2001年安然、世通、默克等一大批知名企业接连发生财务丑闻后，诚信危机极大震撼了美国朝野。为提高民众信心，保护投资者利益，美国国会于2002年7月通过了《萨班斯-奥克斯利法案》。该法案强制要求企业必须建立完善的内部控制制度，全面严格要求企业加强风险管理。然而，强化内部控制和风险管理，不仅是当今国际资本市场的新潮流，也是中国企业和资本市场面临的重要课题。　　内部控制是所有组织和结构运转的制度基础。它是一个单位为了保障会计信息质量，保护资产的安全、完整，确保有关法律、法规和规章的贯彻执行而制定和实施的一个控制系统。　　内部控制经历了一个不断发展、完善的历史进程，可将其分为内部牵制、内部控制制度、内部控制结构、内部控制整体框架和企业风险管理框架五个阶段。其中，以COSO委员会于1992年发布的内部控制整体框架和2004年发布的企业风险管理框架最为全面和完整，对企业的指导作用最大。　　COSO《内部控制——整体框架》把内部控制划分为五个要素:控制环境、风险评估、控制活动、信息与沟通和监控。每个要素均承载三个目标:经营目标、财务报告目标和合规性目标。这五个要素缺一不可，都必须存在并有效运行，以使企业的内部控制有效率;同时，五个要素都必须完全融入企业经营活动中，以使其有效地发挥作用而达到目标。在内部控制制度设计中，公司可以根据公司的规模和结构采用不同的方式来实施这五大要素。　　COSO企业风险管理框架是一个指导性的理论框架，为公司的董事会提供了有关企业所面临的重要风险，以及如何进行风险管理方面的重要信息。其构成要素增加到八个:内部环境、目标设定、事项识别、风险评估、风险应对、控制活动、信息与沟通和监控。在企业风险管理这个过程中几乎每一个构成要素都能够，也的确会影响其他构成要素。而这些要素所要达到的目标有四个:战略目标、经营目标、报告目标以及合规性目标。　　简而言之，企业风险管理比内部控制更广泛，引入风险管理，拓展和细化了内部控制，形成一个更全面、更强有力的关注风险的概念。具体看来，前者在后者的基础上增加了一个新观念，一个战略目标，两个概念和三个要素，即风险组合观，战略目标，风险偏好、风险可接受程度的概念以及目标设定、事项识别、风险应对要素。　　此外，企业内部控制制度除涵盖对经营活动各环节的控制外，还包括贯穿于经营活动各环节的各项管理制度。而内部控制的设计则包括五个步骤:梳理已有的业务与财务政策、流程，选择控制对象;拟定并确立控制目标;评估风险、确定关键控制点及管理策略;制定、整合或修正控制流程;记录与文档。　　在企业内部控制体系设计中，存在着一定的不确定性，这些不确定性对企业带来的影响，就形成了风险。为了在经营决策、生产管理以及设立内部控制体系时减少风险，企业可以按照自身业务的性质和管理风险的方法，来确定风险的类别。一般来讲，企业将风险分为战略风险、财务风险、经营风险、市场风险和法律风险五大类。这些风险会对企业带来多方面的影响，包括资产流失、竞争失败、经营中断、法律诉讼、商业欺诈、无益开支、资产损失和决策失误八个方面。　　由于内部控制的动力源于风险防范并构成风险管理的必要环节，但内部控制只能防范风险，不能转嫁、承担、化解或分散风险。所以，在新技术和市场条件下，企业要以风险为导向改善内部控制制度。　　在以风险为导向的内部控制体系中，为了达到风险最小化的目标，对内部控制中可能的风险进行防范就非常关键。常用的方法主要有六种:避免风险、分散风险、控制风险、转移风险、分担风险和接受风险。企业可以根据自身的实际情况，设定切实可行的选择标准，采取独特并有效的风险防范措施。　　本文以××有限公司（以下称“公司”）为例，详细剖析了其内部控制体系中的风险和相应的风险防范措施。　　公司是一家外商独资企业，主要产品有温度试验箱，温湿交变试验箱等标准箱及各种非标准试验系统，主要应用于军工业和生物研究、大学实验室的制冷技术领域。目前，内部控制制度不够完善，执行力度不够，导致内部控制状况不是很好，存在很多的问题和风险。具体包括:　　A)战略风险。技术落后，产量提不上去，成本一直据高不下，竞争激烈，标准箱的市场占有率骤减。因产品质量问题，品牌及信誉大为受损。公司投入大量成本，欲于2008年新投一条生产线，用于生产医疗用的环境制冷设备，可市场基本被日本三洋所垄断。此外，中外管理层争斗控制权。对于这些品牌、技术、竞争等风险，建议投资方和公司加强技术革新，改进标准箱的生产和质量监督体系，利用非标准箱市场的竞争优势，扩大公司的品牌影响力，改善现有的竞争危机。中外管理层尽早协商，使双方的利益达成一致。　　B)财务风险。有货币资金管理;存货、采购及付款控制;销售及收款控制;对外投资控制;筹资业务控制;固定资产管理;关联方交易管理;成本费用和预算的控制等八个方面的问题。主要产生以下风险:货币资金被挪用、欺骗或损失;存货的完整性和安全性受威胁，款项错付;销售渠道单一，销售退回、支付销售佣金、催收款项等无章可循，可能出现差错、舞弊以及财务记录有误等;与关联方的对账及双方的记录标准无规定，可能错误记账;成本费用可能支付失控、记录错误及舞弊等等。　　建议公司采取风险规避、控制及分担风险的防范措施，包括:完善资金管理制度，每日现金盘点，签发支票的财务章和人名章分人保管，降低财务经理签发支票的权限等;完善采购制度，招标采购，定期与主要供应商对账，季末存货盘点等;规范销售及收款业务，制订销售退回制度，建立应收账款分析和催收流程，建立销售佣金的制度，健全销售网络;规范关联交易管理，固定专人定期对账，统一双方的记录标准;规范成本费用的控制制度，制订并落实对预算执行的奖罚措施等。　　C)市场风险。报税制度执行不到位;现有的客户基本上是老客户;外币交易较多等。这些会产生客户风险和汇率风险，建议采取控制风险和分担风险的防范措施，加快技术革新，改进产品质量，健全分销商或代理商制度，规范税务处理和货币计价制度。　　D)经营风险。主要有内部管理风险、信息系统风险及企业风险管理的能力等，比如负责销售的副总经理权力过大，中高层管理人员流动大;无专业IT人员维护和管理信息系统;软件不能生成财务所需的部分资料;员工对系统不熟悉;管理层缺乏风险概念等。建议弱化该副总经理的权力和地位，引进优秀人才，改善员工待遇，降低员工的流动性;与软件商协商解决系统运行中的问题，加强员工培训;强化公司管理层的风险意识。　　E)法律风险。无合同管理制度，法律纠纷不断，比如因大幅度裁减，员工对公司提起诉讼，要求支付裁员费及补偿金;因产品质量问题遭到客户起诉等。建议建立合同保管制度，要求签订合同，并将其连续编号，指定专人保管合同和登记台帐;聘请英语熟练的法律顾问，建立合同纠纷处理制度。　　总的说来，本文基于COSO最新的企业风险管理框架，结合案例分析，对企业内部控制和风险管理体系进行了系统阐述。创新之处在于:提出以风险为导向改善内部控制制度的思路，重点突出企业面临的风险以及相应的风险防范措施。