常輝弘家族辦公室《內(nèi)部控制與操作風險管理工具實踐中的問題》：公司治理、內(nèi)部控制和風險管理是企業(yè)管理的三大核心主題，它們?yōu)槠髽I(yè)戰(zhàn)略運營和人員提供了堅實的支持。公司治理為能源基礎設施提供了可靠的運行架構，確保能源的供給；內(nèi)部控制則是企業(yè)運行的規(guī)范，保證企業(yè)在正確的軌道上持續(xù)發(fā)展；風險管理則是檢修工、應急工和保障工，及時發(fā)現(xiàn)問題并處理問題，為企業(yè)提供應急保障。然而，在實踐中，關于內(nèi)部控制和風險管理，特別是操作風險管理的邊界仍存在爭議和困惑。因此，本文將從管理邊界、CSOX和RCSA三個具體問題入手，探討內(nèi)部控制和操作風險的區(qū)別。
管理邊界：內(nèi)部控制是內(nèi)功修養(yǎng)，操作風險是工具實施，二者在"流程"和"控制"上有所不同。我們用一張圖來表示內(nèi)部控制和操作風險的管理邊界。
總結一下：內(nèi)部控制由企業(yè)董事會、監(jiān)事會、經(jīng)理層和全體員工實施，旨在實現(xiàn)控制目標的過程。內(nèi)部控制的目標是保證企業(yè)經(jīng)營管理合法合規(guī)，資產(chǎn)安全、財務報告及相關信息真實完整，提高經(jīng)營效率和效果，促進企業(yè)實現(xiàn)發(fā)展戰(zhàn)略。操作風險管理是防范由不完善或有問題的內(nèi)部程序、員工和信息科技系統(tǒng)以及外部事件造成損失的一系列管理手段。CSOX是企業(yè)內(nèi)部控制建設和評價的縮寫，是根據(jù)《企業(yè)內(nèi)部控制基本規(guī)范》(財會[2008]7號)及其配套指引(財會[2010]11號)、《企業(yè)內(nèi)部控制應用指引》、《企業(yè)內(nèi)部控制審計指引》的要求建立的內(nèi)部控制基本管理框架，被譽為中國版的“薩班斯法案”。C-SOX包括組織架構、發(fā)展戰(zhàn)略、人力資源、社會責任、企業(yè)文化、資金、活動、采購、業(yè)務、資產(chǎn)管理、銷售業(yè)務、研究與開發(fā)、工程項目、擔保業(yè)務、業(yè)務外包、財務報告、全面預算、合同管理、內(nèi)部信息傳遞和信息系統(tǒng)18個大項風險與控制自我評估。(RCSA)作為操作風險管理的三大工具之一，主要指業(yè)務流程的參與者、經(jīng)營管理活動的實施者根據(jù)操作風險管理的基本原理采用一定的方法對業(yè)務流程、經(jīng)營管理活動中存在的操作風險狀況與控制措施效果進行的評價活動。RCSA的目的是建立覆蓋金融機構各項經(jīng)營活動的操作風險動態(tài)識別評估機制，促進風險管理文化的轉變；識別各業(yè)務部門及分支機構面臨的風險點，為操作風險管理決策提供科學依據(jù)。我們認為CSOX和RCSA在評估機制上存在較多共同點，主要表現(xiàn)在：·首先，從監(jiān)管理念上看，《銀行保險機構操作風險管理辦法(征求意見稿)》和企業(yè)內(nèi)部控制基本規(guī)范(國家金融監(jiān)督管理總局發(fā)布)都秉持著全面風險管理的理念，具有一致性。操作風險是巴塞爾協(xié)議第一支柱下的內(nèi)容。
·其次，為了加強和規(guī)范企業(yè)內(nèi)部控制，提高企業(yè)經(jīng)營管理水平和風險防范能力，促進企業(yè)可持續(xù)發(fā)展，維護社會主義市場經(jīng)濟秩序和社會公眾利益，是內(nèi)控體系的目標之一。其中“風險防范”包括操作風險，這也是其與操作風險管理辦法的一致性所在。在職責分工方面，業(yè)務部門和人員承擔第一道防線的責任，合規(guī)風險管理、內(nèi)部審計等部門則作為第二、三道防線對自評結果進行分析驗證和獨立評價。
·第三，在流程和方法上，兩者都采用基于流程的風險控制自我評估，實施步驟包括風險和控制識別、固有風險評估和控制評估等。
·第四，在評估標準方面，兩者均采用基于固有風險和控制有效性的剩余風險評估，其中固有風險評估包括風險發(fā)生可能性和風險影響程度兩個維度；有效性評估和控制運行有效性評估，并根據(jù)固有風險和控制有效性的評估結果計算剩余風險。
·第五，在評估時間方面，兩者均需滿足至少每年評估一次的最低要求。在這一點上，CSOX根據(jù)當年的評估結果形成年度內(nèi)部控制自我評估報告，并由外部審計師出具內(nèi)控審計意見；RCSA則根據(jù)剩余風險評估結果供管理層進行風險管理決策。實踐中，許多金融機構已經(jīng)在不同程度上實現(xiàn)了兩項工作的整合或工作成果共享機制；對于信托公司而言，出于成本效益考慮，我們建議將上述工作整合開展信托公司內(nèi)部控制和操作風險管理，綜合應用時應注意以下幾個關鍵方面：
1.搭建管理框架：信托公司應該建立完善的內(nèi)部控制框架，明確職責和權限，確保符合相關法規(guī)和行業(yè)標準。這個框架應該包括風險評估和管理、控制活動信息和溝通監(jiān)督和反饋等要素。
2.重視流程控制：信托公司要建立清晰適當?shù)牧鞒毯统绦?，確保業(yè)務操作有跡可循，這包括制定操作手冊、建立審批機制、實施分工和職責制度等，以減少人為錯誤和失誤的風險。
3.風險識別與評估：信托公司應當以流程為出發(fā)點，控制為脈絡對流程節(jié)點中的風險進行識別、評估和分類。這包括制定適當?shù)恼吆统绦?，培訓員工、建立風險監(jiān)測和報告機制等。
4.資產(chǎn)保護措施：信托公司需要采取措施來保護自身及信托資產(chǎn)，防止欺詐行為和非法訪問。外部文件操作行為無審計。這可以通過建立安全控制措施使用技術保障、限制訪問權限等方式實現(xiàn)。信托公司應設立獨立的內(nèi)部審計部門或聘請外部審計機構對業(yè)務進行監(jiān)督和審計，以確保內(nèi)部控制的有效性和合規(guī)性。
·6.全員內(nèi)控意識培養(yǎng)：信托公司應加強員工對內(nèi)控文化及操作風險的認識和理解，提供相關培訓和教育，鼓勵員工主動報告內(nèi)控缺陷，并參與操作風險管理活動。
綜上所述，信托公司的內(nèi)部控制和操作風險管理是確保公司運營穩(wěn)健、風險可控的重要環(huán)節(jié)。通過建立有效的內(nèi)部控制機制和操作風險管理體系，信托公司能夠及時發(fā)現(xiàn)和應對潛在的風險，確保業(yè)務的安全性和可持續(xù)性。
版權聲明：本文內(nèi)容由互聯(lián)網(wǎng)用戶自發(fā)貢獻，該文觀點僅代表作者本人。本站僅提供信息存儲空間服務，不擁有所有權，不承擔相關法律責任。如發(fā)現(xiàn)本站有涉嫌抄襲侵權/違法違規(guī)的內(nèi)容， 請發(fā)送郵件至 舉報，一經(jīng)查實，本站將立刻刪除。