1、COSO企業內控風險管理模式 張玉 翻譯譯 前言 110年前前，COOSO發發布了內內部控制制-整合合框架來來幫助企企業界和和其他實實體評價價和加強強他們的的內部控控制制度度。從那那時起該該框架被被結合并并入成千千上萬企企業的政政策、規規則和規規定，并并被企業業用于更更好地控控制他們們的活動動，朝著著實現既既定目標標的方向向前進。 近近年來，關關注的重重點和焦焦點是風風險管理理，人們們越來越越清楚地地認識到到健全的的框架對對于有效效地識別別、評價價和管理理風險是是很有必必要。在在20001年，CCOSOO提議了了一個項項目，并并聘用普普華永道道會計事事務所開開發能方方便管理理部門用用于評價價和

2、改進進本組織織企業風風險管理理的框架架。 框框架開發發的整個個期間出出現了一一系列具具有高度度標志性性的企業業丑聞和和失敗案案例，使使投資者者、公司司人員和和其他利利益相關關者蒙受受了巨大大損失。災災難的后后果是要要求用新新的法律律法規和和上市標標準來加加強公司司治理和和風險管管理。人人們越來來越多地地認識到到提供關關鍵的原原則和概概念，共共同語言言和明確確方向與與指南的的企業風風險管理理框架的的必要性性。COOSO認認為，企企業風險險管理-一體化化框架填填補了這這種需要要，并希希望該框框架能被被公司、其其他組織織和所有有的利益益相關者者及團體體廣泛接接受。 在在美國的的發展結結果是出出臺了2

3、20022年的薩薩班斯-奧克斯斯利法案案，其其他國家家也頒布布了或正正在考慮慮類似的的立法。這這類法律律擴展了了對公營營公司維維護內部部控制制制度的長長期有效效要求，要要求管理理層予以以證實和和獨立審審計師測測試這些些制度有有效性。持持續要求求測試時時間的內內部控制制-整合合框架適適用于滿滿足報告告要求的的更廣泛泛的公認認標準。 企企業風險險管理-整合框框架擴擴展了內內部控制制，提供供了一種種更健全全的和廣廣泛的焦焦點在企企業風險險管理更更寬廣的的題目。它它的目的的不是取取代內部部控制框框架，而而是將內內部控制制框架合合并在一一起，公公司可以以決定審審查企業業風險管管理框架架，以滿滿足內部部控

4、制的的需要和和朝著更更完備風風險管理理過程發發展。 管管理層所所面臨的的最嚴峻峻挑戰是是決定本本實體準準備接受受多大的的風險，因因為風險險也可以以經過奮奮斗而創創造價值值。本報報告將更更好地鼓鼓勵企業業迎接這這種挑戰戰。 執行總結 企企業風險險管理的的根本前前提是每每一實體體存在的的目的是是為其利利益相關關者提供供價值。所所有的實實體都面面臨不確確定性，對對管理層層的挑戰戰是確定定能接受受多大的的不確定定性，因因為不確確定性也也可以促促進增加加利益相相關者的的價值。不不確定性性同時體體現為風風險機會會，具有有流失或或增加價價值的潛潛力。企企業風險險管理鼓鼓勵管理理層有效效地處理理不確定定性和相

5、相關的風風險和機機會，增增強創造造價值的的能力。 當當管理層層制定的的戰略目目標能力力求達到到增長和和利潤目目標與相相關風險險之間的的最佳平平衡，并并在追求求本實體體目標的的過程中中有效地地調度資資源時，價價值能達達到最大大化。企企業風險險管理包包括： 連連成一線線的風險險偏好與與戰略-管理層層考慮本本實體的的風險偏偏好，在在評估戰戰略可選選擇方案案時，制制定相關關目標，開開發管理理相關風風險的機機制。 增增強風險險反饋決決策-企企業風險險管理提提供了森森嚴的識識別和挑挑選可選選擇的風風險反饋饋-即風風險回避避、降低低、分攤攤和接受受的制度度。 減減少經營營意外事事故和損損失-各各實體應應獲得

6、增增強的能能力來識識別潛在在事件和和建立反反饋，減減少意外外事故和和相關成成本或損損失。 識識別和管管理多樣樣化的和和交叉的的企業風風險-每每一企業業都將面面臨影響響本組織織不同方方面的無無數風險險因素，企企業風險險管理能能促進對對相互關關聯的影影響做出出有效反反應，對對多樣化化的風險險做出綜綜合的反反應。 抓抓住機會會-通過過全面考考慮潛在在的事件件，管理理層被定定位于識識別和正正面積極極地抓住住機會。 改改進資本本配置-獲得健健全的風風險信息息，允許許管理層層有效地地評估總總體資本本需要，增增強資本本分配。 這這些企業業風險管管理中內內在的能能力有助助于管理理層實現現本實體體的績效效和盈利

7、利能力目目標，防防止資源源損失。企企業風險險管理有有助于保保證有效效的報告告和遵守守法律法法規，避避免本實實體的聲聲譽受到到損害和和相關的的后果。總總之，企企業風險險管理有有助于一一個實體體達到它它想要實實現的目目標，避避免前進進過程中中的陷阱阱和意外外事故。 事件-風險險與機會會 事事件可以以有負面面影響、正正面影響響，或二二者兼而而有之。負負面影響響的事件件表現為為能阻礙礙價值創創造或侵侵蝕現存存價值的的風險。正正面影響響的事件件可以抵抵消負面面影響或或體現為為機會。機機會是一一個事件件將發生生并積極極影響目目標實現現、支持持價值創創造或保保護價值值的可能能性。管管理層將將機會引引導向其其

8、戰略或或目標制制定過程程，制定定抓住機機會的計計劃。 規定了企業業風險管管理 企企業風險險管理處處理影響響價值創創造或保保值的風風險和機機會。其其定義如如下： “企業風風險管理理是一個個過程，受受到一個個實體的的董事會會、管理理層和其其他人員員的影響響，適用用于戰略略制定和和在整個個企業設設計識別別可能影影響本實實體的潛潛在事件件，在風風險偏好好范圍內內管理風風險，提提供與實實現實體體目標有有關的合合理保證證。” 該該定義反反映出一一些基本本的概念念。企業業風險管管理是： 一一個過程程，持續續并貫穿穿一個實實體； 受受到一個個組織每每一層級級人員的的影響； 適適用于戰戰略制定定； 適適用于整整

9、個企業業每一層層次和單單位，包包括所采采納的實實體總體體層次風風險業務務責任觀觀點； 設設計識別別可能影影響本實實體的潛潛在事件件，如果果它們發發生的話話，在風風險偏好好范圍內內管理風風險， 能能夠為一一個實體體的管理理層和董董事會提提供合理理保證； 在在一個或或更多獨獨立的但但重疊的的分類中中加速目目標的實實現。 該該定義的的目標廣廣闊。它它抓住公公司和其其他組織織如何管管理風險險的關鍵鍵基本概概念，為為整個組組織、行行業和部部門提供供適用的的依據。它它把焦點點直接放放在實現現由某一一方面特特定實體體制定的的目標，為為定義企企業風險險管理的的效果提提供依據據。 目標的的實現 在在實體既既定使

10、命命和遠景景規劃的的條件下下，管理理層確定定戰略目目標，選選擇戰略略和制定定將整個個企業連連接成一一線的目目標。這這種加速速實現實實體目標標的企業業風險管管理框架架，可陳陳述為四四類： 戰戰略-高高層目標標，連接接和支持持其使命命； 經經營-有有效率和和效果地地使用其其資源； 報報告-報報告的可可靠性； 合合規-遵遵守適用用的法律律法規。 這這種實體體目標的的分類準準許把重重點放在在企業風風險管理理的各別別方面。這這些性質質截然不不同但重重疊的分分類-某某一特別別的目標標可以分分成幾個個分類，強強調不同同的實體體需要并并可能對對不同的的執行部部門負直直接責任任。這種種分類同同樣準許許從每一一目

11、標分分類之間間區別可可以預期期的結果果。同樣樣也描述述了一些些實體使使用的保保護資源源的另一一分類。 因因為與報報告可靠靠性和遵遵守法律律法規相相關的目目標在實實體的控控制范圍圍內，企企業風險險管理可可以預期期為實現現這些目目標提供供合理的的保證。然然而戰略略目標和和經營目目標的實實現易遭遭受實體體控制范范圍之外外的外部部事件的的影響，因因此，企企業風險險管理可可以提供供合理的的保證，使使管理層層認識這這些目標標和董事事會意識識到其監監督作用用，及時時地促進進整個實實體朝著著實現目目標前進進。 企業風險管管理的組組成部分分 企企業風險險管理包包括八個個相關組組成部分分。這些些組成部部分來自自管

12、理層層經營企企業的方方式，并并與管理理過程相相結合。這這些組成成部分是是： 內內部環境境-內部部環境包包括一個個組織的的基調，制制定作為為整個實實體的人人們如何何審視和和重視風風險的依依據，包包括風險險管理哲哲學和風風險偏好好、正直直性和道道德價值值以及他他們經營營的環境境。 目目標設定定-在管管理部門門能夠識識別影響響其業績績的潛在在事件之之前，必必須存在在有目標標。企業業風險管管理保證證管理部部門制定定目標的的過程到到位，選選定的目目標支持持和本實實體的使使命聯成成一體，并并與風險險偏好相相一致。 事事件識別別-必須須識別影影響一個個實體實實現目標標的內部部和外部部事件，區區別風險險和機會

13、會。機會會開辟了了反饋管管理部門門戰略或或目標制制定過程程的渠道道。 風風險評估估-要分分析風險險，考慮慮可能性性和影響響，作為為決定如如何管理理風險的的依據。在在固有的的和有后后效的基基礎上評評估風險險。 風險險反饋-管理部部門選擇擇風險反反饋-即即避免、接接受、降降低或分分攤風險險，開發發一系列列行動，使使風險與與實體的的風險承承受能力力和風險險偏好聯聯成一體體。 控制制活動-政策和和程序的的制定有有助于保保證有效效地執行行風險反反饋。 信息息與溝通通-以一一種能夠夠促進人人們履行行其職責責的形式式和時間間框架來來識別、捕捕捉和溝溝通相關關風險。有有效的溝溝通同樣樣發生在在更廣泛泛的意義義

14、上，即即在實體體內從上上到下、相相互交叉叉和自下下而上的的溝通。 監控控-對企企業風險險管理的的整體進進行監控控并根據據需要進進行修改改。通過過持續的的管理活活動，分分別評估估，或二二者同時時進行來來實現監監控。企業風險管管理不是是一個嚴嚴格的系系列過程程，一個個部分只只影響下下一個部部分。它它又是一一種多方方向的重重復的過過程，在在這一過過程中幾幾乎所有有的任何何部分都都可能會會影響另另一個部部分。 目標與組成成部分的的關系 在一個實體體奮力實實現的目目標和體體現實現現目標所所必須的的企業風風險管理理組成部部分之間間存在一一種直接接的關系系。這種種關系被被描述為為立體結結構中的的三維矩矩陣模

15、型型。 四種目標分分類-戰戰略、經經營、報報告和合合法-由由縱向欄欄目所代代表，八八個組成成部分橫橫向排列列，一個個實體的的單位由由第三個個層面所所代表。這這種描繪繪勾畫出出整個企企業風險險管理重重點的能能力，或或通過目目標分類類、組成成部分、實實體單位位或任何何子集合合說明整整個企業業風險管管理。 效果 確定一個實實體的企企業風險險管理是是否“有效”是對八八個組成成部分的的表現以以及是否否有效運運行進行行評估的的一種判判斷。這這些組成成部分同同樣可作作為有效效的企業業風險管管理的標標準。因因為這幾幾個組成成部分的的存在及及適當運運行不可可能產生生重大的的缺陷，風風險需要要也已控控制在一一個實

16、體體的風險險偏好之之內。 當確定企業業風險管管理在四四類目標標的每一一類中都都是有效效的，相相應地也也就為董董事會和和管理層層提供合合理的保保證，使使他們了了解整個個實體戰戰略和經經營目標標正在實實現的程程度和整整個實體體的報告告是可靠靠的并遵遵守適用用的法律律法規。 八個組成部部分在每每一個實實體的運運行并不不是完全全相同的的。例如如，在中中小型實實體中的的應用可可能不那那么正式式，結構構不那么么完整。不不過，小小的實體體仍然可可以有有有效的企企業風險險管理，只只要每一一個組成成部分都都存在并并適當運運行。 局限性 在企業風險險管理提提供重要要好處的的同時，也也存在著著局限性性。在上上述討論

17、論的因素素之外，局局限性來來自在決決策制定定過程中中人的判判斷可能能出現錯錯誤，反反饋風險險的決策策，制定定控制需需要考慮慮相關成成本和效效益，因因為人類類的失誤誤，例如如簡單的的錯誤或或過失可可能會造造成計劃劃的失敗敗，控制制可以防防止兩個個人或更更多人勾勾結串通通事件的的發生，但但管理部部門有能能力否決決企業風風險管理理決策。這這些局限限性會妨妨礙董事事會和管管理層對對本實體體目標實實現所具具有絕對對的保證證。 圍繞內部控控制 內部控制是是企業風風險管理理的一個個組成部部分。本本企業風風險管理理框架圍圍繞內部部控制，為為管理部部門形成成一個更更健全的的概念論論和工具具。在內內部控制制-整合

18、合框架中中對內部部控制進進行了定定義和描描述。因因為此框框架已經經經受了了時間的的考驗，并并成為現現行法律律法規和和規則的的依據，文文件保留留了內部部控制的的定義和和框架。在在本框架架中只有有內部部控制-整合框框架原原文部分分是復制制的，該該框架的的整體作作為關聯聯部分已已結合到到本框架架中。 作用與職責責 在實體中的的每一個個人對企企業風險險管理都都負有一一定的責責任，首首席執行行官是最最終的負負責人，應應該承擔擔所有責責任。其其他管理理人員支支持本實實體的風風險管理理哲學，促促進遵守守風險偏偏好，在在職責和和風險承承受能力力相一致致的范圍圍內管理理風險。風風險職員員、財務務人員、內內部審計

19、計師和其其他人員員通常有有重要的的支持職職責。其其他的實實體人員員負責按按照既定定的指令令和會議議記錄執執行風險險管理。董董事會對對企業風風險管理理提供重重要的監監督，知知道并贊贊成本實實體的風風險偏好好。一些些外部參參與者，例例如客戶戶、賣主主、企業業合伙人人、外部部審計師師、監管管人員和和財務分分析家常常常提供供對實現現企業風風險管理理有用的的信息，但但他們并并不對其其效果負負責任，他他們也不不是本實實體企業業風險管管理的一一部分。 本報告的組組織 本報告分為為兩卷。第第一卷包包括本框框架和執執行總結結。該該框架規規定了企企業風險險管理，描描述了原原則和概概念，為為企業和和其他組組織內部部

20、各級管管理部門門評估和和增強企企業風險險管理的的效果提提供了方方向。執執行總結結是指導導首席執執行官和和其他高高級執行行人員、董董事會成成員和監監管人員員的一種種高層次次的檢查查。第二二卷，應應用技術術提供供了說明明在采用用本框架架要素中中有用的的技術。 本報告的使使用 作為本報告告結果可可能采取取的建議議行動取取決于涉涉及的各各當事方方的地位位和作用用： 董事事會-董董事會應應與高級級管理層層討論本本實體企企業風險險管理框框架的狀狀況，提提供必要要的監督督。董事事會應該該保證知知道絕大大多數重重大風險險和管理理層正在在采取的的行動，以以及如何何保證有有效的企企業風險險管理。董董事會應應該考慮

21、慮從內部部審計師師、外部部審計師師和其他他人那里里尋找輸輸入信號號。 高級級管理層層-此次次的研究究建議首首席執行行官評價價本組織織的企業業風險管管理能力力。在另另一種方方法中，首首席執行行官將經經營單位位的負責責人和主主要職能能負責人人聚集在在一起討討論企業業風險管管理能力力和效果果的初步步評價。不不管采取取什么形形式，初初步評價價應該確確定在哪哪里需要要和如何何進行范范圍更廣廣和更深深入的評評估。 其他他實體人人士-管管理人員員和其他他人士應應該考慮慮他們是是如何根根據本框框架執行行他們的的職責，與與更高級級的人員員討論加加強企業業風險管管理的想想法。內內部審計計師應該該考慮企企業風險險管

22、理重重點方面面的廣度度。 監管管人員-本框架架可以促促進分享享企業風風險管理理，包括括能做的的事及其其局限性性的看法法。監管管人員對對他們監監督的實實體不管管是根據據規則或或指南，還還是進行行檢查，在在確定預預期值方方面可以以參考本本框架。 專業業人士的的組織-規則制制定和提提供財務務管理、審審計和相相關專題題指南的的其他專專業人士士組織應應該考慮慮根據本本框架制制定他們們的準則則和指南南。消除除在概念念和專業業術語方方面的多多樣化程程度，使使所有參參與者都都受益。 教育育者-本本框架可可以作為為學術研研究和分分析的題題目，以以觀察未未來可以以 采取哪哪些強化化措施。根根據這一一假定，本本報告

23、可可成為公公認的理理解的共共同基礎礎，其概概念和術術語應能能發現其其進入大大學課程程的渠道道。 作為共同理理解的基基礎，所所有的參參與者將將能夠用用共同的的語言說說話和進進行更有有效的溝溝通。企企業的執執行人員員將定位位在對照照準則評評價其公公司的企企業風險險管理的的過程，并并強化這這一過程程，使本本企業朝朝著既定定的目標標前進。進進一步的的研究可可以發揮揮超出既既定基礎礎的杠桿桿作用。立立法人員員和監管管人員將將能夠增增強對企企業風險險管理的的理解，包包括其好好處和局局限性。隨隨著所有有的參與與者都使使用共同同的企業業風險管管理框架架，這些些好處將將得到實實現。 內部環境包包括一個個組織的的

24、基調，制制定作為為整個實實體的人人們如何何審視和和重視風風險的依依據，包包括風險險管理哲哲學和風風險偏好好、正直直性和道道德價值值以及他他們經營營的環境境。 目標標設定-在管理理部門能能夠識別別影響其其業績的的潛在事事件之前前，必須須存在有有目標。企企業風險險管理保保證管理理部門制制定目標標的過程程到位，選選定的目目標支持持和本實實體的使使命聯成成一體，并并與風險險偏好相相一致。 事件件識別-必須識識別影響響一個實實體實現現目標的的內部和和外部事事件，區區別風險險和機會會。機會會開辟了了反饋管管理部門門戰略或或目標制制定過程程的渠道道。 風險險評估-要分析析風險，考考慮可能能性和影影響，作作為

25、決定定如何管管理風險險的依據據。在固固有的和和有后效效的基礎礎上評估估風險。 風險險反饋-管理部部門選擇擇風險反反饋-即即避免、接接受、降降低或分分攤風險險，開發發一系列列行動，使使風險與與實體的的風險承承受能力力和風險險偏好聯聯成一體體。 控制制活動-政策和和程序的的制定有有助于保保證有效效地執行行風險反反饋。 信息息與溝通通-以一一種能夠夠促進人人們履行行其職責責的形式式和時間間框架來來識別、捕捕捉和溝溝通相關關風險。有有效的溝溝通同樣樣發生在在更廣泛泛的意義義上，即即在實體體內從上上到下、相相互交叉叉和自下下而上的的溝通。 監控控-對企企業風險險管理的的整體進進行監控控并根據據需要進進行

26、修改改。通過過持續的的管理活活動，分分別評估估，或二二者同時時進行來來實現監監控。 企業風險管管理不是是一個嚴嚴格的系系列過程程，一個個部分只只影響下下一個部部分。它它又是一一種多方方向的重重復的過過程，在在這一過過程中幾幾乎所有有的任何何部分都都可能會會影響另另一個部部分。 目標與組成成部分的的關系 在一個實體體奮力實實現的目目標和體體現實現現目標所所必須的的企業風風險管理理組成部部分之間間存在一一種直接接的關系系。這種種關系被被描述為為立體結結構中的的三維矩矩陣模型型。 四種目標分分類-戰戰略、經經營、報報告和合合法-由由縱向欄欄目所代代表，八八個組成成部分橫橫向排列列，一個個實體的的單位

27、由由第三個個層面所所代表。這這種描繪繪勾畫出出整個企企業風險險管理重重點的能能力，或或通過目目標分類類、組成成部分、實實體單位位或任何何子集合合說明整整個企業業風險管管理。 效果 確定一個實實體的企企業風險險管理是是否“有效”是對八八個組成成部分的的表現以以及是否否有效運運行進行行評估的的一種判判斷。這這些組成成部分同同樣可作作為有效效的企業業風險管管理的標標準。因因為這幾幾個組成成部分的的存在及及適當運運行不可可能產生生重大的的缺陷，風風險需要要也已控控制在一一個實體體的風險險偏好之之內。 當確定企業業風險管管理在四四類目標標的每一一類中都都是有效效的，相相應地也也就為董董事會和和管理層層提

28、供合合理的保保證，使使他們了了解整個個實體戰戰略和經經營目標標正在實實現的程程度和整整個實體體的報告告是可靠靠的并遵遵守適用用的法律律法規。 八個組成部部分在每每一個實實體的運運行并不不是完全全相同的的。例如如，在中中小型實實體中的的應用可可能不那那么正式式，結構構不那么么完整。不不過，小小的實體體仍然可可以有有有效的企企業風險險管理，只只要每一一個組成成部分都都存在并并適當運運行。 局限性 在企業風險險管理提提供重要要好處的的同時，也也存在著著局限性性。在上上述討論論的因素素之外，局局限性來來自在決決策制定定過程中中人的判判斷可能能出現錯錯誤，反反饋風險險的決策策，制定定控制需需要考慮慮相關

29、成成本和效效益，因因為人類類的失誤誤，例如如簡單的的錯誤或或過失可可能會造造成計劃劃的失敗敗，控制制可以防防止兩個個人或更更多人勾勾結串通通事件的的發生，但但管理部部門有能能力否決決企業風風險管理理決策。這這些局限限性會妨妨礙董事事會和管管理層對對本實體體目標實實現所具具有絕對對的保證證。 圍繞內部控控制 內部控制是是企業風風險管理理的一個個組成部部分。本本企業風風險管理理框架圍圍繞內部部控制，為為管理部部門形成成一個更更健全的的概念論論和工具具。在內內部控制制-整合合框架中中對內部部控制進進行了定定義和描描述。因因為此框框架已經經經受了了時間的的考驗，并并成為現現行法律律法規和和規則的的依據

30、，文文件保留留了內部部控制的的定義和和框架。在在本框架架中只有有內部部控制-整合框框架原原文部分分是復制制的，該該框架的的整體作作為關聯聯部分已已結合到到本框架架中。 作用與職責責 在實體中的的每一個個人對企企業風險險管理都都負有一一定的責責任，首首席執行行官是最最終的負負責人，應應該承擔擔所有責責任。其其他管理理人員支支持本實實體的風風險管理理哲學，促促進遵守守風險偏偏好，在在職責和和風險承承受能力力相一致致的范圍圍內管理理風險。風風險職員員、財務務人員、內內部審計計師和其其他人員員通常有有重要的的支持職職責。其其他的實實體人員員負責按按照既定定的指令令和會議議記錄執執行風險險管理。董董事會

31、對對企業風風險管理理提供重重要的監監督，知知道并贊贊成本實實體的風風險偏好好。一些些外部參參與者，例例如客戶戶、賣主主、企業業合伙人人、外部部審計師師、監管管人員和和財務分分析家常常常提供供對實現現企業風風險管理理有用的的信息，但但他們并并不對其其效果負負責任，他他們也不不是本實實體企業業風險管管理的一一部分。 本報告的組組織 本報告分為為兩卷。第第一卷包包括本框框架和執執行總結結。該該框架規規定了企企業風險險管理，描描述了原原則和概概念，為為企業和和其他組組織內部部各級管管理部門門評估和和增強企企業風險險管理的的效果提提供了方方向。執執行總結結是指導導首席執執行官和和其他高高級執行行人員、董董事會成成員和監監管人員員的一種種高層次次的檢查查。第二二卷，應應用技術術提供供了說明明在采用用本框架架要素中中有用的的技術。 本報告的使使用 作為本報告告結