近十年來，我國幾乎每年發生重大的財務舞弊案件，諸如銀廣夏、藍田股份、中航油、中信富泰等等。這些事件表面上看是財務問題，實質上卻與企業內部控制關系重大，內部控制的失效使得一些顯而易見的高風險行為被忽略不計了。那么，內部控制與風險管理存在什么樣的關系？現在盛行的“風險導向內部控制”在我國是否必要和可行？我國現有的規范與COSO風險管理框架相比，是否真如很多學者所認為的漏洞百出？如何在我國現有規范的指導下充分發揮內部控制機制的作用？這些問題是理論界和實務界必須厘清的問題。
一、內部控制與風險管理的關系
關于“內部控制與風險管理的關系”，理論界存在三個主要的觀點：第一種觀點認為，內部控制包含風險管理，如加拿大特許會計師協會（CICA）控制委員會（1999）指出，“控制應該包括風險的識別與減輕”；第二種觀點認為，風險管理包含內部控制，如美國COSO（2004）在《企業風險管理框架》中將五要素的內部控制擴展到八要素的風險管理，明確了前者包含于后者的關系；第三種觀點認為，內部控制與風險管理相融合，如英國的Turnbull報告認為，風險管理和內部控制只是人為的分離，而在現實商業行為中，兩者是一體化的。本文基本認同第三種觀點。一方面，內部控制與風險管理之間相互交叉，彼此之間存在重合的地方；另一方面，隨著企業文化的積淀，控制意識和風險意識的深入，風險管理水平的提高，內部控制與風險管理的重合部分將越來越多，互補的效用也越來越明顯。
二、風險導向內部控制機制在我國企業建立的必要性和可行性分析
（一）必要性分析
從制度經濟學的角度看，內部控制是用來彌補企業不完備契約的一種契約裝置，而且這一契約同樣也是不完備的。由于世界的復雜多變性、人的認知能力的有限性以及對成本效益的考慮，內部控制存在著“先天不足”，需要通過“后天的營養”來彌補。這里所說的“后天的營養”就是風險意識和風險管理理念，要將風險意識深深地嵌入到內部控制的控制環境中，要將風險識別、風險評估和風險應對的方法運用到內部控制的控制活動中，建立一個以風險為導向的動態的內部控制機制。
從我國的現狀來看，我國已經建立起比較完善的市場經濟。隨著市場經濟的發展，交易品種和交易方式越來越多，市場經濟中存在的風險也變得更加多變和復雜。對這些多變和復雜風險的識別和控制是在新的市場環境下每個企業都要面臨的新課題，因此，建立以風險為導向的內部控制機制是十分必要的。
（二）可行性分析
從管理學的角度看，風險管理和內部控制有很多相通的地方。比如，兩者都應該以企業的戰略目標作為最高的向導，都具有防弊的功能，都涉及到風險的評估和控制（“風險評估”在內部控制中是作為一個基本要素而存在的）。因此，風險管理中的風險偏好、組合風險觀、風險識別和評估的方法以及風險應對的對策都可以接嫁到內部控制中來。也就是說建立以風險為導向的內部控制機制是可行的。
從我國的現狀來看，風險意識和風險管理理念在理論界和實務界已廣泛存在，且出現了風險管理與內部控制融合的趨勢。2004年美國風險管理整體框架發布以來，理論界對于“風險管理與內部控制”的相關問題研究很多，并提出了建設性的意見；2008年我國財政部等五部委聯合制定《企業內部控制基本規范》，提供了政策上的指導。在實務界，一些企業逐步建立起風險導向的內部控制機制，比如中國聯通，中國神華等等，為我國企業界風險導向內部控制機制的建立和建設建立了信心，樹立了榜樣。
三、對《企業內部控制基本規范》中有關風險導向內部控制機制的解讀
2008年6月28日，財政部會同證監會、審計署、銀監會、保監會制定并發布了《企業內部控制基本規范》（以下簡稱《基本規范》），自2009年1月1日起在上市公司范圍內施行，同時鼓勵非上市的大中型企業執行。有人稱該規范為中國的風險管理框架，也有人批評它并未突破傳統，視野仍然狹窄。筆者認為，該規范是現階段我國國情與國際先進經驗的有機結合，是我國企業風險導向內部控制機制建立的指導框架。它固然不是一個完美無缺的規范，但是與我國的現狀是相適應的，比如與我國的市場經濟發展程度、相關法律的完善程度以及公司治理傳統等方面。因此，與其百般挑剔或者觀望新規范的出臺，還不如在現有規則指導下切實做好內部控制的建設工作。
（一）內部控制的定義
《基本規范》中定義：內部控制是由企業董事會、監事會、經理層和全體員工實施的，旨在實現控制目標的全過程。
該定義強調了內部控制的全員性、全面性和全程性，即參與內部控制是企業每個成員的責任和權力，與實現控制目標有關的對象都應該得到控制，內部控制是一個動態的過程，應該隨著客觀環境和情況的變化而采取相應的舉措。但是，該定義僅僅明示了內部控制的主體，而對內部控制的客體以及內容的定義特別隱晦。
（二）內部控制的目標
《基本規范》認為，企業內部控制的目標是合理保證企業經營管理合法合規、資產安全、財務報告及相關信息真實完整，提高經營效率和效果，幫助企業實現發展戰略。
該規范與COSO風險管理框架相比，最顯著的特點是把戰略目標放到了最后的位置，本文比較認同這種做法。在COSO風險管理框架中，戰略目標是放在第一位，許多學者贊揚和推崇其明智，因為企業一切行為的最高目標都是戰略目標，實現企業價值最大化。固然如此，但是，既然是界定內部控制的目標，應該是內部控制所特有的目標，而如上所述，戰略目標是統領企業一切行為的目標，也就不應在界定內部控制目標之列了。因此，內部控制的目標應該是“合理保證企業經營管理合法合規、資產安全、財務報告及相關信息真實完整，提高經營效率和效果”，這些目標的實現都服務于企業的終極目標或者說所有行為的共同目標，即規范中所說的“促進企業實現發展戰略”。
（三）內部控制的要素
規范認為內部控制應該包括五個要素：內部環境、風險評估、控制活動、信息與溝通、內部監督。
五要素中，環境是根基，風險是導向，控制活動、信息與溝通、內部監督是環境基礎之上，風險導向之下，貫穿于整個內部控制系統的持續不斷地活動。五要素中，“風險的分量”不像COSO風險管理框架那樣張揚，但占據其中之一，恰到好處。殊不知，過猶不及，輕視風險與過分強調風險都將帶來負效應，輕視風險可能導致一些風險不被識別而遭受損失，而過分強調風險可能導致對一些程序性和原則性很強的控制進行不必要的風險分析，不符合成本效益原則。從我國的現狀來看，企業的風險管理水平和內部控制水平還沒有嫻熟到可以將兩者合二為一。因此，以風險為導向的企業內部控制，只是將風險管理的一些理念和方法運用到內部控制中，而不是將兩者等同。
四、我國企業風險導向內部控制機制建設應關注的問題
（一）要特別重視企業文化的建設
重視企業文化的建設是由文化的重要性和我國國情所決定的。文化的重要性不言而喻，它是企業的靈魂，一種積極的、正直的、和諧的企業文化將促使企業上下秉公辦事，自覺為企業謀利益。我國的國情包括兩個方面：一是很多企業不重視企業文化的培育和建設，富士康連跳、山木丑聞等事件就是很好的例證，企業的眼光聚焦于單純的經濟利益，缺乏甚至褻瀆人文關懷；二是我國自古以來深受儒家思想的影響，道德的約束力較強，做了被認為“不道德”的事情會覺得良心不安。正因為如此，企業應加強其文化的培育，使良好的行為規則、企業的愿景深入治理層、管理層和普通員工的心里。
（二）合理界定企業內部控制
內部控制的界定存在很多爭議，以前囿于會計和審計視角，過于狹窄；而自從2004年美國風險管理框架出臺以后，理論界紛紛解讀和贊揚美國的新框架，同時對我國的基本規范提出了質疑。那么，新框架是否真的就完美無缺，我國的基本規范是否真的就弊病不少呢？這值得商榷。一方面，內部控制定義過于狹窄，確實容易導致控制流于形式，孤立于企業管理之外，無法真正實現其目標；另一方面，內部控制是經濟發展的產物，應該隨著經濟的發展而發展，應該適應當下的經濟發展水平。我國的市場經濟沒有美國發達，管理水平也相對落后，如果將內部控制定義過于寬泛，將導致企業更加無可適從，內部控制的評價也缺乏衡量標準。因此，筆者認為，內部控制的建設和發展是一個循序漸進的過程，并不能一味地追求所謂完美的設計。
（三）執行比設計更重要
內部控制制度和程序的設計固然重要，但是執行比設計更重要。一個再好的設計，如果沒能執行下去，那么它就等于空談。目前，企業內部控制未能有效預防、發現和制止舞弊事件的發生，未能做到提高經營效率和效果，關鍵不是制度問題，而是執行的問題。絕大部分企業有了控制和風險意識，制定了一系列的制度和規定，但是，企業并沒有把控制和風險理念實實在在地貫徹到活動中，更沒有考慮如何把內部控制和風險管理以及更寬泛意義上的管理聯系起來，互相利用、互相彌補。內部控制流于形式，控制與風險、管理相互孤立，這是當前企業內部控制建設中存在的最大的弊病。
（四）建議制定企業內部控制實施細則與指南
《基本規范》總則第二條規定：“本規范適用于中華人民共和國境內設立的大中型企業。小企業和其他單位可以參照本規范建立與實施內部控制。”而企業要遵循的“內部控制”的規定除了《基本規范》之外，還有其他的很多出自各方的規定，且對內部控制的界定不統一，要求也不相同。企業可能陷于無所適從的困境。因此，建議財政部會同其他有關部門再統一出具《實施細則》和《規范指南》。《基本規范》是指引、是大方向，指導《實施細則》和《規范指南》的制定，也指導企業內部控制中靈活性較強的控制制度和程序的制定和執行；《實施細則》的制定應由各行業主管機關制定，由財政部審核通過，主要說明各行業應該強制執行的各種制度；《規范指南》需要詳細羅列各種典型案例及其分析，類似于國外的習慣法，但不具有法定效力，只作為企業內部控制建設的參考。
總之，在現階段的中國，建立風險導向內部控制機制是十分必要而且可行的。我們不必消極地譴責甚至否定我國的《基本規范》，它就是現階段我國企業風險導向內部控制機制建立的指導框架，其定義、目標與要素的界定與我國國情是基本相適應的。在建設風險導向內部控制機制的過程中，我們必須予企業文化建設以重要地位，要合理界定內部控制，十分重視內部控制的執行；同時我國的企業內部控制規范體系有待完善，建議制定企業內部控制實施細則與指南。
