全面风险管理与内部控制的关系

第一篇：全面风险管理与内部控制的关系

全面风险管理与内部控制的关系

摘 要：内部控制是企业全面风险管理的基础，同时内部控制也是全面风险管理不可或缺的重要组成部分。内部控制与全面风险管理之间既存在着联系又有所不同，为了使企业能充分发挥内部控制和全面风险管理的作用，应该对两者之间的关系有清楚的认识。本文主要介绍了全面风险管理和内部控制，以及二者之间的关系。

关键词：全面风险管理；内部控制；关系

（一）内部控制

内部控制是指企业为了合理保证财务报告的可靠性、经营的效率和效果以及对法律法规的遵守，由治理层、管理层和其他人员设计和执行的政策和程序。关于内部控制的定义，COSO委员会经过相对较长时间的研究，于1992年发布了《内部控制——整体框架》，1994年形成正式文稿。《内部控制——整体框架》认为内部控制是为实现企业经营效率和效果、财务报告的可信性及相关法令的遵循等企业目标而提供合理保证的过程。内部控制的实施者为企业董事会、经理层和其他员工。内部控制是整个企业设计的系统，不是为了某个人或某个层级的人提出来的专门针对某个人或某个层级的人的制度。没有人能脱离这一系统而独立运作。管理层、董事会、内部审计和其他员工都应该对内部控制承担责任。

内部控制目标有三点，一是财务报告的可靠性。企业决策层要想在瞬息万变的市场竞争中有效地管理经营企业，就必须及时掌握各种信息，以确保决策的正确性，并可以通过控制手段尽量提高所获信息的准确性和真实性。因此，建立内部控制系统可以提高会计信息的正确性和可靠性。二是经营的效果和效率。内部控制系统通过确定职责分工，严格各种手续、制度、工艺流程、审批程序、检查监督手段等．可以有效地控制本单位生产和经营活动顺利进行、防止出现偏差，纠正失误和弊端，保证实现单位的经营目标。三是合规性。企业决策层不但要制定管理经营方针、政策、制度，而且要狠抓贯彻执行。内部控制则可以通过袱定办法，审核批准，监督检查等手段促使全体职工贯彻和执行既定的方针、政策和制度，同时，可以促使企业领导和有关人员执行国家的方针、政策．在遵守国家法规纪律的前提下认真贯彻企业的既定方针。

企业建立与实施有效的内部控制，应当包括下列要素：

一是内部环境。内部环境是企业实施内部控制的基础，一般包括治理结构、机构设置及权责分配、内部审计、人力资源政策、企业文化等。

二是风险评估。风险评估是企业及时识别、系统分析经营活动中与实现内部控制目标相关的风险，合理确定风险应对策略。三是控制活动。控制活动是企业根据风险评估结果，采用相应的控制措施，将风险控制在可承受度之内。

四是信息与沟通。信息与沟通是企业及时、准确地收集、传递与内部控制相关的信息，确保信息在企业内部、企业与外部之间进行有效沟通。

五是内部监督。内部监督是企业对内部控制建立与实施情况进行监督检查，评价内部控制的有效性，发现内部控制缺陷，应当及时加以改进。

（二）全面风险管理

所谓全面风险管理，是指企业围绕总体经营目标，通过在企业管理的各个环节和经营过程中执行风险管理的基本流程，培育良好的风险管理文化，建立健全全面风险管理体系，包括风险管理策略、风险理财措施、风险管理的组织职能体系、风险管理信息系统和内部控制系统，从而为实现风险管理的总体目标提供合理保证的过程和方法。

2004年COSO委员会发布《企业风险管理——整合框架》。企业风险管理整合框架认为“企业风险管理是一个过程，它由一个主体的董事会、管理当局和其他人员实施，应用于战略制订并贯穿于企业之中，旨在识别可能会影响主体的潜在事项，管理风险以使其在该主体的风险容量之内，并为主体目标的实现提供合理保证。”该框架拓展了内部控制，更有力、更广泛地关注于企业风险管理这一更加宽泛的领域。

全面风险管理框架包括了八个要素：

一是内部环境。管理当局确立关于风险的理念，并确定风险容量。所有企业的核心都是人(他们的个人品性，包括诚信、道德价值观和胜任能力)以及经营所处的环境,内部环境为主体中的人们如何看待风险和着手控制风险确立了基础。

二是目标设定。必须先有目标，管理当局才能识别影响目标实现的潜在事项。企业风险管理确保管理当局采取恰当的程序去设定目标，并保证选定的目标支持主体的使命并与其相衔接，以及与它的风险容量相适应。

三是事项识别。必须识别可能对主体产生影响的潜在事项，包括表示风险的事项和表示机会的事项，以及可能二者兼有的事项。机会被追溯到管理当局的战略或目标制定过程。

四是风险评估。要对识别的风险进行分析，以便确定管理的依据。风险与可能被影响的目标相关联。既要对固有风险进行评估，也要对剩余风险进行评估，评估要考虑到风险的可能性和影响。

五是风险应对。员工识别和评价可能的风险应对措施，包括回避、承担、降低和分担风险。管理当局选择一系列措施使风险与主体的风险容限和风险容量相适应。六是控制活动。制定和实施政策与程序以确保管理当局所选择的风险应对策略得以有效实施。

七是信息与沟通。主体的各个层级都需要借助信息来识别、评估和应对风险。广泛意义的有效沟通包括信息在主体中向下、平行和向上流动。

八是监控。整个企业风险管理处于监控之下,必要时还会进行修正。这种方式能够动态地反应风险管理状况，并使之根据条件的要求而变化。监控通过持续的管理活动、对企业风险管理的单独评价或者两者的结合来完成。

（三）全面风险管理与内部控制的关系

谈到风险管理，则一定会提到企业内部控制。在实践中有很多企业不能真正理解全面风险管理与内部控制的区别和联系，要么将两者完全隔离开来，要么只是简单地将它们等同起来。其实，两者之间既有区别又有联系。

全面风险管理与内部控制的联系：

一是全面风险管理涵盖了内部控制。COSO框架中明确地指出全面风险管理体系框架包括内部控制，将之作为一个子系统。

二是内部控制是全面风险管理的必要环节。内部控制的动力来自企业对风险的认识和管理，对于企业所面临的大部分运营风险，或者说对于在企业的所有业务流程之中的风险，内控系统是必要的、高效的和有效的风险管理方法。同时，维持充分的内控系统也是国内外许多法律法规的合规要求。因此，满足内部控制系统的要求也是企业风险管理体系建立应该达到的基本状态。

全面风险管理与内部控制的区别：

一是两者的范畴不一致。内部控制仅是管理的一项职能，主要是通过事后和事中的控制来实现其目标，而全面风险管理则贯穿于管理过程的各个阶段，覆盖了各个不同的环节，更重要的是在事前就对风险有了一定的预见性的考虑。而且，全面风险管理所要达到的目标多于内部控制。

二是两者的活动不一致。全面风险管理的一系列具体活动并不都是内部控制要做的。全面风险管理包含了选择风险评估方法、制定风险管理目标、制定相关战略、报告程序及聘用管理人员等多个环节，而内部控制主要负责的是风险管理过程中间及其以后的重要活动，例如对风险的评估和，对财务报告的评估，信息与交流活动的监督，对操作流程的不规范进行纠正等等。两者最大的差别在于内部控制不负责企业经营目标的具体设立，而只是对目标的制定过程进行监控和评价，尤其是对目标制定中的风险进行评估。

三是两者对风险的管理不一致。全面风险管理框架包括了风险偏好、风险对策、压力测试、情景分析等概念和方法，因此，该框架在风险度量的基础上，促使企业发展战略向风险偏好靠拢，根据资金投入、经营风险与利润回报之间的联系，进行经济资本分配，帮助管理层实现全面风险管理的目标。这些功能都是内部控制框架能力范围之外的。

从目前企业的管理发展趋势来看，企业的全面风险管理与内部控制管理已经交集密切，互相密不可分。通过上面的描述，我们可以看出，全面风险管理及内部控制实际上都是以保护企业的财产安全、保证企业的经营结果、实现企业的战略目标为最终的目的。内部控制是全面风险管理的重要核心内容，而全面风险管理则在内部控制的基础上升华扩散。概括的说，内部控制使得企业的日常经营管理流程更加规范、财务管理真正的有效实施，与此同时企业内部的规范性操作流程、财务管理控制也正是全面风险管理在企业实施的基本条件。

第二篇：浅析全面风险管理与内部控制的关系

浅析全面风险管理与内部控制的关系

一、内部控制和全面风险管理在COSO框架中的定义

现代理论界对内部控制的定义各不相同，但被普遍接受的定义是国际权威机构美国的COSO委员会对内部控制的定义。COSO于2004 年发布了《企业风险管理——整合框架》，在该框架的附录C中指出，“内部控制被涵盖在企业风险管理之内，是其不可分割的一部分”。

该组织认为：企业内部控制是由企业董事会、经理层以及其他员工共同实施的，为财务报告的准确性、经营活动的效率与效果、相关法律法规的遵循等目标的实现而提供合理保证的过程。在COSO委员会的《内部控制管理框架》中，把内部控制活动分成五大组成部分，即：控制环境、风险评估、控制活动、信息与交流和监督评审。

在多年的管理实践中，人们意识到一个企业内部不同部门或不同业务的风险，有的会相互叠加放大，有的则相互抵消减少。因此，风险的考虑不能仅仅从某项业务、某个部门的角度出发，必须根据风险组合的观点，从贯穿整个企业的角度看风险，即要实行全面风险管理。

依据COSO委员会 2003年7月完成的《全面风险管理框架》定义：企业风险管理是一个过程，是由企业的董事会、管理层以及其他人员共同实施的，应用于战略制定及企业各个层次的活动，旨在识别可能影响企业的各种潜在事件，并按照企业的风险偏好管理风险，为企业目标的实现提供合理的保证。该框架有三个维度，第一维是企业的目标；第二维是全面风险管理要素；第三维是企业的各个层级。第一维企业的目标有4个，即战略目标、经营目标、报告目标和合规目标。第二维全面风险管理要素有8个，即内部环境、目标设定、事件识别、风险评估、风险对策、控制活动、信息和交流、监控。第三个维度是企业的各个层级，包括整个企业、各职能部门、各条业务线及下属各子公司。《全面风险管理框架》三个维度的关系是：全面风险管理的8个要素都是为企业的四个目标服务的；企业各个层级都要坚持同样的四个目标；每个层次都必须从以上8个方面进行风险管理。

二、内部控制与全面风险管理的联系

1.全面风险管理涵盖了内部控制。COSO2003年7月公布了全面风险管理框架的征求意见稿中明确地指出全面风险管理体系框架包括内控作为一个子系统。全面风险管理除包括内部控制的3个目标之外，还增加了战略目标；全面风险管理的8个要素除了包括内部控制的全部5个要素之外，还增加了目标设定、事件识别和风险对策3个要素。从时间先后和内容上来看，全面风险管理是对内部控制的拓展和延伸。

2.内部控制是全面风险管理的必要环节。内部控制的动力来自企业对风险的认识和管理，对于企业所面临的大部分运营风险，或者说对于在企业的所有业务流程之中的风险，内控系统是必要的、高效的和有效的风险管理方法。同时，维持充分的内控系统也是国内外许多法律法规的合规要求。因此，满足内部控制系统的要求也是企业风险管理体系建立应该达到的基本状态。

3.内部控制是风险管理的重要手段。内部控制是风险管理的重要手段体现在以下三个方面：第一，采用内部控制措施可以处理大部分风险。就一般工业企业而言，除采取保险等措施外，大部分风险都可以通过采取内部控制措施来解决，而这也正是我们所熟悉的，如内部牵制措施、预算控制、实物控制、运营分析等。如果主要通过外包方案或者外部的其他力量来解决风险，其比采用内部控制控制措施的成本会高很多。第二，可以采取内部控制和其他措施联合解决的部分风险。内部控制措施可能只能在一定程度上解决某项具体风险，或者说仅采用内部控制措施还不能使风险保持在可以承受的范围内，因此必须协同其他措施进行联合管理，如外汇风险、被收购的风险、税务风险等，以税务风险为例，企业聘请中介机构代为申报纳税，或者由中介机构对企业税务申报情况出具审核报告，从而减少税务合规性风险。第三，对于完全采取内部控制以外恶其他措施解决的风险在实务中非常少见。

三、内部控制与全面风险管理的差异

1.两者的范畴不一致。内部控制仅是管理的一项职能，主要是通过事后和过程的控制来实现其自身的目标；而全面风险管理则贯穿于管理过程的各个方面，控制的手段不仅体现在事中和事后的控制，更重要的是在事前制订目标时就充分考虑了风险的存在。而且，在两者所要达到的目标上，全面风险管理多于内部控制。

2.两者的活动不一致。全面风险管理的一系列具体活动并不都是内部控制要做的。目前所提倡的全面风险管理包含了风险管理目标和战略的设定、风险评估方法的选择、管理人员的聘用、有关的预算和行政管理、以及报告程序等活动。而内部控制所负责的是风险管理过程中间及其以后的重要活动，如对风险的评估和由此实施的控制活动、信息与交流活动和监督评审与缺陷的纠正等工作。两者最明显的差异在于内部控制不负责企业经营目标的具体设立，而只是对目标的制定过程进行评价，特别是对目标和战略计划制定当中的风险进行评估。

3.两者对风险的定义不一致。在COSO委员会的全面风险管理框架中，把风险明确定义为“对企业的目标产生负面影响的事件发生的可能性”（将产生正面影响的事件视为机会），将风险与机会区分开来；而在COSO委员会的内部控制框架中，没有区分风险和机会。

4.两者对风险的对策不一致。全面风险管理框架引入了风险偏好、风险容忍度、风险对策、压力测试、情景分析等概念和方法，因此，该框架在风险度量的基础上，有利于企业的发展战略与风险偏好相一致，增长、风险与回报相联系，进行经济资本分配及利用风险信息支持业务前台决策流程等，从而帮助董事会和高级管理层实现全面风险管理的4项目标。这些内容都是内部控制框架中没有的，也是其所不能做到的。

四.与内部控制相比，全面风险管理在范围与内容上的扩大

简单地看，相对于内部控制框架而言，新的COSO报告新增加了一个观念、一个目标、两个概念和三个要素，即“风险组合观”、“战略目标”、“风险偏好”和“风险容忍度”的概念以及“目标制定”、“事项识别”和“风险反应”要素。对应风险管理的需要，新框架还要求企业设立一个新的部门——风险管理部。新的风险管理框架比起内部控制框架，无论在内容还是范围上都有所扩大和提高，具体表现在：

1.提出一个新的观念―风险组合观

在单独考虑如何实现企业各个目标的过程中，企业风险管理框架更看重风险因素。除单独考虑各个风险因素之外，更有必要从总体的、组合的角度理解风险。企业风险管理要求企业管理者以风险组合的观点看待风险，对相关的风险进行识别并采取措施使企业所承担的风险在风险偏好的范围内。对企业内每个单位而言，其风险可能落在该单位的风险容忍度范围内，但从企业总体来看，总风险可以超过企业总体的风险偏好范围。因此，应从企业总体的风险组合的观点看待风险。

2．增加一类目标—战略目标，并扩大了报告目标的范畴

内部控制框架将企业的目标分为三类――经营、财务报告和合法性目标。企业风险管理框架也包含三个类似的目标，但是其中只有两个目标与内部控制框架中的定义相同，财务报告目标的界定则有所区别。内部控制框架中的财务报告目标只与公开披露的财务报表的可靠性相关，而企业风险管理框架中的报告目标的范围有很大的扩展，该目标覆盖了企业编制的所有报告，既包括内部报告，也包括外部报告；既包括企业内部管理者使用的报告，也包括向外部提供的报告；既包括法定报告，也包括向其他利益相关者年的非法定报告；既包括财务信息，也包括非财务信息。此外，企业风险管理框架比内部控制框架增加了一个目标——战略目标。该目标的层次比其他三个目标更高。战略目标来源于企业的任务或对未来的预期，经营、报告和合法目标都与其相关。企业的风险管理在应用于实现企业其他三类目标的过程中，也应用于企业的战略制定阶段。

3．针对风险度量提出两个新概念—风险偏好和风险容忍度

风险管理框架是针对企业目标实现过程中所面临的风险，对企业风险管理提出风险偏好和风险容忍度两个概念。从广义上看，风险偏好是指企业在实现其目标的过程中愿意接受的风险的数量。一般从定性的角度将风险偏好分为风险喜好、风险中性和风险厌恶三种类型。此外，企业也可以采用定量的方法对风险偏好进行衡量，反映企业的目标、收益与风险之间的关系并进行权衡。企业的风险偏好与企业的战略直接相关，企业在制定战略时，应考虑将该战略的既定收益与企业的风险偏好结合起来。不同的战略给企业带来的风险也不同，在企业战略制定阶段就进行风险管理，就是要帮助企业的管理者在不同战略间选择与企业的风险偏好相一致的战略。

风险偏好的概念是建立在风险容忍度概念基础上的。风险容忍度是指在企业目标实现的过程中对差异的可接受程度，是企业在风险偏好的基础上设定的对相关目标实现过程中所出现的差异的可容忍限度。在确定各目标的风险容忍度时，企业应考虑相关目标的重要性，并将其与企业风险偏好联系起来。将风险控制在风险容忍度之内能够在更大程度上保证企业的风险被控制在风险偏好的范围内，也就能够从更高程度上保证企业目标的实现。

4．增加了三个风险管理要素，对其他要素的分析更加深入，范围上也有所扩大

企业风险管理框架新增了三个风险管理要素——“目标制定”、“事项识别”和“风险反应”。此外，针对企业将管理的重心移至风险管理，风险管理框架更加深入地阐述了其他要素的内涵，并扩大了相关要素的范围。

（1）目标制定:在风险管理框架中，由于要针对不同的目标分析其相应的风险，因此目标的制定自然就成为风险管理流程的首要步骤，并将其确认为风险管理框架的一部分。

（2）事项识别:企业风险管理和内部控制框架都承认风险来自于企业内、外部各种因素，而且可能在企业的各个层面上出现，并且应根据对实现企业目标的潜在影响来确认风险。但是，企业风险管理框架深入探讨了潜在事项的概念，认为潜在事项是指来自于企业内部和外部资源的，可能影响企业战略的执行和目标的实现的一件或者一系列偶发事项。存在潜在的积极影响的事项代表机遇，而存在潜在负面影响的事项则称为风险。企业风险管理框架采用一系列技术来识别有关事项并考虑有关事项的起因，对企业过去和未来的潜在事项以及事项的发生趋势进行计量。

（3）风险反应:企业风险管理框架提出对风险的四种反应方案――规避、减少、共担和接受风险。作为风险管理的一部分，管理者应比较不同反应方案的潜在影响，并且在接受的残存风险应在企业风险容忍度范围内的假设下，考虑风险反应方案的选择。在个别和分组考虑风险的各反应方案后，企业管理者应从总体的角度考虑企业选择的所有风险反应方案组合后对企业的总体影响。

（4）控制环境:在控制环境要素上，企业风险管理框架更直接、更广泛地关注风险是如何影响企业的风险文化，无论是明确地还是无意地影响。企业的风险文化是企业员工共有的态度、价值、目标和行动的集合，它表明企业是如何认识风险的。

（5）风险评估:内部控制框架和企业风险管理框架都强调对风险的评估，评估特定风险发生的可能性和风险的潜在影响，但企业风险管理框架建议更加透彻地看待风险管理，即从固有风险和残存风险的角度来看待风险，对风险影响的分析则采用简单算术平均数、最差的情形下的估计值或者事项的分布等技术来分析。最好能够找到与风险相关的目标一致的计量单位进行计量，将风险与相关的目标联系起来。风险评估的时间基准应与企业的战略和目标相一致，如果可能，时间基准也应与可观测到的数据相一致。企业风险管理框架还要求注意相互关联的风险，确定一件单一的事项如何为企业带来多重的风险。

（6）信息和沟通:企业风险管理框架扩大了企业信息和沟通的构成内容，认为企业的信息应包括来自过去、现在和未来潜在事项的数据。历史数据可以使企业将实际的经营成果与目标、计划和预期相比较，以深入了解企业在过去不断变化的市场条件下是如何经营的。现在状况的数据可以向企业管理者提供更多重要的信息，而未来潜在事项的数据和潜在的影响因素可以帮助完成对信息的分析。企业的信息系统的基本职能应以时间序列的形式收集、捕捉数据，其收集数据的详细程度则视企业风险识别、评估和反应的需要而定，并保证将风险维持在风险偏好的范围内。此外，由于各管理层是企业风险管理（或者内部控制）的组成部分，并为企业的风险管理（或者内部控制）提供信息，因此，两个框架对不同管理层的地位和责任都比较关注。但相对于内部控制框架，企业风险管理框架提出设立新的风险管理部门并规定了风险管理员的地位和职责，同时扩大了董事会的职责。

研1310 蔡烨路 132060461

第三篇：全面风险管理与内部控制工作实施办法

xx公司

全面风险管理与内部控制工作实施办法

（试 行）

第一章 总则

第一条 为规范公司全面风险管理与内部控制工作，制定本实施办法。

第二条 本实施办法所称风险，指未来的不确定性对公司经营目标实现的影响，包括财务风险、法律风险、市场营销风险、人力资源风险、信息风险、廉政风险、信访维稳风险和其他风险。

第三条 本实施办法所称内部控制，是指公司管理层和全体员工按照既定的风险管理策略实施的、旨在保障风险控制目标实现的过程。

第二章 组织体系与职责分工

第四条 公司设立全面风险管理与内部控制委员会 主任：总经理 党支部书记 成员：各部门主任

下设全面风险管理与内部控制办公室，主任由综合管理部主任兼任。

第五条 全面风险管理与内部控制委员会主要职责包括：

（一）审议批准公司风险管理与内部控制相关规章制度、实施办法。

（二）批准公司全面风险管理与内部控制工作计划。

（三）审定公司风险管理与内部控制目标、重大风险管理策略和内部控制措施。

（四）审定公司全面风险管理报告、风险管理与内部控制评价报告以及重大决策的专项风险评估报告。

（五）审定公司风险管理与内部控制手册。

（六）审定公司风险管理与内部控制评价标准。

（七）审议公司其他重大风险管理与内部控制事项。第六条 公司全面风险管理与内部控制办公室负责风险管理与内部控制日常组织与协调工作，主要职责包括：

（一）制定和完善公司风险管理与内部控制相关规章制度、实施办法、管理手册。

（二）组织公司各部门执行风险管理基本流程、建立完善内部控制体系并监督执行。

（三）组织开展公司全面风险管理报告的编报工作。

（四）指导、监督公司各部门全面风险管理与内部控制工作，对各部门全面风险管理与内部控制情况进行考核。

（五）组织开展与风险管理及内部控制有关的文化培育工作。

第七条 公司各部门是本专业风险管理与内部控制工作的管理部门和执行部门，主要职责包括：

（一）制定本部门风险管理与内部控制相关实施细则、办法。

（二）开展本部门风险管理信息收集、风险评估、研究确定本部门风险管理策略、重大风险预警指标。

（三）更新本部门风险信息、内部控制信息、风险案例、预警指标等基础数据。

（四）建立本部门内部控制体系并有效执行，编制本部门业务风险与内部控制手册。

第八条 各部门指定一名专人负责本专业风险管理与内部控制工作，接受公司全面风险管理与内部控制办公室的业务指导。

第九条 综合管理部负责对风险管理与内部控制实施有效性进行监督。

第三章 风险信息收集、识别、评估

第十条 公司根据全面风险管理指标检测体系的要求，建立健全客观、全面、有效的风险信息收集机制。要以岗位为基础，以业务流程为依托，动态收集风险初始信息，并对初始信息进行筛选、提炼、分类。风险信息收集包括以下内容：

（一）财务风险方面：收集增收节支，资金安全、偿债能力等影响分公司预期收益的信息，分析这些信息是否可能给公司带来财务结构不合理、偿债能力降低等方面的财务风险。

（二）法律法规方面：收集与法人主体责任、重大合同履约、法律纠纷等信息，分析这些信息是否可能给公司带来法律法规方面的风险。

（三）市场营销风险方面：收集市场波动、政策变化、客户信息变化等因素影响采购、销售、收款方面的信息，分析这些信息是否可能给公司带来市场营销方面的风险。

（四）人力资源风险方面：收集劳动政策变化、人力资源规划及劳动用工管理等方面的信息，分析这些信息是否可能给公司带来人员结构不合理、队伍不稳定等风险。

（五）信息风险方面：收集易造成信息失密、信息泄密等方面的信息，分析这些信息是否可能给公司带来损失或不良影响的风险。

（六）廉政风险方面：收集干部员工遵守规章制度、廉洁从业规定等方面的信息，分析这些信息是否可能导致违法违纪，给公司带来经济损失或声誉损害的风险。

（七）信访维稳风险方面：收集公司与职工切身利益相关等方面的经营管理决策信息，分析这些信息能否引发信访问题，或处臵信访事件不及时、不妥当，导致给公司造成不利社会影响的风险。

第十一条 各部门至少每年开展一次风险信息收集、辨识工作，形成本专业风险信息，提交全面风险管理与内部控制办公室汇总审核，并同步更新全面风险管理与内部控制信息系统相关信息。

第十二条 各部门应至少每年开展一次风险评估，评估结果提交本单位全面风险管理与内部控制办公室，并同步更新全面风险管理相关信息。凡遇有重大问题决策等事项时，公司本部及各部门应按照“三重一大”事项决策的有关程序，由事项主办部门牵头组织实施风险评估，提出重大决策专项风险评估报告，制定风险管控措施，落实责任人员，并提出管理建议。管理层应充分考虑风险评估结论和管理建议，将其作为重大事项决策的参考依据。

第四章 业务风险防控办法

第十三条 合同签订风险防控

采销合同的谈判和签订，严格按照公司xx相关要求执行。

（一）合同谈判及签订风险点（1）合同谈判程序不规范。

（2）对交易对象的资质审查不严格。（3）合同签订程序不规范。

（4）合同签订条款不齐全、不严格。（5）采购、销售合同脱节。

（二）为最大限度的避免经营风险，应在对交易对象严格审查的基础上签订xx购销合同，把握经营活动的底线，确保一旦发生经济纠纷时能争取主动权，有针对性的开展风险防范，制定风险防控措施。

（1）严格遵守公司xx规定，保证合同洽谈的严肃性、规范性。现场洽谈过程中保证我方至少二人以上在场，做好文字记录、影像记录，以及归档工作，严防损害公司利益的行为发生；通过电话、微信或QQ等非现场方式洽谈的，主谈人应把洽谈过程及初步结果告知辅谈人，征求其意见，最终由辅谈人拟出谈判会议纪要经审核后双方书面签订纪要。

（2）合同签订前要严格审查交易对象的各项资质，一般先审查“四证”，即营业执照、组织机构代码证、税务登记证、开户许可证是否齐全、真实，各证照是否过期，在此基础上通过全国企业信用信息公示系统查询是否有不良记录、商业信誉等，达到信用评级审批表相关要求后方可签订购销合同。

（3）严格执行合同会签制度，规范合同流程审批，分解权限，形成相互纠错、相互制约，有效防控风险的运行机制。会签过程如遇人员出差等无法现场会签的，由合同经办人将合同电子文档发该人员，其同意后可跳至下一节点会签，待该人员回公司后补签，合同经办人在该补签人员栏填写征求意见并签名。

（4）xx购销合同只有条款明确、齐备才能最大限度的降低经营风险，与公司发布的标准合同不一致的需经公司燃料领导小组研究同意后方可调整，重大调整的需书面征求省公司业务对口管理部门意见，一般涉及以下主要条款：质量指标、价格、运输方式、运杂费的承担、数质量验收方式、交货地点、结算方式、货款支付方式及时间、货权转移及风险转移时间、奖罚条款、违约责任、不可抗力、纠纷解决方式、合同有效期等，只有条款明确，有利于自身才能有效降低风险。

（5）严格落实以销定进、以利定价的原则，采购销售互相参照，互为衔接，防止采销原则不一致造成亏损。

第十四条 采购流程风险防控

公司采购过程中应严格按照公司xx相关要求执行。

（一）xx采购流程风险点（1）供应商不按合同履约。（2）货权单位与合同单位不一致。（3）xx数量争议。（4）xx质量争议。

（5）xx指标不符合，掺杂、以次充好。

（二）xx采购过程中实际结果和预期目标偏离的可能性很大，对潜在风险要提前防控，必须针对不同情况采取降低、规避、分担和控制风险的措施，实现采购风险最小化。

（1）严格落实供应商保证金管理制度，防止供应商因自身原因不按合同履约，影响采购计划的落实。新进供应商、注册资本金偏少、发生过未按合同履约应适度提高保证金，具体幅度由公司燃料领导小组讨论后确定。

（2）合同执行过程中遇合同单位与货权单位不一致的情况，必须要求供应商将货权转移给我方，货权转让单位在货权转移函上加盖公章，法人签字或法人授权代表签字，否则不予结算，防止货权纠纷。在取得货物的实际控制权以前，严禁仅凭对方单位出具的货权转移证明支付xx货款，防范“一货多卖”等欺诈行为。

（3）xx数量验收必须以双方认可的第三方出具的法定衡重报告或水尺检验数据为准，现场人员加强监督，及时索取数量报告，做好数据对比分析，防止计量方式不合法供应商不认可及数量亏损。

（4）xx质量验收必须以双方认可的第三方按国家标准进行全程采制化，并以此出具的检验报告为准。

第十五条 销售流程风险防控

销售xx过程中应严格按照公司xx相关要求执行。

（一）xx销售流程风险点

（1）装港质量控制不严谨，掺配方案不可行。（2）承运船舶船期安排不妥当，船舶自身设计不规范。（3）装卸港验收数质量亏损。

（二）xx销售过程中环节多，战线长，要建立完备的监管验收制度，实现过程可控、在控，规避经营风险。

第十六条 资金回付风险防控

资金收付应严格按照公司xx相关要求执行。

（一）资金收付流程风险点（1）赊销预付管控不到位。

（2）付款账号与开户许可证账号不一致。（3）用户付款错误，支付银行承兑不规范。

（二）在xx经营过程中，为了增加销售量，扩大市场占有率，赊销预付行为会越来越多，控制赊销预付风险是我们必须面对的问题，对此要严格采购销售信用评级制度，根据贸易商级别，严控预付和赊销比例，防止坏账、死账情况的发生，及时催收回款，防止资金风险。

（1）严格按照公司要求建立用户信用评级制度，按照公司收付款相关管理办法规定的赊销预付比例开展经营工作，要严格按照合同中对煤款收取的不同约定，催要对方预收款

或是对方收到发票后催要结算款，确保煤款及时收回。具备结算条件时，业务人员电话提醒用户及时进入付款流程并办理付款手续；货款到期后一周如仍未回款，发一份《逾期催款函》，之后每隔一周发一份《逾期催款函》，三周仍未回款，则发一份《超期催款单》和《货款往来对账单》并要求对方回执，从第一笔逾期欠款之日起满三个月的，需及时上报省公司相关部门并说明情况，另提供相关资料报请公司法律顾问与对方接洽，并出具律师函；逾期一年的，必须采取诉讼等硬性措施。

（2）付款账号一般按照对方开户许可证账号支付，如发现账号不一致，对方需出具付款说明并加盖单位公章。

（3）需方应按照我方指定的收款账号进行付款，业务人员应与需方及时沟通，付款前再次确定我方收款账号，以免付错账号影响付款业务，如需方因其他原因不能按我方指定账户打款，说明原因后我方配合出具相关业务手续。

第十七条 员工思想动态风险措施

及时了解员工的思想动态，倾听员工的心声，了解员工在日常工作、学习、生活和个人发展中存在的问题，加强沟通、正面引导，提高员工思想素质，以人为本，为员工成长成才创造条件，构筑有效激励机制，激发公司和谐活动。

第五章 附则

第十八条 本实施办法由公司风险控制部负责解释并监督执行。

第十九条 本实施办法自发布之日起执行。

第四篇：内部控制与风险管理

内部控制与风险管理

摘要：企业的内部控制制度是企业管理现代化的必然产物，加强内部控制制度建设是建立现代企业制度的内在要求。有效的内部控制不仅能使企业的资源合理配置，提高劳动生产率，而且更能防范和发现企业内部和外部的欺诈行为。但是目前有相当一部分企业对建立内部会计控制制度不够重视，导致会计信息失真，会计秩序混乱，违法违纪现象时常发生，以致管理失控，资产流失、经营失败。因此，建立和完善企业内部会计控制策略是当前企业管理面临的一个重要问题。内部控制的目标就是防范和控制风险，促进企业实现发展战略，风险管理的目标也是促进企业实现发展战略，风险管理的目标也是促进企业实现发展战略，二者都要求将风险控制在可承受的范围之内。因此，内部控制与风险管理二者不是对立的二者是协调统一的。而实际工作中，一些企业的内部控制和风险管理工作有不同机构负责。对此企业可以对有关机构和业务进行整合，从工作内容、目标、要求以及具体工作执行的方法、程序等方面，将内部控制建设和风险管理工作有机结合起来，避免职能交叉、资源浪费、重复劳动，降低企业管理成本，提高工作效率和效果。

关键词：企业内部控制 风险管理

一、企业内部控制内涵概述所谓内部控制，是指一个单位为了实现其经营目标，保护资产的安全完整，保证会计信息资料的正确可靠，确保经营方针的贯彻执行，保证经营活动的经济性、效率性和效果性而在单位内部采取的自我调整、约束、规划、评价和控制的一系列方法、手续与措施的总称。那准确的说什么是企业的内部控制呢？ 内部控制作为企业管理活动中的一种自我调整和制约的手段，从其形成至完善，大体经历了内部牵制的采用—制约机制的建立—控制体系的形成三个阶段。企业内部会计控制是企业为保证经营业务活动的有序进行而制定和实施的会计政策和程序，它的主要作用是确保资产的安全完整和会计信息的真实准确，以及确保国家有关法律法规和企业内部各项规章制度的贯彻执行，约束企业内部涉及会计工作的各项经济业务活动及相关岗位，它由于管理目的与企业价值最大化目标保持高度一致而成为企业内控体系的核心组成部分。

二、如何理解企业的风险管理 企业风险管理是对企业内可能产生的各种风险进行识别、衡量、分析、评价，并适时采取及时有效的方法进行防范和控制，用最经济合理的方法来综合处理风险，以实现最大安全保障的一种科学管理方法。企业风险是指由于企业内外环境的不确定性、生产经营活动的复杂性和企业能力的有限性而导致企业的实际收益达不到预期收益，甚至导致企业生产经营活动失败的可能性。有效地对各种风险进行管理有利于企业作出正确的决策、有利于保护企业资产的安全和完整、有利于实现企业的经营活动目标，对企业来说具有重要的意义。

三、关系概述：

1、内部控制包含风险管理

企业内部控制是以专业管理制度为基础，以防范风险、有效监管为目的，通过全方位建立过程控制体系、描述关键控制点和以流程形式直观表达生产经营业务过程而形成的管理规范。内部控制包括控制环境、风险评估、控制活动、信息与沟通、监控等五个相互联系的要素。

风险管理又名危机管理，是指生产过程中，风险管理部门对可能遇到的各种风险因素进行识别、分析、评估，以最低成本实现最大的安全保障的过程(风险管理是一个过程，由风险的识别、量化、评价、控制、监督等过程组成)。

内部控制主要是在企业内部实施的一种管理，风险管理有些可以通过内部控制来规避，有些则是客观不可控的。目前在我国，风险管理还是一个很宽泛的概念，内部控制则是从外部控制的角度去考虑的，相比风险管理更加精确。如果企业在不考虑内部控制的情况下谈论

风险管理，那么风险管理就失去了意义，也很难找到有效避免风 险的着力点和切入点。因此，在内部控制的框架下去谈风险管理、进而增强企业识别、防范风险的能力，能促使企业更好地发挥风险管理的能动性。

2、内部控制是实施风险管理的基础

企业内部控制实际上就是实施风险管理前的环境净化器。实施内部控制时，一定要将“控”做到极致，左右摇摆，兼顾太多的内部控制很难达到环境净化器的作用。从某种意义上，内部控制建设就像是企业实施风险管理的一座桥梁，如果没有这座桥，盲目开展风险管理，会使企业慢慢迷失前进的方向。

目前，内部控制在中国实施的时间还不长，很多企业都是“依葫芦画瓢”，还没有真正领悟到内部控制和风险管理的真谛。如果企业在内部控制上认识不深的话，对实施风险管理将造成一定的阻碍。

无论是内部控制还是风险管理都需要历史的积淀，需要时间的累积，需要形成一种传统。或许这个过程将是纠结和痛苦的，但却是必不可缺的。企业在经历了这样的累积，再感受内部控制和风险管理就将不一样了。

3、技术及市场条件的新进展，推动了内部控制走向风险管理。在先进的信息技术条件下，会计记录实现了电子控制、实时更新，使传统的查错与防弊的会计控制显得过时。然而，风险往往是由交易或组织创新造成的，这些创新来源于新兴的市场实践，如安然公司将能源交易大量发展成类似金融衍生品的交易。另一方面，环境保护及消费者权益保护的加强，都强化了企业的社会责任，若一有不慎，企业就可能遭受来自商品市场或资本市场的惩罚，表现为企业的品牌价值或资本市场上的市值贬损。因此，企业需要一种日常运行的功能与结构来防范风险，包括遵守法律与法规，确保投资者对财务信息的信任以及保证经营效率等。因此，从维护与促进价值创造这一根本功能来看，风险管理与企业内部控制的目标是一致的，只是在新的技术与市场条件下，为了更有效地保护投资者利益，需要在内部控制的基础上发展更主动、更全面的风险管理。

四、主要区别

第一，它们都是由“企业董事会、管理层以及其他人员共同实施的”，强调了全员参与的观

点，指出各方在内部控制或风险管理中都有相应的角色与职责。

第二，它们都明确是一个“过程”，不能当作某种静态的东西，如制度文件、技术模型等，也不是单独或额外的活动，如检查评估等，最好是内置于企业日常管理过程中，作为一种常规运行的机制来建设。

第三，它们都是为企业目标的实现提供合理的保证。风险管理的目标有四类，其中三类与

内部控制相重合，即报告类目标、经营类目标和遵循类目标。但报告类目标有所扩展，它不仅包括财务报告的准确性，还要求所有对内对外发布的非财务类报告准确可靠。另外，风险管理增加了战略目标，即与企业的远景或使命相关的高层次目标。这意味着风险管理不仅仅是确保经营的效率与效果，而且介入了企业战略（包括经营目标）制定过程。

第四，风险管理与内部控制的组成要素有五个方面是重合的，即（控制或内部）环境、风

险评估、控制活动、信息与沟通、监督。这些重合是由它们目标的多数重合及实现机制相似决定的。风险管理增加了目标设定、事件识别和风险对策三个要素。重合的要素中，内涵也有所扩展，例如，内部控制环境包括诚实正直品格及道德价值观、员工素质与能力、董事会与审计委员会、管理哲学与经营风格、组织结构、权力与责任的分配、人力资源政策和实践等七个方面。风险管理的“内部环境”除包括上述七个方面外，还包括风险管理哲学、风险偏好（risk appetite）和风险文化三个新内容。在风险评估要素中，风险管理要求考虑内在风险与剩余风险，以期望值、最坏

情形值或概率分布度量风险，考虑时间偏好以及风险之间的关联作用。在信息与沟通方面，风险管理强调了过去、现在以及关于未来的相关数据的获取与分析处理，规定了信息的深度与及时性等。

第五，风险管理提出了风险组合与整体风险管理（integrated risk management）的新观念。

《企业风险管理框架》借用现代金融理论中的资产组合理论，提出了风险组合与整体管理的观念，要求从企业层面上总体把握分散于企业各层次及各部门的风险暴露，以统筹考虑风险对策，防止分部门分散考虑与应对风险，如将风险割裂在技术、财务、信息科技、环境、安全、质量、审计等部门，并考虑到风险事件之间的交互影响，防止两种倾向：一是部门的风险处于风险偏好可承受能力之内，但总体效果可能超出企业的承受限度，因为个别风险的影响并不总是相加的，有可能是相乘的；二是个别部门的风险暴露超过其限度，但总体风险水平还没超出企业的承受范围，因为事件的影响有时有抵消的效果。此时，还有进一步承受风险，争取更高回报与成长的空间。按照风险组合与整体管理的观点，需要统一考虑风险事件之间以及风险对策之间的交互影响，统筹制定风险管理方案。

五、如何正确处理企业内部控制与风险管理之间的关系

尽管风险管理与内部控制有内在的联系，但现实中的或代表目前应用水平的内部控制与风险管理还有不少的差距。典型的风险管理关注特定业务中与战略选择或经营决策相关的风险与收益比较，例如，银行业的授信管理或市场（价格）风险管理如汇率、利率风险等。典型的内部控制是指会计控制、审计活动等，一般局限于财务相关部门。它们的共同点都是低水平、小范围，只局限于少数职能部门，并没有渗透或应用于企业管理过程和整个经营系统，因此，有时看上去风险管理与内部控制还是相互独立的两件事。随着内部控制或风险管理的不断完善和变得更加全面，它们之间必然相互交叉、融合，直至统一。

总之，企业单位制定内部控制制度的目的，在于保证组织机构经济活动的正常运转，保护企业资产的安全、完整与有效运用，提高经济核算的正确性与可靠性，推动与考核企业单位各项方针、政策的贯彻执行，评价企业的经济效益，提高企业经营管理水平。企业的内部控制制度是企业管理现代化的必然产物，加强内部控制制度建设是建立现代企业制度的内在要求。有效的内部控制不仅能使企业的资源合理配置，提高劳动生产率，而且更能防范和发现企业内部和外部的欺诈行为。但是目前有相当一部分企业对建立内部会计控制制度不够重视，导致会计信息失真，会计秩序混乱，违法违纪现象时常发生，以致管理失控，资产流失、经营失败。因此。建立和完善企业内部会计控制策略是当前企业管理面临的一个重要问题。

加强实施内部控制能够规范社会主义市场经济秩序，确保国民经济稳定、持续、健康地向前发展。有活力的内部控制制度应该是推动企业创新的制度，只有企业全体职工齐心协力，相互支持，相互激励，企业内部会计控制才能发挥应有的作用。只有这样，保护企业资产的安全、完整与有效运用，提高经济核算的正确性与可靠性，推动与考核企业单位各项方针、政策的贯彻执行，增加企业的经济效益，提高企业经营管理水平，降低投资风险。

参考文献：胡杰武，万里霜《企业风险管理》

《企业内部控制基本规范》一号文件

第五篇：风险管理与内部控制

风险管理与内部控制

一、CFO在企业内部控制与风险管理中的角色与使命

中国总会计师协会常务副会长董锋认为，建立风险管理体系，设计好内部控制制度，首先，要把握好CEO与CFO的关系。CEO是企业行政负责人，是班长，CFO作为企业财务负责人，是领导班子成员；CEO是风险管理和内部控制第一责任人，CFO是风险管理和内部控制的具体执行人，因此国外有人比喻CEO是船长，CFO是舵手。其次，要完善公司的管理结构，明确CFO的职责和定位。总会计师在本单位风险管理与内部控制体系中应确定自己的责任、职权和地位的对称与平衡，但这并非是为自己去争权力、争地位；CFO所管理的财务等部门应是一个完整的管控体系，CFO的影响力与控制力必须一杆到底。第三，CFO要自觉执行风险管理和内部控制，同时也要提醒和促使CEO执行。作为领导班子成员，CFO理所当然要全力支持CEO的工作，但在工作中如果发现领导班子成员特别是主要负责人违背企业风险管理与内部控制制度时，也要及时提醒，要有敢于干预的勇气。

原江苏省副省长吴瑞林强调，CFO要树立以爱国主义为核心的民族精神和以改革开放为核心的时代精神；要提高自身的业务修养以适应新时代的要求；要发挥好生财聚财和用财管财这两大职责；要从本轮金融危机中吸取经验教训，履行好内部控制和风险管理的职责。

二、正确认识风险管理和内部控制

内部控制与风险管理既有区别，又有联系。南京审计学院副院长时现认为，对于同一个企业来说，内部控制与风险管理的直接载体都是企业的经营活动，内部控制与风险管理都以企业法人为边界，从这点来说，不能将二者截然割裂开来。二者的区别主要表现在：内部控制的重心在企业高管层之下（经营活动），风险管理的重心在高管层之上（战略设计、决策）；内部控制主要关注不相容职务是否分离，风险管理主要关注经营目标实现过程中的不确定性；内部控制是风险管理的主要机制，但不是全部；当出现合谋舞弊时，内部控制往往无效，需要风险管理辅之。上海财经大学教授朱荣恩认为，内部控制与风险管理并非平行的关系，内部控制是风险管理的一个重要组成部分，而风险管理则是内部控制的发展和延续，是一个比内部控制更为宽泛的概念。

高级国际注册内部控制师张玉指出，COSO的内部控制与企业风险管理两个框架实现了内部控制五要素与风险管理八要素的有机结合，而我国财政部等五部委联合发布的《企业内部控制基本规范》与国资委发布的《中央企业全面风险管理指引》并未能进行有效整合。对此，董锋则认为，财政部等部委的规范与国资委的指引虽然没有形成系统，但却有着内在联系，企业应结合自身实际深刻体会两个规范的精神，将风险管理与内部控制结合统一，而不应搞两套机制。

现阶段很多企业认为风险管理是内部审计应该履行的职责，但时现认为，为保证独立性与客观性，企业在构建风险管理过程时，内部审计不应承担原本属于管理层的风险管理责任，而应就企业风险管理过程的有效性提供确认服务，即担任监督者的角色。对于目前我国企业内部控制系统的设计形式，张玉将其总结为三种：外包给会计师事务所；企业自行设计；自行设计与外包相结合。第一种形式耗资巨大，导致合规性成本过高，而采用后两种形式时，由于企业缺乏内部控制设计专业人才，内部控制系统的设计大多由内审人员牵头负责，这导致了“运动员和裁判员角色不分”的问题，因此需要专业人士进行内部控制系统的设计，未来内部控制师这个职业将会得到快速发展。

南京大学会计与财务研究院副院长李心合指出，审计意义上的内部控制与CEO、CFO需要的内部控制有很大区别，而主要区别在立场与出发点上。审计师是站在财务报表可靠的角度，希望内部控制尽可能完备，以便将审计风险降到最小，但企业的目标是价值最大化，过于复杂的控制流程也会损害利润创造。因此企业需要选择好的出发点，优化内部控制体系，既不能过于简单，也不能过于复杂。

三、加强和完善企业风险管理和内部控制建设

对于如何加强企业内部控制建设，朱荣恩认为，实施内部控制的难点主要体现在七个方面：一是正确认识内部控制五要素的内在联系。二是正确理解内部控制的要素、目标及实施主体的关系。三是正确认识内部控制与风险管理的关系。四是正确认识内部控制与企业管理制度的关系。五是正确认识内部控制与外部环境。外部环境如股权

结构、干部管理制度和政府政策取向等因素都会直接或间接地影响我国企业实施内部控制的效果。六是正确认识内部控制需求内因不足的问题。由于内部控制的效益难以衡量、成本与效益不匹配等原因，部分企业的管理层认为只要企业不出事就可以了，只要达到法律法规的最低要求就行了，并没有将内部控制作为企业管理的内在要求。七是正确认识IT平台在内部控制中的应用。

江苏高科技投资集团董事长徐锦荣介绍了其所在企业的风险管理及控制经验。一是加强组织建设。集团董事会是风险管理的第一责任主体，董事会下设的审计与风险控制委员会具体负责风险管理工作。二是加强制度建设。把管理制度、业务流程再造作为风险管理的重要基石，建立符合创业风险投资特点的业务运作流程和与之配套的一系列管理制度和风险控制制度，目前已经形成了由制度、流程、关键控制点三个层次组成的制度体系。三是创立符合国情和创投业务特点的风险控制工具。建立风险管理信息系统，对所有项目的财务、管理信息进行定期的汇总、分析，动态监测项目运作情况。并实行定性和定量指标相结合，对投资项目定期进行ABC（正常、次级、警示）分级，及时采取风险防范措施。四是构建符合实际的风险管理评价机制。根据市场环境、金融工具、法律法规等因素的变化及发展情况，不断调整和改善风险管理制度，并通过对业务流程关键控制点的及时介入，实行持续的检验测试，以确保制度执行充分有效。

徐州矿务局副总会计师张锦河介绍了徐矿集团在投资风险控制方面的教训和经验。以前徐矿集团曾因盲目多元化而导致公司经营管理的巨大失利，在总结教训和经验后建立了归核化的投资战略和投资风险控制模式，即在投资活动中围绕煤炭产业这个“核”进行综合开发，同时围绕核心竞争力的形成与提高这个“核”进行风险控制。经过六年的实践，徐矿集团的经济效益和经营规模快速增长，逐渐步入良性发展的快车道。其风险控制的具体做法有：采取全面预算管理，将“物本管理”与“人本管理”相结合，不仅对集团公司投资所形成的项目、资产、资金进行管理，而且通过激励与约束制度的建立，将个人价值与企业价值进行整合统一；通过集团制定统一的目标和战略规划与投资政策，规范集团内各成员单位的投资行为，以实现资源聚合效应与管理协同效应；围绕提高集团公司核心竞争力这个目标，制定多元化标准，而不仅仅是单一的财务标准。

四、IT环境下内部控制体系的建设

与传统意义上的内部控制体系建设相比，IT环境下的内部控制体系建设具有其独到的特点，参会的企业详细介绍了其各自的做法。

江苏国信集团财务部总经理王家宝认为，集团管控应以资金集中管理为核心，而IT环境下企业开展资金集中管理应从四方面入手：一是构建资金集中管理组织和账户体系，协同管控、实现资金统一运作。二是设计资金集中管理的关键流程和制度，实行资金计划流程管理、自动零余额的资金归集上收、动态掌控资金流向的资金下拨、内部各成员单位之间的统一结算管理。三是通过网络实时监控资金流量，动态平衡资金需求，统一调度资金。四是创新内部资金计息管理机制，充分调动成员单位参与集中管理的积极性。他进一步指出，资金集中管理首先要有一把手的推动，其次要设计出互利共赢的方案，最后还要有必要的技术、人员、相关部门的支持。

东风悦达起亚汽车股份有限公司总会计师生育新详细介绍了其所在企业的内部控制体系，具体分为内部会计控制、生产管理控制和质量控制三大部分。内部会计控制主要包括现金收支业务控制、应收应付控制、固定资产控制、成本控制和投融资控制。生产管理控制主要包括开发采购控制、生产物流控制、销售流程控制和人力资源控制。质量控制包括ISO9000、14000质量认证体系、部品质量控制、C-audit评审（整车质量评审）、质量成本控制和质量实名控制。在IT环境下，该公司从健全全面预算管理体系、整合ERP系统、强化内部稽核机制、狠抓作业、成本费用和管理标准化建设四个方面加强内部控制建设。生育新认为，实施ERP是企业适应市场竞争、强化核心竞争力的有力工具，而健全的内部控制才能使ERP的功能得到全面发挥，因此应大力建设IT系统，但IT系统的实施并不能取代管理和控制。

从企业的实践中可以看出，IT能在多方面提升内部控制和风险管理水平，但朱荣恩认为，IT平台仅仅是内部控制实施的一个硬件保障，而非必备条件，它只能代替内部控制中的沟通等某些环节，却代替不了管理基础和监控，更不能完全代替内部控制。

五、内部控制审计与风险管理审计

时现认为，随着企业风险管理的推进，在内部审计中需要进行风险管理审计来评价并改善风险管理、控制和治理过程的效果。因此她提出了一种以风险为导向，对企业的风险管理进行审计的风险管理审计模式—审计客体和审计流程双轮驱动的风险管理审计。首先，以风险为导向制定内部审计计划；其次，基于风险矩阵图实施审计；再次，进行数字化的风险测试与风险评价；最后，出具前瞻性的风险管理审计报告。与内部控制审计相比，风险管理审计更关注控制的结果，即风险是否得到了有效控制，而内部控制审计更关注控制的过程，即控制环境和控制活动。风险管理审计与内部控制审计并不是截然不同的，二者在整个审计系统框架中具有诸多相似之处，只是重点和审计角度在一定程度上有所不同而已，可以说，企业风险管理审计是企业内部控制审计的发展和延伸。