一、內部控制在企業應用中的局限
內部控制是社會經濟發展和企業管理實踐的必然產物，是企業制度的重要反映，經歷了內部牽制、控制制度、會計控制、整合控制、風險管理等發展階段。1992年COSO的《企業內部控制――綜合框架》①強調對企業經營的效率效果、財務報告的可靠性和相關法規的遵循性等目標，該框架一經發布即被企業廣泛接受和采用。2002年美國國會和政府通過的薩班斯―奧克斯利法案（簡稱SOX法案）②對企業財務報告的可靠性和信息披露提出了嚴格要求，并將COSO《企業內部控制――綜合框架》作為企業合規要求的主要參考標準，該法案進一步推動了內部控制在企業的實施。2004年COSO發布的《企業風險管理――整合框架》強調風險管理對戰略制定和實施過程的保證，體現了內部控制向風險管理的演變，但該框架由于是主要延伸了內部控制的思路和方法，大多企業在實施過程中與內部控制的差異不大。
內部控制對企業控制風險、完善內部制度和規范管理程序等發揮了重要作用，但隨著內外部環境的不確定對企業影響的加劇，內部控制的局限性制約了復雜風險的管理需要。
（一）風險觀的局限
內部控制將風險的概念定位于損失的可能性這一表述，關注于管理中可能存在的缺陷、制度和流程的遵循等流程層面的風險，但對制度和流程之間的聯系、決定制度與流程的企業因素、外部環境的影響等方面的整體層面風險關注不足，而這些風險恰恰是企業影響最大、最應關注的風險。
（二）控制手段的局限
內部控制手段往往局限于規范流程上的審批、審核、權責配置等有限手段，缺乏針對戰略及業務等整體層面風險的戰略性措施和結構性管理手段，如業務結構的調整、客戶導向的管理機制、外部合作關系變化等高級手段，而這些是解決整體層面風險的必需手段，也是落實流程內部控制的基本依據。
?。ㄈ┛刂茩C制的局限
內部控制強調以制度和流程為基礎的日常控制程序，主要體現在對業務流程固有風險的常態化控制，對流程相關企業整體層面的風險和需要整合管理的風險通常無能為力，并難以適應環境變化和企業風險管理能力、資源變化而需要實現的優化控制。
2006年國務院國資委發布的《中央企業全面風險管理指引》 ③提出了一套系統的風險管理框架，更加關注于企業整體層面的風險管理，并將內部控制作為風險管理體系的重要組成部分，但仍未具體明確與內部控制的整合方法，因此在復雜的業務流程風險控制上仍主要借助內部控制的方法。2008年財政部等五部委發布的《企業內部控制基本規范》④是對傳統內部控制的繼承和發揚，并借鑒了《中央企業全面風險管理指引》中的一些風險管理方法，拓展了內部控制對企業戰略和整體風險的關注，但在如何實現對企業整體層面風險與業務流程的內部控制之間的聯系仍未具體明確。
二、基于風險管理的內部控制方法
傳統的內部控制難以適應風險的變化和整體層面風險管理的需要，發展中的全面風險管理方法對業務流程上的風險控制缺乏有效手段，因此，綜合內部控制與全面風險管理方法成為企業的必然選擇。筆者在研究中發現，內部控制與風險管理的方法可以通過整合實現優勢互補，可以通過風險管理的方法解決整體層面的風險管理，并以其形成的風險解決方案為基礎，結合內部控制落實流程上的風險控制，即通過基于風險管理的內部控制整合解決企業各層面的風險。同時，基于風險管理的內部控制進一步強調以風險為導向，以風險識別和評估為基礎控制風險，繼而分析、設計和實施內部控制。
基于風險管理的內部控制主要包括三個方面的內涵：一是以風險管理的方法解決傳統內部控制的局限，特別是解決企業整體層面風險；二是在業務流程上相應采用內部控制的手段落實整體風險解決方案，并解決流程層面的風險；三是強調風險為導向的控制策略與內部控制措施?；陲L險管理的內部控制主要方法結構如圖1所示。
具體來講，基于風險管理的內部控制需要在風險評估、風險控制策略和控制方案、風險管理組織職責、內部控制手段等方面實現整合，表現為一個閉環的管理過程（如圖2所示）。
（一）整合風險評估
風險評估以業務目標為基準，考慮到業務活動中的內外部風險因素，從風險的不確定性對業務目標的影響角度實現對整體層面風險與流程層面風險的整合評估。同時，分析風險的具體成因和影響方式，并確定需要重點管理的風險。
?。ǘ┲贫L險控制策略與控制方案
基于風險管理目標和不同的風險及其特征，特別是針對重大風險，制定相應的控制策略，包括規避、接受、控制、轉移等，以及實現控制策略的具體風險控制方案。風險控制方案包括整體層面風險的風險管理措施、流程層面風險的內部控制措施等，為優化組織職責和具體落實流程內部控制提供指導方向。
?。ㄈ﹥灮L險管理組織職責
根據風險控制方案調整或優化具體的組織職責，并利用內部控制的方法明確業務活動的制衡關系、重要的決策授權權限和關鍵業務環節的分工界面等。特別需要強調，在業務流程中落實風險管理三道防線的職責關系，根據風險控制職責分工、風險管理專責機構的定位等，將具體職責與關鍵控制環節結合起來落實。
?。ㄋ模┞鋵嵙鞒虄炔靠刂?
根據風險控制方案，實現內部控制措施對風險控制方案在具體業務流程中的承接和落實。同時，在流程上設置關鍵控制點，具體規范控制措施、控制責任、控制方式以及控制檢查手段等，并修訂和完善相關制度及標準。
?。ㄎ澹┍O督與改進
強調風險管理第二、三道防線的作用，通過關鍵控制點的控制檢查及時監督內部控制的執行情況，同時，采用內控自評價和內控審計等實現內部控制的改進及持續提升。
三、供電企業業擴報裝業務流程的應用實踐
供電企業的業擴報裝業務是指為客戶提供新裝、增容及變更用電，從受理申請到正式供電的全過程，包括為客戶提供用電咨詢、受理用電申請、設計供電方案、供電工程設計與施工管理、裝表接電等14個主要流程的全過程服務，涉及營銷、客服中心、生產技術部、發展策劃部、計量中心、調度中心等多個職能與業務管理領域，業務與管理的復雜程度較高。其中，客戶服務中心履行業務的主體職責，發展策劃部、生產技術部、調度中心、計量中心、招投標管理中心、法律部履行輔助職責，營銷部履行政策及制度標準制定和監督檢查職責，但基建部、監察部、風險管理主責部門的職責在現有業務中未有體現。
供電企業的業擴報裝業務主要采用傳統的內部控制方法，有著一套相對完整的制度體系和流程體系，遵循國家和地方相關行政法規、國家電網公司相關規章制度以及企業自身的管理制度，已經實現了對一般流程風險的有效控制。然而，隨著業務環境的變化，不確定因素對業務的影響顯著，傳統的內部控制已難以適應風險管理的要求。
?。ㄒ唬I擴報裝業務主要風險與風險特征
通過對業擴報裝業務風險的整合評估，確定了業務相關的12項風險和若干風險點，包括客戶服務風險、依法合規風險、工程設計與可研風險、工程招標及采購風險、多經風險、生產運行風險、電能計量風險、管理機制風險、工程概預算管理風險、廉政監察風險、工程施工風險、生產設備設施風險等。其中，風險主要集中在確定供電方案與收費方案、供電工程設計與審查、供電工程施工、電費管理與監督檢查等幾個關鍵環節。各項風險反映了不同的風險特征，主要表現在如下方面：
多經風險、管理機制風險、廉政監察風險、工程招標及采購風險反映出的風險特點主要是影響整個業務流程的整體層面風險。其中，多經風險反映了供電企業與附屬多經企業之間的管控關系模糊、關聯交易不規范和供電企業對多經企業保護等問題對業擴報裝業務優質服務的不利影響，并可能由此產生違規和廉政風險；管理機制風險主要反映了流程部分管理職責缺失、部分部門的職責定位不合理、組織職責不明確和流程環節工作界面不清晰等問題對業務流程的影響；廉政監察風險主要反映在業務流程廉政問題顯現和相關廉政監察機制缺失方面的問題，可能仍將產生廉政風險；工程招標及采購風險主要反映了代理客戶招標和直接收取工程款項的管理方式可能違背“三不指定”（即不指定工程設計單位、不指定隊伍、不指定設備材料）的要求，并可能產生廉政風險。
・生產設備設施風險反映了供電企業因電網基礎設施的投入不足、電網布局不合理等原因產生的供電能力不足的問題，在短期內難以解決。
・其他風險，包括客戶服務風險、依法合規風險、工程設計與可研風險、工程概預算管理風險、工程施工風險、生產運行風險、電能計量風險等，主要反映了供電企業在業務活動的流程設計與執行方面的問題。
?。ǘ╋L險控制策略與控制方案
為有效控制業擴報裝業務風險，采用基于風險管理的內部控制方法，優化和提升供電企業業擴報裝業務流程內部控制。首先明確業擴報裝業務風險控制的主要目標：
・保證符合國家、行業法律法規要求，滿足國網公司基本政策和公司內部制度規定。
・確保接電運行后電網安全可靠。
・合理控制接電成本、線損成本等，并努力提高業務收益。
・客戶導向，為客戶提供高效和高質量服務。
・杜絕業務過程中的廉政與行風問題。
基于風險控制的目標要求和風險偏好，以風險為導向，并根據各項風險的特征，制定風險控制策略和控制方案，其中：
・多經風險采用風險控制策略，調整與多經企業的業務管控關系，規范關聯交易和業務過程，從而降低風險發生的可能性和影響，并在設計與施工單位資質管理、工程招標、工程施工質量控制等活動中按調整后的方案控制。
・管理機制風險采用風險控制策略，增加基建部門、紀檢監察部和風險管理專職機構在業務流程相關環節中的作用，優化客服中心在業務中的定位及具體職責，明確業務相關各個部門的具體職責和關鍵環節的工作界面。
・廉政監察風險采用風險規避策略，增加紀檢監察部在易產生廉政問題流程環節的監督與檢查職責，并規范具體的檢查措施。
・工程招標及采購風險采用風險規避策略，調整代理客戶招標模式，規避代理合同風險，并取消代收工程款項的規定。
・生產設備設施風險采用短期風險接受的策略，短期內接受該風險對企業的不利影響，長期通過設備設施的發展、更替等降低風險的可能性及影響。
・客戶服務風險、依法合規風險、工程設計與可研風險、工程概預算管理風險、工程施工風險、生產運行風險、電能計量風險等各項流程層面的風險根據其風險特征，分別采用風險規避或控制等策略措施，并明確具體的風險控制措施。
?。ㄈ╋L險管理的組織職責
根據風險控制策略和控制方案，具體調整和優化業務相關部門的風險管理組織職責，包括：增加基建部對工程設計圖的審核職責，增加風險管理專職部門對關鍵控制點的風險控制檢查職責和監察部的廉政風險檢查職責，調查客戶服務中心獨立現場勘察和中間檢查的職責，強化營銷部業務程序與標準的控制職責，強化發展策劃、生產技術、調度中心和計量中心在相關環節中的風險控制職責等。
同時，具體明確業擴報裝的不相容職責、主要授權審批權限，并規范各部門在關鍵流程上的分工界面等，其中：
・不相容職責包括供電方案設計與供電方案審批、供電方案設計與供電合同審批、工程咨詢與工程招標、設計圖審核與工程招標、工程招標與中間檢查及竣工驗收、裝表接電與運行檢查等。
・授權權限包括受理客戶申請、確定供電方案與收費方案、設計圖審核、施工單位審核、中間檢查、竣工驗收、確定計量方案、供電合同審批等權限，在企業內部領導層和部門間合理分配相應的授權。
・工作分工界面包括客戶中心、營銷部、發展策劃部、生產部、基建部、調度中心、計量中心、經法部、風險管理專職部門、監察部等部門在前期咨詢、用電申請與受理、現場勘察、供電方案與收費方案設計、供電方案與收費方案審批、工程設計與施工招標、工程設計圖審核、工程施工、中間檢查、竣工驗收、簽訂供電合同、裝表接電、常規運行等環節的具體工作分工界面。
（四）流程內部控制
基于風險控制策略與控制方案，并在完善風險控制職責的基礎上，采用流程內部的方法具體落實風險控制方案，包括：
・明確業擴報裝各項流程的流程目標，流程相關部門的工作職責，并以流程圖和流程說明的方式規范具體流程程序。
・確定各項流程的關鍵控制點，規范控制點的控制部門和控制崗位、具體的控制措施和控制標準、控制的制度與標準依據、控制頻率和控制方式等，形成內控矩陣。
・選擇關鍵控制點，確定控制點的檢查方法、檢查責任和檢查頻率，作為內部控制的保障措施。
・根據確定的流程內部控制措施，修訂和完善相關的制度和標準，落實業擴報裝業務流程內部控制的制度保障。
?。ㄎ澹┍O督與改進
業擴報裝業務流程的內部控制采用過程監督、內控自評估和內控審計的方式保證內部控制的有效性。
・過程監督主要基于內部控制檢查的方法，由風險管理專責部門按照關鍵控制點的檢查方法檢查關鍵控制點的執行情況，并由紀檢監察部檢查廉政情況，根據檢查結果做出及時改進。
・內控自評估主要由業務流程相關部門定期對本部門的內控執行情況做出評估，并提出自我改進的意見。
・內控審計主要由內審部門根據年度風險評估情況，選擇業擴報裝業務相關重大風險，執行重大風險相關內控審計。
四、結語
基于風險管理的內部控制是綜合了風險管理與內部控制相對優勢而形成的系統性方法，是當前風險管理與內部控制理論及方法仍不成熟階段風險控制的有效選擇，也是未來實現內部控制與風險管理整合的有益探索?；陲L險管理的內部控制方法在供電企業業擴報裝業務流程的實踐應用證明了該方法的有效性，也為類似業務的風險控制提供了具體參考。
應該指出的是，基于風險管理的內部控制方法在控制機制方面仍然未達到全面風險管理的效果，企業需要在實踐中不斷探索和完善，也是未來風險管理與內部控制整合工作需要進一步研究的內容。
