摘要：在企業的經營管理過程中，應將內部控制有效地融合到全面風險管理中，從而為實現企業戰略目標提供合理保證。本文提出了構建風險導向的內部控制制度應重點關注的幾個問題。
關鍵詞：內部控制 風險管理 風險導向
在企業實際的經營過程中，風險管理與內部控制密不可分。因此，在當前的環境下，研究一套適合我國國情的風險導向的內部控制制度體系構建方法和措施，將有利于企業更有效地實現經營總體目標，對增強企業戰略發展理論、公司治理理論的操作性具有重要實踐價值。本文認為，構建以風險為導向的內部控制制度需關注以下問題。
一、要明確企業建立內部控制的目標
按照COSO風險管理框架（ERM）可以將內部控制的目標概括為戰略目標、經營目標、報告目標和遵守目標四類。而目前我國企業所確定的內部會計控制目標的重點則是：一是規范單位會計行為，保證會計資料真實、完整；二是堵塞漏洞，消除隱患，防止并及時發現、糾正錯誤與舞弊行為，保護資產的安全完整；三是確保國家有關法律法規和單位內部規章制度的貫徹執行。可以看出，我國企業對內部控制要求較低，僅僅側重于會計處理秩序和業務處理秩序方面的規范要求，缺乏為戰略和經營目標而服務的要求。而對于一個將內部控制目標定位于賬目正確、防范舞弊和法律遵守方面的企業而言，不可能期望其真正建立起與企業戰略和風險管理相融合的內部控制制度。因此對于建立與風險管理相融合的內部控制的企業而言，必須從目標層次上增加戰略目標，并且在戰略制定時決策層就要根據公司的風險偏好和可容忍風險水平設定適當的戰略。企業在設計內部控制程序和活動時，應當服從風險管理的要求，提高企業的期望收益，實現企業價值最大化。
二、要營造良好的企業內部控制環境
良好的企業內部控制環境可以使內部控制與風險管理得以順利有效的實施，主要包括以下內容：建立利益相關者共同治理機制；設立審計委員會負責審查企業內部控制工作；在企業內部建立公平、有效的激勵約束機制；編制詳盡、科學、合理、操作性強的內部控制手冊，使員工掌握企業機構設置、崗位分配與責任、業務流程；建立以誠信為核心和強調道德約束的企業文化；企業領導者需要有極強的風險意識，并努力將這種意識灌輸給企業所有的成員，定期進行風險管理的培訓和交流，增強企業內部所有人員對內部控制和風險管理的重視程度；強化企業的風險意識，樹立正確的風險理念，將風險管理意識轉化為全體員工的共同認識和自覺行動。
三、要把風險管理融入到公司業務流程中去
對風險的重視程度直接影響企業的生存與發展潛力和市場競爭力。企業要有全面風險管理理念，不斷地把風險管理整合到公司的業務流程中去。企業在應對不利風險和收益波動時不只是采取保護性的或有傾向性的方法，而是通過支持和影響定價、資源配置以及其他業務決策來優化績效，把風險管理逐漸融入到公司日常流程中。
首先，要設定合理的目標，在制定目標時，要針對不同的目標分析其相應的風險，并根據對實現企業目標的潛在影響來確認風險，可選擇風險降低、風險消除、風險轉移和風險保留等應對策略，企業管理者應比較不同方案的潛在影響，在企業風險容忍度范圍內的假設下考慮風險應對策略的選擇。其次，要從企業整體來把握風險的存在，了解風險狀況之間的相互聯系，才能對風險進行有效的評估，以便采用恰當的管理措施。再次，采用恰當的風險評估方法，不斷提高與完善風險評估體系。針對各個風險控制點，建立有效的風險管理系統，通過風險的預警、識別、評估、分析、報告等措施，對財務風險和經營風險進行全面防范和控制。最后，不斷提高企業應對風險的能力。不僅管理層要選擇合理的方法來應對風險，同時也要強化員工的風險意識，使得企業每位員工都能為風險管理發揮應有的作用，全方位、多層次地提高企業應對風險的能力。
四、要強化內部控制的監督與評審
要保證內部控制制度被切實的執行并取得良好的效果，必須嚴格監督內部控制。企業需不斷地對內部控制系統的表現進行評估，進而發現問題、解決問題，從而能不斷修改或調整有關的控制環節和措施，促使內部控制合理有效運行。這種監督既包括內部監督也包括外部監督。我國已經逐步建立了包括政府監督（如財政、審計和稅務等部門的監督）和社會監督（如會計師事務所和社會輿論力量的監督）等在內的企業外部監督體系，但是外部監督不是企業能夠左右的機制。我們著重分析企業內部監督和評審機制。內部監督和評審可以分為兩個層次：其一是由管理層所進行的日常監督，這應該形成管理層日常活動的一部分；另一層次是由專門的內部審計部門所進行的全面的內部審計，可以由專業的審計委員會領導并直接向董事會報告。尤為關鍵的是，要使所有的控制人員都具有監督和評審的意識。無論哪一層級負責相應分析控制的人員發現了內部控制的缺陷都應該及時向適當的管理層報告，并應該能夠得到管理層的及時反饋和承諾。監督和評審絕不僅僅是內部審計人員的職責。如果能夠建立全員的控制和監督意識將更加有利于實現內部控制的預期目標。
五、建立與內部控制相適應的信息保障
進行有效的內部控制，企業內部以及企業內外部之間的信息流動與溝通必須是通暢的，有關的信息必須以及時、有效的方式進行識別，歸集并傳遞給相關人員，使其有效地履行職責。一個有效的內部控制系統必須能夠獲得充分、可靠和及時的信息，這些信息包括內部財務、經營和遵守方面的數據以及外部市場中與決策相關的數據。此外，內部控制制度不是公司高層或者僅僅幾個部門的事情，必須保證內部控制制度被公司員工充分理解，確保相關的信息能夠傳達到應到之處。對于那些建立會計信息系統或者ERP系統的企業，可以考慮將內部控制制度和這些系統聯系起來，以方便企業內部信息的流動。
總之，隨著知識經濟時代的到來，企業技術創新能力日益增強，使企業具有了更強的生存力，但同時也將企業置身于更加激烈的競爭環境中，面臨著更大的風險。而被動的、制度化的管理已不再適應現代企業的發展需要，所以，內部控制與風險管理的結合將日益緊密。企業將內部控制納入風險管理當中，不僅可以借助風險管理體系來滿足其內部控制的需要，而且可以借此轉向一個更加全面的風險管理過程，更好地實現企業的戰略目標。Z
參考文獻：
1.朱榮恩，賀欣.內部控制框架的新發展——企業風險管理框架——COSO 委員會新報告《企業風險管理框架》簡介[J].審計研究，2003，（6）.
2.吳秀波.企業風險管理框架下對企業內部會計控制基本規范的思考[J].審計與經濟研究，2006，（3）.
3.韓洪靈，郭燕敏，陳漢文.內部控制監督要素之應用性發展——基于風險導向的理論模型及其借鑒[J].會計研究，2009，（8）.
4.謝志華.內部控制、公司治理、風險管理：關系與整合[J].會計研究，2007，（10）.
