????編者按：針對(duì)讀者提出的涉及管理方面的問(wèn)題，本刊編輯部邀請(qǐng)專(zhuān)家予以解答。讀者也可以在本刊的網(wǎng)站www.mengxiangzf.com上獲取本欄目?jī)?nèi)容。如有任何建議或有意參與，請(qǐng)通過(guò) liquanwei@cci.com.hk 與本欄目編輯聯(lián)系。本期回答問(wèn)題的專(zhuān)家是德勤企業(yè)風(fēng)險(xiǎn)管理服務(wù)華北區(qū)主管合伙人趙善強(qiáng)。趙先生擅長(zhǎng)涉及綜合條款的大型項(xiàng)目管理。目前，他是中國(guó)企業(yè)內(nèi)控準(zhǔn)備及與薩班斯法案相關(guān)服務(wù)的團(tuán)隊(duì)領(lǐng)導(dǎo)人。德勤是中國(guó)大陸及港澳地區(qū)居領(lǐng)導(dǎo)地位的專(zhuān)業(yè)服務(wù)機(jī)構(gòu)之一，為中國(guó)國(guó)內(nèi)企業(yè)、跨國(guó)公司以及高成長(zhǎng)的企業(yè)提供全面的審計(jì)、稅務(wù)、企業(yè)管理咨詢(xún)和財(cái)務(wù)咨詢(xún)服務(wù)。

????作者: 《財(cái)富》（中文版）

????問(wèn): 我是某上市公司的財(cái)務(wù)總監(jiān)，我們的企業(yè)正在進(jìn)行內(nèi)控（內(nèi)部控制）體系建設(shè)，我想了解一下目前中國(guó)上市公司在內(nèi)控建設(shè)和執(zhí)行上的一些情況，并請(qǐng)專(zhuān)家給予我們一些建議。這方面是否有其他上市公司的先進(jìn)經(jīng)驗(yàn)值得我們學(xué)習(xí)和借鑒？

????答：德勤（中國(guó)）于 2007 年 6 月份以問(wèn)卷方式開(kāi)展過(guò)一項(xiàng)有關(guān)中國(guó)上市公司內(nèi)控現(xiàn)狀的調(diào)查，可以提供給你們作為參考。調(diào)查中，共有 86 家上市公司的董事會(huì)秘書(shū)、財(cái)務(wù)總監(jiān)或相當(dāng)職位的高級(jí)管理人員提供了反饋信息。調(diào)查結(jié)果顯示，中國(guó)上市公司的內(nèi)控現(xiàn)狀如下：

????對(duì)監(jiān)管要求的了解程度和遵循程度。超過(guò)七成（74%）的上市公司清楚了解監(jiān)管機(jī)構(gòu)對(duì)內(nèi)控的要求。但是，受訪企業(yè)中只有 20% 的公司認(rèn)為自身現(xiàn)有的內(nèi)控體系設(shè)計(jì)能夠滿(mǎn)足監(jiān)管要求。另外，55% 的公司認(rèn)為內(nèi)控體系設(shè)計(jì)不能完全滿(mǎn)足要求，其中部分企業(yè)不能確定自身是否有足夠的專(zhuān)業(yè)人員開(kāi)展內(nèi)控項(xiàng)目；剩余 25% 的公司認(rèn)為現(xiàn)有的內(nèi)控體系設(shè)計(jì)不能確定是否滿(mǎn)足或認(rèn)為不能滿(mǎn)足監(jiān)管要求。

????內(nèi)控設(shè)計(jì)（主要針對(duì)通用計(jì)算機(jī)控制的設(shè)計(jì)）。在企業(yè)內(nèi)控體系的設(shè)計(jì)方面，上市公司普遍存在一些弱點(diǎn)，盡管 74% 的公司認(rèn)為自己已經(jīng)設(shè)計(jì)了部分或全部的通用計(jì)算機(jī)控制（比如，系統(tǒng)開(kāi)發(fā)與變更、信息系統(tǒng)安全等），但 69% 的公司不能完全確定其通用計(jì)算機(jī)控制設(shè)計(jì)的有效性。

????內(nèi)控文檔記錄。在收集的問(wèn)卷中，有 25% 的公司認(rèn)為，建立內(nèi)控體系時(shí)，需要對(duì)公司整體控制情況和所有重要的業(yè)務(wù)流程進(jìn)行描述，其他企業(yè)不能確定關(guān)鍵控制活動(dòng)是否已被準(zhǔn)確、完整地記錄下來(lái)。在內(nèi)控文檔的更新方面，大約 75% 的企業(yè)并不一定及時(shí)更新內(nèi)控文檔。

????內(nèi)控設(shè)計(jì)和執(zhí)行有效性的評(píng)估。在內(nèi)控的設(shè)計(jì)和執(zhí)行有效性方面，有 73% 的公司不能確定內(nèi)控是否有效；30% 的公司認(rèn)為，自身不能獨(dú)立判斷內(nèi)控設(shè)計(jì)與執(zhí)行的有效性，需要專(zhuān)業(yè)機(jī)構(gòu)和專(zhuān)業(yè)人士協(xié)助評(píng)估。

????內(nèi)控缺陷的識(shí)別、整改和報(bào)告。79% 的公司不確定是否能夠識(shí)別內(nèi)控的缺陷，但 71% 的公司認(rèn)為，會(huì)在發(fā)現(xiàn)缺陷后立即進(jìn)行改善。73% 的公司認(rèn)為自身已建立了有效的或較為有效的報(bào)告渠道。

????內(nèi)控自我評(píng)估報(bào)告的編制。34% 的公司認(rèn)為自身可以獨(dú)立編寫(xiě)符合證交所要求的內(nèi)部控制自我評(píng)估報(bào)告，45% 的公司認(rèn)為自身只具備部分的報(bào)告編寫(xiě)能力，其余公司無(wú)法確定自身的報(bào)告編寫(xiě)能力。

????對(duì)內(nèi)控的重視程度及對(duì)評(píng)估結(jié)果的關(guān)注程度。26% 的公司認(rèn)為自身非常重視內(nèi)控體系，對(duì)內(nèi)控評(píng)估結(jié)果非常關(guān)注，并且將內(nèi)控評(píng)估結(jié)果納入到定期業(yè)績(jī)考評(píng)中；另外，有 27% 的公司不關(guān)注或不能確定是否關(guān)注內(nèi)控的評(píng)估結(jié)果。

????內(nèi)控長(zhǎng)效管理機(jī)制的建立。72% 的公司不完全認(rèn)同其自身已建立了持續(xù)監(jiān)控內(nèi)控有效性的機(jī)制；20% 的公司認(rèn)為需要利用外部專(zhuān)業(yè)人員來(lái)協(xié)助內(nèi)控的檢查、監(jiān)督與評(píng)估等工作；30% 的公司認(rèn)為需要部分利用外部專(zhuān)業(yè)人員來(lái)協(xié)助這方面的工作。

????我們認(rèn)為，由于各自不同的發(fā)展歷程，中國(guó)的上市公司管理水平的差異化是現(xiàn)階段的國(guó)情，因此許多公司的內(nèi)控在短期內(nèi)未能完全符合監(jiān)管機(jī)構(gòu)的要求是可以理解的。我們覺(jué)得以下 7 點(diǎn)值得上市公司關(guān)注：

????1. 企業(yè)，尤其是上市公司，應(yīng)將內(nèi)控建設(shè)工作由被動(dòng)變?yōu)橹鲃?dòng)，把監(jiān)管要求作為提高自身管理水平的契機(jī)，自行制定實(shí)施時(shí)間表并開(kāi)展工作，而不是認(rèn)為內(nèi)控只是為了滿(mǎn)足監(jiān)管要求。

????2. 內(nèi)控制度的建立和體系的健全，亟需得到公司高級(jí)管理層的重視。公司高級(jí)管理層的重視程度，對(duì)內(nèi)控體系的建立與健全非常重要。可以將內(nèi)部的管理需求與外部的監(jiān)管要求相結(jié)合，并將其管理理念運(yùn)用于內(nèi)控體系的建設(shè)。

????3. 關(guān)注內(nèi)控文檔的記錄與更新。很多企業(yè)認(rèn)為，進(jìn)行內(nèi)控文檔的記錄并將所有重要的業(yè)務(wù)流程加以描述，是非常繁瑣的事情，且隨公司業(yè)務(wù)及流程的變化，更新內(nèi)控文檔也耗時(shí)費(fèi)力。但我們認(rèn)為，建立內(nèi)控體系，需要對(duì)公司的具體控制活動(dòng)和所有重要的業(yè)務(wù)流程進(jìn)行描述，因?yàn)閮?nèi)控文檔是進(jìn)行內(nèi)控制度建設(shè)和企業(yè)員工具體執(zhí)行內(nèi)控制度的依據(jù)，也是公司進(jìn)行內(nèi)控有效性評(píng)估和編制內(nèi)控自我評(píng)估報(bào)告的基礎(chǔ)。由于內(nèi)控是動(dòng)態(tài)的，帶有時(shí)效性，過(guò)去有效的內(nèi)控在將來(lái)可能不一定有效，所以更新內(nèi)控文檔也非常重要。

????4. 重視對(duì)識(shí)別的內(nèi)控缺陷及時(shí)整改的環(huán)節(jié)。調(diào)查顯示，71% 的受訪公司認(rèn)為，一旦發(fā)現(xiàn)內(nèi)控缺陷，將立即改善。這反映出企業(yè)只要知道存在內(nèi)控的缺陷，一般都會(huì)采取適當(dāng)?shù)男袆?dòng)，以降低風(fēng)險(xiǎn)。這一點(diǎn)值得正在進(jìn)行內(nèi)控體系建設(shè)的公司借鑒。公司內(nèi)控體系的建設(shè)，最終是為了改善現(xiàn)有控制的缺陷，降低公司面臨的風(fēng)險(xiǎn)，以提升管理水平。

????5. 重視內(nèi)控自我評(píng)估報(bào)告。內(nèi)控自我評(píng)估報(bào)告雖然是為滿(mǎn)足監(jiān)管機(jī)構(gòu)要求對(duì)外披露的內(nèi)控評(píng)估結(jié)果報(bào)告，但必定是公司尤其是上市公司對(duì)外披露內(nèi)控建設(shè)及評(píng)估結(jié)果的重要渠道，也代表了公司的公開(kāi)形象。上市公司必須理解，內(nèi)控自我評(píng)估報(bào)告必須是基于管理層的內(nèi)控自我評(píng)估結(jié)果編制的，不應(yīng)與內(nèi)控有效性評(píng)價(jià)脫節(jié)；對(duì)內(nèi)控自我評(píng)估報(bào)告的理解應(yīng)與監(jiān)管機(jī)構(gòu)的要求一致；應(yīng)充分掌握編寫(xiě)內(nèi)控自我評(píng)估報(bào)告的方法，理解報(bào)告的編制基礎(chǔ)和推導(dǎo)依據(jù)。

????6. 建立內(nèi)控長(zhǎng)效機(jī)制。在建立長(zhǎng)效機(jī)制的過(guò)程中，以下因素應(yīng)予以重點(diǎn)關(guān)注：（1）公司不應(yīng)誤以為內(nèi)控僅僅是為滿(mǎn)足監(jiān)管要求而做的一次性工作，而應(yīng)與日常管理緊密結(jié)合，成為日常經(jīng)營(yíng)管理的重要組成部分；（2）公司應(yīng)搭建長(zhǎng)效管理機(jī)構(gòu)來(lái)開(kāi)展內(nèi)控相關(guān)工作，形成匯報(bào)機(jī)制和日常監(jiān)控手段等；（3）加強(qiáng)對(duì)內(nèi)控有效性的認(rèn)識(shí)，提高內(nèi)控在公司中的運(yùn)行效果，從而進(jìn)一步集中各種有利資源，進(jìn)行內(nèi)控長(zhǎng)效管理。

????7. 加強(qiáng)人才的培養(yǎng)及必需的內(nèi)控培訓(xùn)。評(píng)價(jià)內(nèi)控的設(shè)計(jì)和執(zhí)行有效性及對(duì)內(nèi)控缺陷的識(shí)別，均需使用專(zhuān)業(yè)的方法并結(jié)合最佳實(shí)踐。這要求企業(yè)必須有具備內(nèi)控專(zhuān)業(yè)知識(shí)和能力的人員，以對(duì)現(xiàn)有控制的設(shè)計(jì)和執(zhí)行作出評(píng)價(jià)，并對(duì)內(nèi)控缺陷進(jìn)行識(shí)別。若在開(kāi)始階段不具備此類(lèi)人員，公司可以考慮尋求專(zhuān)業(yè)機(jī)構(gòu)的幫助，在運(yùn)用專(zhuān)業(yè)方法方面實(shí)施知識(shí)轉(zhuǎn)移，如接受更多的專(zhuān)業(yè)培訓(xùn)，并通過(guò)不斷實(shí)踐增強(qiáng)這方面的能力。

????問(wèn)：我在一家國(guó)有企業(yè)主管風(fēng)險(xiǎn)管理工作，我不太了解如何有效地進(jìn)行風(fēng)險(xiǎn)管理，專(zhuān)家能否就此提供一些建議？

????答：在中國(guó)企業(yè)中，風(fēng)險(xiǎn)管理工作只能說(shuō)剛剛起步，但全球化趨勢(shì)和企業(yè)業(yè)務(wù)的日益復(fù)雜化等因素從各個(gè)側(cè)面加大了公司可能面臨的風(fēng)險(xiǎn)，也使得風(fēng)險(xiǎn)管理工作迫在眉睫。進(jìn)行有效的風(fēng)險(xiǎn)管理，公司可以借鑒德勤提出的風(fēng)險(xiǎn)智能模型，構(gòu)建公司風(fēng)險(xiǎn)管理體系。這一模型如附圖所示，旨在告訴企業(yè)如何通過(guò)管理風(fēng)險(xiǎn)實(shí)現(xiàn)保值增值。

????風(fēng)險(xiǎn)智能模型從三個(gè)層級(jí)來(lái)描述風(fēng)險(xiǎn)管理，提供了一個(gè)進(jìn)行有效風(fēng)險(xiǎn)管理工作的方法：

????第一級(jí)：外部因素。風(fēng)險(xiǎn)智能模型的最外圈橙色箭頭表示可能對(duì)企業(yè)造成負(fù)面影響的外部因素，包括消費(fèi)者偏好的改變、政治壓力、監(jiān)管要求、競(jìng)爭(zhēng)者行為等。外部因素的主要特點(diǎn)是日益增長(zhǎng)的不確定性、復(fù)雜性、相關(guān)性和變化速度日益加快。

????第二級(jí)：風(fēng)險(xiǎn)管理能力。風(fēng)險(xiǎn)智能模型的紫色外圈代表了企業(yè)的風(fēng)險(xiǎn)管理能力，通過(guò)相互影響的四大方面來(lái)衡量。一個(gè)方面的薄弱，可能會(huì)反映出企業(yè)系統(tǒng)性的薄弱。風(fēng)險(xiǎn)管理的四大方面是：

????· 治理 指公司及時(shí)和有效地進(jìn)行風(fēng)險(xiǎn)回報(bào)計(jì)算、做出風(fēng)險(xiǎn)決策及執(zhí)行這些決策的能力。具體內(nèi)容包括董事會(huì)及其專(zhuān)門(mén)委員會(huì)、管理層、內(nèi)部審計(jì)和風(fēng)險(xiǎn)管理職能部門(mén)的角色和職責(zé)；高層的風(fēng)險(xiǎn)管理基調(diào)；風(fēng)險(xiǎn)管理政策，如風(fēng)險(xiǎn)偏好及風(fēng)險(xiǎn)容忍度；道德準(zhǔn)則及授權(quán)機(jī)制等。

????· 人員 關(guān)注風(fēng)險(xiǎn)管理能力及相關(guān)的風(fēng)險(xiǎn)，如擁有人員的適當(dāng)數(shù)量、進(jìn)行有效培訓(xùn)以及提升風(fēng)險(xiǎn)管理意識(shí)等。

????· 流程 包括進(jìn)行有效運(yùn)營(yíng)所必須的操作流程和基礎(chǔ)業(yè)務(wù)流程，以實(shí)現(xiàn)保值增值的目的。

????· 技術(shù) 此方面強(qiáng)調(diào)的是企業(yè)開(kāi)發(fā)可行的系統(tǒng)，在全公司內(nèi)進(jìn)行風(fēng)險(xiǎn)信息的分析與溝通，以幫助進(jìn)行有效的決策和及時(shí)的風(fēng)險(xiǎn)應(yīng)對(duì)。

????第三級(jí)：風(fēng)險(xiǎn)管理的七大步驟。風(fēng)險(xiǎn)智能模型的中間藍(lán)色和綠色內(nèi)圈表明，要想成為風(fēng)險(xiǎn)智能型企業(yè)，需要七大步驟：

????· 制定和運(yùn)用戰(zhàn)略 戰(zhàn)略通常是為實(shí)現(xiàn)企業(yè)的保值增值目標(biāo)而制定，如追求收入增長(zhǎng)、擴(kuò)大經(jīng)營(yíng)利潤(rùn)、資產(chǎn)有效使用及實(shí)現(xiàn)預(yù)期目標(biāo)等。

????· 識(shí)別風(fēng)險(xiǎn) 內(nèi)部和外部風(fēng)險(xiǎn)都會(huì)危及企業(yè)目標(biāo)的實(shí)現(xiàn)。我們應(yīng)采取情景分析等方式識(shí)別風(fēng)險(xiǎn)，并考慮風(fēng)險(xiǎn)事件之間的連鎖反應(yīng)，而不應(yīng)把風(fēng)險(xiǎn)事件孤立看待。這包括影響未來(lái)增長(zhǎng)目標(biāo)實(shí)現(xiàn)的風(fēng)險(xiǎn)和對(duì)現(xiàn)有資產(chǎn)威脅的風(fēng)險(xiǎn)。

????· 評(píng)估和計(jì)量風(fēng)險(xiǎn) 要考慮：1）風(fēng)險(xiǎn)事件可能造成負(fù)面影響的程度以及發(fā)生的可能性；2）現(xiàn)有風(fēng)險(xiǎn)減輕措施及現(xiàn)有控制后的風(fēng)險(xiǎn)敞口。

????· 風(fēng)險(xiǎn)應(yīng)對(duì) 風(fēng)險(xiǎn)應(yīng)對(duì)方案應(yīng)考慮所有可能的選擇，包括選擇規(guī)避風(fēng)險(xiǎn)還是接受風(fēng)險(xiǎn)，或是盡可能降低風(fēng)險(xiǎn)或轉(zhuǎn)移風(fēng)險(xiǎn)。而且，在具體方案的執(zhí)行上，應(yīng)按重要性考慮資源的優(yōu)先順序及有效配置。

????· 內(nèi)部控制設(shè)計(jì)及測(cè)試 控制活動(dòng)是能夠有效管理風(fēng)險(xiǎn)的政策、程序及系統(tǒng)。管理層的主要職責(zé)是恰當(dāng)?shù)剡M(jìn)行控制活動(dòng)的設(shè)計(jì)和測(cè)試。

????· 監(jiān)督、鑒證與管理升級(jí) 監(jiān)督是指定期對(duì)企業(yè)風(fēng)險(xiǎn)管理方案（包括單個(gè)的和整體的）進(jìn)行檢查，以及時(shí)發(fā)現(xiàn)其中的變化并進(jìn)行預(yù)警。鑒證是指管理層評(píng)價(jià)內(nèi)控體系是否按預(yù)期狀況運(yùn)行。應(yīng)由獨(dú)立的職能部門(mén)定期測(cè)試控制活動(dòng)，以保證管理層的內(nèi)控自我評(píng)估報(bào)告依據(jù)內(nèi)控評(píng)估結(jié)果，且鑒證內(nèi)控已進(jìn)行恰當(dāng)?shù)脑O(shè)計(jì)和有效的運(yùn)行。管理升級(jí)是指當(dāng)風(fēng)險(xiǎn)一旦超過(guò)某個(gè)特定的臨界值或者存有不良動(dòng)機(jī)時(shí)公司應(yīng)啟動(dòng)的流程，即將風(fēng)險(xiǎn)提升到公司適當(dāng)?shù)氖跈?quán)級(jí)別，以得到迅速的解決。

????· 維護(hù)并持續(xù)改進(jìn) 風(fēng)險(xiǎn)智能模型應(yīng)保持連續(xù)性，這主要取決于人員的能力、流程和系統(tǒng)。改進(jìn)總是可能的，所以應(yīng)對(duì)風(fēng)險(xiǎn)管理過(guò)程進(jìn)行日常評(píng)估，并在此基礎(chǔ)上進(jìn)行持續(xù)改進(jìn)。