2、内控基础概念：COSO框架、内部控制五要素、内控与风险管理的关系

拟上市企业的内控体系建设，首先需要回答三个根本问题：内控到底是什么？它由哪些部分组成？它和风险管理是什么关系？这三个问题的答案，构成了企业内控体系设计的逻辑起点。如果基础概念不清，后续的流程梳理、制度编写、测试评价都会失去方向。本章将围绕COSO框架的演进、内部控制五要素的实务内涵，以及内控与风险管理（ERM）的边界与协同展开，帮助学员建立一套可落地的概念框架。

2.1 COSO框架的演进与核心逻辑

核心原理：COSO（Committee of Sponsoring Organizations of the Treadway Commission）框架是全球内部控制领域最具影响力的参考标准。1992年发布的《内部控制——整合框架》首次定义了内部控制的三大目标和五要素，2013年修订版进一步明确了17项原则，2017年发布的《企业风险管理——整合战略与绩效》则将风险管理从“防御性控制”提升为“价值创造工具”。对于拟上市企业而言，理解COSO框架的演进，有助于避免将内控简单等同于“一堆制度文件”，而是将其视为支撑企业战略落地的管理基础设施。

判断方法：拟上市企业在选择内控标准时，应优先以COSO-IC（2013）为合规底线，同时借鉴COSO-ERM（2017）的风险视角。具体操作上，企业应首先对照17项原则进行差距分析，识别哪些原则尚未落地，再结合自身业务特点确定优先级。例如，一家制造业企业可能“控制环境”中的“诚信与道德价值观”已经较好，但“风险评估”中的“舞弊风险评估”存在明显短板，此时应优先补足该环节。

2.2 内部控制五要素的实务内涵

核心原理：五要素是一个相互关联的有机整体，而非五个孤立模块。控制环境是“土壤”，风险评估是“雷达”，控制活动是“抓手”，信息与沟通是“神经网络”，监督是“免疫系统”。拟上市企业在搭建内控体系时，必须从五要素的联动视角出发，避免“重控制活动、轻控制环境”的常见偏差。

2.2.1 控制环境（Control Environment）

控制环境是其他要素的基础，包括治理结构、董事会与审计委员会的独立性、管理层的经营理念、组织架构的权责分配、人力资源政策等。对于拟上市企业，控制环境的核心是“三会一层”的规范运作。例如，某拟IPO企业曾因董事会下设的审计委员会从未实际召开会议，被保荐机构认定为内控缺陷，导致申报进度延迟。

2.2.2 风险评估（Risk Assessment）

风险评估要求企业系统识别、分析实现目标过程中可能发生的风险，并决定如何管理这些风险。拟上市企业应重点关注财务报告舞弊风险、收入确认风险、关联交易风险、资金占用风险等。实务中，企业应建立风险清单，按“可能性×影响程度”进行排序，并针对高风险领域设计控制措施。

2.2.3 控制活动（Control Activities）

控制活动是确保管理层指令得以执行的政策和程序，包括授权审批、职责分离、财产保护、绩效考核、对账复核等。拟上市企业最常见的控制活动缺陷包括：出纳兼任银行对账、采购与验收由同一人负责、系统权限未定期审阅等。这些看似“小事”的问题，往往成为IPO审核中的“硬伤”。

2.2.4 信息与沟通（Information & Communication）

信息与沟通要求企业建立有效的信息收集、处理和传递机制，确保员工了解自身在内控中的角色和责任。拟上市企业应特别关注财务报告信息的准确性、及时性，以及内外部沟通渠道的畅通性。例如，销售部门与财务部门对收入确认时点的理解不一致，可能导致财务报告错报。

2.2.5 监督（Monitoring Activities）

监督包括持续监控和独立评价。持续监控嵌入日常经营活动中，如管理层定期审阅经营报告、系统自动校验异常数据；独立评价则通过内部审计、自我评估等方式进行。拟上市企业应建立内控缺陷的认定、记录、整改和复评机制，确保发现的问题能够闭环解决。

2.3 内控与风险管理的关系

核心原理：内部控制与风险管理既有重叠又有区别。从范围看，内控更侧重于对既有业务流程的规范和控制，而风险管理则涵盖战略制定、风险偏好设定、机会识别等更宏观的层面。从目标看，内控的三大目标是经营效率、财务报告可靠性和合规性；风险管理的目标则包括战略达成和价值创造。从关系看，内控是风险管理的基础和手段，风险管理是内控的延伸和升华。

判断方法：拟上市企业应建立“内控为基、风险为纲”的双层架构。具体操作上，企业可以设立风险管理委员会（或由审计委员会兼任），负责重大风险的识别与应对；同时，内控部门负责将风险应对措施嵌入业务流程。例如，针对“原材料价格波动”这一风险，风险管理层面应制定套期保值策略，内控层面则应建立期货交易的授权审批和止损机制。

2.4 常见误区与总结复盘

常见误区一：认为内控就是“建制度、写手册”。实际上，制度文本只是内控的载体，真正的内控是“流程+系统+人员+监督”的有机结合。某企业编制了300页的内控手册，但实际执行中仍存在大量“有章不循”现象，最终在内控审计中被出具否定意见。

常见误区二：认为五要素可以“分步实施”。五要素是一个整体，控制环境薄弱时，即使控制活动设计得再完善，也可能因管理层凌驾于内控之上而失效。拟上市企业应同步推进五要素建设，而非按顺序“先做控制环境，再做风险评估”。

常见误区三：混淆内控与风险管理的边界。内控不能替代风险管理，风险管理也不能替代内控。例如，企业识别出“汇率波动风险”后，如果只制定对冲策略而不建立相应的内控流程（如衍生品交易的审批、记账、复核），则风险管理的效果将大打折扣。