近日，在京舉辦的“現代企業內控與風險管理研討會”，就目前國內外熱切關注的如何建設企業內控與風險管理問題進行了探討。
應邀嘉賓普華永道合伙人季瑞華表示，隨著企業的日益發展，經營風險也隨之擴大，內控與風險管理能力成為決定企業市場競爭力及經營管理水平高低的關鍵和核心。因此，對于企業來說，必須認清風險管理現狀，構建體現全面風險管理的內部控制新機制，對風險進行全面有效管理。從2002年美國“薩班斯”的出臺，到目前我國國資委、證監會、財政部相應的企業內控建設指引的出臺，政府對于企業在內控與風險管理建設方面已經越來越重視，企業如何去做好內控與風險管理建設成為當前各企業最為重要和亟須解決的一個難題。
2006年底，中鋁公司在年度內審報告中沒有發現可能導致當年財務報告發生重大錯報漏報的內部控制實質性漏洞，為管理層提交內部控制有效性報告提供了充分的依據。中國鋁業內審總監戴錫寶表示，中鋁之所以能夠做到相對安全的企業內控和風險管理，很大程度上是依賴于公司實施的“404”項目。說到“404”項目，就必須要提到“404條款”和包含條款的《薩奧法案》。其中，針對企業內控管理的著名的第404條條款規定：上市公司管理層負責建立和維護有效內部控制體系；上市公司管理層于財政年度末對內部控制體系有效性進行評價。
404條款雖然內容簡潔，只有這兩個要求，但對企業和審計企業的會計師事務所而言，卻意味著一場加強內部管理和外部監督的革命，意味著企業不僅承擔建立和評估以往不需要認證的符合404條款要求的內部控制體系的責任，還要對這一過程和結果作出公開聲明。這個聲明在公司向美國證券監管機構遞交年度財務報告時被要求一并遞交。
在美國，404審計不通過的公司往往導致該類上市公司股票價格在被公布該消息后的3個月至半年內普遍平均下落5%。
中國鋁業于2001年在美國紐約證券交易所上市，按照法規要求，必須在向美國證券市場監管機構報送2006年年報時，報送包含首席執行官和首席財務官聲明、會計師事務所作出的404審計結論在內的審計師報告。
由于中鋁的財務報表是合并總部和眾多分、子公司的報表的，反映了中鋁作為一個經營集團的業績。因此，建立有效內控體系和進行有效自我評估的工作必將落實到有關總部、分、子公司內部。中鋁公司將如何落實404條款的工作稱為“404項目”。
中國鋁業內審總監戴錫寶詳細介紹了“404項目”的內容，中鋁公司在公司層面、業務、財務流程層面和信息系統總體層面三個層面上建立有效內部控制體系，并編制評估文檔體系。
戴錫寶說，公司層面控制的有效意味著這些準則和制度在總部、分、子公司的日常運作中被有效地制訂、宣傳、理解、遵從、記錄、監督和報告。公司層面控制的有效自我評估則意味著整個制訂、宣傳、理解、遵從、記錄、監督和報告過程首先在公司自己編制的一個有組織的文檔體系中被反映，同時伴有被隨機抽取的樣本及其測試結果的記錄，以證明上述過程的真實性和有效性。該套文檔也要供審計師作為404審計工作對象加以審核和出具意見。
正是因為有了嚴格的規矩、流程，中鋁公司的審計才能得出令人滿意的結果。
那對于一般企業來說，應該從何處入手，建立自己的內控和風險管理呢？
有專家認為，將企業內控落實在日常管理中，就需要時時處處得以體現，而利用IT手段進行管理是將內部控制落到實處的硬性保證。慧點科技開發有限公司的業界專家韓旭軍表示，通過IT化管理在企業內部打造知識共享平臺，持續培育和改善企業內控環境及風險文化，是將企業內控成功經驗固化的最佳方法。利用IT手段進行內控，不僅可以在協同的工作環境內大大提高效率，而且能夠保證企業在實施內控時做到忙而不亂、統一規范。
韓旭軍說，利用IT化管理，首先符合我國有關的法律政策規定。其次能夠將內控和風險管理融入企業的日常經營當中，降低不確定因素對目標實現的影響，提高執行的效力。再次還能夠將風險管理融入企業戰略和目標制定中，通過風險管理增加利潤，優化內部資源分配和投資決策。
北京大學光華管理學院王立彥教授也為一般企業的內控和風險管理給出了自己的建議。他首先引用《論語》中《扁鵲與齊桓公》的故事：扁鵲在三個兄弟中醫術最低，卻最有名氣。因為大哥在病人發病前就將疾病治好了，因此沒有人覺得大哥醫術高明；二哥善于在病發初期將疾病治好，別人往往覺得因為疾病不嚴重才容易醫治；而扁鵲只能在疾病癥狀較嚴重時才能判斷用藥將疾病治好，但卻因為經常是救人于危難，卻成為了天下聞名的“神醫”。
王教授表示，企業實施內部控制也是一樣的道理，雖然大家都明白事后控制不如事中控制，事中控制又不如將問題在出現之前得到控制（事前控制）。但往往能夠將問題在出現之前就解決的人卻很難得到肯定，而那些事前不去防范，事后才想辦法彌補的人卻成了“救世英雄”。
王立彥說，很多企業的經營者都容易忽略企業管理的事前控制，其實企業內部控制做得好不好，應該看企業是否能夠長期穩定的運行。很少出現問題的企業就是內部控制做得好的企業。
美國薩班斯法案出臺后，我國的相關法規也多了起來，首先從財政部發起成立了企業內部控制標準委員會，隨后，證監會、國資委和中央銀行也出臺了相關的法規。王立彥說，從長遠來看，監管企業內部控制體系將更加趨緊。
