装备制造企业以风险防控为重点的内控体系建设管理:内控评价对防控风险的作用

　　【摘要】风险管理的实践和理论起始于20世纪30年代的美国保险业，于50年代发展成为一门管理科学。进入21世纪，企业风险管理（Enterprise Risk Management，简称ERM）已形成了特定的概念，它来自于美国全美反虚假财务报告委员会发起人机构（简称COSO委员会）于2004年9月发布的《企业风险整合框架》，它系统地为现代企业管理当局（包括董事会、管理层、执行部门和其他员工）提供了一个以内部控制为基础的具有指导意义的逻辑框架，运用企业战略的多层面、流程化的风险管理过程。它为企业实现经营目标提供了有效的保证。
　　【关键词】装备制造 风险 管理
　　2008年5月财政部等五部委印发了《企业内部控制基本规范》，2010年4月又印发了相关配套指引，包括18项《应用指引》和《评价指引》、《审计指引》。自2012年1月1日起在上海证券交易所、深圳证券交易所主板上市公司施行。2010年8月，大连华锐重工集团股份有限公司被列入《大连市企业内部控制规范体系建设实施方案》首期确定的10家试点企业之一。
　　一、装备制造企业以风险防控为重点的内控体系建设管理的意义
　　（一）实施风险控制管理是企业产业结构调整和产品升级换代的需要
　　不断调整产业结构和产品结构，把经济发展转移到依靠技术创新、技术进步的道路上来，是企业获得可持续发展的根本保证。大连华锐重工重组以来，经营总量以年均近30%的速度增长，新产品种类不断增加，经营规模位于国内同行业前列。任何一种产品都有自己的生命周期，如果一个企业长期固守一种或几种产品，不断推陈出新、升级换代，那么一旦这种产品生命周期衰退，企业就必然随之衰败。产业结构和产品结构的调整，一是必须随着市场需求变化，推出适应市场需求的新产品；二是必须预测和掌握产品的生命周期，在产品生命周期衰落之前，及时推出可替代的新产品；三是必须掌握科学技术发展的趋势，不断增强产品技术含量，提升产品的功能。在产业结构和产品结构调整中，要正确评估旧产品推出和新产品投入的风险，建立相应的风险管控机制。
　　（二）实施风险控制管理是企业转型时期的迫切需要
　　按照大连市政府、国资委的统一部署和要求，大连华锐重工经过几年酝酿，开始进行整体改制上市相关工作。基于企业发展及上市的需要，对企业的管理特别是风险管控提出了更高的要求。近两年来，大连华锐重工从完善制度、流程等方面入手，一直在积极探索、寻找适应企业发展的现代管理模式和风险管控机制。十二五期间，大连华锐重工力争综合竞争能力国内行业领先，致力于打造国际一流装备制造企业集团。
　　在这一战略的指引下，企业将实现跨越式发展，在产销规模不断扩大的同时，企业承受的风险也在加大，在重要战略决策上，重大事项管理上，重大项目投资上企业都需要风险控制，降低企业运行时所承担的风险。为加强集团风险管控能力，必须通过优化内控流程，健全符合企业特点的、基于风险控制的内控管理体系，使流程、制度贯穿于企业决策、管理和生产经营的全过程，实现全员参与、全过程控制和全方位监督，切实做到用制度管权、用制度管事、用制度管人，实现经营效益、管理效率和风险控制三者平衡，保证企业的可持续发展。基于上述背景，企业在稳步发展的同时，需要在管理体系中重视风险控制管理。
　　二、装备制造企业以风险防控为重点的内控体系建设管理内涵和主要做法
　　大连华锐重工通过聘请外部机构为风险管控实施顾问，与企业共同建立了“以风险为导向、以控制为手段、以流程为纽带、以制度为保障、以组织为基础、以系统为载体”为思路的内控体系建设，健全全面风险管理体系，实现全员参与、全过程控制、全方位监督；以风险管理信息系统与加入风险管理功能的ERP系统为技术平台，通过搭建效益、效率和风险平衡的管理机制，建立覆盖项目建设和运营管理各个业务环节的、纵横结合的内控制度体系，切实提高经营管理水平和风险防范能力，保障企业高效、高速、可持续发展。主要做法如下：
　　（一）明确风险管控模式，建立管控组织体系
　　1.建立风险管控模型，开展内控体系建设
　　根据国家财政部颁布的《企业内部控制基本规范》及配套指引，大连华锐重工根据自身实际，总结出自己内部控制“以我为主，借助‘外脑’”的实施策略。内部控制就是控制企业运行中存在或可能存在的风险，涉及企业的方方面面，需要企业所有部门精诚合作，共同推动内控体系建设。
　　大连华锐重工根据已经确立的实施原则，在集团本部全面铺开内控体系建设，在经营单位中选择3家下属公司作为试点单位，其他单位待时机成熟时再全面推广。由2个职能部门牵头成立专门机构———“内控工作小组”，人员构成从业务领域上涵盖了营销、生产、财务、技术、信息化、人力资源、企业文化、综合管理等方方面面，从年龄看是老中青三结合。这样从专业知识、工作经验和年龄结构等不同角度形成了优势互补。
　　2.明确职责分工，充分发挥参与者的作用
　　经过咨询公司的统一培训。大连华锐重工内控体系建设正式启动，内控工作分为流程梳理、风险识别、内控手册编制、制度建设等阶段，其实质是发现问题并实现改善和能力提升的过程，内控工作小组明确每位成员的工作职责，充分发挥参与者作用。同时动员企业各部门领导参与到内控体系建设工作中，起到表率作用。一是要求企业各领导将自己签字负责的文档、管理制度及相关工作向内控领导小组或安永专家汇报。二是定期下发《内控工作简报》，让企业领导及各部门了解工作进度，提出宝贵意见。
　　（二），搭建全面风险管理框架，开展风险分析
　　1.搭建全面风险管理框架
　　大连华锐重工本着“以风险为导向、以控制为手段、以流程为纽带、以制度为保障、以组织为基础、以系统为载体”的思路，构建全面风险管理框架。
　　该框架以战略、经营、财务、合规为目标，参考COSO的《企业风险管理—整合框架》，制定内部环境、风险评估、控制活动、信息与沟通、内部监督策略及执行、检查与评价、持续改进流程，将效益、效率与风险平衡管理理念融入内控制度建设和重大风险解决方案，形成风险防控的“闭环”管理。以子公司、业务单元、业务分部、公司层面为责任主体，以风险管理信息系统为工具，实现全员参与、全过程控制、全方位监督。
　　2.梳理流程，识别企业存在的风险点
　　流程梳理是内控建设的基础准备工作，是查找风险点的有效方法，大连华锐重工内控小组结合《基本规范》的重要性原则，最后形成了包含12项流程类别的《流程清单》，确定将企业186项业务活动作为梳理对象，并利用美国先进的流程管理方法论APQC进行梳理。梳理初期，通过关键业务人员的帮助，内控工作小组了解了具体操作步骤，形成《流程概览表》，结合《流程概览表》，共梳理出流程图251个，风险点416个，其中核心风险点85个，控制活动639个，基本覆盖企业所有重要风险点。
　　3.完成内控手册，并在经营单位中推广
　　内控手册是内控建设的阶段性成果，是日后日常操作规程及风险控制的依据，也是提交大连市内部控制规范体系建设工作领导小组验收的必备材料。大连华锐重工将流程梳理阶段完成的集团本部及试点单位的流程文档，包括流程图、流程描述、风险控制矩阵和授权审批表等进行补充、修订、更新和完善后汇编入册，形成集团本部及3个试点单位12个一级流程、60个二级流程和132个三级流程的包括流程综述、适用范围、流程地图、流程图、风险控制矩阵、不兼容职责表、授权审批表及配套制度等内容的12本内控手册。同时，依据集团本部及试点单位的内控体系建设经验，完成16家推广单位内控手册的编写工作。
　　（三）开展流程穿越，完成信息化融合
　　1.流程穿越，识别问题，按期整改
　　大连华锐重工内控工作小组在梳理出风险点后，组织对各流程进行了流程穿越，即审计上所说的穿行测试。内控工作小组通过资料审阅、实地观察、重新执行等手段，识别出设计缺陷与执行缺陷共122项，如，“合格供应商定期评估缺少后续奖惩措施”、“内部采购业务管理制度缺失”、“经营单位资金支付计划未与采购合同付款信息进行匹配，资金收款计划未与营销部货款回收计划一致，可能影响集团公司资金计划的准确性”等。在明确每类问题责任部门的基础上，按照“轻、重、缓、急”原则制定了详细的整改时间表，并按期整改完毕。整改过程中，进一步明确了原有的职能交叉、空白等问题，如确定了采购职能、无形资产职能、产品安装调试职能等等，同时，从无到有初步建立起信用管理体系。
　　2.与信息化相融合，重点突出信息化的控制功能
　　《企业内部控制应用指引第18号———信息系统》强调，“企业开发信息系统，应当将生产经营管理业务流程、关键控制点和处理规则嵌入信息系统，实现手工环境下难以实现的控制功能”。在内控体系建设过程中，大连华锐重工重点突出信息系统的控制功能。就内控体系、制度体系建设与信息化相融合的问题，内控工作小组组织相关人员进行了专题讨论，最终采购、生产、销售、财务四个与信息系统密切相关的流程共梳理出控制活动329个，其中可以利用信息系统进行控制的为127个，已经利用信息系统控制的为115个，另有“采购合同管理”、“库存管理”、“零部件级生产计划”、“信用管理”等12个业务活动未应用信息系统控制。针对这种问题，企业下发了《关于加强业务活动信息系统控制的通知》，要求各相关业务归口部门针对未应用信息系统控制的业务，负责制定相关业务信息化运行及控制的时间节点和计划，报内控领导小组审核后，会同信息部门组织实施，保证2012年4月1日开始实现系统应用。
　　（四）内控建设与制度建设融合，更好控制企业风险
　　制度是内控体系建设的重要“保障”，是内控体系建设必不可少的一个重要环节。大连华锐重工将制度建设定位为制度优化，并融入到内控体系建设实施工作过程中。突出了两个特点，一是打破了以系统、部门为单位进行制度梳理的习惯，而是以流程为纽带优化制度，促进各系统、各部门树立大局意识，从企业角度制订各项制度。二是引入先进理念，实现制度分级管理，制度共分三级，一级制度，统筹效能，即统筹管理、厘清职责、明确原则；二级制度，分级管理，即细化管理、落实职责、规范流程；三级制度，自我管理，即联系实际、响应集团、按需制定。此次优化整合后，企业共形成202项制度，其中一级制度53项、二级制度149项。
　　为确保这些制度的质量，企业打破部门界限，抽调了各部门制度专干与经验丰富的管理人员共15人成立了跨部门制度审阅小组。审阅小组对上述202项制度进行了为期35天的封闭审核，通过先进的理论和扎实的工作，真正构筑起了“科学、简洁、实用、高效”的制度体系。
　　科学，即前面说的制度分级并与内控流程科学匹配,形成合理闭环；与优秀企业(宝钢和徐工)实践对标,借鉴优秀企业流程设计；借鉴先进控制手段,优化风险控制节点；增强制度的可操作性。
　　简洁体现为：制度有效整合（削减重复及定性部分）；优化控制重点，关注重要风险点、突出关键控制点；使工作流程完整、连贯；整合管理对象，控制核心风险。
　　实用体现为：制度涵盖所有重要业务流程、建立“4W1H”标尺（谁、什么时间、什么地点、做什么、怎么做），匹配“四定”原则（定人、定事、定时、定期检查）、提高可操作性、关注运营风险点。
　　高效体现为：制度明确归口部门、厘清各方职责；完善分级授权机制、缩短审批链；建立流程接口、提高效率；与信息化结合，体现系统控制。
　　三、装备制造企业以风险防控为重点的内控体系建设管理构建与实施的效果
　　（一）整合管理资源，提高管理效率，推动企业管理模式转变
　　实施内控体系建设，推动了各项管理资源的整合和优化，有效地理顺了各部门的管理职能，消除了职能重复、交叉断档和扯皮推诿现象。通过职能划分和工作流程的规范，理清了业务执行的程序及正常流转过程，并通过制度对业务管理内容、方式和流程进行固化，业务过程得到了不断的统一和优化，使各项工作流程更加规范、专业管理也实现了由“粗”到“细”，由“虚”到“实”，管理和效率得到大幅度提高。同时，管理方式和管理理念也发生了改变，由过去的“人管人”转变为“制度管人”，员工行为准则发生了质的转变，从“要我执行”向“我要执行、我会执行、我能执行”转变。减轻了领导解决问题、协调内部各种关系的工作量。各项管理工作更加规范，各项管理制度更加健全，各项工作流程更加清晰，真正形成了闭环控制。
　　（二）促进了风险防控水平的提高
　　通过对业务流程的梳理，大连华锐重工共梳理出风险点416个，其中核心风险点85个，并根据风险点制定了639个控制活动，基本覆盖企业所有重要风险点。同时通过柔性管理与刚性管理相结合，规章制度不断完善，风险控制措施的科学性和实践性不断增强，规章制度的约束力得到强化，形成了事事讲制度、讲流程的风气，实现了风险控制的程序化、制度化和系统化，特别是在新产品研发体系中，通过一系列流程和规章制度的约束，对新产品在市场推广价值做出了合理评估，有效提高了企业防控风险的能力。