史晓颖 河南师范大学

一、内部控制与风险管理概论

1985年，为了对美国舞弊报告委员会提供支持，成立了COSO委员会，该组织包括美国会计协会和美国注册会计师协会。现在，COSO委员会负责制定有关小型和大型企业实施内部控制系统的指南。《内部控制——整合框架》是COSO委员会于1992年9月提出的，而后在1994年，又对其进行了增补，简称《内部控制框架》，即COSO内部控制框架。这份文件堪称内部控制发展史上的里程碑。COSO委员会对内部控制给出了定义：“公司的董事会、管理层及其他人士为实现以下目标提供合理保证而实施的程序：运营的效益和效率，财务报告的可靠性和遵守适用的法律法规。”

COSO内部控制框架是美国证券交易委员会唯一推荐使用的内部控制框架，同时，《萨班斯法案》第404条款的「最终细则」也明确表明COSO内部控制框架可以作为评估企业内部控制的标准。

在内部控制框架中，内部环境是其他内部控制元素的根基，它的构成元素包括组织结构、权责分配、战略的发展、企业文化、人力资源政策及社会责任等要素。它是控制环境在内容上的扩展，便引入了风险管理的概念。

首先，公司经营就必然存在风险。企业风险是指由于企业内外环境的不确定性、生产经营活动的复杂性和企业能力的有限性而导致企业的实际收益达不到预期收益，甚至导致企业生产经营活动失败的可能性。其次，采取相适应的管理办法就可避免风险。企业风险管理是对企业内可能产生的各种风险进行识别、衡量、分析、评价，并适时采取及时有效的方法进行防范和控制，用最经济合理的方法来综合处理风险，以实现最大安全保障的一种科学管理方法。

二、内部控制与风险管理的关系

而内部控制与风险管理是紧密联系、密不可分的。COSO委员会指出,内部控制是风险管理的一部分。换句话说，内部控制是风险管理的必要环节。内部控制的动力主要来自企业对风险的认识和管理。它包括五个方面的组成要素:控制环、风险评估、控制活动、信息与沟通、监督。企业风险管理旨在识别可能影响企业的各种潜在事件,并按照企业的风险偏好管理风险,为企业目标的实现提供合理的保证。它有八个组成要素:内部环境、目标设定、事件识别、风险评估、风险对策、控制活动、信息与沟通、监督。由两者的定义可以看出，内部控制是为了实现经济组织的管理目标而提供的一种合理保障，良好的内部控制可以合理保证合规经营、财务报表的真实可靠和经营结果的效率与效益。而合规经营、真实的财务报告和有效益的经营也正是企业风险管理应该达到的基本状态。

三、案例分析

三九集团在中国几乎是无人不知、无人不晓的，它所生产的三九感冒灵、三九胃泰、皮炎平、正天丸、壮骨关节丸等迄今为止仍是市场上长盛不衰的中成药，也是很多人家里的常备药。在赵新先的一手缔造下，三九旗下拥有三个上市公司，最庞大时拥有600余家子公司，其产值甚至做到了上百亿元，可谓构筑快乐一个强大的三九帝国。然而，这个帝国神话终究没有能够长期地延续下去，虽然它的版图越来越大，但绩效却每况愈下，逐渐走向了衰败。究其原因，是因其内部控制和风险管理的不当。在三九集团达到一定规模时，由于其“君王”的盲目扩张和独断统治，在内部控制上存在一定缺陷，并且一意孤行，使得债台高垒，被迫重组。具体而言，在三次扩张中，其战略选择存在明显错误，由于整个集团从决策到执行再到监督等内部管理控制中都存在严重问题。

杭州娃哈哈集团创建于1987年，目前为中国最大，全球第五大饮料生产企业，在中国是一个家喻户晓的品牌。而达能意图强行以40亿元人民币的低价，并购娃哈哈总资产达56亿元的其他非合资公司51%的股权。而达能强行并购的理由是，这些非合资公司非法使用了娃哈哈的商标权，违反了1999年双方签署的一份商标使用合同，于是便有了今天达能集团的强势并购。究其原因，主要是在内部控制和企业风险管理方面存在问题。中外合资是企业与外国企业共同投资、共同经营的一种战略合作形式，然而由于合资双方短期合作的不稳定性长期战略目标与利益的不一致性，导致了有些中国企业不但不能达到预想的目的，还阻碍了自身的发展，甚至进了外资的“套”，被夺去了控制权和品牌权。从娃哈哈与达能的案例中，我们可以看出娃哈哈确实存在几点失误：（1）其法律风险意识薄弱——相关协议是合资战略实施过程中的法律基础和行为依据，其效力不容置疑；（2）流动风险意识薄弱，欠缺对风险的全面分析；（3）品牌意识没有上升到一定高度。

内部控制与风险管理存在密不可分的关系，好的公司除了要抓住利益，也应对风险进行评级并做好应对策略，确立自己本企业完整而有效的内部控制机制和一系列的风险管理机制，应在适当时刻通过风险规避、风险降低、风险转移、风险保留等策略以确保公司安全稳健运行。

[1]高鸿业.西方经济学（宏观部分）第五版.中国人民大学出版社，2011

[2]周兆生.COSO 企业风险管理框架(中文版)[R].华融资产管理公司,2004