2025年【内部控制】内控三角解析：目标、风险与控制.pdfVIP

吾日三省乎吾身。为人谋而不忠乎?与朋友交而不信乎?传不习乎?——《论语》

【内部控制】内控三角解析：目标、风险与控制

结合内部控制的定义和五要素，可以提炼出一个简洁的内部控制

三角：目标--风险--控制。即在内部控制建设和实施过程中，始终要回

到这三者之间关系的考量上：控制的具体目标是什么？潜在的风险是

什么？可以采取的控制措施有哪些？在学习和运用内部控制理论和体

系时，首先要深入理解这三个核心概念。

一、内部控制目标

1.不同内部控制目标体系的比较

在我国内部控制规范体系中，内部控制建设目标可以归纳为：战

略目标、经营目标、合规目标、资产安全目标和财务报告目标等五个

目标。

同时，COSO在《企业风险管理整合框架》（以下简称ERM）中

将风险管理的目标分成四类，即战略目标、经营目标、报告目标和合

规目标。

比较上述三大体系的目标，可以发现我国内部控制体系目标有如

下特点：

第一，整合了IC和ERM框架。我国的内部控制目标是综合IC和

ERM框架的要求，对企业实施内部控制体系提出了更高要求。

第二，强调资产安全目标。我国的基本规范之所以强调资产安全

目标，并单独作为一个内部控制目标，主要是因为国有资产的增值保

值是我国特有的国情。

臣心一片磁针石，不指南方不肯休。——文天祥

第三，没有强调非财务报告目标。IC2013更新了原有IC中的财

务报告目标，采用了ERM中的报告目标，拓宽了报告的外延范围，强

调合理保证非财务报告和内部管理报告等信息的真实完整。

因此，我国内部控制体系实际上约等同于ERM。但是，IC强调

“确定目标”是“内部控制的前提条件”（即“目标既定论”），而

不属于内部控制本身；ERM强调“应用于战略制定并贯穿于企业之中”

（即“目标设定论”），并体现在其风险管理八要素中的目标设定、

事项识别等要素中。所以，不能简单将全面风险管理的八要素视为内

部控制五要素的细分。

2.内部控制目标的实务分类

从内部控制实务的角度看，IC的报告目标可以拆解为财务报告目

标和非财务报告目标。其中非财务报告目标可以作为信息与沟通要素

融入到相应的战略目标、经营目标和合规目标中。

同时，资产安全目标也可以拆解为两部分，即“用于保护资产安

全且与财务报告可靠性目标相关的控制”和“其他资产安全相关的控

制”。对于前者可纳入财务报告目标的内部控制建设中；对于后者则

可纳入经营目标的内部控制建设中。

经过上述重分类后，从建设和实施的角度，可以将内部控制建设

目标界定为：财务报告目标、合规目标、经营目标和战略目标等四个

目标。其内涵各不相同，因此梳理和确定上述具体目标体系的方法也

不尽相同。

3.从一般内部控制目标到具体内部控制目标

好学近乎知，力行近乎仁，知耻近乎勇。——《中庸》

内部控制建设是否能体现企业的特色，关键就在于内控建设是基

于一般内部控制目标开展的，还是基于具体内部控制目标开展的。如

果是基于一般内部控制目标开展，则会围绕部门职责和流程来进行风

险评估，建设成果可能很丰富，但因为没有深入业务，对经营效率和

效果以及战略提升的帮助并不很大，因而无法让企业高管层满意。