2 (Risk assessment)。

　　風(fēng)險(xiǎn)評(píng)估是指識(shí)別和分析影響目標(biāo)實(shí)現(xiàn)的風(fēng)險(xiǎn)(包括與監(jiān)管和運(yùn)營(yíng)環(huán)境不斷變化有關(guān)的風(fēng)險(xiǎn))，以此來(lái)確定降低和管理此類(lèi)風(fēng)險(xiǎn)的依據(jù)。企業(yè)的目標(biāo)與所面臨的風(fēng)險(xiǎn)之間有一定關(guān)聯(lián)。為了對(duì)風(fēng)險(xiǎn)進(jìn)行評(píng)估，必須確立企業(yè)目標(biāo)。目標(biāo)一經(jīng)確立，必須識(shí)別和評(píng)估為實(shí)現(xiàn)這些目標(biāo)而面臨的風(fēng)險(xiǎn)，并且該評(píng)估應(yīng)構(gòu)成決定如何管理該風(fēng)險(xiǎn)的基礎(chǔ)。

　　企業(yè)的管理層應(yīng)定時(shí)對(duì)企業(yè)內(nèi)部的各類(lèi)業(yè)務(wù)進(jìn)行風(fēng)險(xiǎn)評(píng)估，而且需要考慮內(nèi)部及外部因素。內(nèi)部因素包括組織的復(fù)雜性、組織結(jié)構(gòu)的變更、員下流動(dòng)情況及員工素質(zhì)。外部因素包括行業(yè)及經(jīng)濟(jì)條件的改變以及技術(shù)變革等。

　　風(fēng)險(xiǎn)評(píng)估程序亦應(yīng)區(qū)分可控制風(fēng)險(xiǎn)和不可控制風(fēng)險(xiǎn)。對(duì)于可控制風(fēng)險(xiǎn)，管理層應(yīng)決定是否承受該風(fēng)險(xiǎn)，采取措施控制或降低該風(fēng)險(xiǎn)。 l對(duì)于不可控制的風(fēng)險(xiǎn)，管理層應(yīng)決定是否承受該風(fēng)險(xiǎn)，或部分或完全退出此項(xiàng)業(yè)務(wù)，以規(guī)避風(fēng)險(xiǎn)。

　　3.控制活動(dòng)( Control activity)。

　　控制活動(dòng)有助于確保管理層的指令得以執(zhí)行，以及任何可能需要用來(lái)處理風(fēng)險(xiǎn)以實(shí)現(xiàn)企業(yè)目標(biāo)的行動(dòng)得以實(shí)施?？刂苹顒?dòng)是指能確保管理層的決策與指示得以執(zhí)行的政策和程序。企業(yè)內(nèi)部各層面均存在控制活動(dòng)，控制活動(dòng)包括組織控制、職責(zé)劃分、調(diào)節(jié)和復(fù)核、實(shí)物控制、授權(quán)和批準(zhǔn)、計(jì)算和會(huì)計(jì) j人員控制、監(jiān)督及管理控制。

　　4.信息與溝通 (Information and communication)。

　　信息與溝通是指在人員能夠履行責(zé)任的方式及時(shí)間范圍內(nèi)，識(shí)別、取得和報(bào)告經(jīng)營(yíng)、財(cái)務(wù)及法律遵守的相關(guān)信息的有效程序和系統(tǒng)。企業(yè)必須收集信息并向適當(dāng)人士傳達(dá)。管理者制定恰當(dāng)?shù)臎Q策時(shí)既需要內(nèi)部信息也需要外部信息。此外，為了運(yùn)作內(nèi)部控制，管理者也是需要信息的。因此必須建立完善的信息系統(tǒng)，必須為管理者提供與所采取的行動(dòng)相關(guān)的，及時(shí) L準(zhǔn)確、可以理解的信息。

　　企業(yè)多數(shù)會(huì)運(yùn)用計(jì)算機(jī)系統(tǒng)來(lái)提高為管理者提供的信息質(zhì)量，但是如果讓計(jì)算機(jī)系統(tǒng)為管理者提供所需的信息，則必須將計(jì)算機(jī)系統(tǒng)結(jié)合到業(yè)務(wù)策略中。信息系統(tǒng)和信息管理對(duì)于成功的運(yùn)轉(zhuǎn)和業(yè)務(wù)控制有著非常重要的作用。信息系統(tǒng)和技術(shù)管理的內(nèi)容可參考本書(shū)第十二章。

　　5.監(jiān)察( Monitoring)。

　　監(jiān)察是指持續(xù)評(píng)估內(nèi)部控制系統(tǒng)的充分性及表現(xiàn)情況的程序。內(nèi)部控制的不足之處應(yīng)向相應(yīng)的上級(jí)領(lǐng)導(dǎo)層匯報(bào)。上級(jí)領(lǐng)導(dǎo)層可以是高級(jí)管理層、審計(jì)委員會(huì)或董事會(huì)。內(nèi)部控制系統(tǒng)必須接受監(jiān)察。作為內(nèi)部控制系統(tǒng)的因素，它與內(nèi)部審計(jì)及一般監(jiān)督有關(guān)。識(shí)別并向高級(jí)管理層及董事會(huì)或董事報(bào)告內(nèi)部控制系統(tǒng)的缺陷是非常重要的。

　　企業(yè)可能已經(jīng)建立了非常完善的內(nèi)部控制系統(tǒng)，但是仍需要對(duì)該系統(tǒng)進(jìn)行監(jiān)察。如果內(nèi)部控制系統(tǒng)未經(jīng)監(jiān)察，就很難評(píng)估它是否未受控制或需要改進(jìn)。隨著業(yè)務(wù)的發(fā)展，內(nèi)部控制系統(tǒng)也在發(fā)展，因此內(nèi)部控制系統(tǒng)不是靜止不變的。內(nèi)部審計(jì)部門(mén)通常是內(nèi)部控制系統(tǒng)的主要監(jiān)察人。內(nèi)部審計(jì)師會(huì)對(duì)內(nèi)部控制及控制系統(tǒng)進(jìn)行檢查。他們還應(yīng)識(shí)別控制是否失效或是可以糾正問(wèn)題，并且向管理層提出有關(guān)建立新系統(tǒng)或系統(tǒng)改進(jìn)方面的建議。

　　COSO的上述定義對(duì)內(nèi)部控制的基本慨念提供了一些深入的見(jiàn)解，特別是:

　　(1)內(nèi)部控制是一個(gè)實(shí)現(xiàn)目標(biāo)的程序及方法，而其本身并非目標(biāo);

　　(2)內(nèi)部控制只提供合理保證，而非絕對(duì)保證;

　　(3)內(nèi)部控制要由企業(yè)中各級(jí)人員實(shí)施與配合。

　　COSO的內(nèi)部控制定義構(gòu)成了《薩班斯一奧克斯利法案》第 404節(jié)關(guān)于內(nèi)部控制評(píng)估內(nèi)容的基礎(chǔ)。這些內(nèi)容實(shí)質(zhì)上對(duì)于全球的所有機(jī)構(gòu)都非常重要，因此，管理者、審計(jì)師和其他人士應(yīng)對(duì) COSO的內(nèi)部控制非常熟悉。

　　COSO利用三維模型來(lái)描述一個(gè)機(jī)構(gòu)內(nèi)的內(nèi)部控制系統(tǒng)。該模型在水平方向上分為五層，垂直方向有三個(gè)組成部分和跨越第三維的多個(gè)推體。這種模型的結(jié)構(gòu)是 5 x3 x2。但是，它們并不是完全獨(dú)立的部分，彼此之間是相互連接的，就企業(yè)內(nèi)的內(nèi)部控制而言.我們將重點(diǎn)考察水平方向上的兩層:控制環(huán)境和風(fēng)險(xiǎn)評(píng)估。

　　企業(yè)的內(nèi)部控制系統(tǒng)會(huì)反映其控制環(huán)境，而控制環(huán)境包括其組織結(jié)構(gòu)。內(nèi)部控制系統(tǒng)應(yīng)嵌入企業(yè)運(yùn)營(yíng)之中，并成為公司文化的一部分。此外，內(nèi)部控制系統(tǒng)應(yīng)能夠?qū)τ善髽I(yè)內(nèi)在因素和商業(yè)環(huán)境的改變所產(chǎn)生的不斷變化的業(yè)務(wù)風(fēng)險(xiǎn)迅速作出反應(yīng)。而且，內(nèi)部控制系統(tǒng)亦應(yīng)包括向管理層及時(shí)匯報(bào)經(jīng)確認(rèn)的任何重大控制失誤或不足，及所采取的糾正行動(dòng)的詳細(xì)程序。

　　內(nèi)部控制程序應(yīng)保持簡(jiǎn)單直接，同時(shí)需要確保戚本沒(méi)有超過(guò)效益。而且，應(yīng)使各級(jí)職員能夠了解維持足夠內(nèi)部控制的重要性，從而不會(huì)在實(shí)施控制時(shí)，因遇到不必要的復(fù)雜情況而對(duì)此產(chǎn)生不滿(mǎn)。

　　企業(yè)應(yīng)給予董事及管理層適當(dāng)?shù)呐嘤?xùn)，使他們能正確認(rèn)識(shí)內(nèi)部控制及職能范圍。這樣做一方面有助于企業(yè)高管遵守內(nèi)部控制的監(jiān)管規(guī)定，另一方面也為企業(yè)實(shí)現(xiàn)目標(biāo)提供更多的保證。培訓(xùn)課程可以由企業(yè)內(nèi)部提供，也可由相關(guān)培訓(xùn)機(jī)構(gòu)或?qū)I(yè)機(jī)構(gòu)提供。