一、內部控制在企業(yè)應用中的局限
內部控制是社會經濟發(fā)展和企業(yè)管理實踐的必然產物，是企業(yè)制度的重要反映，經歷了內部牽制、控制制度、會計控制、整合控制、風險管理等發(fā)展階段。1992年COSO的《企業(yè)內部控制――綜合框架》①強調對企業(yè)經營的效率效果、財務報告的可靠性和相關法規(guī)的遵循性等目標，該框架一經發(fā)布即被企業(yè)廣泛接受和采用。2002年美國國會和政府通過的薩班斯―奧克斯利法案（簡稱SOX法案）②對企業(yè)財務報告的可靠性和信息披露提出了嚴格要求，并將COSO《企業(yè)內部控制――綜合框架》作為企業(yè)合規(guī)要求的主要參考標準，該法案進一步推動了內部控制在企業(yè)的實施。2004年COSO發(fā)布的《企業(yè)風險管理――整合框架》強調風險管理對戰(zhàn)略制定和實施過程的保證，體現(xiàn)了內部控制向風險管理的演變，但該框架由于是主要延伸了內部控制的思路和方法，大多企業(yè)在實施過程中與內部控制的差異不大。
內部控制對企業(yè)控制風險、完善內部制度和規(guī)范管理程序等發(fā)揮了重要作用，但隨著內外部環(huán)境的不確定對企業(yè)影響的加劇，內部控制的局限性制約了復雜風險的管理需要。
?。ㄒ唬╋L險觀的局限
內部控制將風險的概念定位于損失的可能性這一表述，關注于管理中可能存在的缺陷、制度和流程的遵循等流程層面的風險，但對制度和流程之間的聯(lián)系、決定制度與流程的企業(yè)因素、外部環(huán)境的影響等方面的整體層面風險關注不足，而這些風險恰恰是企業(yè)影響最大、最應關注的風險。
（二）控制手段的局限
內部控制手段往往局限于規(guī)范流程上的審批、審核、權責配置等有限手段，缺乏針對戰(zhàn)略及業(yè)務等整體層面風險的戰(zhàn)略性措施和結構性管理手段，如業(yè)務結構的調整、客戶導向的管理機制、外部合作關系變化等高級手段，而這些是解決整體層面風險的必需手段，也是落實流程內部控制的基本依據(jù)。
?。ㄈ┛刂茩C制的局限
內部控制強調以制度和流程為基礎的日常控制程序，主要體現(xiàn)在對業(yè)務流程固有風險的常態(tài)化控制，對流程相關企業(yè)整體層面的風險和需要整合管理的風險通常無能為力，并難以適應環(huán)境變化和企業(yè)風險管理能力、資源變化而需要實現(xiàn)的優(yōu)化控制。
2006年國務院國資委發(fā)布的《中央企業(yè)全面風險管理指引》 ③提出了一套系統(tǒng)的風險管理框架，更加關注于企業(yè)整體層面的風險管理，并將內部控制作為風險管理體系的重要組成部分，但仍未具體明確與內部控制的整合方法，因此在復雜的業(yè)務流程風險控制上仍主要借助內部控制的方法。2008年財政部等五部委發(fā)布的《企業(yè)內部控制基本規(guī)范》④是對傳統(tǒng)內部控制的繼承和發(fā)揚，并借鑒了《中央企業(yè)全面風險管理指引》中的一些風險管理方法，拓展了內部控制對企業(yè)戰(zhàn)略和整體風險的關注，但在如何實現(xiàn)對企業(yè)整體層面風險與業(yè)務流程的內部控制之間的聯(lián)系仍未具體明確。
二、基于風險管理的內部控制方法
傳統(tǒng)的內部控制難以適應風險的變化和整體層面風險管理的需要，發(fā)展中的全面風險管理方法對業(yè)務流程上的風險控制缺乏有效手段，因此，綜合內部控制與全面風險管理方法成為企業(yè)的必然選擇。筆者在研究中發(fā)現(xiàn)，內部控制與風險管理的方法可以通過整合實現(xiàn)優(yōu)勢互補，可以通過風險管理的方法解決整體層面的風險管理，并以其形成的風險解決方案為基礎，結合內部控制落實流程上的風險控制，即通過基于風險管理的內部控制整合解決企業(yè)各層面的風險。同時，基于風險管理的內部控制進一步強調以風險為導向，以風險識別和評估為基礎控制風險，繼而分析、設計和實施內部控制。
基于風險管理的內部控制主要包括三個方面的內涵：一是以風險管理的方法解決傳統(tǒng)內部控制的局限，特別是解決企業(yè)整體層面風險；二是在業(yè)務流程上相應采用內部控制的手段落實整體風險解決方案，并解決流程層面的風險；三是強調風險為導向的控制策略與內部控制措施?；陲L險管理的內部控制主要方法結構如圖1所示。
具體來講，基于風險管理的內部控制需要在風險評估、風險控制策略和控制方案、風險管理組織職責、內部控制手段等方面實現(xiàn)整合，表現(xiàn)為一個閉環(huán)的管理過程（如圖2所示）。
?。ㄒ唬┱巷L險評估
風險評估以業(yè)務目標為基準，考慮到業(yè)務活動中的內外部風險因素，從風險的不確定性對業(yè)務目標的影響角度實現(xiàn)對整體層面風險與流程層面風險的整合評估。同時，分析風險的具體成因和影響方式，并確定需要重點管理的風險。
?。ǘ┲贫L險控制策略與控制方案
基于風險管理目標和不同的風險及其特征，特別是針對重大風險，制定相應的控制策略，包括規(guī)避、接受、控制、轉移等，以及實現(xiàn)控制策略的具體風險控制方案。風險控制方案包括整體層面風險的風險管理措施、流程層面風險的內部控制措施等，為優(yōu)化組織職責和具體落實流程內部控制提供指導方向。
（三）優(yōu)化風險管理組織職責
根據(jù)風險控制方案調整或優(yōu)化具體的組織職責，并利用內部控制的方法明確業(yè)務活動的制衡關系、重要的決策授權權限和關鍵業(yè)務環(huán)節(jié)的分工界面等。特別需要強調，在業(yè)務流程中落實風險管理三道防線的職責關系，根據(jù)風險控制職責分工、風險管理專責機構的定位等，將具體職責與關鍵控制環(huán)節(jié)結合起來落實。
?。ㄋ模┞鋵嵙鞒虄炔靠刂?
根據(jù)風險控制方案，實現(xiàn)內部控制措施對風險控制方案在具體業(yè)務流程中的承接和落實。同時，在流程上設置關鍵控制點，具體規(guī)范控制措施、控制責任、控制方式以及控制檢查手段等，并修訂和完善相關制度及標準。
（五）監(jiān)督與改進
強調風險管理第二、三道防線的作用，通過關鍵控制點的控制檢查及時監(jiān)督內部控制的執(zhí)行情況，同時，采用內控自評價和內控審計等實現(xiàn)內部控制的改進及持續(xù)提升。
三、供電企業(yè)業(yè)擴報裝業(yè)務流程的應用實踐
供電企業(yè)的業(yè)擴報裝業(yè)務是指為客戶提供新裝、增容及變更用電，從受理申請到正式供電的全過程，包括為客戶提供用電咨詢、受理用電申請、設計供電方案、供電工程設計與施工管理、裝表接電等14個主要流程的全過程服務，涉及營銷、客服中心、生產技術部、發(fā)展策劃部、計量中心、調度中心等多個職能與業(yè)務管理領域，業(yè)務與管理的復雜程度較高。其中，客戶服務中心履行業(yè)務的主體職責，發(fā)展策劃部、生產技術部、調度中心、計量中心、招投標管理中心、法律部履行輔助職責，營銷部履行政策及制度標準制定和監(jiān)督檢查職責，但基建部、監(jiān)察部、風險管理主責部門的職責在現(xiàn)有業(yè)務中未有體現(xiàn)。
供電企業(yè)的業(yè)擴報裝業(yè)務主要采用傳統(tǒng)的內部控制方法，有著一套相對完整的制度體系和流程體系，遵循國家和地方相關行政法規(guī)、國家電網公司相關規(guī)章制度以及企業(yè)自身的管理制度，已經實現(xiàn)了對一般流程風險的有效控制。然而，隨著業(yè)務環(huán)境的變化，不確定因素對業(yè)務的影響顯著，傳統(tǒng)的內部控制已難以適應風險管理的要求。
?。ㄒ唬I(yè)擴報裝業(yè)務主要風險與風險特征
通過對業(yè)擴報裝業(yè)務風險的整合評估，確定了業(yè)務相關的12項風險和若干風險點，包括客戶服務風險、依法合規(guī)風險、工程設計與可研風險、工程招標及采購風險、多經風險、生產運行風險、電能計量風險、管理機制風險、工程概預算管理風險、廉政監(jiān)察風險、工程施工風險、生產設備設施風險等。其中，風險主要集中在確定供電方案與收費方案、供電工程設計與審查、供電工程施工、電費管理與監(jiān)督檢查等幾個關鍵環(huán)節(jié)。各項風險反映了不同的風險特征，主要表現(xiàn)在如下方面：
多經風險、管理機制風險、廉政監(jiān)察風險、工程招標及采購風險反映出的風險特點主要是影響整個業(yè)務流程的整體層面風險。其中，多經風險反映了供電企業(yè)與附屬多經企業(yè)之間的管控關系模糊、關聯(lián)交易不規(guī)范和供電企業(yè)對多經企業(yè)保護等問題對業(yè)擴報裝業(yè)務優(yōu)質服務的不利影響，并可能由此產生違規(guī)和廉政風險；管理機制風險主要反映了流程部分管理職責缺失、部分部門的職責定位不合理、組織職責不明確和流程環(huán)節(jié)工作界面不清晰等問題對業(yè)務流程的影響；廉政監(jiān)察風險主要反映在業(yè)務流程廉政問題顯現(xiàn)和相關廉政監(jiān)察機制缺失方面的問題，可能仍將產生廉政風險；工程招標及采購風險主要反映了代理客戶招標和直接收取工程款項的管理方式可能違背“三不指定”（即不指定工程設計單位、不指定隊伍、不指定設備材料）的要求，并可能產生廉政風險。
・生產設備設施風險反映了供電企業(yè)因電網基礎設施的投入不足、電網布局不合理等原因產生的供電能力不足的問題，在短期內難以解決。
・其他風險，包括客戶服務風險、依法合規(guī)風險、工程設計與可研風險、工程概預算管理風險、工程施工風險、生產運行風險、電能計量風險等，主要反映了供電企業(yè)在業(yè)務活動的流程設計與執(zhí)行方面的問題。
（二）風險控制策略與控制方案
為有效控制業(yè)擴報裝業(yè)務風險，采用基于風險管理的內部控制方法，優(yōu)化和提升供電企業(yè)業(yè)擴報裝業(yè)務流程內部控制。首先明確業(yè)擴報裝業(yè)務風險控制的主要目標：
・保證符合國家、行業(yè)法律法規(guī)要求，滿足國網公司基本政策和公司內部制度規(guī)定。
・確保接電運行后電網安全可靠。
・合理控制接電成本、線損成本等，并努力提高業(yè)務收益。
・客戶導向，為客戶提供高效和高質量服務。
・杜絕業(yè)務過程中的廉政與行風問題。
基于風險控制的目標要求和風險偏好，以風險為導向，并根據(jù)各項風險的特征，制定風險控制策略和控制方案，其中：
・多經風險采用風險控制策略，調整與多經企業(yè)的業(yè)務管控關系，規(guī)范關聯(lián)交易和業(yè)務過程，從而降低風險發(fā)生的可能性和影響，并在設計與施工單位資質管理、工程招標、工程施工質量控制等活動中按調整后的方案控制。
・管理機制風險采用風險控制策略，增加基建部門、紀檢監(jiān)察部和風險管理專職機構在業(yè)務流程相關環(huán)節(jié)中的作用，優(yōu)化客服中心在業(yè)務中的定位及具體職責，明確業(yè)務相關各個部門的具體職責和關鍵環(huán)節(jié)的工作界面。
・廉政監(jiān)察風險采用風險規(guī)避策略，增加紀檢監(jiān)察部在易產生廉政問題流程環(huán)節(jié)的監(jiān)督與檢查職責，并規(guī)范具體的檢查措施。
・工程招標及采購風險采用風險規(guī)避策略，調整代理客戶招標模式，規(guī)避代理合同風險，并取消代收工程款項的規(guī)定。
・生產設備設施風險采用短期風險接受的策略，短期內接受該風險對企業(yè)的不利影響，長期通過設備設施的發(fā)展、更替等降低風險的可能性及影響。
・客戶服務風險、依法合規(guī)風險、工程設計與可研風險、工程概預算管理風險、工程施工風險、生產運行風險、電能計量風險等各項流程層面的風險根據(jù)其風險特征，分別采用風險規(guī)避或控制等策略措施，并明確具體的風險控制措施。
?。ㄈ╋L險管理的組織職責
根據(jù)風險控制策略和控制方案，具體調整和優(yōu)化業(yè)務相關部門的風險管理組織職責，包括：增加基建部對工程設計圖的審核職責，增加風險管理專職部門對關鍵控制點的風險控制檢查職責和監(jiān)察部的廉政風險檢查職責，調查客戶服務中心獨立現(xiàn)場勘察和中間檢查的職責，強化營銷部業(yè)務程序與標準的控制職責，強化發(fā)展策劃、生產技術、調度中心和計量中心在相關環(huán)節(jié)中的風險控制職責等。
同時，具體明確業(yè)擴報裝的不相容職責、主要授權審批權限，并規(guī)范各部門在關鍵流程上的分工界面等，其中：
・不相容職責包括供電方案設計與供電方案審批、供電方案設計與供電合同審批、工程咨詢與工程招標、設計圖審核與工程招標、工程招標與中間檢查及竣工驗收、裝表接電與運行檢查等。
・授權權限包括受理客戶申請、確定供電方案與收費方案、設計圖審核、施工單位審核、中間檢查、竣工驗收、確定計量方案、供電合同審批等權限，在企業(yè)內部領導層和部門間合理分配相應的授權。
・工作分工界面包括客戶中心、營銷部、發(fā)展策劃部、生產部、基建部、調度中心、計量中心、經法部、風險管理專職部門、監(jiān)察部等部門在前期咨詢、用電申請與受理、現(xiàn)場勘察、供電方案與收費方案設計、供電方案與收費方案審批、工程設計與施工招標、工程設計圖審核、工程施工、中間檢查、竣工驗收、簽訂供電合同、裝表接電、常規(guī)運行等環(huán)節(jié)的具體工作分工界面。
?。ㄋ模┝鞒虄炔靠刂?
基于風險控制策略與控制方案，并在完善風險控制職責的基礎上，采用流程內部的方法具體落實風險控制方案，包括：
・明確業(yè)擴報裝各項流程的流程目標，流程相關部門的工作職責，并以流程圖和流程說明的方式規(guī)范具體流程程序。
・確定各項流程的關鍵控制點，規(guī)范控制點的控制部門和控制崗位、具體的控制措施和控制標準、控制的制度與標準依據(jù)、控制頻率和控制方式等，形成內控矩陣。
・選擇關鍵控制點，確定控制點的檢查方法、檢查責任和檢查頻率，作為內部控制的保障措施。
・根據(jù)確定的流程內部控制措施，修訂和完善相關的制度和標準，落實業(yè)擴報裝業(yè)務流程內部控制的制度保障。
?。ㄎ澹┍O(jiān)督與改進
業(yè)擴報裝業(yè)務流程的內部控制采用過程監(jiān)督、內控自評估和內控審計的方式保證內部控制的有效性。
・過程監(jiān)督主要基于內部控制檢查的方法，由風險管理專責部門按照關鍵控制點的檢查方法檢查關鍵控制點的執(zhí)行情況，并由紀檢監(jiān)察部檢查廉政情況，根據(jù)檢查結果做出及時改進。
・內控自評估主要由業(yè)務流程相關部門定期對本部門的內控執(zhí)行情況做出評估，并提出自我改進的意見。
・內控審計主要由內審部門根據(jù)年度風險評估情況，選擇業(yè)擴報裝業(yè)務相關重大風險，執(zhí)行重大風險相關內控審計。
四、結語
基于風險管理的內部控制是綜合了風險管理與內部控制相對優(yōu)勢而形成的系統(tǒng)性方法，是當前風險管理與內部控制理論及方法仍不成熟階段風險控制的有效選擇，也是未來實現(xiàn)內部控制與風險管理整合的有益探索。基于風險管理的內部控制方法在供電企業(yè)業(yè)擴報裝業(yè)務流程的實踐應用證明了該方法的有效性，也為類似業(yè)務的風險控制提供了具體參考。
應該指出的是，基于風險管理的內部控制方法在控制機制方面仍然未達到全面風險管理的效果，企業(yè)需要在實踐中不斷探索和完善，也是未來風險管理與內部控制整合工作需要進一步研究的內容。
