COSO风险管理框架

公司治理·内部控制前沿译丛企业风险管理——整合框架（美）COSO 制定发布方红星王宏译大连制定发布机构简介COSO是Treadway委员会（Treadway Commission，即反欺诈财务报告全国委员会（National Commission on Fraudulent Financial Reporting），通常根据其首任主席的姓名而称为Treadway委员会）的发起组织委员会（Committee of Sponsoring Organizations）的简称。

Treadway委员会由美国注册会计师协会（AICPA）、美国会计学会（AAA）、国际财务经理协会（FEI）、内部审计师协会（IIA）和管理会计师协会（IMA）等5个组织于1985年发起成立。

1987年，Treadway委员会发布一份报告，建议其发起组织共同协作，整合各种内部控制的概念和定义。

1992年，COSO发布了着名的《内部控制——整合框架》（1994年作出局部修订），成为内部控制领域最为权威的文献之一。

2003年7月，COSO发布了《企业风险管理——整合框架（征求意见稿）》，经过一年多的意见反馈、研究和修改，2004年9月发布了最终的文本。

本书就是按照2004年9月正式发布的文本进行翻译的。

译者简介方红星，东北财经大学会计学院教授，博士，兼任东北财经大学出版社社长，编审，东北财经大学内部控制与风险管理研究中心研究员，三友会计研究所所长。

主要学术兼职有财政部会计准则委员会咨询专家、中国会计学会理事、中国成本研究会理事、中国注册会计师审计准则组成员、中国会计学会财务成本分会常务理事及多家学术期刊编委。

王宏，西南财经大学会计学院博士研究生，现就职于财政部会计司综合处，近年来主要致力于内部会计控制等方面的理论和政策研究。

中文版前言在内部控制和风险管理的演进过程之中，COSO的突出贡献是举世公认的。

它在1992年所发布的、并于1994年作出局部修正的《内部控制——整合框架》，已经成为世界通行的内部控制权威文献，被国际和各国审计准则制定机构、银行监管机构和其他方面所采纳。

全面风险管理框架下财务再保险的实施
一、利用财务再保险优化保险公司经营
保险公司的获利与亏损都会因概率大小有所变化，当拥有 较多获得的情况下，为了能能未雨绸缪，保险公司可以适 当将部分盈余提拔至再保险公司为其设立的专户，由再保 险公司为其管理，如果未来某一年出现较大亏损，就可由 此专户的基金弥补亏损。更重要的而是，同时保险公司的 财务也能符合风险资本的要求。此外从税收角度考虑，财 务再保险也能给保险公司带来极大的收益。我国税法规定， 纳税人发生年度亏损的，可以用下一纳税年度的所得弥补; 下一纳税年度的所得不足以弥补的，可以逐年延续弥补， 但延续弥补期最长不超过5年，保险公司所得税税率为33%。 从中我们可以发现，虽然采用财务再保险虽然不可能产生 了新的利润，但是可以利用其调节各年的利润水平，从而 达到合理避税的目的，增加保险公司的现金流。
保险公司内部控制制度需求分析
提供有效信息 信息和沟通是全面风险管理制度框架中的要素之一，信息 有效性是控制信息不对称而产生风险的有效措施。信息管 理控制主要的途径是加强信息化建设，建立完善信息系统， 提高信息质量。沟通包括外部沟通和内部沟通两个方面， 作为服务行业，外部沟通对于保险公司来说同样重要，因 而需要在内部控制制度中建立促进外部沟通的机制。
降低不确定性
内部控制制度的机制还应该能够通过降低不确定性进而降 低交易成本。在内部控制体系中，保险公司的财务控制、 资金运用和业务控制等控制活动的某些措施从一定意义来 说，就是为了保持公司运营的稳健，降低不确定性。
抑制机会主义
保险公司的机会主义风险包括内部和外部两类，内 部的机会主义风险包括股东、管理层、员工、代理 人和投保人等，对于保险公司来说信息不对称、资 产专用属性等都会加大机会主义风险。因此，在健 全内部控制中的财务会计、资金运用、业务控制等 控制之外，还需要加强信息和沟通的有效性。

COSO风险管理框架中文版概览一些公司和企业的管理者已经在企业内部建立了一系列确认和管理风险的过程，而现在有许多企业也已经开始或正在考虑建立自己的确认和管理风险的过程。

虽然管理者已经掌握了大量的企业风险管理的信息（包括大量公开出版的文献），但实务中却并不存在统一的术语，而且也很少有普遍接受的原则可供管理者在构建一个有效的风险管理框架时作为指南。

COSO 委员会已经认识到对企业风险管理概念性指南的需要，因而该委员会发起了一个建立一个概念性的、适当的风险管理框架的计划，旨在支持企业建立或评判企业风险管理过程的项目提供完整的原则、能用的术语和实务操作指南。

另一相关的目标是使构建的这个框架可以作为管理者、董事、主管人员、学者和其他相关人员更好地理解企业风险管理及其优点和局限性提供一个统一的基础，以便在风险管理问题方面进行有效地交流。

本概览列出了企业风险管理框架的关键内容，包括企业风险管理的定义、内容和基本原则，风险管理的优点、局限性以及各相关方的地位和职责。

本概览还强调企业风险管理的相关性和其与COSO 内部控制报告的关系。

如果想更加深入地了解有关知识，请看企业风险管理框架的全文。

（一）企业风险管理的相关性企业风险管理的基本前提是每一个企业，无论是盈利组织、非盈利组织，还是政府机构，其存在的目的都是为其利益相关方带来价值。

所有的企业都要面对不确定性。

对企业管理者而言，所面临的挑战是在追求企业利益相关方价值增长的同时，决定企业准备接受的不确定性的程度。

不确定性既代表风险，也代表机遇，既存在使企业增值的可能，也存在使企业减值的风险。

风险管理框架就是为管理者提供一个框架，使其能够有效处理不确定性及相应的风险和机遇，进而提高企业创造价值的能力。

1．不确定性企业经营的环境中有许多因素都会给企业带来不确定性，如全球化、技术、法规、企业重构、多变的市场以及竞争等。

不确定性来源于无法明确地决定潜在事项将要发生的可能性及其相应结果。

1
在本部分和以后的讨论中一旦使用“管理”一词，其意思包括非管理人员执行的许多企业风险e Risk Management Framework
(Exposure Draft for Public Comment)
3．企业风险管理的优点 所有企业都是在有风险的环境下经营， 而不是企业风险管理使企业面临这样的环境。 企 业风险管理是使管理者能够在充满风险的环境中更加有效地经营。 企业风险管理使企业的管理者能够： （1）将风险偏好和企业的战略结合在一起。 从广义来讲，风险偏好是一个公司或企业在追求其目标的过程中愿意接受的风险的程 度。管理者在评估企业的战略方案时首先要考虑企业的风险偏好，其后，在制定与企业战略 相对应的目标和建立一定的机制管理相应的风险时也应考虑企业的风险偏好。 （2）将企业成长、风险和收益联系起来 经济主体在企业价值保值、 增值的过程中也要接受相应的风险， 同时预期补偿风险的相 应收益。 企业风险管理提高了企业确认和评估风险的能力， 进而使企业能够确定相对于企业 成长性和收益目标而言的风险的可接受水平。 （3）增加风险反应决策 企业风险管理提供了确认和选择不同的风险反应方案的严格标准。 企业的风险反应方案 包括风险规避、风险降低、风险共担和风险接受。企业风险管理提供了进行相关决策的方法 和技术。 （4）使企业的经营意外和损失最小化 经济主体可能提高确认潜在事项、 评估风险和明确反应方案， 最后减少经营意外的出现 次数以及减少相应的成本或损失。 （5）确认和管理企业的总体风险 每一个经济主体都面临着许多风险， 而不同的风险会影响企业经营的各个方面。 管理不 仅需要对每一种风险进行管理，还需要了解风险对企业总体的影响。 （6）针对多重风险提供完整的反应方案 企业的经营过程存在许多内在的风险， 企业风险管理就是为管理风险提供一整套解决方 案。 （7）抓住机遇 管理不仅要考虑风险， 还需要考虑潜在的事项对企业的影响。 对潜在事项有一个完整的 了解可以使管理对每一潜在事项表明何种机遇有一个了解。 （8）合理分配资金 关于企业总体风险的更为明确的信息可以使企业的管理者能够更加有效地评估企业总 体的资金需要，改进企业的资金配置。 企业风险管理本身并不是目的，它仅仅是实现目的的一种方式。它不能、也无法在一个 经济主体内单独运行， 而是企业管理过程的一个推动器。 企业风险管理向董事会提供最重要 的风险的信息以及这些风险应如何管理的建议，进而与公司治理相联系。而且，风险管理与 企业的绩效管理也有关， 风险管理通过提供风险调节的措施和内部控制来帮助企业的绩效管 理。内部控制是企业风险管理的一部分。 风险管理帮助一个经济主体实现其经营和利润目标、 防止资源的浪费。 它还有助于确保 企业报告的有效性。此外，企业风险管理还有助于保证企业遵守有关的法律、法规，避免其 声誉受损并防止产生相应的不良后果。 总之， 企业风险管理可以帮助一个经济主体实现其目 标、及在实现目标的过程中避开陷井和防止意外的发生。 （二）企业风险管理的定义 企业风险管理是企业的董事会、 管理层和其他员工共同参与的一个过程， 应用于企业的