卢华贵  厦门大学经济学院

摘要：2014年12月，香港联交所推出上市公司风险管理与内部控制监管新规，强调注重风险管理，对董事会和管理层的职责、有效性评估和信息披露、内部审计和审计委员会的作用作了新的制度安排。本文对照分析内地现行规则，提出若干完善建议。

关键词：上市公司治理；风险管理；内部控制

风险管理与内部控制已经成为企业实现战略目标必备的最重要的管理职能之一。上市公司作为公众公司，对其风险管理与内部控制监管的重要性不言而喻。2014年12月，香港联交所正式推出上市公司风险管理与内部控制监管新规。本文通过分析香港监管规则修订的背景和修订的重点，对照分析内地现行监管规则，获得一些对完善内地监管规则有意义的借鉴。

一、香港监管规则修订背景

    香港联交所于2005年1月推出《公司治理守则》，并于2014年6月发布《检讨公司治理守则与公司治理报告：风险管理与内部控制的咨询文件》和2014年12月发布咨询总结，修订了上市公司风险管理与内部控制监管规则，同时发布经修订后的《公司治理守则》及《公司治理报告》，要求香港联交所上市公司2016年1月1日或之后开始的会计期间正式实施。

二、香港监管规则修订重点

    香港监管新规强调注重风险管理，同时，对董事会和管理层的职责、年度评估和信息披露的要求、内部审计和审计委员会的作用提出了新的规定。

（一）注重风险管理职能

香港现行监管规则C.2节标题为“内部控制”，相关条款侧重从内部控制角度展开。香港联交所认为内部控制是风险管理不可分割的一部分，风险管理与内部控制应融合。新规将标题改为“风险管理与内部控制”，并在相应条款增加“风险管理”相关规定。这被认为是本次监管规则修订的主要动因之一，也是本次修订最根本的一项。值得注意的是，国际上最受认可的两个内部控制指引也有类似规定，它们是美国反虚假财务报告委员会下属的发起组织委员会（COSO）的COSO框架与企业风险管理整合框架，以及英国财务报告理事会FRC的英国公司治理守则。

（二）董事会和管理层的职责

香港现行监管规则要求董事会确保上市公司的内部控制体系稳健妥善且有效，保障股东投资和上市公司资产。香港联交所认为董事会和管理层的职责范围界定不够清晰和充分，未阐明影响战略实现的风险管理职责，强调董事会职责包含但不仅限于保障股东投资和上市公司资产。新规明确董事会负责评估影响战略目标实现的风险，确保设立和维持合适且有效的风险管理与内部控制体系；管理层负责设计、执行和监察风险管理与内部控制体系，向董事会保证风险管理与内部控制体系的有效性，董事会负责对其进行监督和问责。新规还将董事会的职责修订为更宽范围的确保设立和维持合适且有效的风险管理与内部控制体系。

（三）年度评估与信息披露

香港现行监管规则要求董事会对内部控制有效性进行年度评估，并披露已经完成评估。但年度评估而非持续监督被认为不够及时和有效。另外，年度评估的具体事项和评估情况的信息披露是自愿条款而非强制要求，意味着股东和投资人难以获得充分信息。新规强调董事会应持续监督风险管理与内部控制体系的完整性和有效性，并将年度评估的具体事项和评估情况的信息披露提升为强制要求，确保年度评估的完整和有效，保障信息披露更有意义。

（四）内部审计和审计委员会

香港现行监管规则没有强制要求设内部审计。新规明确要求设立内部审计，没有设立的公司须每年评估增设此项职能的必要性并披露评估结果，还要求董事会确保内部审计拥有履行其职责所需要的足够资源。香港现行监管规则已规定审核委员会负责监管财务报告、内部控制、内部审计的职责。新规增加监管风险管理的职责，强调审计委员会对风险管理与内部控制体系的作用和监管责任。新规依然没有要求单独设立风险管理委员会，上市公司可自行决定。

三、内地监管规则对照分析

内地现行监管规则主要有《上海证券交易所上市公司内部控制指引》（以下简称“《上交所指引》”）和《深圳证券交易所上市公司内部控制指引》（以下简称“《深交所指引》”），财政部联合五部委印发的《企业内部控制基本规范》（以下简称“《基本规范》”）及其配套指引：《企业内部控制应用指引》、《企业内部控制评价指引》和《企业内部控制审计指引》。

关于风险管理职能，内地现行监管规则只强调内部控制，没有建立风险管理监管规则，更谈不上风险管理与内部控制的融合。然而风险管理是企业经营管理中最重要的决策之一，离开风险管理谈内部控制是危险的。国务院国资委2006年印发《中央企业全面风险管理指引》，对企业风险管理职能监管进行了探索，但其实施范围仅限于中央企业。

关于董事会和管理层的职责，内地现行监管规则也表现为对董事会的职责强调不够，董事会和管理层的职责范围和监督问责关系不清。《基本规范》仅强调董事会负责内部控制的建立健全和有效实施，监事会对董事会建立与实施内部控制进行监督，经理层负责组织领导内部控制的日常运行，未明确董事会和管理层之间的职责范围和监督问责关系。《上交所指引》将战略目标设定、影响战略目标实现的风险确认、风险评估、风险管理策略选择等不加区分地列为董事会和管理层的共同责任，《深交所指引》中则是管理层的责任。我国上市公司一些部分管理者风险意识薄弱，认为企业整体风险低，这与董事会和管理层的职责范围和监督问责关系不清可能不无关系。

关于年度评估和信息披露，内地现行监管规则要求年度评估并披露评估报告，《基本规范》及《企业内部控制评价指引》只年度评价并出具报告。《上交所指引》仅要求定期和不定期检查，只规定发现存在重大缺陷或重大风险时才披露。《深交所指引》也只要求年度自查并披露自查报告。均无持续监督责任。

关于内部审计和审计委员会，《基本规范》要求设立内部审计机构和审计委员会，内部审计机构负责对内部控制的有效性进行监督检查，审计委员会负责审查内部控制，监督其有效实施和自我评价，协调内部控制审计。《上交所指引》和《深交所指引》没有进一步的规定。均缺乏对风险管理的关注。

四、内地监管规则完善建议

香港监管新规反映风险管理与内部控制监管的新问题和新方向。《上交所指引》和《深交所指引》发布至今将近10年，《基本规范》印发也已超6年，我们有必要对它们进行审视，讨论进一步完善的方向。本文提出若干完善建议。

首先，注重风险管理，推进风险管理与内部控制融合。内部控制从管理职能上讲，侧重强调控制职能；风险管理从控制对象上讲，侧重强调风险控制，两者内涵一致。^[2]风险管理、内部控制、公司治理都基于存在风险而产生，都为进行风险控制。2008年金融危机一些企业忽视风险管理最终导致失控，恰好反映关注风险管理的重要性。从风险评估和风险控制角度促进风险管理与内部控制融合。

    其次，理清董事会和管理层的职责范围和监督问责关系。一，董事会确定风险偏好和风险水平，确保风险管理与内部控制体系完善和有效。二，管理层执行董事会制定的风险管理与内部控制政策，识别和评估风险，设计、运行和监控有效的风险管理与内部控制体系。三，管理层向董事会保证体系有效性，董事会对其监督和问责。

    再次，强化持续监督职责，细化信息披露要求。董事会应持续监督管理层对风险管理与内部控制体系的设计、运行和监控。另外，明确有效性评估的具体事项和评估情况的信息披露，提高评估有效性和信息披露质量。

最后，加强内部审计和审计委员会的作用。内部审计是第三道防线。强调内部审计和审计委员会对风险管理与内部控制的作用，将确认和评估风险管理与内部控制体系完整性和有效性作为内部审计和审计委员会主要职责之一。

总的来说，香港监管新规强调注重风险管理职能，用风险管理与内部控制取代内部控制成为公司治理的重要内容，同时理清董事会和管理层的职责，强化持续监督和信息披露，阐明内部审计和审计委员会对风险管理与内部控制尤其是风险管理的作用。这些新规恰恰是内地现行监管规则的薄弱环节，为日后的修订和完善提供了很好的借鉴。

参考文献

[1]检讨公司治理守则与公司治理报告：风险管理与内部控制的咨询文件，香港联交所，2014.

[2]白华.内部控制、公司治理与风险管理—一个职能论的视角[J].经济学家，2012，（3）：46-54.

[3]谢志华.内部控制、公司治理、风险管理：关系与整合[J].会计研究，2007，（10）：37-45.

[4]IIA Position Paper:The Three Lines of Defense in Effective Risk Management and Control [M].USA：The Institute of Internal Auditors，2013.p5.