摘要：在经济全球化的外部环境中，企业所处的经营环境呈现复杂多变趋势，且面临的风险越来越大，这对企业公司治理、风险控制等均提出了新的要求。基于此，企业的内部控制不应局限于传统思路，而应以风险管理为核心，围绕企业目标，主动地去发现可能的内外部风险并将之纳入到内部控制中来。本文探讨风险管理与内部控制的关系，并就建立风险导向内部控制的可行性尝试探讨风险导向内部控制的构建策略。
关键词：风险管理；内部控制；可行性；建立架构。
随着世界经济的发展，以及科技进步和虚拟经济的出现，企业面临的市场环境更加千变万化。所有这些都增加了企业在运作中的风险。这使得企业对如何就面临的或潜在的风险进行有效的管理和控制越来越重视，并希望通过加强内部控制的方式达到管理风险的目的。建立风险导向型内部控制将成为我国企业实现可持续发展的重要手段。
一、风险管理的定义及其发展。
风险管理 （ Risk Management ）是指风险管理单位对风险进行识别、衡量、分析，并在此基础上有效地处置风险，以最低成本实现最大安全保障的科学管理方法。良好的风险管理有助于提高企业治理的水平，使之更好的为企业战略服务。
风险管理作为企业的一种管理活动，起源于20世纪50年代的美国。20世纪50年代前后的两大事件使得美国公司高层决策者开始认识到风险管理的重要性。一是1948年美国钢铁工人工会与厂方关于养老退休金和团体人身保险谈判破裂后，钢铁工人长达半年的罢工对于美国经济极为严重的影响；二是1953年8月12日，通用汽车公司的一个自动变速装置厂因火灾造成直接损失3千万美元、间接损失1亿美元的重大事件。这两大事件的发生，推动了美国风险管理活动的兴起。1956年拉塞尔-格拉尔在《风险管理-成本控制的新时期》中正式提出“风险管理”的概念。之后，美、英、德、法、日等国家也开始在企业管理中引入风险管理。伴随经济、社会和技术的迅速发展，科学技术的进步在给人类带来巨大利益的同时，也给社会带来了前所未有的风险。与之对应的同时，在美国的商学院里首先出现了一门涉及如何对企业的人员、财产、责任、财务资源等进行保护的新型管理学科，这就是风险管理。目前，风险管理已经发展成企业管理中一个具有相对独立职能的管理领域，风险管理和企业的经营管理、战略管理一样具有十分重要的意义。在中国，2006年6月，国务院国有资产监督管理委员会发布《中央企业全面风险管理指引》，标志着中国走上了风险管理的中心舞台，掀开了风险管理历史上新的一页。
风险管理具有对象的特殊性、范围的广泛性、管理的全面性等特点。关于企业风险的分类目前学术界尚无统一的说法，国外比较流行的风险分类方法是把企业风险区分为市场风险、信用风险、流动性风险、作业风险、法律风险、会计风险、资讯风险、策略风险八大类。在中国，国资委根据中国实际情况在《中央企业全面风险管理》中把风险分为战略风险、市场风险、运营风险、财务风险、法律风险五大类。
二、内部控制的定义及结合风险管理的内部控制体系实现的可行性。
内部控制是企业董事会、监事会、经理层和全体员工共同实施的旨在实现控制目标的过程。其目标为合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。具体内容包括控制环境、风险评估、控制活动、信息和沟通及监督等五个要素，涵盖了全面性、重要性、制衡性、适应性和成本效益五大原则。
内部控制和风险管理都服从和服务于企业价值最大化的战略目标。结合风险管理的内部控制体系是有其可行性的。内部控制是风险管理的重要手段，内部控制对风险的识别、化解与评价起着重要作用，为风险管理提供方法和依据。风险管理涵盖了内部控制的内容，囊括了内部控制的全部五个要素。二者相互联系，相互融合，共同为实现企业的战略目标而发挥作用。风险管理和内部控制体系在若干方面存在共性：（1）目标趋同。内部控制和风险管理都旨在提升企业价值，实现企业价值最大化的理财目标。而基于风险导向的内部控制是站在企业发展战略的高度来关注生产经营过程中的各种风险，最终实现企业的战略目标。（2）实施主体相同。内部控制和风险管理是一个系统工程，二者实施时都强调全员的参与性，并明确各个单位和每位成员在内部控制和风险管理活动中的权利和义务。（3）作用相同。内部控制和风险管理都体现在企业日常的生产经营活动中。二者在企业中相互作用，优势互补，最终实现管理水平的提高，以及企业价值的提升。
三、就风险导向建立内部控制的架构。
如何就风险导向建立内部控制的架构，笔者认为可从以下若干环节着手：
（一）需要在企业内部强化风险管理意识。《企业内部控制基本规范》和《企业内部控制配套指引》两大指导性文件， 需要企业全体员工都要认真学习和贯彻基本规范，从而提高风险管理意识。企业可以将对于风险管理理论的学习，制定在KPI中，要求员工在处理日常业务时充分地衡量风险与收益的关系，将风险管理转化为日常的自觉行动。企业要以内部控制环境为基础，努力创建企业的风险管理文化，并鼓励员工不断地学习先进的风险管理方法，以增强企业抵御风险的能力。在企业日常管理中，要明确内部控制的关键环节和流程风险管理人员的责任，实行风险管理激励机制，充分发挥每个员工在风险管理中的积极性，以保证内部控制体系的健康、有序运行。
（二）应建立有效的信息沟通机制，保证信息传递的畅通。企业应充分利用当前发达的信息技术和网络技术，并以当前信息化趋势为契机，加强企业信息化建设。方法上可以充分利用ERP、OA、企业邮箱等信息管理系统，使得整个企业各个环节上的控制点互相联系起来，实现信息实时共享。风险导向内部控制体系的建立要以风险的动态评估、处理为基础，只有充分利用网络信息技术，将相应的信息进行科学的筛选鉴别、汇总分类，并及时、有效地传递给管理层，以便于管理层及时采取相应措施，才能将风险控制在可以承受的范围内，避免企业造成更大的损失。同时，这也可以降低相应的实施人工成本及工作强度。
（三）应构建科学的风险评估机制以及风险预警系统。构建科学的风险评估机制是建立风险导向内部控制的重要内容。没有合理的风险评估机制，风险导向内部控制很难有效实施。科学的风险评估机制需要专业化的风险管理人才，企业应十分注重复合型的风险管理人才的培养。在构建科学的风险评估机制过程中，当企业利用信息技术对风险进行识别后，要找出关键的风险控制点，并进行后续风险分析和评价，以实现内部关键点的控制。企业可以从以下几个方面评估风险清单中的每一个风险：（1）建立一个尺度，以反映风险发生的可能性；（2）描述风险的后果；（3）估算风险对项目及产品的影响；（4）标注风险预测的整体精确度，以免产生误解。对风险进行评估后要采取驾驭风险的措施，如回避风险、分散风险、转移风险等等。关于构建风险预警系统，它也是风险导向内部控制体系重要组成部分。风险预警系统是利用企业生产经营过程中的数据信息，特别是会计数据信息，通过设置指标或者构建模型对企业的生产经营状况进行监控，以便于及时找出生产经营中的异常情况，将风险消灭在萌芽之中。在实际操作中，有条件的企业可以设置专门的风险预警部门，建立多层次、多部门相协调的风险预警体系。在实现信息共享的基础上，将财务指标和非财务指标结合，构建适合企业实际的指标体系。随之采取科学的风险评价分析方法，最大限度降低企业的生产经营风险，以实现内部控制的最终目标。
（四）应完善监督管理机制。风险导向内部控制体系作用是否有效，很大程度上依赖于对内部控制运行的有效监督。依据内部控制两大指导性文件的要求，风险导向内部控制体系要将不相容业务进行分离，同时完善授权审批制度，建立起相互牵制、相互制约的监督机制，以逐步建立健全全面风险管理系统。风险导向内部控制监督机制不仅要立足于企业内部，同时也需要延伸到企业外部，将内部监督和外部监督相结合。在监督实施中，应充分发挥内部审计在内部控制体系中的作用。对于在日常审计活动中发现的异常事项、内部控制缺陷以及相关的改进建议等及时向企业管理层报告，实现对内部控制运行情况的内部监督。同时，也应注重财税等政府部门、会计师事务所及其他中介机构的外部社会监督，以获得第三方独立性的评价。内外监督进行完善相结合，可以实现对内部控制的双重规范。
总之，基于风险导向的内部控制是企业内部控制非常重要的一个发展方向，对企业战略的实现有重大的意义与作用。企业的全体员工在掌握内部控制概念和特点的前提下，运用先进的理论和方法，积极主动的做好风险导向的内部控制，则必将为企业顺利实现企业战略和规划做出重大的贡献。
参考文献：
[1]杨博。中国企业基于风险管理视角的内部控制体系构建[J].北京市经济管理干部学院学报， 2009（2）。
[2]刘伟杰等。构建风险导向的内部控制[M].北京：中信出版社，2009.
[3]刘今秀。建设以风险管理为导向的企业内部控制体系[Z].中华通讯，2009（33）。
[4]文小亮。风险导向内部控制机制研究[J].中国注册会计师，2011（5）。
