企业内控风险关键控制点判别标准和方法.docVIP

企业内控风险关键控制点判别标准和方法 　　【摘要】文章旨在通过建立内控风险关键控制点判别标准，对风险控制点和关键风险控制点进行准确甄别，从而指导企业将有限的资源高效、有针对性地用于重要风险的管理上。 　　【关键词】内部控制 风险 关键控制点 标准 　　一、问题的提出 　　2008年，财政部、证监会、审计署、银监会、保监会等五部委联合印发了《企业内部控制基本规范》。2010年4月，五部委进一步下发三项内部控制指引，即《内部控制应用指引》《内部控制评价指引》《内部控制审计指引》。根据五部委要求，这些指引自2011年1月1日起对在境内外同时上市的公司施行，自2012年1月1日起对在上海证券交易所、深圳证券交易所主板上市公司施行，并鼓励非上市大中型企业提前执行。2012年5月4日， 围绕中央企业管理提升活动，国资委启动了中央企业内部控制体系建设工作，要求用两年的时间，在全部中央企业建立起规范的内部控制体系。 　　在此背景下，我国上市公司、非上市大型企业和中央企业纷纷依据上述规范及指引，建立适合自身业务特点和财务状况的企业内部控制体系。在内控体系建设过程中，每个企业都会经历目标设定、风险识别、风险评估、风险应对和监督改进等内控建设工作环节，而针对识别出的内控风险，也会设置相应的控制点进行风险管控。 　　一个风险控制点是否是关键控制点，不仅直接影响到该内控风险是否能够被科学、合理和有效地予以控制，而且会影响到后期内部控制评价和内部控制审计阶段的测试工作量，因此控制点的判别标准在设计内控手段、制定控制措施时至关重要。 　　二、风险控制点与风险关键控制点 　　1.风险控制点定义。风险控制点（Risk Control Point，RCP）是指：“在某一特定的内部控制管理过程中，任何一个失去控制并且不一定产生不可接受的内控风险的环节或步骤。”也就是说，风险控制点是指那些能控制风险因素的任何流程操作环节、步骤或过程。通常而言，这种控制是根据公司良好的业务规章制度、流程管理规范和岗位操作标准等而设置的。风险关键控制点是（Risk Key Control Point，RKCP）指：“一个能够预防和消除一个内控风险的影响或将其减少到可接受风险水平的控制措施。” 　　从定义可以看出，关键风险控制点包括两类：一类是指能够确保内控风险的影响得到有效控制的关键控制点，另一类是只能减少或者降低内控风险影响，但不能确保风险影响得到控制的关键控制点。 　　2. 风险关键控制点与风险控制点的区别。在企业完成内控风险的识别和分析之后，就可以确定风险关键控制点。风险关键控制点将控制因素或控制变量称为可实施的控制措施，而控制措施是指能够用于防止或消除一个内控风险影响，或将其降低到可接受水平的行动或活动。作为管理过程中的“一个环节、步骤或过程”，关键风险控制点原则上不关注企业的基础性管理，如企业文化、管理环境、流程维护、信息化建设等，这些基础性管理都应该通过必要的基础性流程进行控制，关键风险控制点更关注管理流程中的步骤。 　　一般的风险控制点（RCP）可以包括所有的风险问题，而风险关键控制点（RKCP）只是控制与影响目标实现有关的重大风险的影响。但必须注意的是，不应设置太多的风险关键控制点，否则对重大风险的控制就失去了重点。一般的风险控制点与完成一项工作的流程时间、成本或者质量有关，而通常与影响目标实现的风险无关（除非该控制点支持一个关键控制点）。例如，一个资金计划管理流程的执行需要在某个时点按时、准确地完成，其中对于流程执行及时性的控制可被认为是一个一般的风险控制点，而对于影响资金计划准确性目标实现所采取的风险控制措施可能就是一个风险关键控制点。 　　三、风险关键控制点判断树模型 　　在应用内控风险关键控制点（RKCP）判断树之前，应先回答两个问题：（1）如果此步骤失去控制，是否有后续步骤（如果一个数据测算步骤，一个审核步骤，一个复核步骤和一个审批步骤）是否有效控制该风险因素？如果答案是“是”，那么该步骤很可能是一个一般风险控制点（RCP）。如果答案是“否”，则问下一个问题。（2）如果此步骤失去控制，该风险因素可能会导致风险事件发生吗？如果答案是“是”，则此步骤很可能是一个风险关键控制点（RKCP）。 　　基于以上前提条件，根据判断树模型，我们采用以下顺序对某个步骤是否为风险关键控制点进行判断： 　　一是该步骤是否有风险控制措施？如果“没有”，则该步骤对于风险控制是否有必要？如果没有必要，则该步骤不涉及风险关键控制点。如果有必要，则需要对该流程步骤进行修改和调整。二是如果经第一步判断后，该步骤有风险控制措施，那么该步骤是否专门用于消除风险因素或者能够将风险因素降低至可接受风险水平？如果“是”，则可确定该步骤为风险关键控制点。如果不能消除或者降低