COSO介绍
COSO是全国反虚假财务报告委员会下属的发起人委员会（The
Committee of Sponsoring Organizations of the Treadway
Commission）的英文缩写。 1985年，由美国注册会计师协会、美国会计协会、财务经理人协会、内部审计师协会、管理会计师协会联合创建了反虚假财务报告委员会，旨在探讨财务报告中的舞弊产生的原因，并寻找解决之道。两年后，基于该委员会的建议，其赞助机构成立COSO委员会，专门研究内部控制问题。1992年9月，COSO委员会发布《内部控制整合框架》，简称COSO报告，1994年进行了增补，中国的《企业内部控制配套指引》与此相似。
COSO框架
1）COSO内部控制—整体框架
反虚假财务报告委员会于1987年签署了报告，号召研究并制定一个统一的内部控制框架。1992年9月，COSO委员会提出了报告《内部控制———整体框架》（1994年进行了增补），即COSO内部控制框架。COSO内部控制框架被广泛地选择作为构建和完善内部控制体系的标准，是因为：虽然COSO内部控制框架并非唯一的内部控制框架，但却是美国证券交易委员会唯一推荐使用的内部控制框架，《萨班斯—奥克斯利法案》第404条款的“最终细则”也明确表明COSO内部控制框架可以作为评估公司内部控制的标准。
COSO框架提出五个互相关联的组成要素，根据公司的规模和结构，公司可采用不同的方式来实施这些组成要素，但是所有公司都必须涉及这五个组成要素。因此，在对内部控制进行评估时，管理层必须考虑以下每个组成要素：
控制环境：
控制环境是内部控制体系的基础，是有效实施内部控制的保障，直接影响着公司内部 控制的贯彻执行、公司经营目标及整体战略目标的实现。控制环境确定了公司的总体态度，是内部控 制所有其他组成要素的基础。控制环境包括职业道德、员工的胜任能力、管理理念和经营风格、组织 结构、权利和责任的分配、人力资源政策与措施、董事会与审计委员会以及反舞弊等内容。
企业风险管理
——整合框架
Enterprise Risk Management
——integrated framework
2004年9月
（美）COSO制定发布
2 目录
1、 定义
2、 内部环境
3、 目标设定
4、 事项识别
5、 风险评估
6、 风险应对
7、 控制活动
8、 信息与沟通
9、 监控
10、 职能与责任
11、 企业风险管理的局限
3 1 定义
本章摘要
所有的主体都面临不确定性，对于管理当局的挑战在于确定在追求增加利益相关者价值的同时，准备承受多少不确定性。企业风险管理使管理当局能够识别、评估和管理面对不确定性的风险，它对于价值创造和保持而言是必不可少的。企业风险管理是一个过程，它由一个主体的董事会、管理当局和其他人员实施，应用于战略制订并贯穿于企业之中，旨在识别可能会影响主体的潜在事项，管理风险以使其在该主体的风险容量之内，并为主体目标的实现提供合理保证。它包括八个相互关联的构成要素，它们与管理当局经营企业的方式密不可分。这些构成要素联系起来，成为确定企业风险管理是否有效的标准。
本框架的一个关键目标是帮助企业和其他主体的管理当局，在实现主体目标的过程中更好地处理风险。但是企业风险管理有许多不同的称谓和解释，难以形成共同的理解，因此对于不同的人而言，意味着不同的含义。同时，一个重要的目的在于把各种不同的风险管理概念整合到一个框架之中，在这个框架中构建一个共同的定义，辨别构成要素，并讲述关键概念。这个框架容纳大多数观点，为各个主体评估和增进企业风险管理、为规则制定团体和教育机构的未来行动提供一个出发点。
1.1不确定性与价值
企业风险管理的一个基本前提是每一个主体，不管是营利性的、非营利性的，还是政府机构，存在的目的都是为它的利益相关者提供价值。所有的主体都面临不确定性，对于管理当局的挑战在于：确定在追求增加利益相关者价值的同时准备承受多少不确定性。不确定性潜藏着对价值的破坏或增进，既代表风险，也代表机会。企业风险管理使管理当局能够有效地处理不确定性以及由此带来的风险和机会，从而提高主体创造价值的能力。
COSO：Enterprise Risk Management Framework
COSO企业风险管理整体框架
概览
一些公司和企业的管理者已经在企业内部建立了一系列确认和管理风险的过程，而现在有许多
企业也已经开始或正在考虑建立自己的确认和管理风险的过程。虽然管理者已经掌握了大量的企业
风险管理的信息（包括大量公开出版的文献），但实务中却并不存在统一的术语，而且也很少有普
遍接受的原则可供管理者在构建一个有效的风险管理框架时作为指南。
COSO 委员会已经认识到对企业风险管理概念性指南的需要，因而该委员会发起了一个建立
一个 ，旨在支持企业建立或评判企业风险管理过程的项目提
供 。另一相关的目标是使构建的这个框架 、
提供一个统一的
基础，以便在风险管理问题方面进行有效地交流。
本概览列出了企业风险管理框架的关键内容，包括 ，
责。本概览还强调
如果想更加深入地了解有关知识，请看企业风险管理框架的全文。
（一）企业风险管理的相关性
企业风险管理的基本前提是每一个企业，无论是盈利组织、非盈利组织，还是政府机构，其存
在的目的都是 。 。对企业管理者而言，所面
临的挑战是在 ， 。不确定
性既代表风险，也代表机遇，既存在使企业增值的可能，也存在使企业减值的风险。风险管理框架
就是为管理者提供一个框架，使其能够有效处理不确定性及相应的风险和机遇，进而提高企业创造
价值的能力。
1．
企业经营的环境中有许多因素都会给企业带来不确定性，如全球化、技术、法规、企业重构、
多变的市场以及竞争等。不确定性来源于无法明确地决定潜在事项将要发生的可能性及其相应结
果。
2．
从战略的制定到企业的日常经营，管理者的决策 。决策的本
1
质就是 ，它要求企业的管理 应在考虑企业内、外部环境的因素的基础上，对企业
的 ，并且根据环境的不断变化来调整企业的活动。
？ ，企业的价值也得到实现。对于公司
而言，当股东承认由于股价上扬所带来的价值时， 。对于 当
COSO：Enterprise Risk Management Framework (Exposure Draft for Public Comment)
Page 2 of 67
概览 一些公司和企业的管理者已经在企业内部建立了一系列确认和管理风险的过程，而现在有许多企业也已经开始或正在考虑建立自己的确认和管理风险的过程。虽然管理者已经掌握了大量的企业风险管理的信息（包括大量公开出版的文献），但实务中却并不存在统一的术语，而且也很少有普遍接受的原则可供管理者在构建一个有效的风险管理框架时作为指南。 COSO委员会已经认识到对企业风险管理概念性指南的需要，因而该委员会发起了一个建立一个概念性的、适当的风险管理框架的计划，旨在支持企业建立或评判企业风险管理过程的项目提供完整的原则、能用的术语和实务操作指南。另一相关的目标是使构建的这个框架可以作为管理者、董事、主管人员、学者和其他相关人员更好地理解企业风险管理及其优点和局限性提供一个统一的基础，以便在风险管理问题方面进行有效地交流。 本概览列出了企业风险管理框架的关键内容，包括企业风险管理的定义、内容和基本原则，风险管理的优点、局限性以及各相关方的地位和职责。本概览还强调企业风险管理的相关性和其与COSO内部控制报告的关系。如果想更加深入地了解有关知识，请看企业风险管理框架的全文。 （一）企业风险管理的相关性 企业风险管理的基本前提是每一个企业，无论是盈利组织、非盈利组织，还是政府机构，其存在的目的都是为其利益相关方带来价值。所有的企业都要面对不确定性。对企业管理者而言，所面临的挑战是在追求企业利益相关方价值增长的同时，决定企业准备接受的不确定性的程度。不确定性既代表风险，也代表机遇，既存在使企业增值的可能，也存在使企业减值的风险。风险管理框架就是为管理者提供一个框架，使其能够有效处理不确定性及相应的风险和机遇，进而提高企业创造价值的能力。 1．不确定性 企业经营的环境中有许多因素都会给企业带来不确定性，如全球化、技术、法规、企业重构、多变的市场以及竞争等。不确定性来源于无法明确地决定潜在事项将要发生的可能性及其相应结果。 2．价值 从战略的制定到企业的日常经营，管理者的决策会创造、保持或减少企业的价值。决策的本质就是确认风险和机遇，它要求企业的管理1应在考虑企业内、外部环境的因素的基础上，对企业的稀缺资源进行配置，并且根据环境的不断变化来调整企业的活动。 ？当企业的利益相关方取得其相应价值的可确认收益时，企业的价值也得到实现。对于公司而言，当股东承认由于股价上扬所带来的价值时，他们也就承认了企业的价值。对于政府机构，当该机构以一个可接受的成本所提供的服务的收益得到确认时，机构的价值就得以实现。对于非盈利组织的利益相关方而言，当他们确认组织所提供的社会福利的价值时，他们也就承认了该组织的价值。企业风险管理使管理者能够创造持久的价值并能够将创造价值的信息传递给利益相关方。 1 在本部分和以后的讨论中一旦使用“管理”一词，其意思包括非管理人员执行的许多企业风险管理活动。 COSO：Enterprise Risk Management Framework (Exposure Draft for Public Comment)
