內部控制有哪些風險？

我國企業內部控制基本規范體系采用了ERM的框架，將風險劃分為內部風險和外部風險，并列舉了風險評估中應當關注的諸多因素。《中央企業全面風險管理指引》及其相關評價規定則進一步將風險劃分為戰略風險、財務風險、市場風險、運營風險和法律風險五大類，并且每大類內部又分解為一級、二級和三級風險。

在實務中，很多中介機構也利用風險地圖、風險宇宙、風險清單、風險數據庫等方式，為客戶進行內部控制建設。這種按條塊進行橫向分割的風險管理方法，優點很明顯，可以利用MECE（枚舉分析法）的方式構建完整的風險清單和指標體系。但其缺點也同樣突出，清單中的風險前后之間沒有邏輯關系、不分主次輕重，只見樹木不見森林，導致相關風險不是沒有控制措施就是僅僅列示不具有可操作性的原則控制要求，或者造成為了控制而控制的局面，增加不必要的管理成本。

以銷售活動為例，銷售活動面臨的最大風險是銷售不足（圖1）。銷售不足的原因可能是產品定位問題（戰略風險），也可能是競爭者提供了更具優勢的解決方案（市場風險），或客戶受資金不足而出現的需求不足（運營風險）等。針對客戶資金不足問題，我們可以采取擔保政策，也可以采取信用管理政策。如果采取信用管理政策，則隨之而來的就是如何確定客戶的授信額度問題。如授信過高（財務風險）則會導致后期壞賬和催款成本激增；如授信不足（運營風險），又無法對銷售起到刺激作用，因此，需要一個授信額度的審批程序來規范授信過程。

可見，企業中的任何一項日常經濟活動都是以剝洋蔥的方式，以流程體系層層展開的，其中交織地面臨著諸多不同類型的風險，因此，需要將風險還原到實際的工作環境中去，才能使風險管理更符合控制人員的工作思維，更能為控制人員所理解和實施相關控制。

解決這個困境的方法就是在原有條塊橫向分割的基礎上，再按風險影響的涉及面縱向劃分為：戰略性風險、戰術性風險和操作性風險三個層次。仍以銷售活動為例，銷售不足為戰略性風險；授信不足或過高為戰術性風險；授信審批沒有按照要求執行則為操作性風險。構建自上而下的風險指標體系即符合企業目標管理、績效管理和流程管理的原理，又能通過追蹤至操作性風險來檢查是否所有戰略性風險和戰術性風險都已得到有效控制。

實務中，可以將原有的橫向風險清單作為索引工具，這樣既便于合規性檢查，又便于員工按圖索驥，理解相關風險的具體控制措施及其在整個業務循環中的前后配合協調工作。

從與目標的關系看，戰略目標跟戰略性風險、戰術性風險和操作性風險均相關；除此之外的其他目標，則多與后兩類風險相關。