风险管理和内部控制的相爱相杀，内部控制的几个观念误区

近些年来，内部控制成为财会界的一个热点问题，许多专家对怎样建立我国企业内部控制进行了较为广泛和深入的研究。而且，无论是在财会界还是在企业，人们对内部控制都还存在一些错误的或不全面的认识。这不促使推行适宜我国国情的内部控制机制，也会妨碍内部控制目标的实现。内部控制的几个理念弊端如下：

弊端之一：过于指出内部控制避免财会信息失真的目标，忽略内部控制的经营性目标。如财政部公布的《内部财会控制规范——基本规范(试行)》第2条规定：“本规范所称内部财会控制是指单位为了增加财会信息品质，保护资产的安全、完整，确保有关法律法规和规章机制的贯彻执行等而制订和推行的一系列控制方式、措施和程序。”

第6条规定，“内部财会控制必须达到以下基本目标：

①规范单位财会行为，保证财会资料真实、完整。

②堵塞漏洞、消除隐患，避免并及时发觉、纠正错误及假账行为，保护单位资产的安全、完整。

③确保国家有关法律法规和单位内部规章机制的贯彻执行。”

事实上，内部控制是企业进行内部管理的还要，是管理控制系统的一部份，其根本作用在于考量和纠正企业工作人员的活动，以保证局势的发展符合计划的要求。它要求根据目标和计划，对企业工作人员的业绩进行评价，找出悲观误差之所在，采取举措加以改进，以提升企业的经营效率和效益，避免损失，保征企业预定目标的实现。

内部控制的目标包括经营性目标、财务报告目标、遵循性目标等方面。有效的内部控制，应能合理地保证监事会及管理阶级了解该公司实现其经营目标的程度，对外公开的财务报告靠谱并符合相关的法律法规。内部控制的目标有兴利与防弊两个方面，兴利是最主要的。避免财会信息失真虽然是内部控制的一项重要目标，但内部控制最本质的作用乃是提升经济效益，实现企业的目标。避免财会信息失真既不是内部控制的唯一目标，也不是最重要的目标。可见，将内部控制的目标只是定位在提高财会信息失真，除了不促使发挥其缓解经营管理的作用，并且会使企业领导及职工形成拒绝情绪。而我议会计界极少淡及内部控制提升经营效率方面的作用，这与现在我议会计信息失真严重的财会环境有关。

弊端之二：觉得内部控制就是内部财会控制。内部控制可界定为内部财会控制和内部管理控制。后者的目的是保护企业资产，检测财会数据的精确性和牢靠性；前者的目的是提升经营效率，使得有关人员违反既定的管理方针。作那样的界定是为了根据公认审计标准来规范内部控制检测和评价的范围。这些界定思想在审计界形成了广泛的影响，促使了体制基础审计的形成。我国近来起草内部控制规范时，就将内部控制分成了内部财会控制和内部管理控制。虽然，内部财会控制和内部管理控制是相互联系、不可分割的，要严苛分清各项控制是内部财会控制还是内部管理控制，既很困难又无多大实际意义。

将内部控制等同于内部财会控制是不全面的。内部控制不只是牵涉财会，它贯串于整个企业的生产经营管理全过程，企业必须针对采购、生产经营、销售、财务管理、研究开发、人力资源等各方面全面地制订内部控制。

弊端之三：觉得内部控制就是内部抗衡。内部抗衡是内部控制的最初发展方式，如R·H·蒙哥马利在《审计——理论与实践》一书手指出，何谓内部控制是指一个人不能完全支配帐户，另一个人也不能独立地加以控制的机制，即某位员工的业务与另一位员工的业务应当是互相填补、相互制衡的关系。内部抗衡只是现代内部控制的重要步骤和原则，是组织机构控制、职务分离控制的基础。虽然，现代内部控制不只是是内部抗衡，还包括决算控制、资产保护控制、人员素养控制、风险控制、内部报告控制、电子信息系统控制、内部审计控制等，而这种都不是内部抗衡所能涵盖的。

弊端之四：将内部控制与公司整治结构混同。严苛地说，内部控制与公司整治结构是两个不同的概念。何谓公司整治结构或称内部监控模式，是由股东会、董事会、监事会和主管等组成的拿来约束经营者行为的控制机制。而内部控制机制则是管理当局(监事会及主管阶级)构建的内部管理机制，解决的是管理当局与其下属之间的管理控制关系。

内部控制又与公司整治结构密切联系。公司整治结构是使得内部控制有效运行、保证内部控制功能发挥的前提，是推行内部控制的机制环境；而内部控制在公司整治结构中担当的是内部管理监控系统的角色。同时，内部控制与公司整治结构都遵从互相制衡、相互牵制的原则，公司整治结构申一些内容如监事会与主管之间的授权控制等也属于内部控制。

弊端之五：内部控制只针对通常职员。内部控制是整个企业都应当遵循的，包括制订内部控制的最高管理当局，也应当遵循其相关内容。内部控制是否有效，与企业领导是否注重、是否带头执行有巨大的关系。一些企业之所以内部管理纷乱，就是由于一些领导破坏如职责分离、授权批准等内部控制机制。

风险管理和内部控制之间的冲突点

无论在理论界还是企业界，关于企业风险管理和内部控制之间的关系早已争辩了很多年，多种说法都出现过，有的说企业风险管理包含内部控制；有的说企业内部控制包含风险管理；也有的说企业风险管理和内部控制没有关系。虽然为了便于起见，大部份企业还是将风险管理与内部控制并行管理。我们现在就尝试带你们理一理思路，希望可以给你们带给逐步的探讨。

先来看它们俩在国际战场的宿怨情仇

1992年COSO公布的《企业内部控制-整合框架》，作为在全球企业内部控制领域的老大哥，由于被法国证监会选用，作为中国资本市场公众企业的合规框架而名气大噪，同时，也被全球各个国家参考和借鉴产生了本国的企业内部控制管理框架。

虽然COSO通过剖析21世纪初中国公众企业一系列的企业经营失败的案例发觉后便发觉了一些问题，单纯构建和维护一个建立、有效的内部控制机制，还不足以严防此类失败案例的再度发生，由于有些失败的诱因超过了内部控制的范畴。因此，COSO的大腕们考虑还要从更高的层面确立一个机制来指导企业怎样才能更好的保护企业价值、实现企业目标。

时隔12年以后，2004年COSO公布了《企业风险管理-整合框架》。从昵称上可以看出，从企业内部控制到风险管理，COSO的初衷阐明前者要比后者定位更高一些、范围更川一些，COSO在即将文件中也表明：企业风险管理包含了内部控制，从二者的框架包含的内容也能得出那样的推论。

咱来看一下正规的框架图，瞧瞧从这些方面风险框架K.O了稽核框架。

通过观察两个机制的框架图，可以看出两个明明都是正方体，虽然是师出一门、同宗同源的，因此这也为日后全球范围的包含与被包含之争埋下了隐患。企业风险管理框架也是在要素和目标层面多出了几个内容会计内部控制的原则，内部控制框架隐约的表示出委屈和不服，并且……

但是《企业风险管理-整合框架》在国际上的一架看起来是打赢了，并且2004年的“立方体”框架就像一个监牢，也击溃了企业风险管理放纵狂放爱自由的翅膀。

一晃这个架又打到了美国

国际上战事未结，美国的战争却已吹响，而美国战场的发展应当是全球中最诡异、最精采的那一个。美国企业风险管理实践的全面展开是以2006年国务院国资委公布的《中央企业全面风险管理指引》为标识，而企业内部控制实践的全面展开是以财政部2008年公布的《企业内部控制基本规范》为标识。

从时间线上来看，国际上两个文件的公布后边是经历了12年探求和探讨的时间，而美国只用了2年；从次序上讲，国际上是先公布企业内部控制框架，又发展到的企业风险管理，而美国次序恰好相反。2008年公布的企业内部控制基本规范参考了COSO1992年的内部控制框架，而2006年公布的企业风险管理框架却是美国自创的一套，这也为这个战场平添了一些新的不确定性。因此这一架，主队？谁也说不好。

终结在企业风险管理最新发展中吧！

2017年9月，根据预定时间，COSO组织延迟了一年公布了新版企业风险管理框架，此次的框架的变动这么之大会计内部控制的原则，并没有对原有的框架进行修复，而是直接舍弃了2004年的多面体风险管理框架，挣破了四面体“牢笼”的企业风险管理，又重获自由。新框架指出风险管理不是一项独立的活动，应当和企业管理活动紧密融合。

而文件中也提到了风险管理和内部控制的关系，为了防止前期内战的持续，理清双方的关系，此次的风险管理框架中，没有提到任何关于内部控制的话题，而将其都留给了内部控制机制，借此算是给两个机制做一个切割，希望双方不再有纷争、前线再无战事。

到此，吃瓜群众们可以往退后一退，这架目前看着是打不上去，然后我们会具体的介绍风险控制和内部控制的优劣点。

欲知详情，且听下回分解。