引子： 2010年4月26日，財政部會同證監(jiān)會、審計署、國資委、銀監(jiān)會、保監(jiān)會等部門在北京召開聯(lián)合發(fā)布會，隆重發(fā)布了《企業(yè)內(nèi)部控制配套指引》（下稱“配套指引”）。該配套指引連同2008年5月發(fā)布的《企業(yè)內(nèi)部控制基本規(guī)范》，共同構(gòu)建了中國企業(yè)內(nèi)部控制規(guī)范體系，自2011年1月1日起首先在境內(nèi)外同時上市的公司施行，自2012年1月1日起擴(kuò)大到在上海證券交易所、深圳證券交易所主板上市的公司施行；在此基礎(chǔ)上，擇機(jī)在中小板和創(chuàng)業(yè)板上市公司施行。同時，鼓勵非上市大中型企業(yè)提前施行。施行企業(yè)內(nèi)部控制規(guī)范體系的企業(yè)，必須對本企業(yè)內(nèi)部控制的有效性進(jìn)行自我評價，披露年度自我評價報告，同時聘請會計師事務(wù)所對其財務(wù)報告內(nèi)部控制的有效性進(jìn)行審計，出具審計報告。政府監(jiān)管部門將對相關(guān)企業(yè)施行內(nèi)部控制規(guī)范體系的情況進(jìn)行監(jiān)督檢查。企業(yè)內(nèi)控基本規(guī)范和配套指引被稱為中國的“薩班斯法案”和“科索報告”，這標(biāo)志著我國將從企業(yè)內(nèi)部控制走向全面風(fēng)險管理。
一、 我國企業(yè)內(nèi)部控制體系的框架結(jié)構(gòu)
《企業(yè)內(nèi)部控制基本規(guī)范》和《企業(yè)內(nèi)部控制配套指引》初步建立起了具有中國特色的中國企業(yè)內(nèi)部控制體系的框架結(jié)構(gòu)。
《企業(yè)內(nèi)部控制基本規(guī)范》確定了企業(yè)內(nèi)部控制的5個目標(biāo)、5個原則、5個要素，總計50個項目，由5個部門簽發(fā)。
《企業(yè)內(nèi)部控制配套指引》由21項應(yīng)用指引（此次發(fā)布18項，涉及銀行、證券和保險等業(yè)務(wù)的3項指引暫未發(fā)布）、《企業(yè)內(nèi)部控制評價指引》和《企業(yè)內(nèi)部控制審計指引》組成。其中，應(yīng)用指引是對企業(yè)按照內(nèi)控原則和內(nèi)控“五要素”建立健全本企業(yè)內(nèi)部控制所提供的指引，在配套指引乃至整個內(nèi)部控制規(guī)范體系中占據(jù)主體地位；企業(yè)內(nèi)部控制評價指引是為企業(yè)管理層對本企業(yè)內(nèi)部控制有效性進(jìn)行自我評價提供的指引；企業(yè)內(nèi)部控制審計指引是為注冊會計師和會計師事務(wù)所執(zhí)行內(nèi)部控制審計業(yè)務(wù)的執(zhí)業(yè)準(zhǔn)則。三者之間既相互獨立，又相互聯(lián)系，形成一個有機(jī)整體。
我國企業(yè)內(nèi)部控制體系框架結(jié)構(gòu)如圖1所示。
二、COSO《內(nèi)部控制——整體框架》與《企業(yè)風(fēng)險管理——整合框架》
《內(nèi)部控制——整體框架》是美國科索委員會COSCO（Committee of Sponsoring Organizations） 在1992年發(fā)布的、并于1994年做出局部修正的已經(jīng)成為世界通行的內(nèi)部控制權(quán)威研究報告。
該報告指出，內(nèi)部控制是由企業(yè)董事會、管理層以及其他員工（三個層面）為達(dá)到財務(wù)報告的可靠性、經(jīng)營活動的效率和效果、相關(guān)法律法規(guī)的遵循等三個目標(biāo)而提供合理保證的過程。同時指出，內(nèi)部控制包括內(nèi)部環(huán)境、風(fēng)險評估、控制活動、信息與溝通、監(jiān)控等五個相互關(guān)聯(lián)的要素。這“三個層面”、“三個目標(biāo)”和“五個要素”構(gòu)成內(nèi)部控制的整體框架（如圖2所示）。
COSO《內(nèi)部控制——整體框架》強(qiáng)調(diào)風(fēng)險評估在內(nèi)部控制中的重要作用以及強(qiáng)調(diào)對內(nèi)部控制系統(tǒng)本身的監(jiān)控是內(nèi)部控制發(fā)揮作用的關(guān)鍵環(huán)節(jié)。
鑒于COSO《內(nèi)部控制——整體框架》發(fā)布后的到美國審計計總署和證券交易委員會（SEC）等的認(rèn)可和產(chǎn)生的廣泛影響，1995年美國注冊會計師協(xié)會（AICPA）發(fā)布《審計準(zhǔn)則公告第78號》，全面接受COSO報告。
2002年7月美國國會通過《薩班斯法案》即《2002年公眾公司跨及改革和投資保護(hù)法》（Sarbanes Oxley Act of 2002）的簡稱。《薩班斯法案》的頒布對內(nèi)部控制的研究也產(chǎn)生了廣泛而深刻的印象。其302條款規(guī)定，上市公司的CEO和CFO要在對外披露的財務(wù)報告中聲明對建立和維護(hù)本公司的內(nèi)部控制負(fù)責(zé)；CEO和CFO要對本公司內(nèi)部控制的有效性進(jìn)行評估，并向外部審計師說明器存在的重大缺陷和不足。同時，其404條款規(guī)定，上市公司應(yīng)在年度報告中增加對內(nèi)部控制的報告內(nèi)容；該報告應(yīng)當(dāng)聲明公司管理層對建立和維護(hù)財務(wù)報告內(nèi)部控制的責(zé)任，以及管理層對公司內(nèi)部控制有效性的評估意見；公司的外部審計師應(yīng)當(dāng)依據(jù)上市公司會計監(jiān)管委員會制定的審計準(zhǔn)則，對管理層提交的內(nèi)部控制評估意見進(jìn)行再評價，并出具評價報告。
2003年3月美國審計準(zhǔn)則委員會頒布了《審計準(zhǔn)則——在財務(wù)報告審計過程中對于財務(wù)呈報相關(guān)的企業(yè)內(nèi)部控制的審計》和《鑒證業(yè)務(wù)準(zhǔn)則公告——對與財務(wù)呈報相關(guān)的企業(yè)內(nèi)部控制的報告》，為《薩班斯法案》要求的外部審計業(yè)務(wù)提供指導(dǎo)。
《薩班斯法案》對通過強(qiáng)化企業(yè)內(nèi)部控制系統(tǒng)，從而防范和管理風(fēng)險，維護(hù)投資者的合法權(quán)益產(chǎn)生了積極而深遠(yuǎn)的影響。
2003年7月，COSO發(fā)布了《企業(yè)風(fēng)險管理——整合框架》的征求意見稿，并于2004年9月發(fā)布正式最終文本。這標(biāo)志著從企業(yè)內(nèi)部控制走向企業(yè)風(fēng)險管理。當(dāng)管理層通過制定戰(zhàn)略和目標(biāo)，力求實現(xiàn)增長和報酬目標(biāo)以及相關(guān)的風(fēng)險之間的最優(yōu)平衡，并且在追求所在主體的目標(biāo)的過程中高效率和有效地調(diào)配資源時，價值得以最大化。
企業(yè)風(fēng)險管理是一個過程，它由一個主體的董事會、管理層和其他人員實施，應(yīng)用于戰(zhàn)略制訂并貫穿于企業(yè)之中，旨在識別可能會影響主體的潛在事項，管理風(fēng)險以使其在該主體的風(fēng)險承受能力之內(nèi)，并為主體目標(biāo)的實現(xiàn)提供合理保證。企業(yè)風(fēng)險管理處理影響價值創(chuàng)造或保持的風(fēng)險和機(jī)會。企業(yè)風(fēng)險管理框架的四個目標(biāo)和八個要素。企業(yè)風(fēng)險管理框架力求實現(xiàn)主體的以下目標(biāo)：戰(zhàn)略（strategic ） 目標(biāo)——高層次目標(biāo)，與使命相關(guān)聯(lián)并支撐其使命；經(jīng)營（operations）目標(biāo)——有效和高效率地利用其資源；報告（reporting）目標(biāo)——報告的可靠性；合規(guī)（compliance ）目標(biāo)——符合適用的法律和法規(guī)。企業(yè)風(fēng)險管理包括八個相互關(guān)聯(lián)的構(gòu)成要素。它們來源于管理層經(jīng)營企業(yè)的方式，并與管理過程整合在一起。這些構(gòu)成要素是：內(nèi)部環(huán)境、目標(biāo)設(shè)定、事項識別、風(fēng)險評估、風(fēng)險應(yīng)對、控制活動、信息與溝通、監(jiān)控。企業(yè)風(fēng)險管理的目標(biāo)與構(gòu)成要素的關(guān)系如圖3所示。
三、從企業(yè)內(nèi)部控制走向全面風(fēng)險管理
從以上COSO的兩份報告來看，無論是目標(biāo)的類別還是構(gòu)成要素，企業(yè)風(fēng)險管理包涵了企業(yè)內(nèi)部控制。從目標(biāo)來看，《企業(yè)風(fēng)險管理——整合框架》較之《內(nèi)部控制——整體框架》增加了另一類目標(biāo)，即戰(zhàn)略目標(biāo)，它處于比其他目標(biāo)更高的層次。戰(zhàn)略目標(biāo)來自于一個主體的使命或愿景，因而經(jīng)營、報告、和合規(guī)目標(biāo)必須與其相協(xié)調(diào)。企業(yè)風(fēng)險管理應(yīng)用在戰(zhàn)略制訂以及朝著實現(xiàn)其他三類目標(biāo)邁進(jìn)的過程中。而《企業(yè)風(fēng)險管理——整合框架》的報告目標(biāo)較之《內(nèi)部控制——整體框架》財務(wù)報告目標(biāo)，范圍從財務(wù)報表拓展為不僅包含更加廣泛的財務(wù)信息，而且還包含非財務(wù)信息。從構(gòu)成要素來看，企業(yè)風(fēng)險管理框架拓展了內(nèi)部控制框架的風(fēng)險評估要素，創(chuàng)造了四個構(gòu)成要素——目標(biāo)設(shè)定（他在內(nèi)部控制中是先決條件）、事項識別、風(fēng)險評估和風(fēng)險應(yīng)對?？傊瑑?nèi)部控制被涵蓋在企業(yè)風(fēng)險管理之內(nèi)，是其不可分割的一部分。企業(yè)風(fēng)險管理比內(nèi)部控制更廣泛，拓展和細(xì)化了內(nèi)部控制。
從我國內(nèi)部控制體系框架結(jié)構(gòu)來看，我國的企業(yè)內(nèi)部控制在形式上借鑒了COSO內(nèi)部控制的框架，在內(nèi)容上體現(xiàn)了COSO企業(yè)風(fēng)險管理的實質(zhì)。
