公司的控制风险水平如何判？

内部控制评价方式，是指内部控制评价工作的基本形式，是解决内部控制评价工作到底如何进行的问题。关于内部控制评价工作到底如何进行，从内部控制评价本身以及目前的发展情况来看，主要存在详细全面评价和风险导向评价两种方式。 ◎详细全面评价。详细全面评价，就是以内部控制框架或标准为参照物，根据内部控制框架的构成要素是否存在，评价内部控制的设计有效性；然后，测试内部控制的运行有效性；最后，综合设计和运行的评价对内部控制的有效性做出总体评价，评估内部控制目标实现的风险，判断是否存在实质性漏洞，确定内部控制是否有效。显然，详细全面评价是一种传统的内部控制评价方式，企业最初进行内部控制建设或日常的评价中应用较多，主要是采用“内部控制调查问卷”和符合性测试，对企业已经存在的内部控制进行评价，评价报告中的建议也是“审核数豆子的人是否将豆子数得一粒不差”。这种方式的特点是从控制到风险，即从内部控制到相关目标实现的风险，比较适合用于内部控制的建立和保持，而对评价内部控制的有效性并不十分恰当，存在着成本高、效率低、结论不可靠性等不足。根据内部控制框架或标准评价内部控制本身并没有错，但是，内部控制的框架或标准本身是一个通用的框架，更多地关注内部控制的“What and Why”，尽管这些框架或标准提供了评价有效性的标准，但不够细致，不足以说明如何完成内部控制有效性的评价。 ◎风险导向评价。风险导向评价，就是以风险为导向，首先，要评估相关目标实现的风险；其次，识别和确定组织充分应对这些风险的内部控制是否存在，即评价内部控制的设计应对相关目标实现风险的有效性；第三，识别和确定内部控制运行有效性的证据，评价现有的控制是否得到了有效的运行；最后，对控制缺陷进行评估，判定是否构成实质性漏洞，确定内部控制是否有效。这种方式是从风险到控制，即从内部控制相关目标实现的风险到内部控制，充分体现了“自上而下，风险基础”的理念。“自上而下”方法由评估组织整体层级的控制开始，然后到具体作业层级控制的测试，主要体现在：从财务报表整体开始，然后到账户、披露；从公司层面的控制开始，然后到活动层面的控制。“风险基础”主要体现在：以评估控制目标实现的风险为起点；关注重要的财务报告和披露风险与问题；仅评价充分应对风险的控制；证据的获取和场所的选择根据风险评估的结果；评价结论（内部控制是否有效）也是风险基础的，判断有效与否是根据内部控制是否相当可能没有防止或发现财务报表中的重要错报。风险导向评价方式可以充分考虑企业特定的情况，避免与内部控制框架的简单核对，具有更好的成本效益性和更广泛的适用性及灵活性；关注最重要的风险，提高了评价的成本效益和效率。不过这种方式与详细全面评价根据一个确定的框架来评价相比需要更高程度的专业判断。 风险导向评价是一种现代的内部控制评价方式，要求评价人员改变传统的评价模式，把评价的起点放在关注企业发展战略和识别企业业务流程的风险上，分析风险，并提出控制风险的建议和方法。特别需要指出，评价内部控制并非为了控制本身，而应针对企业经营过程中可能面临的风险。在风险导向评价方式下，评价人员更为关心的是下列问题：与控制相关的目标是什么？这种控制要解决的问题是什么？这种控制是否对被审计单位的经营活动有益？是否存在重复控制？什么样的风险水平是可以接受的？控制的效果是否影响管理当局决策？风险为导向评价方式下，评价人员大多采用内部控制自评（CSA）、内部控制矩阵法、利用网络信息开展动态评估。 从目前的现状以及未来国际发展趋势来看，内部控制评价基本上都趋向于采用风险导向评价方式。美国证券交易委员会和公共公司会计监督委员会2007年分别发布的管理层报告内部控制的指南（SEC，2007）和内部控制审计准则（PCAOB，2007）都采用了这一方式，英国、日本、加拿大等国的上市公司的内部控制年度评价也采用了风险导向评价方式。日本内部控制评价与审计准则：采用一种自上而下的重视风险的方法，即着眼于与财务报告相关重要虚假记载相联系的风险，对业务流程相关的内部控制进行评价，具体策略：运用自上而下的风险方法；内部控制缺陷的分类，将内部控制的缺陷区分为“重要缺陷”和“缺陷”两类；不采用直接业务报告的做法；内部控制审计与财务报表审计一并实施；内部控制审计报告与财务报表审计报告一并编制等。在我国拟在建立以风险防范和增加价值为评价导向、以五大要素（控制环境、风险评估、控制活动、信息与沟通、内部监督）为核心评价内容、以控制标准和评价标准为评估标尺的内控自我评价体系。内部控制评价应当以风险评估为基础，根据风险发生的可能性和对企业单个或整体控制目标造成的影响程度来确定需要评价的重点业务单元、重要业务领域或流程环节

风险就是事物发展的未来结果与人们事先的期望结果产生差异的可能性，或者说是人们对某事物发展的未来结果的一种不确定性。风险无处不在，规避风险，获得最大利润是每个企业的最终目的。战略管理通常又被称为企业战略管理，是决策层次最高的一种管理。企业战略是企业为谋求生存和发展而做出的长远性、全局性的谋划或方案，实质上是企业的一种“谋划或方案”。企业要寻求最大利润的同时规避风险，必须做好战略管理。 一、企业战略管理 1.企业战略管理的概念 企业战略是影响和决定企业的长期目标与选择企业达到既定目标所遵循路线的核心，战略管理是以提升企业竞争力和建立优势为目的的一系列的企业活动和努力过程。企业战略管理指的是企业为了长期的生存和发展，根据自身的使命和目标，分析其所处的外部环境，确定存在的机遇和威胁；评估自身的内部条件，识别企业经营的优势和劣势。在此基础上，制定用以完成使命、达到目标的战略计划。 2.战略管理的内容 战略管理活动通常划分为三个基本阶段，即战略制定、战略实施和战略评价和控制。 战略制定阶段包括环境研究、企业发展方向、任务的确定，长期目标、战略方案的制定选择，是企业战略管理的关键。战略实施阶段的主要任务一般包括政策设计、年度目标的制定和分解、资源配置、组织调整、企业文化重塑等，是战略管理的行动阶段。战略评价和控制阶段的主要任务是将战略实施中的各种信息及时反馈到战略管理系统中来，确保对企业整体经营活动的有效控制，并且根据变化的情况调整既定的战略，或者制定新的战略，开始新的战略管理过程。因此，战略管理是一种循环往复、不断发展的对全过程的总体性管理。 3.企业战略管理的任务 企业战略管理的任务主要包括：（1）确定战略目标；（2）找到实现目标的最佳途径；（3）有效地进行企业资源优化。 4.加强战略管理的重要性认识 企业战略是企业生存的基础，是企业竞争成败的决定因素，综观众多企业的失败教训，多发生在其战略管理的失误上，所幸这已经引起企业和企业家们的普遍关注。企业战略的制定和实施，首先是企业对内外环境识别的一个过程。一个企业只有在识别到外部环境存在的机遇与威胁，又认识到内部条件的优势与劣势，才能制定出与企业发展实际相匹配的战略规划。在经济全球化和技术高度发展的新环境条件下，企业的生存、发展面临前所未有的竞争压力。企业只有制定愿景清晰、方向明确的战略，才能在激烈的市场竞争中保持领先地位。 5.企业战略管理的特征 企业战略管理，是运用战略对整个企业进行的管理，是将企业日常业务决策同长期计划决策相结合而形成的经营管理。企业战略的基本特征主要包括：全局性；长远性；匹配性；相对稳定性；竞争性；规律性；风险性。 二、 风险 1．风险的定义 风险就是事物发展的未来结果与人们事先的期望结果产生差异的可能性，或者说是人们对某事物发展的未来结果的一种不确定性。这种不确定性存在两种可能的发展趋势，一是未来实际结果比人们事先的期望结果要好，这是风险收益，另一种是比人们期望的结果要差，此时是风险损失。 2.风险的特征 （1）客观性。客观性即风险是客观存在的，不以人们的意识为转移的。 （2）不确定性。风险随着环境的变化而变化，而环境的变化有时是突发的，加上人们认识和控制能力的有限性，使得风险发生的具体时间、空间和形式充满悬念。 （3）两面性。风险损失的另一面就是风险收益，损失和收益是一体、共生的。 三、风险控制 1.风险控制定义 风险控制是指风险管理者采取各种措施和方法，消灭或减少风险事件发生的各种可能性，或者减少风险事件发生时造成的损失。 2.风险控制方法 风险控制的四种基本方法是：风险回避、损失控制、风险转移和风险保留。 （1）风险回避。风险回避是投资主体有意识地放弃风险行为，完全避免特定的损失风险。 （2）损失控制。损失控制不是放弃风险，而是制定计划和采取措施降低损失的可能性或者是减少实际损失。 （3）风险转移。风险转移，是指通过契约，将让渡人的风险转移给受让人承担的行为。通过风险转移过程有时可大大降低经济主体的风险程度。 （4）风险保留。风险保留，即风险承担。也就是说，如果损失发生，经济主体将以当时可利用的任何资金进行支付。 四、企业战略管理与风险管理 企业战略管理过程分为:战略分析、战略制定和战略实施三个阶段。战略分析是对影响企业现在和未来生存和发展的一些关键内外因素进行分析。在企业战略管理过程中，我们必须把战略分析、制定和实施这三个阶段有机地结合起来。 战略风险是从战略管理过程中不可避免地产生的，在战略分析、制定和实施中由于每个阶段的战略任务不同，就会呈现出不同的战略风险。企业战略风险是由外部风险和内部风险两部分构成的。外部风险又可以分为宏观环境风险和产业风险，而内部风险是由企业自身因素所决定的，如破产风险、收益的损失、信用下降、信息缺失、组织缺失、文化缺失等。但企业活动是处于一种变化多端的竞争环境当中，其所面临的战略风险并不能只用外部风险和内部风险来说明，多数情况下应该是多种因素综合作用的结果。根据战略风险的来源和构成可以将战略风险分成:运营风险、竞争风险和商誉风险三个部分。运营风险是企业在核心运作过程出差而产生的风险;竞争风险是由于竞争对手的战略、法令和公共政府方面的变化、顾客需求的变化、供应商定价和政策上的变化等等这些都有可能削弱企业竞争优势，并成为战略风险;商誉风险是上述三个方面的综合的结果。由于上述原因，当整个企业的信誉下降而使得企业价值减少时，就产生了商誉风险。战略管理过程与风险是密不可分的，所以企业在实施企业战略时一定要考虑战略风险的问题。把风险降低到最低，这样企业才有可能在行业中立足。 五、如何进行战略管理，降低风险

经过长期的研究，战略管理已发展成管理研究领域中的一个重要分支学科，企业为进一步加强战略管理，提高企业科学决策和科学管理水平，需要从以下几方面做出努力： 1．扩展企业战略的空间 首先表现在层次上的竞争，从原来单纯产品的竞争到今天人力资源的竞争、战略的竞争、竞争优势的竞争。其次表现在领域方面的竞争。竞争战略的谋划更多的是在无边界的不同的联盟之间、不同的商业生态系统之间对商业机会的竞争。竞争的物理空间也由区域性范围扩大到全球。企业必须从全球的角度、从跨行业的角度来考虑配置自身的资源。 2．加强领导培训，提高其自身能力 企业战略往往是企业高层领导人的一种价值观念，因此，企业高层领导人首先必须从思想上高度认识战略管理的重要性，并进行专项培训，提高其战略意识和技能。很多企业领导人认为下属需要培训，提高战略执行能力，而他们自己或由于忙于具体事情无暇参与培训或根本认为自己不需要培训。孰不知最需要进行企业战略培训的就是企业领导者本身。 3、让员工参与是企业战略能否贯彻的关键 当员工不认同战略决策时，就会有抵触情绪。如果一个企业的员工不理解企业制定的战略，不明白企业所创造的价值何在，那么，他们将难以理解面对的多样选择。如果销售人员不知道战略，他将不知道向谁销售；如果工程技术人员不知道战略，他将不知道产出什么。如果员工能够参与战略管理，了解企业战略制定经过，就很容易认同战略、理解战略。 4、寻找市场空隙战略 中小企业可以利用自己规模小、经营机动灵活的特点，寻找市场的各种空隙，进入那些市场容量小，大企业不