大企业如何加强企业内控和风险管理

大企业如何加强企业内控和风险管理

      为切实加强企业的内部控制，强化风险管理，进一步提高企业应对金融危机的能力，日前，由市委组织部、市政府国资委共同举办的青岛市市属大企业“强化内控·持续发展”高级研修班围绕着企业内控和风险管理等话题展开讨论，为更多企业应对当前经济形势、加快发展提供了宝贵的经验和启示

　　四大需求催生内控体系

　　记者：海尔从2006年开始建内控体系，当时有哪些初衷？

　　海尔集团公司副总裁苏效玺：我们认为海尔建内控体系，主要有四个方面需求：一是公司发展需求。十几年前海尔规模很小，一年销售收入只有十几个亿，企业领导能够管过来，目前海尔已成为全球第四大白色家电制造商，在全球30多个国家和地区建有贸易公司和设计中心，全球有10多个工业园，这么大的规模如果不建内控体系，企业的风险将非常大；第二是全球化品牌战略发展需求。我们与沃尔玛、富士康等合作的时候，他们都会询问企业是否建立内控体系，如果没有建立，他们的审核就会比较严格；第三是经营需求，这是股东投入回报最大化的需要。企业经营者肯定会想方设法发展企业。但从稳健方向来说，还有一个风险管理的需要；第四是集团再造的需求。2007年4月我们提出1000天再造计划，包括组织再造、人的再造、流程再造等，再造对法务部的要求就是全面风险管控。

　　说你做的和做你说的

　　记者：建设内控体系两年了,谈谈您对内部控制的理解吧。

　　苏效玺：我们提炼出八个字，一个是说你做的，一个是做你说的。“说你做的”是指说了什么事情要公开；“做你说的”则是指规定制度、承诺的事情一定要做到。如果能做到这八个字，在一个企业里面内控意识就形成了。这其中最重要的是执行力问题。流程和制度无论多么完善，如果不能得到执行，就会无济于事。有些流程虽然不是很规范，但只要员工做到了，也同样可以取得好效果。

　　提高预防性的全面风险管控

　　记者：一般企业的法务部门主要工作是看合同是否合法，会不会打官司。海尔法务部与他们有什么区别？

　　苏效玺：目前，国外公司中有60%将内控职能放在财务部，放在法律部门的仅占10%左右。我们就是这10%中的一个。

集团要求既不限制经营发展，又要保证风险可控。我们法务部的一个目标就是以风险可控为目标，提高预防性的全面风险管控，支持集团高效、健康、持续发展。比方在合同审核方面，一般都是事后审核，现在是到事前，从商业模式、交易条件、合作方的选择等环节介入，法务人员会参与事前的交易模式和交易条件的确定，我们会把验收、付款等所有业务进行梳理，然后做出提前业务指南或指导，这样业务人员能够基本掌握我们对内控方面的一些要求。只要他按照这个标准做下去，就既能保证业务流畅，又能控制风险。在合同履约的闭环方面，法务人员会监控后续履约，海尔一年几万份合同，我们会分门别类进行监控。

风险管理是个全员内控的理念

　　记者：目前，海尔的内控体系取得较大成效,您认为体现在哪些方面？

　　苏效玺：海尔内控成效主要体现在以下三个方面：第一，内控文化的氛围初步形成；第二，内控实现了由控制风险向关注战略目标转变。过去只要是上级规定的事情我们就会去做，但现在我们还会看这个事情能不能做，就是要关注市场效果和战略目标是否能实现；第三，由控制结果向控制过程转变。过去法务部处在最后端，出了问题来打官司，人家报合同我们审合同。现在我们要控制过程，从一开始就参与，保证每个过程都有效。并不是说所有业务都由法务部来做决定，我们只是参与但不干预，我们会在方方面面做些支持。

　　记者：在瞬息万变的市场环境中，要使企业零风险无疑是一种天方夜谭。海尔的风险管理有什么特点？

　　苏效玺：海尔最早提出来要保证企业零风险，我们认为零风险是理想状态，实际是做不到的，因为有很多风险可以规避，很多风险可以转嫁，很多风险要去承受，后来我们实现了风险的全面管控，就是我们知道有风险，但不是无底洞。

　　海尔的风险管理是一个全员内控的理念。在海尔，平衡风险的关系与平衡股东、平衡经营的关系同等重要。在美国次贷危机发生后，我们及时做出各类风险对策，比如海尔在全国取消仓库，按单生产，像冰箱一年几千万的产量，库存几乎为零，这样一下子增加了企业的现金流，减小了风险。虽然一定时期会增加管理的难度，但战略上是非常必要的，这也是一种平衡风险的能力。

    　海尔内控体系——事前管控 事中规范 事后闭环

　　海尔集团内控建设由集团法务部牵头，与财务和信息化部门等协同推进。海尔认为，内控体系的主要原则，首先是一个自上而下的内控，需要领导层、董事会、经理层转变观念，真正重视起来。其次还需要一个全流程的控制。比如在质量管控方面，一个岗位一条生产线出现了质量问题，如果只是基于岗位和生产线的角度而不是从全流程的角度来看问题，可能永远找不到问题的本质。

　　综合来说，海尔在内控体系方面建立了事前、事中、事后的程序。事前有管控，比如在员工管理方面，集团参照驾驶员记分的方法建立了员工的诚信档案，累计扣除的分值不同会有相应的措施；事中有规范，集团会对很多要求和规定的执行情况定期检查；事后有闭环，企业经营过程中总会发生一些问题和案件。海尔不会就案件而案件，而是会深查下去，为什么发生案件，是哪个制度、流程、机制出现了问题，怎么去控制，怎么去杜绝，能够从根本上根治，这是海尔对事后的要求。

　　海尔内控体系的愿景是形成预防性和自运营性的内控体系，首先是预防性，第二是自己运行，从领导到员工能够非常自觉、自由地做内控。体现在三个方面，一是流程表单化、表单系统化、系统网络化，每个节点会有科学的表单，员工只要顺着表单填完，就能顺利完成。表单还要系统化，能够支持这个流程的实现。所有的流程和表单，最后都要嵌入到计算机系统，通过计算机系统来管理；第二，将内控的控制点、查核点、授权权限嵌入到流程和系统，比如信息系统里零部件的采购价格，谁去定价、谁去审核、谁去批准都非常明确，这样可以起到分权作用；第三，形成人岗匹配、授权有度、运行有序、监控到位的内控体系

 

青啤致力于打造一体化的企业集团

　　记者：在您看来，内控体系与企业发展之间有什么样的关系？

　　青岛啤酒股份公司总裁孙明波：企业要做大做强首先必须是一个规范的企业、投资者相信的企业。内控体系是其中一个很重要的标准，证明企业可不可以让人相信的一个标准。

　　企业实行风险管理和内控是政策要求，更重要的还是提升公司竞争力的手段。现在企业发展越来越离不开资本市场，越来越离不开投资者，可以说，企业的内部管理、控制好与坏，不仅直接关系到资本市场的融资能力，更关系到企业能否健康可持续发展。

　　记者：我们知道，过去青岛啤酒分了八大区域，经营比较分散，是一种分权式的公司。从内控方面来讲，控制起来比较困难，因为要独立核算。青啤在这方面有没有新的做法？

　　孙明波：过去分散式的经营模式不仅使内控比较困难，从公司一体化运营提升整体实力来讲，又像一个个比较松散的舰队，而没有形成一个联合舰队。这几年，青啤致力于打造一个一体化的企业集团。今年形成了运营中心和制造中心两个中心的模式，未来还要形成一个整体一体化的运营模式。 

　　风险管理是企业生存底线

　　记者：我们每做一件事情都会有风险。您如何理解企业的风险管理？

　　孙明波：风险管理是企业生存的底线，无论怎么强调也不过分，无论是内部管理需要还是外部监管要求，都使得内部风险管理显得日益提高。应该说，内控的目的不是消除风险，也不是降低风险，而是将其控制在我们可承担的风险范围内，为企业经营目标的实现提供合理保证。

　　风险管理可以分为三个阶段，第一阶段是问题反应型，来了问题救火式的反应。第二阶段是规范操作型，是已有制度和流程，但缺少战略指导方针下的风险管理。比较完善的是第三个阶段体系完善型，就是整个公司的风险管理和内部控制是在公司的统一战略指导之下，通过完善的体系和流程和日常的工作来预防和控制风险。无论风险控制也好，内部控制也好，最主要的还是预防，而不是等着风险来了，再采取措施。

　  青啤风险管理——从正规化向体系化运转

　　青啤从2005年开始做企业的风险管理和内部控制的体系建设。青岛啤酒的风险管理体系融合了目标与风险、组织与人才、制度与措施、信息与沟通、企业文化与企业责任等八个要素。目前，青啤公司的风险管理正从正规化向体系化运转。在风险管理与内部控制的具体实践方面，青岛啤酒比较关注五个方面：

　　首先是对资金管理非常重视。近年来，结合内控管理要求和信息化系统建设，青岛啤酒逐渐地向收支两条线、远程资金集中管理这种方式来过渡，以此来防范风险。

　　第二是预算管理。青啤公司的预算管理是公司整体运营的重要组成部分，每年通过董事会批准。青啤认为，预算必须与预测紧密结合起来，最重要是确保收入。如果市场波动影响到了每个月的预算，其他环节马上会做相应调整，否则预算不仅不会起到促进作用，反而会有促退作用。

　　第三是内控监督检查。青啤发布了公司内部控制指引，内控监督检查规定，建立起了完善的内部控制监督检查体系，该体系形成一个闭环流程，确立了内控制度，然后会有监督检查，监督检查以后还要出报告，要出整改通知，还要对整改措施进行考核评价。

　　第四是合同管理，合同管理是风险控制的一个控制点。青啤建立了完善的合同管理制度，对签订代理合同进行了规范，大的合同必须董事会批准。其次是将经常性的合同，固定化、格式化、标准化，凡是签这种合同，必须按这种范本去签。

　　第五是危机管理。青岛啤酒有一些相应的危机管理流程，而且有演练，假设出现什么危机，青啤该怎么应对。最主要是培养出一支业务合格的危机经理，这对整个公司的危机防范起到一定的保障作用

参与国际竞争的“通行证”

　　记者:国外企业的内部控制情况怎样?

　　普华永道会计师事务所北京分所合伙人季瑞华:发达资本主义国家建立现代企业制度已有二百多年了，建立企业内控系统也有五十多年的历史。特别是近年来，安然、世通等大公司财务舞弊、会计造假案件发生后，许多国家都通过立法强化企业内部控制。

　　翻一翻许多企业的历史，会发现这样一种情况：在某个区间段恰恰资金短缺，这时刚好有一笔资金帮助企业渡过了难关。假如那笔钱不在那个区间出现的话，那么今天那个企业很可能已经不存在了。内部控制和风险管理的目的，就是尽量要避免这种情况发生。

　　内控体系无需“建立”

　　记者：有人认为建立内部控制会在一定程度上增加企业成本。您赞同这种说法吗？

　　季瑞华：我不同意建立内控的“建立”这两个字，因为建立意味着从零开始，很多企业本身就有内控体系，可是这些没有写进去。待岗位轮换之后，企业的下一任就会出现情况。所以要建立团队，把现在文字、体系里面的知识、经验形成一套制度，能够在企业里面传承下去，而不是重新编一些新的东西出来。

　　成本效益是内部控制和风险管理的重要元素之一。某种程度上说，内部控制是在增加公司的成本，但可以避免公司发生更大的风险和更负面的影响，去保护公司的价值。

　　强化内审体系

　　记者：海尔、青啤的成功经验表明内审体系的建立健全对企业发展也起着关键作用。您如何看待这个问题？

　　季瑞华：假如企业的内审体系能建立起来，内控就会上一个台阶。中国企业的内部审计职能发展的时间很短，很多时候从业者都从公司退休人员中选用。但国外情况不同，国外要求CEO和财务总裁等领导必须有在内审部门工作过两年的经历。因为内审会让你真正掌握整家企业的经营情况，看清部门之间的关系。这是一个过程，不能一蹴而就。

 

将风险控制在想要的区域里

　　记者：风险有许多不确定因素，有可控有不可控，有未知有已知。您认为风险管理的精要是什么？

　　季瑞华：风险和企业目标之间的关系很复杂，每个企业都会有固有风险，要把风险控制在一个能够满足投资者风险偏好的区域，这需要公司管理层分析掌握自己能够承受的度在什么地方。风险管理的精要是将未知风险变成可控风险，关键是通过管理将很多相互影响的因素统筹好，根据企业的目标去做风险分析，把一些主要风险明确下来，然后找到相应的控制手段、管理手段，最终将风险控制在想要的区域里面。

　　记者：在当前比较严峻的经济环境下，企业该如何可持续发展？

　　季瑞华：面对着金融危机这样严峻的经济形势，企业之间的竞争已经演变为人才和企业内部控制完善程度的竞争，以及防范经营风险能力的竞争。企业应该在加强企业内部控制方面苦练基本功，不断提升核心竞争力，以应对严峻的经济挑战。

　　普华永道会计师事务所北京分所合伙人季瑞华——风险管理的成果是无价的

　　企业内控和风险管理涵盖的元素很多，这其中有几个方面比较关键：

　　要建立一个满足基本规范要求的内控体系需要决策层、高管层政策的推动。管理层要对内控体系及有效实施全权负责，要成立一个专门机构或指定专门机构来做监督工作，建立评价机制和执行自我评价，对内部控制有效性做一个自我评价和年度报告。

　　审计委员会要负责监督内部控制有效实施和执行情况。在基本规范的体系下，一家公司应该成立一个审计委员会，然后也要有一个内审部门去配合;畅通信息与沟通机制，有问题要向董事会、监事会汇报，此外，还要求公司去完善反舞弊机制、举报投诉制度以及举报人保护制度等。

　　激励约束机制，内部控制要纳入绩效考核体系。从国外经验来看，风险的业绩考核，不是直接对缺陷，不是对所发生的问题做考核。对我们来说，关键是控制质量。假如工作做得好，根本就不会出现诉讼等风险，所以内控风险管理中一个关键的方面，就是不能以结果来敲定工作责任，要防患于未然。

　　做内控和风险管理项目，我们很关注像手册、模板等有形成果，但其实像公司总部、子公司在风险控制等方面形成的知识、经验等无形成果才是无价的。这些知识和经验如果用来管理决策，可以进一步地完善企业管理，有了这些，企业才能够更好地应对未来市场的不确定性。这个应对能力的养成才是风险管理和内控的精要。