【摘要】為保證財物安全、會計信息的真實性、經(jīng)營效率、決策理性等，國內(nèi)外理論界與實務(wù)界先后提出了內(nèi)部控制、公司治理與風險管理等各種控制規(guī)范和措施。本文首先回顧了內(nèi)部控制、公司治理與風險管理的相關(guān)研究，指出三者在實務(wù)中存在的問題，認為問題的根源在于三者“各自為政”。在論述內(nèi)部控制、公司治理與風險管理整合可行性的基礎(chǔ)上，提出了“大”風險管理概念，并針對實務(wù)中存在的問題，給出了相應(yīng)的建議。

　　【關(guān)鍵詞】內(nèi)部控制；公司治理；風險管理；“大”風險管理

　　自企業(yè)誕生之日起，舞弊、欺詐頻頻發(fā)生，起初人們認為是內(nèi)部控制出了問題，制定了一系列內(nèi)部控制規(guī)范和措施；但事實證明大部分公司經(jīng)營失敗不是權(quán)力制衡出現(xiàn)問題，而是由于公司治理中的決策機制存在問題、決策過程缺乏監(jiān)督機制，無法及時糾正錯誤的決策（John Pound，1995），管理層有機會和能力凌駕于內(nèi)部控制之上，因而，人們開始以公司治理作為突破點研究內(nèi)部控制。此后，巴林銀行倒閉、安然和世界通信等一系列的財務(wù)丑聞爆發(fā)，企業(yè)面臨的風險因素日益復(fù)雜，對傳統(tǒng)的內(nèi)部控制理論提出了新的挑戰(zhàn)。此時，理論界和實務(wù)界紛紛認為內(nèi)部控制應(yīng)與企業(yè)的風險管理相結(jié)合（Stephen J. Root，1998）。

　　當前，國內(nèi)也是內(nèi)部控制、公司治理、風險管理規(guī)范并存：內(nèi)部控制的主要依據(jù)是財政部、證監(jiān)會、審計署、銀監(jiān)會、保監(jiān)會2008年聯(lián)合發(fā)布的《企業(yè)內(nèi)部控制基本規(guī)范》；公司治理的依據(jù)是證監(jiān)會2001年頒布的《上市公司治理準則》；風險管理的依據(jù)則是國資委2006年出臺的《中央企業(yè)全面風險管理指引》。近年來，國內(nèi)財務(wù)舞弊、欺詐、內(nèi)部人控制現(xiàn)象越發(fā)嚴重，理論上、實踐上都急需對三者的關(guān)系有明確的界定。

　　一、內(nèi)部控制、公司治理與風險管理的關(guān)系：研究回顧

　　關(guān)于內(nèi)部控制、公司治理、風險管理之間的關(guān)系，學者們分別從經(jīng)濟學、管理學原理等方面進行了解釋，其中，多數(shù)學者以內(nèi)部控制與公司治理關(guān)系、內(nèi)部控制與風險管理關(guān)系進行分析?！?a target="_blank" href="http://m.8riaszlp.cn/new/63/64/79/2008/7/wa189010413987800216360-0.htm">企業(yè)內(nèi)部控制基本規(guī)范》發(fā)布前后，少數(shù)學者開始將三者的關(guān)系納入研究范圍。

　　關(guān)于內(nèi)部控制與公司治理的關(guān)系主要有三種觀點：一是環(huán)境控制論，認為內(nèi)部控制與公司治理的關(guān)系是主體與環(huán)境的關(guān)系，如閻達五（2001）指出內(nèi)部控制框架與公司治理機制是內(nèi)部控制管理監(jiān)控系統(tǒng)與制度環(huán)境的關(guān)系；二是嵌合論，李連華（2005）在對公司治理結(jié)構(gòu)和內(nèi)部控制的各種理論元素進行對比分析的基礎(chǔ)上，將兩者的關(guān)系描述為嵌合關(guān)系；三是內(nèi)部控制是公司治理的基礎(chǔ)，如楊雄勝（2005）認為，內(nèi)部控制是實現(xiàn)公司治理的基礎(chǔ)設(shè)施建設(shè)。

　　關(guān)于內(nèi)部控制與風險管理的關(guān)系，目前代表性的觀點有三種：一是認為風險管理包含內(nèi)部控制，COSO《企業(yè)風險管理——整合框架》（2004）中明確指出，風險管理包含內(nèi)部控制，企業(yè)風險管理比內(nèi)部控制范圍廣得多；二是認為內(nèi)部控制包含風險管理，加拿大COCO報告（1995）認為，風險評估與風險管理是控制的關(guān)鍵要素；三是認為內(nèi)部控制就是風險管理，Matthew Leitch （2004）認為，從理論上講，風險管理系統(tǒng)與內(nèi)部控制系統(tǒng)沒有差異，這兩個概念的外延變得越來越廣，正在變?yōu)橥皇挛铩?

　　將三者置于同一框架內(nèi)進行研究的文獻不多見。謝志華（2007）認為，內(nèi)部控制、公司治理、風險管理三者本質(zhì)上具有相同性。馬正凱（2008）認為，內(nèi)部控制、公司治理、風險管理都屬于企業(yè)管理的范疇，都是為了進行風險控制。

　　從上述回顧中能夠看出，理論界已經(jīng)公認三者關(guān)系密切，但是對于三者在概念的外延方面沒有統(tǒng)一的觀點，更沒有形成內(nèi)在一致的概念體系，這種狀況阻礙了內(nèi)部控制、公司治理、風險管理理論和實務(wù)的更高、更深層次發(fā)展。

　　二、我國企業(yè)內(nèi)部控制、公司治理與風險管理實務(wù)中存在的問題

　　自20世紀90年代起，我國開始在企業(yè)大力推行內(nèi)部控制，目前的研究大部分都是集中在規(guī)范設(shè)計方面，這在一定程度上反映出我國對內(nèi)部控制的研究還停留在內(nèi)部控制制度或者內(nèi)部控制結(jié)構(gòu)階段（張立民、唐松華，2007）。現(xiàn)階段，企業(yè)內(nèi)部控制、公司治理、風險管理規(guī)范大體可以分為五個層次：一是基礎(chǔ)性法規(guī)（財政部《內(nèi)部會計控制規(guī)范》）；二是證監(jiān)會發(fā)布的上市公司內(nèi)控工作指引（《上市公司治理準則》）；三是各行業(yè)監(jiān)管機構(gòu)發(fā)布的內(nèi)部控制制度（中國人民銀行《商業(yè)銀行內(nèi)部控制指引》）；四是國資委針對中央企業(yè)頒布的內(nèi)部控制框架指引（《中央企業(yè)全面風險管理指引》）；五是財政部、證監(jiān)會、審計署、銀監(jiān)會、保監(jiān)會聯(lián)合發(fā)布的《企業(yè)內(nèi)部控制基本規(guī)范》。

　　我國頻繁頒布的有關(guān)內(nèi)部控制的法律規(guī)范說明，一方面，我國對內(nèi)部控制的重視程度達到了前所未有的高度；另一方面，我國在這方面還未形成有效的系統(tǒng)性法律規(guī)范。我國的內(nèi)部控制制度“救火式”的較多，對未來風險考慮不足，主要存在以下問題：

　?。ㄒ唬┈F(xiàn)有規(guī)范不成體系

　　從上述企業(yè)內(nèi)部控制、公司治理、風險管理規(guī)范可以看出，規(guī)范的制定主體不同，面向的具體對象也不一致，導致有的企業(yè)無規(guī)范可依，有的企業(yè)需要遵從兩個甚至多個內(nèi)部控制相關(guān)規(guī)范，可能使企業(yè)在遵循時變得無所適從。

　　（二）公司治理存在缺陷

　　公司治理是內(nèi)部控制制度設(shè)計、運行的制度環(huán)境，也是管理層超越內(nèi)部控制的重要約束機制。從公司治理結(jié)構(gòu)來看，目前主流公司治理結(jié)構(gòu)應(yīng)該設(shè)有股東大會、董事會、監(jiān)事會及公司管理層，但我國很多公司的董事長與總經(jīng)理由一人擔任，董事會與經(jīng)理層是“一套人馬，兩塊牌子”，導致對公司治理層面的風險缺乏關(guān)注。另外，我國由于國有資產(chǎn)所有者缺位問題的存在，由管理層實際控制企業(yè)，出現(xiàn)了較為嚴重的“內(nèi)部人”控制現(xiàn)象。

　?。ㄈ﹥?nèi)部控制責任主體單一

　　目前，公司內(nèi)部控制制度往往都是由經(jīng)理層制定的，這種情況下經(jīng)理層往往會出于自身利益的考慮制定出對自己有利的內(nèi)部控制制度，而且，這本身就不符合不相容職務(wù)相分離原則。由于我國企業(yè)受體制等多方面因素的影響，董事會形同虛設(shè)，監(jiān)事會也是如此，更使經(jīng)理層成為唯一的內(nèi)部控制責任主體，導致公司一切決策都由總經(jīng)理一人拍板。因此，有必要讓企業(yè)所有的利益相關(guān)者尤其是公司的股東和董事會意識到內(nèi)部控制的重要性，加強對內(nèi)部控制的制定和監(jiān)督。

　?。ㄋ模┍O(jiān)管者內(nèi)部控制的強制性

　　由于監(jiān)管者的內(nèi)部控制要求具有強制性，但實際上與管理者對內(nèi)部控制的需求又存在明顯的不一致性，所以，從實施的后果來看，管理者在企業(yè)內(nèi)部控制建設(shè)上的努力在很大程度上成了一種對監(jiān)管者要求的遵循，而對企業(yè)自身經(jīng)營管理的意義有限。

　　尋求上述問題的原因，主要在于內(nèi)部控制、公司治理與風險管理三種理論“各自為政”，既在一定程度上相互重疊、相互協(xié)調(diào)，又在一定程度上相互獨立、相互矛盾，可能導致對同一問題有不同的規(guī)范或者出現(xiàn)監(jiān)督真空，阻礙了三者在理論上的發(fā)展與實務(wù)中的應(yīng)用。倘若存在一種能夠融合內(nèi)部控制、公司治理與風險管理三者的理論，則可以解決上述問題。

　　三、內(nèi)部控制、公司治理與風險管理的整合——“大”風險管理概念

　　在早期的企業(yè)中，為了保證財物安全以及會計信息的真實性，產(chǎn)生了內(nèi)部牽制，內(nèi)部牽制本身就是控制風險，而控制風險就是風險管理，所以內(nèi)部控制是以風險管理為起點的（謝志華，2007）。隨著企業(yè)由自然人企業(yè)向公司制企業(yè)過渡，由于所有權(quán)與經(jīng)營權(quán)相分離，企業(yè)組織結(jié)構(gòu)也日益復(fù)雜，相應(yīng)的風險控制也由員工層次向經(jīng)理層、董事會以至股東大會轉(zhuǎn)換，風險控制也由內(nèi)部控制發(fā)展為公司治理。盡管理論和實務(wù)界單獨研究和實踐了公司內(nèi)部治理，但本質(zhì)上仍然是為了控制風險，只是這種風險控制是基于新出現(xiàn)的公司組織層次，以及這些層次所要進行的行為，通過內(nèi)部控制目標拓展和控制層次的提升就可以達成公司內(nèi)部治理的要求，兩者可以合二為一。并且在企業(yè)較高層次，企業(yè)面臨的主要風險已經(jīng)轉(zhuǎn)變?yōu)槭袌龈偁庯L險，所以風險控制就更加關(guān)注戰(zhàn)略和經(jīng)營風險。因而，筆者認為，內(nèi)部控制與公司治理的實質(zhì)都是風險控制，風險管理伴隨二者的始終。因而可以對三者進行整合，形成一個“大”風險管理概念。

　?。ㄒ唬┒聲c經(jīng)理層是內(nèi)部控制與公司治理對接的載體

　　公司治理和內(nèi)部控制產(chǎn)生的基礎(chǔ)都是委托代理，具有同源性。但公司治理是基于所有權(quán)和控制權(quán)分離而建立的約束和激勵的制度安排，主要包括所有者、董事會和經(jīng)理層之間的關(guān)系；而內(nèi)部控制基于分權(quán)管理而產(chǎn)生的不同層次代理人委托代理問題，主要解決企業(yè)內(nèi)部董事會、經(jīng)理層和各下級執(zhí)行機構(gòu)之間的關(guān)系。董事會和經(jīng)理層是公司治理和內(nèi)部控制的共同組成部分，是兩者有機對接的載體。所以，當管理層超越內(nèi)部控制時，對董事會和管理層的控制問題必須依賴公司治理的約束。公司治理與內(nèi)部控制的關(guān)系如圖1所示：

　?。ǘ﹥?nèi)部控制與風險管理整合的可行性

　　1.從內(nèi)容上看，企業(yè)有效的內(nèi)部控制應(yīng)包括內(nèi)部環(huán)

　　境、風險評估、控制活動、信息與溝通、內(nèi)部監(jiān)督等五個要素。風險管理不僅包括了內(nèi)部控制的五個要素，而且增加了目標設(shè)定、事件識別以及風險對策三個要素；風險管理將控制活動提到了戰(zhàn)略層面，提到對治理層、管理層的行為也要管理的層面，側(cè)重于圍繞目標設(shè)定對風險的識別、評估和應(yīng)對處理；從二者的框架結(jié)構(gòu)來看，風險管理不僅包括內(nèi)部控制的三個目標，而且增加了戰(zhàn)略目標。

　　2.從目的說，風險管理的目的是要及時地發(fā)現(xiàn)風險、

　　預(yù)測風險以及防止風險可能造成的不良影響，并設(shè)法把這種不良影響控制在最低的程度上。內(nèi)部控制就是企業(yè)內(nèi)部采取的風險管理，主要是通過事后和過程的控制來實現(xiàn)其自身的目標，內(nèi)部控制制度制定的主要依據(jù)是風險。

　　（三）“大”風險管理概念的提出

　　根據(jù)上述分析，內(nèi)部控制與公司治理的實質(zhì)都是風險控制，因企業(yè)制度、經(jīng)營模式、環(huán)境的不同，風險管理具體目標、內(nèi)容和層次不同，董事會與經(jīng)理層是內(nèi)部控制與公司治理的銜接點。在內(nèi)部控制與風險管理的關(guān)系上，筆者認為從整體上來說，風險管理涵蓋了內(nèi)部控制，內(nèi)部控制為風險管理的一方面。這三者實質(zhì)、根本目的是相同的，因而可以建立一個“大”風險管理概念，這個概念包括了內(nèi)部控制、公司治理以及傳統(tǒng)的風險管理。

　　四、內(nèi)部控制、公司治理與風險管理：改進措施

　　基于上述分析，筆者認為，在現(xiàn)代社會經(jīng)濟生活中，企業(yè)的內(nèi)部控制、公司治理都應(yīng)以風險管理為核心，以“大”風險管理概念為指引，建立健全風險管理體系。具體措施如下：

　?。ㄒ唬┙⑼晟频膬?nèi)部控制體系

　　目前我國對企業(yè)內(nèi)部控制的認識還停留在內(nèi)部控制制度或內(nèi)部控制結(jié)構(gòu)階段?？紤]到內(nèi)部控制建設(shè)的現(xiàn)狀及內(nèi)部控制標準的指導性和可操作性，我國內(nèi)部控制標準可分為基本規(guī)范和具體規(guī)范兩個層次來構(gòu)建：基本規(guī)范應(yīng)是一套類似于COSO《企業(yè)風險管理——整合框架》那樣的概念性的制度框架，具有強制力；具體規(guī)范可以是類似于COSO《企業(yè)風險管理——應(yīng)用技術(shù)》，是參照性的，企業(yè)可以根據(jù)自己的情況遵照執(zhí)行，這兩個層次缺一不可。

　?。ǘ┩晟乒局卫?，加強治理層面的內(nèi)部控制

　　內(nèi)部控制中強化公司治理的作用在我國顯得尤為重要。由于我國證券市場尚處于新興加轉(zhuǎn)軌階段，公司治理形備而實不至，惟有強化公司治理，才能凈化控制環(huán)境。我國應(yīng)加強公司治理建設(shè)，使股東、董事會和管理層相互制衡，防止管理層超越內(nèi)部控制。

　?。ㄈ┘訌娖髽I(yè)各階層誠信教育，搭配高效的激勵機制

　　完善的監(jiān)督體系能從總體上提高公司內(nèi)部控制的質(zhì)量，但這是一種強制性的規(guī)范結(jié)果，只有通過提高全員的文化素質(zhì)、職業(yè)道德和誠實品質(zhì)，才能改變他們被動遵守公司規(guī)章的觀念，形成一種自覺遵循與完善內(nèi)部控制的氛圍。良好的激勵機制是企業(yè)發(fā)展的動力，只有調(diào)動、誘導和激發(fā)出人的自覺性、主動性，再配以科學合理的激勵、監(jiān)督體系，才能使內(nèi)部控制制度得到遵守，使其發(fā)揮最大效用。

　　【參考文獻】

　?。?］ 閻達五，楊有紅.內(nèi)部控制框架的構(gòu)建［J］.會計研究，2001，（2）：9-14.

　?。?］ 李連華.公司治理結(jié)構(gòu)與內(nèi)部控制的鏈接與互動［J］.會計研究，2005，（2）：64-69.

　?。?］ 楊雄勝.內(nèi)部控制理論研究新視野［J］.會計研究，2005,（7）：49-55.

　?。?］ 張立民，唐松華.內(nèi)部控制、公司治理與風險管理——《托普典章》為什么不能拯救托普［J］.審計研究，2007，（5）：35-41.

　?。?］ 謝志華.內(nèi)部控制、公司治理、風險管理：關(guān)系與整合［J］.會計研究，2007，（10）：37-45.

　?。?］ 馬正凱.《企業(yè)內(nèi)部控制基本規(guī)范》解讀［J］.財會通訊，2008，（10）：80-82.

　?。?］ John Pound. The Promise of the Governed Corporation. Harvard Business Review, 1995, March.

　?。?］ Stephen J. Root, Beyond COSO Internal Control to Enhance Corporate Governance, New York: John Wiley & Sons,1998.

　?。?］ Leitch, Matthew. When is a Good Time to Talk about Saving Money on SOX 404 Compliance. Balance Sheet. 2004，12（4）: 6-7.