合規(guī)與內(nèi)控，為風(fēng)險(xiǎn)管理解困

申請(qǐng)免費(fèi)試用、咨詢電話：400-8352-114

從美國(guó)安然、世通事件、9.11事件，到2008年發(fā)生的南方凍雨、汶川地震、次債危機(jī)，眾多的風(fēng)險(xiǎn)和危機(jī)在警示我們：“風(fēng)險(xiǎn)如影隨形，無(wú)處不在”。如何通過(guò)內(nèi)部控制與合規(guī)管理防范、降低風(fēng)險(xiǎn)，是企業(yè)領(lǐng)導(dǎo)迫切需要解決的管理難題。

古希臘政治家伯利克利在提出“風(fēng)險(xiǎn)”概念時(shí)，并不是為了能夠預(yù)見(jiàn)未來(lái)的風(fēng)險(xiǎn)，而是為了為不可預(yù)知的風(fēng)險(xiǎn)做好準(zhǔn)備，這與中國(guó)的諺語(yǔ)“居安思危，思則有備，有備無(wú)患”有異曲同工之妙。

但是，目前國(guó)內(nèi)大部分企業(yè)乃至很多全球性企業(yè)都在風(fēng)險(xiǎn)防范意識(shí)方面重視程度不足，在風(fēng)險(xiǎn)管控措施方面執(zhí)行不到位，這使得眾多企業(yè)在面對(duì)重大突發(fā)災(zāi)難時(shí)，很容易陷入生存危機(jī)，比如，“9.11”事件迫使超過(guò)半數(shù)的受影響企業(yè)倒閉；汶川地震致使大批中小企業(yè)遭受史無(wú)前例的打擊。

即使不受突發(fā)災(zāi)難影響，由于盲目擴(kuò)張、多元化經(jīng)營(yíng)、造假和管理失控等風(fēng)險(xiǎn)造成的“突然死亡事件”也不勝枚舉，比如，美國(guó)安然公司、世通公司由于爆發(fā)財(cái)務(wù)丑聞，難逃破產(chǎn)命運(yùn)；三鹿集團(tuán)由于造假、應(yīng)急不當(dāng)最終破產(chǎn)；波及全球的次債危機(jī)更是引發(fā)多家金融機(jī)構(gòu)破產(chǎn)，并波及全球其它經(jīng)濟(jì)實(shí)體。

從德隆系、三鹿到香港合俊的隕落，從美國(guó)安然、世通到雷曼兄弟的破產(chǎn)，每場(chǎng)危機(jī)的背后都隱藏著風(fēng)險(xiǎn)管理的缺口。居安思危，防微杜漸，全球化經(jīng)濟(jì)形勢(shì)下，中國(guó)企業(yè)應(yīng)盡快加強(qiáng)內(nèi)部控制，構(gòu)建合規(guī)管理體系，提升風(fēng)險(xiǎn)管控能力。

加強(qiáng)內(nèi)控，箭已在弦

內(nèi)部控制有助于企業(yè)實(shí)現(xiàn)業(yè)績(jī)和利潤(rùn)目標(biāo)，提高工作效率，防止資源損失，提高財(cái)務(wù)報(bào)告的可靠性，督促企業(yè)遵守相關(guān)法律、法規(guī)，避免企業(yè)名譽(yù)受到損害以及受到其它不良影響。

為了防范和及早發(fā)現(xiàn)各種風(fēng)險(xiǎn)，避免或減少可能遭受的損失，在保證企業(yè)穩(wěn)定、健康、快速發(fā)展的同時(shí)，企業(yè)的經(jīng)營(yíng)、管理者應(yīng)該認(rèn)真制定和切實(shí)執(zhí)行內(nèi)控管理：首先，企業(yè)應(yīng)建立高效的風(fēng)險(xiǎn)管理機(jī)制，以風(fēng)險(xiǎn)管理為核心，嚴(yán)格控制經(jīng)營(yíng)風(fēng)險(xiǎn)，保證業(yè)務(wù)收益的穩(wěn)定；其次，企業(yè)應(yīng)運(yùn)用新技術(shù)、新方法對(duì)風(fēng)險(xiǎn)進(jìn)行科學(xué)預(yù)測(cè)，對(duì)可能面臨的各種風(fēng)險(xiǎn)進(jìn)行控制和管理；第三，完善風(fēng)險(xiǎn)監(jiān)控機(jī)制，建立科學(xué)的風(fēng)險(xiǎn)監(jiān)測(cè)反饋系統(tǒng)；第四，完善企業(yè)內(nèi)部控制管理制度，用制度管人、管機(jī)構(gòu)、管業(yè)務(wù)、管經(jīng)營(yíng)，并接受監(jiān)管部門(mén)的指導(dǎo)和檢查。

2008年6月，我國(guó)財(cái)政部、證監(jiān)會(huì)、銀監(jiān)會(huì)、保監(jiān)會(huì)及審計(jì)署等五部委聯(lián)合發(fā)布了“中國(guó)版薩班斯法案”——《企業(yè)內(nèi)部控制基本規(guī)范》，并將于2009年7月起首先在上市企業(yè)中實(shí)施。其中，該規(guī)范第37條規(guī)定：“企業(yè)應(yīng)當(dāng)建立重大風(fēng)險(xiǎn)預(yù)警機(jī)制和突發(fā)事件應(yīng)急處理機(jī)制，明確風(fēng)險(xiǎn)預(yù)警標(biāo)準(zhǔn)，對(duì)可能發(fā)生的重大風(fēng)險(xiǎn)或突發(fā)事件，制定應(yīng)急預(yù)案、明確責(zé)任人員、規(guī)范處置程序，確保突發(fā)事件得到及時(shí)妥善處理。”

在“美國(guó)版薩班斯法案”中，也有類(lèi)似條款，比如第404條款規(guī)定：企業(yè)必須了解那些可能影響財(cái)務(wù)報(bào)告流程的風(fēng)險(xiǎn)，并要求他們實(shí)施恰當(dāng)?shù)目刂埔宰柚关?cái)務(wù)違法行為；此外，404條款還要求，企業(yè)需建立一個(gè)基礎(chǔ)設(shè)施，以確保所有的記錄和數(shù)據(jù)不會(huì)被毀滅、丟失、未經(jīng)授權(quán)的變更和錯(cuò)誤的使用——這是業(yè)務(wù)連續(xù)性管理能夠成為滿足薩班斯法案合規(guī)性手段的重要原因之一。

從概念描述和服務(wù)內(nèi)容上看，中國(guó)的應(yīng)急預(yù)案機(jī)制與國(guó)際上所倡導(dǎo)的業(yè)務(wù)連續(xù)性管理體系有很多共融、共通之處。相對(duì)而言，包括三鹿集團(tuán)、香港合俊等，中國(guó)很多企業(yè)都缺乏完善的應(yīng)急機(jī)制、業(yè)務(wù)連續(xù)性管理體系和風(fēng)險(xiǎn)防范意識(shí)，這正是壓倒他們的最后稻草。

合規(guī)價(jià)值，不可小覬

近年來(lái)，各種法律、法規(guī)、行業(yè)指導(dǎo)性文件越來(lái)越多：《中央企業(yè)全面風(fēng)險(xiǎn)管理指引》、《新巴塞爾資本協(xié)定》、《薩班斯法案》、《信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范》、《上交所內(nèi)部控制指引》、《深交所內(nèi)部控制指引》、《銀行業(yè)金融機(jī)構(gòu)信息系統(tǒng)風(fēng)險(xiǎn)管理指引》以及即將在2009年7月起實(shí)施的《企業(yè)內(nèi)部控制基本規(guī)范》等等，一個(gè)又一個(gè)法律、法規(guī)的出臺(tái)，使企業(yè)管理不知不覺(jué)中進(jìn)入了一個(gè)合規(guī)時(shí)代。

從風(fēng)險(xiǎn)管理的角度看，合規(guī)能夠幫助企業(yè)管理各種風(fēng)險(xiǎn)，避免罰款、法律制裁、商業(yè)損失或者因?yàn)閱T工失誤造成的數(shù)據(jù)泄漏等風(fēng)險(xiǎn)。

合規(guī)不僅是企業(yè)為了滿足外部監(jiān)管機(jī)構(gòu)的要求，更是完善企業(yè)治理，提高內(nèi)部控制管理水平和風(fēng)險(xiǎn)管理水平的重要手段。

需要強(qiáng)調(diào)的是，合規(guī)是可以創(chuàng)造價(jià)值的，也是可以度量和考核的。其中，銀監(jiān)會(huì)所頒發(fā)的《商業(yè)銀行合規(guī)風(fēng)險(xiǎn)管理指引》中指出：合規(guī)可以降低因遭受監(jiān)管處罰和法律訴訟而導(dǎo)致財(cái)務(wù)損失的可能性；堅(jiān)持合規(guī)經(jīng)營(yíng)的宗旨和原則，能夠提升品牌價(jià)值和社會(huì)地位，增強(qiáng)銀行持續(xù)競(jìng)爭(zhēng)力，帶來(lái)財(cái)富收入和聲譽(yù)價(jià)值。

可以說(shuō)，這些價(jià)值和衡量標(biāo)準(zhǔn)對(duì)于銀行以外的企業(yè)同樣適用，合規(guī)管理完全可以超越“成本中心”，成為價(jià)值源泉。

合規(guī)與內(nèi)控，以IT為突破口 

隨著IT應(yīng)用的逐步深入，企業(yè)的日常運(yùn)營(yíng)越來(lái)越依賴于IT系統(tǒng)的支撐。IT系統(tǒng)已經(jīng)成為整個(gè)企業(yè)業(yè)務(wù)的重要支撐，同時(shí)也是對(duì)企業(yè)活動(dòng)進(jìn)行控制的重要手段。以具體運(yùn)營(yíng)流程為基礎(chǔ)展開(kāi)的IT控制，直接關(guān)系到運(yùn)營(yíng)活動(dòng)的實(shí)施。因此，企業(yè)進(jìn)行內(nèi)部控制應(yīng)該從以IT為主的內(nèi)部控制為突破口。需要強(qiáng)調(diào)的是，IT內(nèi)部控制并不是孤立的，它是企業(yè)以業(yè)務(wù)目標(biāo)為主導(dǎo)的整體內(nèi)部控制項(xiàng)目的一部分。 

IT內(nèi)部控制必須遵循企業(yè)的內(nèi)部控制機(jī)制和策略，確保IT控制符合企業(yè)內(nèi)部控制的基調(diào)。此外，IT內(nèi)部控制還擔(dān)當(dāng)支持企業(yè)高層管理活動(dòng)的責(zé)任。在企業(yè)內(nèi)設(shè)定業(yè)務(wù)目標(biāo)，確立企業(yè)政策，在組織資源配置及管理決策時(shí)，IT負(fù)責(zé)輔助企業(yè)制定政策方針并在組織內(nèi)部傳達(dá)交流。 

面對(duì)即將于2009年7月實(shí)施的《企業(yè)內(nèi)部控制基本規(guī)范》，上市公司急需一套普遍適用的IT內(nèi)部控制方法論以滿足《企業(yè)內(nèi)部控制基本規(guī)范》的要求，協(xié)助IT部門(mén)建立合適的內(nèi)部控制機(jī)制。在此方面，GDS萬(wàn)國(guó)數(shù)據(jù)擁有成熟的IT內(nèi)部控制實(shí)施方法論和管理體系保障，并已幫助部分客戶建立、完善了IT內(nèi)部控制體系，并使之符合ISO20000 IT服務(wù)管理、ISO27001信息安全管理、ISO9001質(zhì)量管理等相關(guān)認(rèn)證。

此外，上市公司還需一套可操作的行動(dòng)指南和評(píng)價(jià)體系，指導(dǎo)企業(yè)在進(jìn)行IT控制的同時(shí)，方便審計(jì)機(jī)構(gòu)制訂評(píng)估標(biāo)準(zhǔn)，并有利于雙方就審計(jì)細(xì)節(jié)達(dá)成一致。(ccw)