所报告的成果达到预算或激励目标。因此，在实际工作中，如果处于不相容职务上的相关人员相互串通、相互勾结，失去了不相容职务之间相互制约的基本前提，内部控制也就很难发挥作用。4、滥用职权各种控制程序是管理工具，但任何控制程序都不能发现和防止那些负责执行监督控制的管理人员滥用职权或不当用权。管理权的干预直是导致许多重大舞弊发生和财务报告失真的一个重要原

32、因。在某些情况下，对于担任控制职能的人员越权管理、滥用职权，即使具有良好设计的内部控制，也不能发挥其应有的作用。内部控制作为企业管理的组成部分，理所当然地要按照管理人员的意图运行，尤其是对企业负责人的决策更具有决定性的作用。决策出了问题，贯彻决策人意图的内部控制也就失去了其应有的控制作用。5、制度失效内部控制制度是针对制度制定时的经济业务设计的，内部控制可能会因经营环境、业务性质的改变而削弱或失效，可能会对不正常的或未预料到的业务类型失去控制能力。企业处于经常变化的环境之中，为保持竞争力，势必要经常调整经营策略，这就会导致原有的控制制度对新增的业务内容失去控制作用的情况发生。6、例外事件内部控

33、制主要是围绕着企业正常的生产经营活动，针对经常性的业务和事项进行的控制。但在现实企业中，由于复杂多变的外部环境使得企业常常会面对一些意外和偶发事件，而这些业务或事项由于其特殊性和非经常性，没有现成的规章制度可循，造成了内部控制的盲点。也就是说，内部控制的一个重大缺陷在于它不能应对例外事件。企业在处理这些事项时，往往更多地凭借管理层的知识和经验以及对环境变化的感知度，这就是所谓的“例外管理原则”。内部控制与企业风险管理的关系分析内部控制和企业风险管理的目的都是为了满足企业在不同环境中对不确定性的应对管理，从而达到组织预期目的以及持续发展。内部控制要对风险的不确定性在应对策略方面进行具体的分解和落

34、实，从而发挥化解风险、控制不确定性的作用，即内部控制是风险管理的业务实施和组织保障。总体来说，内部控制和风险管理学科的共同发展为企业运营提供了支持，在企业的实际需求下，两个学科的交融和切入更好地为企业解决其实际运营中的各种不确定性提供了完整的解决方案。（1）内部控制和风险管理各有侧重。内部控制侧重制度层面，通过规章制度规避风险；风险管理侧重交易层面，通过市场化的自由竞争或市场交易规避风险。一般来说，典型的内部控制依然是为了保证资金安全和会计信息的真实可靠，会计控制是其核心，内部控制一般限于财务及相关部门，并没有渗透到企业管理过程和整个经营系统，控制只是管理的一项职能；典型的风险管理关注特定业务

35、中与战略选择或经营决策相关的风险与收益的比较，如银行的授信管理、汇率风险管理、利率风险管理等，它贯穿于管理过程的各个方面。（2）内部控制与风险管理的根本作用都是维护投资者利益、保全企业资产，并创造新的价值。从理论上说，企业的内部控制是企业制度的组成部分，是在企业经营权与所有权分离的条件下对投资者利益的保护机制。其目的就是保证会计信息的准确可靠，防止经营层操纵报表与欺诈，保护公司的财产安全，遵守法律以维护公司的名誉以及避免招致经济损失等。企业风险管理则是在新的技术与市场条件下对内部控制的自然扩展。COSO认为，企业风险管理应用于战略制订与组织的各层次活动中。它使管理者在面对不确定性时能够识别、评

36、估和管理风险，发挥创造与保持价值的作用。风险管理能够使风险偏好与战略保持一致，将风险与增值及回报统筹考虑，促进应对风险的决策，减小经营风险与损失，识别与管理企业风险，为多种风险提供整体的对策，捕捉机遇以及使资本的利用合理化。（3）做好内部控制是做好风险管理的前提。风险管理的目的是要防止风险、及时地发现风险、预测风险可能造成的影响，并设法把不良影响控制在最低的程度。内部控制就是企业内部采取的风险管理，内部控制制度的制定依据主要是风险，在某些极端情况下（内部控制等于风险管理）甚至完全由风险因素来决定。风险越大，越有必要设置适当的内部控制措施，风险相当大时，还要设置多重内部控制措施。而且，做好内部控

37、制是做好风险管理的前提。企业只有从加强内部控制做起，通过风险意识的提高，尤其是提高企业中处于关键地位的中、高层管理人员的风险意识，才能使企业安全运行，否则，处于失控状态的企业最终将被激烈的市场竞争淘汰。总之，企业风险管理框架建立在内部控制整体框架的基础上，内部控制则是企业风险管理必不可少的一部分。风险管理框架的范围比内部控制框架的范围更为广泛，是对内部控制框架的扩展，是一个主要针对风险的更为明确的概念。企业风险管理框架强调在整个企业范围内识别和管理风险的重要性，强调企业的风险管理应针对企业目标的实现，在企业战略制订阶段就予以考虑，而企业在对其下属部门进行风险管理时，应对风险进行加总，从组织的顶

38、端、以一种全局的风险组合观来看待风险。此外，根据风险管理的需要，对企业目标进行重新分类，明确战略目标在风险管理中的地位。企业风险管理（一）企业风险管理（2004）架构1、基本框架2004年，COSO为企业风险管理确立了一个可普遍接受的定义，该定义融入众多观点并达成共识，为各组织识别风险和加强对风险的管理提供了坚实的理论基础，即企业风险管理是一个受企业董事会、管理层和其他人士影响的过程，运用于制订战略之中，并且贯穿整个企业，用以识别可能影响该企业的潜在事项，并且将风险控制在风险偏好的范围之内，为达到实体目标提供合理的保证。企业风险管理（2004）框架的主要贡献就在于，其重新界定了风险管理，即由目

39、标、要素和组织三个维度组成的有机整体。第一维度为企业的目标，即战略目标、经营目标、报告目标和合规目标。在主体既定的使命或愿景范围内，管理当局制订战略目标、选择战略，并在企业内自上而下设定相应的目标。企业风险管理框架力求实现主体的战略目标、经营目标、报告目标和合规目标。战略目标与高层目标相关，和企业使命相一致，企业所有的经营管理活动必须长期有效地支持该使命。经营目标与企业运营的效果和效率相关，包括业绩和利润目标，运营变化以管理当局对结构和业绩的选择为基础，旨在使企业能够高效地使用资源。报告目标与组织报告可靠性相关，包括对内报告和对外报告，涉及财务和非财务信息。合规目标层次较低，也是最基础的目标，

40、与组织遵循相关法律法规有关。第二维度为构成要素，即内部环境、目标设定、事项识别、风险评估、风险应对、控制活动、信息与沟通和监控。第三维度组织是企业的层级，包括主体层次、分部、业务单元及子公司。三个维度的关系是，全面风险管理的八个要素都是为企业的四个目标服务的；企业各个层级都要坚持同样的四个目标；每个层次都必须从以上八个方面进行风险管理。2、构成要素第二维度企业风险管理包含八个相互关联的要素。它们来源于管理当局经营企业的方式，并与管理过程整合在一起。这些构成要素的含义如下。内部环境内部环境包含组织的基调，它为主体内的人员如何认识和对待风险设定了基础，包括风险管理理念和风险容量、诚信和道德价值观，

41、以及他们所处的经营环境。目标设定必须先有目标，管理当局才能识别影响目标实现的潜在事项。企业风险管理确保管理当局采取适当的程序去设定目标，确保所选定的目标支持和切合该主体的使命，并且与它的风险容量相符。事项识别必须识别影响主体目标实现的内部和外部事项，区分风险和机会。机会被反馈到管理当局的战略或目标制订过程中。风险评估一通过考虑风险的可能性和影响来对其加以分析，并以此作为决定如何进行管理的依据。风险评估应立足于固有风险和剩余风险。风险应对管理当局选择风险应对回避、承受、降低或者分担风险采取一系列行动以便把风险控制在主体的风险容忍度和风险容量以内。控制活动一制订和执行政策与程序以帮助确保风险应对得

42、以有效实施。信息与沟通一一相关的信息以确保员工履行其职责的方式和时机，能被识别、获取和沟通。有效沟通的含义比较广泛，包括信息在主体中的向下、平行和向上流动。监控对企业风险管理进行全面监控，必要时加以修正。监控可以通过持续的管理活动、个别评价或者两者结合来完成。企业风险管理并不是一个严格的顺次过程，一个构成要素并不是仅仅影响接下来的那个构成要素。它是一个多方向的、反复的过程，在这个过程中几乎每一个构成要素都会影响其他构成要素。3、企业风险管理（2004）框架面临的问题企业风险管理（2004）框架在对企业风险管理进行定义时所强调的最重要也是最独具一格的一点是“贯穿整个企业，应用于战略制定中”。而这

43、一点在实践中却被误读，甚至被无视。COSO最初在编制ERM框架时采用了类似于内部控制框架所使用的立方体。虽然COSO对立方体右侧的内容进行了修改，删除了有关活动和流程，改为侧重于范围更广的实体和运营单位及分支机构，但许多企业依然试图在过于细微的层面实施该框架，例如运用于流程层面而非战略制定。许多组织机构将企业风险管理作为一种保证活动来实施，而不是将其视为一种更佳的企业管理方式，从而失去了治理效果。2008年金融危机以及2011年的日本海啸所引发的经济大萧条，“黑天鹅”“大变脸”事件频频爆发，ERM有关问题和价值的主张便开始明朗起来，令许多企业进入危机应对模式，企业风险管理的实施也因此受到企业特

44、别是C级高管的真正重视。6月24日，COSO委员会发布企业风险管理：风险与战略和绩效的协调，以向公众征求意见，截止日期为2016年9月30日。（二）企业风险管理（2016）框架的内容相对于企业风险管理（2004）框架，新版企业风险管理（风险与战略和绩效的协调）（2016）使用了构成元素加原则的结构，包括5个构成元素，细分为23条原则，2013年COSO组织更新了企业内部控制框架的部分内容，在文章的整体结构上就是采用的这种结构新的结构加强了新框架的可读性、可用性和一致性。新版ERM框架的五要素和23个原则。新版框架对ERM的定义为：组织在创造、保存、实现价值的过程中赖以进行风险管理的，与战略制订

45、和实施相结合的文化、能力和实践。可以看到，新版框架简化了ERM的定义以方便阅读和记忆。新定义方便的是所有读者的理解，而不只是风险管理从业者。新定义包括文化和能力而不只是过程，更加强调风险与价值的相结合，突出价值创造而不只是防止损失，这样也避免了和内部控制定义的界限不清。新版框架中，ERM被视为战略制定的重要组成和识别机遇、创造和保留价值的必要部分。新版框架中ERM不再是主体的一个额外的或是单独的活动，而是融入主体的战略和运营当中的有机部分。新版框架注意到了自旧版框架发布以来，组织在实践ERM过程中遇到的一些问题，包括对风险管理工作的定位，风险管理工作的范围和目标等，新版框架定义了风险管理工作的

46、高度，包括：战略和业务目标与使命、愿景和价值观不匹配的可能性；选定的战略所隐含的意义；执行战略过程中的风险。1、风险治理和文化风险治理和文化构成了ERM所有其他部分的基础。风险治理定下主体的基本基调，加强ERM的重要性并确立ERM的监管责任的分配；文化则是主体的价值观、行为准则和对风险的理解。（1）实现董事会对风险的监督。董事会对主体的风险监督负有首要责任。（2）建立治理和运作模式。在明确的责任分配下，组织应该建立完整的运营模式和汇报体系。（3）定义期望的组织行为。董事会和管理层通过定义其期望的行为将组织核心价值和对风险的态度具体化。（4）展现对诚实和道德的承诺。组织制定基调，建立员工行为准则

47、并对偏离准则的行为做出回应。（5）加强问责。组织确保各个层级的个体在风险管理方面的职责明确，并确保其自身在提供准则和指导方面的职责明确。（6）吸引、发展并留住优秀的个体。致力于根据战略和业务目标构筑人力资本，管理层通过在不同层面建立人力资源管理体系来吸引、培训、指导人才，评价和留住人才。2、风险、战略和目标设定ERM通过制订战略和业务目标的过程与主体的战略计划融合在一起。通过对商业环境的理解，组织可以得到对内在和外在因素的看法以及它们对风险的影响。组织在战略制订中确定其风险偏好，而业务目标使得战略得以实践并形成主体日常的运营。（1）考虑风险和业务环境。组织考虑业务环境对风险图谱的潜在影响；组织

48、要理解业务环境，考虑内部和外部的环境和不同的利益相关者。（2）定义风险偏好。组织在创造、保存和实现价值的过程中定义风险偏好。（3）评估可供选择的战略。组织评估可替代的战略和对风险状况的影响。（4）建立业务目标的同时考虑风险。组织建立不同层次的业务目标以制定和支持战略的同时考虑风险。（5）定义可接受的绩效浮动区间。可接受的绩效浮动也可以理解为风险容忍度。3、执行中的风险组织识别并评估可能影响其实现战略和业务目标的风险，结合企业的风险偏好，对风险按照其严重程度排分优先次序，组织选择风险应对的方法并对绩效进行监控以做出调整。这样，企业对追求战略和业务目标时所面临的风险量建立起一个组合的观念。（1）识

49、别执行中的风险。组织识别执行过程中影响业务目标实现的风险。（2）评估风险的严重程度。风险评估的重要工具是风险热力图，热力图从风险发生的可能性和影响程度两方面对风险进行评级。风险评价要从固有风险、目标剩余风险和实际剩余风险三个层级进行。（3）区分风险的优先次序。组织结合风险偏好，选定对风险排分优先等级的标准，然后对所有识别的风险进行排分。（4）识别并选择风险响应。这些控制活动在内部控制一整合框架中已经介绍。（5）评估执行中的风险。组织需要对绩效进行监测，如果绩效的浮动区间超出了可以接受的范围，则可能需要重新考虑业务目标或战略；调整目标绩效，重新进行风险评估；重新进行风险优先级的排序；重新制定风险

50、应对措施；重新确立风险偏好。（6）建立风险的组合观。管理层需要从组织整体角度考虑风险，将组织风险作为一个整体去和实现绩效目标所需要承受的风险进行对比，而不是将其视为一个个单独的、分散的风险。4、风险信息、沟通和报告沟通是在主体中不断迭代地取得并分享信息的过程。管理层利用从内部和外部取得的有效信息来支持企业风险管理工作，组织利用信息系统来捕捉、处理和管理数据和信息。通过利用应用于所有组成部分的信息，组织就风险、文化和绩效做出报告。（1）使用相关信息。组织利用支持企业风险管理的信息，首先考虑有哪些可用的信息来源，然后衡量取得这些信息的成本，最终确定需要哪些信息来源。（2）利用信息系统。信息系统可以

51、是正式的或者是非正式的。（3）沟通风险信息。沟通的对象既包括内部的员工，也包括董事会、股东及其他外部的利益相关者。沟通方法可以是电子信息、外部/第三方材料、非正式/口头、公共活动、培训和研讨会、内部文件。（4）对风险、文化和绩效进行报告。组织在各个层级对风险、文化和绩效做出报告。5、监控风险管理效果通过监控风险管理（ERM）的效果，组织可以判断ERM的各组成部分的长期运作是否良好并获知有哪些实质性的变化。（1）对重大变化进行监控。组织识别和评估可能对战略和业务目标的达成造成实质性影响的内部和外部变化。造成这些实质性影响的变化可能来自内部的原因，如快速成长、新技术或者管理层及其他人事变动；可能来

52、自外部环境，例如法规和经济环境的变化；还可能来自组织文化方面，例如并购和重组带来的文化冲击。（2）对ERM进行监控。组织应监控ERM的效果并随时准备对其进行效率上和实用性上的改善，组织同样要明确未来理想中的ERM状态，做到持续改进。SASNO.55：内部环境的形成1988年，美国注册会计师协会（AICPA）发布审计准则公告第55号（简称SASNO.55），第一次正式将控制环境纳入内部控制范畴，控制环境从此成为内部控制理论研究的重要方面。该公告首次提出“内部控制结构”的概念，指出控制环境是对建立、加强或削弱特定政策、程序及其效率产生影响的各种因素，这些因素包括经营管理理念、组织结构、董事会、授权

53、与分配责任的方法、管理控制方法、内部审计、人力资源政策与实务等。SASNO.55强调了内部环境中最关键的因素是与有效控制政策和程序制定、实施密切相关的管理层和董事会对控制的态度；并将“内部审计”作为环境因素，以强化监控。在要素的排列上，“组织结构”是受“经营管理理念”影响的，管理层决定了组织结构的安排；将“人力资源政策与实务”排在最后，作为保障性、支持性影响因素，这一思路一直影响到现在。我国的借鉴与创新2008年，财政部、证监会、审计署、银监会、保监会联合发布了企业内部控制基本规范。基本规范参照国际良好实践，结合我国企业具体情况对内部环境做了规定。内部环境是企业实施内部控制的基础，一般包括治理

54、结构、机构设置及权责分配、内部审计、人力资源政策、企业文化等。总体来说，基本规范借鉴了SASNO.55的表述方式，同时融入COSO92的先进理念。我国企业市场化发展起步较晚，内部控制成熟度较低，内部环境整体还处于低层次。在内部环境构成因素中，需要健全治理结构、完善机构设置。治理结构作为我国企业内部环境的首要因素是长期、正确的战略考虑，完善治理结构是上市公司的迫切任务，也是现阶段相关部门监管的重点。为强化内部监督，针对我国企业内部审计弱化、形同虚设的特点，参照美国早期的做法，基本规范将内部审计作为内部环境构成因素，要求企业保持内部审计在机构设置、人员和工作上的独立性。在企业成长、发展过程中，企业

55、文化是必不可少的重要环境因素。从中西方内部环境影响因素排列顺序来看，COSO两个报告都将文化因素排在前列，我国却将其排在最后。权衡制度管理与人本管理的关系，在没有良好制度的前提下，文化作为环境因素是相当脆弱的。我们认为，西方的人本管理是其制度管理的回归，在我国，制度管理是根本，人本管理是补充，我国企业需要补制度管理的课。但是，基本规范中相关因素的表述尚未达到西方良好实践的高度，如在管理哲学（方法）和经营风格（模式）方面未做基本概念的约定；权责分配因素采用权在前、责在后的中国式表述方式，不符合国际先进理念，按照COSO报告“目标责任权力”的思路，首先明确部门、人员目标，目标如果不能实现应承担责任

56、，为避免风险的发生（责任的承担）才赋予一定的权力，保持责权对等；在人力资源方面只强调“政策”制定，不强调政策的“执行（或实务）”。事实上，人力资源建设关键在于执行。内部环境如何发挥作用内部环境经常被称为公司治理的一部分，并且被视为是将那不同的相关活动维系在一起的“胶水”。也许你正在某种环境中工作，已经识别出无法很好开展工作的有关活动。例如，一个部门可能急需某种产品，但无法立刻得到，因为在适当的采购计划文书完成审批之前，采购部门不能订购相关产品。我们举一个简单的例子来说明内部环境是如何为保证所有团队在一起工作并为完成组织使命提供基础的。案例中是一个零售组织典型的商业循环。该组织采购商品用于销售；

57、采购的商品销售给客户；开发票给客户；然后回收资金。收回的资金再次被用于重复这样的循环周期。内部环境有助于保证为相关的但又各自不同的活动建立重叠的控制目标。例如，某一重叠的控制目标包括为销售给客户的所有物品开出发票，并且不再采购那些客户不需要的物品。有效内部环境的属性组织的董事会和执行管理层构建控制环境。不过需要说明的是没有一个绝对正确的内部环境，但存在有效的内部环境属性。这些属性可以采用许多不同的方法得到执行。有些属性是共同的，但是大部分属性将根据组织情况而选择不同的实施方法。一个有效的内部环境的属性主要包括以下内容。1、行为守则政策几乎所有组织都承认制定行为守则政策的必要性。行为守则政策是指

58、管理层对行为的定义，所有员工，包括执行管理层应当证实履行了他们的日常职责。2、企业的价值观公司确定的愿景是组织目标的理想化表述。例如Alibaba的愿景为“旨在构建未来的商务生态系统。我们的愿景是让客户相会、工作和生活在阿里巴巴，并持续发展最少102年”。在实现愿景方面，公司需要建立其希望融合到操作程序中的价值观。例如，阿里巴巴集团的6个价值观对于我们如何经营业务、招揽人才、考核员工以及决定员工报酬等方面具有指导性作用，具体包括如下内容。（1）客户第一：客户是衣食父母。（2）团队合作：共享共担，平凡人做非凡事。（3）拥抱变化：迎接变化，勇于创新。（4）诚信：诚实正直，言行坦荡。（5）激情：乐观

59、向上，永不言弃。（6）敬业：专业执着，精益求精。这些价值观需要被融合到执行工作和制定决策中去。例如阿里巴巴以客户第一为目标，马云在2014年赴美上市前向员工发布邮件，上市后仍坚持客户第一，员工第二，股东第三的原则。3、首席执行官成为楷模组织的高级职员应当以言传身教的方式教导所有员工遵守行为法则。对“首席执行官成为楷模”最好的描述是首席执行官必须“言行一致”。换句话说，如果首席执行官希望员工在公务旅行中遵守财务的限制性规定，例如，出差乘坐飞机的二等舱，那么除非有一个可以不这样做的商务理由，否则，首席执行官应当遵守规定。如果首席执行官希望公司中的每个员工根据内部控制的原则接受培训，那么，首席执行官

60、也应当参加此类培训。如果首席执行官想要成为一个楷模他必须以自身的表现和态度告诉组织内所有员工应该怎么做。4、组织结构（职责分离）董事会和高级管理层必须设定组织的结构，并进行适当的职责分离，以便能以高效和便捷的方式完成组织的使命。尽管不存在应用于所有组织的“正确”组织结构，然而，在COSO内部控制整合框架中所包含的指南提供了被认为是好的组织结构的指引。该指南的描述如下：组织结构应当既不能太简单，以至于无法适当地监督企业的活动，也不能太复杂，以至于禁止必要的信息流。主管人员应当完全了解他们的控制责任，并且具有与他们职务相匹配的经验和知识。有效组织的五个特征包括以下几方面。（1）整个组织结构应当是有