摘要：內部控制理論的發展經歷三個階段，分別是內部牽制時期、審計導向時期和風險管理時期。風險管理與內部控制體系整合的過程中，由于沒有權威統一的指導性文件，導致學者們在此問題上存在諸多爭論。通過對COSO委員會發布的《企業風險管理---整體框架》報告進行再解析，結合企業內部控制現狀，在風險管理的概念框架下重新整合企業的內部控制體系。重點整合企業治理機制、組織目標層級和信息共享控制系統，有效解決內部控制體系存在的問題。

關鍵詞：內部控制；風險管理；整合框架

企業作為一個經濟契約組織，各種契約的訂立與達成是實現預計戰略目標的過程。契約的安排隱含大量的不確定性，這種不確定性常被表述為風險與機會，內部控制的核心就是將各類不確定因素產生的結果控制在預期可接受范圍內，以確保企業戰略目標的達成和組織整體利益的實現。

1內部控制理論的歷史演進及評述

內部控制理論的歷史演進是另一個角度的現代企業管理制度的發展，其理論一直隨著時代的漸進而不斷完善，同時反映了實務的要求和各時代企業管理的特征。近代內部控制理論起源于美國，現代企業內部控制是從工業革命和工廠制度產生后才出現的，經歷了三個發展時期。

1.1內部控制的內部牽制時期

19世紀中期至20世紀30年代是內部控制的萌芽時期，當時內部控制這一術語并未明確提出，內部牽制是企業管理的核心內容，此時的內部牽制思想是較為原始的內部控制理論。此階段的內部牽制是指“以提供有效的組織和經營，并防止錯誤和其他非法業務發生的業務流程設計”,其本質是內部控制中控制活動要素的體現。早期的內部控制雛形是在第二次工業革命的時代背景下，產業分工和現代公司制度的企業對管理的需要推動了內部牽制理論的發展，這一時期的企業管理注重控制職能的作用。

1.2內部控制的審計導向時期

20世紀40年代至80年代是內部控制的審計導向時期，這一時期美國注冊會計師協會發布了4個關于“內部控制”的報告文件，為內部控制理論的發展打下了基礎，如表1所示。

這一時期主要是審計行業在推動企業內部控制理論的發展，注冊會計師們發現企業建立完善的內部控制體系能夠較為有效地防止財務舞弊，并提高審計的效率和有效性。這樣的審計導向促使企業把本應是內部管理需求的內部控制變成了外部監管者加諸在企業上的一項監管技術。

1.3內部控制的風險管理時期

20世紀90年代至今是內部控制的風險管理時期，這一時期的內部控制開始關注企業內部的管理者、所有者及其他利益相關者。該時期的內部控制理論發展以COSO委員會發布的四個報告為標志，如表2所示。

從COSO委員會發布的報告中，分析得出內部控制已回歸到企業管理者內部管理需要本位，內部控制已經被企業管理者選為管理風險的一個核心手段。

2風險管理與內部控制的關系

風險管 理 一 詞 最 早 出 現 在 拉 賽 爾 · 加 拉 爾（Russell B.Gallagher）發表的名為《風險管理---成本控制的新名詞》文章中。該篇文章為成本控制提供了新的思想，并提出組織中應有專門負責管理純粹風險的人。企業經營管理的過程，就是機會獲取與風險防范的過程。管理者通過內部控制的職能手段，把貫穿于企業戰略執行之中的風險保持在可容忍風險容量內，如圖1所示。

風險管理是企業宏觀層面的管理策略，更側重于戰略層面的決策，而具體落實到企業內部的經營管理問題，風險管理必須依靠內部控制的實施而達到預期效果，完成風險管理目標。內部控制的本質是解決組織內部的委托代理問題，使組織行為在內控作用維度范圍內完成既定戰略計劃，不偏離風險管理目標，做好戰略評價反饋。

3企業內部控制存在的問題及成因分析

3.1企業內部控制存在的問題

1）以財務審計制度代替內部控制制度。有很多企業的管理者在建立內部控制時，認為只是重新建立財務部門和審計部門的財務審計制度，這種認識誤區反映了內控主體在內部控制思維上的局限性。以財務審計制度來代替內部控制制度導致內部管理控制功能的缺失，只有內部會計控制支撐的內部控制制度使企業付出了大量成本進行內部控制建設，但依然面臨眾多的風險暴露點。

2）內部控制節點設置不恰當。目前大多數企業在設置內部控制節點時，沒有全面評估運營管理流程中包含的風險點，內部控制節點與風險點存在錯位現象，使得內部控制的執行留下大量風險敞口。另外，企業在布置內部控制節點時只考慮分離式牽制手段，但分離式牽制也暗含風險，最直接的表現是信息共享程度不夠，容易形成信息壁壘，導致企業內部出現舞弊問題。

3）內部控制效果不能持續改善。企業在推行一套內部控制制度后，對其運行效果的改善缺少制度推動力，雖然內部控制構成要素中包括監督要素，但是怎樣把“監督”與“風險再評估”進行有效銜接，是擺在內部控制主體面前的重要難題。內部控制效果不能持續改善，使得內部控制制度變成僵化的機械制度，也就沒有了內部控制中的過程控制、動態控制與循環控制。

3.2企業內部控制問題的成因分析

1）風險管理目標導向的內部控制意識薄弱。以財務審計制度代替內部控制制度，體現了企業管理者對內部控制在企業管理制度中位置認識的不清晰。內部控制是風險管理具體實施計劃的一部分，以風險管理目標為導向建立的內部控制制度，會避免企業內部各部門風險控制責任的推諉，能夠把企業內部各部門的控制行為聯系起來，達到風險管理中責、權與利的結合。

2）組織流程的風險點分析不夠。有些企業在進行內部控制體系建設時，沒有充分解構組織內部經營管理流程，風險暴露點的發掘程度不夠，內部控制點設置脫離了業務流程。甚至在一個企業內部多個管理制度并行，而管理制度之間沒有系統的協同配合，導致內部控制節點重復或者與風險點嚴重錯位，直接影響著企業的管理成果。

3）風險管理評價機制的缺位。促進內部控制效果不斷改善的有效手段是建立完善的風險管理評價機制。把內部控制效果評價置于風險管理評價機制中，能有效地把“控制”與“風險”結合起來，減少風險敞口。脫離了風險評價的內部控制評價機制是不完善的，也是缺乏持續改善推動力的評價機制，會使內部控制評價流于形式。

4基于風險管理的企業內部控制框架整合

4.1企業治理機制的整合

治理機制的重整是基于風險管理的內部控制體系的核心。一個企業不能有多種管理機制并行，所有的經營管理行為都應在一個統領性的機制中運行，這個機制就是企業的風險管理制度。把內部控制、風險控制、財務管理等整合到風險管理制度中，把內部控制作為風險管理職能作用的行為體現，為企業的風險管理提供合理的保證。這樣在一個管理制度下，企業的員工才能明確其行為在整個管理機制中的位置與作用，進而促進控制環節設置的準確性，并不斷改善控制行為。

4.2組織目標層級的整合

組織目標層級的設定是企業整合內部控制體系的著力點。在企業內部控制與風險管理整合的過程中，重點解決風險控制的主體、目標和邊界問題，其中又以目標整合為核心。

COSO發布的《企業風險管理---整體框架》在原有風險控制的3個目標基礎上增加戰略目標，在這之前的內部控制是以保證經營效率和效果、財務報告的可靠性和資產的安全性等為目標?；陲L險管理的企業內部控制目標將合規性風險控制目標引入其中，在戰略目標的統領下，將資產實物風險控制目標融入到經營風險控制和報告風險控制目標內。

4.3信息共享與控制的整合

信息共享與控制的整合是保證內部控制效果持續改善的基礎條件。從信息論的角度來看，企業基于風險管理的內部控制體系的建立，就是對信息資源的潛在機會獲取與風險防范。企業建立可控的共享信息系統，在內部有利于明確各層級目標、促進內部信息溝通、形成良好的內部控制環境，持續評價與改善內部控制行為；在外部可以做好信息風險控制，及時發現并控制外部潛在風險，同時獲取潛在優勢信息。

參考文獻

[1]丁友剛，胡興國。內部控制、風險控制與風險管理---基于組織目標的概念解說與思想演進[J].會計研究，2007,12:51-54.

[2]李心合。內部控制研究的困惑與思考[J].會計研究，2013（6）：54-61.

[3]楊有紅。論內部控制環境的主導與環境優化[J].會計研究，2013（5）：67-72.

[4]鄭小榮，何瑞鏵。企業目標導向下的內部控制與風險管理整合[J].財會月刊，2011（3）：3-6.

[5]COSO.Internal Control-Integrated Framework[R].[s.n.],1992.

[6]COSO.Enterprise Risk Management-Integrated Frame-work[R].[s.n.],2004