内部控制与风险管理

有可能不履行其受托责任而损害股东的利益。另外，有限责任也有可能诱使企业从事风险过高的项目而损害债权人利益。因为在有限责任下，潜在的收益主要由企业（股东）获得，而失败即破产的风险则主要由债权人承担。上述风险不是市场化的，可以由市场竞争自发约束或市场交易提供避险，如产品质量或自然灾害等，而是机制问题，属于组织或交易中的代理问题，需要规则与制度进行规范。这些制度包括企业治理中的责任制度，如财务报告、内部控制及审计等。

　　内部控制或风险管理的根本作用都是维护投资者利益、保全企业资产,并创造新的价值。Fama＆Jensen(1983)分析了所有权与经营权分离下董事会的内部控制职能;Jensen(1993)进一步分析了美国公司董事会在内部控制方面失效的表现与原因。从理论上说,企业的内部控制是企业制度的组成部分,是在企业经营权与所有权分离的条件下对投资者利益的保护机制。其目的就是保证会计信息的准确可靠,防止经营层操纵报表与欺诈,保护公司的财产安全,遵守法律以维护公司的名誉以及避免招致经济损失等。内部控制的历史起源更早,其要求更为基本,更容易或适合上升到立法层次。企业风险管理则是在新的技术与市场条件下对内部控制的自然扩展。C0SO在《企业风险管理框架》中谈到风险管理的意义时是这样论述的:“企业风险管理应用于战略制定与组织的各层次活动中。它使管理者在面对不确定性时能够识别、评估和管理风险,发挥创造与保持价值的作用。风险管理能够使风险偏好与战略保持一致,将风险与增长及回报统筹考虑,促进应对风险的决策,减小经营风险与损失,识别与管理企业交叉风险,为多种风险提供整体的对策,捕捉机遇以及使资本的利用合理化。”COCO在解释广义的控制与风险时论述道(3):“‘领导’包括在面对不确定性时作出选择。‘风险’是指个人或组织在作出选择后遭受不利后果的可能性。风险正是机会的对应物。”显然,这些论述已经认识到企业的存在是为股东或利害相关者(针对非盈利性组织等)创造价值的,而价值创造不仅是被动的资产安全等,还应包括机会的利用。另外,对股东价值的威胁也不仅来自经营者会计舞弊等内部因素,还包括来自市场的风险等。

　　技术及市场条件的新进展，推动了内部控制走向风险管理。在先进的信息技术条件下，会计记录实现了电子控制、实时更新，使传统的查错与防弊的会计控制显得过时。然而，风险往往是由交易或组织创新造成的，这些创新来源于新兴的市场实践，如安然公司将能源交易大量发展成类似金融衍生品的交易。另一方面，环境保护及消费者权益保护的加强，都强化了企业的社会责任，若一有不慎，企业就可能遭受来自商品市场或资本市场的惩罚，表现为企业的品牌价值或资本市场上的市值贬损。因此，企业需要一种日常运行的功能与结构来防范风险，包括遵守法律与法规，确保投资者对财务信息的信任以及保证经营效率等。因此，从维护与促进价值创造这一根本功能来看，风险管理与企业内部控制的目标是一致的，只是在新的技术与市场条件下，为了更有效地保护投资者利益，需要在内部控制的基础上发展更主动、更全面的风险管理。

　　四、从内部控制走向风险管理

　　有一种争论，即风险管理包含内部控制，或内部控制包含风险管理。笔者认为得出什么样的结论并不十分重要，最重要的是明确风险管理与内部控制之间有重合与联系的地方。谁的范围更大，可能要随着时间、技术、市场条件、法律以及监管实践的发展而不同，例如，在内部控制发展的早期，市场上风险管理的工具与技术条件都不充分（如计算机系统、统计学理论、数量模型、对冲工具与保险等），这时内部控制包含（替代）风险管理功能是很自然的。即使在同一个时代，不同的行业各自的侧重点也可能不相同，例如，在监管严格的金融业或涉及人民生命健康的制药与医疗行业，风险管理的迫切性更强，企业以风险管理主导内部控制可能更方便。而在另一些企业，为了符合信息披露中内部控制报告的要求，企业以内部控制系统为主导、兼顾风险管理可能更适合。

　　正因为内部控制与风险管理有内在的联系，各国分别以不同的方式逐步将内部控制与风险管理联系起来。2004年1月8日，我国有关方面举办了“商业银行风险管理与内部控制论坛”，这表明我国银行业也开始将内部控制与风险管理联系起来。

　　巴塞尔委员会发布的《银行业组织内部控制系统框架》中指出：“董事会负责批准并定期检查银行整体战略及重要制度，了解银行的主要风险，为这些风险设定可接受的水平，确保管理层采取必要的步骤去识别、计量、监督以及控制这些风险……（4）”，这里显然是把风险管理的内容纳入到内部控制框架中。英国FSA（5）在《综合准则》（The Combined Code）中关于内部控制的规定，是第一次在官方文件里明确将风险管理包含在内部控制之中。该准则指出，董事会应该保持健全的内部控制系统，以保护股东的投资及企业的资产（原则D.2）。董事会至少每年一次，检查企业内部控制系统的有效性，并向股东报告。报告应该包括所有的控制，如财务的、经营的、遵从的控制以及风险管理（D.2.1）。这一规则是伦敦交易所上市企业必须要遵守的。

　　加拿大注册会计师协会控制标准委员会（C0C0）认为（6）“控制应该包括风险的识别与减轻”，其中的风险不仅包括与实现特定目标相关的风险，而且还包括一般性的，如不能识别和利用机会，不能使企业在面临未预料到事件以及不确定信息时保持灵活性或弹性。1992年COS0在《内部控制-整体框架》中将风险评估作为内部控制的五个组成要素之一，在最新出台的《企业风险管理框架》中又进一步将内部控制扩展为风险管理，明确提出风险管理包含内部控制。

　　笔者认为，在实际的经营过程中，风险管理与内部控制是密不可分的。在规则制定或立法过程中，需要考虑的是范围与管制的强度，范围越大，管制的要求就会越弱。对于其核心问题，如财务报告的准确可靠，最适合以立法的形式来约束，而其他更宽泛的内容则可能更适合于规则及指南。在企业内部的不同层次，风险管理与内部控制的主导性相对次序也可能不同，例如，从企业的战略风险依次到经营风险、财务风险，最后到财务报告，风险管理与内部控制的相对重要性应该各有不同。在战略风险方面，风险管理应该发挥主导作用，内部控制起到配合作用。这一角色逐步逆转，到财务报告层次，应该是内部控制发挥主导作用，风险管理起到配合作用。

　　尽管风险管理与内部控制有内在的联系，但现实中的或代表目前应用水平的内部控制与风险管理还有不少的差距。典型的风险管理关注特定业务中与战略选择或经营决策相关的风险与收益比较，例如，银行业的授信管理或市场（价格）风险管理如汇率、利率风险等。典型的内部控制是指会计控制、审计活动等，一般局限于财务相关部门。它们的共同点都是低水平、小范围，只局限于少数职能部门，并没有渗透或应用于企业管理过程和整个经营系统，因此，有时看上去风险管理与内部控制还是相互独立的两件事。随着内部控制或风险管理的不断完善和变得更加全面，它们之间必然相互交叉、融合，直至统一。

　　[参考文献]

　　[1]王光远，刘秋明。公司治理下的内部控制与审计[J].中国注册会计师，2003，（2）。

　　[2]周兆生。C0SO企业风险管理框架（中文版）[R].华融资产管理公司，2004.

　　[3]朱荣恩，贺欣。内部控制框架的新发展-企业风险管理框架[J].审计研究，2003，（6）。

　　[4] Committee of Sponsoring Organizations of the Treadway Commission （ COSO ）。 Internal Control - Integrated Framework [ R

上一页  [1] [2] [3]  下一页