从财务管理咨询谈企业内部风险控制

内部风险控制管理是企业为实现经营目标，保证资产安全，有效防范各种舞弊活动，将风险降低至合理范围，而制定的各项政策与程序。 Adrian Cadbury 爵士曾经说过：公司的败绩都是由内部控制失败引起的，这一点可以从巴林银行、安然公司倒闭，中航油巨亏等众多案例得到验证。

围绕财务管理核心，建立、健全企业风险管理控制体系也越来越受到国内企业的重视，对这方面的管理咨询需求也日趋增加。作为第三方，应充分发挥咨询优势，帮助企业充分认识和分析风险控制的薄弱环节，并共同探讨和提出相应的解决、实施方案。现 结合本人曾作过的大型国企、民企及上市公司咨询案例，谈一点体会和看法。

目前企业内控方面存在的主要问题：

一、目前对企业内部控制体系的认识上存在三种倾向

（一）集团企业在战略发生重大调整的时候，容易片面强调管控模式、组织结构变革的重要性 , 忽视了控制体系和方式的跟进和强化；

（二）习惯于满足传统的、或曾经是行之有效的经营管理方式，而面对新经济形式挑战，准备不足，难以接受大的、根本性改变；

（三）内控管理是企业财务部门的事，而事实是，在没有其他职能部门密切配合的情况下，财务部门无法建立，并组织实施企业完整的内部控制体系。

二、公司法人治理结构不完善，董事会职能没有充分发挥，有其名无其实。 董事长兼总经理，董事会成员兼任经营班子成员或部门负责人现象严重，造成董事会与经营班子之间权责不清，相互无制衡。有的董事长大权独揽“一竿子插到底”，集控制、执行和监督权于一身，几乎无所不管，其结果导致：

（ 1 ）企业经营决策、重要人事安排随意性大，制度朝令夕改 ；

（ 2 ）授权管理不清晰，裁判员与运动员混淆，企业中、高层管理人员无所适从；

（ 3 ）企业办事程序 经常 由一个人操纵，部门之间的正常协调、配合被打乱，必然带来部门间职责不明确；

三、内控制度方面存在问题

第一，文字描叙的较多，清晰的流程图和配套表单较少，缺乏完善的流程保障。一套完整的制度应包括文字性制度文件；工作流程图和流程说明；相关凭证、表单等三部分内容。工作流程图作为制度体系的重要组成部分，可以直观、清晰地了解业务程序、涉及部门和人员、以及相关责任和配套制度。在流程图的绘制过程中，能及时发现内部控制中的风险点和不足，从而达到改进和控制的目的。

第二，“救火式”的较多，缺乏系统性和完整性。企业运营过程中某个环节出现了问题，就相应地出台一个制度来规范：如今天发现应收账款多了，就制订一个“财务叫停制度”；明天发现库房管理有问题，就出一个“发货监管规定”等等；无论在内容和形式上，都缺乏统一性、系统性和完整性，对可能发生的风险考虑不足。

第三，政出多门，相互矛盾。比如非生产性固定资产管理，没有严格施行统一归口的原则，总裁办公室、信息管理部、运营管理部、投资项目部都有管理权，而申报、审批流程、使用控制及日常管理又都不一样，存在重叠或矛盾现象，导致管理上失控。

第四，制度执行不利，是目前企业存在较普遍的现象。其原因大致有三：一是制度本身脱离实际情况，随着企业形式的变化，制度没有适时跟进、修改和完善，从而使制度失去可操作性；二是缺乏保证制度执行的机制，内控制度执行情况没有严格地监督、检查，以及奖罚措施，使制度丧失了严肃性；三是企业核心领导人，特别是民营企业领导人，带头违反和破坏制度，或这种现象又得不到有效制约，使制度最终流于形式。

第五，风险控制与效率关系处理不当。企业实施严格的内部控制无疑是需要成本的，并且在一定程度上会影响到运行效率。一个是企业存亡问题，另一个是企业发展速度问题，两者都得兼顾。在管理咨询中也常常会遇到这样的情形，对企业原有流程、利益格局打破和调整的同时，也会带来部分效率的牺牲，如果处理不好，管理者在执行过程中就经常处于一种矛盾心态，使得真正好的管理理念无法以制度形式固化下来。

四、没有统一的信息管理系统，信息失真。在信息资源管理上，一方面没有统一归口，比如销售收入的指标从营销、财务、统计等口径报出的都不一样；另一方面过分依赖业务员，使企业的资源掌握在个人手中，极易造成企业对业务失去控制。例如我们接触的一家企业便是如此，一些业务员可以以手中掌握的客户资源作为筹码，要挟企业满足个人不正当要求，有的甚至还与客户串通一气，谋取私利等等。

五、审计监督机制和职能不健全。目前很多企业都设立了审计部门，但是很多又隶属于财务部负责人 , 在内部控制的形式上就缺乏应有的独立性；另外 , 在内审的职能上 , 很多企业还在重复审核会计账目等外部会计事务所的工作 , 没有真正发挥评价、监督内部风险控制体系的职能和作用。

内控制度解决的思路和方案

一、集团财务战略。 是集团在一定时间内，根据宏观经济发展状况，对财务活动的发展目标、方向和道路，从总体上做出客观而科学的概括和描述，它是企业战略管理的一个不可或缺的组成部份。主要有扩张型、稳键型、防御型三种类型。

二、集团财务管控模式。 针对多元化、跨地区经营等现代集团化企业特点， 财务管理体制模式按职能强度分为财务管控、战略管控和经营管控；按管理权限的集中度分为集权型、分权型和相融型三种。 建立适合企业自身特点的财务管理体制，处理好集权与分权的关系，做到既能有效地集中财力，保证集团发展战略需要；又能充分调动二级机构的积极性，提高运营效率，以达到资本增值和股东回报最大化的目的。

三、组织规划控制。 内部控制机制是指公司的内部组织结构及其相互之间的运营关系，是保障内部控制有效性的组织保证。这些部门和岗位的设置必须权责分明、相互牵制，并通过切实可行的相互制衡措施来消除内部控制中的盲点，以达到防范风险控制的目的。一般包括两个层面：

第一是法人的治理结构问题，以组织机构的完善和功能分工界定董事会、监事会、总裁（总经理）的设置及责、权、利关系，同时通过设立战略与发展委员会、预算委员会、审计委员会、薪酬与提名委员会等，提高和完善内部控制机制。

第二是职能部门设置要根据具体经营特点和规模来定。比如一家企业每月的集中采购就高达几亿元，且采购价格波动频繁、幅度也较大。这项业务，企业原来由董事长直接管理的，我们建议设立价格管理部或价格管理委员会，系统、科学地监督与控制。

四、人力资本控制。 美国 COSO 报告内控框架的五个构成要素，都是由董事会、经营层和其他员工进行实施的。其中，控制环境包括最高管理层的完整性、道德观念、能力、管理哲学、经营风格和董事会的关注、指导等等，决定了内部控制结构与规则，是整个内部控制的基础，注重对人力资本的控制是关键，包括：

（一）严格人力资本管理，建立严格的招聘程序和绩效考核。对涉及企业核心机密的人才，做应有的背景调查；对如财务、销售、采购等重要岗位员工，签订信用承诺书，加强职业信用保险机制。

（二）定期轮岗工作制，通过定期或不定期的工作岗位轮换，及时发现和解决存在的问题。

（三）财务负责人委派制，一方面对集团下属企业进行实施监控，另一方面代表委派方参与企业日常经营管理活动，发挥财务管理职能。

（四）不相容职务相分离。包括授权批准与执行业务；业务经办与审核监督；业务经办与会计记录；财产保管与会计记录；业务经办与财产保管职务相分离。

（五）杜绝高层管理人员兼职现象。

五、授权批准控制。 授权批准按其形式可分为一般授权和特殊授权，完整的授权批准体系应包括：

（一）授权范围，那些经营活动应纳入其范围；

（二）授权层次，根据重要性原则确定不同的授权批准层次；

（三）授权责任，被授权人在行使职权时应明确的权力、义务和责任；

（四）授权流程，授权行使时的操作程序。

六、会计系统控制

（一）建立规范的会计人员岗位责任制和会计监督制度；

（二）统一会计政策、会计核算程序与方法，保证汇总分析和考核的同一口径，真实反映企业财务状况和经营成果；

七、全面预算控制。

全面预算通过计划、组织、控制和协调人、才、物等各项资源，编制经营、资本、财务等年度收支总体计划，落实经营战略和绩效考核体系，建立激励与约束相结合的经营保障体系，是企业内部控制的重要方法。主要应抓好以下环节：包括预算项目、标准和程序的预算体系；预算编制和核定；预算指标下达及相关责任的落实；预算执行的授权；预算差异的分析与调整；预算执行过程的监控和考核。

八、财产保全控制

（一）限制直接接触，只有经过授权批准人员才能够直接接触如现金和其他易变现资产。

（二）建立定期盘点制度，对出现的盘盈、盘亏应分析和查明原因，落实责任人。

（三）记录保护，如资产、财务、会计等由计算机处理的重要资料，应妥善保管，避免记录受损、被盗和毁损。

（四）财产保险，对容易受损 ( 如火灾、盗窃和责任等 ) 的资产进行投保。

（五）做好财产记录和档案管理，保证账、实一致。

九、风险评估控制。 对重要的风险控制点，建立有效的风险评估系统，进行预防性控制。包括：

（一）筹资风险评估，如筹资结构、规模、期限、偿还计划、筹资成本估算等。

（二）投资风险评估，如投资的可行性和不可行性研究，以及投资过程中可能出现的风险控制预案。

（三）信用风险评估，如确定信用标准和审批程序，以及实施活动的跟踪管理。

（四）合同风险评估，建立合同评审制度和合同违约的应对措施管理。

十、内部报告控制。

建立内部管理报告体系，全面反映经济活动，及时提供业务活动中的重要信息。一般有资金分析报告、经营财务活动分析、资产使用状况分析；投资效益分析等。

十一、管理信息系统控制。 信息化实现了财务与业务数据的共享，达到了财务与产、供、销三个系统的集成，作为核心的财务管理信息系统控制，一方面应对电子信息系统本身的控制，如系统组织和管理控制、系统开发和维护以及日常应用的控制。另一方面，要运用电子信息技术手段建立控制系统，减少和消除内部人为控制的影响，确保内部控制的有效实施。

十二、内部审计控制。 内部审计是内部控制的一种重要形式，实质上是对内部控制的再控制。内部审计按其目的可分为财务、经营和管理审计；按照其内容可分为人力资本、经济责任、专项经济事项、预算执行审计等。

内部控制方案解决的程序和步骤

第一步：项目前期工作

（ 1 ）资料收集：企业战略目标与计划，行业发展及其状况分析，，财务及审计报告，财务分析等，财务及内控管理制度和有关文件等；

（ 2 ）内部访谈：访谈目的在于了解企业财务管理体制及状况，内部控制应解决的难点，目前存在的问题及困惑等；访谈对象主要是企业总经理与财务负责人，以及与财务关系密切的分管领导，部门负责人，同时了解他们对上述问题的看法和对财务咨询的态度，以便在咨询过程中争取客户的理解、支持与合作；

（ 3 ）问卷调查：以财政部颁布的企业内部控制规范为基础，设计调查表，针对访谈过程中提出的问题，有针对性的对企业财务、统计、以及主管财务负责人进行问卷调查，以得出持有观点的比例；

（ 4 ）计算分析：将收集来的信息资料进行加工处理，计算各种指标值，并最好与企业历史最好水平、与同行业的水平相比较，发现异常情况和问题。

（ 5 ）锁定目标：在上述工作的基础上，进行财务战略性及执行分析，对关键问题所在做出判断，确定财务管理咨询目标。

第二步：财务管理诊断和汇报

首先，对企业风险控制管理存在的问题及其根源进行系统的剖析，并做出相应的观点和结论；在关键性问题结论前，应与客户方的核心领导进行充分沟通，以达

到共同关注，充分认识企业风险的严重性和紧迫性，警钟鸣示的目的。诊断报告内容包括：

（ 1 ）企业历史发展和目前所处阶段，战略定位如何？财务实施战略是否明确？

（ 2 ）财务管控模式和实施情况，母、子公司之间的职能定位是否清晰？

（ 3 ）财务队伍建设，委派负责人的管理，以及考核方式如何？

（ 4 ）财务信息系统是否能为经营决策提供及时、有效的支持；财务管理软件与其他信息系统是否兼容和资源共享？

（ 5 ）投资、融资、担保、存货、资金使用及划拨、客户授信、应收账款、资产管理及处置、项目建设、费用审核与开支等授权体系是否完善，责、权、利是否清晰？

（ 6 ）预算管理的范围和幅度，预算目标的确定、编制、执行、修订是否严格履行了规范的流程，预算执行情况是否进行了严格考核？

（ 7 ）运营资金管理、资金结算的管理模式是否符合管控模式的要求，资金管理的效果如何？

（ 8 ）内部审计工作是否按照规范的运作和发挥了应有的作用？

第三步：对原业务流程进行梳理和再造，建立标准的业务流程

只有建立了规范的业务流程，才能基于集团的业务流程进行制度化建设。首先在风险诊断的基础上，针对企业的特点，将基本业务流程进行描叙，并全面、细致、深入地分析其中存在的问题，最后形成总的管理流程。一般可能出现的问题有：

（ 1 ）重复性劳动过多，相关环节多余，影响了工作效率；

（ 2 ）数据缺乏共享，各部门与单位间出现信息“孤岛”；

（ 3 ）缺乏监控环节，易造成决策失误；

（ 4 ）部门与部门之间流程缺乏衔接；

（ 5 ）信息转递的时效性差、成本高。

然后，对企业现有流程进行分析，并进行重新设计。在设计过程中，要注意使部门间的衔接舒畅，业务流程形成闭环；同时，还应该将关键控制点的职责落实。

第四步：建立、健全规范的财务管理制度

（ 1 ）集团财务内部控制总则；

（ 2 ）统一的会计核算和财务分析制度，包括明确财务分析的范围、内容和方法，以及分析例会等规定；

（ 3 ）财务人员管理办法，包括财务招聘、任免、绩效考核、培训，财务岗位职责，以及委派负责人的管理等；

（ 4 ）全面预算管理制度，明确预算目标、内容、和考核方法，绘制出预算报表

（ 5 ）资金管理办法，包括 货币资金、筹融资、担保等经济业务的控制，以及运营资金调剂、资金成本、风险分析等；

（ 6 ）资产管理办法，包括固定资产、流动资产的 管理；

（ 7 ）成本费用管理办法，包括 成本预算、决策、计划、控制、核算、分析和考核，以及费用开支标准的控制；

（ 8 ）对外投资与工程项目管理制度，包括投资项目开发、论证评估、投资决策、监督实施和运作管理等；

（ 9 ）采购与付款管理制度， 采购管理是否严格不相容岗位相分离原则，付款流程是否符合内部控制要求，以及重大合同管理和合同评审规定等；

（ 10 ）销售与收款，包括销售发货流程、客户信用等级、应收账款管理规定；

（ 11 ）内部审计管理规定，包括审计权限和工作流程规定。

“企业风险防范与控制”在管理上并不是一个新鲜的话题，但是在系统理论的研究上我国起步较晚，现多以美国 2002 年 7 月颁布的《萨班斯—奥克斯利法案》为蓝本。因此，在我们实际咨询过的国内企业里，包括国有大中型企业、民营企业、上市公司等都存在近乎相同的困惑和问题。这不能不引起我们更多的思考，同时也促使有关这方面的从业人员做更深入、细致、全面的研究。但不管怎样，随着世界经济一体化进程的加剧，中国企业在“风险控制管理”上，应该说还有很长的路要走。