关于企业风险管理与内部控制的联系与区别

全面风险管理与内部控制的联系与区别

当今社会，关于全面风险管理与内部控制的讨论有很多。有人认为二者是包含关系，又有人认为它们是相互独立的。为了探讨这个问题，我们首先来看一下COSO报告中二者的概念以及框架：

内部控制是由一个企业董事会、管理人员和其他职员实施的一个过程。其目的是为提高经营活动的效果和效率、确保财务报告的可靠性、促使与可适应的法律相符合提供一种合理的保证。

——COSO《内部控制的整体框架》 1992 全面风险管理是一个过程，它由一个主体的董事会、管理层和其他人员实施，应用于战略制订并贯穿于企业之中，用于识别那些可能影响主体的潜在事件，管理风险以使其在该主体的风险偏好之内，并为主题目标的实现提供合理的保证。

——COSO《企业风险管理—整合框架》 2004

1、它们都明确是一个“过程”，不是静态的结果，而是实现结果的一种方式。企业内部控制与风险管理都是渗透于企业各项活动中的一系列行动。这些行动普遍存在于管理者对企业的日常管理中，是企业日常管理所固有的。

2、它们都是为企业目标的实现提供合理的保证。

3、它们都由企业的董事会、管理层和其他人员实施，都受人的影响。

4、全面风险管理有四大目标，其中经营目标、报告目标、合规目标与内部控制的目标相重合。

5、二者的组成要素有五大重合，即控制环境、风险评估、控制活动、信息与沟通、监督。虽然内部控制的组成要素中不明确包含目标设定、事件识别、风险对策，但是这些要素其实都蕴含其中。风险识别与风险评估的先决条件就是制定企业目标和具体业务活动目标。而事件识别与风险识别又有异曲同工之妙。因此二者的组成要素实则是重合的。

由上述五点可以看出，全面风险管理与内部控制既有横向交叉也有纵向交融，二者并不是相互独立的：

面风险管理包含内部控制；内部控制是全面风险管理不可分割的一部分；内部控制是风险管理的一种方式，全面风险管理比内部控制范围广得多。

二、内部控制是全面风险管理的必要环节。英国Turnbull委员会（2005）认为，全面风险管理对于企业目标的实现具有重要意义，公司的内部控制系统在全面风险管理中扮演关键角色，内部控制应当被管理者看作是范围更广的风险管理的必要组成部分。对于企业所面临的大部分的运营风险，内部控制是必要的。

虽然二者有着紧密的联系，但全面风险管理与内部控制并不是完全相同的，它们仍有这样那样的区别：

一、两者活动范围不同。全面风险管理的范围更广。首先，它比内部控制多了个战略目标。其次，目前所提倡的全面风险管理包含了风险管理目标和战略的设定、风险评估方法的选择、管理人员的聘用、有关的预算和行政管理、以及报告程序等活动。而内部控制所负责的是风险管理过程中间及其以后的重要活动，如对风险的评估和由此实施的控制活动、信息与交流活动和监督评审与缺陷的纠正等工作。两者最明显的差异在于内部控制不负责企业经营目标的具体设立，而只是对目标的制定过程进行评价，特别是对目标和战略计划制定当中的风险进行评估。

二、两者的范畴不一致。全面风险管理贯穿于事前预测、事中控制和事后整改，而内部控制仅通过事中控制和事后整改以实现目标。内部控制只是管理的一项职能，是企业整体管管理的有机组成部分。

三、两者对风险的定义不一致。在COSO委员会的全面风险管理框架中，把风险明确定义为“对企业的目标产生负面影响的事件发生的可能性”（将产生正面影响的事件视为机会），将风险与机会区分开来；而在COSO委员会的内部控制框架中，没有区分风险和机会。

四、两者对风险的对策不一致。全面风险管理框架引入了风险管理哲学、风险偏好等新内容，在风险评估要素中，风险管理要求考虑内在风险与剩余风险，以期望值、最坏情形值或概率分布度量风险，考虑时间偏好以及风险之间的关联作用。该框架在风险度量的基础上，有利于企业的发展战略与风险偏好相一致，增长、风险与回报相联系，进行经济资本分配及利用风险信息支持业务前台决策流程等，这些内容都是内部控制框架中没有的。

国资委强调的是风险管理，财政部强调的是内部控制。多数培训机构的讲义都称作《风险管理与内部控制》，这两者之间到底什么区别和联系呢？

风险管理是指如何在一个肯定有风险的环境里把风险减至最低的管理过程。

所谓内部控制，是指一个单位为了实现其经营目标，保护资产的安全完整，保证会计信息资料的正确可靠，确保经营方针的贯彻执行，保证经营活动的经济性、效率性和效果性而在单位内部采取的自我调整、约束、规划、评价和控制的一系列方法、手续与措施的总称。

国内关于内部控制与全面风险管理的定义

（一）目前国内关于内部控制和全面风险管理的正式定义主要是财政部关于印发《企业内部控制规范——基本规范》和17项具体规范（征求意见稿）的通知以及国务院国资委发布的《中央企业全面风险管理指引》中有相关的表述。

财政部关于内部控制规范的《通知》中对内部控制的定义是：是指由企业董事会、管理层和全体员工共同实施的、旨在合理保证实现以下基本目标的一系列控制活动：企业战略；经营的效率和效果；财务报告及管理信息的真

实、可靠和完整；资产的安全完整；遵循国家法律法规和有关监管要求。

国资委《指引》中关于全面风险管理的定义是：指企业围绕总体经营目标，通过在企业管理的各个环节和经营过程中执行风险管理的基本流程，培育良好的风险管理文化，建立健全全面风险管理体系，包括风险管理策略、风险理财措施、风险管理的组织职能体系、风险管理信息系统和内部控制系统，从而为实现风险管理的总体目标提供合理保证的过程和方法。

（二）、国内关于内部控制和全面风险管理与COSO框架的差异

总体上来说，国内关于内部控制和全面风险管理的内容基本参照或遵从了COSO委员会《内部控制管理框架》和《全面风险管理框架》，但结合国内的实际情况和一些前沿的研究成果，国内对于内部控制和全面风险管理在各自领域都有不同程度的调整、拓展和延伸。

1、目标纬度：财政部关于内部控制的定义相对COSO委员会对内部控制定义在实现目标上有所拓展，增加了企业战略目标和资产的安全完整目标。而在国资委全面风险管理的实现目标增加了“确保企业建立针对各项重大风险发生后的危机处理计划，保护企业不因灾害性风险或人为失误而遭受重大损失。”另外，其他四个目标也与COSO全面风险管理四个目标在表述上有所差异，使之更适应我国企业经营管理表述习惯或者更具体而易于理解。从这个角度来说，特别是内部控制实现目标的拓展使得其与全面风险管理实现目标差异不大。

2、要素纬度：财政部内部控制《通知》形式上借鉴了COSO 报告5要素框架，同时在内容上体现了风险管理8要素框架的实质；国资委全面风险管理《指引》中则没有明确指出是5要素还是8要素，但通过风险管理基本流程将全面风险管理的一些要素融合到流程中，从实质来说，也体现的是8要素的COSO全面风险管理框架。

国内关于内部控制与全面风险管理运用的一些误区

（一）把内部控制与全面风险管理体系的建设理解为建章立制。其实从COSO框架的定义中，我们可以看出它们都被明确为是一个“过程”，不能当作某种静态的东西，如制度文件、技术模型等，也不是单独或额外的活动，如检查评估等，最好是内置于企业日常管理过程中，作为一种常规运行的机制来建设。

（二）内部控制体系和全面风险管理体系是相互独立的。建设内部控制和全面风险管理体系都是一个系统工程，两者在内涵上也有一定重合，企业需要综合考虑自身业务特点、发展阶段、信息技术条件、外部环境要求等，确定选择合适的管理体系和建设重点。比如，在监管严格的金融业或涉及人民生命健康的制药与医疗行业，风险管理的迫切性更强，企业以风险管理主导内部控制可能更方便。而在另一些企业，为了符合信息披露中内部控制报告的要求，企业以内部控制系统为主导、兼顾风险管理可能更适合。

（三）内部控制和全面风险管理的作用被夸大。有些企业对内部控制和风险管理体系的建设寄有过高期望，他们希望内部控制和风险管理可以确保企业的成功、确保财务报告的可靠性和法律法规的遵循性。而实际上无论多么先进的内部控制和风险管理体系都只能为企业相关目标的实现提供合理的而非绝对的保证。

（四）内部控制与全面风险管理理念在企业实践落地难。由于新的管理理念和方法的引进，与国内企业原有的管理体系和观点存在较多的差异和差距，目前这些理念和方法还更多的处于导入阶段，大多数企业管理人员还不能在这些框架和概念与企业的日常经营管理行为和语言之间建立直接的联系