摘 要：国内外内部控制理论和实践的发展，都表明内部控制的工作重点逐渐由控制转向了风险，这标志着风险导向内部控制时代的来临。本文从内部控制的发展趋势、构建风险导向型内部控制体系的现实基础及重要意义等方面重点对我国企业构建风险导向型内部控制体系的必要性进行了研究。研究结论表明：建立风险导向型内部控制是我国企业实现可持续发展的重要手段，我国企业应在内部控制目标和内部控制原则的指导之下，构建风险导向型内部控制体系，以有效应对复杂多变的内外部环境，实现企业可持续发展。
关键词：风险导向；内部控制；体系构建；必要性
从国际上一些比较成功的企业管理经验看，完善并运转良好的企业内部控制是这些企业能够在激烈的市场竞争中屹立不倒的重要基础。内部控制理论和实践的不断发展与完善表明，基于风险导向的内部控制是内部控制的发展趋势。我国现阶段已经具备了建立风险导向的内部控制的理论基础、政策基础和实践基础，构建风险导向的内部控制不仅能使企业适应复杂多变的外部环境，也能使企业提高自身内部管理的能力。我国企业应在这种形势和条件下，构建风险导向型内部控制体系，促进企业协调可持续发展。
一、 内部控制的发展趋势—风险导向型内部控制
内部控制理论是随着社会经济进步的需要而不断发展的。内部控制的演进总体上经历了内部牵制、内部控制制度、内部控制结构、内部控制框架四个阶段。
从其发展渊源来看，内部控制可以追溯到以职务分离、账户核对为主要内容的内部牵制。内部牵制是指任何个人或部门不能完全支配或独立控制任何一个账户或任何一项业务权力。随着15世纪末资本主义经济的初步发展，借贷复式记账法开始出现，内部牵制逐步走向成熟。内部牵制阶段一直持续到1936年。1936年，美国会计师协会（AICPA）在其发布的文告《独立注册会计师对财务报表审计》中第一次使用了“内部控制”这一专业术语。
20世纪40年代至70年代，是内部控制制度阶段。这一阶段AICPA的审计程序委员会在《内部控制：一种协调制度及其对管理当局和独立注册会计师的重要性》（1949）的报告中，首次给内部控制下了一个比较权威的定义：“内部控制是企业为了保证财产的安全完整，检查会计资料的准确性和可靠性，提高企业的经营效率以及促进企业贯彻既定的经营方针，所设计的总体规划及所采用的与总体规划相配套的一切方法和措施”。这一概念将内部控制由财务会计控制扩展到了企业管理的各个领域。与内部牵制阶段相比，这一阶段的目标不仅是要保护财产安全和会计记录的准确可靠性，还要贯彻管理方针，提高经营效益。
20世纪70年代以后，内部控制的研究重点逐步从一般涵义向具体内容深化。1988年AICPA首次明确提出了“内部控制结构”概念，指出“企业的内部控制结构包括为提供取得企业特定目标的合理保证而建立的各种政策和程序”，并将内部控制结构划分为控制环境、会计制度和控制程序三个方面。其中控制环境是指对建立、加强活削弱特定政策和程序效率产生影响的各种因素，如管理者思想作风、企业组织结构等；会计制度规定各项经济业务的鉴定、分析、归类、登记和编报的方法，明确各项资产和负债的经验管理责任；控制程序是指管理当局所制定的用以保证达到一定目的的方针和程序。
20世纪90年代，内部控制理论发展进入了成熟期，学术界将其定义为内部控制框架阶段。这一阶段最著名的研究成果是1992年美国COSO委员会提出的《内部控制--整体框架》，即COSO报告。该报告将内部控制定义为“内部控制是由企业董事会、经理阶层和其他员工实施的，为运营的效率、财务报告的可靠性、相关法令的遵循性等目标的达成而提供合理保证的过程”，具体内容包括控制环境、风险评估、控制活动、信息和沟通及监督等五个要素。该框架在2003年得到了进一步的发展，COSO委员会在7月份颁布了《企业风险管理—整体框架》，将COSO报告的五要素扩充为八要素，并将内部控制与风险管理相互融合，明确指出了内部控制是企业风险管理不可分割的部分。
除了美国的COSO，内部控制框架阶段另外两个比较有名的内部控制模式分别源自英国和加拿大。英国有关内部控制的研究成果分为三个阶段：从财务角度研究公司治理，将内部控制置于公司治理框架之下的的卡德伯利报告；鼓励董事对内部控制的各个方面进行复核的哈姆佩尔报告和将内部控制和风险管理相接合的特恩布尔报告。加拿大有关内部控制的研究成果主要是CoCo委员会于1995年10月正式发布的关于内部控制的框架性文件—控制指南，该指南指出“控制应该包括风险的识别与减轻”。
从以上内部控制理论的发展，我们可以知道，内部控制的工作重点逐渐由控制转向了风险。无论是美国、英国，还是加拿大的学术界都逐渐把视线转向了风险管理机制和健全的公司治理结构。这标志着风险导向内部控制时代的来临。
二、 我国企业构建风险导向型内部控制体系的现实基础
从风险管理和内部控制的特点、我国企业内部控制政策发展现状及我国企业内部控制的实践案例来看，我国企业已经具备了建立风险导向型内部控制的现实基础，包括理论基础、政策基础和实践基础。
（一）构建风险导向型内部控制体系的理论基础
从管理学的角度来看，风险管理和内部控制有许多相通的地方，这为企业建立以风险为导向的内部控制提供了理论基础。首先，风险管理和内部控制都应该以企业的战略目标作为最高的导向。风险管理旨在帮助企业以最小的成本获取最大的安全保障；内部控制的目标是合理保证企业经营管理合法合规、保障企业资产安全、保证企业财务报告及相关信息真实完整、提高企业经营效率和效果，终极目标是促进企业实现发展战略。其次，风险管理和内部控制都具有防弊的功能。风险管理通过风险识别、估测、评价、控制降低决策错误的几率、避免财务及非财务损失的可能，相对提高企业本身的附加价值。内部控制通过确定职责分工，严格各种手续、制度、工艺流程、审批程序、检查监督手段等有效地控制本单位生产和经营活动顺利进行、防止出现偏差，纠正失误和弊端；通过适当的方法对货币资金的收入、支出、结余以及各项财产物资的采购、验收、保管、领用、销售等活动进行控制、防止贪污、盗窃、滥用、毁坏等不法行为。再次，不管是风险管理还是内部控制，都涉及到风险
的评估和控制。风险管理的基本程序包括风险识别、风险估测、风险评价、风险控制和风险管理效果评价等环节。内部控制的基本要素包括控制环境、风险评估、控制措施、信息与沟通以及监督检查。
（二）构建风险导向型内部控制体系的政策基础
2006年6月6日，国务院国有资产监督管理委员会从出资人角度印发《中央企业全面风险管理指引》，指导企业开展全面风险管理工作，建设全面风险管理体系，进一步提高企业管理水平，增强企业竞争力，促进企业稳步发展。指引中将全面风险管理定义为“企业围绕总体经营目标，通过在企业管理的各个环节和经营过程中执行风险管理的基本流程，培育良好的风险管理文化，建立健全全面风险管理体系，包括风险管理策略、风险理财措施、风险管理的组织职能体系、风险管理信息系统和内部控制系统，从而为实现风险管理的总体目标提供合理保证的过程和方法”，由定义可知，全面风险管理体系包含了内部控制系统。
为了加强和规范企业内部控制，提高企业经营管理水平和风险防范能力，促进企业可持续发展，维护社会主义市场经济秩序和社会公众利益，2008年6月28日，财政部等五部委从保障财务数据和资产安全的角度联合制定并发布了《企业内部控制基本规范》，自2009年7月1日起施行。该内部控制规范借鉴了美国COSO报告为代表的国际内部控制框架，认为内部控制应该包括5个要素：内部环境、风险评估、控制活动、信息与沟通、内部监督，其中环境是根基，风险是导向，控制活动、信息与沟通、内部监督在环境基础之上，风险导向之下，贯穿于整个内部控制系统的持续不断地活动。该规范将风险这一要素分析的恰到好处，既不过分强调，也不过分轻视。轻视风险或过分强调风险都会带来负效应—轻视风险可能导致一些风险不被识别而遭受损失；过分强调风险则可能导致对一些程序性和原则性很强的控制进行不必要的风险分析，不符合成本效益原则。
2010年4月26日，财政部等五部委又联合发布了《企业内部控制配套指引》，包括18项《企业内部控制应用指引》、《企业内部控制评价指引》和《企业内部控制审计指引》，并规定自2011年1月1日起在境内外同时上市的公司执行，2012年1月1日起在上交所、深交所主板上市公司执行。这标志着我国企业内部控制规范体系已基本建成。以上政策的出台都为我国企业构建风险导向型内部控制体系提供了相应的政策基础。
（三）构建风险导向型内部控制体系的实践基础
从我国的现状来看，风险意识和风险管理理念在理论界和实务界都已经广泛存在，而且出现了风险管理与内部控制相互融合的趋势。随着国内外内控失败案例的屡屡发生，各方都意识到健全内部控制机制、加强企业风险管理水平的重要性和紧迫性。在《中央企业全面风险管理指引》及《企业内部控制基本规范》等的政策指导下，一些企业已经逐步建立起了风险导向的内部控制机制，为我国企业界风险导向内部控制机制的建立增强了信心，树立了榜样。
三、 我国企业构建风险导向型内部控制体系的重要意义
（一）使企业适应复杂多变的外部环境
企业外部环境存在于组织外部，包括宏观的政治法律环境、社会文化与自然环境、技术环境、经济环境以及微观的产业环境和市场环境。外部环境复杂且多变，人们无法预测到未来的全部事项，或即使预测到一些事项也不一定清楚地知晓它的具体情况，因此通常短期内难以控制事项的发展。例如：世界经济环境的动荡、全球科学技术的进步、虚拟经济的产生等一系列的变化都是难以为企业高层管理人员所控制的。外部环境的复杂多变导致企业在经营管理的过程中面对的不确定性也变得更加多变和复杂，使企业自身面临不进则退的境地。要想在激烈的市场竞争中保持竞争优势，企业需不断加强其适应环境变化的能力，如不断加大新技术研发及应用的力度，强化企业团队凝聚力，通过前向或后向延伸、并购延伸其产业链等。建立风险预警的长效机制，强化风险管理和内部控制是推进企业适应外部环境，减少甚至消除外部环境对企业生存发展产生的不利影响的有效措施。
（二）使企业提高自身内部管理能力
企业经营战略的关键在于培养和发展能使企业在未来市场居于有利地位的核心竞争力。明确的战略目标是企业长期稳定保持竞争优势的方向标，而战略的有效实施最终要靠企业各个业务流程的有效执行来实现。但是由于企业高层管理人员认知能力有限，不能完全预见包括企业组织结构、企业文化、企业人财物资源在企业经营过程中可能出现的各种情况，从而无法达成内容完备、设计周详的战略规划，这就使得企业内部控制本身存在“先天不足”的缺陷，如企业管理者出于成本效益的考虑，认为内部控制不划算或不必要。这些“先天不足”迫切需要采取适当的手段来予以解决。建立一个以风险为导向的动态的内部控制机制，将风险意识和风险管理理念深深嵌入内部控制的控制环境中，将风险识别、风险评估和风险应对的方法运用到内部控制活动中，实现内部控制中对未来不确定事项的积极预测和应对，形成企业“自我免疫机制”，是弥补内部控制“先天不足”的有效措施。
总结
总而言之，我国企业构建风险导向型内部控制体系不仅顺应了内部控制的发展趋势，具备一定的现实基础，也具有重要的现实意义。我国企业应在内部控制目标和内部控制原则的指导之下，从完善内控环境、建立健全风险评估管理体系、完善内控措施、加强信息沟通与交流、对内控进行监督评价以持续改进几个方面循序渐进构建风险导向型内部控制体系，实现企业的可持续发展。
参考文献：
[ 1 ] 文小亮. 风险导向内部控制机制研究[J]. 中国注册会计师, 2011,(5).
[ 2 ] 袁泉. 试论风险导向型内部控制[J]. 商业会计, 2010,(21).
[ 3 ] 高霞,赵妍. 国外内部控制研究现状分析[J]. 现代商贸工业, 2009,(24).
[ 4 ] 孙娜,李晓. 国外内部控制文献综述与启示[J]. 财会研究, 2009,(5).
[ 5 ] 侯薇. 浅谈企业会计内部控制[J]. 中国内部审计, 2010,(8).
[ 6 ] 王二翠. 简论企业内部控制[J]. 洛阳师范学院学报, 2009,(6).
