浅谈内部控制与风险管理的区别

管理会计

     在过去不少项目中，碰到不少客户问我，“近些年不少企业开展内部控制和风险管理工作，那么请问这二者之间究竟有什么区别”？说实话，由于自己过去从事的项目基本上都是与风险管理有关，很少涉及到内部控制领域，所以对于客户的这一提问，我也只能似懂非懂、一知半解的给客户进行回答，如“风险管理和内部控制其实都是以控制风险为目的，对企业而言，只不过风险管理是目标，而内部控制则是企业实现这些目标所采取的手段”等等之类的话。前段时间到参加公司一个关于内控自评价的项目，让我对“内部控制与风险管理”之间的区别有了更多的认识与理解。

     我现在把我们这次内控评价的大致过程进行一下描述。

     由于这个客户是去年上半年开始的内控项目，除内控自评价和编制内控自评价报告外，到目前为止已经基本完成了项目约定的所有内容。由于公司人员紧张的原因，使我有幸参加了这个项目的内控自评价。

     这次内控自评价的范围是总部，外加下属的四个子公司（严格意义上来说只有2个子公司，因为另外2个子公司与总部实行的是“两套班子一套人马”），在自评价的内容方面，也只是对与财务报告相关的业务进行自评价，所以总的来说，我们的工作并不多，再加上这次内控自评价工作的目的是为了内部消化问题，所以客户（含子公司）对这次自评价工作非常的重视，在人员配备上也给予了大力的支持，更加使得我们作为中介机构的任务量大减。

     在我们进驻现场开展内控自评价之前，包含总部及下属4家子公司的工作人员都完成了内控自评价工作底稿的工作，这使得我们在工作开展的时候，只需要召集业务流程评价底稿填写人来进行业务流程及相关资料、证据文件的核对即可，判断各业务流程环节究竟是设计缺陷还是遵循缺陷，如果客户在实际执行过程中的实际业务与所描述的流程不一致，则判断是实际执行过程中有业务活动，但所描述的流程中没有，对于此类业务将归并为“设计缺陷”，反之则归并为“遵循缺陷”。对于存有“缺陷”的类型，还需判断相对应的风险等级的大小，当然，对于风险等级的大小，基本上都是采取“我们先判定一个等级，然后征求客户高层领导的意见”进行。

     判断完“缺陷类型”和“风险等级”之外，我们将根据所自评价出来的底稿填写一份“内控自评价结论”，内容包括“流程自评价结论”和“关键控制点评价结论”以及“综合评价结论”等内容。

     由于自己以前做了不少风险管理项目，对于风险的整套流程非常的清楚，同时也为不少企业制定了不少重大风险的解决方案或改进建议，所以，通过这次内控自评价工作，让我对“内部控制和风险管理的区别”的认识，除了有上述开头存在的认识之外，发现“内部控制和风险管理”还存在一个很大的区别，那就是“内部控制是解决制度、办法、手段、表格、流程等有无的问题”，而“风险管理除了解决上述问题之外，还要解决上述情况是否有效方面的问题”。在当前财政部要求各上市企业、国有企业开展内部控制的背景下，各上市公司、国有企业开展的内部控制基本上还是围绕“有无”的问题，只有“优化”、“固化”的问题在目前还显得有点为时过早。