伴隨著我國經濟的發(fā)展和企業(yè)的壯大，各種潛在的風險日益顯現。近年來，由于企業(yè)缺乏內部控制和風險管理，或者內部控制和風險管理失效而引發(fā)的巨額財產損失、經營失敗、破產或整頓的事件時有發(fā)生，如中航油新加坡公司、科龍、德隆等，這些企業(yè)災難性風險的相繼發(fā)生，促使很多企業(yè)越來越重視與加強公司內部控制和風險管理。
一、風險管理和內部控制
風險管理是指如何在一個存在風險的環(huán)境里把風險減至企業(yè)承受度之內的管理過程。內部控制是指一個單位為了實現其經營目標，保護資產的安全完整，保證會計信息資料的正確可靠，確保經營方針的貫徹執(zhí)行，保證經營活動的經濟性、效率性和效果性而在單位內部采取的自我調整、約束、規(guī)劃、評價和控制的一系列方法、手續(xù)與措施的總稱。
對于風險管理和內部控制二者的關系，在理論界一直存在不同看法。針對這一問題，我國2008年出臺《內部控制基本規(guī)范》時，在該文件中強調了二者的統(tǒng)一：內部控制的目標是防范和控制風險，并促進企業(yè)實現發(fā)展戰(zhàn)略，風險管理也是為了促進企業(yè)實現發(fā)展戰(zhàn)略，要求將風險控制在企業(yè)可承受范圍之內。這一觀點應該是代表了官方或者主流的觀點。
事實上，內部控制和風險管理是一脈相承的理論成果，很多理論界人士認為，COSO(2004)的風險管理框架中超過60%的內容得益于COSO(1992)的內控框架，而COSO也在新的風險管理框架中明確指出，風險管理框架建立在內部控制框架的基礎上，是對內部控制框架的擴展。也就是說風險管理與內部控制并非平行的關系，應該說內部控制是風險管理的淵源，風險管理是當前經濟條件下對內部控制的完善和提升，從而更加豐富和拓展了內部控制的內涵和外延。
但內部控制和風險管理彼此也存在差異，各有側重。內部控制側重制度層面并通過規(guī)章制度來規(guī)避風險；風險管理則側重交易層面并通過市場化的自由競爭或市場交易規(guī)避風險。一般來說，典型的內部控制依然是為了保證資金安全和會計信息的真實可靠；典型的風險管理關注特定業(yè)務中與戰(zhàn)略選擇或經營決策相關的風險與收益的比較，它貫穿于管理過程的各個方面。風險管理更強調主動的對未來的判斷，管理的關鍵在于管理層通過積極的監(jiān)管手段，根據內外因素的變化，抓住機遇，事前應對，創(chuàng)造收益，增加收益。因此，風險管理是內部控制在新技術和市場條件下的自然延伸，風險管理包括內部控制，內部控制是風險管理的基礎。
內部控制只能防范風險,不能轉嫁、承擔、化解或分散風險。所以即使建立了合理而有效的內部控制系統(tǒng)，科學而全面的風險管理仍然是必不可少的，不能將它們二者混為一談。對于企業(yè)經營活動中發(fā)生概率較大，且企業(yè)能夠承擔控制成本的風險，要力求通過企業(yè)自身的控制系統(tǒng)，并依托以財務管理為中心的企業(yè)管理體系予以控制。對于發(fā)生概率較小，或控制成本較大的風險，則應在加強管理、增強自身素質的基礎上，降低風險對企業(yè)的影響程度。
二、我國企業(yè)內部控制與風險管理的現狀
（一）企業(yè)內部環(huán)境基礎薄弱
內部環(huán)境的特性最終會影響企業(yè)戰(zhàn)略和目標的確立，會對風險的識別、評估和風險對策的實施產生影響。受長期經營歷史的影響，我國多數企業(yè)內部環(huán)境不完善，從而導致內部控制和風險管理的建設和執(zhí)行存在缺陷。其中最典型的表現就是公司治理方面的缺陷，表現為股東大會和監(jiān)事會的作用難以發(fā)揮，中小股東的知情權、質詢權無從體現。很多上市公司在形式上建立了董事會、監(jiān)事會，聘任了總經理班子，但在實際工作中，真正的法人治理結構并未建立?！岸隆辈弧岸隆?，經常只是一個虛職；監(jiān)事會也只是一個受董事會控制的議事機構，起不到監(jiān)督作用。
此外，企業(yè)發(fā)展缺乏戰(zhàn)略眼光，“食品安全、安全事故、員工權益”等有關社會責任、企業(yè)文化方面的問題也是層出不窮。
（二）對內控和風險管理的認識不夠
目前，有相當一部分企業(yè)管理者對內部控制和風險管理認識不足，往往用傳統(tǒng)經驗來替代規(guī)范化的管理措施和手段。要么根本就沒有建立內部控制制度，要么雖然建立了制度，但對風險管理的認識只是停留在職能管理的層面上，缺乏戰(zhàn)略性、系統(tǒng)性的規(guī)劃。而且大多數員工還沒有理解和認同風險管理，因此，就無法落實到具體的日常工作中，未能實現立體交叉、多角度、全方位的風險預防監(jiān)控，內部控制建設不成體系，步入了內控建設的另一個誤區(qū)。例如1994年在上海證券交易所上市，曾一度是國內股市中少有的績優(yōu)股的長虹公司在2004年12月28日發(fā)布了上市10年以來的首次預虧公告，虧損主要源自對單一應收賬款戶(美國APEX公司)的壞賬準備，從1998年到現在，APEX公司已經累積拖欠四川長虹4.67億美元貨款。背后的原因是對運營風險掌握不足，缺乏有效的內部控制制度，在應收賬款回收方面存在諸多問題,管理者可能刻意隱瞞已發(fā)生的損失。
?。ㄈ┕芾韺恿桉{于內控制度之上
內部控制側重于服務高層管理者控制資產、業(yè)務的需要，側重于對企業(yè)中層管理者和員工的控制，對于高層管理者則缺乏制約效力，而企業(yè)往往會因為缺乏對公司高層管理者的有效控制和監(jiān)督而陷入風險之中。國內企業(yè)高管違規(guī)的案例可謂是層出不窮，例如伊利公司董事長鄭俊懷2004年12月因被控動用公司資金進行MBO落馬、創(chuàng)維公司董事局主席黃宏生因透過貪污手法進行詐騙及挪用公司資金被拘等等。這些案例背后的主要原因就是管理層違規(guī)經營，而企業(yè)內部缺乏有效的監(jiān)督機制。
?。ㄋ模╋L險管理手段相對落后
經過若干年的發(fā)展，我國企業(yè)風險管理的水平有了長足的發(fā)展。但在實務中，仍有較大比例的企業(yè)管理者尚未完全接納風險管理的思想和理論，導致企業(yè)風險管理仍處于起步階段，缺乏科學合理的風險辨識、監(jiān)測、分析、控制、報告等手段，更缺少專門化的風險管理工具，風險分析方法僅限于財務指標等靜態(tài)分析。內部報告制度不健全和執(zhí)行不嚴格，內部報告的時效性、針對性和有效性不強。財務電子信息系統(tǒng)的數據輸入和輸出、文件的儲存與保管和網絡安全等方面存在漏洞和隱患。
（五）現有業(yè)務流程存在問題
業(yè)務流程重組（BPR）是美國哈默博士為了提高企業(yè)的競爭力、生存能力和發(fā)展能力，于二十世紀90年代提出的一種現代企業(yè)管理思想和方法。在我國已經喊了多年，很多企業(yè)也相繼開展了類似的工作，但實際效果卻不盡如人意。主要的問題體現在企業(yè)的業(yè)務流程重組忽略整體性，將流程誤解為簡單的活動鏈，忽視了業(yè)務流程是貫穿其余的全流程屬性。同時，大多數流程過細，沒有分級概念，不利于監(jiān)控和維護。審批繁瑣，環(huán)節(jié)多，時間長，反應速度較慢，不利于企業(yè)競爭力提高。在進行流程管理時仍沿襲原有的管理模式，過分依賴金字塔型結構的垂直管理，水平方向的流程管理缺失嚴重。
?。﹥炔靠刂平M織領導不到位，執(zhí)行不力，缺乏對內部控制的評價監(jiān)督機制
對任何企業(yè)來說，再完美的制度，如果得不到嚴格執(zhí)行，就是一種擺設。而目前，部分企業(yè)領導者認為內控制度只是會計管理部門或財務管理部門或內部審計部門的事，缺乏統(tǒng)一領導，統(tǒng)一部署，虎頭蛇尾，不了了之。
三、構建風險管理型的內部控制機制
（一）強化企業(yè)內部環(huán)境
內部環(huán)境是企業(yè)內部控制的根基，完善與否直接影響到企業(yè)內部控制的建設和執(zhí)行，以及企業(yè)經營目標及整體戰(zhàn)略目標的實現?！拔覀儽仨毷冀K如一地遵守內部控制，直到被傷害為止?！币晃幻绹鴥炔靠刂茖＜胰缡钦f。這充分體現了建立風險管理型的內部控制機制嚴峻性和艱巨性。內部環(huán)境主要包括組織架構、發(fā)展戰(zhàn)略、人力資源、社會責任和企業(yè)文化等。我國企業(yè)首先應該結合自身的實際情況建立并完善自身的治理結構，建立科學的聘用、培訓、輪崗、考評、晉升、淘汰等人事管理制度，確保公司職員具備和保證正直、誠實、公正、廉潔的品質與應有的專業(yè)勝任能力。在發(fā)展的過程中形成具有本企業(yè)特點的企業(yè)文化，并承擔起應有的社會責任。
?。ǘ﹥?yōu)化相關業(yè)務流程
業(yè)務流程的優(yōu)化主要包含兩個層面的含義，一是前面所講到的BPR，即改善或重組業(yè)務流程，建立全球范圍內的友好關系界面，提高響應速度，降低運營成本，為客戶提供更優(yōu)質的產品和服務。另一個層面即指按照國家相關部門發(fā)布的指導性文件，例如《內部控制基本規(guī)范》及配套指引，及時梳理現有業(yè)務流程，篩選出需要進行風險管控的重點業(yè)務流程，對流程各節(jié)點風險情況進行分析，提煉出該流程風險管控信息。對相關業(yè)務流程和關鍵風險點加強有效的監(jiān)控，確保能有效控制業(yè)務流程中的任一環(huán)節(jié)，及時預警和報告重大風險事項。同時進行定期的審查流程執(zhí)行情況，確保有效實施各環(huán)節(jié)的風險管理措施。
?。ㄈ嫿L險管理組織機構
為實現有效的風險管理，必須構建完善的組織機構。首先要規(guī)范公司法人治理結構，設立風險管理委員會。二是有條件的企業(yè)要設立獨立的風險管理部門。風險管理部門隸屬于風險管理委員會，接受首席風險官的直接領導，與其他的業(yè)務部門形成矩陣式的組織結構，組織機構之間進行相互協調。
?。ㄋ模┡嘤退茉祜L險管理文化
把企業(yè)文化建設作為企業(yè)內部控制的基礎性工作，作為培植企業(yè)內部控制制度建設的“土壤”。泰勒曾指出：“在引進最好的制度之后，獲得成功的程度同管理人員的能力、言行一致及其職權受到的尊重成正比例”。即好的環(huán)境條件不僅是企業(yè)成功的基礎也是內部控制制度得到貫徹執(zhí)行的關鍵。樹立“風險管理，全員風險管理”的理念，增強全體員工風險管理意識，并把這種風險管理意識轉化為自覺的行動，形成人人關注風險、事事關注風險、時時關注風險的良好風險管理氛圍。
?。ㄎ澹┙L險管理信息系統(tǒng)和評價機制
一個良好的管理信息系統(tǒng)將有助于提高內部控制的效率和效果，具體說將有助于控制標準的建立和修正、控制活動成效的評定、控制報告的擬定,以及改進建議的及時傳達。通過管理信息系統(tǒng)，企業(yè)內部的員工能夠清楚地了解企業(yè)內部控制制度，知道其所承擔的責任，并及時取得和交換他們在執(zhí)行、管理和控制企業(yè)經營過程中所需的信息，使他們能夠順利履行其職責。
構建切合實際的內部控制評價機制，根據各自的實際情況，通過確定風險控制環(huán)節(jié)，分解、落實機構內各部門、各崗位管理職責，并對每一環(huán)節(jié)的控制狀況進行檢查、評價和考核，強化風險管理責任，提高全員風險防范的意識和能力，從而全面有效地控制經營風險。由此可以進一步推進風險管理在每個成員之間的有效實施，并可以將內部控制管理由個人行為和操作行為提升到企業(yè)的整體行為，推進企業(yè)的內控管理水平不斷上新臺階。
結束語
綜上所述，企業(yè)內部控制與風險管理二者是一個動態(tài)的統(tǒng)一體。縱觀現實，我國企業(yè)在內部控制和風險管理上還存在著諸多問題，需要進一步建立和完善內部控制制度，實行風險管理型內部控制，以彌補傳統(tǒng)內部控制存在的漏洞。
