【導讀】高層管理人員一直在探求更好的企業(yè)經營控制之道。內部控制致力于促使企。業(yè)向著贏利和完成自身使命的目標運行，并使這一過程中的意外最小化。制使管理層能夠應對瞬息萬變的經濟和競爭環(huán)境，客戶不斷變換的需求和偏好，并進行重組以利于公司的未來發(fā)展。內部控制有利于提高企業(yè)經營效率，降低資。產損失風險，有助于保證財務報表的可靠性、企業(yè)經營活動的合法合規(guī)性。內部控制日益被視為諸多潛在問題的解決方案。監(jiān)管當局和其他人士之間容易引起混淆。由此造成的誤解和期望值的差異往往給。一旦內部控制這一名詞未經清楚定義就寫入法律、規(guī)章或規(guī)則，各類企業(yè)都能以此對其內部控制制度進行評估和改進。行為體現在整個企業(yè)的不同層次和不同部門中。查證、核對、復核經營業(yè)績、資產保護和職責分工等活動。以便員工履行職責。營決策和對外報告相關的外部事件、行為和條件等。匯報，性質嚴重的應上報最高管理層和董事會。境自動作出反應。

　　

【正文】 另一類目標之間有交叉，或為其提供支持。例如，“每季度在 10 個工作日內總結”，可能主要是一個經營目標， —— 用于管理層定期會晤，核查企業(yè)業(yè)績。但它也支持定期財務報告和及時向監(jiān)管機構遞送報表?！跋蜍囬g管理層及時提供原材料生產訂單 的準確數據”的目標，可能與所有三類目標相聯系。這一數據支持關于改變生產訂單的決策（經營），促進監(jiān)督危險的浪費（遵循性），提供成本核算的原始數據（財務報告和經營）。 另一類目標與“資源保護”相關。盡管這些主要是經營目標，某些方面的保護可能歸在其他類下。企業(yè)資產和其他資源的有效利用，避免資源因偷盜、浪費、無效利用或決策失誤（如賤賣資產，信用擴張到高風險水平，未能留住核心人員或專利受到侵占，或發(fā)生了預算外的負債）而受到損失，這些都屬經營目標。但只要適用了法律和法規(guī)要求，這些就可以歸屬遵循性目標。另一方面，確保任 何資產損失都已在財務報表中正確披露的目標又可歸屬財務報告目標。 一項目標的歸類有時取決于環(huán)境。繼續(xù)關于資產保護的討論，防止資產被偷盜的控制 —— 如在存貨周圍進行隔離，商品移動的授權得到保管的確認 —— 歸屬經營目標。這些控制一般與財務報表編制的可靠性不相關，因為任何存貨損失可以根據定期實物盤點和與賬面記錄進行核對來發(fā)現。然而，如果出于財務報告的目的，管理層完全依賴永續(xù)盤存制記錄，通常中期報告都是如此，實物保護控制也歸屬財務報告類目標。這是因為實物保護控制，連同永續(xù)盤存制記錄的控制，都被用作保證財務報告的可靠性。 目標分類間的區(qū)別和聯系可用銀行的商業(yè)借貸行為進一步表示出來。出于舉例目的，假設存在控制以保證信貸文件包含現有客戶的信用歷史和業(yè)績數據。在此例中進一步假設銀行信貸員在作出借貸決定時并不應用這一信息。相反的，對超過最高信貸額借款的批準，甚至是限制的增加都通過直覺進行。然而，財務管理通過定期復核以確定貸款損失準備的合適水平。在此案例中，對經營的控制存在很大缺陷，而對財務報告的控制卻非如此。實際上，這類經營上松散的控制將會導致難以接受的利潤成果。最初的端倪可能顯示在業(yè)績指標上，然后是較低的利潤水平抑或損失 —— 這 需要向管理層，如果十分嚴重，還須向董事會提出調查和行動的需求。這樣，財務報告控制可能有利于發(fā)現經營缺陷，表明它們的關系，但是缺陷僅存于經營控制中。 聯系 目標之間應該是互補和相互聯系的。企業(yè)層面的目標不僅應該與企業(yè)的潛能和未來發(fā)展相符，而且必須與各業(yè)務部門和職能單位的目標相一致。企業(yè)層面的目標須分成一些子目標，這些子目標應與總體策略相符、且和貫穿企業(yè)的操作層目標相聯系。 只要企業(yè)層面的目標與以前的實踐和業(yè)績相符，企業(yè)操作層目標之間的聯系就一目了然。然而，如果目標偏離企業(yè)過去的實踐，管理層必須注意目標間的 聯系或承受更大的風險。鑒于目標偏離企業(yè)過去的實踐，需要一些與新方向相符的業(yè)務部門或職能單位子目標就更加重要了。 37 “通過內部提升來充實更多的管理人員”這一目標很大程度依賴于相互聯系的人力資源程序（如接任計劃、評估、培訓和發(fā)展）中的子目標。如果過去的實踐大部分依賴外部招聘，那么這些子目標可能要大幅修改。 操作層目標應很清楚，易于理解，以便從事該操作的人能實現其目標。這些目標還必須是可衡量的。人事部門和管理層必須對需要實現什么達成一致，并有方法確定目標被完成的程度。 涉及某一操作目標的范圍和效果也是相關的。 多數企業(yè)為每種操作確定一些目標，從企業(yè)層面的目標到與遵循性和財務報告目標相關的標準。例如采購，經營目標可被確定為： ? 購買符合既定工藝規(guī)格的產品； ? 談判取得可以接受的價格和其他條件； ? 每年復核和再次確認重要的供應商。 實現為某一操作設立的所有目標，需要耗費資源；因此將某一操作的整套目標與可獲得的資源聯系在一起，是有益的。減輕資源限制壓力的一個方法是對那些不支持企業(yè)層面目標和企業(yè)經營過程的操作目標進行提問。通常，一個職能單位可能有一些從過去實踐繼承的不相關目標（如編制常規(guī)的但卻無用的月報）。 還有一個平衡目 標和資源的方法是分出那些對實現企業(yè)層面目標至關重要的操作目標。并非所有目標的重要性都是一致的，因此一些企業(yè)將目標區(qū)分優(yōu)先次序。企業(yè)可能認為某些操作目標是關鍵的，密切關注與這些目標相關的操作。這一主張反映了前面討論的“關鍵的成功因素”概念，這一概念認為“必須做正確的事”以使企業(yè)目標得以實現。 目標的實現 如前提及，確立目標是有效內部控制的前提。目標提供了指導企業(yè)活動前進的可度量的目的地。雖然企業(yè)應對某些目標的實現有合理保證，但并非對所有的目標都是如此。 如同第一章所討論的，有效的內部控制應對企業(yè)財務報告目 標的實現提供合理保證。類似的，對遵循性目標的實現也應提供合理保證。這兩類目標主要建立在獨立于企業(yè)目的的外部標準的基礎之上，因此其實現大部分在企業(yè)控制之內。 但經營目標則有所不同。首先，它們并非建立在外部標準之上。其次，企業(yè)可能按照預期運行，卻可能因競爭者而脫離運行軌跡。它還可能受不可控制的外部事件的影響 —— 政府的變化，惡劣的天氣等。企業(yè)甚至可能在目標制定的過程中考慮到這些因素，將其視為低概率因素，并準備了應急計劃。然而，這樣的應急計劃僅僅減輕了外部事件的影響，并不能確保目標的實現。為實現目標的良好經營并不 能確保成功。 在合理保證的范圍內，內部控制的目標主要關注于：培養(yǎng)貫穿整個企業(yè)的目 38 標的一貫性，辨別主要成功因素和及時向管理層報告業(yè)績和期望。雖然不能確保成功，管理層應能合理保證 —— 當目標存在不能實現的危險時可及時得到警告。 風險 識別和分析風險的過程是一個重復不斷的過程，并且是有效內部控制制度的關鍵組成部分。管理層必須仔細關注企業(yè)各層次的風險并采取行動來管理風險。 風險識別 企業(yè)的經營可能因內部或外部的因素而存在風險。而這些因素，又能影響明示或隱含的目標。如果目標日益偏離過去的表現，風險便隨之增加。在一些 行為領域，企業(yè)因考慮到所能接受的行為，常常不設立明示的企業(yè)層面目標。雖然在這些情況下，可能沒有一個明示或書面的目標，但卻有一個暗示的目標 —— “無變化”或“就象這樣”。這不意味暗示的目標不存在內部或外部的風險。例如，一個企業(yè)可能認為其對顧客提供的服務是可以接受的，但由于競爭對手做法的改變，其服務在客戶看來，卻可能惡化了。 無論一個目標是明示或隱含的，企業(yè)風險評估的過程都應考慮到可能發(fā)生的風險。風險識別應是全面而復雜的，這很重要。它必須考慮企業(yè)和相關外界之間的所有重大相互影響，包括有關商品、服務和信息等。這些 外界包括潛在和現有的供應商、投資者、債權人、股東、雇員、客戶、買方、中介、競爭對手、公共機構和新聞媒體。 風險識別是一個重復的過程并與計劃過程緊密結合。利用“白紙”法來考慮風險也是很有益的，而不僅將風險與過去的回顧相聯系。 企業(yè)層面。 企業(yè)層面的風險來自于外部或內部因素。包括： 外部因素 ? 技術發(fā)展會影響研發(fā)的性質和時機，或帶來采購的變化。 ? 不斷變化的客戶需求和期望會影響產品開發(fā)、生產流程、客戶服務、定價或保修。 ? 競爭會改變企業(yè)營銷或服務活動。 ? 新的法律和法規(guī)可能要求經營政策和策略的改變。 ? 自然災害可能導 致經營或信息系統(tǒng)的改變以及強調對或有損失制定應急計劃的需要。 ? 經濟形勢的變化可能對有關融資、資本支出和擴張的決策產生影響。 內部因素 ? 信息系統(tǒng)運行的中斷會對經營產生負面影響。 ? 雇員的素質和培訓、激勵的方法可能對企業(yè)中的控制理念產生影響。 39 ? 管理層職責的改變可能影響實施某些控制的方式。 ? 企業(yè)經營活動的性質、員工對資產的接觸途徑可能對資源的挪用產生影響。 ? 非強硬的或無效的董事會或審計委員會可能為輕率的行為提供機會。 有許多技巧被發(fā)展用于識別風險。其中多數 —— 尤其是那些被內外部審計師 發(fā)展用于確定審計業(yè)務范圍 的技巧 —— 涉及將風險排列優(yōu)先次序以及識別更高風險行為的定量或定性的方法。其他實踐包括：對影響企業(yè)業(yè)務的經濟形勢和行業(yè)因素的定期復核，高層管理人員的商業(yè)計劃會議以及與行業(yè)分析師的會晤。識別風險與企業(yè)的短期、長期預測和戰(zhàn)略規(guī)劃密切相關。企業(yè)選擇何種方式識別風險并不特別重要。重要的是管理層必須仔細考慮那些導致或增加風險的因素。一些需要考慮的因素包括：過去未能實現目標的教訓；人員素質；影響企業(yè)的變化因素，如競爭、法規(guī)、人事等；地理上業(yè)務活動的分散程度，特別是國外業(yè)務；某一業(yè)務活動對企業(yè)的重要性；以及業(yè)務活動的復雜性 。 舉例說明：一個服飾和鞋類的進口商確定了企業(yè)層面的目標為成為高質量時尚商品的行業(yè)帶頭人。在企業(yè)層面需要考慮的風險因素包括：供應商資源：國外制造商質量、數量和穩(wěn)定性；外匯匯率變動的風險；運輸的及時性和海關檢查延誤帶來的影響；運輸公司的有效性、可靠性和成本；國際敵視和貿易禁運的可能性；以及在國外的當地政府采取了不接受的政策時，客戶和投資者抵制經營活動的壓力。還有一些需考慮的更具一般性的風險，如經濟條件惡化的影響，產品的市場接受度，企業(yè)市場上出現新的競爭者，以及環(huán)境或監(jiān)管法規(guī)的變動等。 識別企業(yè)層面的導致風 險的內、外部因素對有效的風險評估非常重要。一旦確定了主要的風險因素，管理層就可以考慮它們的重要程度，并盡可能將這些風險因素與業(yè)務活動聯系起來。 操作層面。 除了識別企業(yè)層面的風險外，還應識別操作層面的風險。應對這個層面的風險有助于將風險評估的重點放在重要的業(yè)務和職能部門上，如銷售、生產、營銷、技術發(fā)展和研究開發(fā)。對操作層面風險的成功評估還有助于將企業(yè)層面風險保持在可以接受的水平。 40 許多例證表明，針對明示或隱含的目標，可以識別很多不同的風險。如在采購循環(huán)中，企業(yè)可能有一個與保持充足原材料存貨相關的目標。未實 現這一操作目標的風險可能包括商品不符規(guī)格，或送來的訂貨數量不足、不及時、價格不合理等。這些風險可能會影響與供應商溝通訂貨規(guī)格的方式，產品預測的適當性及其利用，確定其他供貨源和進行談判等。 未能實現目標的可能原因包括明顯或模糊的、對企業(yè)潛在影響重要或不重要的風險。當然，那些對企業(yè)有重大影響、明顯的風險應該識別。為了避免忽略相關風險，這類風險識別最好和風險發(fā)生可能性的評估分開。然而風險識別過程具有現實的局限性，而且劃定界限、確定在哪里是很難的?？紤]流星墜落到公司生產設備上的風險是荒唐的，但考慮飛機墜毀對機場跑 道附近設備的影響卻是合理的。 風險分析 識別企業(yè)層面和行為層面風險后，企業(yè)需要進行風險分析。風險分析的方法多種多樣，主要因為許多風險難以量化。不管怎樣，風險分析的過程 —— 可能多少有些正式 —— 通常包括： ? 估計風險的重要性程度； ? 評估風險發(fā)生的可能性（或頻率）； ? 考慮如何管理風險 —— 即評估需要采取何種措施 對企業(yè)無重大影響的風險和發(fā)生概率較低的風險通常無須仔細的考慮。相反，具有較高發(fā)生概率、影響重大的風險常需要周詳的考慮。間于兩者之間的情況需要較難的判斷。合理而詳實的分析是重要的。 有很多方法用于評估已 識別的風險帶來的損失成本。管理層應對之了解，并恰當地應用它們。然而，很多風險無法確定其規(guī)模。它們至多只能被描述為“大的”、“ 中的”、或“小的”風險。 一旦評估了風險的重要性和發(fā)生概率，管理層需要考慮如何管理風險。這涉及基于對風險假設的判斷，以及對降低風險水平所需成本的合理分析。降低重大的或可能發(fā)生的風險的措施包括管理層每日做出的無數決策，從確定其他供貨源或擴大產品線到獲取更具相關性的經營報告或改進培訓計劃等。有時措施會實實在在消除風險或抵銷其影響。如價值鏈的垂直整合以降低供應風險、金融風險的套期保值和取 得充分的保險等。 41 注意： 風險評估，作為內部控制的組成部分，與計劃、程序或其他管理層認為必要來處理風險的行為是有區(qū)別的。這些行為，如同前面所討論的，是更大范圍管理過程的一部分，而非內控系統(tǒng)的組成部分。 與管理風險的行動聯系在一起的，是確立程序使管理層能對這些行動的執(zhí)行和效果予以追蹤。例如，企業(yè)一項用于防范電腦服務損失風險的措施就是制定一個系統(tǒng)災難恢復計劃。然后實施相應的程序以確保計劃制定和執(zhí)行適當。這些代表“控制活動”的程序將在第四章討論。 在制定附加的程序之前，管理層應仔細考慮現有程序對于控制已識別的 風險是否合適。因為程序可能滿足多重目標，管理層可能發(fā)現一些附加的行動得不到保證；現有程序可能已經足夠或需要執(zhí)行得更好。 管理層還應認識到可能總會存在一些殘留的風險，不僅因為資源總是有限的，還因為每個內控系統(tǒng)都有內在局限性。這些將在第七章討論。 風險分析并非只是理論上的。它通常對企業(yè)的成功很重要。當它涵蓋了所有重大業(yè)務過程中的風險識別時，最為有效。它可能涉及過程分析，如主要依賴方面和關鍵控制點的識別、確定明晰的職責。有效的過程分析特別關注組織內的橫向關聯，對例如數據的來源、儲存、如何轉化為有用信息和誰使用 這些信息加以識別確認。大型組織特別需要警惕公司內部和公司之間的交易和主要關聯。這些過程可能會受到質量規(guī)劃的積極影響，質量規(guī)劃一旦被雇員廣泛采納，可成為風險防范的重要組成部分。 不幸的是，有時風險分析的重要性被認識得太晚了，正如一家知名金融服務公司的高級管理人員所說的一句名言：“我們只是沒有意識到面臨這么多風險?！?