第三章 企业内部控制管理体系分析
第一节 风险管理是内部控制管理的发展与延伸
企业内部控制管理体系的有效运行可帮助企业管理层按预定的方案实现企业的各项管理目标，为既定目标的实现提供的组织保证。如果不顾企业实际照搬照抄其他企业的管理制度，盲目推行内部控制管理，往往会出现为内控而内控，可能会抑制企业创新、引发组织成员的抵触情绪，从而给企业造成不利影响。目前，企业推行风险管理下内部控制管理是围绕企业整体发展目标展示出一个具有相对独立的管理新领域，使风险管理理念融入到内部控制的各个环节，风险管理与内部控制相互交织在一起发挥作用。
随着企业深化改革，创新现代化管理成果，大家对因市场环境变化带来的风险要素可能给企业造成的损失越来越受到重视，内部控制和风险管理在实施过程中相互交织在一起形成了一个强大的管理工具，在提高企业综合管控能力中发挥着互补的作用。
第二节 风险管理对企业管理层提出更高的目标要求
目前，市场经济运行不稳定性，市场环境日益多样化使企业的生存与发展面临着新的挑战，特别是我国加入世贸组织后，大型跨国公司凭借先进的管理经验和技术优势不断挤占国内市场份额，众多企业不仅面临来自国内企业间的激励竞争，还面临着国际间同行业的竞争，企业生存环境面临的风险因素与日俱增。为此，企业应树立正确的风险意识，在各方面都应强化内部控制与风险管理的结合，依据风险控制点建立起切实可行的风险管理考评机制，通过落实风险管理中的风险预警、风险识别、风险评估、风险分析等多项管理措施，有效防范企业在生产经营活动过程中面临的各种风险要素，确保企业以风险管理为主线，全面落实好企业的内部控制过程管控，以实际行动服务于企业中长期发展战略中去。
随着社会经济的快速发展，企业综合生存能力逐步提升，人们渐渐地不能满足于风险管理仅对纯粹风险的管理发挥一定的管控作用，对风险管理关注的危险源识别和评价提出了更高的要求，不仅希望要规避风险，还要积极主动地应对和利用好风险，变被动为主动。社会实践活动也不能满足于企业内部控制从制度上对确定性因素的管控，还希望对生产经营活动中的一些不确定性因素实施有效地管控，这些措施都要求内部控制管理对企业决策层、执行层把握机会的风险进行科学的预测和分析，做出正确的判断，将风险管理与内部控制在执行过程中有机整合，形成一个统一体发挥作用。
第三节 构建企业内部控制管理体系的基本思路
企业构建内部控制管理体系的基本思路：首先，企业要成立相应的组织管理机构，在组织管理形式上满足企业建立健全内部控制管理体系的需要。其次，企业要组织相关人员进行业务培训，在学习理论知识的同时对现行企业管理制度进行分析，依据《企业内部控制基本规范》的要求制定企业实施内部控制管理体系的方案，对现有的管理制度运用科学的方法进行客观分析，修改补充相关内部，形成一个切实可行的企业管理系统。第三，各业务部门按照工作任务分工实施业务工作流程再造，对现有各种风险要素进行识别、评价，通过定性定量分析确定业务流程图。第四，针对内部控制管理体系的规章制度和业务流程方案组织讨论，对讨论中提出的缺陷问题进行认真整改，完善业务工作流程和各项管理制度，形成一套相对完善的《内部控制手册》初稿。第五，召开推行企业内部控制管理体系试运行的动员会，明确推行内部控制管理体系的具体要求，组织相关业部门动态掌握运行情况，有意识地收集汇总出现的新情况、新问题，适时召开专题讨论会，对大家提出的不同看法认真分析，最终确定内部控制管理体系的有关内容，形成一套完善的、切实可行的内部控制管理制度，经组织动员，统一认识，全方位推进制度的执行力，将内部控制管理体系持续运行下去。
一、构建企业内控管理体系的基本原则
在管理活动中制定指导原则是组织管理目标得以实现的保证。大多数中央企业依据《企业内部控制基本规范》、《企业内部控制配套指引》等要求设计符合企业自身的内部控制管理体系，将风险管理和内部控制有机结合在一起发挥作用，既符合企业内部控制管理的要求，又符合企业的所处的内外部环境情况的需要，这样的管理体系实施方案不仅能够有效防范各种风险，还能达到建立健全管理体系的目的。
(一)全面性原则
内部控制是企业管理的核心内容之一，它不仅贯穿于企业各项管理制度的决策、执行和监督的全过程，还覆盖了企业正常的生产经营活动。推行内部控制管理既要全员参与，共同维护与执行，又要全方位管理，还要全过程管理。企业内职能部门可直接向最高决策层报告，部门之间应保持相互独立，具有一定的独立性和权威性。
(二)主次分明原则
内部控制管理要求在开展管理活动中要主次分明，重点关注企业的主要业务与风险性较高的环节。首先，内部控制管理要覆盖企业全部的生产经营活动，针对不同业务采取不同的管理措施，并针对活动的决策、执行、监督、反馈等各个环节都安排专人负责抓落实，从组织管理上保证各项既定目标的实现，特别是主要业务管理目标的实现；其次，要求明确任务目标，根据内外部环境因素分析确定管理目标，对相应的风险源进行评估，建立相应的控制业务工作流程，通过对内部控制体系运行状况的动态管控不断修正和改进内部控制系统，确保主要业务目标顺利实现；第三，要求以主要业务事项为主线建立健全完整的内部控制系统的子系统，并使其正常运行中相互之间无冲突。
(三)制衡性原则
建立健全企业内部控制管理体系要综合考虑治理结构、机构设置、人员配备与权责分配、业务流程等方面的因素，权衡利弊，使职、责、权、利有机结合起来，综合考虑各方面的关系，形成相互制约、相互监督，并兼顾工作效率的有机体。在管理体系方案设计之初要有针对性地梳理业务工作流程，明确岗位职责，扎实做好基础性工作，使公司内部的组织机构健全、岗位设置合理，按照各岗位业务性质和人员要求安排具有专业知识和业务能力的上岗，做到事事有人管。
(四)适应性原则
企业在各项制度落实的过程中，风险管理下内部控制管理必须落实到企业生产经营活动中去才能发挥出应有的作用，并且，企业所处的生存环境不是一成不变的，随着时间、空间的不同瞬息万变，不同时期的工作重心也在时刻发生变化，在企业面临的内外部环境发生变化时要适时对内部控制管理做相应的调整，确保内部控制管理体系持续有效地运行。既保证企业各项生产经营活动有序开展，又能避免在体系运行过程中发生管理混乱的不正常现象，使得企业始终充满着蒸蒸日上的生机和活力，营造出一个良好的企业发展环境。
(五)成本效益原则
成本效益原则适用于企业的任何一项工作，客观分析执行成本与预期效益的期望值，以适宜的付出实现有效的内部控制。在构建企业内部控制体系时要针对每个关键控制点，对建立控制程序的目的、作用及成本有个详细的规划，若出现不符合成本效益原则的内容，将适当做进一步的改讲控制程序，想方设法使既得效益大于成本支出。
总之，《内部控制--整合框架》是以美国为首的西方发达国家在长期的内部控制实践活动中总结出来的管理经验，是国外企业的先进管理技术和经验的结晶，值得我们认真学习和借鉴。我国企业依据《企业内部控制基本规范》的指导思想和企业自身实际建立健全的内部控制管理体系，是国外先进管理经验和中国实际相结合的产物，是适应企业生存环境的客观要求。
二、构建企业内控管理体系的基本目标
目标是组织行为的导向，一个好的目标会对组织的行动或结果影响深远。“企业内部控制的目标是决定内部控制运行方式和方向的关键，也是认识内部控制基本理论的出发点”。从内部控制理论演变的历程分析，现代企业内部控制作为一种控制活动，其目标已不是传统的限制偏差的积累、适应生存环境的变化，涉及到企业生产经营活动的各个方面，决定着内部控制运行方式和方向，引领企业沿着正确的方向发展。
(一)保证组织目标的有效实现
任何企业都有其特定的发展目标，只有在遵纪守法的前提下才能保证持续良性发展，才会给企业创造效益。企业要想有效地实现组织的管理目标，必须适时对组织资源进行科学策划，优化组合，合理利用，自始至终使这些资源处于可控状态，保证持续高效运行。
(二)保证经营活动合法合规性
为了组织目标的实现，企业管理者不仅要协调组织的资源和行为，制定相应的管理制度，动态掌握其运行质量，还要适时做出必要的修正，确保能够持续高效地运行，并且，企业管理者的决策还要服从国家的法律法规，行业的职业道德及利益关联者的竞争秩序，任何违规违法行为都不会长远，终将会付出沉重的代价。如果企业的内部控制管理不能充分考虑来自外部的各种限制因素，将会让企业举步维艰，直接会威胁企业的生存。为此，建立健全的内部控制管理体系必须遵守国家和行业的各项法律法规和规则，防范风险带来的损失。
(三)保证合理利用资源
企业所拥有的各种资源是赖以生存和发展的物质基础，完善的内部控制管理制度和良好的内部控制运行环境能够为有效利用现有资源提供组织保障。每个企业都是处在一个资源有限的生存环境中，管理目标能否按计划实现取决于是否合理调配了现有的资源，是否做到了以最低廉的代价获取到高质量的资源。
企业管理者通过组织制定严格的资源管理制度、管理流程，做到监管到位，提高资源的高效运行，防止发生资源流失，减少不必要的浪费。
(四)保证信息真实完整
内部控制管理体系的实施将各项经营活动相互联系起来，利用相关、可靠和真实的信息来引导企业正常的经营活动，防止出现信息不真实、不完整等各种不实的信息扰乱视听，达不到应有的决策参考价值。企业没有相对完善的信息管理系统有效运行，信息传递过程就会不顺畅，信息获取的质量也经不起检验。真实完整的信息可监督和约束组织行为，也能预测管理活动质量的好坏，不实的信息会与现实情况相差甚远，不仅起不到应有参考价值，甚至会因信息虚假给组织造成无法挽回的损失。
(五)保证企业业绩良好
做大做强企业是企业一切工作的出发点和归宿，一切生产经营活动都是为寻求利益最大化，为企业和社会创造更大的财富。事实上，企业结合自身所处的生存环境、所拥有的资源制定行之有效的内部控制管理制度，在执行过程中不断完善，企业的综合实力就会不断提升，市场竞争能力不断增强，企业的生存与发展空间就会逐年扩展，如果企业的生产经营效率日趋低下，生产经营能力持续下滑，企业将面临举步维艰，也就无从谈起企业的可持续发展。
第四节 构建风险管理下内控管理体系的指导思想
一、正确认识风险管理与内部控制之间的关系
虽然风险管理理念能够融合到内部控制各项活动中去，相互间有着千丝万缕的联系，但两者的差别还是很大的，风险管理是对内部控制管理的扩展和延伸，比内部控制活动内容更多，在企业不同发展阶段有不同的目标要求。只有正确理解风险管理与内部控制之间的关系才有助于建立健全风险管理下施工企业内部控制管理体系。
企业内部控制是风险管理中的一个子项，风险管理在内部控制的基础上增加“目标设定”、“事项识别”和“风险对策”三个风险管理要素，是企业全面管理的重要组成部分。正确树立全面风险管理责任意识，把内部控制的目标和要素整合，正确理解和认识企业所处环境中的风险要素对企业管理的影响，对企业生产经营活动中的风险要素实施动态管控，进行量化分析，这也是内部控制管理的一项基础工作。
二、正确运用风险管理方法来化解企业风险
企业建立健全风险管理下内部控制管理体系可以有效化解和控制企业面临的多种风险，有助于企业内部控制目标的实现，有助于企业中长期发展战略目标的实现。
企业的风险管理内容丰富，包括风险识别、风险评价、风险控制、风险化解等业务工作流程。建立健全企业信息管理系统，收集和分析与企业生产经营活动有关的信息，运用科学的风险评价方法对企业风险要素进行客观地分析和识别，找出企业生产经营活动中的主要风险要素，通过定性定量分析，对识别的主要风险要素进行正确地评价，制定行之有效的管理措施化解风险给企业带来的不利影响。
完善风险管理业务流程，把落实风险管理制度化，运用管理制度对企业发展目标的每个阶段都采取风险要素的辨识与科学评价，对企业所处的生存环境客观分析，使得企业管理层正确认识企业生存环境，提高企业化解风险带来的不利因素的效率。
三、改善企业内控管理环境
企业处在一个良好的内部发展环境中能够促进企业的快速发展，建立完善的法人治理结构，大力推进企业核心价值观建设，用规范的管理制度约束员工的行为，将对企业内部控制管理的运行产生深远的影响。
当前，大多数企业的领导层对内部控制环境建设重视不够，要改善这种被动局面，首先要强调企业管理层在内部控制管理中处于核心地位、主导地位，进一步完善企业监督管理制度，明确全体人员的工作职责，确保企业内部控制管理体系的高效运行。
企业制定符合企业发展实际的以人为本的员工行为准则，按照全面风险管理的要求全面提升从业人员的素质，完善人力资源管理制度，加大业务人员的知识更新和技能培训力度，实施科学的绩效考核机制，对企业生产经营活动的每个环节都给予严密的管控，让企业的管理行为科学化、规范化。
加强企业文化建设，塑造良好的风险管理文化，引导员工正确认识企业核心价值观，增强员工的责任意识，为企业实施内部控制管理体系营造良好的运行环境。
四、建立健全风险预警制度管理体系
所谓预警，是指度量某种状态偏离既定目标或标准后发出警戒信号的行为过程，而预警系统就是预先告知特定的对象面临危险情况及可能发生危险，并告诫其采取防范措施的机制。建立风险预警系统，对运营中危机作出预测预报，无论对所有者还是经营管理者都是十分重要和必要的。
从风险管理入手建立施工企业的内部控制管理体系，在管理过程中对风险要素进行正确识别，客观分析，及时掌握风险要素可能带来的不利情况，适时制定相应的风险应对措施加以有效的管控，一个科学的风险预警体系就成了企业的管理体系的一部分。首先是风险预警管理机构的建立要符合企业实际情况，相对健全的管理机构对促进企业风险预警管理作用的发挥至关重要。其次是为保证风险预警体系在运行中获取的数据准确、真实可靠必须提高企业员工的综合素质，让真实的信息持续传递到企业决策层，为科学决策提供有价值的第一手资料。第三是根据企业发展的实际设计风险预警指标，选取合适的风险预警评价方法，依据风险评价目标的重要程度确定指标的权重系数，并对获取的预警指标信息进行科学的定性定量分析，其结果供决策层进行决策时参考。第四是加强信息管理，通过运用现代化的计算机信息处理技术，借助互联网对企业风险要素实施动态监测，全天候处理获取的信息数据，及时预测风险量变化趋势，有效规避与转移企业可能遇到的风险，使得风险预警控制准确、及时，提高企业的生存能力。
五、科学制定内控管理的评价标准
考核企业内部控制管理能否达到预定目标的一项最基本的工作就是完善企业内部控制评价机制。运用科学的风险评价方法按拟定的管理标准对风险要素组织正确的评价，合理区分各种风险要素的危害程度，是推动企业内部控制管理体系建设的有效保障。
（一）完整性评价
完整性评价是针对企业内部控制管理体系运行情况组织全方位的客观评价，是最基本的标准。企业实施内部控制管理的评价基础是依据企业自身的生产经营情况，通过对管理行为的动态监控获取的信息进行完整性评价。如果企业做不到对内部控制管理的完整性评价，得出的结论难免不会出现偏差，可信度就低，企业内部控制的落实只能是事倍功半，达不到应有的效果。
（二）有效性评价
企业内部控制管理的实质就是有效性评价。企业实施的内部控制制度要符合国家的法律法规的要求，管理措施能够严格按照市场规则开展生产经营活动并做到有效执行，企业的各项管理目标才能得以实现。
（三）分层次评价
通常，内部控制评价分为要素标准和作业标准，两个方面交织在一起相辅相成，在具体操作过程中要结合企业的实际情况对内部控制进行综合评价，两方面的标准缺一不可，缺少那一部分都是不完整的。
