風險內控管理課程

A. 如何建立風險與內控管理體系

僅供參考
一、基礎概念篇
在這里，你將熟悉，內控體系具體是什麼，建立內控體系需要解決的誤區以及流程體系建立的作業流程。

1、內控體系建設涵蓋哪些東西，主要內容是什麼？
國家要求上市企業建立的內控體系是保證財務報告真實性而要求建立的體系，所以他的具體內容與外資企業的sox404體系差不多。一般整個內控體系涵蓋的內容含如下幾個內控手冊，風險資料庫，內控評價手冊。
內控手冊為每個作業流程的描述，內容含流程描述、流程圖、授權說明、崗位職責分離說明。
風險資料庫可能導致風險的現象描述的匯總。風險指導致公司資產不安全，作業不合規合法，運營效率效益低下，財務報表數據不真實等。
內控評價手冊具體含三部分，第一部分檢查制度設計合理或者文檔的齊全性，第二部分檢查控制過程，第三部分檢查會計帳務處理控制。

2、內控體系與ISO質量體系有什麼區別和聯系？
目的不同：內控體系是以會計報告為主要目的，而ISO質量體系是以產品質量為主。
控制活動不同：在現階段18個指引來看，內控體系缺少對生產過程式控制制；而ISO質量體系則以產品質量為主，涵蓋產供銷價值鏈，但是缺少會計系統控制。
涉及部門不同：在ISO體系內不存在財務部門，以研發、生產、采購、銷售部門為主；內控體系幾乎涵蓋公司各部門，因為有句話說得好，只要是企業在運作的，其最後的運作成果就是財務數值。

3、內控體系的控制活動的業務流程如何劃分，如何做到將各業務流程進行涵蓋？

最簡單的第一步就是拿到組織架構圖，之後看到是否是以事業部為編制的，則是事業部的名稱作為一級流程，事業部下屬的部門分為二級流程，如果下屬的部門涵蓋多個職能則劃分為三級流程。如銷售事業部，則銷售循環作為一級流程，下屬的商務部負責訂單處理的則作為訂單處理作為二級流程。如商務部有兩個功能除了訂單處理還涉及到銷售貨品的備貨計劃制定。則訂單處理作為二級流程，訂單處理和備貨計劃制定作為三級流程。

4、 單個作業流程具體怎麼描述，怎麼將業務流程所涵蓋的信息進行歸納處理？
作業流程就是描述一個為達到特定的價值目標而由不同的人分別共同完成的一系列活動。一個完整的作業流程應該包含6項內容，具體如下：
流程式控制制人：參與到作業流程中的人，具體描述的時候應注意該控制人所涉及的部門及崗位具體名稱。
控制頻率：作業的時間間隔控制。
控制活動：流程是如何作業的。
控制痕跡：作業完成後形成的書面痕跡
控制方式：系統控制還是人工控制。
異常控制：授權體系外的作業流程是如何控制的。
舉例如下：描述超市客服處對會員積點兌換控制流程，之前描述了一個出納盤點流程，大家都熟悉，這次描述復雜點的。
流程式控制制人：售後服務部的客服專員，客服主官
控制頻率： 客戶不定期來兌換會員積分。
控制活動： 客服專員根據會員要求兌換相應的贈品，同時在xxx系統內扣除積分，並在XX贈品台帳內要求客戶簽字。
控制痕跡： 形成扣完積分的積分表和留有客戶簽字的贈品台帳。
控制方式： 兌換的系統積分由XX系統內扣除。
異常控制： 積分不夠，如客戶要求加錢補足積分，則客戶專員需得到客服主管的口頭授權，在收取錢款後並在贈品台帳做書面說明。
總的一句話：客戶不定期對積分進行兌換，提出兌換的物品，售後服務部的客服專員在XXX系統內扣除積分，同時手工登記贈品台帳，在客戶簽字的情況下，將贈品進行贈送。如積分不夠，如客戶要求加錢補足積分，則客戶專員需得到客服主管的口頭授權，在收取錢款後並在贈品台帳做書面說明。當天營業結束前，客服主管需要對贈品台帳和積分兌換系統進行核對。

5、內控體系建立的流程是怎麼樣的？
大致的作業流程是這樣的：
（1）
組織架構：先建立內控小組，為了使內控體系得到有效落實和貫徹，所以內控小組的組長最好是總經理或者董事長。主要的作業人員最好是公司的內審部門或者新建的內控部或者風險管理部，如果沒有此類部門則最好選一名懂財務的，如財務主管，另外加一名懂業務的作為內控小組的主要作業成員，最好另外輔助2-3名人員。
（2）
業務運作：總經理或者董事長開內控項目啟動會，同時主要成員講述內控系統的作業和具體要求。會議結束後，內控小組給各部門提交部門的制度，內控小組完成制度的對標和梳理工作。各職能部門限期內提交流程。內控小組根據內控指引對現有的作業流程的描述進行評價，同時開展小組會議對各職能部門未設置的流程及有缺欠的流程進行優化重組。內控小組根據談論完畢的各流程進行內控手冊的編制和流程圖的繪制，最後形成內控手冊。由總經理授權下發。
（3）
內控小組等類似部門不定期進行內控評價，並根據各職能部門的變化對內控手冊進行優化等。

6、如果業務部比較忙，無法繪製作業流程，那訪談怎麼做？
首先編制訪談計劃，需要提供給部門接收訪談的人員一個訪談提綱。
訪談一般安排2個人，1人訪談，1人記錄。記錄人不要求將每句話記下來，只要將討論的主題，以及討論的結果記錄下來即可。
訪談的時候，先講明不是來指責部門的作業流程的缺失，而是主要是完善和建立內控體系。訪談的問題主要圍繞作業流程進行，而不是扯淡的問，風險在哪裡，自己說。

7、流程圖怎麼繪制，採用什麼軟體？
一般選擇微軟的visio繪圖軟體或者smart draw 繪圖軟體，這兩者的區別是visio看上去比較正規，而smart draw 比較好看。

8、作業現場是否需要繪制流程圖？
最好繪制流程圖，因為在描述整個流程的時候，如果不繪制流程圖，可能看不到什麼遺漏。最好訪談完畢，直接將流程圖繪制，之後與業務部門進行核對。

9、如何完成制度對表的工作？
制度對表的工作一般可以在進場後的或者訪談結束後，當場完成對制度的評價。制度的評價主要的風險點為：流程描述不清楚或者缺失，崗位職責人或者控制部門不明確，崗位職責未分離，異常流程未描述，控制痕跡或者流程的表單未明確，控制頻率未明確，未體現控制方式。（即未描述存在手工或者系統控制。）

10、如何完成風險點的匯總
現場的風險點的匯總，不是訪談人說什麼風險就是風險點。而是根據訪談人提供的風險點提示，內控人員通過系統或者會計憑證等書面資料核實完畢之後再歸納匯總至風險點。而且在完成風險點之後最好與被訪談人員再次作風險點確認。

11、如何完成風險點的報告？
風險報告主要是對現有的流程的分析，所以可以按照事業部，之後將事業部涉及的流程綜述，之後對各流程進行評價。而不是一堆風險點的堆砌。看上去100-200張ppt但是看得頭暈。而且匯報結束老闆對你不爽。

12、內控檢查與內審的區別和聯系在哪裡？
內控檢查的主要目的是建立和明確完整的作業流程、流程中的崗位職責、授權審批、保留書面控制痕跡。所以內控主要是流程稽核，主要的作業模式就是控制點有沒有建立。
內審的主要目的是保證業務事項的真實合理和提高運營的效率效益。所以內審的作業模式可以通過分析復核、重復計算、訪談等多種手段，核實業務事項是否真實合理。
簡單的說，就是。內控是檢查你吃飯的順序，如先吃菜再吃飯或者先吃飯再吃菜。內審就是檢查吃法好不好，對於胖人吃大量的肥肉，可以建議減少攝入量。

二、體系建立篇
在這里，你將熟悉每個控制活動所涉及的每個流程應該做的內控要點以及關鍵控制點的描述。由於涉及的內容較多，我這里簡單的作一個銷售模塊的內控體系建立，其他模塊的建立可在模仿的情況下，分別建立。

1、銷售模式的確認
一般銷售的模式分如下幾種，正常銷售、國際貿易、團購，涉及到酒類或者其他製造業會涉及到品牌銷售模式。
這里解釋一下品牌銷售模式，即允許被授權商生產與自己相同的產品，貼自己的商標和品牌，收取品牌或者商標費的一種作業模式。

2、正常銷售的流程劃分
由於正常銷售可劃分為單次銷售或者通過訂貨會或者其他模式先簽訂框架合同這種銷售模式進行作業。其實這提到的可以將其作為一場流程進行控制。
一級流程：為銷售流程。
二級流程：可以劃分為銷售定價、信用管理、合同簽訂、訂單處理、備貨處理、發貨簽收、收款入賬處理、開票管理、應收款管理等。
三級流程：
其中銷售定價流程可以劃分為年度銷售定價流程、中期價格變更或者臨時價格變更流程。其中如果是系統控制，則需要明確哪個部門的什麼崗位在系統中進行價格的錄入和變更，最後由誰來審核。
信用管理流程可以劃分為客戶准入評價流程，不定期評價流程及信用變更流程。由於這一塊基本上很少有客戶在進行作業或者處理，所以在調研流程的時候，可能客戶不會提供該流程，所以在編制內控手冊的時候，需要做好與客戶的隨時溝通。
合同簽訂流程可以劃分為合同起草、審核、蓋章和保管作業流程。
訂單處理流程可以劃分為正常訂單處理流程，訂單取消流程和逾期未處理訂單流程等。
備貨處理流程可以劃分為下發貨通知單、物品調配流程和物品調配不足流程。
發貨簽收流程可以劃分為發貨單制定流程、物流選擇流程、出庫審核流程和客戶收貨簽收流程。
收款入賬流程。
發票開具流程含客戶提交增值稅資質流程和開票流程。
應收款流程含應收款催收流程、逾期壞賬准備計提流程、壞賬沖銷流程。

如果調研或者訪談的時候將上述流程調研清楚，同時在內控手冊中描述清楚，那麼銷售模塊基本上就完成了

B. 內控風險和風險管理有何區別

《企業內部控制基本規范》及其配套指引，充分吸收了全面風險管理的理念和方法，強調了內部控制與風險管理的統一。內部控制的目標就是防範和控制風險，促進企業實現發展戰略，風險管理的目標也是促進企業實現發展戰略，二者都要求將風險控制在可承受范圍之內。因此，內部控制與風險管理二者不是對立的，而是協調統一的整體。

C. 企業內部控制與風險管理的管理要點

構建風險管理下的內部控制體系的要點
3.1營造良好的內部控制環境
內部控制環境是內部控制實施的根本環境，是推動企業發展的動力，也是其他風險管理因素實施的基礎，其對企業內部控制的構建與實施具有重大的影響，可以說企業的控制環境直接決定了其內部控制與風險管理的效率和效果。
（1）深化對內部控制的理解，樹立風險管理理念。深化對內部控制的理解，首先應突破對傳統的內部控制的理解，應認識內部控制不僅局限於會計層面，內部控制包含更高層次的戰略目標，在電力設計企業向多元化經營、總承包和海外項目轉型發展的過程中，就要從戰略高度進行風險管理和內部控制。再者，無論是企業的管理層，還是企業的員工都應具有風險管理意識，並把風險管理意識貫穿於企業的生產經營過程中，包括業務管理、職能管理、質量與安全管理等各方面。風險管理理念的培養可以通過企業領導層的表率作用、相關的培訓及相關的規章制度來實現。
（2）建立公司治理結構並充分發揮各機構職責。企業各層級各部門之間應分工明確，並相互監督、相互牽制。公司可以通過公司章程的規定及完善相關的激勵約束機制來保障公司機構職責的實現。非常重要的一點是，電力設計企業的最高管理機構，要對內部控制的建立和實施負責。企業應下設內控控制與風險管理的建設、監督管理機構，各機構分別負責各方面的工作，並相互監督、相互制約。
5.1完善法人治理結構，為全面風險管理的內控體系建設創造一個良好的內部控制環境。建立一個健全的內部控制體系，實際上就是完善法人治理結構的體現，大多數電力設計企業設立了內部審計機構，但多數內部審計機構隸屬於財務總監或總經理領導，因此將電力設計企業的內部審計機構升級為公司董事會審計委員的組成部分或工作部門，這樣將進一步明確內部審計機構在電力設計企業內部控制方面的主體地位。
（3）培養員工的職業道德和勝任能力。企業員工是企業生產經營活動的執行者，員工良好的職業道德可以保證企業經營活動的順利進行，可以避免舞弊事件的發生。員工的知識和技能必須與所在崗位所需能力相匹配，這是經營活動和內部控制活動得以有效運行的基本保障。為此，企業應以誠信等職業道德作為員工的行為准則，建立獎懲機制，加強員工的再教育，對關鍵崗位實行定期輪崗制。
3.2設定企業戰略目標
企業應根據企業的使命或願景來設定企業的戰略目標，戰略目標是企業的最高目標，其他目標為戰略目標服務。企業根據戰略目標再層層分解，並由各部門來落實。戰略目標的制定應考慮企業的風險容量，企業實現戰略目標所面臨的風險應在企業風險容量之內。
3.3完善風險管理體系
企業應建立風險導向型內部控制體系，只有把風險管理落實到企業的各個環節，才能控制風險。完善企業風險管理體系，應關注一下幾點：
第一，建立風險預警機制。企業應通過目標分析、過程分析等方法來識別影響企業目標實現的內部及外部的潛在事項，分清潛在事項是機會還是風險，明確風險預警標准。風險預警機制的建立對企業及時抓住發展機會，及時評估、處理風險具有重大意義。
第二，建立風險評估體系。企業應對已識別的風險進行進一步的分析與評估，分析潛在風險是固有風險還是剩餘風險，分析風險發生的可能性及其影響，並關注重大風險。評估現有的內部控制對風險的適用性，是否需要追加程序等。在評估風險時應注意運用風險組合觀。
第三，建立風險反應機制。風險應對是控制風險的關鍵步驟，在風險評估後，企業應針對風險發生的可能性、影響的不同程度，採取不同的應對措施，其中應特別關注重大風險。風險應對措施包括迴避、降低、承擔和分擔風險。同時，在風險應對中要考慮成本與效率的問題。
3.4建立良好的控制活動
企業應建立良好的控制活動以確保管理層應對風險的各種措施得以有效執行，控制活動貫穿於企業各個部門，各個層面及其活動。控制活動應該包括：對員工績效的分析與考核，部門的自我復核，對信息處理的控制（包括一般控制和應用控制），實物資產的控制，責任劃分與不相容職位相分離控制。
3.5充分的信息與溝通
在經營過程中，企業應建立信息的傳遞和溝通以確保員工了解內部控制，明確自己的職責。同時通過對外部市場信息、政策信息、顧客信息、競爭對手信息的了解和掌握，通過與各方的溝通，有利於企業及時處理風險、抓住機會，實現更好的發展。企業可以通過員工手冊及建立信息收集與處理系統來實現。
3.6建立內部控制監督與評價機制
對內部控制的監督與評價是確保內部控制制度得到有效執行的重要手段，同時有利於企業管理層及時了解內部控制存在的問題，可以為內部控制的改進提供建議，有利於內部控制體系的不斷完善，進而幫助企業控制各種風險。內部控制監督與評價機制的建立主要包括內部和外部兩個方面：
第一，企業應建立獨立、權威的內部審計機構。內部審計機構的設置應與其他職能部門分離開來。內部審計機構應具有執行審計決定和審計結論的權利，可以建立具有較強獨立性與權威性的董事會領導型或監事會領導型的內部審計機構。內部審計不應只局限於財務報表審計，應對企業資格內部控制系統進行全面的監督和評價，包括對企業財務信息、經營活動、控制活動進行審計及評價。同時應提高內部審計人員的職業道德和業務素質，及形成不同職務之間相互檢查、監督的機制。
第二，提高外部監督與評價。由於內部審計主要對企業領導負責，所以內部審計具有固有局限性，可能會導致一些控制缺陷在權力干預下被掩蓋，不利於企業內部控制的改善。所以通常需要獨立的第三方參與企業的監督與評價，以實現監督的職能。首先，應完善內部控制信息披露制度，使企業接受政府、社會的廣泛監督。再者，可以藉助第三方審計力量，最常見的就是定期聘請注冊會計師對企業內部控制設計及執行情況進行審計及評價，並出具評審報告。這也有利於監督企業內部控制的構建與實施，也有利於及時發現企業內部控制中存在的問題。
(2)風險評估
中石化根據企業的發展目標，由各部門收集全面的信息來確定企業的風險容量，並根據企業可能面臨的內部風險和外部風險建立以內部控制為基礎的風險評估和控制體系，對企業目標的實現有重大影響的關鍵環節進行全面的風險評估。針對各部門面臨的風險和責任制定內部控制流程。中石化根據內部審計結果及在管理過程中發現的問題，不斷對《內控手冊》進行修訂，各分（子）公司也不斷修訂實施細則。動態的風險評估與應對為企業實現目標提供保障。
(3)控制活動
中石化的控制措施有：不相容職務分離控制、授權審批控制（以授權指引為核心)、會計系統控制（建立了統一的財務管理信息系統)、資金支付控制、財產保護控制、信息技術控制（採用先進的ERP管理信息系統控制）、計劃控制、預算控制（全面預算控制）、合同管理控制、運營分析控制和科學的績效考核控制等。並將手工控制與自動控制相結合，將預防性控制與事中發現控制結合，建立了重大風險預警機制和突發事件應急處理機制。通過業務控制矩陣明確每個控制點的業務目標、風險、責任單位、不相容崗位、記錄文檔等，為內部控制責任的落實提供指導。對風險的描述就體現了全面風險管理的內部控制的要求。
中石化的《內控手冊》保障了內部控制活動的進行，《內控手冊》包含了采購、資產、信息管理、內部審計等18大類，59個業務流程，包含了企業經營管理活動的各個方面。
(4)信息與溝通
中石化採用先進的ERP管理信息系統，會計核算系統、資金集中管理系統、全面預算管理系統和各項業務管理等各成體系的信息系統，並實行財務信息系統集中管理。該系統讓各業務部門人員的業務操作都統一在ERP系統上進行，企業錄入業務數據後，生產、銷售各環節即按相應的業務流程生成相關信息，並傳送到公司總部資料庫進行監控和分析。中石化制定了相關的管理辦法和業務流程，從一般控制、應用控制等方面對信息系統進行規范和控制。企業不斷完善信息搜集機制，完善信息溝通平台，《內控手冊》也有相應的規定來保障企業部門之間、部門與各分或子公司之間及管理層與外界之間的溝通順暢。中石油按照相關法規的規定定期對外披露信息，對外信息披露由董事會和總裁辦公室審核。
(5)內部監督
中石化設立了審計委員會負責對財務報告和內部控制的審查，由審計部定期獨立審查分公司和子公司。企業建立了兩極內部控制日常監督機制，兩極評價指的是總部綜合檢查和分公司、子公司自查測試。總部綜合檢查主要是內控領導小組負責的年度綜合檢查和審計部對不少於25家分（子）公司進行獨立檢查，及對總部進行檢查。分公司、子公司自查測試工作主要是企業通過部門流程測試和有審計參與的綜合檢查評價進行自查測試，及總部部門自查和抽查評價。除日常監督外，中石化還建立了針對內部控制一些重大方面的監督檢查。
此外，中石化制定了《中石化監督制度匯編》，完善了企業的反舞弊制度。通過制定內控控制執行情況指標對內部控制進行考核。每年定期對內部控制的設計及執行情況進行評價，出具內部控制自我評價報告，並向外披露，接受外界的廣泛監督，並聘請外部注冊會計師對財務報告內部控制進行審計。
4.4中石化內部控制的評價
中石化制定《內控檢查評價與考核辦法》及指引來指導企業內部控制的評價。並根據《內控手冊》，檢查內部控制設計是否健全；據《內控手冊》所適用的內容及范圍，檢查內部控制執行的符合性和有效性。中石化主要以內部控制缺陷認定和量化評分的方式對內部控制進行自我評價。從內部控制要素、業務流程綜合檢查、單位自查情況等方面對內部控制進行評價，並制定了規范的內部控制自我評價流程圖來規范評價，保障評價的公正性。
4.5中石化內部控制實施以來取得的效果
中石化自2005年實施內部控制以來，不僅提高了企業的管理水平，企業的盈利能力也隨之增強，具體來說：中石化制度化管理體制不斷完善，逐步形成了以內部控制為保障，具有中國石化特色的制度化管理體系。不僅提高了企業的抗風險能力，保障企業目標的實現，也為國內其他企業內部控制的建立樹立了榜樣。中石化管理水平不斷提高。中石油實行統一的物資釆購管理，規范企業物資采購，為企業節約了材料成本。建立了產品原料等消耗標准，使企業生產經營管理日益精細化。通過建立IT風險控制系統，使企業風險能力日益增強。內部控制及其審計，提高了審計效率和效果，使企業管理水平不斷提高。內部控制的實施加快了企業規章制度的建立，明確了各企業機構、部門及各崗位的職責和權力，對業務操作流程的規范也提高了企業管理效率和管理水平。中石化內部控制的實施滿足了外部監管的要求。中石化作為在境內外三地上市的公司，其內部控制的實施與披露滿足了各上市地的要求，內部控制自實施以來也得到了不斷的完善和改進。內部控制的實施使中石化內部環境不斷優化，內部控制的實施保障了公司的體制改革，使公司治理結構不斷完善，使企業文化得到了統一和貫徹實施，《員工守則》的制定規范了員工的行為，也使風險管理和誠信經營的理念深入人心。

D. 合規管理，內部控制，全面風險管理有什麼區別

作者：劉寧寧
鏈接：http://www.hu.com/question/26532559/answer/40181214
來源：知乎
著作權歸作者所有。商業轉載請聯系作者獲得授權，非商業轉載請註明出處。

第一，合規管理有廣義，狹義之分。狹義的合規，是指對外部法規的遵循。
狹義的合規，主要是依據銀監會《商業銀行合規風險管理指引》，「規」主要是指銀行外部的法律法規。
第三條 本指引所稱法律、規則和准則，是指適用於銀行業經營活動的法律、行政法規、部門規章及其他規范性文件、經營規則、自律性組織的行業准則、行為守則和職業操守。
本指引所稱合規，是指使商業銀行的經營活動與法律、規則和准則相一致。
本指引所稱合規風險，是指商業銀行因沒有遵循法律、規則和准則可能遭受法律制裁、監管處罰、重大財務損失和聲譽損失的風險。

廣義的合規，「規」還包括銀行內部的規章制度。

第二，內部控制要同時考慮外部法規、內部制度。從這個意義上，內部控制與廣義的合規類似。

根據《商業銀行內部控制指引》（2014）

第四條 商業銀行內部控制的目標：
（一）保證國家有關法律法規及規章的貫徹執行。
（二）保證商業銀行發展戰略和經營目標的實現。
（三）保證商業銀行風險管理的有效性。
（四）保證商業銀行業務記錄、會計信息、財務信息和其他管理信息的真實、准確、完整和及時。

第三，控制風險是合規管理、內部控制的都共同目標。 但是，內控的目標不光是控制風險，企業內部經營效率效果評價、流程優化乃至企業文化都屬於內控范疇。

第四，控制風險的手段之一，是定下行為規則，在規則內行事，制度就是一種規則。但是，是否符合了制度就能控制風險？顯然不是。這也是銀行內控管理、合規管理的尷尬之處。

E. 關於風險管理、內部控制和合規

風險管理不光是財務這一塊有很多東西要學
《風險信息管理》《保險與風險管理》 《衍生工具與風險管理》《合同方式風險管理技術》 《企業財務風險管理》《 企業操作風險管理》 《變革與戰略風險管理》《企業內部控制》《公司治理》 《風險評估》 《決策與風險管理》 《企業風險管理審計》 《企業危機管理》
我建議你參加企業風險管理師的培訓，現在挺火的。
現在有很多在風險部門任職的人員都在學習。
培訓中心的電話是010-88622509 你可以咨詢一下

F. 如何理解風險管理，內部控制，風險控制三者之間的關系

每個企業有不同的發展目標，在實現目標的過程中有很多不確定性因素，這種不確定性就是風險。

首先，要辨識影響企業目標達成的種種風險;

其次，對種種風險進行評估，並根據企業的風險承受度，採取應對措施，應對措施包括有風險承受(就是不採取措施控制此風險)、風險分擔(將風險分擔給其他第三方)、風險轉移(將風險轉移給第三方)、風險規避(就是不從事這業務了)、風險控制(採取控制措施去降低風險，降低到企業可承受的范圍內)、風險對沖，等等。

再次，企業決定要對此風險進行管理，就採取內部控制的方式進行，也就是內部控制是實現風險控制的落地手段。

最後，還要對種種風險進行監控。

好了，針對題目回答。風險管理，就是包括了風險辨識、評估、應對、監控等等一系列的動作。風險控制，就是風險應對策略的其中一種，就是為了降低風險到企業風險承受范圍內。內部控制，就是實現風險控制的落地手段，當然不僅僅包括流程和制度的規范，也包括了職責分離、業務授權、分權等方式。

G. 全面風險管理的內部控制

（1）全面風險管理涵蓋了內部控制。COSO框架中明確地指出全面風險管理體系框架包括內控，將之作為一個子系統。
（2）內部控制是全面風險管理的必要環節。內部控制的動力來自企業對風險的認識和管理，對於企業所面臨的大部分運營風險，或者說對於在企業的所有業務流程之中的風險，內控系統是必要的、高效的和有效的風險管理方法。同時，維持充分的內控系統也是國內外許多法律法規的合規要求。因此，滿足內部控制系統的要求也是企業風險管理體系建立應該達到的基本狀態。內部控制與全面風險管理的差異為（1）兩者的范疇不一致。內部控制僅是管理的一項職能，主要是通過事後和過程的控制來實現其自身的目標，而全面風險管理則貫穿於管理過程的各個方面，更重要的是在事前制訂目標時就充分考慮了風險的存在。而且，在兩者所要達到的目標上，全面風險管理多於內部控制。
（2）兩者的活動不一致。全面風險管理的一系列具體活動並不都是內部控制要做的。全面風險管理包含了風險管理目標和戰略的設定、風險評估方法的選擇、管理人員的聘用、有關的預算和行政管理、以及報告程序等活動。而內部控制所負責的是風險管理過程中間及其以後的重要活動，如對風險的評估和由此實施的控制活動、信息與交流活動和監督評審與缺陷的糾正等工作。兩者最明顯的差異在於內部控制不負責企業經營目標的具體設立，而只是對目標的制定過程進行評價，特別是對目標和戰略計劃制定當中的風險進行評估。
（3）兩者對風險的對策不一致。全面風險管理框架引入了風險偏好、風險容忍度、風險對策、壓力測試、情景分析等概念和方法，因此，該框架在風險度量的基礎上，有利於企業的發展戰略與風險偏好相一致，增長、風險與回報相聯系，進行經濟資本分配及利用風險信息支持業務前台決策流程等，從而幫助董事會和高級管理層實現全面風險管理的四項目標。這些內容都是現行的內部控制框架所不能做到的。
從國際國內發展趨勢來看，隨著內部控制或風險管理的不斷完善和變得更加全面，它們之間必然相互交叉、融合，直至統一。

H. 如何做好內控管理

（一）提高對內部控制機制建設重要性的認識。一是領導層特別是「一把手」要充分認識到加強內部控制機制建設的重要性，把建立健全內部控制機制當作大事來抓，要積極吸收國外銀行先進的管理手段和先進的內控管理理念，要堅持業務開拓、內控監督齊頭並進，兩手抓兩手都要硬，要堅持內控優先，在防範風險的基礎上發展業務。

二是要加強對員工的思想教育，強化員工的制度觀念和內控觀念，讓他們熟知各自崗位的制度和操作規程，嚴格按制度和規程來處理每一筆業務，提高他們認真執行內控制度的自覺性，使每位員工成為業務運營過程中實施內部控制的一個節點。

（二）建立健全有效的、系統的內部控制機制。內部控制機製作為一種在業務運營中時時監控和每個部門和崗位之間環環相扣、相互制約的動態監督機制，它是以健全的規章制度為基礎，以部門內部和崗位自身的自我約束、部門之間和崗位之間的相互牽制和制約、上級對下級的授權控制為內容，以科學監控方法和獨立的監督機構進行監督檢查評價，以防範各種風險為核心的內部控制制度的總和。

因此，要建立健全有效的、系統的內部控制機制，一是完善現有的內部控制制度，使之全面、系統並具有前瞻性，對內部控制制度要實行動態管理，根據不同時期、不同業務發展的需要不斷改進和完善，使銀行的各項業務自始至終處於內部控制制度的監督和控制下。二是完善崗位的設置和業務操作規程的設計。

要明確每一個崗位的職責、許可權，同時還要有一定的制約和控制措施，使每個員工、每項業務的辦理都處在內控制度的監督和控制之中，尤其是每項業務都必須經過具有相互制約關系的兩個或兩個以上的控制環節才能辦理，防止出現控制真空，產生風險。三是建立權利制約機制。要建立上下級和部門之間的授權授信和審批機制，在上下級之間、部門之間、崗位之間，根據不同的業務類別、職責、許可權，設立不同的授權、授信和審批許可權，相互制約和控制，強化整體控制能力。

（三）完善內控監督檢查機制。一是建立具有獨立性、權威性的監督檢查機構。借鑒國外銀行業的經驗，在銀行總部設立稽核局或內部審計局，在下級機構設置派駐的、垂直管理的獨立單位，專司機構內部的監督檢查職責，該部門只對銀行董事會負責，向董事會匯報銀行經營管理中存在的各種問題和風險隱患，督促經營管理者制定整改措施，提高監督檢查的獨立性和權威性。

二建立風險預警監測機制。隨著銀行也電子化水平的不斷提高，利用計算機網路建立健全風險預警監測機制，提高內部控制水平成為可能。要根據銀行不同業務的性質、特點和要求，設置不同的科學的風險預警監測指標，通過收集業務部門真實、完整、准確、全面的數據資料，採取非現場監督監測和定量和定性分析相結合的形式，對業務經營中金融風險狀況進行綜合分析和判斷，向董事會反映銀行在資金的流動性、安全性和內部控制以及經營管理中發現的問題和和風險隱患，為預防和處置資金風險提供參考依據。

（四）建立內部控制評價體系。內部控制機制建設是一個持續改進的過程，在這個過程中，內控監督評價發揮著重要的作用。

內部控制機制評價應包括以下三個方面：

一是內控環境的評價，是指內控執行人員的價值觀和道德觀是否完整可靠；內控激勵約束機制的建設及作用程度是否達到預期目的；內控人員的內控能力是否與其責任相匹配；內控用人機制是否健全有效；監督層對內控是否給予了充分的關注等。

二是內控風險識別的評價，是指內控管理的總體目標和分項目標是否明確，二者的關聯程度如何，管理層為確保整體目標實現的參與情況和承擔責任是否清晰、明確；是否建立了對內部和外部內控風險預測和識別機制，即內控風險預測是否透徹和恰當，內控風險評價概率和頻率依據是否准確可靠，是否建立了內控風險的預測和識別的反應機制。

三是內控活動的有效性的評價，是指執行部門是否都設有恰當的風險監控活動；內部風險控制活動是否保證內控指令得到全面的執行；通過內控活動的實施是否及時有效地化解相關風險。四是內控信息及時反饋的評價，是指是否建立了各種有效的內控信息交流反饋系統，即崗位員工通過內控責任的履行，發現可疑和不軌行為是否及時將信息傳遞給管理層，管理層是否將內控信息以一定方式及時轉達給有關人員有效履行其內控職責，達到內控的預期效果；內控信息的上傳下達和橫向交流手段與方式是否切實可行、及時有效等。