爱华网系列专题：《国有企业内部控制框架》
我们倡导的大监督有别于一般的强调权力链条上的审批式监督和流程环节的记录式监督等现场监督，而是离场的、审计式的、大范围的监督，这样既不影响效率，又维持了对滥用权力的威慑。其基本的运作机理是首先根据公司政策和运营实际设立一系列的指标，通过预警系统发现运营指标的偏差，指示内部审计的方向和频率，通过内审发现偏差的原因和修正的方向，通过外审的独立视角确认经营的结果，并通过考核设置，激励经营者和操作者向公司预期的方向努力，以取得预期的经营结果。大监督是整个内部控制机制监督系统的一部分，运作重点上偏于对权力行使的监督，而不是对所授权力的制约。 （五）五大保障措施 如前文所述，我国国企内部控制的主要缺失包括治理结构、文化、管理基础、风险应对能力、管理制度与流程、信息沟通和监督等方面，在确定五大保障措施时，我们充分考虑了国有企业的现状并参考了财政部内部控制基本规范、上交所内部控制指引，以及COSO内部控制框架和COSO企业风险管理框架，综合了1992年COSO内部控制框架以及2004年COSO风险管理框架的研究结果。 1.改善支撑环境 通常的控制环境涉及员工职业道德、管理理念和经营风格、治理结构、组织结构与权责分配、员工胜任能力与人力资源等诸多方面。在国有企业内部控制构建初期，上述环境不可避免地存在缺失，我们强调控制环境的完善不可一蹴而就，需要一个渐近的过程与周期。在治理结构改善的过程中，需要两个责任主体的共同努力，并分段、分层次地进行。首先，在国资委的推动和指导下，改善治理结构；同时管理层要从管理基础和管理手段切入，完善基础管理的支撑体系，例如相对明确的组织设置与职责分工以支撑流程运行，清晰的责权分配以支撑授权审批，基础的核算规范以支撑报告可靠，有效的预算管理体系和业务计划体系以支撑经营权力的下放。在上述工作的基础上加强风险管理文化的建设。 但是，切忌将控制环境完善的外延无限扩展，以避免因内部控制推行的内部控制过于宽泛而影响推行进程。可行的路径应该是分阶段地进行内部控制建设规划，以便较好地解决理论上的控制环境与实务运行间的问题。将控制环境依其对内部控制机制运行的影响度进行分类，随着控制环境日趋完善，企业的内部控制机制也将日臻成熟与完善。 2.提高风险应对能力 提高风险的应对能力在三个层面上体现：一是在风险的识别、分类、评价、确认上提高能力；二是在政策流程上合理选择政策与流程；三是在道德文化层面上对员工进行培训，形成关注风险、防范风险的文化。 风险识别、分类、评估和排序是内部控制建设的起点，是后续政策与流程设计的基础。风险识别、评价等是一个动态的过程，企业在发展，环境在变化，所以企业所面临的主要风险也在变化，为应对这样的变化，企业需要应用风险评价工具箱，定期地对企业的风险进行评价，以把握企业特定阶段的主要风险。 风险评估从业务循环切入，针对关键风险点和风险类别及对经营的影响程度设计关键控制措施，将控制措施融入经营活动，加强内部控制运行实操性。风险评估的方法通常从历史事件分析入手，考虑发展趋势，并辅之以一些修正因子，最终确定评估结果。风险评估的过程要强调风险组合观的应用，切忌孤立地从某一个作业点看待风险。
风险管理政策和流程的建设一方面要强化关键风险点的管理控制，弱化非重要风险点的管理控制，体现效率和控制的平衡；另一方面要突出内部控制设计的动态适应性，解决规范固化与动态发展之间的矛盾，让内部控制政策与流程实现动态更新与自我调节完善。 风险文化的形成是风险应对所要达成的最终目标，成熟的风险管理文化能够使大家对风险管理和应对的各项措施取得一致的认同，形成主动的风险管理环境，使企业自如地应对风险。
