COSO内部控制与企业风险管理整合框架的比较

COSO 内部控制与企业风险管理整合框架的比较

COSO 内部控制被涵盖在企业风险管理框架之内， 是其不可分割的一部分。 企业风险管理比 内部控制更广泛，

引入风险管理，拓展和细化了内部控制， 形成了一个更全面、 更强有力的关注 风险的概念。

具体看来，企业风险管理整合框架在内部控制整合框架的基础上增加了一个新观念，一个 战略目标，两个概念和三个要素。即风险组合观，战略目标，风险偏好、风险容限的概念以及目 标设定、事项识别、风险应对要素。正对企业风险管理的需要、 风险框架要求设立一个新的部门 ――风险管理部，并相应设立首席风险官( CRO)，全面地、集中化地推进企业风险管理。

一、 引 入风险组合观

在内部控制郑和框架的基础上，企业风险管理框架引入了风险组合观(

An Entity Level

Portfolio View of Risk )，即在单独考虑如何事先企业各个目标的过程中，企业风险管理整 合框架更看中

风险因素。对企业内部而言，其风险可能落在该单位的风险容限范围内，但 从企业总体来看，总风险可能会超过企业总体的风险偏好范围。因此企业风险管理要求以 风险组合观看待风险，对相关的风险进行识别并采取措施使企业所承担的风险在风险偏好 的范围内。

二、 企业风险管理整合框架中的战略目标 内部控制整合框架将企业的目标分成三类，即经营目标、报告目标、合规

性目标。其中经 营目标、合规性目标与风险管理框架相同，但报告目标有所不同。企业风险管理整合框架 中，报告被大大地拓展为企业所编制的所有报告，包括对内、对外的报告，而且内容不仅 包含更加广泛的财务信息，而且包含非财务信息。

另外，企业风险管理整合框架增加一大目标，即战略目标，它处于比其他目标更高的层次。 战略目标来自一个企业的使命或愿景，因而经营目标、报告目标和合规性目标必须与其相 协调。企业的风险管理在实现其他三类目标的时候，首先应该从企业战略目标出发。

三、 风险管理偏好及风险容限 企业风险管理构架引入风险偏好和风险容限两个概念。风险偏好是指企业在追求愿景

的过 程中所原意承受的广泛意义的风险数量，它在战略制定和相关目标选择时起到风向标的所 用。风险容限是指在企业目标实现过程中所能接受的偏离程度。在确定各目标的风险容限 时，企业应考虑相关目标的重要性，并将其与企业风险偏好联系起来，将风险控制在风险 可接受程度的最大范围内，以保证企业能在更高的层次上实现企业目标。

四、 新 增风险管理三要素

企业风险整合框架在内部控制整合框架的基础上新增了三个风险管理要素：目标设定、事 项识别、风险应对，它们将企业的管理中心更多地移向风险管理。同时，在内部环境中， 强调了董事会的风险管理理念。因此，企业风险管理郑和框架拓展了 素。

五、 其他要素在风险管理整合框架中的扩展 在控制活动要素中，企业风险管理整合框架明确指出，在某些情况下，

控制活动本身也起 到风险应对的作用。

COSO 的风险评估要

在信息与沟通要素中，企业风险管理整合框架扩大了企业信息和沟通的构成内容，认为企 业的信息应包括来自过去、现在和未来潜在事项的数据。企业的信息系统的基本职能应以 时间序列的形式收集、捕捉数据，其收集数据的详细程度则视企业风险识别、风险评估和 应对的需要而定，并保证将风险维持在风险偏好的范围内。

在职能与责任描述中，企业风险管理整合框架要求企业设立新的部门，即风险管理部门， 并描述了风险管理官的职能与责任，扩充了董事会的职能。

以下表格为内部控制整合框架与企业风险管理整合框架的比较:

类型 描述 ' COSO内部控制整合框架 COSO企业风险管理整合框架 管理层为达到目标进行内部控 制的需基调 求 满足管理层为了达到一定的目标 进行企业风险管理的需求 战略目标（新增，全局掌控） 目标 经营目标 财务报告目标 合规目标 风险观 经营目标 报告目标（范围更广） 合规目标 没有提岀风险组合观，只有风 险评估 从企业总体层面，提岀风险组合观 管理层及员工的内部控制观念 环境 管理层及员工的风险观念，并提岀 风险偏好、风险容限概念 控制环境 要素 风险评估 内部环境（更广义） 目标设定（新增） 事项识别（新增） 风险评估 风险应对（新增） 控制活动 信息与沟通 监控

控制活动 信息与沟通 监控