序 一

奠穩(wěn)風險管理和內(nèi)部控制的基石，

企業(yè)之舟才能揚帆遠航

近年來，全球化和技術變遷正在不斷改變著世界的政治格局和經(jīng)濟版圖，企業(yè)面對的不確定因素不斷增多,面對的風險也越來越復雜。波及全球的貿(mào)易戰(zhàn)、金融危機以及時有發(fā)生的地區(qū)武裝沖突、恐怖襲擊、自然災害、安全事故、環(huán)境污染等不僅給全球經(jīng)濟發(fā)展帶來了巨大挑戰(zhàn)，也直接威脅到企業(yè)的生存和發(fā)展。因此，企業(yè)開展風險管理和內(nèi)部控制工作是順應國際國內(nèi)政治經(jīng)濟環(huán)境新變化的必然要求，也是現(xiàn)代企業(yè)實現(xiàn)健康穩(wěn)定可持續(xù)發(fā)展的必要保障。

全球經(jīng)濟一體化的進程在很大程度上加劇了風險事件產(chǎn)生的影響，一個小的風險事件往往會打開一體化鏈條上的潘多拉之盒，形成多米諾骨牌效應，波及的方面和產(chǎn)生的連鎖反應往往是很多國家和企業(yè)所始料未及的。這些都在客觀上要求中國企業(yè)建立一套行之有效的風險管理和內(nèi)部控制體系來抵御內(nèi)外部的各種風險。

雖然中國企業(yè)經(jīng)過了四十多年的發(fā)展，也經(jīng)歷了市場化和全球化的巨大考驗，但中國企業(yè)的風險管理和內(nèi)部控制工作依然處于初級發(fā)展階段，與中國企業(yè)在全球化和世界經(jīng)濟中承擔的角色還很不相稱和匹配。未來企業(yè)開展風險管理和內(nèi)部控制工作需要走出僅僅滿足合規(guī)要求的禁錮，要擇高處立，即這些工作要與企業(yè)整體戰(zhàn)略密切結合，推動企業(yè)整體戰(zhàn)略的實現(xiàn)，藉此實現(xiàn)企業(yè)的盈利目標和增加企業(yè)價值。風險管理要幫助企業(yè)管理者進行戰(zhàn)略分析和提供決策選項，確保企業(yè)戰(zhàn)略得到有效的執(zhí)行。而內(nèi)部控制是企業(yè)通過內(nèi)部管控措施有效應對風險的重要手段，是企業(yè)綜合能力的體現(xiàn)，也是企業(yè)競爭力的重要來源。

毫無疑問，以上這些變化和挑戰(zhàn)要求企業(yè)管理者和學者從戰(zhàn)略和創(chuàng)新發(fā)展的角度來審視風險管理和內(nèi)部控制，并將兩者與企業(yè)的整體戰(zhàn)略、企業(yè)日常經(jīng)營管理和業(yè)務流程密切融合，以便應對企業(yè)發(fā)展進程中不斷出現(xiàn)的新的挑戰(zhàn)。

本書的作者李健博士是我最優(yōu)秀的博士生之一，具有很強的研究創(chuàng)新能力，嚴謹?shù)闹螌W態(tài)度和極強的進取精神，善于通過跨學科研究和理論實踐相結合的方式實現(xiàn)學術上的突破。在《風險管理和內(nèi)部控制理論與實踐》的編寫過程中，他融入了自己在世界五百強企業(yè)從事風險管理和內(nèi)部控制工作多年積累的經(jīng)驗，結合理論研究的最新成果和行業(yè)內(nèi)的最佳實踐，闡述了風險管理和內(nèi)部控制等各個方面，是一部不可多得的學術新作。該書有助于讀者掌握風險管理和內(nèi)部控制的游戲規(guī)則，了解企業(yè)開展風險內(nèi)控工作的具體方法，提高風險管理和內(nèi)部控制的理論和實踐水平。

金占明

清華大學創(chuàng)新創(chuàng)業(yè)與戰(zhàn)略系

教授 博士生導師

序 二

近十多年來，放眼全球，人們看到了大洋彼岸許多不良的公司治理和內(nèi)部控制失效的事件，由此而引發(fā)的一系列的財務丑聞和舞弊案件以及國際金融危機，對企業(yè)和社會經(jīng)濟發(fā)展產(chǎn)生了巨大的破壞性影響。社會各界人士的口誅筆伐，促使美國監(jiān)管部門出臺了《薩班斯奧克斯利法案》等一系列的法律法規(guī)和標準，要求上市公司加強內(nèi)部控制和完善公司治理。

現(xiàn)代內(nèi)部控制是一種綜合管理體系，包含著經(jīng)營管理的精髓、理念和控制措施，是企業(yè)運營和各項管理工作的基礎；企業(yè)風險管理強調(diào)治理和文化的上層建筑，支持企業(yè)使命、愿景和核心價值的實現(xiàn)。按照美國反虛假財務報告委員會發(fā)起人委員會（COSO）在2017年版企業(yè)風險管理整合框架中的最新解釋，內(nèi)部控制主要聚焦在企業(yè)的運營和對于相關法律法規(guī)的遵從性上，例如，企業(yè)需要關注與財務報告目標相關的舞弊風險、與合規(guī)目標相關的控制活動、與運營目標相關的持續(xù)及獨立評估。風險管理則包括了管理風險的文化、能力和實踐，更加強調(diào)風險與價值的相結合，突出價值創(chuàng)造而不只是防止損失。COSO一再強調(diào)，風險管理和內(nèi)部控制兩個框架是截然不同的，并提供不同的重點；它們不可相互取代，而是互補的關系。二者是公司治理不可缺少的兩個組成部分。

在企業(yè)內(nèi)部控制規(guī)范體系建設方面，我國政府監(jiān)管部門充分利用了后發(fā)優(yōu)勢，在借鑒和吸收國際監(jiān)管新理念，通過整合資源與合力攻堅，2008年5月和2010年4月，我國財政部、證監(jiān)會、審計署、銀監(jiān)會和保監(jiān)會五個部委聯(lián)合制定和先后發(fā)布了《企業(yè)內(nèi)部控制基本規(guī)范》和《企業(yè)內(nèi)部控制配套指引》，構建了中國企業(yè)內(nèi)部控制規(guī)范體系。

李健博士一直負責中國化工集團的風險管理和內(nèi)部控制工作。近十年來，他全過程參與了其所在集團從風險控制體系建設、風險識別和評估、試點及推廣項目，到全體系的內(nèi)部控制評價檢查工作，積累了豐富的實踐經(jīng)驗，并具備了較全面的綜合管理和協(xié)調(diào)能力。本書是李健博士近十年來在中國化工集團從事風險管理和內(nèi)部控制工作的實踐經(jīng)驗總結。作者結合國資委對中央企業(yè)全面風險管理的各項要求和財政部等五部委對企業(yè)貫徹落實內(nèi)部控制規(guī)范體系的指引和規(guī)定，從風險管理和內(nèi)部控制概述，風險內(nèi)控體系建設，風險的識別、評估和應對，公司層面控制，業(yè)務層面控制，內(nèi)部控制評價和風險內(nèi)控信息化六個方面，詳細論述了風險管理和內(nèi)部控制從規(guī)劃、實施、評價檢查，以及整改和信息化的各個環(huán)節(jié)的重點內(nèi)容，面臨的主要風險和相應的控制措施，力圖為企業(yè)開展風險管理和內(nèi)部控制工作提供有效的指導。

企業(yè)建立和實施內(nèi)部控制是一項專業(yè)性很強的工作，要求相關人員具備豐富的知識技能和充足的實踐經(jīng)驗。本書的出版發(fā)行不僅為我國上市公司和國有企業(yè)的內(nèi)部控制體系建設提供可供選擇的實務操作指南和解決方案，而且可作為內(nèi)部控制培訓項目的適用輔導教材，有利于培養(yǎng)風險內(nèi)控專業(yè)人才，促進企業(yè)內(nèi)部控制體系建設緊密結合自身實際，實現(xiàn)控制目標和提升經(jīng)營管理績效。

張 玉

中國大陸首位高級國際注冊內(nèi)部控制師

中國職協(xié)企業(yè)內(nèi)控師崗位培訓項目資深顧問

2019年5月