爱华网
系列专题：《国有企业内部控制框架》
三、国际内部控制最新发展对我国企业内部控制和风险管理的影响企业内部控制与风险管理是难以区分的。一方面，内部控制是因为风险而存在，企业若没有风险就没必要有内部控制，企业内部控制是企业风险管理的重要内容；另一方面，不论理论上还是实践上，企业内部控制的发展极大地推动了企业风险管理的发展，这一点可以从COSO内部控制框架与企业风险管理框架的关系便可清晰发现。企业内部控制的发展，核心是控制企业的风险、提高企业可持续发展能力，因而，为了提高我国企业内部控制和风险管理水平，结合国际内部控制和风险管理的最新发展，中国企业尤其是国有企业应当高度重视以下问题： （一）加强对控制环境的管理 按COSO内部控制框架的定义，控制环境包括企业的诚信和道德观、管理层的管理理念和经营风格、员工胜任能力、公司的董事会和审计委员会、组织结构及权责分配、人力资源政策和实践等要素。控制环境是内部控制其他因素的基础，直接影响着企业员工的控制意识，决定了企业的基调。2004年度美国公司披露的财务报告内部控制缺陷主要体现在技术层面，即财务系统与程序。在控制环境等方面的内部控制缺陷比例相对较低。而与美国公司相比，我国在美上市公司可能同样存在一些技术层面的问题，但更大的挑战来自公司的控制环境。过去，中国公司普遍缺乏强化内部控制标准的环境，致使一些公司尽管建立了内部控制机制，但缺乏规范和齐全的内部控制标准，这也是很多公司付出了巨大的合规成本，但仍面临无法确定能否顺利过关的重要原因之一。404条款看似简单的背后，牵扯着公司整体内部控制流程和财务体系的重整。 在应对SOX法案挑战过程中，我国公司应加强企业控制环境的建设。通过企业文化建设、制定行为准则和道德规范，引导员工确立并坚定正确的价值取向，公司各级管理者应当以身作则以体现其高水平的道德标准；要确定企业的管理基调、道德观和价值观，找到整个企业重视风险的依据；设定明确的企业总体目标和与之相配套的具体目标；确定合理的组织架构和恰当的职责分工；保持有效的审计委员会的存在，使审计委员会能在公司治理中发挥重要作用。 （二）加强对企业风险的管理 COSO委员会2004年9月发布的《企业风险管理综合框架》指出，企业风险管理是企业的董事会、管理层和其他员工共同参与的一个过程，应用于企业的战略制定和企业的各个部门和各项经营活动，用于确认可能影响企业的潜在事项并在其风险偏好范围内管理风险，对企业目标的实现提供合理的保证。企业风险管理包括八个相互关联的组成要素：内部环境、目标设定、事件识别、评估风险、应对风险、控制活动、信息与沟通和监督。AS2规定，公司管理层必须识别重要会计科目和披露事项以及相关财务报表认定中存在的重大错报风险，并实施控制程序以预防或发现可能导致重大错报的现象。对于必须具备有效的风险评估基础的公司，如果其风险评估有效至少应被视为重要缺陷，并且是实质性漏洞存在的明显迹象。 在西方发达国家中，公司风险和风险管理成为管理者关注的头等大事，风险管理成为企业的一个重要职能。而我国目前进行全面风险管理的企业基本还局限在金融、保险等高风险行业，大部分企业仍处于加强企业内部控制建设的阶段，尚未建立相应的风险管理机制对风险进行系统的管理，也未形成清晰的风险管理理念、政策和程序。在应对SOX法案挑战的过程中，我国公司应借鉴《企业风险管理综合框架》的规定来加强对风险的管理。企业的目标制定是风险管理的起点，在目标制定的前提下，公司应对影响目标的风险进行事件识别，进而对识别的事项进行风险评估，风险评估驱动风险应对，从而影响控制活动，信息与沟通和监督贯穿于企业风险管理的整个过程，并对前面的各个组成要素进行修正。
