COSO报告与建立我国企业内部控制框架结构的思考

COSO内部控制整体框架中国人民银行会计财务司综合处李麟水门事件后，内部控制理论引起了美国各界的广泛重视。

然而，对内部控制的理解分歧却由来已久，立法者、监管者和商人的不同利益决定了各自不同的立场。

90年代初成立的COSO(Committee of Sponsoring Organization)，开创性地提出了一套成体系的内部控制整体框架，这标志内部控制理论发展到新的阶段,赢得了各方的好评。

一、COSO内部控制整体框架的诞生1997年，美国国会通过了《反国外贿赂法》(FCPA)，在反贿赂条款之外，又规定了与会计及内部控制有关的条款。

美国注册会计师协会(AICPA)的审计人员责任委员会发布了《报告、结论与建议》。

随后，在1980、1982、1984年先后颁布了审计准则公告第30号、第43号、第48号。

财务经理人员协会(FEI)发布了《美国公司的内部控制：现状》。

美国证券交易委员会(SEC)则要求上市公司提交其内部控制的报告书。

1985年，由AICPA、美国审计总署(AAA)、FEI等机构共同赞助成立了全国舞弊性财务报告委员会(National Commission On Fraudulent Financial Reporting)，即tread－way委员会。

Tread －way委员会旨在研究舞弊性财务报告产生的原因及其相关领域，其中包括内部控制不健全的问题。

Tread－way委员会就内部控制问题提出了许多有价值的建议，并倡议建立一个专门研究内部控制问题的委员会。

因此，Tread－way委员会的赞助机构成立了私人性质的COSO，其组成人士包括美国会计师学会、内部审计师协会、金融管理学会等专业团体的成员。

1992年，COSO 提出了《内部控制整体框架》报告，并在1994年进行了增补。

二、COSO内部控制整体框架的内容该报告的核心内容是内部控制的定义、目标和要素。

报告中提出的观点，超越了内控思想的以往理论棗内部牵制、内部控制制度和内部控制结构等理论。

ＣＯＳＯ内部控制整体框架：内容、理论贡献和借鉴美国ＣＯＳＯ委员会（ＣｏｍｍｉｔｔｅｅｏｆＳｐｏｎｓｏｒｉｎｇＯｒｇａｎｉｚａｔｉｏｎｓｏｆｔｈｅＴｒｅａｄ－ｗａｙＣｏｍｍｉｓｓｉｏｎ）提出的ＣＯＳＯ报告极大地促进和丰富了内部控制实践活动。

它强调企业应加强对业务流程的动态控制，培育先进的企业内部控制环境文化，有效评估风险状况，建立科学的信息传导与沟通机制，加强监督，强调控制活动的效率、效果。

它将内部控制的理论和实践都向前推进了一大步，给理论界、实业界以广泛、深刻的启示，对我国企业完善内部控制有广泛而深刻的借鉴价值。

一、ＣＯＳＯ报告内部框架综述（一）内部控制的定义和目标ＣＯＳＯ是由美国反对虚假财务报告委员会（ＮＣＦＲ）发起的，它是一个旨在通过商业道德、有效的内部控制和公司治理结构以改善财务报告的美国民间组织。

１９９２年，ＣＯＳＯ委员会提出报告《内部控制—整体框架》（ＩｎｔｅｒｎａｌＣｏｎｔｒｏｌ－Ｉｎｔｅｇｒａｔ－ｅｄＦｒａｍｅｗｏｒｋ），１９９４年进行了增补。

该报告对内部控制作出如下定义：内部控制是由企业董事会、经理层和其他员工实施的，旨在为下列目标提供合理保证：（１）营运的效率和效果；（２）财务报告的可靠性；（３）相关法令的遵循性。

这个定义明确了内部控制的三大目标。

１．合法性目标。

设立内部控制的目的就是要企业合法经营，要求企业遵守现行法规是保证市场经济秩序有条不紊进行的前提，也是企业安全生存和健康发展的需要。

２．可靠性目标。

提高会计信息质量和财务报告的可信赖程度，是为了保护投资人的利益而设定的内部控制目标，其最终也是为了维护国家宏观经济和企业的长远利益。

３．效益性目标。

内部控制要为企业提高经营效率和效果服务，规范的现代企业一般是在前两个目标实现的基础上追求效益性目标的实现。

（二）内部控制的五个要素ＣＯＳＯ报告认为，为了实现内部控制的有效性，为上述三个目标提供保证，需要下列五个要素的支持：控制环境（Ｃｏｎｔｒｏｌｅｎｖｉｒｏｎｍｅｎｔ）、风险评估（Ｒｉｓｋａｓｓｅｓｓｍｅｎｔ）、控制活动（Ｃｏｎｔｒｏｌａｃｔｉｖｉｔｉｅｓ）、信息和沟通（Ｉｎｆｏｒｍａｔｉｏｎａｎｄｃｏｍｍｕｎｉｃａｔｉｏｎ）和监督（Ｍｏｎｉｔｏｒｉｎｇ）。

从ＣＯＳＯ报告谈中国企业内部控制构建与完善框架【摘要】本文通过对现有内部控制最新成果COSO理论的述评，研究中国企业内部控制构建与完善框架。

2001年以来，全球会计舞弊案件频发。

人们对企业会计信息更加关注。

在过去，是单纯通过报表审计关注结果，而在新情况下，则是既通过报表审计关注结果，又要通过构建和完善与财务报告相关的内部控制关注会计信息的生成过程。

一、内部控制理论新成果——COSO报告从历史的角度来看，内部控制理论大致可以划分为内部牵制思想、内部控制制度、内部控制结构与内部控制整体框架等几个不同的阶段。

到上世纪90年代，美国提出内部控制整体框架思想，这一思想成果集中体现在为国际理论与实务界共同推崇的COSO报告。

COSO报告认为，内部控制是一个包括概念、要素和目标在内的理论框架。

（一）内部控制概念对COSO内部控制概念可以从3个方面来理解：1.内部控制是动态过程。

内部控制是一个过程，是实现目标的手段，而不是结果本身。

组织目标是由组织的宗旨决定的。

它包括具体目标和实现目标的效率。

内部控制是防止那些可能影响组织目标有效率地实现的风险因素造成实际损失、或者使损失降低到最低限度的，贯穿于组织各项活动中的一系列行为或措施。

环境影响内部控制，内部控制随环境变化而变化。

2.内部控制受人员沟通程度的影响。

内部控制受到组织内各层次人员的影响，而不仅仅是简单地制定出一本制度手册或规章。

单纯的规章制度只是一种机械的控制措施。

组织虽然按照规章制度来运行，但人是具有个人目标、个人情感的能动性个体，他们可以在很大程度上影响规章制度的实施效率和效果。

他们的行为可能受到其个人利益的驱使，也可能受其误解或抵触情绪的驱使。

因此，内部控制必须建立在充分沟通的基础上。

3.内部控制提供的是合理保证。

对管理层或董事会而言，内部控制提供的只是合理的保证，而不是绝对的保证。

内部控制措施，无论设计得多么完美、运行得多么好，组织目标实现的可能性受到内部控制制度所固有的局限性影响，内部控制也仅能为董事会和管理部门实现组织目标提供合理的保证。

一、引言内部控制思想实践一直在不断丰富，内部控制理论也随之得到整合。

内部控制理论和实践的发展大致经历了内部牵制、内部控制系统、内部控制结构、内部控制整合框架等四个不同的阶段。

[1]美国反虚假财务报告全国委员会的发起组织委员会（COSO ）1992年发布了经典的《内部控制———整体框架》（简称旧框架）[2]，旨在给公司或组织制定和评价其合规、运营和财务报告三个目标的内部控制体系。

尤其是安然事件爆发后，美国在2002年通过萨班斯———奥克斯利法案（SOX），强制要求上市公司执行财务报告的内部控制，内部控制成为人们关注的热点。

在借鉴COSO 内部控制报告的基础上，我国财政部等五部委也于2008年颁布了《企业内部控制基本规范》。

在市场经济不断发展变化的今天，随着市场竞争压力的加大，内外部风险因素也在发生着变化，这必然需要完善的内部控制体系来保障经济社会的健康发展，可是最近不断对外报出的公司内控失败案例，不禁让人怀疑现在的内部控制体系是否还依然有效，我们的内部控制体系是否需要进一步完善来适应社会的发展变化，基于以上背景的介绍，内部控制新的框架的出台已经是迫在眉睫，COSO 委员会发布了《内部控制———整体框架》，拟于今年12月执行。

本文展开讨论新框架的主要变化，以及从中得到的启示，拟促进我国内部控制发展。

二、COSO 框架的主要变化1.框架结构根据企业运营和业务环境的变化，框架结构也进行了调整，突出了原则导向，拓展了报告目标。

COSO 新框架仍然采用了三个目标和五个要素的形式，三个目标具体是：合规性目标、经营目标和报告目标，前两个目标的内涵没有发生变化，但报告目标的内涵得到丰富和补充。

2.注重以原则为导向的方法基于内部控制五要素，新框架提出了17项原则和有关17项原则的81个属性，是对旧框架的整合和扩展，也是COSO 新框架中最显著的变化。

17项原则分别与81个要素相关联，其中：与控制环境相关的有5项，分别是诚信和道德价值观的承诺、董事会对内控的监督责任、建立组织结构授权和责任、胜任能力的承诺、内控目标责任考核；与风险评估相关有4项，分别是确定相关目标、风险的识别和分析、评估舞弊风险、识别和分析显著变化；与控制活动相关的有3项，分别是选择和开发控制活动、选择和开发技术的通用控制、选择和开发技术的通用控制；与信息和沟通相关的有3项，分别是使用相关信息、内部沟通、外部沟通；与监控活动相关的有2项，分别是实施持续的和/或单独的评估、缺陷的评估和沟通。

内部控制框架的新发展企业风险管理框架COSO委员会新报告《企业风险管理框架》简介一、本文概述随着全球经济的不断发展和企业规模的日益扩大，企业面临着越来越多的风险和挑战。

为了帮助企业更好地应对这些风险，提高内部控制和风险管理水平，COSO（Committee of Sponsoring Organizations of the Treadway Commission）委员会在原有的内部控制框架基础上，推出了全新的《企业风险管理框架》报告。

本文旨在对该报告进行简要介绍，阐述企业风险管理框架的新发展，并探讨其对现代企业内部控制和风险管理的重要意义。

通过本文的阅读，读者将对企业风险管理框架有一个全面的了解，从而为企业构建更加完善的风险管理体系提供有益的参考。

二、COSO委员会及其新报告概述COSO委员会，全称“美国反虚假财务报告委员会下属的发起人委员会”（Committee of Sponsoring Organizations of the Treadway Commission），自1992年发布《内部控制——整体框架》以来，一直是全球企业内部控制和风险管理的权威指导机构。

近年来，随着全球经济环境的变化和企业经营复杂性的增加，COSO委员会意识到原有的内部控制框架已不能满足企业对全面风险管理的需求。

因此，经过数年的研究和讨论，COSO委员会于2017年发布了全新的《企业风险管理框架》（Enterprise Risk Management Framework，简称ERM 框架）。

新报告《企业风险管理框架》在原有内部控制框架的基础上，进一步拓展了风险管理的范围和深度。

新框架不仅强调了内部控制的重要性，还明确提出了企业风险管理的八大要素，包括：内部环境、目标设定、事项识别、风险评估、风险应对、控制活动、信息与沟通和监控。

这些要素相互关联、相互作用，共同构成了企业风险管理的完整体系。

与旧框架相比，新框架更加注重风险管理的战略性和系统性，鼓励企业从全局视角出发，全面识别、评估和管理风险。

COSO 新框架下企业内部控制与风险管理的思考李晶天津市第二市政公路工程有限公司，天津300113[摘要]内部控制是全面风险管理的必要环节，其动力来自企业对风险的认识和管理。

对此，我们必须尽快转换长期以来固化的观念和思维定式，努力构建体现全面风险管理的内部控制新机制，赋予内部控制新的内容。

[关键词]COSO ；内部控制；风险管理；借鉴[中图分类号]F273[文献标识码]A [文章编号]1008-9055（2008）01-0014-02Thinking on Internal Control and Risk Management ofEnterprises under the New Frame COSOLI J ing（Tianjin 2nd M unicipal Ro ad Eng ineering L td.Co mpany ，Tianjin 300113）[Abstr act]The internal co ntrol is the necessary link o f the overall risk management;its mo tivepo wer comes fro m the enterprise ’s understanding to risk and manag ement.So w e have to convert the long-time solid ideas and settled thinking as soon as po ssible,and set up a new mechanism and g ive the new contents of the inner part control.[Key Wor ds]COSO ；internal contro l ；risk manag ement ；use for reference[收稿日期][作者简介]李晶（—），女，汉族，天津市人，天津市第二市政公路工程有限公司中级会计师。

2014年第12期【摘要】COSO 《内部控制——整合框架》是世界范围内被广泛接受的内部控制框架，2013年进行了最新修订，本文概述了其最新内容，并考虑到此次修订给我国内部控制发展提供了良好机遇，结合我国企业实际阐述了最新COSO 《内部控制——整合框架》对我国企业内部控制发展的启示和借鉴意义。

【关键词】内部控制整合框架内部控制规范体系COSO 【中图分类号】F235.19一、内部控制发展背景近年来，企业的内部控制建设越来越受到各方关注，相关利益团体越来越意识到内部控制、风险控制对企业长远发展的重要意义，无论是上市公司还是非上市公司，无论是国有企业还是私营企业，都在积极制定并不断完善内部控制制度。

而在世界范围内使用最广泛的内部控制指导性文件是COSO 内部控制框架，即由美国反虚假财务报告委员会的发起组织委员会COSO （Committee of Sponsoring Organizations of the Treadway Commis⁃sion ）发布的《内部控制——整合框架》。

COSO 的宗旨即是为促进企业风险管理，内部控制和防止舞弊提供指引。

COSO 于1992年9月第一次发布《内部控制——整合框架》，后经过了几次局部的补充、改进，2010年开始着手全面修订工作，至2013年5月14日正式发布了《内部控制——整合框架》（2013），对原内容进行了全面更新。

二、我国内部控制发展现状我国于2008年发布了《企业内部控制基本规范》，其总体框架基本遵循COSO 内部控制框架。

要求“自2009年7月1日起在上市公司范围内施行，鼓励非上市的大中型企业执行。

”2010年4月又发布了《企业内部控制配套指引》，要求“自2011年1月1日起在境内外同时上市的公司施行，自2012年1月1日起在上海证券交易所、深圳证券交易所主板上市公司施行；在此基础上，择机在中小板和创业板上市公司施行。

鼓励非上市大中型企业提前执行。

COSO框架–内部控制框架随着企业经营环境的日益复杂和竞争的激烈，内部控制越来越成为企业管理中不可或缺的一部分。

COSO框架（COSO Framework）是一个广泛使用的内部控制框架，被认为是全球内部控制最重要的参考模型之一。

一、什么是内部控制框架内部控制框架是对企业内部环境、目标和风险的整体规划和管理。

它包括制定和实施适当的控制措施，以确保企业的运营有效性和财务报告的准确性。

COSO框架是一个认为内部控制是一种过程的框架。

它由“控制环境”、“风险评估”、“控制活动”、“信息与沟通”和“监督”五个要素组成。

这五个要素相互关联，并共同作用于企业的内部控制。

二、COSO框架的五个要素1. 控制环境控制环境是企业内部控制的基础。

它包括企业的核心价值观、道德操守、管理层对内部控制的态度和行为等方面。

建立良好的控制环境可以为企业提供内部控制的坚实基础。

2. 风险评估风险评估是指企业对内部和外部环境中可能对目标产生负面影响的风险进行识别和评估的过程。

通过风险评估，企业可以了解并管理自身所面对的风险，确保目标的实现。

3. 控制活动控制活动是指企业建立的控制措施和程序。

通过制定和执行适当的控制活动，企业可以有效地预防和纠正错误、提高业务运营的效率和有效性。

4. 信息与沟通信息与沟通是指企业内部控制中传递和处理信息的过程。

它包括信息的收集、处理、记录和传递，以及沟通与交流。

有效的信息与沟通可以确保信息的及时准确和流动畅通。

5. 监督监督是指对企业内部控制的持续评估和监督。

它包括内部审核、内部控制自我评估以及外部审计等方面。

监督过程可以发现潜在的问题和改进机会，并为企业提供持续改进和发展的动力。

三、COSO框架的应用价值COSO框架作为一个全面而系统的内部控制参考模型，具有以下应用价值：1. 促进企业内部控制的规范化和标准化。

COSO框架可以帮助企业建立统一的内部控制体系，提高内部控制的质量和一致性。

2. 为企业管理者提供决策和评估的依据。

新形势下COSO风险管理框架对我国企业的启示近年来，随着各生产要素成本不断上升，组织架构混乱、核算制度落后、技术缺乏等问题日益凸显，国内企业所面临的风险不断提升。

2023年，新冠疫情席卷全球，对世界经济产生了巨大的冲击，也对企业的风险管理提出了更高的要求。

2017年9月,经历多年的修订和征集，COSO委员会颁布了《企业风险管理一一与战略绩效整合》。

借鉴CoSO新版ERM框架，有助于提升企业风险管理水平，使企业在国际政治形势严峻、经济衰退的大环境中保持稳定发展。

COSO风险管理框架的发展历程COSO是美国反虚假财务报告委员会下属的发起人委员会，由美国反虚假财务报告委员会赞助成立，专注于内部控制和风险管理的问题研究，并先后发布了三大框架为企业提供参考。

（一）《内部控制——整体框架》20世纪70年代以来，美国公司贿赂政府官员事件频发使理论及实务界意识到企业内部控制的重要性。

1992年，COSC）委员会颁布《内部控制一整体框架》，将内部控制分为控制环境、风险评估、控制活动、信息和沟通、监督五要素。

（二）《企业风险管理——整合框架》进入21世纪，COSO委员会从内部控制框架实施情况中发现，随着外部环境发生剧烈变化，许多企业即便建立了完善的内部控制体系，仍然陷入倒闭、破产或经营失败的困境。

因此，COSO委员会开始着力于从风险管理的角度保障公司战略目标实现的研究。

2014年9月，《企业风险管理一整合框架》（简称ERM2014）正式颁布，该框架沿用了《内部控制——整体框架》的立方体结构，在目标维度增加了战略目标,并在内控五大要素中增加了目标设置，事件识别和风险应对。

控制环境事脩识别风陶评估信息与沟通图2企业风险管理整合框架（≡）《企业风险管理：与战略和绩效的整合》随着经济全球化的浪潮深入推进，企业在经营过程中面临的风险愈发复杂，经营管理者则更加关心风险管理对企业价值的创造，而旧版风险管理框架显然已经无法满足实践需要。

COSO新框架下对我国企业内部控制体系改进措施随着我国经济社会的不断发展，企业内部控制体系对企业经营管理越来越重要。

近年来，由于我国企业内部控制体系建设水平存在较大差距，导致企业面临各种风险和挑战。

COSO新框架是当前国际上被广泛认可的内部控制体系框架，在完善企业内部控制体系方面具有重要的指导意义。

因此，本文将从COSO新框架出发，探讨我国企业内部控制体系改进措施。

一、COSO新框架简介COSO（Committee Of Sponsoring Organizations of the Treadway Commission）是一个由私人企业、业务和非营利机构组成的组织，旨在提升管理层对控制的重要性，建立内部控制框架。

COSO的理念是在管理层的监督下全员参与建立企业内部控制机制。

COSO新框架是COSO在2013年发布的最新内部控制体系框架，被广泛认为是可实施、实用性强的企业内部控制体系框架，并得到国际认可。

COSO新框架一共包括五个部分，即：控制环境、风险评估、控制活动、信息和沟通以及监控活动。

这五个部分相互结合，能够全方位、全过程地确保企业内部控制的有效性。

二、COSO新框架对我国企业内部控制体系的影响COSO新框架具有多方面的影响，尤其对我国企业内部控制体系建设的改进具有积极意义。

1. 统一内部控制体系标准COSO新框架提供了完整的内部控制体系框架，可以统一企业内部控制体系标准，减少不同区域、不同行业、不同企业内部控制体系标准的差异，提高内部控制的可比性和可度量性。

2. 强化风险评估和管理COSO新框架突出了风险评估和管理，使企业能够更加全面、准确地进行风险管理，减少潜在风险，提高企业在市场竞争中的优势。

3. 改进企业内部控制机制COSO新框架具有更加全面、系统、清晰的内部控制机制，有利于企业对内部控制机制的检查和改进。

4. 提高财务报告的质量对于企业而言，财务报告是重要的信息沟通渠道，也是外部投资者和潜在投资者判断企业基础的标志，而COSO新框架的财务报告质量要求较高，强调财务性能、信息透明度，能够提高财务报告的质量和信誉。

企业内部控制基本规范与COSO企业风险管理之比较作者：姜毅来源：《经济研究导刊》2009年第29期摘要:2008年6月28日财政部、证监会、审计署、银监会、保监会联合发布的《企业内部控制基本规范》,既融合了COSO风险管理的先进经验,又具有中国的特色。

COSO在ERM框架报告中指出,企业风险管理是一个过程,它是由一个主体的董事会、管理当局和其他人员实现的,应用于战略制定并贯穿于企业之中,旨在识别可能会影响主体的潜在事项,管理风险已使其在该主体的风险容量之内,为主体目标的实现提供合理保证。

关键词:企业;内部控制;COSO风险管理;基本规范中图分类号:F713.50文献标志码:A文章编号:1673-291X(2009)29-0192-03企业内部控制的完善和执行情况日益成为人们关注的议题。

在国内,“中航油”、“银广厦”等多起舞弊案件都是与企业内部控制的缺失有关。

德勤华永会计师事务所有限公司最新《中国上市公司内部控制调查分析报告》的调查结果显示,大多数企业在内部控制实施方面仍然存在一定的盲目性。

中国上市公司约58.82%的企业为应对金融危机而指定了专门的部门落实风险管理和内控工作,但是,仅有23.53%的企业将内控工作的重点从书面制度转变为具体实施;仅约17.65%的企业进行了内部控制评价。

可见,内部控制问题已成为上市公司的软肋。

2008年6月28日财政部、证监会、审计署、银监会、保监会联合发布了《企业内部控制基本规范》,该规范融合了COSO 风险管理的先进经验,又具有中国的特色,被世人赞誉其为“中国版的萨班斯法案”。

那么,基本规范是否能解决上市公司的问题成为了时下理论界、实务界关注的焦点。

一、企业内部控制规范与COSO企业风险管理的不同(一)内涵、目标不同2008年6月28日财政部、证监会、审计署、银监会、保监会联合发布的《企业内部控制基本规范》,为中国企业首次构建了一个企业内部控制的标准框架。

它所指的内部控制,是指由企业董事会(或者由企业章程规定的经理、厂长办公会等类似的决策、治理机构,以下简称董事会)、管理层和全体员工共同实施的、旨在合理保证实现以下基本目标的一系列控制活动:(1)企业战略;(2)经营的效率和效果;(3)财务报告及管理信息的真实、可靠和完整;(4)资产的安全完整;(5)遵循国家法律法规和有关监管要求。

内部控制框架的新发展——企业风险管理框架——COSO 委员会新报告《企业风险管理框架》简介引言内部控制框架是对企业内部管理结构、政策和程序的描述，通过对风险进行识别、评估和应对，以确保企业能够有效实现其目标。

近年来，COSO（委员会Sponsoring Organizationof the Treadway Commission）委员会发布了一份新的报告，《企业风险管理框架》，这标志着内部控制框架的新发展。

本文将对该报告进行简要介绍和分析。

一、COSO委员会与《企业风险管理框架》简介COSO委员会是一个非营利性组织，致力于改善和发展内部控制和风险管理的范例。

该委员会成立于1985年，由五个行业组织共同发起，其最著名的作品是1992年发布的《内部控制框架》。

随着全球商业环境的不断变化，COSO委员会于2017年发布了最新报告《企业风险管理框架》，以适应时代的需求。

《企业风险管理框架》是对内部控制框架的升级版本，更加注重风险的综合管理。

该框架由五个互相关联的组件构成，包括：企业风险管理环境、风险评估、风险处理、信息和沟通以及监控。

这些组件协同工作，为企业提供全面、系统和持续的风险管理。

值得一提的是，《企业风险管理框架》在制定过程中充分考虑了数字化、全球化和可持续发展等现代企业面临的新挑战。

二、《企业风险管理框架》的特点和意义1. 强调风险管理的重要性《企业风险管理框架》将风险管理放置在战略规划和业务运营的核心位置，强调了风险管理对于企业生存和发展的重要性。

通过明确风险管理的目标、原则和组件，帮助企业建立起更加有效的风险管理体系。

2. 强调风险管理的一体化《企业风险管理框架》强调风险管理应当贯穿于整个组织的各个层级和业务领域，而不是一个独立的功能。

风险管理需要融入到企业的文化和决策中，成为每个员工的职责和习惯，以确保风险管理的全面性和连续性。

3. 强调风险管理的动态性《企业风险管理框架》指出，风险管理是一个动态的过程，需要根据企业内外部环境的变化进行不断调整。

小企业在组织形式、规模等方面有着与大企业不同的特点,这决定其在建立内部控制时,不能照搬大企业的经验和做法。

然而,目前我国关于内部控制的研究和相关制度大都着眼于大中型企业,很少涉及为数众多的小企业。

从实践来看,目前,我国小企业的内部控制意识和措施都相当薄弱,有相当多的小企业因为缺乏基本的内部控制而导致失败。

为此,我国在制定内部控制规范时,有必要对小企业的内部控制问题加以特别的考虑。

本文将在借鉴COS O 有关指南的基础上,对小企业的内部控制问题加以初步的探讨,以期为我国小企业内部控制指南的制定以及小企业内部控制实务有所裨益。

一、小企业的特点及其对内部控制的影响与大型公司相比,小企业具有以下几个显著特点:(1)业务单一、个体规模小,易于控制。

(2)机制灵活,应变能力强,但同时也存在着过于依赖企业主个人能力,缺少长远规划、缺乏风险评价系统等问题。

(3)资本结构简单,所有权与经营权分离不够充分。

企业主往往直接控制业务,而较少实行分权。

(4)人员较少、组织结构简单,管理层级少,不相容职责分离有限。

上述特点对小企业实施内部控制带来了重大挑战,具体包括:(1)难以获取充分的资源以实现恰当的职责分离,在小企业中,一个员工可能同时兼任几个岗位,而这些岗位可能存在不相容性;(2)管理层控制业务的能力会提高其不恰当地越过控制过程的可能性;(3)难以吸引财务报告和其他方面的专家担任董事或审计委员会成员;(4)难以吸引并留住具有丰富经验和技能的人员从事会计和财务报告工作;(5)管理层往往关注于经营,而不能对会计和财务报告予以充分的关注;(6)由于技术资源有限,难以对计算机信息系统实现恰当的控制。

由此可见,与大型企业相比,小企业在所有权、组织形式、资源获取等方面存在较大差异,其面临的内部控制问题也不同,这就决定了小企业不能完全按照大中型企业的方法和要求来设计和实施内部控制。

二、COSO 对小规模企业内部控制的考虑(一)《内部控制———整体框架》对小企业的考虑COS O (1992,1994)在《内部控制———整体框架》中就已关注到小企业的内部控制问题。

COSO内部控制与企业风险管理整合框架的比较企业风险管理整合框架在内部控制整合框架的基础上增加了一个新观念，一个战略目标，两个概念和三个要素。

即风险组合观，战略目标，风险偏好、风险容限的概念以及目标设定、事项识别、风险应对要素。

（1）在内部控制郑和框架的基础上，企业风险管理框架引入了风险组合观。

对企业内部而言，其风险可能落在该单位的风险容限范围内，但从企业总体来看，总风险可能会超过企业总体的风险偏好范围。

因此企业风险管理要求以风险组合观看待风险，对相关的风险进行识别并采取措施使企业所承担的风险在风险偏好的范围内。

（2）内部控制整合框架将企业的目标分成三类，即经营目标、报告目标、合规性目标。

其中经营目标、合规性目标与风险管理框架相同，但报告目标有所不同。

企业风险管理整合框架中，报告被大大地拓展为企业所编制的所有报告，包括对内、对外的报告，而且内容不仅包含更加广泛的财务信息，而且包含非财务信息。

另外，企业风险管理整合框架增加一大目标，即战略目标，它处于比其他目标更高的层次。

战略目标来自一个企业的使命或愿景，因而经营目标、报告目标和合规性目标必须与其相协调。

（3）企业风险管理构架引入风险偏好和风险容限两个概念。

风险偏好是指企业在追求愿景的过程中所原意承受的广泛意义的风险数量，它在战略制定和相关目标选择时起到风向标的所用。

风险容限是指在企业目标实现过程中所能接受的偏离程度。

在确定各目标的风险容限时，企业应考虑相关目标的重要性，并将其与企业风险偏好联系起来，将风险控制在风险可接受程度的最大范围内，以保证企业能在更高的层次上实现企业目标。

（4）企业风险整合框架在内部控制整合框架的基础上新增了三个风险管理要素：目标设定、事项识别、风险应对，它们将企业的管理中心更多地移向风险管理。

同时，在内部环境中，强调了董事会的风险管理理念。

因此，企业风险管理郑和框架拓展了COSO的风险评估要素。

（5）其他要素在风险管理整合框架中的扩展在控制活动要素中，企业风险管理整合框架明确指出，在某些情况下，控制活动本身也起到风险应对的作用。