一、内部控制
内部控制的概念是在实践中逐步产生、发展和完善起来的。早在上世纪70年代中期，作为美国“水门事件”调查结果，立法者和监管团体开始对内部控制问题给以高度重视。为了制止美国公司向外国政府官员行贿，美国国会于1977年通过了“国外腐败实务法案（1977）”。该法案除了反腐败条款外，还包含了要求公司管理层加强会计内部控制的条款。该法案成为美国在公司内部控制方面的第一个法案。1978年，美国执业会计协会下面的柯恩委员会（Cohen Commission）提出报告，一是建议公司管理层在披露财务报表时，提交一份关于内控系统的报告；二是建议外部独立审计师对管理者内控报告提出审计报告。1980年后，内部控制审计的职业标准逐渐成形。而且，这些标准逐渐得到了监管者和立法者的认可。
COSO《内部控制统一框架》首先强调的是内部控制目标。因为COSO认为，没有预定的目标，谈控制就没有任何意义。早期的内控制度一般有两项目标，一是财务报告的可靠性目标，二是合规性目标。COSO认为内部控制制度主要是为了满足管理层的需要，而管理层的职责是制定本单位的各项目标，并配置人力资源和物质资源以达到这些目标，因此，除了以上两项目标以外，内部控制的首要目标是合理确保经营的效果和效率。
二、全面风险管理
多年来，人们在风险管理实践中逐渐认识到，一个企业内部不同部门或不同业务的风险，有的相互叠加放大，有的相互抵消减少。因此，企业不能仅仅从某项业务、某个部门的角度考虑风险，必须根据风险组合的观点，从贯穿整个企业的角度看风险。即要实行全面风险管理（Enterprise Risk Management，简称ERM）。然而，尽管很多企业意识到全面风险管理，但是对全面风险管理有清晰理解的却不多，已经实施了全面风险管理的企业则更少。为了改变这种状况，COSO从2001年起开始进行这方面的研究，于2003年7月完成了《全面风险管理框架》（草案）（下称ERM框架），并公开向业界征求意见。
根据ERM框架，“全面风险管理是一个过程。这个过程受董事会、管理层和其他人员的影响。这个过程从企业战略制定一直贯穿到企业的各项活动中，用于识别那些可能影响企业的潜在事件并管理风险，使之在企业的风险偏好之内，从而合理确保企业取得既定的目标。”ERM框架有三个维度，第一维是企业的目标；第二维是全面风险管理要素；第三维是企业的各个层级。第一维企业的目标有四个，即战略目标、经营目标、报告目标和合规目标。第二维全面风险管理要素有8个，即内部环境、目标设定、事件识别、风险评估、风险对策、控制活动、信息和交流、监控。第三个维度是企业的层级，包括整个企业、各职能部门、各条业务线及下属各子公司。ERM三个维度的关系是，全面风险管理的8个要素都是为企业的四个目标服务的；企业各个层级都要坚持同样的四个目标；每个层次都必须从以上8个方面进行风险管理。该框架适合各种类型的企业或机构的风险管理。
全面风险管理和内部控制与企业的运营息息相关，人们应该积极解决现存的问题，不断完善其体系，从而提高企业躲避风险的能力，加强内部管理控制。
一、全面风险管理的兴起与发展
（一）全面风险管理的兴起与发展
20世纪30年代，一场世界性的经济危机席卷了大部分的资本主义国家，大量企业倒闭，经济萎靡不振，人们开始认识到企业风险管理的重要性。随后，美国在实践中提出了“风险管理”理论并被大部分国家接受。至20世纪70年代，随着经济的迅速发展，贸易向着复杂化前进，全面风险管理日臻成熟，理论体系更加完善[1]。然而，与理论的发展相比，实践中，全面风险管理制度的应用却不尽人意，世界上大量企业的内部存在严重漏洞，建立全面风险管理的意识有待提高。
（二）全面风险管理的必要性和重要性
1、竞争的激烈性增加了企业风险。随着经济的迅速发展，企业之间的竞争日益激烈，兼并、倒闭现象时有发生，人才流失也愈发严重，经济危机的可能性依然存在，在这样的背景下，企业风险增加，因此，只有通过全面风险管理，对各个风险进行评估，制定有效的风险管理策略，对风险管理政策中的方案进行监督，才能帮助企业尽可能地抵制风险，实现利益最大化。
2、企业内部的漏洞会给企业带来严重的灾害。在企业正常运营周期内，由于各种原因，会产生对企业致命的漏洞。众所周知，企业内部贪腐现象屡禁不止，每一次的经济政策波动都导致部分企业深陷泥潭，这样的现象屡屡发生，其根本原因是企业经营不善，体系不够完备。因此，建立全面风险管理体系，及时发现企业内部不足，是当今各个企业都应着手解决的重要问题。
3、有计划地为企业降低风险。由于全面风险管理能够根据较为准确的信息，有效预测、评估风险，并及时制定相应的应对措施，因而，当面临风险时，企业能够应对自如，以最佳的策略解决当前危机，降低了企业的风险，帮助企业减少损失。
二、全面风险管理与企业内部控制的关系
全面风险管理与企业内部控制自提出以来，人们对二者的关系如何界定展开了一系列的讨论，至今，依然有部分人把二者作为等同物来看待，事实上，二者并不是相等的，它们关系深厚，却不尽相同。
（一）全面风险管理与企业内部控制的不同点
1、工作重点不同。全面风险管理侧重于事前风险预算与评估。也就是说，全民风险管理体系的建立，要首先搜集风险相关的可靠信息，并对其进行评估，然后要制定方案及措施，从整体上来看，全面风险管理以事前控制为主；企业内部控制则是过程性控制，是保证企业正常运营的关键所在，包括技术管理控制、人员管理控制及会计控制等等，是在企业经营过程中，对所产生的问题进行解决。
2、实施原则不同。全面风险管理，顾名思义以回避风险为主要原则，目的是实现企业风险最小化甚至零风险化，保证企业的正常运营，使企业获取最大利益；而企业内部控制则以解决风险为原则，对企业所遭遇的风险，制定有效措施，使企业在风险中损伤最小，或者反损伤为盈利。
（二）全面风险管理与企业内部控制的关系
1、包含与被包含的关系。全面风险管理与企业内部控制最重要也是最明显的关系就是包含关系。企业内部控制作为全面风险管理的一个子系统，同时为企业降低风险、保证正常运营而服务。
2、相互统一，并相互融合。虽然全面风险管理与企业内部控制是两个不同的体系，或者说是母系统和子系统的关系，但是二者的宗旨是相同的，并且二者的差异性也恰好在企业运营中所统一，并呈现出逐步融合的局面。[2]
三、企业在全面风险管理和内部控制中存在的问题
（一）混淆二者，缺少重点。尽管全面风险管理包含着内部控制，但是并不代表二者能够相互混淆。在金融业，如银行等企业中，应实施以全面风险管理为重点，企业内部控制为辅助的体系，而在大部分其它企业中，应以企业内部控制为关键，以风险全面管理为侧重点进行管理的现象。一味地混淆二者，导致企业内部缺少重点管理体系，是造成企业经营失败的重要原因之一。
（二）缺少专业性，数据误差较大。在进行全面风险管理过程中，导致了对风险评估的误差偏大，从而给企业的经营带来了危险。另外，由于企业内部体系不完善、工作人员专业水平的限制，致使企业无法发挥全民风险管理和内部控制的作用，使企业难以躲避风险，实现利益最大化。
（三）搜集信息能力不足。科技的发展促使了经济的变革，当今信息更新速度极快、包容量极大，因此，必须运用合理的手段进行有效信息的搜集。但是，不少企业由于自身现代化手段的限制，搜集信息能力明显不足，无法为风险评估提高可靠、准确、安全的数据，从而致使企业不能有效应对风险。
（四）对风险评估及其解决方案依赖性过强。由于各个企业在相关方面意识的提升，逐渐完善了全面风险管理和内部控制，但是，正是由于较快的发展速度和较高的发展水平导致了大部分企业完全依赖于风险评估结果及其解决策略，因此，当企业面临意料之外的风险时，不能积极有效应对，给企业带来了严重的后果。[][3]
四、企业应如何进行全面风险管理和内部控制
（一）从企业实际需要出发。一般情况下，银行类的金融性企业需要建立有效的全面风险管理体系，并以此为重点，对风险进行正确评估、制定解决方案，但是其它性质的企业，更需要完备的内部控制体统，及时发现企业运营中的问题并积极解决。因此，企业要根据需要，选择适合的体系作为重点。
（二）建立并提高企业风险管理和内部控制的意识。虽然全面风险管理和内部控制体系得到了质的飞越，但是在实践应用中意识依然有待提高，需要认识其重要性，一定程度上增加对全面风险管理和内部控制体系的投入，从而有效地为公司运营保驾护航。
（三）完善相关体系，制定实用原则。由于企业没有详细的实施准则，内部体系存有漏洞，当企业遇到问题时不能及时发现，更不能有效解决，导致企业难以度过危机。因此，各个企业必须不断完善和优化全面风险管理体系和内部控制，使其成为企业运营的得力助手。
（四）提高工作人员的专业性。部分公司建立了全面风险管理体系或内部控制体系，但是依然无法躲避风险，在各个危机中遭受巨大损失，很重要的一个原因就是相关工作人员没有正确评估、没有及时发现问题以及在问题发生时没能采取有效措施，因此提高工作人员的专业性很有必要。企业内部要对相关人员进行培训，保证工作者的专业知识和不断获取新信息的能力。
五、中国企业的全面风险管理和内部控制
（一）我国全面风险管理和内部控制的现状
随着经济的多元化及竞争的日趋激烈，中国企业逐渐开始重视全面风险管理和内部控制体系的建立，甚至风险管理的专门企业和网站也开始出现，可以说，我国在此方面取得了明显的进步，但是和西方百年来沉淀下的管理经验相比，我国依然存在很多不足之处。
1、权责混乱，随意性明显。我国大部分企业没有明确进行责任制划分，常常出现大权力、小责任甚至无责任的现象，在进行风险管理中，没有行之有效的科学方法，常常呈现出更多的随意性。
2、文化缺失。在我国大部分企业中，缺失风险意识，更缺少全面风险管理和内部控制文化，将公司现状与管理制度生搬硬套，盲目地进行风险评估与管理。
3、以静制动。企业的全面风险管理，特别是内部控制是一个长期的、动态的过程，但是在我国部分企业中，常常用静止的眼光看问题，仅仅按照一套固定的制度实施，而不是按照一个过程，这样的风险管理和内部控制显然是不科学的。
（二）我国企业全面风险管理和内部控制的发展趋势
由于全面风险管理和内部控制越来越引起人们的重视，因此我过在此方面也会向着更完善的方向发展。首先，信息掌控能力提升。信息的掌控是全面风险管理的基础，只有掌握准确、有效的信息，才能正确评估风险并制定合理对策。因此，随着各方面特别是计算机和媒体的进步，我国企业对信息的掌控能力将明显提升；其次，各企业会引进先进理念，不断创新。学习西方先进的思想和文化，找到适合本公司的理念，并在此基础上不断创新。
【关键词】内控体系 全面风险管理体系 融合
一、前言
2006年6月国资委了《中央企业全面风险管理指引》（简称“《指引》”），这是我国第一个全面风险管理的技术性指导性文件。《指引》对央企开展全面风险管理工作的总体目标、基本流程、组织体系、风险评估、风险管理策略、风险管理解决方案、监督与改进、风险管理文化、风险管理信息系统等方面进行了全面阐述。
2008年6月，财政部、证监会、审计署、银监会、保监会（简称“五部委”）联合了《企业内部控制基本规范》，确认了内部控制的五要素，标志着我国企业内部控制规范体系建设取得重大突破。2010年4月年五部委联合印发的《关于印发企业内部控制配套指引的通知》规定，自2011年1月1日起在境内外同时上市的公司，自2012年1月1日起在上海证券交易所、深圳证券交易所主板上市的公司开始实施包括《企业内部控制基本规范》和《企业内部控制配套指引》在内的企业内部控制规范体系。
二、A集团公司实施全面风险管理及内控规范的情况
A集团为一家地方性的国有独资有限公司，为控股型集团公司，原控制两家上市公司：B公司（沪港两地的上市公司）和C公司（在深圳证券交易所上市）。A集团十分重视风险控制，把风险控制列为“十二.五”战略的三大战略举措之一，并在2010年对下属企业进行了一次全面风险管理调研的基础上，从2011年在全集团范围内启动了全面风险管理体系建设工作，聘请专业机构，协助并指导各企业以《中央企业全面风险管理指引》为依据，结合企业实际，通过风险辨识、分析、评价，对经营中存在的风险事件进行确认并制定风险管理策略方案，编制全面风险管理实施手册。
A集团旗下的B公司为沪港两地的上市公司，根据规定列为首批实施内控规范企业，从2011年即率先积极贯彻实施五部委联合的《企业内部控制基本规范》及相关配套指引，全面开展内控规范体系的建设及实施工作，通过梳理流程风险、完善内控制度，制定内控手册将内控规范融入经营活动中，并于2011年度起披露内控自评价报告和内控审计报告。C公司的企业也于2012年开始全面实施内控规范。
三、存在问题
A集团推行两个体系建设以来，对企业的规范运作，控制重大风险发挥了作用，但经过几年的运行，其存在的问题也显现出来。一是由于两个体系的建立和实施遵循不同的理论依据，使用的技术手段不同，且在建设阶段由不同的专业机构辅导，造成了两张皮的现象，未把两个体系很好地融合起来，风控内控工作人员未能清晰的理解两者之间的内在联系。二是因上市公司监管以及年度外部审计的要求，内控规范的实施相对到位，但是全面风险管理体系的实施存在着部分企业不够重视、未真正落地运行的现象。
四、关于A集团内控体系和全面风险管理体系融合的思路
针对存在问题，正确理解两者内在关系，推进两者融合已十分必要。
（一）正确理解内部控制规范与全面风险管理的联系与差异
两者密切联系，各有侧重，又互有补充：
1.两者均为企业目标实现的过程提供合理保证。
2.两者互有交叉。全面风险管理包含内部控制。《指引》把内部控制作为风险管理解决方案的重要措施，是控制风险及减轻风险的一项重要措施；而内部控制也包含风险管理，风险评估为内控规范五要素的关键要素之一，以风险为导向实施内控控制，是贯穿内控规范的主线；
3.两者定位与侧重点不同，运用的对策与方法各有不同。风险管理理论引入了定性、定量的风险评估模型，建立了多种风险应对工具与手段，其中内部流程控制措施被看做是风险管理的重要手段之一；而内部控制主要通过对过程的控制来实现其管控目标，更关注流程与操作层面。
（二）A集团公司内控体系与全面风险管理体系的融合思路
由于A集团的成员企业都在上市公司的框架内，实施内控规范是上市公司要求，因此为避免冲突或重叠，实现两个体系运转的统一与协调，从资源效率出发，作者认为，应实施以风险为导向的内控规范，并辅以重大风险管理为重点的全面风险管理的融合思路。
1.建立并实施以风险为导向的内控体系。A集团的企业都制定了内控手册，但偏重于关注业务的流程控制，对风险的预测与评估较为弱化，可通过引入风险的概念，运用全面风险管理中先进的风险评估方法与工具，强化内部控制中“风险评估”这一要素，针对重要重大风险建立关键控制点，植入内控流程中，以充实内控体系，通过覆盖于全业务的内控控制，确保企业的安全运行。
2.实施以重大风险控制为重点的全面风险管理。全面风险管理是由风险监测、风险识别、风险评估、风险反应（风险管理策略和风险管理解决方案）等一系列环节组成的一个循环流程。对企业面临风险的识别和评估，既是企业选用何种风险对策、实施何种管理措施的前提，亦是建立企业内部控制的基础。在风险识别和评估基础上所建立的内部控制，能规避经营管理活动中经常发生的错误和风险，但不能解决风险管理中企业所面临的所有风险，更不能转嫁、承担、化解、分散风险，风险发生后的补救也是风险管理的重要内容，因此建立了合理而有效的内部控制系统，科学而全面的风险管理仍是必不可少的。而重大风险的发生严重影响企业的运营，甚至危及企业生存，因此以重大风险控制为重点，实施全面风险管理。
五、结语
综上所述，A集团从自身实际出发，应建立以风险为导向的内控体系为基础，实施以重大风险控制为重点的全面风险管理，将内控体系和全面风险管理体系两者有效地融合，取长补短，从而实现最佳的协同与整合。
参考文献
【关键词】航空工业 全面风险 内部控制 探析
针对航空制造企业全面风险的梳理中我们发现，由于自身经营模式的不同，涉及的风险领域也与其他制造企业不同。在依照实际案例分析过程中，将航空工业企业识别了6项重大风险领域，比较突出的有市场、采购、质量风险等，这样按重要程度先后排序也凸显了航空制造企业与其他航空制造企业承受风险类别的不同。正如前文所述，航空工业企业风险管理特点是由其面对国际化市场的经营特点决定的，也是我国航空制造产业发展特点和在国际航空制造产业中的地位决定的，反映着较为复杂的历史渊源和行业背景。
一、全面风险梳理与控制目标构成
（1）销售风险管理与内部控制目标。受客户最终产品市场竞争力、经济景气因素和国际转包市场竞争日趋激烈的影响，客户的订单有调整的风险，相应对收入、采购成本、存货等因素也会产生较大影响。
内部控制目标包括每月跟踪客户订单执行情况，完成订单计划。继续加强客户沟通，开发潜在工作包，增加经济增长点。主动获得客户反馈，并制定行之有效的应急反应机制，降低客户损失，提高客户满意度。
（2）存货管理风险管理与内部控制目标。由于客户产品的技术还不成熟，需要更改设计或工艺，产量迟迟不能上速率，导致为部分产品批量采购的原材料、零件的账面增加金额大于产品交付所减少的金额，造成存货指标增加，且消耗较慢，对资金占用、存货占收入比等经济指标有一定的负面影响。
内部控制目标包括与客户进行及时沟通，在订单变化时及时调整采购进度，减少存货对资金的占用。具体沟通措施包括日常沟通和商务洽谈以及高层互访等。坚持应用ERP系统进行采购申请、采购订单多级审批，采购比价审批，确保采购活动公开、透明。进一步平衡生产计划，逐渐控制批次投产数量，最大可能的实现多批次、小批量投产，降低存货水平。
（3）质量风险管理与内部控制目标。由于质量问题一旦发生，对企业信誉、产品交付进度、成本等因素的影响面较广，因此需要对质量风险重点关注。
内部控制目标包括持续组织开展质量管理标准、制度培训、内部审核和自我监督检查工作，找出存在的问题，确保实物质量。完善质量体系，修订相关文件，确保体系的运行有效性，并通过二、三方体系监督审核。
（4）采购管理风险与内部控制目标。突出表现在零件采购方面存在满足不了生产线需求的风险，可能会制约生产能力进一步发展。
内部控制目标包括积极调研并加强与国外、国内有实力的供应商的沟通，争取统一资源调配的支持，在国内解决关键零件生产线的问题，提高抗风险能力。
（5）技改基建风险与内部控制目标。新建生产线关系到企业今后在国际市场上的竞争能力，在建设过程中涉及到立项风险、安全风险、生产线评审风险等。
内部控制目标包括建立建筑设计的综合评审机制，在设计委托中明确设计质量及投资控制要求、设计深度要求，建立相应的检查控制措施。完善技改基建规章制度，有效进行立项风险控制和安全风险控制，将技改基建风险降低到较低水平；严把设备选型、论证和验收环节，兼顾设备的经济性和先进性，确保能顺利通过生产线评审，尽快达到设计产能。
二、内部控制运行实施效果
（一）进一步规范了企业生产、经营和管理行为
内部控制体系运行使企业生产、经营和管理行为得到进一步规范，企业各级干部员工能够也必须按照内部控制体系中的流程规范进行业务操作。通过内部控制所形成的相互协调与相互制约机制，能够及时地反映、检查、揭示和纠正生产、经营和管理行为中的风险和管理问题，从而不断改进企业日常工作，也能够促进内部控制体系进一步健全和完善。内部控制体系的建立和运行能够对企业内部各个职能部门和人员进行合理的分工、协调、监督、检查与考核。通过内部控制体系中所规定的各种程序和手段，可以将企业内部各个职能部门的方针政策、计划定额以及其他内部管理制度的情况反馈给企业管理部门，及时发现和纠正所出现的偏差，保证各项生产经营活动高效有序地进行，从而全面提高经济效益，实现各项预期目标。
（二）为企业风险防控和应对提供了有力保障
建立以风险为导向的内部控制核心观念，将企业内部控制的重点工作转移到建立针对关键风险点的关键控制活动上来，直接促进了全面风险管理工作于内部控制体系的进一步融合，为企业风险防控提供了有力保障。同时建立了内部控制监督与自评价的常态机制，以评价手段将控制措施与实际管控效果相关联，保证了内部控制运行的有效性，也为未来建立风险预警机制奠定了基础。
（三）新的理论基础为同行业内部控制工作提供了先进经验
应用了全新的内部控制“一个基本目标、两个控制层面、四项具体内容”内部控制结构与功能框架和“三位一体”内部控制体系牵引运行机制指导内部控制体系建设，进一步拓展了航空工业企业内部控制体系建设领域的实施途径；同时，通过“强管理、练内功”的方式提高企业内部管理水平，提{了企业核心竞争力，促进了企业持续健康发展，也明确了内部控制组织职能分工，带动企业各层级人员参与运行。
【关键词】航空工业 全面风险 内部控制 探析
针对航空制造企业全面风险的梳理中我们发现，由于自身经营模式的不同，涉及的风险领域也与其他制造企业不同。在依照实际案例分析过程中，将航空工业企业识别了6项重大风险领域，比较突出的有市场、采购、质量风险等，这样按重要程度先后排序也凸显了航空制造企业与其他航空制造企业承受风险类别的不同。正如前文所述，航空工业企业风险管理特点是由其面对国际化市场的经营特点决定的，也是我国航空制造产业发展特点和在国际航空制造产业中的地位决定的，反映着较为复杂的历史渊源和行业背景。
一、全面风险梳理与控制目标构成
（1）销售风险管理与内部控制目标。受客户最终产品市场竞争力、经济景气因素和国际转包市场竞争日趋激烈的影响，客户的订单有调整的风险，相应对收入、采购成本、存货等因素也会产生较大影响。
内部控制目标包括每月跟踪客户订单执行情况，完成订单计划。继续加强客户沟通，开发潜在工作包，增加经济增长点。主动获得客户反馈，并制定行之有效的应急反应机制，降低客户损失，提高客户满意度。
（2）存货管理风险管理与内部控制目标。由于客户产品的技术还不成熟，需要更改设计或工艺，产量迟迟不能上速率，导致为部分产品批量采购的原材料、零件的账面增加金额大于产品交付所减少的金额，造成存货指标增加，且消耗较慢，对资金占用、存货占收入比等经济指标有一定的负面影响。
内部控制目标包括与客户进行及时沟通，在订单变化时及时调整采购进度，减少存货对资金的占用。具体沟通措施包括日常沟通和商务洽谈以及高层互访等。坚持应用ERP系统进行采购申请、采购订单多级审批，采购比价审批，确保采购活动公开、透明。进一步平衡生产计划，逐渐控制批次投产数量，最大可能的实现多批次、小批量投产，降低存货水平。
（3）质量风险管理与内部控制目标。由于质量问题一旦发生，对企业信誉、产品交付进度、成本等因素的影响面较广，因此需要对质量风险重点关注。
内部控制目标包括持续组织开展质量管理标准、制度培训、内部审核和自我监督检查工作，找出存在的问题，确保实物质量。完善质量体系，修订相关文件，确保体系的运行有效性，并通过二、三方体系监督审核。
（4）采购管理风险与内部控制目标。突出表现在零件采购方面存在满足不了生产线需求的风险，可能会制约生产能力进一步发展。
内部控制目标包括积极调研并加强与国外、国内有实力的供应商的沟通，争取统一资源调配的支持，在国内解决关键零件生产线的问题，提高抗风险能力。
（5）技改基建风险与内部控制目标。新建生产线关系到企业今后在国际市场上的竞争能力，在建设过程中涉及到立项风险、安全风险、生产线评审风险等。
内部控制目标包括建立建筑设计的综合评审机制，在设计委托中明确设计质量及投资控制要求、设计深度要求，建立相应的检查控制措施。完善技改基建规章制度，有效进行立项风险控制和安全风险控制，将技改基建风险降低到较低水平；严把设备选型、论证和验收环节，兼顾设备的经济性和先进性，确保能顺利通过生产线评审，尽快达到设计产能。
二、内部控制运行实施效果
（一）进一步规范了企业生产、经营和管理行为
内部控制体系运行使企业生产、经营和管理行为得到进一步规范，企业各级干部员工能够也必须按照内部控制体系中的流程规范进行业务操作。通过内部控制所形成的相互协调与相互制约机制，能够及时地反映、检查、揭示和纠正生产、经营和管理行为中的风险和管理问题，从而不断改进企业日常工作，也能够促进内部控制体系进一步健全和完善。内部控制体系的建立和运行能够对企业内部各个职能部门和人员进行合理的分工、协调、监督、检查与考核。通过内部控制体系中所规定的各种程序和手段，可以将企业内部各个职能部门的方针政策、计划定额以及其他内部管理制度的情况反馈给企业管理部门，及时发现和纠正所出现的偏差，保证各项生产经营活动高效有序地进行，从而全面提高经济效益，实现各项预期目标。
（二）为企业风险防控和应对提供了有力保障
建立以风险为导向的内部控制核心观念，将企业内部控制的重点工作转移到建立针对关键风险点的关键控制活动上来，直接促进了全面风险管理工作于内部控制体系的进一步融合，为企业风险防控提供了有力保障。同时建立了内部控制监督与自评价的常态机制，以评价手段将控制措施与实际管控效果相关联，保证了内部控制运行的有效性，也为未来建立风险预警机制奠定了基础。
（三）新的理论基础为同行业内部控制工作提供了先进经验
应用了全新的内部控制“一个基本目标、两个控制层面、四项具体内容”内部控制结构与功能框架和“三位一体”内部控制体系牵引运行机制指导内部控制体系建设，进一步拓展了航空工业企业内部控制体系建设领域的实施途径；同时，通过“强管理、练内功”的方式提高企业内部管理水平，提{了企业核心竞争力，促进了企业持续健康发展，也明确了内部控制组织职能分工，带动企业各层级人员参与运行。
关键词：全面风险管理；内控体系建设实践
自从国际的金融危机爆发以后，先进国家和地区对金融制度和经济结构不断进行着重大的调整，各个国都在加大科研创新，纷纷将新材料、新能源、新技术作为新一轮产业发展重点，抢占经济发展的制高点。随着经济环境日趋复杂，公司的经营活动面临着更多的不确定性。所以建立全面风险管理和内控体系，成为了我国国有上市公司的工作重点。
一、全面风险管理和内部控制体系的关系和意义
1.全面风险管理的发展历程和目标
后危机时代的中国企业面临着来自方方面面的危机，2004年中航油新加坡公司风险管理失败事件后，2006年6月国资委颁布了《中央企业全面风险管理指引》，对开展全面风险管理工作作出了明确规定，并要求报送年度风险管理报告。全面风险管理，指企业围绕总体经营目标，通过在企业管理的各个环节和经营过程中执行风险管理的基本流程，培育良好的风险管理文化，建立健全全面风险管理体系，从而为实现风险管理的总体目标提供合理保证的过程和方法。
2.内部控制的发展历程和目标
2001年12月，美国最大的能源公司--安然公司突然申请破产保护，暴露出美国上市公司治理结构和外部监督的缺失，美国加速通过了《萨班斯法案》，要求建立公司建立内部控制体系。2008年和2010年，中国五部委联合了《企业内部控制基本规范》和《企业内部控制配套指引》后，中国证监会强力推进上市公司内控建设。
3.全面风险管理和内部控制的关系
全面风险管理和内部控制目标是一致的。内部控制的目标是防范和控制风险并促进企业实现发展战略，风险管理也是为了促进企业实现发展战略，要求将风险控制在可承受范围之内。两者之间不是对立的，而是协调、统一的整体。
全面风险管理和内部控制内容互相包容。内部控制是一类控制风险的措施，是一种风险治理的解决方案，旨在最小化风险。因此，全面风险管理和内部控制管理内容是相互包容的。
4.全面风险管理和内控体系建设的意义
积极开展全面风险管理和内控体系的建设，发挥好审计部在风险管理工作中的第三道防线，进行风险监督，对公司持续健康发展有举重轻重的作用。为了更好的开展全面风险管理和内控制度的建设工作，并落实到日常管理工作中。公司应将全面风险管理和内部控制相结合，在现有体系基础上融入风险管理的要素，建立健全全面风险管理和内控体系。
二、全面风险管理和内控体系建设的治理结构
公司治理是公司全面风险管理和内部控制的核心，良好的公司治理是提高公司经营管理效率的基本要素。全面风险和内部控制体系作为公司为履行管理目标，建立了规则、政策和程序，与公司管理及公司治理密不可分。
1.全面风险管理和内控治理机构的一致性
公司治理是现代公司在决策、激励、监督约束方面的制度、原则，涉及利益相关者之间在权力与责任方面的分配、制衡以及效率经营与科学决策。在《中央企业全面风险管理指引》与《企业内部控制基本规范》中均规定，企业应建立并健全公司的治理结构，明确责权限，形成有效科学职责分工制衡机制。全面风险管理与内控控制体系组织结构共同包括：股东大会、董事会、监事会、审计委员会、内部审计机构等。
2.全面风险管理和内控治理机构的差异性
虽然全面风险体系和内部控制体系在治理机构中存在着很多的一致性，但仍存在部分差异。
全面风险体系治理结构还包括：风险管理委员会、风险管理部门等。内部控制体系治理结构还包括：经理层、内部控制管理机构
三、企业开展全面风险管理和内控体系建设实践
1.全面风险管理体系建设
公司已初步建立了相关内部控制体系，但随着公司的快速发展，以及公司经营管理水平的不断提高的需要，内控体系也应作相应调整和补充完善，对此开展了全面风险管理和内控体系建设。
（1）全面风险管理和内控体系框架
为了加强公司全面风险管理工作，建立健全全面风险管理和内控体系，根据境内外相关法律法规，结合公司实际，制定了《全面风险管理手册》。明确了风险管理的组织机构和管理流程，形成风险管理长效机制。
（2）全面风险管理和内控体系建设的流程与操作
风险管理流程分为四个主要流程：风险辨识评估流程、重大风险管控流程、风险管理监控与改进流程、风险管理总结与报告流程。风险管理各主要流程存在着紧密的内在关联性，且各工作流程呈递进关系。
2.内控自评价持续完善
全面风险管理和内控体系建设是一个持续改进的过程，建立是最开始的一部分内容，对建立的全面风险管理和内控体系建设和执行情况进行评价更是促进体系改善的有效手段；制度执行又是体系建设最关键的环节，建立再好的体系，不执行也是无效的。公司对全面风险管理和内控体系运行的有效性进行定期及不定期检查，开展全面风险管理和内控自评价审计。
（1）全面风险和内部控制管理测试评价
全面风险和内部控制管理测试评价包括：全面风险管理和内部控制健全性检查评价、全面风险管理和内部控制有效性测试、全面风险管理和内部控制实质性测试、全面风险管理和内部控制合理科学性综合评价。
（2）全面风险管理和内部控制管理缺陷判定
内控制度审计评价应对内部控制进行综合的判断，按其严重程度分为重大缺陷、重要缺陷和一般缺陷。被审计单位应建立内部控制缺陷的整改机制，明确内部各管理层级和单位整改职责分工，确保内部控制设计和运行中的重大风险和主要问题得到及时解决和有效控制。
（3）出具全面风险管理和内控自评价报告
出具内控审计报告，书写审计结论，向公司管理层报告内控审计结果。审计报告主要内容包括：审查和评价内部控制管理的目的、范围、依据、主要实施程序的描述；对内部控制管理的评价；审计结论；对改善内部控制管理的建议。
（4）全面风险管理和内控自评价审计整改
按照PDCA方法，加强过程审计，通过制定审计计划、按照方案实施审计，针对审计发现问题，制定整改措施，形成闭环。将各类审计结果转化为审计成果，有效维护体系运转。
四、全面风险管理和内控体系建设效果
通过全面风险管理与内控体系的建立，加强了公司风险管理与内控的有效融合。全面风险管理体系建设是在已有内控体系的基础上，导入风险管理的概念，经过辩识、评估等一系列科学系统的方法，建立的风险与内控体系。内控体系重点在于防范与规避风险；全面风险管理体系更强调在防范与规避的基础上，有效利用风险创造更大价值。内控体系更强调执行层面；全面风险管理体系更关注企业全局。建设过程中更加强调：全面风险管理体系建设与内控体系深度融合。
五、全面风险管理和内控体系建设存在的问题
全面风险管理和内控体系建设工作，涉及面广，参与人员多。在企业经营工作繁重的情况下，即要按照计划进度完成工作，又要保证体系建设质量，是体系建设中的重要环节。
六、全面风险管理和内控体系建设建议
加强组织领导。体系建设负责人要高度重视、统筹安排此项工作。制定具体落实方案，将任务落实到位。
参考文献：
[1]蒲育军.浅析风险导向审计在国有商业银行的应用[J].中国内部审计，2010（127），48-51.
[2]邝满维.内部审计在企业内部控制评价中的应用研究[J].中国内部审计，2010（127），40-43.
[3]刘德恒.国有企业内部控制框架[M].机械工业出版社，2009.
关键词：企业；内部控制；风险管理；关系；研究
在现代企业管理中，内部控制和全面风险管理都是企业在经营过程中管控风险所必需的。美国全国反虚假财务报告委员会下属发起人委员会COSO（以下简称美国COSO委员会）确定的全面风险管理体系框架中明确地把内部控制作为一个子系统放在了全面风险管理体系框架内。两者在风险的管理上各有侧重，相互结合，互相融合，有效保障了企业防范风险，稳健经营，达成目标。下面我们就从他们各自的发展历程、管理目标、管理范围、关注侧重点、所采用的管理方法和所采取的措施等多方面去分析和理解他们两者的关系。
一、企业内部控制概念及发展历程
1.内部控制概念内部控制是将一系列具有控制功能的方法、程序、措施进行系统化和规范化后，以制度和流程形式形成的一个严密和比较完整的体系。企业内部控制是以防范和有效管控风险为目的，以一系列专业管理制度为基础，通过全方位梳理、识别关键控制点，以流程形式建立过程控制体系而形成的管理规范。在我国，企业内部控制的官方定义正式出现在财政部等五部委所的《企业内部控制基本规范》中，根据该项文件的指示，内部控制主要指的是由企业管理层以及企业员工通过内部控制手段实现控制目标的过程。而美国COSO对内部控制含义的界定与上述文件中的基本一致，不同处主要在于表述上的稍有差异，即将我国“旨在实现控制目标的过程”表述成了“提供合理保证的过程”。内部控制实质上是一种管理思路。要准确理解内部控制重点要关注以下几方面：一是内部控制是以一系列管理制度、规章为基础的；二是内部控制强调的是过程控制，主要是对企业或组织实体关键风险点控制的方法、流程、措施进行了系统化的规范和固化，形成管理规范，以达到对风险的管控；三是内部控制的目标是为了提高企业或组织实体的经营效率效果，可靠准确经营财务数据的获得和遵守法律法规的合规经营；四是内部控制须遵循全面性、重要性、制衡性、适应性和成本效益五大管理原则，并按照业务导向和管理简化原则进行水平提升；五是内部控制的主要内容包括企业内部控制环境、企业风险管理、活动控制、信息的收集与分析、内部监督的内容，不同类型的企业组成部门也有所不同，但内部控制均需要企业内部组织、各部门的协调、参与才能够保证内部控制工作顺利开展。2.内部控制发展历程内部控制有它自身的发展历程。上世纪40年代，在会计界首先提出了内部牵制的概念；到1949年，美国注册会计师协会AICPA的审计程序委员会（以下简称美国AICPA）下属的内部控制专门委员会通过组织多位学者共同研究，发表了对于指导内部控制工作具有重要作用的专题报告，即《内部控制，一种协调系统诸要素及其对管理部门和独立注册会计师的重要性》，世界范围内对内部控制出现了第一次官方解释。1958年，美国AICPA了29号《审计程序公告》，该报告中将内部控制工作内容进行了分类，即分为会计控制与管理控制，初步搭建了内部控制工作的体系。还在1988年《审计准则公告》中明确提出了“内部控制结构”的概念。直到1992年美国COSO委员会才完整提出内部控制整合架构。2002年7月，由于安然事件和世通舞弊案的影响，美国国会通过萨班斯法案（Sarbanes-Oxley法案），规定了上市公司必须做好内部控制管理工作，在进行上市审查时内控体系也成为一项必要且关键的审查内容，随后世界范围内纷纷效仿这一制度规定，加强对上市公司的内控制度考查，增加信息披露的规范与要求。在我国，2008年6月财政部、证监会、审计署、银监会、保监会联合了《企业内部控制基本规范》，该文件的成为指导我国企业开展内控工作的基本依据，被广泛推行。文件内容包括总则、内部环境、风险评估、控制活动、信息与沟通、内部监督和附则共七个章节的内容。
二、企业风险管理概念及发展历程
1.全面风险管理概念企业通过经营性活动赚取经济利益，任何交易都存在不同程度、不同类型的风险，对企业实现发展目标都具有影响。我们称之为风险。当然，风险有纯粹性和机会性，它有可能给企业带来损失，也有可能为企业带来盈利等机会。纯粹风险指的是只可能带来损失的风险类型，而同时可能带来损失也可能带来收益的风险叫做机会风险。当企业经营中面临市场准入放开、鼓励产品创新、政策法律解禁、经营环境变化后，会大大增加企业经营的风险性，经营成效也随之变化和波动，企业在为降低风险而采取措施的决策过程中，对收益与成本进行权衡与匹配，风险管理工作的意义在于帮助企业预判可能存在的损失，从而进行规避，降低决策失误的可能，促进经济效益的提升。风险管理的含义为企业风控部门通过科学有效的方法进行风险的判断和预防。在对经营活动中的风险进行识别、评估、测算、计量、评价的基础上，对经营活动中可能遇到的风险实施精准、有效控制，以降低或转移风险可能引致的损失和负面影响，尽可能在最小的代价和成本基础上，实现最大成效和安全保障的过程。风险管理并不是要完全消灭风险，风险与机会同在，拒绝风险等于拒绝财富。风险管理的意义就在于如何精明承担风险，以最小可承受的风险来获取更高的收益。国务院国有资产监督管理委员会曾《中央企业全面风险管理指引》，对全面风险管理一词的含义进行了官方的解释，即全面风险管理指的是企业基于经营需要以及工作基本流程，建立科学的风险管理制度，在员工间形成良好的风险管理文化，从而在各个部门间形成完整的风险管理体系，主要内容包括风险管理策略、风险理财措施、风险管理的组织职能体系、风险管理信息系统和内部控制系统，以上工作内容形成了全面完整的风险管理模板，从而为企业风险控制流程提供了制度前提。风险管理基本流程则包括风险信息的收集、分析、应对措施执行以及工作改进，另外还包括风险管理的监督和约束。美国COSO委员会2004《全面风险管理——总体框架》，对全面风险管理的含义解释为由董事会、股东会等管理层依据经营决策需要而对过程中存在的潜在风险进行识别与管理的过程，由此保证决策目标能够顺利实现。要准确把握并理解全面风险管理的概念，我们需要从以下几点去认识：一是全面风险管理是过程的管理，涉及到企业的多方面，包括了企业风险管理目标、战略的确定、风险偏好的选择、风险的收集统计、风险的评估评价、风险管理方式选择、风险管理方法执行、风险的预防方案以及如何进一步加强对风险管理工作的监督与改进，这一过程是风险转移、降低和控制风险的一系列程序，是风险与机会的选择；二是全面风险管理的工作是全员的参与；三是该定义表明风险管理并非要完全消灭风险，也不是为了减轻和降低风险而不惜一切代价，而是要尽量减轻、降低风险，使风险可以承受，精明地在所承担的风险上获取最高收益。其实企业经营中风险总是无法彻底消除，为企业经营目标实现我们所能做的也只能做出合理的保证，而不是做绝对保证。可见，现在风险管理在传统的风险管理基础上发展到今天，早已经有了天壤之别，更强调了全面的风险管理。传统风险管理关注焦点主要专注于纯粹和灾难性风险。管理手段往往比较单一，主要采用保险和风险减免的控制手段。在管理方式和目标上只是就单个风险实施管理，并不与企业的战略目标相联系。管理理念更是被动地将风险管理作为成本中心，不设专门的部门而是由多个职能部门来管理。而全面风险管理是从企业和经营组织的发展战略层面去考虑，全面集中管控企业和经营组织中所有可能面临的风险因素和类别，既包括战略风险、法律风险、声誉风险，也同时涵盖交易风险、财务风险、执行风险等内容，配备有独立的风险控制工作体系，设有专门的委员会或首席风险官、风险管理专门部门来管理，从理念上已经积极主动将风险管理作为创造价值的中心。在管理目标上全面风险管理更是紧密结合企业和经营组织发展战略，依据风险偏好寻求风险优化，同时运用现代金融保险功能和内部控制等多种方法、手段，以达到企业和经营组织经营目标效益的最大化，实现所有利益方的共赢。另外，我们也可从英文“Risk，风险”单词上来探讨风险管理概念的两种解读，也颇有意思。第一种理解：R：代表收益（Return）、I：代表免疫力（Immunization）、S：代表风险管理系统（System）、K：代表风险管理技术和知识（Knowledge），即通过培养专业人才，运用管理系统，形成风险管控体系，加强管理，提高免疫力，实现风险与收益的平衡。第二种理解：R：代表监管（Regulation）、I：代表信息（Information）、S：代表风险管理系统（System）、K：代表关键风险点（Keypoints），即通过对信息、数据的挖掘和分析，找出关键风险点，运用管理系统进行管理，并且注意要加强运营过程中的监管和约束。综上所述，目前想要进一步完善全面风险管理工作，其核心就体现在全面性上，在于管理的全员参与和管理全部业务、全业务过程和全风险类别，以及在风险应对上更加系统化和多样化。因此，全面风险管理，可理解为是指经营单位和组织的董事会、经营管理层及全体员工共同参与，对经营活动中可能面临的各类风险进行准确识别、审慎评估、动态监控、及时应对的全程管理。2.全面风险管理发展历程风险管理起源于美国。虽然人类认识风险的历史几乎与人类的文明一样久远，但人们对风险进行管理的认识和运用并不久远。直到1930年在美国管理协会发起的一项保险问题会议上，美国宾夕法尼亚大学的所罗门·许布纳博士在此背景下提出了风险管理的概念和构成要素。美国宾夕法尼亚大学沃顿商学院的施耐德教授于1955年进一步对风险管理的含义进行了深刻阐述，及1956年《哈佛商业评论》上风险管理文章的出现，这篇名为《风险管理——成本控制的新名词》的文章，至此风险管理真正开始切入企业的管理，进入人们的视线。澳大利亚和新西兰于1995年共同制定了世界范围内第一个国家风险管理标准AS/NZS4360，该标准明确定义了风险管理的标准程序。随着人们对风险管理认识的不断深化、风险计量技术的不断进步，伴随各种风险的发生、反思与应对，2004年以美国COSO委员会《全面风险管理——整合框架》为起点标志，全面风险管理标准体系第一次正式建立，并被广泛采用，风险管理真正意义上正式步入到了全面风险管理阶段，并逐步完善与发展。特别是2008年世界金融危机的发生和带来的深远影响，以及巴塞尔协议的全面实施，全面风险管理首先在金融企业界全面推行，而后逐步延伸到其他工商企业，全面风险管理才更加深入人心并得以逐步深入。2006年国务院国有资产监督管理委员会了我国第一个全面风险管理指导性文件，即《中央企业全面风险管理指引》，这意味着我国自此拥有了指导企业开展全面风险管理工作的标志性规范，推动企业风控制度进入新的阶段，对于企业的现代化发展有着重要意义。
三、企业内部控制和全面风险管理的关系分析
当前理论界对于内部控制的范畴界定具有争议，例如部分学者认为内部控制包含了全面风险管理，一部分学者认为两者并不包含合并关系。也有人反过来认为，全面风险管理包含了内部控制。美国COSO委员会则认为两者联系紧密并正在融合。在我国，从相关部委对两者的重视态度上看，国资委更强调全面风险管理，财政部更强调内部控制。但我们在企业内部控制和全面风险管理的具体运用实践中，深切感受和认识到内部控制确实在全面风险管理过程中是完全必不可少的，是全面风险管理必要的组成部分及必须运用的管理手段和环节，所发挥的作用也是非常关键的。从二者管理目标和所依托的管理体系和相关制度、流程来讲，可以说全面风险管理是涵盖了内部控制的。而从目前国内外现代企业管理发展趋势和内部控制与全面风险管理自身完善发展中，看到二者也已交织和融合在一起，统一到了企业的全面风险管理体系中。1.内部控制和全面风险管理都因企业在经营发展中面临着各种风险的挑战和威胁而产生，他们有着一样存在的基础内部控制和全面风险管理产生都基于企业在经营过程中面临着诸多风险存在的客观性。内部控制的发展历程相较于全面风险管理而言更早，但是内部控制的理论和实务经验对于后续全面管理控制工作的开展具有重要的参考意义，全面风险管理可以认为是内部控制发展的升华版本。两者在企业的运用实施过程中，它们都会强调全员参与性，是由“企业董事会、管理层以及其他人员共同参与实施的”。另外，各职能和业务部门及各人员在内部控制或风险管理中都有相应明确的角色定位与职责分工，他们相互分工协作，相互独立牵制。2.内部控制的方案和流程在全面风险管理过程中具有重要意义，是全面风险取得有效成果的前提条件，只有采取科学合理的控制手段和方法才能控制到位内部控制工作顺利开展的前提是企业各部门对风险管理工作具备充分的积极性，并且把握流程中可能出现的各种风险类型，判断方案是否准确、执行手段是否落地，才能加强对经营风险的防控。完善的内控系统是必须和必要的。同时，我们还应看到，内部控制是很有效的风险管理方法，在全面风险管理的方方面面被广泛运用。此外，在企业管理实践中，为应对合规风险，满足国内外法律法规和监管要求，也需要构建有效的内控系统。因此，建设完善的内部控制体系，使之体系健全、统一、规范，是企业全面风险管理体系建立中所必要的组成部分。3.内部控制与全面风险管理从企业管控风险的根本性质和作用看，他们都归于和服务于企业对经营过程中风险的管理良好的内部控制和科学的全面风险管理，都对单位经营活动的效率和成效、资产安全、经营信息及时准确具有保障作用。在现代企业管理中，两者的结合运用，将更有助于帮助管理者实现经营目标和方针，保护企业经营资产安全、完整，防止资产流失，提高管理科学规范水平，更好满足现代企业管理的迫切需要。4.从内部控制与全面风险管理的管理范围、目标、关注焦点去分析，全面风险管理比内部控制更广泛、更全面首先，在管理范围上，内部控制是企业依靠和运用系统化的规范、规章、制度、形成采取的风险管理流程规范，以遏制与防范对经营目标实现中的不利风险和负面影响，保障和促进经营目标的实现。而全面风险管理则扩展到企业发展战略层来考虑风险的特征、偏好和管控，依照经营环境的可能变化，在事前制定经营目标时就注重和进行各种风险的分析、识别、存在可能，并运用专门的工具、方法、手段等，按照风险可测、可控和有效应对要求管控各种风险危机事件，明显包含了战略目标范畴。其次，内部控制的实施目标与全面风险管理有所不同。全面风险管理更注重的是风控体系的全面搭建，而内部控制目标主要包括经营管理的合法合规性控制，以及财务与信息披露的安全，并且保证所有财务报表的真实性与安全性。并通过过程控制来实现目标。内部控制强调在企业内部的控制，使内部人员职权清晰、相互牵制，以达到控制风险、抵御风险的能力；关注焦点主要专注于公司经营所有业务流程其过程控制措施的有效性。而全面风险管理则更加全面，其目标除内控的相关目标外，还要在如何及时地发现和识别风险，以及对发生风险的有效应对上下功夫，以有效防止和降低或者转移风险可能给企业经营带来损失和造成负面影响，保证所有风险的可测、可控、可承受。全面风险管理所关注焦点已包含企业战略、市场、信用、合规、财务、现金流、声誉风险等所有经营风险。5.从内部控制与全面风险管理所运用的管理方式和应对风险所采取的策略上看，内部控制已完全融合在全面风险管理中，全面风险管理已涵盖了内部控制内部控制所负责和做的相关工作、活动、内容，在全面风险管理的过程中及风险管理后的相关活动中都已包含，如对风险进行的分析评估和由此而实施的控制措施、信息反馈与沟通、监督纠错等工作。而全面风险管理则贯穿于整个管理过程。全面风险管理的工作、活动、内容、步骤比内部控制做的明显要全面、宽泛和复杂得多。当前全面风险管理的工作内容涉及企业经营管理的各个阶段，包括企业经营目标的构建与完善，以及经营策略的制定，风险管理文化的创建以及整体员工风险防范意识的提升，还包括风险管理模型、风险处置、风险报告程序等组成部分。在对风险所采取的应对策略上，内部控制主要通过业务流程控制和嵌入各项规章制度约束来应对。而风险管理的工作内容则不仅包括了风险信息收集与分析、风险判断、风险对策等内容，还包括风险偏好、风险计量、风险容忍度、风险指标体系、压力测试、情景分析等工作体系，所涉及的内容与方法十分广泛。有鉴于此，全面风险管理的架构体系的建立能够更加全面地帮助企业进行风险防范，并且对各方面的影响因素进行分析，从而帮助企业拓展业务范围，规避风险，降低工作成本，更好地提高经济效益，实现经营目标。两者在各有侧重、优势的深度融合中，最终保障企业的稳健经营，促成企业董事会和高级管理层经营目标的实现。
参考文献：
[1]李晓慧,何玉润,编著.内部控制与风险管理理论、实务、案例.中国人民大学出版社,2016:1-10.
[2]刘守伟.对企业全面风险管理的认识.铁路采购与物流,2010(8):21-22.
[3]孙海燕,张荣玉.内部控制与风险管理融合研究.管理学家,2010(9):99-100.
关键词：企业 全面风险管理 内部控制 体系
一、全面风险管理和内部控制概念
（一）全面风险管理的概念
全面风险管理是一个持续的实施过程，紧密结合在企业经营战略的设定之中，是企业的董事会、管理层和其他员工共同参与的协作执行，应用于企业的战略制定和企业的各个部门及各项经营活动，用于确定可能影响企业的潜在事项，并在其风险偏好范围内管理风险，从而对企业目标实现提供合理保证。
根据企业管理层经营的方式划分，全面风险管理包括八个要素，内部环境识别、制定经营目标、企业风险评估、经营事项评估、风险应对方案、风险控制措施、信息获取与沟通以及风险效果监控，上述要素之间相互关联，相互协作，始终贯穿于企业生产经营活动中。
（二）内部控制的概念
内部控制是一个动态的全过程，包括控制环境、风险评估、控制活动、信息与沟通及监控五个互相联系的要素，体现于管理层经营企业活动中。企业内部控制由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。这一定义突出强调内部控制是由企业董事会、监事会、经理层和全体员工实施的，旨在实现控制目标的过程，有利于梳理全面、全过程控制的理念。
笔者认为，内部控制的基本出发点是以预防为主，贯穿于企业生产经营的始终，内部控制需通过事前、事中、事后的过程性的控制手段，对内部控制设计及执行过程进行评估，从中获得当前内部控制体系的有关信息，及时对内部控制体系进行修订、完善和补充，确保企业管理的完整性，有利于充分发挥审计职能、提供各方决策依据等内容，以达到整体控制的效果。
二、全面风险管理和内部控制的关系
全面风险管理与内部控制既相互联系又存在一定差异，具体情况如下。
（一）管控实施主体一致
从实施主体上看，企业风险管理和内部控制管控主体都是企业董事会管理层及各息与沟通及监控五个互相联系的要素，体现于管理层经营企业活动中。企业内部控制由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。这一定义突出强调内部控制是由企业董事会、监事会、经理层和全体员工实施的，旨在实现控制目标的过程，有利于梳理全面、全过程控制的理念。
笔者认为，内部控制的基本出发点是以预防为主，贯穿于企业生产经营的始终，内部控制需通过事前、事中、事后的过程性的控制手段，对内部控制设计及执行过程进行评估，从中获得当前内部控制体系的有关信息，及时对内部控制体系进行修订、完善和补充，确保企业管理的完整性，有利于充分发挥审计职能、提供各方决策依据等内容，以达到整体控制的效果。
二、全面风险管理和内部控制的关系
全面风险管理与内部控制既相互联系又存在一定差异，具体情况如下。
（一）管控实施主体一致
从实施主体上看，企业风险管理和内部控制管控主体都是企业董事会管理层及各员工，其管控主体为公司全体员工，为公司战略目标实现提供合理保证。
（二）管控范围相互包含
从管控范围上看，企业的内部控制体系是企业全面风险管理体系中重要的组成部分之一，而内控体系建设的动因则来自企业对风险的认识和管理。内部控制是管理的一项职能，而全面风险管理贯穿于企业经营管理过程的各个方面。
（三）管控视角侧重不同
从管控视角上看，全面风险管理强调通过前瞻性的视角去积极应对企业内外各种可控和不可控的风险，侧重于战略、市场及法律等领域。而内部控制主要通过防范性的视角去降低企业内部可控的各种风险，侧重于财务和运营。
（四）管控目的存在差异
从管控目的上看，企业通过对全面风险管理的战略风险、财务风险、市场风险、运营风险及合规风险等多项风险进行分析、评估获取机遇，规避或预知影响。而内部控制则没有对风险和机遇进行明确的区分。
综上所述，能够对风险包括风险偏好、风险应对策略、风险零容忍度等战略要素，进行准确全面的度量和评估，建立初始信息框架，是全面风险管理工作流程起始点，因此，要确保企业在风险偏好及运营发展战略方面保持一致。内部控制则是在对企业内部风险和机遇分析的基础上，提出各种应对措施及方法，内部控制措施其必要性与风险系数呈正相关的关系，并依据风险内容制定控制机制与实施，企业在生产运营管理中，通过使用具体的内部控制措施的有效工具，对各类风险进行控制、评估，从而监控管理潜在的各类风险爆发隐患。
三、企业内部控制体系实施
随着国家有关部门和资本市场监管要求日趋严格，以及全面风险管理与内部控制理论的特性，为企业建立风险管控体系提供了指导依据。同时，将风险管理理念列为管理重点，以有效的内部控制为基础，科学融合了现代企业管理体系中的风险管理理念，促使企业充分审视、完善和加强自身内部控制管理工作。
建立以风险管理为导向的内部控制体系，从而不断提升企业自身的风险管控能力，其发展历经了SOX内控体系到全面风险管理内控体系演进的过程。
（一）基于财务报告相关基础的SOX内控体系
初步建立以《萨班斯》财务报告为基础的一套内控体系，主要关注内控组织和制度的建设，完成体系的搭建，内外部审计中，均顺利过关，遵循工作总体有效，主要建设效果如下。
1.搭建内部控制体系组织架构和体系
内控体系从组织架构上实行两条线管理机制。一方面，财务部门作为内控职能管理部门与业务部门（虚拟团队）作为运动员，分别负责公司内控体系的设计和执行；另一方面，内审部及外部审计师作为裁判员，负责内控体系的监督和检查。
按照内部控制建设目标和原则，通过统一、规范、系统化的与财务报告相关的内部控制体系制度的建设，完善了基本的内部控制设计，业务流程范围覆盖了企业所有业务部门，形成资本性支出流程、收入和计费业务流程、存货管理流程、营运支出业务流程、货币资金管理流程、固定资产和无形资产管理业务流程、人工成本管理业务流程、会计和财务报告、筹资业务流程、关联交易业务流程、法律法规遵循业务流程、税务管理业务流程及信息技术整体控制等十三大主要内控流程及关键控制点，形成内部控制手册和矩阵。
2.梳理规范业务操作
梳理及规范了业务执行层面各类操作，实现了风险评估、制度设计、业务执行、监督报告的闭环管理流程。通过业务访谈及专业判断进行了业务流程的风险评估，通过内控文档的优化更新及内控制度办法的建立完善了制度设计，通过明确落实关键控制点责任部门和责任人保证执行落地，通过内外部内控审计测试及业务自查加强了监督检查力度，通过定期内控体系建设情况报告形式明确了管理要求。
3.提升风险管理意识
通过结合基于财务报告相关的内控建设初步的风险管理体系，深化了内控的管理细度，实现了将与财务报告相关的内控要求融入日常工作，与业务运营融合，提升了业务执行效率与效果，增强了风险管理意识。
4.内部控制落实
企业通过部门层面内控常态化管理项目的实施，将公司层面的控制落实到部门层面，控制的执行更加明确，转换部门角色，把部门由受控主体转变为控制的主体，形成部门内控闭环管理体系，实现部门内部控制的建立、执行、测试及跟进闭环管理，将控制真正融入到日常工作之中，避免内控管理与生产管理“两张皮”。同时，建立并完善内部信息沟通渠道即内控月报制度，内控月报涵盖了各部门日常工作中涉及的相关内控工作，实现与公司内控职能管理部门财务部的有效沟通。
5.加强内控执行监督
为加强对内控业务执行的监督力度与执行效果，设置考核体系和评价体系，企业采用了将内控业务执行监督纳入公司各部门关键绩效指标考核体系的方式，以加强业务部门对内控管理工作的重视程度；在日常监督检查方面，采取了部门层面内控闭环管理体系，通过明确各部门内控自测要求，促进业务部门开展自测，并与内外部审计等检查实行有效衔接，主动发现风险，从而达到关注重点、聚焦实质的目标，将内控风险管理工作和业务管理工作有机的结合在一起。
（二）以风险为导向、面向业务运营的全面内控体系
开展企业层面的风险评估，编制全面风险评估报告，全面优化SOX内控，梳理、搭建业务风控框架，以风险管理控制为核心，面向生产运营内控体系逐渐过渡到以风险为导向的内部控制体系建设，建立全面内控体系，其主要效果如下。
1.搭建业务框架
内控体系框架不再以存货、资金等会计视角为主线，而是从市场营销、采购等公司具体业务视角搭建。同时，从全生命周期出发，在各关键环节设置数据稽核的控制要求，区分实物管理和数据管理采集稽核样本，从而加强全流程的风险管理控制，提升数据真实性。
2.增设关键控制，注重前后评估
一方面，由于业务合作形式日趋多样，多渠道整合营销及联合促销等合作模式对双方资金、资产安全提出了更高的控制要求。如，对于代销商与营业厅合作业务，对代管存货明确了控制措施，明确控制要求；另一方面，结合原则性控制要求，针对具体方式进一步细化控制要求，提高关键环节控制力度。如，对于采购业务，鉴于采购方式及业务流程不同，区分了招标采购、非招标采购与集中采购三类模式，细化控制要求。
根据业务流程进行梳理发现，部分业务流程未明确事前评估及事后监控的闭环要求。基于此，在业务流程评估的基础上，对部分业务流程增加了前后评估环节，提升了效率效果。
3.合并同质控制
通过长期的业务实践来看，对于同类业务，放在不同的流程中，出现了不同业务部门的认识不统一，导致管理方式不一致。通过业务流程的删繁就简，归并整理了同类型业务控制。
4.梳理标准规范
考虑系统维护量增加，效率降低，以及未来的可扩展性，兼顾控制基线要求，适当强化部分控制，为不断增多的系统提供统一、标准的控制规范，统一了各信息系统的整体控制要求。此外，通过梳理与财务报告相关性系统，考虑其是否产生计费话单或生成财务数据，是否传输或存储财务数据，对与财务报告无直接关联的系统不再纳入内控手册矩阵关键控制系统范畴，而是纳入日常管理流程。
5.实施内控系统固化
伴随企业内控管理制度的逐步规范以及信息系统建设的不断完善，内控制度和流程相对明确，内控工作的重心从内控手册矩阵优化转到控制要求的落实执行上。如何通过信息化手段将内控管理制度落实到实际执行中，将内部控制矩阵中的关键控制点在业务系统中予以固化，以建立常态化的内控执行体系，既是进一步改善内控措施执行的效率和效果，又是实现内部控制和风险管理的智能化和标准化的要求。内控固化管理也是顺应持续性审计、惩防体系建设等内外部监管领域发展趋势，并为业务的健康成长和管理效率的提升提供支撑保障。
（三）以全面风险管理为视角的内控体系
遵循COSOII框架的全面风险管控体系，组织开展重大风险管控项目试点，促进风险管理工作与业务的深度融合，主要关注风险评估和风险应对，实现向全面风险管理过渡，不断完善其风险体系和内控体系建设，构建与以全面风险管理视角的内控体系，其主要建设效果如下。
1.深化风险文化
作为企业文化建设的重要部分，企业已将风险管理文化建设纳入企业文化标杆管理体系，从制度层面上保障风险管理文化的建设，并将风险管理与绩效考核相结合，对于不符合风险管理要求、违反商业道德和诚信原则的行为进行处罚，促进风险责任的落实。公司管理层和风险管理专职人员作为传播企业风险管理文化的两种基本力量，分别通过自上而下和由点及面的推动方式，传播公司的风险管理文化。通过风险管理文化建设与培训，风险管理意识日趋深入人心，风险文化逐步形成。
2.构建风险体系
企业以国资委的《中央企业全面风险管理指引》中确定的分类为参考，结合企业行业特点及其实际业务情况，主要风险主要划分为战略风险、财务风险、市场风险、运营风险、法律风险和信息技术风险等六类风险。
全面风险管理工作从上述六类风险角度出发，营造企业自身文化；梳理公司各业务和内外部环节存在的风险，健全风险防范制度，构建风险防范体系。通过与利益相关方的沟通，提升公司形象，加强公司的廉政建设。
首先，企业根据业务发展需求，围绕中心，服务大局，联系实践，落实企业文化规划，完成企业文化发展规划，提升企业文化知晓率和认同度。
其次，企业通过梳理公司业务管理、网络运营等各方面存在的风险点及薄弱环节，提升全员信息安全意识，以风险管理为核心开展信息安全管理工作。
再次，企业通过加强反腐倡廉建设，廉洁自律，强化纪检监察、内审、安全生产、法律和社会责任风险管理，构建全面风险管理体系。
最后，加强利益相关方沟通管理和需求回应，全面提升社会形象。
企业通过上述措施制订执行全面风险管理工作计划，明确责任，评估各项风险发生的可能性和发生后对公司的影响程度，并对风险的重要性程度排序，确定公司面临的各种风险，细化落实相关计划与措施，定期开展回顾总结，监督执行情况、提出改进建议，完善风险管理的闭环管理机制，将风险管理的工作要求与业务运营管理相融合，切实做好日常的风险管理控制。
3.提升管理水平
通过规范业务流程，促进公司精细化管理水平的提升。在以价值为导向的全面风险管理体系建设阶段，实现了风险评估、制度设计、执行、监督检查及报告的闭环管理的新的提升。在以风险为导向的内控体系建设的基础上，通过风险量化分析工具及效益评价开展风险评估，建立风险评估标准完善了制度设计，通过专项风险管理加强执行，建立风险信息数据库方式增强监督检点，通过定期编制全面风险管理报告提升风险管理水平。
4.关注重点风险，内控业务对标
随着企业管理日益精细化，相关内控要求与业务制度也在持续优化更新。在生产经营过程中，运用正向、逆向思维，梳理内部控制制度和业务管理制度，内控制度设计覆盖业务管理全过程，关注重点高风险和舞弊领域，业务制度是内控制度执行依据，内控制度是将业务制度中与内控相关条款归纳、整合。基于此，从内控合规角度出发，查找设计不合规或两者不一致的内容，进而完善内控要求与业务制度，实现全部内控业务流程对标，并将此项工作纳入内控常态化管理工作范围，不断完善内控体系。
上述内控体系特点为，建立企业统一的、标准化的内控手册和矩阵；控制点要求落实到具体部门和责任人，确保有效落地执行；内控管理执行部门和风险管理监督部门各司其职，相互制衡；全面覆盖涉及企业所有业务单元，涵盖生产、市场和管理等各业务线条；采用风险评估的方法，以风险为导向，关注关键环节风险管控；将内控与业务活动的紧密融合，避免“两张皮”；利用信息化手段固化内控要求，充分发挥信息系统优势。
四、未来全面风险管理内控体系的实施建议
（一）将企业风控管理和战略管理结合在一起
战略管理、风险管理是企业整个治理过程中的重要环节，企业战略管理的终极目标是为了实现企业价值的可持续增长，企业价值创造的路径是“股东价值客户价值业务流程核心资源”，所以企业必须具有高效、快捷、有可靠质量的业务管理流程，是企业价值链的形成途径，企业风控管理也应遵循这一路径而展开。这就需要企业结合整体战略规划对本企业的风控管理目标、建设原则、建设步骤及建设蓝图等进行评估、设计与决策，并且企业还需结合已确定的内部控制体系建设规划，审核建设方案和实施计划，监督内部控制管理机制的日常运行和持续改进，从而实现自上而下的风控管理与战略管理相结合的管理机制。
为实现企业战略目标，一方面将风控管理偏好和企业的战略结合在一起，将企业成长、风险和收益联系起来，增加风控反应决策，使企业的经营意外和损失最小化，减少企业生产、运营管理风险盲点；另一方面确认和管理企业的总体风险，合理配置风控管理领域的资源，抓住机遇，针对多重风险提供完整的应对反应方案。
（二）全员参与自主风控
全面风险管理是长期性工作，涉及企业生产和管理整个过程，需要全员上下共同参与实施，也是与日常生产和管理活动紧密相关联的。通过有效运用风险管理和内部控制的相关手段和要求，评估企业关键性业务的状态，避免业务执行和风控执行信息不对称；实行自主动态风控管理，使业务制度涵盖内控要求、业务流程符合内控要求和业务系统固化内控要求，从而不断提升全员风险管控意识，做好重大风险自主评估；增强内控与业务融合度，确保关键业务自主内控合规；深化内控管理信息化的建设，实现内控要求系统自动控制；推动审计发现问题整改复查，发挥审计检察闭环监督价值。
（三）强化风险监控预警，有效完善内控体系
企业的风险监控是风险预警的关键部分，结合企业内外部环境、行业特点，通过一定的评估方法或模型来确定风险监控指标的权重，充分利用统计分析的决策支持、工具和系统，从生产管理多维度入手，如运用年度绩效考核指标分析，监控企业经营业绩、发展效益、网络质量等；通过年度全面预算标杆管理体系，对标分析查找差距，突出价值导向优化资源配置；利用对业财半年报表和日常管理情况分析，监控业财指标，从财务角度进行风险分析和提示；透过月度/季度统计数据，分析企业日常生产经营风险，并将监测动态数据进行统计、分析，得出风险的变化趋势，定期进行汇总提出分析报告，为企业决策和风险管控提供参考依据，也为业务流程和内控体系持续优化提供有效信息，切实起到风险把控作用。
五、结束语
购物车(0)