COSO的企业风险管理框架及对我国的启

【内部参阅】

北 京 国 家 会 计 学 院

理财专家新视点

总 第 15 期

会计准则与税法研究所

资 本 运 营 研 究 所 编

审计与风险管理研究所 2008年12月10日

企业理财战略与风险管理

z COSO的企业风险管理框架产生的背景

z 《企业风险管理一总体框架》对内部控制的新发展 z ERM框架对我国内部控制建设的启示

COSO的企业风险管理框架及对我国的启示1

一、COSO的企业风险管理框架产生的背景

内部控制理论是随着企业内控实践经验的丰富而逐渐发展起来的，大致经历了内部牵制、内部控制系统、内部控制结构和内部控制整体框架四个理论阶段。由美国注册会计师协会(A IC PA )、美国会计学会(AAA)、财务经理协会(FE I)、国际内部审计师协会( IIA)和管理会计师协会(MA)五大学会共同组成的反虚假财务报告委员会，于1992年发表的《内部控制整体框架》公告，标志着内部控制理论与实践进入了整体框架的新阶段，并被世界上许多企业所采用。尽管如此，理论界和实务界还是认为该内部控制框架有些局限性，如对风险强调不够，使得内部控制无法与企业的风险管理相结合。

1996年，反虚假财务报告委员会（COSO)发布了一个名为“衍生产品使用中的内部控制问题”的报告。根据该报告的模型，“风险管理过程需要理解实体的目标和经营活动，识别市场风险和测度承担的风险，然后决定是否使用衍生产品来把风险降低到可以承受的水平。只要简单的忽略与衍生产品有关的部分并代之以其他合适的降低风险行为，这个过程就具有普遍性。”因此，只要稍加修改，COSO建议用来管理衍生产品相关风险的模型就可以用于管理几乎任何类型的风险，这个文件表明，COSO对内部控制关注的焦点开始转向风险管理。

2001年，COSO委托普华开发一个企业管理层评价和改进企业风险管理的框架。在开发这个框架的期间，发生了一系列令人瞩目的企业且闻和失败事件，如安然、世通，投资者以及其他的利益相关者因此而遭受巨大的损失。随之而来的更是对采用新的法律、法规和上市准则来加强公司治理和风险管理的呼吁。美国在2002年颁布了《萨班斯—奥克斯利法案》，这部法律扩充了长期持续的对公众公司保持内部控制制度的规定，要求管理当局证实、并由独立审计师鉴证这些制度。人们迫切需要有一个能够提供关键原则和概念、通用语言以及明晰的方向和指南的企业风险管理框架。在这样的要求下，2004年10月，企业风险管理(ERM)框架在1992年报告的基础上，结合《萨班斯—奥克斯法案》相关扩展研究正式对外公布。

1本刊仅为北京国家会计学院会计准则与税法、资本运营以及审计与风险管理三个研究所进行教学和科研交流之用，刊内观点为作者个人观点.

二、《企业风险管理一总体框架》对内部控制的新发展

与传统内部控制内容相比，ERM框架对内部控制的新发展表现在以下方面：

（一）ERM对内部控制内涵的发展

1994年COSO报告对内部控制的定义是：“内部控制是一个受到董事会、经理层和其他人员影响的过程，该过程的设计是为了提供实现以下二类目标的合理保证：经营的效果和效率、财务报告的可靠性、法律法规的遵循性。”内部控制的定义明确了四个要点：（1）是一个过程；（2）受人为影响；(3)为了达到二个目标；(4)合理保证。这个定义尽管非常宽，但从某种角度来说，又比较模糊，存在某些片面性。

COSO在ERM框架报告中指出企业风险管理是一个过程，它由一个主体的董事会、管理当局和其他人员实现的，应用于战略制定并贯穿于企业之中，旨在识别可能会影响主体的潜在事项，管理风险已使其在该主体的风险容量之内，为主体目标的实现提供合理保证。ERM框架对内部控制明确了以下内容：(1)是一个过程；（2）被人影响；（3）应用于战略制定；（4）贯穿整个企业的所有层级和单位；(5) 旨在识别影响组织的事件并在组织的风险偏好范围内管理风险；( 6)合理保证；(7)为了实现各类目标。对比原来的定义，ERM概念要细化的多。由于新COSO报告提出了风险偏好风险容忍度等概念，使得ERM的定义更加明确、具体。同时，ERM又涵盖了内部控制所有合理的内容。

按照COSO的观点，内部控制己经包含在企业风险管理当中，而目是企业风险管理的一部分。并不是用企业风险管理框架取代内部控制框架，而是将内部控制框架纳入其中，公司不仅可以借助这个企业风险管理框架来满足他们内部控制的需要，而目ERM框架拓展了内部控制，更有力、更广泛地关注与企业风险管理这一更加宽泛的领域。

（二）ERM框架对内部控制目标的发展

ERM框架提出，要力求实现四类目标：战略目标、经营目标、报告目标和合规目标。与《内部控制整体框架》提出的内部控制的两个目标(经营的效果和效率、财务报告的可靠性和法律法规的遵循性)相比，不但增加了战略目标，而目对报告的目标进行了拓展。在内部控制框架中，报告指的主要是对外公布的财务报告，报告目标主要关注的是公布的财务报告的可靠性，而在企业风险管理框架中，报告包括由企业编制、向内部和外部散发的所有报告。这些报告包括管理层内部使用的报告和那些用于监管备案和向其他利益相关者在内的外部各方发

布的报告。而且范围从财务报表的财务信息扩展到更广泛的非财务信息。

新增加的战略目标源于企业的使命，虽然是以平行的方式列示，但战略目标在整个目标体系中处于最高层次，其他的二个目标都要与战略目标协调一致，为战略目标服务。

（三）ERM框架对内部控制要素的发展

1994年COSO报告纳部控制整体框架肿，提L了五个要素：控制环境、风险评估、控制活动、信息和沟通、监督。ERM框架对这五个要素进行深化和拓展，将其演变为八个要素。将原有的“控制环境”扩展为“内部环境”，将风险评估这一要素，发展为目标设之、事项识别、风险评估和风险反应四个要素，使得原有的内部控制五要素发展为风险管理八要素。并使一些规定更加明确，例如，虽然内部控制整体框架和ERM框架都强调对风险的评估，但ERM框架建议更透彻地看待风险管理，即从固有风险和残存风险的角度来看待风险，对风险影响的分析则采用简单算术平均数、最差情形下的估计值或者事项分布等技术来分析。

（四）ERM框架促使相关角色责任的变化

COSO报告《内部控制—整体框架》和《企业风险管理—总体框架》将组织的董事会、管理层看成是相关责任人。虽然董事会主要提供监督，但也提供指导以及批准战略、一些特殊交易和政策。董事会既是内部控制的重要因素，也是企业风险管理重要因素。ERM框架使董事会在企业风险管理方面扮演更加重要的角色—负总体责任，并目要求其变得更加警惕。企业风险管理的成功与否在很大程度上依赖于董事会，董事会需要批准组织的风险偏好。以前，当公司出现丑闻时，很多人问：“管理层怎么让这发生的?”现在，恐怕要问：“董事会怎么让这发生的?”相应的CEO、内审人员职责范围都发生了改变，还新增了风险主管或风险经理。风险主管要在自己的职责范围内建立起风险管理外，还要帮助其他经理人报告企业风险。

三、ERM框架对我国内部控制建设的启示

近年来，我国伊利实业、创维数码、中航油(新加坡)、四川长虹等公司的一系列事件，我们不禁要问中国企业怎么了?追其原因，要么是这些企业没有内部控制制度，要么是内部控制制度不完善，要么是内部控制制度形同虚设。我们很有必要 …… 此处隐藏：2908字，全部文档内容请下载后查看。喜欢就下载吧 ……