一、风险管理与内部控制体系概述

　　1.1 风险管理的概念

　　国际内部审计师将风险定义为发生某种影响目标完成的事件的不确定性，用该事件的后果和可能性来衡量风险的大小。风险管理主要是从控制的角度来进行定义，是指企业进行管理、控制以及监督风险的相关政策以及程序。风险管理的核心目标在于运用测量以及分析等手段来处理企业经营过程中面对的各种不确定性，以便优化企业承担风险的规模和结构，同时平衡风险及回报之间的关系。风险管理的最终目的是让企业追求回报最大化的同时承担最小的风险。

　　1.2 内部控制体系的概念

　　为了实现经营目标，以防范风险为目的所制定的一系列规章制度和方法称之为企业内部控制体系。企业内部控制体系的主要作用在于职责分离、授权批准、相互制约和监督检查。内部控制体系的五要素为内部环境、控制活动、风险评估、信息与沟通以及内部监督等。

　　1.3 风险管理与内部控制的关系

　　风险管理和内部控制都是企业发展过程中的重要促进因素，有着十分紧密的联系。从主流的COSO企业的风险管理和内部控制的框架出发，内部控制是风险管理的重要组成部分，也是进行风险管理的必要环节，如果内部控制系统缺失，那么风险管理也就无从谈起，内部控制是进行风险管理的必要基础，风险管理是层次更高且综合性更强的一种控制活动。风险是企业制定内部控制系统的主要依据，内部控制又是企业所采取的风险管理措施。因此企业风险管理和内部控制应同时得以足够重视，并不断健全以风险管理为核心的内控体系制度。

　　二、基于风险管理的内控体系建设

　　2.1 完善内部环境

　　完善的企业内控体系依托于良好的内部环境，企业内部环境主要由治理结构、机构的设置和权责利分配、企业文化、企业的管理哲学、企业经营理念和风格以及人力资源管理等内容共同构成。在内部环境的各项构成要素中，董事会属于最重要的组成部分，董事会的职能是否完善，董事会的职能发挥水平等都对其他各项要素具有十分重要的影响作用。所以必须建立完善的企业董事会职能体系。此外建立健全企业内部文化也是完善内部环境的重要一环，例如通过定期组织培训、经验交流会、公司内刊等多种形式，宣传公司内部控制理念，分步骤分阶段将内部控制融入经营管理活动，逐步形成内部控制文化。

　　2.2 完善风险评估

　　风险评估是企业完善内部控制体系的关键环节和重要内容。所谓风险评估主要是指及时的识别并且科学的分析影响企业战略以及经营管理目标实现的各种不确定因素，且能够采取相应的策略加以解决的过程。风险评估主要由目标设定、风险识别、风险分析以及风险应对等内容组成。企业应及时识别业务流程中易发生高风险的业务板块，完善企业各项管理制度和管理政策，提升对各项违规行为的管控水平，及时制定相应的补救措施，将风险因素造成的损失降至最低。

　　2.3 完善控制活动

　　2.3.1 授权审批

　　授权审批主要包含两方面的内容。一方面是关于采购活动的授权审批，另一方面是合同签订过程的授权审批。例如当企业的采购活动是通过单一来源渠道且非招标形式确定的，就需要企业内控部门依据项目的重要程度进行全过程的监督工作，且在相关文件中进行会签。公司的管理层应对相关部门公开公正并实现充分的授权；对于合同的签订方面， 应首先依据合同会签的程序和合同管理的各项规定进行，然后由合同的承办部门、财务部门、法律事务部门的经办人员以及部门的负责人对合同条款进行会签，保证合同条款中规定的费用、质量标准等均符合相关标准及法律法规的规定，有效实现合同签订的事前控制。

　　2.3.2 业绩评价与考核

　　有效的业绩评价控制是管理层能够随时分析企业经营的绩效，详细记录企业经营成果，并将该成果和预期目标进行比较，以确定企业目标是否完成的一种控制活动。例如某集团企业通过制定《内部控制评价与考核办法》，确定内控评价与考核工作的基本政策要求，一方面对所属公司执行集团统一的管理要求情况进行监督检查，避免出现重大经营和管理风险事件，落实集团化管控。另一方面通过建立内控管理绩效考核体系，将“内控管理情况”作为指标纳入集团年度经营绩效考核，加强公司领导班子对内控管理工作的重视程度，为集团内控管理建设、评价与考核提供保障。

　　2.3.3 职责分离

　　现代社会分工越来越细，职责也越来越明显。通过合理的分工将责任进行明确的划分，能够切实有效的完善企业经营管理控制活动，通过合理分工将相容的职责分派给同一员工，不相容的进行分离处置，可以防止舞弊，降低了企业经营过程中的风险。

　　2.4 完善信息与沟通机制

　　信息与沟通是企业正常发展过程中必要的方式，企业应积极建立和完善有效的信息与沟通机制，通过信息的收集→处理→传递程序，实现信息的动态管理。

　　通过对信息的收集、分析和沟通，及时了解市场中客户需求的变化以及竞争对手的调整，并且及时调整信息沟通机制，通过信息和需求之间的一致性，实现企业各种经营管理活动的有效运作，并确保企业管理层的有效交流和职责的及时履行，实现企业的战略目标。

　　2.5 完善内部监督机制

　　2.5.1 制定内部审计工作规范和流程

　　内部审计工作规范一般包括：审计立项与授权、审前准备、审计实施、审计报告、后续审计及审计评价等方面。内审部门依据内部审计工作规范，组织审计队伍，合理分工，明确责任。并且应依据独立性、胜任力以及职业道德等原则来确定审计组长、审计员工的人选并明确其合理分工。

　　2.5.2 加强审计整改

　　内审部门应根据实际情况，适时安排实施审计跟进工作。例如为追踪内控体系整改落实情况，对公司的内控整改情况进行评价。经过评价与整改，公司的内控体系进一步优化，经营管理流程日趋完善。

　　2.5.3 持续优化监督机制

　　通过详尽分析企业内部控制监督中存在的各项问题，采取改善措施持续优化监督机制。例如监督过程不到位不及时，监督缺乏持续性，监督缺乏自我评估以及相互之间缺乏牵制力等风险因素，依据事前事中的评估，广泛的监督、制度保障以及自我评估等，同时借助外部的力量，加强考核和补充监督机制框架，通过完善的企业内审组织体系，有效的监督和评价企业日常经营活动以及内部控制活动，最终促进内部审计的效率、效果和质量水平。

　　总之，在当前激烈的市场竞争环境中，企业应建立适合自身特点的风险方法和内控体制，规范企业的日常经营活动，提高企业防范风险能力，进而促进企业经营目标的实现。