三、内部控制框架：COSO框架、中国内控规范体系、ERM整合框架
内部控制框架是企业在设计和运行内控体系时的“底层操作系统”。无论是上市公司、国有企业还是快速成长的民营企业，内控建设的第一步都不是急着写制度，而是先选对框架、理解框架、映射框架。当前全球范围内最具影响力的三大体系分别是：美国COSO委员会发布的《内部控制——整合框架》（2013版）、中国财政部等五部委联合发布的《企业内部控制基本规范》及配套指引，以及COSO于2017年发布的《企业风险管理——整合框架》（ERM 2017）。三者并非互相替代，而是层层递进、互为补充的关系。理解三者的定位、结构与应用场景，是内控设计者必须迈过的第一道门槛。
上图展示了三大框架的定位与演进关系。需要特别强调的是，COSO内控框架是“地基”，中国内控规范体系是“本土化标准”，而ERM整合框架则是“上层建筑”。企业在实际建设中，不应将三者割裂，而应将其视为一个连续的光谱：从满足合规底线，到优化业务流程，再到支撑战略决策。
3.1 核心原理：三大框架的底层逻辑与结构
理解三大框架，首先要抓住各自的“骨架”与“灵魂”。
| 对比维度 | COSO内控框架（2013） | 中国内控规范体系 | ERM整合框架（2017） |
|---|---|---|---|
| 发布机构 | 美国反虚假财务报告委员会（COSO） | 财政部、证监会、审计署、银监会、保监会（五部委） | 美国COSO委员会 |
| 核心目标 | 合理保证财务报告可靠性、经营效率效果、合规性 | 合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略 | 将风险管理融入战略制定与绩效管理，提升价值创造能力 |
| 要素结构 | 控制环境、风险评估、控制活动、信息与沟通、监督（五要素） | 内部环境、风险评估、控制活动、信息与沟通、内部监督（五要素） | 治理与文化、战略与目标设定、绩效、审阅与修订、信息沟通与报告（五要素+20项原则） |
| 适用边界 | 以财务报告内控为核心，兼顾经营与合规 | 覆盖企业所有业务与管理活动，强调全面性与强制性 | 从企业使命/愿景出发，贯穿战略、经营、报告与合规四大类目标 |
| 强制性 | 美国SOX法案强制要求上市公司遵循 | 中国上市公司、国有企业、IPO企业强制实施 | 非强制，属于最佳实践指南 |
从结构上看，COSO内控框架的“控制环境”是其他要素的基础，类似于建筑的“地基”；中国内控规范体系在要素划分上与之高度一致，但更强调“内部环境”中的组织架构、发展战略、人力资源、社会责任和企业文化等具体落地维度；而ERM框架则将“风险”从“控制的对象”提升为“管理的资源”，强调风险与战略、绩效的联动。
3.2 判断方法与操作流程：如何选择与落地框架
企业在选择框架时，不能盲目照搬，而应根据自身发展阶段、监管要求和战略诉求进行判断。以下是具体的操作流程：
- 第一步：识别合规底线——如果企业是A股上市公司、国有企业或准备IPO，则必须遵循中国内控规范体系，完成内控自我评价报告和审计报告。
- 第二步：评估管理成熟度——如果企业已经完成基础内控建设，且面临复杂的战略风险（如海外并购、新业务拓展），则应在合规基础上引入ERM框架，建立风险偏好与风险容量指标。
- 第三步：映射现有制度——将企业现有的制度、流程、权限表与所选框架的要素进行逐一映射，找出“空白区”和“重叠区”。
- 第四步：设计内控矩阵——以业务流程为主线，将风险点、控制措施、控制频率、控制证据、责任岗位填入矩阵表，形成可审计、可执行的内控文档。
- 第五步：建立持续评价机制——每年至少进行一次内控自评，结合审计发现的问题，更新控制措施。
3.3 案例拆解：某制造业集团的内控框架整合实践
某大型装备制造集团（以下简称“A集团”）年营收约80亿元，旗下拥有3家上市公司和多家非上市子公司。2019年，A集团在证监会检查中被指出“内控体系与战略脱节、风险信息传递滞后”等问题。集团管理层决定重新梳理内控框架。
初始现象与目标：A集团此前完全按照中国内控规范体系建立了制度汇编，但各子公司执行力度不一，且集团层面缺乏对海外业务（如东南亚工厂）的风险监控。集团的目标是：在满足合规底线的前提下，建立一套能支撑“十四五”战略（海外扩张+数字化转型）的内控与风险管理体系。
关键输入数据与约束：
- 集团内控自评得分平均78分，但海外子公司仅62分；
- 近两年发生3起海外应收账款坏账事件，合计损失约4200万元；
- 集团IT系统存在“数据孤岛”，ERP、CRM、SRM系统间未完全打通；
- 约束条件：必须在6个月内完成框架切换，且不能影响正常生产经营。
分析判断过程：集团内控部与外部咨询顾问联合诊断后认为，单纯依赖中国内控规范体系无法解决“战略风险”问题，因为该体系更侧重于财务报告和合规目标。因此，决定采用“双轨并行”策略：
- 合规轨：继续遵循中国内控规范体系，完善18项应用指引中的关键流程（如资金活动、采购业务、销售业务、资产管理等）；
- 管理轨：引入ERM框架的“战略与目标设定”和“绩效”要素，将海外投资风险、汇率风险、供应链中断风险纳入集团风险偏好管理。
实际操作步骤：
- 成立由集团CFO牵头的“内控与风险管理委员会”，下设办公室；
- 将COSO 2013的17项原则与中国内控规范的五要素进行映射，形成《A集团内控要素对照表》；
- 针对海外业务，设计“风险仪表盘”，设定风险偏好指标（如海外应收账款逾期率不超过8%、汇率损失占海外收入比例不超过2%）；
- 在ERP系统中嵌入控制点，例如：海外客户信用额度超过500万元时必须由集团财务总监线上审批；
- 每季度召开风险审阅会，将内控缺陷与绩效考核挂钩。
结果对比与复盘：实施一年后，A集团内控自评得分提升至89分，海外子公司得分提升至81分；海外应收账款逾期率从12%降至6.5%；汇率损失占比从3.1%降至1.8%。更重要的是，集团管理层在年度战略复盘时，能够直接调用风险仪表盘数据，而非依赖事后报告。
3.4 常见误区与总结复盘
在辅导企业内控建设过程中，以下误区最为常见：
| 误区 | 表现 | 后果 | 正确做法 |
|---|---|---|---|
| 框架迷信 | 认为导入COSO或ERM就万事大吉 | 制度文件精美，但业务部门不执行 | 框架是工具，必须转化为岗位职责和系统控制 |
| 合规至上 | 只关注财务报告内控，忽视经营和战略风险 | 重大经营风险未被识别，如供应链中断 | 平衡财务合规与经营效率，建立全面风险清单 |
| 要素割裂 | 把五要素当成五个独立模块分别建设 | 控制环境薄弱，风险评估流于形式 | 以“控制环境”为根基，各要素联动设计 |
| 静态建设 | 内控体系建成后长期不更新 | 业务变化后控制失效，出现新风险敞口 | 建立年度评价与动态更新机制 |
总结复盘：本章的核心在于建立“框架思维”。COSO内控框架是国际通用的“语言”，中国内控规范体系是本土合规的“标尺”，ERM整合框架是战略落地的“导航仪”。企业在实际工作中，应首先确保满足中国内控规范体系的强制要求，再以COSO原则优化控制细节，最后根据战略复杂度决定是否引入ERM。记住：框架是地图，不是终点；真正的内控能力体现在流程的每一个控制点上，体现在每一次风险研判中，体现在管理层对“控制与效率”平衡的智慧里。