全面风险管理概念范文

从中国企业构建全面风险管理体系基础条件来看，中国企业尤其是在境外上市的企业近几年以来一直致力于企业内部控制建设，已经建立了一套比较完善的内控体系，编制了内部控制手册和自我评估手册，初步搭建了以风险管理为核心的内部控制基础平台。这是中国企业建立健全全面风险管理体系的基础条件。当然，多数企业的内控系统通过对流程的控制主要对运营风险、财务风险等风险建立了比较完善的控制体系，但是还不能覆盖企业面临的所有风险，如战略类、市场类风险，不能对其进行有效的管理和控制。 所谓基于内控的全面风险管理体系，简单地说，就是在内部控制建设的基础上，构建全面风险管理体系，是适合已经建立内部控制体系的企业进行全面风险管理建设的一条创新路径。这既符合国际上内部控制逐步向全面风险管理发展的潮流，也是中国企业构建全面风险管理体系的现实选择。 3C框架和流程 中天恒管理咨询公司经过多年的探索和实践，专为中国企业打造的3C全面风险管理基本框架（下文简称“3C框架”）如图1。 3C框架从总体结构上是按照目标体系、风险整合、管理融合来安排的，形成了由目标体系、风险整合、管理融合组成的有机体系，贯彻严密的目标――风险――管理的逻辑关系。 企业目标是一个相互联系、相互依存的目标体系。全面风险管理作为企业管理的一项核心内容，可以把目标确定作为全面风险管理的前提条件进行关注，并将其贯穿于全面风险管理工作的始终。 风险是对企业目标实现产生影响事项发生的不确定性，包括了危险和机会，是一个全面的概念。风险偏好、风险意识、风险理念、风险文化是企业全面风险管理的软要素，是企业实施全面风险管理必须明确的基本概念。把企业主要风险整合起来，是全面风险管理的一个基本标准。 全面风险管理是为合理保证企业目标实现，对企业风险进行全面管理的动态过程，是对企业风险进行整合管理的过程，是艺术和科学的结合。全面风险管理目标、意义、主体、内容、流程、方法是企业全面风险管理的重要内容，是必须明确的；全面风险管理政策、战略、策略、决策是企业全面风险管理的基础，影响整个全面风险管理工作；全面风险管理信息、沟通、学习应贯穿于全面风险管理工作的始终。这些都应该从总体上予以明确。 全面风险管理融合，是企业风险管理自身内部的融合，是企业风险管理与企业业务的融合，是企业风险管理与企业管理的融合。全面风险管理与企业管理需要融合的内容很多，其中最重要的就是要做到内部控制与风险管理的融合。 3C框架与COSO的不同 3C框架没有直接引入管理要素概念，从总体看包括目标、风险、管理三个方面；从流程看包括管理准备、管理实施、管理报告和监督改进四个方面。 3C框架把COSO全面风险管理框架“事件识别”定义为“风险识别”；把COSO全面风险管理框架“风险评估”细化为“风险分析”、“风险计价”、“风险评价”；把COSO全面风险管理框架“控制活动”重新定义为“风险控制”；把COSO全面风险管理框架“监控”改为“监督改进”，并细化为“风险监督”、“风险审计”、“管理改进”等。 3C框架将风险辨识、风险确认、事件识别统一为风险识别，并定义为确认风险的过程；将风险计量、风险衡量、风险量度、风险测量、风险估计、风险估价统一为风险计价，并定义为风险的量化过程；将风险策略、风险应对、风险工具统一为风险应对，并定义为选择应对风险策略的过程；将控制活动、控制政策、控制程序、控制措施、应对措施统一为风险控制，并定义为应对风险的各种措施；将监督检查、监督评价、持续监督、监控、监控系统、内部监督统一为风险监督，并定义为监督检查风险的过程等等。 关键词:企业组织目标内部控制风险管理 一、内部控制与全面风险管理的相关概念 (一)内部控制 所谓内部控制是指经济单位及各组织在经济活动中所建立起的一种互相制约的业务组织形式及职责分工制度。可以说内部控制是一个过程，该过程受着企业组织内部各个人员的影响，其目的是为了优化经营管理，提升企业的经营效益。内部控制的要素共分为控制环境、风险评估、控制活动以及信息与沟通和监督等五个，如下图1所示。 (二)全面风险管理 所谓风险管理是指在一个存在风险的环境中，如何将风险降至最低的管理过程，该过程包括了对风险因素的评估、度量以及制定应变策略等。理想的风险管理是一个将优先次序排好的过程中，其中可能引起最大损失以及最可能发生的事情进行优先处理。但是实际情况中，排列优先次序的过程相对比较困难，因为风险与其发生的可能性并没有一定的规律可循。由此可见，风险管理需要整个公司所有人员的共同执行与参与。风险管理要求包括内部环境、目标制定、事件识别、风险评估、风险反应以及控制活动、监督和信息与沟通等八个。其如下图2所示。 二、内部控制与风险管理的异同 (一)重视内部控制与风险管理的相关性 企业内部控制和风险管理的相关性体现在以下几个方面： 第一，内部控制及风险管理都是指过程化的管理，相对而言内部控制呈现出动态管理的特点，它促使企业经营朝向既定的组织目标而努力，但是它又不是组织目标的一部分，而是促使目标达成的手段，内部控制各要素对其产生直接的影响。全面风险管理同样是一个过程，但是其相对内部控制而言，从某种意义上表现出一种静态性，即其贯穿于企业的各项业务活动中，管理过程的各方面均有风险管理各要素的渗透。 第二，影响内部控制及风险管理的因素相同，企业组织架构中各个层次的人员，诸如董事会、管理层或者其它的相关人员，他们的互相影响和作用会对内部控制产生直接的影响，它不但包含了内部控制政策及相关的控制表单，各层次人员的作用也包含在内。此外，在控制过程中，每个成员不仅是被控制的对象，也会是实行控制的控制者。而对于风险管理而言，其整个过程也强调人的参与，它与整个企业的所有相关人员均有着密切的关系，而企业管理者在进行风险管理时要有一个宏观架构方面的风险组合观念。 第三，内部控制和风险管理的手段相同。无论是内部控制还是风险管理，均是通过风险评估来实现对应的管理目标。企业在实行内部控制的过程中，风险评估是其中必不可少的一部分，它的主要作对是对影响目标实现的各种不确定因素加以辨别，从而再针对风险管理的方法做出决定。控制与风险是两个密切相关的概念，而企业要提升其内部控制的效率及加强内部控制的效果，最主要的就是要进行环境控制及风险评估。企业在进行风险评估的过程中，通常要经过风险辨识、风险分析及应对控制等各个环节。同样，在风险管理中一样要先确定出组只目标，在剩余及固有的基础上评估风险，对其影响企业目标实现的程度做出分析与判断，并以此为基础进行风险管事，从而为企业合理的配置管理资源提供更为合理的依据。 第四，内部控制与风险管理的目的相同。无论是内部控制还是风险管理，其最终的目的都是保证企业组织目标的顺利实现。因为内部控制本身有一定的限制，比如成本控制、人为错误或者管理越权等等，所以内部控制只可为企业管理提供相应的保证，但无法做到绝对保证。而风险管理同样也是为了识别对企业经营目标会产生影响的因素，并有针对性的加以管理，以促使企业可以在经济预算合量的基础上，判断出其风险偏好。 (二)内部控制与风险管理的差异 内部控制风险管理的差异表现在两点： 其一，内部控制与风险管理的侧重点不同。相对而言，内部控制更加侧重于制度层面，其通过制定规章制度促使各层人员遵守制度来规避风险；而风险管理的侧重面更体现在交易层面，即其规避风险的手段为市场化的自由竞争或者市场交易等。通常而言，内部控制的目的是提高会计信息的真实性及资金的安全性，其核心是会计控制。内部控制通常仅限于财务部门及其要关部门，在企业管理过程或者整体的经营系统层面，内部控制只是管理职能中的一项。而全面风险管理则更加侧重于在特定的业务中，与战略选择及经营决策有关的风险和收益的比较，比如利率风险、汇率风险管理以及银行授信管理等等，可以说在整个管理过程中均渗透着风险管理。由此可见，风险管理是内部控制在技术与市场条件下的自然延伸，内部控制是风险管理的前提与基础，而风险管理中包括了内部控制。 其二，内部控制及风险管理所涉及到的风险的范围不同。内部控制过程中，经营管理活动既要对内部风险做出评估，又要评估外部的风险。内部控制的过程涉及到整个公司所面对的、并且公司内部各相关人员所经营的各类外部及内部风险。而风险在实际的企业运营过程中却是客观存在的，相对于内部控制而言，风险管理与其最大的不同就是对特定业务的战略评审更为关注，其主要目的是通过对不同公司业务领域内风险和报酬间的比较，实现收益最大化的企业经营目标。 三、内部控制与风险管理的有效整合 (一)内部控制要服务于企业经营者的目标 所谓控制就是控制者对受控者的一种能动作用，受控者根据控制者的作用而进行相应的行动，从而实现系统目标。尽管设定内部控制目标不属于内部控制的组成要素，但是它是实施内部控制的前提，促进内部控制的关键条件，属于过程管理中的一个重要组成部分。内部控制目标的制定对内部控制而言，意义重大，其对是否有必要存在内部控制有着决定性的作用。一个完善的内部控制对企业经营目标的实现有着直接的影响，它帮助企业经营者实现其预定经营目标。管理目标包括合理的资源配置、科学的决策、最低的成本控制、最优的质量管理以及利润最大化。在企业组织目标中，该五个具体的管理目标是互相联系、互相支持的：企业设施配置的关键就是资源配置；而企业经营的方向性是由管理决策来决定的；产品成本目标是实现利润最大化的重要条件之一；质量管理目标则是保证企业永续经营的必备条件；而财务目标即利润最大化，是企业经营的源动力，也是其它目标综合作用的最终成果。只有实现了这五个目标，才能够保证企业整个经营管理目标的实现。 (二)内部控制对实现组织目标的间接作用 因为内部控制制度所体现的是控制主体即企业经营者的意志，因此如果控制主体不同，其内部控制的目标必然不同。内部控制目标还要按照企业的法人治理结构的不同层次进行具体的细分，将内部控制目标层层落实到各级单位及部门。企业各层次相关人员进行内部控制的主要目标就是降低经营风险，减少虚假会计信息，保证管理者的经营目标可以顺利实现。但是企业管理中必然存在激励机制，管理者的目标与企业组织目标不得背道而驰，其最终的目标仍是为了实现企业组织目标而服务。一个有效的内部控制机制不但可以实现企业资源利用率最大化，有效的降低成本，还能够促进企业向着良性化的方向发展。随着市场经济的不断发展，人们的经济意识也在不断的提高，企业所处的经营环境的不确定性也越来越高，企业契约的不完备性就随之增强，因此各企业经营者对内部控制的研究越来越重视，以期能够通过合理的内部控制消除不完备契约所导致的逆向选择及道德风险，最终促企经营目标得以顺利实现。 (三)全面风险管理概念可以取代一般性的风险管理 我们可以用全面风险管理的概念取代企业经营过程中的一般性的风险管理。全面风险管理概念中提出，无论哪种类型的企业均或多或少面临着各种不确定性，来自于各方面的风险与机遇是并存的。而对于企业的经营管理者来说，最大的挑战是在企业为各利益相关者创造价值的过程中，对企业承受伴随价值增加而来的风险的能力。企业的全面风险管理机制的有效性越高，管理者对不确定的风险及机遇的处理能力就越高，从而使得企业创造价值的能力得到最大程度的提升。 (四)全面风险管理中企业目标与各要素间的关系 在全面风险管理概念中，企业目标分为战略、经营以及呈报与合规等四类，其所反映的是企业的不同层面的不同需求，针对企业各层次人员确定其相应的责任。而上文中也提到全面风险管理的要素包括模块，这些要素最终的目的就是服务于企业的四类目标，无论企业中的哪个层次均要通过这模块对各自的企业目标进行全面风险管理。全面风险管理并非绝对意义上的单循环步骤，而是一个重复性的、多向性的过程，在这个过程中，每个要素均会对其它要素产生影响，并且受其它要素的影响，即每个风险管理组成要素是和四类目标互相纵横交错的。因此风险管理目标与其各要素之间存在着直接的联系，即目标是企业努力的方向，而风险管理要素则是实现这一目标所必须的条件。 此外，风险管理的各个要素还是评价企业风险管理水平的标准。企业风险管理的构成及目标不仅是建立健全企业风险管理过程的基本依据，也是对其有效性做出评价的标准。评价企业风险管理的有效性，要看全面风险管理的八个构成要素是否同时存在，其运行是否有效。而且在不同的主体中，风险管理各个要素的具体运行也是各不相同的。 (五)利用全面风险管理评价企业目标实现的程度 针对全面风险管理的八个要素，及其在企业经营管理中是否发挥了有效的作用，我们可以以此为依据判断企业目标实现的程度，所以从这个意义上来讲，全面风险管理的要素就是评价企业目标的实现程度的标准。如果企业的风险管理体系这八个要素并存且能够正常发挥作用，证明该企业基本上没有太大的缺陷存在，风险管理方面也能够将其控制在一定的范围内。不过不同的企业风险管理各要素发挥作用的程度也各不相同，并且也不是绝对的，一些企业即使全部具备了所有的要素，但是也无法绝对保证可以实现企业经营目标，这是由于风险管理自身存在着无法克服的局限性，这些局限性体现在人员决策判断失误、控制制度的建立受着成本管理的约束、一些人为的简单错误造成风险管理的中断、企业内部人员互相勾结使得内部控制制度失效或者管理者凌驾于控制制度之上等各方面，正是这些局限性使得企业经营管理者无法绝对保证可以百分百实现企业目标。 参考文献： [1]郑小荣,王美英.内部控制法制化的理论依据――法律特征与实践影响[J].当代财经，2010(4) [2]郑小荣.试论内部控制法制化的三大弊端[J].财会研究,2010(18) [3]王美英,郑小荣.对内部控制审计与财务报表审计整合的思考[J].财务与会计,2010(7) [4]孟杰.基于全面风险管理的企业内部控制实施探讨[J].财经界,2009(11) 我国建设与实施企业内控规范体系，是促进企业防范重大风险、实现可持续发展的必然要求。2012年5 月，国资委与财政部联合下文，了《关于加快构建中央企业内部控制体系有关事项的通知》（国资发评价[2012]68号文），统一部署了中央企业推进内部控制体系建设工作。中航工业于 7月27日召开全面推进内部控制体系建设大会，对全面推进中航工业内部控制体系建设进行了动员部署。2012年8月，中国航空工业集团公司下发了《关于开展企业内部控制体系建设工作的指导意见有关要求》（航空财[2012]1169号），要求相关单位结合集团公司的发展战略和本研究所的发展实际，全面深入开展内部控制体系建设。 其实早在2006年，我国国务院国资委就出台了《中央企业全面风险管理指引》，对央企的全面风险管理提出了指导性的意见，也是国内其他企业实施全面风险管理的主要参照依据。2011年6月，中航工业召开全面风险管理体系建设工作启动大会，标志着中航工业规划建设全面风险管理体系建设工作正式启动，公司将按照规划建设全面风险管理的实施步骤，积极有序地开展公司的全面风险管理工作。 我国不同的政府监管部门都对风险管理和内部控制做出了法律规范说明，一方面反映出对内部控制的重视程度达到了前所未有的高度，但另一方面，也反映出其中还有不协调的地方。究竟内部控制和风险管理究竟是什么关系？能不能整合？怎样整合？这些问题不搞清楚，不仅影响因体系建设思路不清造成重复工作与浪费资源，更有甚者会因为概念不清导致相关工作无所适从。在笔者看来，内部控制与风险管理是统一的。笔者认为在风险管理和内部控制体系建设中可以整合进行，构建统一的全面风险管理体系，以避免概念重叠，浪费资源。 二、两个体系整合的理论基础——内部控制与风险管理的融合 （一）整合的必要性 关于内部控制与风险管理的关系，目前理论界存在分歧：第一种观点是风险管理包含内部控制，COSO 委员会于 2004 年发表的《企业风险管理——整合框架》认为，内部控制是企业风险管理不可分割的一部分；第二种观点认为内部控制包含风险管理，1998年亚洲相互协作与信任措施会议（CICA）认为，风险管理包含于内部控制之中，在阐明了风险管理与控制的关系时指出：“当您在抓住机会和管理风险时，您也正在实施控制。”另外，加拿大 COCO 报告（1995）认为，风险评估与风险管理是控制的关键要素；第三种观点认为内部控制就是风险管理，Matthew Leitch（2004）认为，从理论上讲，风险管理系统与内部控制系统没有差异，这两个概念的外延变得越来越广，正在变为同一事物，国际风险管理协会认为，“风险管理系统与内部控制系统并没有原则性的区别，风险管理与内部控制正在趋同。” 国内内部控制与风险管理概念和规范并存，内部控制的主要依据是财政部、证监会、审计署、银监会、保监会 2008年联合的《企业内部控制基本规范》与2010年的《企业内部控制基本规范配套指引》；风险管理的依据则是国资委2006年出台的《中央企业全面风险管理指引》，两种理论“各自为政”，既在一定程度上相互重叠、相互协调，又在一定程度上相互独立、相互矛盾，可能导致对同一问题有不同的规范或者出现监督真空，阻碍了三者在理论上的发展与实务中的应用。如果能将内部控制与风险管理两者进行融合，则可以解决上述问题。内部控制和风险管理都是源于企业风险的存在而产生的，二者的目的都是为了进行风险控制，根据成本效益原则，在实务中就没有必要设置两个部门来进行分别管理，而应该从他们的共同点入手进行整合，在确保企业目标有效完成的情况下使成本降到最低。 （二）整合的可行性——内部控制和风险管理本质上的统一性 COSO—ERM（1992年称为内部控制整体框架，在2004年称为风险管理整合框架，并非是本质内容发生了重大变化，而是更加关注风险，更加强调为企业发展战略服务的控制目标）是COSO委员会继“内部控制—整体框架”（即COSO报告）后又起草的一个关于企业风险管理的标准框架。在ERM中，企业风险管理是一个过程，受组织的董事会、管理层和其他人员影响，风险管理应用于战略制定，贯穿整个企业。企业风险管理旨在识别影响组织的潜在事件，在组织的风险范围内管理风险，为组织目标的实现提供合理的保证。风险管理系统的构成要素包括：内部环境、目标设定、事项识别、风险评估、风险应对、控制活动、信息与沟通、监督。而内部控制是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。内部控制由内部环境、风险评估、控制活动、信息与沟通和内部监督等五要素构成（该表述是《企业内部控制基本规范》中关于内部控制的定义）。风险评估由目标设定、风险识别、风险分析和风险应对构成。 从上述对内部控制与风险管理的相互关系的讨论来看，这两者是密不可分的，两者是统一的。其统一性首先表现为两者都是为了控制企业的风险，以保证企业目标的最终实现，风险控制的出发点和落脚点在于实现企业目标；统一性还表现在ERM框架中八要素包含内部控制五要素并有所扩展，从新增加的要素中可以看出，风险管理更加重视对风险的控制，它从企业战略角度出发，运用风险组合的观念对企业的风险进行识别、评估，为企业目标的实现提供了更为合理的保证。 关键词：内部控制 全面风险管理 关系 一、全面风险管理与内部控制在概念上的界定 （一）风险管理的定义 风险是指由于某种不利的因素产生并极有可能给经营主体造成实际损失，导致组织目标不能实现的可能性。全面风险管理是对风险进行检测评估，通过对测评结果的分析，采取相应解决措施，从而避免或降低风险的一种管理手段。风险管理的最终目的是保证企业目标的实现。 （二）内部控制的定义 内部控制是指一个机构内管理层、董事会和其他各方面进行的目的在于加强风险管理、保障既定目标实现的行为，是一种企业内部活动，它是通过组织机构、组织制度和组织指令来完成的。公认的内部控制目标有三项，一是财务报告的可靠性、二是经营的效果和效率、三是合规性。同时企业内控应具备五个要素：信息与交流、风险评估、控制环境、监控、控制活动。 二、内部控制和全面风险管理的关系 （一）内部控制和全面风险管理之间的区别 首先，涉及的范围不同。内部控制主要的作用发挥在事中及事后控制，是一种管理职能。而全面风险管理则是贯穿于整个企业的生产经营活动中，覆盖了各个不同的环节，在管理范围上应该说是要大于内部控制。另外，全面风险管理在风险考虑上带有很强的预见性，起到了事前控制的作用。 其次，二者的执行方式不同。全面风险管理包含了选择风险评估方法、制定风险管理目标、制定相关战略、报告程序及聘用管理人员等多个环节。这其中的很多管理活动都是不需要内部控制来完成的，内部控制更多的是倾向于对企业经营流程的事中和事后进行控制，其中包括对信息交流进行监督、对不规范的操作流程纠正、对财务报告的评估等。企业的经营目标与战略目标是全面风险管理的作用范围，这点是内部控制不涉及的，内部控制主要是对目标的制定过程进行监控，这是两个体系最大的区别。 最后，二者对于风险的管理不同。全面风险管理体系包括风险预警、风险偏好、风险对策等方法及概念，所以全面风险管理体系能够对企业的战略目标和发展方向进行指引，根据企业的经营风险、资金投入、利润回报之间的关系来进行合理的资源分配。而内部控制体系不涉及此类功能。 （二）企业内部控制与企业全面风险管理之间的联系 内部控制从本质上讲是从属于全面风险管理的，它来源于实际工作并需要在实际工作中完善。内部控制为实现企业管理目标提供了保证。进行有效的内控可以保证企业财务可靠、营运有效、企业资产安全、降低企业风险，保证企业的良性发展。 全面风险管理贯穿于企业的各个环节，产生于战略决策之中，在企业日常经营中进行实践，为企业的良性发展奠定基石。一般来讲企业的全面风险管理应该包括三个方面：一是企业内部各个组织单元的设置及相应的风险管理职责。包括企业整体、各业务口、各个项目团队及各个层级的风险控制职责；二是企业的相关风险管理目标。包括企业的战略目标、生产经营目标、报告目标及合规目标；三是全面风险管理的要素。主要有进行事件分析、建立内部环境、合理的风险评估、抵御风险的措施等。 通过上面的描述，我们可以看出，全面风险管理及内部控制实际上都是以保护企业的财产安全、保证企业的经营结果、实现企业的战略目标为最终的目的。内部控制是全面风险管理的重要核心内容，而全面风险管理则在内部控制的基础上升华扩散。概括的说，内部控制使得企业的日常经营管理流程更加规范、财务管理真正的有效实施，与此同时企业内部的规范性操作流程、财务管理控制也正是全面风险管理在企业实施的基本条件。从目前企业的管理发展趋势来看，企业的全面风险管理与内部控制管理已经交集密切，互相密不可分。 三、全面风险管理及内部控制在企业实施应关注的问题 （一）企业内控与全面风险管理并不是相互独立的 全面风险管理的实施和内控制度的建设对企业同等重要，但二者之间并非互相独立。企业对两个体系建设构造时应该考虑自身发展程度、企业性质、客观环境等因素。在资源有限的情况下，如果企业在市场中的经营风险较大，那么企业应把构建体系的重点放在全面风险管理上，以全面风险管理为方向来主导内部控制，反之如果企业的经营风险较小则可以把重点放在内部控制上，兼顾全面风险管理的实施。 （二）全面风险管理和内控的有效实施必须有好的控制环境 企业的内部环境好坏对企业内控和风险管理的实施效果有着直接影响。控制环境主要包括企业员工的综合素质、企业文化、管理思路、明确的权责划分、目标达成的相应奖罚机制等，这些都是保证企业全面风险及内控在企业有效实施的基本前提。如果企业对控制环境没有给予关注，很可能导致全面风险管理与内控实施的失败。 （三）内控与全面风险管理并非一成不变 无论是全面风险管理还是内部控制，都具有一定是时效性的，并不是说企业已经建立起了相关体系就可以一劳永逸了，内部环境及外部环境无时无刻都在变化，这些环境因素的每一次变化都在冲击着企业的体系架构，所以企业应该结合环境因素变化，在实际工作中不断的对体系修正、检查、完善。 （四）企业实施内部控制必须有严格的监督措施 制度的执行过程中离不开严格的监督，没有严格的监督任何体系制度在企业都无法真正有效的实施，监督使得制度在企业实际工作中真正的落实。但如果企业缺乏有效的监督，指标达成情况也没有严格的考核制度，那么所有的体系制度都被挂在了墙上，没有人真正关注执行，最终将出现全面风险管理与内控失控的局面。 （五）风险评估要做到准确真实 企业的风险评估方式和方法的选择极为重要，企业应该对有可能出现的风险进行科学合理的评估，并且通过分析制定一系列解决措施，如果企业内部评估失准、方式方法不当，就将直接导致企业决策失误，给企业造成无法挽回的经济损失。 参考文献： 关键词：企业 风险管理 内部控制 一、全面风险管理在企业内部控制的重要性 风险具有潜在性，它看不见，摸不着，一旦发生，就会给企业带来巨大的经济损失。而内部控制是企业各项生产、经营活动得以顺利进行的重要保证，近年来，随着全球经济危机的爆发，许多大型企业瞬间倒闭，内部控制再次引起了国内外各界的关注。在机遇与挑战并存的经济全球化背景下，企业必须将风险管理融入内部控制中，有效识别企业发展中可能面临的各种风险，并采取措施积极应对，才能做好企业内部控制，才能促进企业的长远发展。 我国于2008年颁布的《企业内部控制基本规范》以及2010年颁布的《企业内部控制配套指引》标志着我国对风险管理下企业内部控制体系构建这一问题的高度重视。 二、风险管理与内部控制的联系与区别 探讨全面风险管理下企业的内部控制问题，必须首先明确风险管理和企业内部控制这两个概念之间的联系与区别。风险管理是一个受企业领导层以及普通职工影响的过程，此过程贯穿企业战略目标制定、企业生产经营等各个环节，以识别那些可能影响企业正常运营的潜在风险。全面风险管理涉及面极广，既涵盖了市场风险、信用风险、战略风险、声誉风险，也涵盖了企业操作风险以及业务风险等等。具体而言，内部控制与全面风险管理的不同之处在于：首先，这两个概念的范畴不同，全面风险管理贯穿了企业管理活动的各个环节，在企业目标制定之前已经对目标实现过程中可能潜在的风险进行了充分的考虑。内部控制则不同，它主要是管理职能的一种表现形式，主要是在企业目标实现过程中或者风险发生后采取相关措施进行控制。其次，二者的活动范围不一致。内部控制只是全面风险管理过程中及其之后的一项重要活动，而做好全面风险管理，仅仅有内部控制是不够的，还需要设定风险目标、选择风险评估方案、预算、以及行政管理等活动对之进行辅助。全面风险管理的活动范围要远远大于内部控制的活动范围。最后，全面风险管理与企业内部控制活动在应对风险时采取的对策也有所差异。全面风险管理框架引入了风险容忍度、风险偏好、压力测试、情景分析等对策，这些对策的引入对于企业的发展以及风险防范十分有利，这也是现有的企业内部控制制度所不能做到的。然而，企业内部控制作为全面风险管理的重要范畴，是必要的、有效的风险管理方法。因此，在全面风险管理背景下研究企业内部控制制度，具有重要的现实意义，对促进企业的长远发展十分有利。 三、全面风险管理下企业实现内部控制的有效途径 在机遇与挑战并存的经济全球化大背景下，我国企业必须提高风险意识，完善内部控制制度，并确保内部控制制度的贯彻落实，才能促进自身的长远发展。 （一）完善财物管理信息系统 随着科技的进步，计算机网络技术得到了极大的发展与普及，为企业各个部门的工作带来了极大的便捷性。对于企业来说，一方面应加强对电子信息系统本身的控制，既包括对系统设备、数据、程序、网络安全的控制，也包括对电子系统开发、维护以及文件资料、日常应用的控制；另一方面财务人员要充分利用信息系统工具，来设置各种适应管理所需的信息管理平台，扩大基础数据源，把死板的基础数据组合、加工、分类成我们需要的数据。即在内部控制系统的建设中引进先进的电子信息技术，建立数据库，科学的对企业潜在的风险进行评估，克服人为控制固有的缺陷，确保内部控制得以贯彻落实。 （二）营造良好的内部控制环境 只有营造良好的内部控制环境，才能从根本上确保内部控制的贯彻落实，才能推动企业的长远发展。因此，企业必须从以下几个方面着手，营造良好的内控环境。 第一、 企业应加深对内部控制的理解与认识，并树立正确的风险管理理念。内控体系的构建应遵循全面性原则，这意味着内部控制不是仅仅涉及会计层面的控制，而是覆盖企业所有经营和管理活动的控制。企业应采取培训、制定规章制度、领导表率等各种途径使风险管理理念深入人心，树立和培养职工的风险管理意识，并贯穿于企业生产经营的各个环节。 第二、 完善企业的治理结构，充分发挥各机构的职能。一个完善的企业治理机制通常包括股东大会、董事会、监事会以及高级管理层四个组成部分，企业应完善相关的激励约束机制，明确各个部分的职责，确保各个部门既相互配合，又相互监督，充分发挥其职能。 第三、 提高企业职工的职业道德及工作能力。企业职工是企业各项决策、制度的最终执行者，职业道德及工作能力是评价职工好坏的关键性因素。 （三）设定企业战略目标 所谓战略目标，就是企业发展所欲实现的最高目标，只有明确企业发展的战略目标，才能更好指导企业内部控制体系的构建与落实。企业应对战略目标进行分解，将之分解为一个个具体的小目标，然后分配到各个部门具体负责。企业在制定战略目标时，必须立足于自身的实际情况，充分考虑企业的风险容量，企业战略目标实现过程中所面临的风险总和必须在企业风险承受能力范围之内，这样才能保证企业战略目标的顺利实现。 （四）完善风险管理体系 企业所建立的内部控制体系应充分考虑对风险的管理，即建立风险导向型的内部控制体系。对于企业来说，只有将风险管理具体落实到企业经营管理的各个环节，才能有效控制风险。构建风险导向型内部控制体系，完善企业风险管理体系，应该从以下几个方面着手[3]： 第一、建立有效的风险预警机制。预警机制是将企业生产、销售、采购等全方位实物量信息纳入到预警模型中来，通过对企业各方面信息的全面分析，将企业存在或将要产生的财务风险信息提前告知企业经营者和其他利益相关者的一套工具，实现信息的超前反馈。风险预警具有量化管理、系统管理、过程管理、事前预警控制、在线即时、例外管理、动态管理、充分利用先进的管理理念和工具等特点，随时捕捉企业经营过程中的各种漏洞、管理失误、工作失误、重大风险和隐患，充分利用企业ERP系统、IT技术建立信息平台，通过预警系统对企业的基础数据进行深加工处理，除了建立财务盈利能力、偿债能力等指标来进行预警外，可以配合选择适合企业的综合管理指标、个性指标、行业指标进行分析，从不同的角度、不同的侧面反映企业财务状况，提高企业财务管理水平，不仅能向经营者提供可能导致财务危机的信息，而且能反映企业与同行业相比的差异情况，起到及时报警或提前干预的作用。因此，对于企业来说，只有建立有效的风险预警机制，才能及时发现企业内部、外部潜在的各种风险。另外，企业日常信息的收集是建立预警系统的基础，如客户信用管理，建立客户信用诚信档案、记录客户资信情况，历史合作记录等。 第二、建立企业财务系统预警体系程序。建立预警系统体系程序主要可以从以下几个方面进行：首先，分析企业业务流程以及内部控制制度设置的关键控制点和关键因素，再调查财务管理中存在的问题及风险，了解企业管理者需求及行业指标等评价因素，最后建立适合企业的预警指标体系。 第三、建立有效的风险评估机制。在识别风险之后，企业还应对风险的性质、风险发生的可能性大小以及风险对企业影响大小等因素进行进一步的分析与评估，这样才能衡量企业现有内部控制制度能否独立应对风险，是否需要采取其他辅助措施。风险评估机制的构建是企业采取有效措施应对风险，化险为夷的关键步骤。 第四、建立有效的风险反应机制。风险反应机制的建立是有效控制风险的最重要步骤，在对风险进行识别、评估后，应根据风险发生可能性的大小、风险对企业影响力的大小以及企业发展规模等因素确定具体的风险回避、风险降低、风险承担以及风险分担等风险控制措施，设置不同的危机处理程序。 总之，在机遇与挑战并存的经济全球化大背景下，我国企业必须提高风险意识，完善内部控制制度，并确保内部控制制度的贯彻落实，才能促进自身的长远发展。内部控制制度体系的构建与贯彻实施是一项长期的工程，在这个过程中，企业必须结合自身的实际情况，吸取教训，总结经验，不断探索，不断创新，才能在全面风险管理下做好内部控制工作，才能为企业赢得更多的发展机遇。 参考文献： [1]何慧.内部控制理论的发展历程研究[J].经济研究导刊，2011，（15）：83-84 关键词：全面风险管理 纳税筹划 风险 控制 全面风险管理概念框架体系 （一）全面风险管理概念 1955年，美国宾夕法尼亚大学沃顿商学院的施耐德教授首次提出了“风险管理”的概念。多年来，人们在风险管理实践中也逐渐认识到，企业内部不同部门或不同业务的风险，有的相互叠加放大，有的相互抵消减少。因此，企业不能仅仅从某项业务、某个部门的角度考虑风险，必须根据风险组合的观点，贯穿企业整体的管理风险。 2004年4月美国COSO（The Committee of Sponsoring Organizations of The National Commission of Fraudulent Financial Reporting）在《内部控制整体框架》的基础上，结合《萨班斯一奥克斯法案》（Sarbanes-Oxley Act）在报告方面的要求，同时吸收各方面风险管理研究成果，颁布了《企业风险管理框架》（Enterprise Risk Management Framework，简称ERM）旨在为各国的企业风险管理提供一个统一术语与概念体系的全面的应用指南。 COSO定义的企业风险管理是指企业风险管理是一个过程，受企业的董事会、管理层和其他人员的影响，应用于企业的战略制定及各个方面，旨在确定影响企业的潜在重大事件，将企业的风险控制在可接受的程度内，从而为实现企业的目标提供合理保证。 （二）全面风险管理框架 COSO-ERM是个三维立体的框架体系。这种多维立体的表现形式，有助于全面深入地理解风险管理对象，分析解决其中存在的复杂问题。

第一维度是（上面维度）目标体系，包括四类目标：战略目标，即高层次目标，与使命相关联并支撑使命；经营目标，高效率地利用资源；报告目标，报告的可靠性；合规目标，符合法律和法规。第二个维度（正面维度）是管理要素：内部环境、目标设定、事项识别、风险评估、风险应对、控制活动、信息与沟通和监控八个要素。第三个维度（侧面维度）是主体单元，包括集团、部门、业务单元、分支机构四个层面。 纳税筹划风险类型及其来源 企业在运用税收政策开展纳税筹划的过程中，风险是客观存在的，而且这种风险可能会伴随企业生产经营的全过程。所谓纳税筹划风险是指企业在开展纳税筹划活动时，由于受到难以预料或控制的各种因素影响，导致失败而在筹划后发生各种损失的可能性。 纳税筹划风险主要来源于两方面，即外部因素产生的风险与内部因素产生的风险。外部风险包括税收政策选择风险、经济环境变化风险、税收政策变化风险、税收扭曲投资风险、征纳双方的认定差异风险和税务行政执法偏差风险等；内部风险包括预期经营活动变化风险、筹划控制风险、筹划信息不对称风险、筹划沟通误差风险、筹划心理风险、筹划信誉诚信风险、会计核算和税务管理风险等。不论何种风险，如不采取相应地风险管理措施，就可能会给企业带来经济损失和其他相关损失。 基于全面风险管理的纳税筹划风险控制要素 由于各种纳税筹划行为贯穿于企业经营管理的全过程，不可能孤立应对纳税筹划风险，对其风险治理也应纳入企业全面风险管理框架。COSO的ERM对我们治理纳税筹划风险具有很好地借鉴作用，考虑到治理纳税筹划风险是一项综合性、系统性工作，企业可以依据ERM正面维度的八要素治理筹划风险。 （一）内部环境要素 纳税筹划的内部环境是指纳税人进行纳税筹划自身所具备的各种条件，包括企业类型、注册地、投资项目、经营范围、治理结构、优惠政策、风险意识、筹划人员的道德和胜任能力、公司文化、财务管理和会计核算水平等。内部环境是其他所有风险管理要素的基础，为其他要素提供规则和结构。内部环境决定纳税筹划的基础是否牢靠，是对纳税筹划风险的事前防范。例如，树立正确的纳税意识和纳税筹划风险意识，建立健全企业税务管理和会计核算监督程序，加强对筹划人员的职业道德教育和专业培训，提高筹划人员的专业素质、筹划技能和职业道德水平，都是改善内部环境，降低筹划风险的对策。 （二）目标设定要素 纳税筹划必须先有明确科学的目标，企业才能识别影响目标实现的潜在事项。企业风险管理确保管理当局采取恰当的程序去设定目标，并保证选定的目标支持主体的使命并与其相衔接，以及与它的风险容量相适应。纳税筹划终极的目标应当与企业理财目标――实现企业价值最大化相一致，即通过对企业经营活动、投资活动和筹资活动的事先安排，充分考虑货币时间价值和涉税风险，在保证企业可持续发展的基础上，实现涉税零风险状态下的企业价值最大化。将实现涉税零风险作为实现纳税筹划目标的基础，这也是对事前筹划风险的防范。 （三）事项识别要素 企业必须能够识别可能对纳税筹划产生影响（包括有利影响和不利影响）的各种潜在事项，包括表示风险的事项和表示收益的事项。纳税筹划是对涉税事项的预先安排，各种筹划方案必须考虑相关税法的适用性，要识别不符合税法立法精神和政策导向的事项。另外，还要考虑税法变化对涉税事项的影响，识别这些变化是否会影响企业纳税筹划方案的施行和效果。例如，《特别纳税调整实施办法（试行）》文件中加强了对企业避税的防范和打击力度，造成一些诸如转让定价筹划方案失去了合法性基础，筹划风险加大。这就要求企业及时熟悉反避税政策及其相关涉税事项，适时调整筹划事项，这是对筹划风险的事中防范。 （四）风险评估要素 对于识别出的筹划风险应进行评估分析，以便确定防范对策。由于纳税筹划经常是在税法规定性的边缘操作，这必然蕴含着较大的风险，企业应尽可能找到风险因素影响目标的方式，因此对风险的评估是防范的前提，风险评估可以采用定性与定量的相结合的方法进行，对于可能影响纳税筹划收益的风险事项进行分析，利用专家打分法、蒙特卡罗模拟法、概率分布的叠加模型、随机网络法、风险影响图分析法、风险当量法等方法研究筹划风险的性质和大小，评估其影响程度，这也是对筹划风险的事中防范。 （五）风险应对要素 企业对识别及评价的筹划风险的应对措施，包括回避风险、接受风险、分散风险和转嫁风险。企业应该选择相应措施使风险与纳税筹划的风险容限和风险可容忍量相适应，即指纳税筹划风险给企业所带来的损失应与其预先取得的节税收益相配比，处于可控之中。例如，对于高风险低收益的筹划事项应该回避风险，不予采筹划方案。又如，企业通过借助注册税务师等税务中介实施筹划，可以将筹划风险转嫁给中介机构。 （六）控制活动要素 控制活动是帮助保证风险反应方案得到正确执行的相关政策和程序。企业应制定和实施相应的纳税筹划风险控制程序，才能确保其所选择的风险应对策略得以有效实施。控制活动是贯穿纳税筹划全过程的一系列程序和方法。企业针对已经识别和发生的影响筹划方案的涉税事项进行后，通过风险评估，制定应对策略，并组织筹划人员及时调整筹划目标及具体任务，使所有筹划人员都能及时执行新的筹划方案，从而降低筹划操作风险。 （七）信息与沟通要素 企业实施纳税筹划的全过程都需要借助各种信息来识别、评估和应对筹划风险。有效、大量的信息是制定各种筹划方案的基础，而良好的沟通包括信息的向下、平行和向上及时和有效的传递。从系统论的角度看，纳税筹划项目初始就要求筹划人员依据掌握的相关信息，制定筹划目标和各种可选择方案，识别影响筹划风险的涉税事项因素，及时传递给项目负责人，以确定风险应对策略，并按实际情况决定是否调整纳税筹划方案，再将控制信息传递给下面的执行人员，执行人员再进一步反馈及传递相应信息，降低筹划信息不对称风险和沟通误差风险。另一方面，增加企业与税务机关之间的沟通，搞好税企关系，加强税企联系，越可能获得更多信息，企业纳税筹划方案也越可能得到税务机关的认可，以确保企业所进行的税收筹划行为合理合法，降低征纳双方的认定差异风险和税务行政执法风险。 （八）监控要素 企业风险管理监控是指评估风险管理要素的内容和运行以及一段时期的执行质量的一个过程。企业治理层必须对纳税筹划风险管理进行监控，即进行监督、控制和指导。这种方式能够动态地反映风险管理状况，并使之根据涉税事项的实际变化而调整。监控方式包括持续监控和个别评估，由于大多数长期纳税筹划方案对企业的财务情况影响是长期，加强监控有助于纳税筹划在企业整体战略框架下进行，在一定程度上把纳税筹划风险降低在可控范围内。监控还可以改善筹划内部环境，促进控制活动的有序进行，纠正风险管理过程中的偏差。另外，实施人力资源监控，如对筹划人员进行指导，有助于提高筹划人员的整体素质，降低筹划人员的操作风险和心理风险。 基于全面风险管理的纳税筹划风险控制策略 针对纳税筹划存在的各种风险，基于全面风险管理应从以下方面进行防范： 企业内从领导到财务人员都必须树立正确的纳税意识和风险意识，在依法纳税的前提下开展筹划。 针对纳税筹划中可能遇到的风险，建立筹划预警及防范机制，在筹划前要对风险较大的方案反复论证，综合考虑各种涉税因素后慎重选择实施方案。在筹划事中、事后建立相关税务筹划风险评估机制，在筹划实施过程中对筹划方案进行全程化监控，密切关注相关税收政策等环境的变化，针对出现的新情况及时调整或变化筹划方案。 建立健全财务管理和会计核算监督机制，加强筹划人员的职业道德教育和职业培训，保持高尚的职业操守和谨慎、合理的职业判断能力。 贯彻全面风险管理原则。对于风险较大的筹划项目要采取谨慎的态度，按照收益与风险配比原则，在考虑风险是否可以化解或转嫁等因素的基础上确定是否开展筹划，同时还必须考虑因税务筹划引致的各种涉税成本，包括显性和隐性成本，只有综合筹划成本在可接受范围内时开展税务筹划才有效率。 企业要正确认识税务筹划的作用，适当地降低对税务筹划的心理期望，以减轻税务筹划人员的心理负担和工作压力，降低税务筹划的心理风险。 借助外部税务中介机构及税务专家。企业应该主动委托有相关税务筹划经验和知名度的税务中介机构如税务师事务所，接受税务筹划服务，聘请注册税务师作为企业的税务顾问，借助他们在专业、技术、经验、信息等方面的优势帮助企业完成税务筹划，这样不仅可以事半功倍，也可将企业的有关筹划风险转嫁给税务中介机构。 总之，企业纳税筹划风险管理是一个全面、动态和系统的过程，如风险评估促使风险应对，进而影响到控制活动，有可能需要重新考虑信息与沟通，或者是企业的整个监督活动。纳税筹划风险管理就是通过各要素有效地发挥其功能，帮助企业抓住筹划机遇，将风险控制在可接受的范围内，促进企业纳税筹划目标的实现。 参考文献： 1.刘霄仑.风险控制理论的再思考：基于对COSO内部控制理念的分析[J].会计研究，2010(3) 2.苏强.企业税务筹划误区及风险防范[J].兰州商学院学报， 2006(1) 3.李传志.税收筹划的风险分析与防范[J].财政研究， 2005(6) 风险管理 风险战略 论文摘要：本文在对欧美商业银行风险管理行为整体考察的基础上，提出了商业银行风险战略的概念，并对欧美商业银行风险战略的实践进行了系统地研究，最后对我国商业银行风险战略实践提出了建议。 欧美商业银行高度重视风险管理，在长期的风险管理实践中，其形成了一整套系统的风险管理模式和方法，并把风险管理上升到了战略的高度，有力推动了自身的壮大和健康发展。本文拟对欧美商业银行具有战略性的风险管理行为进行系统地研究和归纳，以期对国内商业银行风险管理水平的提高有所帮助。 一、商业银行风险战略概念的提出 从《银行家》杂志历年来对国际商业银行的排名情况来看，欧美商业银行从各个方面都具有明显的竞争优势，这除了与其能够制定并执行正确的发展战略、具有较高的经营水平有关外，我们认为，更与它们成功的风险管理行为密不可分。总体来看，欧美商业银行均能够适应诸如购并战略、全能化战略、全球化战略、再造战略等一系列发展战略的制定和实施，根据自身的风险胃口和风险管理长期目标不断更新风险管理理念，加强风险文化建设；实现全方位、立体的全面风险管理；构建有效的公司治理结构和全面风险管理组织体系；伴随业务流程再造，实现风险管理流程再造；积极创新，采用新的风险管理技术，增强风险预警、评估、控制的主动性和有效性。可以说，它们在风险管理方面有着比较明确的范围、方向以及实现模式，积极谋求风险管理的长效机制和远期目标，并把风险管理作为发展战略的子战略之一，以充分支持发展战略及利益相关方期望的实现。， 鉴于欧美商业银行这种明确、系统的风险管理范围和方向，并结合企业战略管理理论关于企业战略的概念，我们提出了商业银行风险战略的概念，以期能够找到一种更为合适的研究欧美商业银行风险管理行为的方法和路径。我们认为，商业银行风险战略是指商业银行为满足利益相关方的期望，依据发展战略、风险胃口和风险战略目标而确定的长期的风险管理行动方向和范围。具体讲，它是商业银行确定的风险管理理念、文化、治理结构、制度流程、技术工具和专业团队等风险战略要素长期发展方向的某种组合，正是这种组合代表了商业银行风险管理的长期行动方向和范围。由于各欧美商业银行所处的具体环境不同，内部禀赋存在差异，经营管理理念不尽一致，其风险战略要素往往在内容和组合上不尽相同，也就导致它们的风险战略实际上各有不同。 二、欧美商业银行风险战略实践 (一)欧美商业银行风险战略的基本类型主要从动态和静态两个视角进行考察。 动态视角主要是通过纵向研究来归纳历史上商业银行风险战略的基本类型。历史上欧美商业银行风险管理主要经历了五个阶段，即资产风险管理阶段(最初)、负债风险管理阶段(始于20世纪60年代)、资产负债管理阶段(始于20世纪70年代)、资本充足率管理阶段(以20世纪80年代《巴塞尔资本协议》的颁布为标志)和全面风险管理阶段(以2004年6月新协议的颁布为标志)。我们认为，风险战略整体上也相应分为资产风险管理战略、负债风险管理战略、资产负债风险管理战略、资本充足率战略和全面风险管理战略五种基本类型。 静态视角主要是对商业银行某个阶段的风险战略进行分析，归纳该阶段风险战略所包含的基本类型。从欧美商业银行的实践来看，静态视角下风险战略的基本类型主要表现为风险战略的层次性，即公司层次风险战略、业务单位风险战略和经营单位风险战略。公司层次风险战略主要分为总体风险战略和专业风险战略。新协议颁布以来，欧美商业银行总体风险战略主要是指全面风险管理战略，即强调全球的风险管理体系、全面的风险管理范围、全程的风险管理过程、全员的风险管理文化、全新的风险管理方法和全额的风险计量。按照新协议的要求，专业风险战略主要包括资本充足性战略、信用风险战略、市场风险战略和操作风险战略等。业务单位风险战略是指性质相同或类似，并可以进行类似管理的业务的风险战略。如信用风险方面的业务单位风险战略主要有公司业务风险战略、零售业务风险战略、同业业务风险战略、主权业务风险战略和股权业务风险战略等。经营单位风险战略是指各类业务具体经营单位为取得各自业务范围内良好的风险管理效果而确定的工作方向和范围，如零售业务方面，银行卡经营单位的风险战略。 (二)欧美商业银行风险战略与利益相关方、发展战略、风险胃口和风险战略目标的关系 一般来说，利益相关方不同，其对风险战略的影响亦不相同。股东最终关注的是投入资本的回报率，以及商业银行的长期增长性，因此，欧美商业银行董事会在进行风险战略定位时，首先会考虑股东的风险胃口和投资回报目标，并以此为依据；债权人如债券投资者希望获得安全而丰厚的回报，风险战略应增强在该方面的吸引力；内部员工、各经营单位的诉求则直接决定风险战略能否被认同并得到有效执行。发展战略是指商业银行为实现使命和宗旨而确定的长期发展方向和范围。从实践来看。欧美商业银行风险战略接受发展战略的指引，并在保持独立性、垂直管理的基础上，服务于发展战略。风险胃口即风险容忍度，是指股东等投资者愿意承担或忍耐的风险的程度。决定风险胃口的因素除了主观的风险偏好(股东的风险厌恶程度)外，还有商业银行资本规模和风险管理能力。不同的商业银行根据其自身的风险胃口。相应地选择不同的风险战略。风险战略目标则是风险战略欲实现的中长期目标，它指引风险战略要素的内容安排和组合，风险战略为风险战略目标的实现而存在。 (三)欧美商业银行风险战略管理 从欧美商业银行的实践来看。风险战略管理是指风险战略定位、选择、实施、评估与控制等一系列相互影响的决策与行动。 1．风险战略定位。欧美商业银行风险战略定位首先分析、评估商业银行现有使命、利益相关方的期望与影响、发展战略、风险胃口和风险战略目标的合理性。然后根据分析、评估结果，运用SWOT等分析法对宏观环境、行业环境、战略集团(即主要竞争对手)等外部环境进行综合分析，清楚所面临的机遇和挑战；对风险理念、文化、公司治理结构、人力资源配置、风险管理技术、风险信息系统等内部环境进行分析，清楚所具有的优势和劣势。根据以上两个分析结果重新审视并修正使命、发展战略和风险战略目标等，最后依据修正结果和内外部环境分析结论综合得出恰当的风险战略定位，如决定实施全面风险管理。 2．风险战略选择。 (1)风险战略的制定。企业战略管理理论认为，战略的制定存在三种视角，即设计视角、经验视角和创意视角，三种视角分 别或综合为战略的制定提供了相应的方法和路径。研究发现， 欧美商业银行风险战略制定，即风险战略要素内容的安排和组 合同样存在以上三种视角。设计视角认为商业银行通过理性 的、指导性的分析和规划程序对风险战略进行规划、设计和确定，该视角适合转型中的商业银行。经验视角认为风险战略是风险管理文化、行为经验的结果，是对风险管理文化和经验的总结与改良，成熟商业银行的风险战略往往如此产生。创意视角认为风险战略是在商业银行风险管理过程中存在的差异性和多样性的基础上生成的秩序和创新，商业银行全球化和综合化发展往往为该视角提供创意素材。事实上，我们发现风险战略多是设计规划、经验总结和改进创新的综合结果。 (2)风险战略的选择。风险战略选择是指商业银行在风险战略定位、制定的基础上，对可供选择的风险战略进行评价、修正，最终选出合适的风险战略的活动。欧美商业银行进行风险战略选择主要考虑风险战略的适应性、可操作性和市场竞争性等。适应性方面主要考虑风险战略是否与商业银行内外部诸要素相匹配，特别要考虑是否与使命、发展战略、风险胃口、风险战略目标相匹配。可操作性方面主要考虑风险战略的实施是否与自身对应的资源和能力相协调。在市场竞争性方面则主要考虑风险战略是不是有利于提升商业银行的风险管理水平和市场竞争力。 (3)公司治理模式与风险战略选择。市场主导型公司治理模式以欧美商业银行为代表，股权高度分散.其股东力量弱小.对经营决策仅有有限的发言权，只是通过在证券市场“用脚投票”的方式对董事会形成市场制衡影响，董事会实际上是商业银行风险管理的最高决策机构.对风险战略的选择进行决策。出资者主导型公司治理模式以德国和日本商业银行为代表，企业交叉或循环对银行持股，法人持股率高，对银行的监督和约束主要来自股东的“用手投票”。在该模式下，监事会直接代表股东成为商业银行风险管理的最高决策机构，进行风险战略决策。目前，两种模式出现融合趋势。 3风险战略实施。欧美商业银行实施风险战略具有良好的保障和支持。一是确立相应的、良好的风险管理理念和文化，增强风险管理的主动性。二是建立有效的风险管理治理结构，尤其是建立了有效的风险管理治理结构。三是明确相应的风险管理工作目标和计划.对风险战略进行详尽分解和落实。四是建立合适的、完善的政策制度和流程。五是采用良好的风险管理技术，特别是受新协议的影响，风险量化模型呈普及之势。六是建立完善的风险管理信息支持系统，为风险战略的有效管理提供决策支持。七是加强人力资源的利用和开发，建立高素质的风险管理专业队伍，主要做法是推行风险经理制。八是关注并适应外部监管。 4.风险战略评估与控制。由于制定和实施中可能存在偏差，风险战略可能会出现不贴切、不适应、不高效、不尽效、不协调等各类风险，导致风险战略的制定和实施事与愿违。欧美商业银行往往定期召开决策层风险管理委员会会议，对风险战略实施现状和存在的风险进行诊断和评估，并及时对其进行动态的调整和完善。 5．风险战略管理的价值。从欧美商业银行的实践结果来看，主要是有利于培育先进的风险理念和文化；支持并完善发展战略；建立、完善风险管理治理结构；提升风险管理技术水平；保证风险战略的顺利实施；积极满足监管要求，提升市场竞争力等。 三、对我国商业银行风险战略实践的建议 (一)确立良好的风险管理理念，培育优秀的风险管理文化从西方商业银行的实践看，有什么样的风险管理理念和文化，就等于制定并实施什么样的风险战略，因此我们有必要借鉴其先进的风险管理理念和文化，为风险战略实践营造良好内部环境和氛围，引导员工形成良好的风险战略实践习惯。一是充分认识、理解商业银行风险，及其客观性和管理的必要性与持久性，养成风险管理的自觉性；二是能够正确处理风险管理与业务发展的关系，树立风险管理创造价值的理念，通过先进的技术与模式实现收益与风险相匹配；三是实施全面风险管理，明确风险管理的职责、标准和流程，实现风险管理的精细化和专业化；四是董事会和总行高级管理层确保风险管理体系的完善性、垂直性和独立性，以及风险管理文化的优越性，并对风险管理承担最终的责任；五是形成一种风险防范的道德评价标准和职业环境，促使全体员工在风险管理中恪守职业道德；六是认真汲取风险战略实践教训并改善风险管理方法，全体员工注重提高自身对风险的管理能力。 (二)借鉴经验，重新审视并重视风险战略 一是重新审视风险战略实践，结合自身实际，确定合理的风险胃口和风险战略目标，通过科学定位，选择层次清晰、内容完备、目标明确的风险战略，并不断对其进行修正和完善，增强其适应性、可操作性和竞争力。二是重视风险战略，有效配置各种资源，培育良好的风险战略实施环境，充分发挥风险战略的价值和作用。三是建立良好的风险战略管理机制，充分发挥各方主体在各环节上的职能作用，保证风险战略效用的高效传导。 (三)构建完善有效的风险管理体系。 1．建立完善有效的风险管理治理结构。首先，建立有效的公司治理结构。股东、董事会、监事会、高级管理层等主体职责明确，协调制衡；建立有效的内部控制体系，业务经营和风险管理活动规范开展。其次，建立良好的风险管理分工及相互制衡关系，保证风险战略管理机制畅通、高效。一方面风险管理实现决策、实施、支持和监察监督四个部分纵向的分工和制衡，另一方面还应实现各类风险管理的横向分工和制衡。这方面可借鉴欧美商业银行风险管理的矩阵结构。再次，建立垂直、独立的风险管理组织体系。垂直、独立的风险管理组织体系可从三个层次的风险管理和三级经营单位的风险管理等两个层面来理解。三个层次的风险管理包括：董事会是商业银行风险管理的最高决策机构，负责风险战略的制定和监督实施；监事会负责商业银行整体风险监测和风险管理效果评价；高级管理层下设风险管理委员会，通过总行风险管理部门集中管理各类风险。三级经营单位的风险管理包括总行、分行和支行的风险管理，以各级职能风险管理部门为主线，上下联动独立实施风险管理。 2．建立完善的风险管理流程和制度体系。建立完善的风险管理流程，实施风险战略管理全过程监控，保证整个流程为有机体。建立完善的制度体系，为风险战略的有效实施提供系统的制度支持。 3，建立完善的风险管理评价体系。一是实施有效的内部稽核与检查，完成风险战略管理的评估与动态调整，保证各项风险管理工作的有效性。二是建立完善的考核和约束激励机制，以持续增强风险管理的驱动力，确保风险战略管理的良好环境。三是建立严格的风险管理责任追究机制，通过增加风险管理责任成本，避免风险战略管理中的失职和不当行为。 (四)不断提升风险管理技术水平 积极跟进新协议要求，借鉴欧美商业银行风险管理技术和模式，实施全面风险管理；建立完善的风险管理信息系统，实施风险分类管理，提高风险精细化管理水平；采用先进的风险计量技术和模型，提高风险计量水平；积极关注新类型风险，坚持动态的风险管理创新机制。 论文关键词：中小股份制商业银行；风险管理；内部控制 一、内部控制和全面风险管理概念的界定 （一）内部控制的内涵 COSO于1992年《内部控制——整合框架》中将内部控制定义为由一个企业的董事会、管理层和其他人员实现的过程，旨在为下列目标提供合理保证：财务报告的可靠性；经营的效果和效率；法律法规的遵循性。内部控制应具备的五个要素：内部控制环境；风险识别与评估；内部控制措施；信息交流与反馈；监督、评价与纠正。 （二）全面风险管理的内涵 COSO《全面风险管理框架》（2004）中的定义是：全面风险管理（ERM）是一个过程。这个过程受董事会、管理层和其他人员的影响。这个过程从企业战略制定一直贯穿到企业的各项活动中，用于识别那些可能影响企业的潜在事件并管理风险，从而确保企业取得既定的目标。 （三）内部控制与风险管理的内在联系 1.内部控制与全面风险管理存在一定的差异：两者的范畴不一致；两者的活动不一致；两者对风险的对策不一致。 2.内部控制与全面风险管理紧密相关：内部控制是全面风险管理的必要环节，内部控制的动力来自企业对风险的认识和管理；全面风险管理涵盖了内部控制。从COSO委员会的全面风险管理框架和内部控制框架可以看出，全面风险管理除包括内部控制的3个目标之外，还增加了战略目标，全面风险管理的8个要素除了包括内部控制的全部5个要素之外，还增加了目标设定、事件识别和风险对策3个要素；内部控制与全面风险管理工作应当由企业同一套组织机构和人员来完成，企业不能为之设置两套工作小组。为此，企业在组织机构设置、人员权责分配中，应充分考试专业管理、内部控制、以及风险管理这三大类职责相辅相成，它们应当是每个关键岗位职责的有机组成部分。 虽然内部控制和全面风险管理的出发点和具体目标并不完全相同，但两者在概念内涵上具有内在的一致性，在保障企业总体可持续发展目标实现的过程中，两者的根本目标和作用是一致的。因此，二者应当实现有机融合，全面风险管理架构的构建与实施要建立在内部控制建设现有成果的基础之上。 二、我国中小商业银行实施全面风险管理的必要性和重要性 （一）金融机构面临的风险因素多样化 金融机构面临的风险因素多样化，主要包括信用风险、市场风险、操作风险、流动性风险、声誉风险、法律风险、战略风险和国家风险。各银行都会因风险控制措施不当而发生损失，有的案例损失金额巨大，中小商业银行相对而言其抗风险能力不足，更易由损失引发系统性风险； （二）中小商业银行内部控制体系存在较多弊端 各级负责人横向权力过大，为操作风险的发生提供了空间；大部分银行未设立独立的专业化部门承担操作风险管理和分配资本职责；操作风险管理现行的管理方法和手段落后，难以反映本行操作风险的总体水平和分布结构，与国际上要求以资本约束为核心的操作风险管理差距不小。 （三）忽略了风险之间的联动性 目前单独、割裂的处理各类风险，忽略了风险之间的联动性。 三、国内银行业全面风险管理实施现状 （一）工商银行、中国银行等一些大型商业银行建立了全面风险管理治理结构 如工商银行2004年引入COSO　ERM框架的理念，按照现代金融企业的治理标准，建立了由股东大会、董事会、监事会和高级管理层组成的全面风险管理治理架构，制定相关授权方案，形成权力机构、决策机构、监督机构和高级管理层之间各司其职、相互协调、有效制衡的运作机制。重新调险管理委员会，并于2006年7月设立了首席风险官职位，为全面风险管理工作开展提供了制度保障。 （二）部分银行全面风险管理的实施规划已经形成并在逐步推进 农业银行在制定新资本协议实施规划的基础上，制定实施新资本协议的时间表、步骤和措施，在2009年底前建成内部评级初级法体系，2013年底前建成内部评级高级法体系。工商银行全面推进风险计量技术的研发，加大数据集中与系统建设力度，从公司治理、方法论、基础数据、制度政策、IT系统等方面不断深化新资本协议的实施工作，风险治理结构日益完善，风险计量水平逐步与国际接轨，风险管理的前瞻性、科学性得以显著提高。 四、构建中小商业银行全面风险管理组织架构建议 结合国内外商业银行全面风险管理组织架构建设经验，以中小股份制商业银行普遍实行总分行制的行政制度为基础，笔者提出要按照“集中管控、矩阵分布、全面覆盖、全员参与”的目标要求，建立总分支三级联动风险管理机制，以集中职能的风险管理部为特点，以风险总监为纽带，以分布于各业务条线的风险经理为基础的架构与职能分工。 关键词：内部控制 风险管理 企业利润 随着经济社会的高速发展，我国企业也越来越正规，其内部控制制度也逐步走向规范，但是目前内部控制理论的发展已经与风险防控理念相结合，因为各种各样的风险时刻威胁着企业的财产安全与可持续发展，企业必须从内部控制的规范完善入手来提高自身风控风险的能力。内部控制与风险防控虽然独立存在，但是目标一致、联系紧密、相辅相成、缺一不可。现代内部控制规范和制度的建设，不能离开风险控制理念和方法的应用。论文通过对内部控制体系和风险控制体系的论述，了解其现状，并结合企业自身实际情况找出解决之路。 一、简述企业内部控制与风险管理的概念 1.内部控制的概念 企业内部控制是指为了保护企业财产安全、保证会计信息的准确性、确保经营管理制度的有效执行、全面实现企业经营目标而实施的一种自我监督和自我管理的手段。企业内部控制是通过实施企业内部会计控制和内部管理控制，对企业内部各部门、各阶层、各工作环节和程序进行事前预测、事中控制、事后监管，全面贯彻经营策略、执行管理任务，以实现提高经营管理水平、促进经济效益实现、扩大企业利润空间的目标。 2.风险管理的概念 企业风险是指企业在经营过程中产生的可能造成企业经济利益流失的因素。风险管理是对风险的确认、预防和控制，旨在减少风险造成的损失。企业风险管理通过对风险辨识、估测和评价来选择管理风险的方法，对风险进行实施监管和妥善处理。有效的风险管理可以减少风险给其带来的损失，有助于企业所有者和管理者为企业未来发展做出正确决策，最大限度的保证经营管理的正常运行，保护其财产安全和完整，实现企业经营活动目标。 3.内部控制与风险管理结合的重要性 内部控制和风险管理在企业内部的实施有效预防财务报表造假现象，端正员工工作态度，依法办事，保证会计信息的准确性，确保企业所有者和管理者能够获得真实、有效的经营现状，促使企业做出正确的决策。与此同时，提高员工的风险意识，遵循其各项规章制度，提高工作效率，保护企业资产安全，促进企业各项发展策略的顺利实施，进而推进企业发展目标的实现。 二、内部控制与风险控制的关系 1.内部控制与风险控制的内在关系 （1）风险控制包含内部控制 从组成结构来看，风险管理包括内部环境、设定目标、风险评估、风险辨认、活动控制、风险对策、信息与沟通和监督八个部分组成；内部控制由环境控制、活动控制、信息与沟通、风险评估和监督五个部分组成。由此可见，风险控制包括了内部控制。 目前，内部控制作为实施风险控制的重要手段，在确认风险和控制风险环节起到重要作用，甚至是不可或缺的地位。内部控制保证了会计信息的可靠性，使企业领导层及时了解到真实的企业现状，企业经营者及时发现风险，并找出正确方法予以解决。如果企业缺少内部控制，将很难保证风险控制的有效性或效果不明显，进而造成企业发展失衡、待滞。 （2）内部控制等于风险管理 在一些学者眼中，内部控制等于风险管理。内部控制和风险管理的最终目标都是实现企业可持续、稳定的发展。内部控制是实现风险管理的技术与方法，风险管理是内部控制的延续。如果没有内部控制，风险管理则无法有效进行，也就达不到预期目标；如果没有风险管理，内部控制的工作失去了原有的意义。 （3）风险管理与内部控制互为前提 内部控制和风险管理同属于企业经营管理的范畴，互为前提，都是通过对风险的有效控制以实现减少风险、扩大利润的目的。企业风险是源自于收益的不确定性，所以，实施有效的经营管理来确保企业未来收益最大化是最科学的风险管理。实际上，风险管理目标就是通过减少风险带来的损失，来实现其利益最大化。但是，一旦风险管理不能有效实施，损失将会转化为成本，根据“利润=收入-费用”的原理，同等收入的情况下企业利润空间会缩小。 2.内部控制与风险控制的异同 内部控制和风险管理二者关系紧密，目标一致，互相联系，相辅相成，缺一不可。内部控制和风险管理的最终目的都是通过风险控制实现企业财产安全、完整和企业利益最大化。 内部审计和风险管理虽然有着共同目标，但是实施工作的具体范围不尽相同。风险管理是对可能与风险有关的经营管理程序或内容进行监督和控制；内部控制是对企业内部各部门、各阶层的监督和管理，不仅仅是与风险相关的，而是实现企业内部的全面覆盖。风险管理旨在通过风险控制，实现企业利润的最大化；内部控制不仅要对风险有敏锐的洞察，还要发现和帮助企业经营者解决企业在经营管理中可能出现的各种问题。 三、关于内部控制与风险管理未来发展的建议 1.内部控制与风险管理的现状 （1）对风险管理的认识不够，缺乏先进的管理体制。目前，我国大多数中小企业所有者和管理者对风险的认识不够，导致风险管理体系落后，不能及时的发现风险、控制风险、化解风险。由于风险管理体系发展的落后，导致内部控制不能全面、有效的运行，进而严重阻碍企业稳定、持续的发展。 （2）企业内部控制和风险管理未能实现整合。目前，我国正处于经济体系发展阶段，国内、外经济环境瞬息万变，因此给企业发展带来了诸多不确定因素，包括机遇，也包括挑战。显然，传统的内部管理制度已经不能完美应对风险带来的危险。只有将内部控制和风险管理有效结合、互补互用，才能化解风险，实现企业利润最大化。如果内部控制和风险管理继续分开管理、分开运行，其实施将受到限制，不能有效发挥起作。 （3）对内部控制和风险管理的关系了解不够，导致不能正确运用。通常情况下，企业不能准确梳理内部控制和风险管理之间的关系，工作不能承上启下，致使对风险的控制工作不能正常、有效的进行。内部控制要为风险管理提供工作资料，风险管理为内部控制提高工作效率。如不能依据二者关系进行工作，将阻碍风险控制，严重影响企业持续、稳定的发展。 2. 完善内部控制与风险管理的策略 （1）提高风险管理和内部控制在企业中的地位。由于行动受到主观意识的影响与支配，所以风险管理得到重视是进行风险控制和内部控制的主要前提条件。目前，我国与内部控制相关的政策与规范正在逐步完善，企业要认识到内部控制与风险管理在企业发展中的作用，充分发挥的其作用，提高其工作效率。增加工作价值，进而减少其财务和管理风险。 （2）建立严格的风险评估机制。内部控制与风险管理是相互关联的，风险评估是实施内部控制的重要依据。由此可见，企业结合自身实际情况，建立完善的风险评估机制是做好内部控制工作的基本途径。在内部控制设计上要设置风险识别点，在内部控制流程上要融合各种风险识别方法，在内部控制培训上也要对风险识别的理论知识和方法技巧有所涉猎，发现风险点后，还要结合专业技术方法和经验进行风险评估。然而风险评估的进行也是与企业内部控制是否完善和自身内部控制经验相关联的。 （3）聘用、选拔高素质人才，培养员工业务能力。高素质人才是企业发展的关键。企业要通过严格的招聘、面试等制度挑选适合的人才。对在职员工进行专业培训，开积极展技术交流活动，提高员工专业素质，及时更新员工知识储备，从而使员工为企业创造更多的经济利益。 （4）建立有效的信息沟通体系。企业要建立有效的信息流通体系，加强各阶层之间、各部门之间、各员工之间的信息沟通，加快信息的传递速度，实现企业资源共享，以此达到企业所有者和经营者及时、准确掌握企业现状的目的。 四、总结 根据前文的分析，内部控制与风险管理是相辅相成、不可分离的。建立健全内部控制制度、完善风险管理体系与明确二者关系，是有效控制风险的前提。内部控制和风险管理作为企业抵御风险的重要手段，必须加强合作，互通信息，全面贯彻企业经营管理方针，有效控制风险，实现企业利润最大化目标。企业要高度重视内部控制与风险管理建设，强化风险意识，积极应对，有效防范。 参考文献： [1]顾红斌.浅析企业内部控制与风险管理[J].金山企业管理，2013，（3）：42-44 2009年我国创业板市场的开启为国内中小企业发展提供了一个良好的融资渠道和成长平台，极大地推动了我国科研技术创新，且初步形成了一种新型资本市场服务机制。但由于创业板企业自身特点使得其在经营管理、技术、投资等方面承受着巨大风险。同时由于缺少严格的监管和健全的退市制度，创业板高增长、高科技、高附加值“三高”现象、炒壳投机等行为极为严重。为了保护投资者利益，健全创业板市场优胜劣汰机制和促进其可持续发展，2012年4月20日，深交所了《深圳证券交易所创业板股票上市规则》（2012年修订），明确了创业板退市的相关规定，使得创业板企业面临的退市风险凸显。2012年上市公司年报披露后，因遭受重大亏损和受到重大谴责，14家创业板企业或将面临退市警告。至此，创业板企业在退市风险下的风险管理问题再次引发人们热议。因此，有必要对创业板企业加强风险管理的方法路径进行分析，从而有效防范和降低风险。我国创业板企业不仅面临着严峻的生存环境和风险状况，同时其本身对风险管理认识不够、风险管理能力不足，在风险识别、风险应对等多方面均缺乏有效的管理活动。而风险管理和内部控制的关系密不可分，创业板企业可以通过实现二者有效融合来实现全面风险管理，并且能够在内部控制五要素的指导下，从具体操作层面有效防范各种风险。 二、风险管理与内部控制的关系厘清 在企业的众多制度建设中，内部控制与风险管理联系最为紧密。企业内部控制是以专业管理制度为基础，以防范风险、有效监管为目的，通过全方位建立过程控制体系、描述关键控制点和以流程形式直观表达生产经营业务过程而形成的管理规范。内部控制一个很重要目的就是纠偏，而“偏”就是风险。虽然内部控制与风险管理有着紧密的联系，但是对于风险管理和内部控制具体关系的认识理论界和实务界却有不同，主要观点主要有： 第一种观点是认为风险管理包含内部控制。美国COSO委员会在2004年的概念全新的coso报告，即《企业风险管理一整合框架》（ERM），认为风险管理包含八个要素，即内部环境、目标设定、事件识别、风险评估、风险对策、控制环境、信息与沟通以及监督。显然，其认为风险管理包含内部控制，企业内部控制体系的建设是实现风险管理的重要方式之一。英国1999年的Turnball报告，从根本上重新定义了内控的性质，认为公司的内部控制系统是更广泛意义的风险管理的必要组成部分，在风险管理体系中应该发挥重要的作用。我国学者杨雄胜（2005）也认为，内部控制是公司治理的基础，而风险管理则包含内部控制。 第二种观点认为内部控制包含风险管理。美国coso委员会1992年的《内部控制——整体框架》采用的就是这种观点，它认为风险评估是企业内部控制的组成要素之一。另外加拿大coco报告也认同风险评估或风险管理是控制的关键要素，coco报告在阐述风险管理与控制的关系时指出，当企业在管理风险时，也正是在实施控制。 第三种观点认为内部控制和风险管理是相同的概念，二者的分离仅是人为的一种分离，在现实的商业活动中，它们其实是一体化的（Blackbum，1999）。2003年Spira等分析了内部控制向风险管理的转变过程，在一定程度上表明内部控制就是风险管理。Leitch（2006）站在更宏观的角度看待风险管理与内部控制，得出从理论上讲，内部控制系统与风险管理系统没有差异，随着环境的变化，二者的外延更加宽泛，正在变为同一事物。 通过对以上观点的分析可以看出，由于人们对风险管理及其涵盖的范围定义的不同，造成了目前的争议局面。全面风险管理不同于内部控制过程中所讲的风险评估，宏观意义上的风险管理体系不同于狭义的风险管理与评估。因此本文认为，风险管理与内部控制的关系是一种双重包含的关系，即：广义的风险管理体系包含内部控制，而内部控制又包含狭义的风险管理。由于内部控制是风险管理的重要组成部分，而风险管理则又是内部控制的发展和延续（朱荣恩，2010），所以实现内部控制与风险管理的融合发展无疑是可行的，并且是大势所趋。 三、退市风险下创业板企业风险管理现状 2012年修订的上市规则中丰富了退市的标准体系，更加严厉、明确表示不支持创业板公司借壳重新上市，创业板上市公司在净资产为负、股价低于面值、被连续谴责等多种情况下，都将触发直接退市，另外还提出要强化退市信息披露。通过退市新旧制度的对比（见表1），能够清晰了解创业板企业目前面临的退市风险。 制度的变化使得我国创业板市场遭受了极大的冲击。据统计全新上市规则一经，截至2012年4月创业板上市的308家公司中，288家股价下跌，占比高达93.5%，其中有33家跌停，股价上涨的仅有5家。而时至2013年，创业板企业“万福生科”或将成为该规则下的首个退市公司。可见，在全球经济没有完全复苏的情况下，创业板企业依然面临着严峻的外部宏观环境和风险状况。 通过对创业板上市公司风险管理情况研究发现，这类公司虽然深知面临着各种重大风险，但是风险管理水平明显不足。总体来看，创业板上市企业风险管理问题主要表现在：第一，风险管理认识不足，仅仅将风险管理视为一项增加负担的工作，而并未意识到风险管理对于企业整体管理的导向作用；第二，风险管理往往处于一种诸侯割据的状态，没有形成统筹划一的风险管理模式。例如，风险经理管理的是纯粹风险，资本运作经理管理的是财务风险，销售经理则负责承担市场风险。这种各自为政、缺乏合作的风险管理方式不是企业实际期望的，不利于企业整体利益的实现，也无法实现企业整体风险的降低；第三，没有形成一种全员参与的风险管理理念，企业内部认为关注风险、防范风险仅是公司管理层的工作。对于企业而言，要想实现在无风险的环境中运作是不可能的，但是通过有效的风险管理可以使企业在存在风险的环境中仍能游刃有余、稳健运行。鉴于创业板企业所面临的严峻的内外部环境，有必要对其加强风险管理的方法进行研究。 四、创业板企业实现有效风险管理的路径 在退市风险下，企业应该寻找将风险管理与内部控制相互融合的方式和路径，利用内部控制体系的构建来提高自身的核心竞争力与抵御风险的能力。本文以内部控制的五要素为指导，从五个方面具体阐述实现二者融合的方法路径，最大限度的控制和减少企业面临的风险。如图1所示： 第一，构建风险管理企业控制环境。首先，强化全员参与的风险管理意识。创业板上市企业要对员工进行培训，学习相关制度规则，使所有员工都能认识到当前形势下公司所面临的风险，并将风险管理理念作为企业文化建设的一项重要内容来构建和传达。企业应当加强员工的风险管理意识、提升员工识别风险因素的能力，在企业内部形成协调的、全面的、全员参与的风险管理模式。其次，要设置全面风险管理内部控制组织体系。企业的内部控制组织结构设计应当能够充分满足企业全面风险管理的要求。对于创业板企业，可以在董事会下设专门的风险管理委员会，且该委员会要独立于企业的其它部门，保持独立性和权威性，直接对董事会负责，并抽调专人负责企业的经营风险、投资风险和筹资风险。 第二，全面识别与量化风险。创业板企业基本都是处于成长期的中小高科技企业，生产经营的不确定因素很多，因此企业要充分收集来自市场、金融、技术等各方面的信息，并确保信息的可靠性，同时严密监测企业产品、财务等的发展动向，结合企业的技术开发能力、经济效益、员工能力等，评估企业面临的各种风险的大小并监控关键风险。 普拉卡什A.希马皮曾提出了企业风险绘图技术，该技术能使企业对自己所面临的风险进行编目和量化。该绘图技术从权衡、分类、确认、评估、分析五个过程对企业风险实行全面控制。在当前严峻的外部宏观环境下，创业板企业可以借鉴使用以在退市风险下全面识别和量化风险。 第三，实行源头控制与全程控制。企业在风险控制上要实行源头控制、全程控制，而不是结果控制。首先，将识别出的风险进行由大到小、由重到次的排序，确定关键控制环节和关键风险控制点。针对重大风险，各部门根据职责分工对不同风险采用不同的源头控制预案，并将预案提交风险管理会审核通过后实施。 具体而言，对于经营风险，创业板企业要对采购、生产、销售等业务流程和关键控制点予以高度关注。同时关注市场风险，对新老产品的市场反应进行调查和分析，以便及时对产品和技术进行改进；对于投资风险，企业要充分对投资项目进行可行性分析和投资监管；对于筹资风险，企业应评估各种筹资方式的收益和风险，建立多元化的融资渠道，降低资本使用成本。 第四，建立通畅的风险管理信息系统。风险的识别、评估和控制之间需要一条通常的风险管理信息系统。创业板企业应该建立相应规章制度，保证风险信息的及时有效传递。任何事物都是发展变化的，企业面临的风险也是一个动态发展的过程，企业只有及时掌握了充分准确的市场信息，才能有效估计潜在风险，采取针对性处理策略，取得应对风险的主动权。 第五，重视风险管理活动监督。监督是保证内部控制有效实施的一种手段，各个组织都需要拥有一个随着时间的推移能适时评估其内部控制系统及风险状况的监督机制。创业板上市公司在风险管理的监督上要做到以下几点：首先企业高层必须建立正确的监督基调，表达整个组织对监督人、监督作用的期望以及对风险和内部控制的重视。其次，对于所选择的监督者必须具备相应的专业胜任能力，即有适当的技术、知识以及对控制风险的专业理解。最后，企业要加强监督结果的交流。对已发现的控制弱点要报告给负责控制运行的人，并至少向高一级风险管理人员报告，从而使得相关人员能够及时对问题的严重性进行评估。 参考文献： [1]杨雄胜：《内部控制理论研究新视野》，《会计研究》2005年第7期 。 [2]朱荣恩等：《关于企业内部会计控制应用效果的问卷调查》，《会计研究》2004年第10期。