引子： 2010年4月26日，財(cái)政部會(huì)同證監(jiān)會(huì)、審計(jì)署、國(guó)資委、銀監(jiān)會(huì)、保監(jiān)會(huì)等部門在北京召開(kāi)聯(lián)合發(fā)布會(huì)，隆重發(fā)布了《企業(yè)內(nèi)部控制配套指引》（下稱“配套指引”）。該配套指引連同2008年5月發(fā)布的《企業(yè)內(nèi)部控制基本規(guī)范》，共同構(gòu)建了中國(guó)企業(yè)內(nèi)部控制規(guī)范體系，自2011年1月1日起首先在境內(nèi)外同時(shí)上市的公司施行，自2012年1月1日起擴(kuò)大到在上海證券交易所、深圳證券交易所主板上市的公司施行；在此基礎(chǔ)上，擇機(jī)在中小板和創(chuàng)業(yè)板上市公司施行。同時(shí)，鼓勵(lì)非上市大中型企業(yè)提前施行。施行企業(yè)內(nèi)部控制規(guī)范體系的企業(yè)，必須對(duì)本企業(yè)內(nèi)部控制的有效性進(jìn)行自我評(píng)價(jià)，披露年度自我評(píng)價(jià)報(bào)告，同時(shí)聘請(qǐng)會(huì)計(jì)師事務(wù)所對(duì)其財(cái)務(wù)報(bào)告內(nèi)部控制的有效性進(jìn)行審計(jì)，出具審計(jì)報(bào)告。政府監(jiān)管部門將對(duì)相關(guān)企業(yè)施行內(nèi)部控制規(guī)范體系的情況進(jìn)行監(jiān)督檢查。企業(yè)內(nèi)控基本規(guī)范和配套指引被稱為中國(guó)的“薩班斯法案”和“科索報(bào)告”，這標(biāo)志著我國(guó)將從企業(yè)內(nèi)部控制走向全面風(fēng)險(xiǎn)管理。
一、 我國(guó)企業(yè)內(nèi)部控制體系的框架結(jié)構(gòu)
《企業(yè)內(nèi)部控制基本規(guī)范》和《企業(yè)內(nèi)部控制配套指引》初步建立起了具有中國(guó)特色的中國(guó)企業(yè)內(nèi)部控制體系的框架結(jié)構(gòu)。
《企業(yè)內(nèi)部控制基本規(guī)范》確定了企業(yè)內(nèi)部控制的5個(gè)目標(biāo)、5個(gè)原則、5個(gè)要素，總計(jì)50個(gè)項(xiàng)目，由5個(gè)部門簽發(fā)。
《企業(yè)內(nèi)部控制配套指引》由21項(xiàng)應(yīng)用指引（此次發(fā)布18項(xiàng)，涉及銀行、證券和保險(xiǎn)等業(yè)務(wù)的3項(xiàng)指引暫未發(fā)布）、《企業(yè)內(nèi)部控制評(píng)價(jià)指引》和《企業(yè)內(nèi)部控制審計(jì)指引》組成。其中，應(yīng)用指引是對(duì)企業(yè)按照內(nèi)控原則和內(nèi)控“五要素”建立健全本企業(yè)內(nèi)部控制所提供的指引，在配套指引乃至整個(gè)內(nèi)部控制規(guī)范體系中占據(jù)主體地位；企業(yè)內(nèi)部控制評(píng)價(jià)指引是為企業(yè)管理層對(duì)本企業(yè)內(nèi)部控制有效性進(jìn)行自我評(píng)價(jià)提供的指引；企業(yè)內(nèi)部控制審計(jì)指引是為注冊(cè)會(huì)計(jì)師和會(huì)計(jì)師事務(wù)所執(zhí)行內(nèi)部控制審計(jì)業(yè)務(wù)的執(zhí)業(yè)準(zhǔn)則。三者之間既相互獨(dú)立，又相互聯(lián)系，形成一個(gè)有機(jī)整體。
我國(guó)企業(yè)內(nèi)部控制體系框架結(jié)構(gòu)如圖1所示。
二、COSO《內(nèi)部控制——整體框架》與《企業(yè)風(fēng)險(xiǎn)管理——整合框架》
《內(nèi)部控制——整體框架》是美國(guó)科索委員會(huì)COSCO（Committee of Sponsoring Organizations） 在1992年發(fā)布的、并于1994年做出局部修正的已經(jīng)成為世界通行的內(nèi)部控制權(quán)威研究報(bào)告。
該報(bào)告指出，內(nèi)部控制是由企業(yè)董事會(huì)、管理層以及其他員工（三個(gè)層面）為達(dá)到財(cái)務(wù)報(bào)告的可靠性、經(jīng)營(yíng)活動(dòng)的效率和效果、相關(guān)法律法規(guī)的遵循等三個(gè)目標(biāo)而提供合理保證的過(guò)程。同時(shí)指出，內(nèi)部控制包括內(nèi)部環(huán)境、風(fēng)險(xiǎn)評(píng)估、控制活動(dòng)、信息與溝通、監(jiān)控等五個(gè)相互關(guān)聯(lián)的要素。這“三個(gè)層面”、“三個(gè)目標(biāo)”和“五個(gè)要素”構(gòu)成內(nèi)部控制的整體框架（如圖2所示）。
COSO《內(nèi)部控制——整體框架》強(qiáng)調(diào)風(fēng)險(xiǎn)評(píng)估在內(nèi)部控制中的重要作用以及強(qiáng)調(diào)對(duì)內(nèi)部控制系統(tǒng)本身的監(jiān)控是內(nèi)部控制發(fā)揮作用的關(guān)鍵環(huán)節(jié)。
鑒于COSO《內(nèi)部控制——整體框架》發(fā)布后的到美國(guó)審計(jì)計(jì)總署和證券交易委員會(huì)（SEC）等的認(rèn)可和產(chǎn)生的廣泛影響，1995年美國(guó)注冊(cè)會(huì)計(jì)師協(xié)會(huì)（AICPA）發(fā)布《審計(jì)準(zhǔn)則公告第78號(hào)》，全面接受COSO報(bào)告。
2002年7月美國(guó)國(guó)會(huì)通過(guò)《薩班斯法案》即《2002年公眾公司跨及改革和投資保護(hù)法》（Sarbanes Oxley Act of 2002）的簡(jiǎn)稱。《薩班斯法案》的頒布對(duì)內(nèi)部控制的研究也產(chǎn)生了廣泛而深刻的印象。其302條款規(guī)定，上市公司的CEO和CFO要在對(duì)外披露的財(cái)務(wù)報(bào)告中聲明對(duì)建立和維護(hù)本公司的內(nèi)部控制負(fù)責(zé)；CEO和CFO要對(duì)本公司內(nèi)部控制的有效性進(jìn)行評(píng)估，并向外部審計(jì)師說(shuō)明器存在的重大缺陷和不足。同時(shí)，其404條款規(guī)定，上市公司應(yīng)在年度報(bào)告中增加對(duì)內(nèi)部控制的報(bào)告內(nèi)容；該報(bào)告應(yīng)當(dāng)聲明公司管理層對(duì)建立和維護(hù)財(cái)務(wù)報(bào)告內(nèi)部控制的責(zé)任，以及管理層對(duì)公司內(nèi)部控制有效性的評(píng)估意見(jiàn)；公司的外部審計(jì)師應(yīng)當(dāng)依據(jù)上市公司會(huì)計(jì)監(jiān)管委員會(huì)制定的審計(jì)準(zhǔn)則，對(duì)管理層提交的內(nèi)部控制評(píng)估意見(jiàn)進(jìn)行再評(píng)價(jià)，并出具評(píng)價(jià)報(bào)告。
2003年3月美國(guó)審計(jì)準(zhǔn)則委員會(huì)頒布了《審計(jì)準(zhǔn)則——在財(cái)務(wù)報(bào)告審計(jì)過(guò)程中對(duì)于財(cái)務(wù)呈報(bào)相關(guān)的企業(yè)內(nèi)部控制的審計(jì)》和《鑒證業(yè)務(wù)準(zhǔn)則公告——對(duì)與財(cái)務(wù)呈報(bào)相關(guān)的企業(yè)內(nèi)部控制的報(bào)告》，為《薩班斯法案》要求的外部審計(jì)業(yè)務(wù)提供指導(dǎo)。
《薩班斯法案》對(duì)通過(guò)強(qiáng)化企業(yè)內(nèi)部控制系統(tǒng)，從而防范和管理風(fēng)險(xiǎn)，維護(hù)投資者的合法權(quán)益產(chǎn)生了積極而深遠(yuǎn)的影響。
2003年7月，COSO發(fā)布了《企業(yè)風(fēng)險(xiǎn)管理——整合框架》的征求意見(jiàn)稿，并于2004年9月發(fā)布正式最終文本。這標(biāo)志著從企業(yè)內(nèi)部控制走向企業(yè)風(fēng)險(xiǎn)管理。當(dāng)管理層通過(guò)制定戰(zhàn)略和目標(biāo)，力求實(shí)現(xiàn)增長(zhǎng)和報(bào)酬目標(biāo)以及相關(guān)的風(fēng)險(xiǎn)之間的最優(yōu)平衡，并且在追求所在主體的目標(biāo)的過(guò)程中高效率和有效地調(diào)配資源時(shí)，價(jià)值得以最大化。
企業(yè)風(fēng)險(xiǎn)管理是一個(gè)過(guò)程，它由一個(gè)主體的董事會(huì)、管理層和其他人員實(shí)施，應(yīng)用于戰(zhàn)略制訂并貫穿于企業(yè)之中，旨在識(shí)別可能會(huì)影響主體的潛在事項(xiàng)，管理風(fēng)險(xiǎn)以使其在該主體的風(fēng)險(xiǎn)承受能力之內(nèi)，并為主體目標(biāo)的實(shí)現(xiàn)提供合理保證。企業(yè)風(fēng)險(xiǎn)管理處理影響價(jià)值創(chuàng)造或保持的風(fēng)險(xiǎn)和機(jī)會(huì)。企業(yè)風(fēng)險(xiǎn)管理框架的四個(gè)目標(biāo)和八個(gè)要素。企業(yè)風(fēng)險(xiǎn)管理框架力求實(shí)現(xiàn)主體的以下目標(biāo)：戰(zhàn)略（strategic ） 目標(biāo)——高層次目標(biāo)，與使命相關(guān)聯(lián)并支撐其使命；經(jīng)營(yíng)（operations）目標(biāo)——有效和高效率地利用其資源；報(bào)告（reporting）目標(biāo)——報(bào)告的可靠性；合規(guī)（compliance ）目標(biāo)——符合適用的法律和法規(guī)。企業(yè)風(fēng)險(xiǎn)管理包括八個(gè)相互關(guān)聯(lián)的構(gòu)成要素。它們來(lái)源于管理層經(jīng)營(yíng)企業(yè)的方式，并與管理過(guò)程整合在一起。這些構(gòu)成要素是：內(nèi)部環(huán)境、目標(biāo)設(shè)定、事項(xiàng)識(shí)別、風(fēng)險(xiǎn)評(píng)估、風(fēng)險(xiǎn)應(yīng)對(duì)、控制活動(dòng)、信息與溝通、監(jiān)控。企業(yè)風(fēng)險(xiǎn)管理的目標(biāo)與構(gòu)成要素的關(guān)系如圖3所示。
三、從企業(yè)內(nèi)部控制走向全面風(fēng)險(xiǎn)管理
從以上COSO的兩份報(bào)告來(lái)看，無(wú)論是目標(biāo)的類別還是構(gòu)成要素，企業(yè)風(fēng)險(xiǎn)管理包涵了企業(yè)內(nèi)部控制。從目標(biāo)來(lái)看，《企業(yè)風(fēng)險(xiǎn)管理——整合框架》較之《內(nèi)部控制——整體框架》增加了另一類目標(biāo)，即戰(zhàn)略目標(biāo)，它處于比其他目標(biāo)更高的層次。戰(zhàn)略目標(biāo)來(lái)自于一個(gè)主體的使命或愿景，因而經(jīng)營(yíng)、報(bào)告、和合規(guī)目標(biāo)必須與其相協(xié)調(diào)。企業(yè)風(fēng)險(xiǎn)管理應(yīng)用在戰(zhàn)略制訂以及朝著實(shí)現(xiàn)其他三類目標(biāo)邁進(jìn)的過(guò)程中。而《企業(yè)風(fēng)險(xiǎn)管理——整合框架》的報(bào)告目標(biāo)較之《內(nèi)部控制——整體框架》財(cái)務(wù)報(bào)告目標(biāo)，范圍從財(cái)務(wù)報(bào)表拓展為不僅包含更加廣泛的財(cái)務(wù)信息，而且還包含非財(cái)務(wù)信息。從構(gòu)成要素來(lái)看，企業(yè)風(fēng)險(xiǎn)管理框架拓展了內(nèi)部控制框架的風(fēng)險(xiǎn)評(píng)估要素，創(chuàng)造了四個(gè)構(gòu)成要素——目標(biāo)設(shè)定（他在內(nèi)部控制中是先決條件）、事項(xiàng)識(shí)別、風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)應(yīng)對(duì)。總之，內(nèi)部控制被涵蓋在企業(yè)風(fēng)險(xiǎn)管理之內(nèi)，是其不可分割的一部分。企業(yè)風(fēng)險(xiǎn)管理比內(nèi)部控制更廣泛，拓展和細(xì)化了內(nèi)部控制。
從我國(guó)內(nèi)部控制體系框架結(jié)構(gòu)來(lái)看，我國(guó)的企業(yè)內(nèi)部控制在形式上借鑒了COSO內(nèi)部控制的框架，在內(nèi)容上體現(xiàn)了COSO企業(yè)風(fēng)險(xiǎn)管理的實(shí)質(zhì)。
