導語：內部控制是指經濟單位和各個組織在經濟活動中建立的一種相互制約的業務組織形式和職責分工制度。為了實現其經營目標，保護資產的安全完整。
財政部《企業內部控制基本規範》中提出，企業建立與實施內部控制，應當遵循下列原則：
（1）全面性原則。內部控制應當貫穿決策、執行和監督全過程，覆蓋企業及其所屬單位的各種業務和事項。
（2）重要性原則。內部控制應當在全面控制的基礎上，關注重要業務事項和高風險領域。
（3）制衡性原則。內部控制應當在治理結構、機構設定及權責分配、業務流程等方面形成相互制約、相互監督，同時兼顧運營效率。
（4）適應性原則。內部控制應當與企業經營規模、業務範圍、競爭狀況和風險水平等相適應，並隨著情況的變化及時加以調整。
（5）成本效益原則。內部控制應當權衡實施成本與預期效益，以適當的成本實現有效控制。
內部控制綜合架構和要素（p436）
內部控制是為合理保證單位經營活動的效益性、財務報告的可靠性和法律法規的遵循性，而自行檢查、制約和調整內部業務活動的自律系統。其貫穿於經營活動的全部過程，包括控制環境、風險評估、控制活動、資訊與溝通，監督等要素，並受企業董事會、管理階層及其他人員影晌。
內部控制綜合架構和要素 | |
(1) 控制環境 | 內部環境是企業實施內部控制的基礎。控制環境由反映最高管理當局、董事和企業所有者對控制以及控制對企業重要性的全面態度的各種行為、政策和程式組成。控制環境的子要素分為正直和道德價值、委託勝任的人員、管理哲學與經營方式、組織結構、董事會或審計委員會、權責的劃分以及人力資源政策和實踐等。 |
(2) 風險評估 | 財務報告的風險評估是管理當局對與財務報表按照公認會計原則編制有關的風險的識別和分析。管理當局的風險評價是作為設計和執行內部控制結構的一部分，以使錯誤和不合法行為的發生降低到最低水平。 |
(3) 控制活動 | 控制活動是指除其他四方面外，管理當局為滿足財務報告的目標而建立的各種政策和程式。任何企業都可能有許多這類的政策和程式，但一般都可歸納為以下幾種：職務的恰當分離、恰當的審批手續、充分的憑證和紀錄、資產和記錄的實物控制以及業績的獨立檢查。 |
(4) 資訊與 溝通 | 資訊與溝通使企業及時、準確地收集、傳遞與內部控制相關的資訊，確保資訊在企業內部、企業與外部之間進行有效溝通。一個有效的會計資訊系統必須滿足與審計目標有關的所有幾項內部控制目標。這些目標是：已記錄的交易確實存在，即會計存在的真實性；所有已發生的業務、交易均被記錄，即會計的完整性；所有已記錄的交易、業務均準確無誤，即會計的準確性；所有交易、業務記錄的時間均及時且準確，此即會計的紀實性原則；所有交易、業務的分類標準合適恰當，即會計分類的準確。 |
(5) 監督 | 監督活動是有管理當局對內部控制結構的設計和執行效果進行經常或定期的評價，以確定內部控制結構是否按照既定的目的執行，以及對特定情況下發生的變化進行適當的修正。對內部控制結構的評價和修正所需的資訊，來自於已存在的內部控制結構、內部審計人員的報告、有關控制活動的例外報告、有關管理機構提交的報告、經營人員的反饋資訊以及顧客對開票事項的意見等各個方面。 |
內部控制的侷限性（p437）
內部控制只能為管理人員達到其目的提供合理的保證，因為內部控制有其固有的侷限。
1。內部控制只適於正常且經常反覆出現的業務事項，而不能對例外事項（包括意外事故）進行控制。
2。對於工作人員因粗心、精力不集中、身體欠佳、判斷失誤或誤解上級發出的指令而造成的這種人為錯誤無能為力。
3。內部控制還受到控制成本的限制，控制費用不應與因舞弊和錯誤所造成的可能損失不相稱。
4。當工作人員合夥舞弊和內外串通共謀時也無法控制。
5。當管理人員濫用職位權或不能正確使用權力時無法控制。
6。因情況變化，原來制定的內部控制過時失去效果時，也無法控制其錯誤或弊端的發生。
儘管管理當局力爭取得有效的控制效果，但由於上述及其他限制因素存在，內部控制不可能完美無缺。
控制措施一般包括（p441）：
①不相容職務分離控制：要求企業全面系統地分析、梳理業務流程中所涉及的不相容職務，實施相應的分離措施，形成各司其職、各負其責、相互制約的工作機制。
②授權審批控制：要求企業根據常規授權和特別授權的規定，明確各崗位辦理業務和事項的許可權範圍、審批程式和相應責任。
③會計系統控制：要求企業依法設定會計機構，配備會計從業人員;嚴格執行國家統一的會計準則制度;加強會計基礎工作;明確會計憑證、會計賬簿和財務會計報告的處理程式，保證會計資料真實完整。
④財產保護控制：要求企業建立財產日常管理制度和定期清查制度，採取財產記錄、實物保管、定期盤點、賬實核對等措施，確保財產安全。
⑤預算控制：要求企業實施全面預算管理制度，明確各責任單位在預算管理中的`職責許可權，規範預算的編制、審定、下達和執行程式，強化預算約束。
⑥運營分析控制：要求企業建立運營情況分析制度，經理層應當綜合運用生產、購銷、投資、籌資、財務等方面的資訊，通過因素分析、對比分析、趨勢分析等方法，定期開展運營情況分析，發現存在的問題，及時查明原因並加以改進。
⑦績效考評控制：要求企業建立和實施績效考評制度，科學設定考核指標體系，對企業內部各責任單位和全體員工的業績進行定期考核和客觀評價，將考評結果作為確定員工薪酬以及職務晉升、評優、降級、調崗、辭退等的依據。
企業應當根據內部控制目標，結合風險應對策略，綜合運用控制措施，對各種業務和事項實施有效控制。
全面風險管理原則（p460）
企業在全面風險管理實施過程中應當遵循以下原則：
1。從實際出發的原則。全面風險管理建設要以國家法律法規為指引，同時結合企業的風險特點和管理現狀，保證企業全面風險管理體系建設務實有效。
2。系統性原則。遵循系統規劃、分步實施，做到重點突破，全面推廣。
3。與其他管理工作緊密結合原則。全面風險管理是企業管理的有機組成部分，不能僅僅推行純粹的風險管理：①要和戰略管理相結合，確保將風險控制在與總體戰略目標相適應並可承受的範圍內;②要和全面預算管理相結合，保證企業預算的有效執行;③要和企業管理資訊化相結合，將風險管理的制度流程通過資訊手段固化下來;④要和集團管控相結合，保證母子公司風險管理的有效執行等。
4。成本效益原則。風險管理應以合理的風險管理成本達到最佳的管理效益。
5。適應性原則。風險管理將是一個持續的管理程序，應隨著企業內外部環境的變化，不斷對風險管理進行修正和調整，體現風險管理的高度和深度。
關鍵風險指標管理（p467）
一項風險事件發生可能有多種成因，但關鍵成因往往只有幾種。關鍵風險指標管理是對引起風險事件發生的關鍵成因指標進行管理的方法。具體操作步驟如下：
（1）分析風險成因，從中找出關鍵成因。
（2）將關鍵成因量化，確定其度量，分析確定導致風險事件發生（或極有可能發生）時該成因的具體數值。
（3）以該具體數值為基礎、以發出風險預警資訊為目的，加上或減去一定數值後形成新的數值，該數值即為關鍵風險指標。
（4）建立風險預警系統，即當關鍵成因數值達到關鍵風險指標時，發出風險預警資訊。
（5）制定出現風險預警資訊時應採取的風險控制措施。
（6）跟蹤監測關鍵成因數值的變化，一旦出現預警，即實施風險控制措施。
該方法既可以管理單項風險的多個關鍵成因指標，也可以管理影響企業主要目標的多個主要風險。使用該方法，要求風險關鍵成因分析準確，且易量化、易統計、易跟蹤監測。
