2.3 实务案例：XGM风险管理导向的内部控制体系的构建历程

（一）内控建设流程

XGM集团股份有限公司（以下简称XGM或公司）是国有控股上市公司，始建于1980年，现已拥有供应链管理、房地产经营和金融服务三大核心业务。

（1）构建动因

由于公司从事的行业跨度较大，经营的产品众多，异地投资项目不断增加，在风险管理方面存在着巨大的挑战。在供应链管理方面，大宗贸易业务具有占用资金量大、货权管理难、利润低、交易风险大等特征；在房地产经营方面，这类业务不仅受国家政策和市场行情的影响，还面临着工程质量、合同履约等经营风险；对于金融服务业务而言，风险管理更是其生存之本，无论是期货、担保、抵押还是委托贷款，所有业务都和风险息息相关。为了加强风险管控，公司提出了更高的内部控制需求。因此，构建以风险管理为导向的内部控制体系，成为公司发展的必然要求。

（2）构建过程

XGM从2007年开始构建风险管理导向的内部控制体系，经历了以下3个阶段。

第一阶段是从2007年至2008年，内部控制体系初具雏形。2007年，以企业资源计划（Enterprise Resource Planning, ERP）项目上线为契机，公司对贸易业务和职能管理的现有流程进行业务流程重组，并由内部控制部与审计部牵头，编制内部控制手册。

第二阶段是从2009年至2011年，内部控制体系持续得到改进，风险信息得到量化动态监控。公司除了对地产、物流的业务流程进行梳理，还对第一阶段已经梳理完毕的贸易业务和职能管理的现状进行再次诊断。同时，公司对风险信息进行量化处理，构建风险预警体系。

第三阶段是从2012年开始至今，内部控制体系已覆盖整个公司。首先，在新一轮战略指引下，金融服务板块成立，其业务流程梳理和内部控制手册编写工作也随之展开。其次，由于2012年宏观环境发生变化，贸易板块案件频发，供应链板块的各大产品中心也在自主加强内部控制管理，公司在已梳理的流程上制定了更为细致的流程规范。

（3）构建效果

在健康发展的内部控制体系下，公司营业收入和利润稳健增长，多次入选《财富》杂志评选的“中国500强排行榜”及世界品牌实验室评选的“中国500最具价值品牌”，蝉联厦门“年度最佳雇主”称号。

（二）案例分析与研究

从实践层面看，上文按照时间顺序描述了XGM构建以风险管理为导向的内部控制体系的历程；而从理论层面看，成功构建该体系的重要影响因素有以下4个方面。

（1）以业务流程为基础，持续梳理和完善

从上文可以看出，业务流程的梳理贯穿了3个发展阶段。公司坚持以“我”为主、借助外力的原则，通过人员访谈、专题研讨、沟通反馈、资料收集与分析、问题归纳与总结等方法，对业务流程进行诊断。诊断的步骤包括对现有业务流程进行调研、识别风险点和风险程度、描绘业务流程图、分析业务流程存在的主要问题、针对主要问题进行改进。需要注意的是，内部控制体系建设不是一蹴而就的，需要公司持续不断地对业务流程进行完善。

（2）以风险指标为根据，建立风险预警系统

所谓风险预警系统，实际上是向各业务板块收集、汇总相关的数据信息，监控风险因素的变动趋势，并评价各种风险指标偏离预警线的程度，向公司领导发出预警信号并提醒其提前采取对策的系统。XGM的具体做法如下。

第一，成立由董事会风险控制委员会领导的工作小组。小组成员为各事业部的业务骨干，负责研究公司的宏观环境和系统性风险、设计公司的经营管理风险评估体系和控制架构、建立风险预警系统。在各业务板块设立联络人，负责在重大风险事项发生时第一时间通报工作小组成员，于日常经营中定期跟进，形成月报。

第二，构建风险指标体系，提炼各项指标，设置预警区间。公司在设计风险指标时，着重于关键风险控制点，每个业务领域大概提炼5~7个风险指标。风险指标和预警区间均是工作小组在与业务一线人员充分沟通后，根据宏观环境、公司战略目标和实际业务情况进行设计的。风险指标和预警区间设置以后并不是一成不变的，工作小组需根据经营情况及时调整。

第三，由工作小组成员于每月初将风险信息汇总上报风险控制委员会，报告内容包括风险指标是否超过预警区间、相应的对策和建议，并要求相关部门限期改善。

（3）以信息技术为支撑，提高信息与沟通的质量

在ERP系统上线前，公司的贸易业务系统和财务系统是相互独立的，业务信息与财务信息不对称。而ERP系统上线后，公司实现了对资金流、物流、信息流的统一管理，减少了决策风险。公司还在ERP项目二期开发了商务信息仓库分析系统和管理驾驶舱分析系统。BW分析系统能够将分散在不同系统的业务处理连接起来，有利于对获利能力、资源占用、业务控制、费用检查等进行分析。而管理驾驶舱分析系统则构建了公司特有的指标管理体系，其关键指标可从“汇总到明细”“当前到历史”等多个维度进行数据挖掘和预测分析，并形象地通过各种图表及类似驾驶舱的仪表盘，将数据直观地展现出来，为各层级用户提供决策依据。这两个系统的开发进一步加强了公司对ERP系统数据采集的真实性和时效性的管理，有助于风险防范。

（4）以实现全员控制为目标，形成重视风险管理的企业文化

除了公司高层领导不断向员工强调风险管理的重要性以外，各层管理部门均需通过自身工作不断向基层员工传达风险管理的理念。例如，风险管理部对业务部门的日常风险进行管理，对于逾期或保证金不足的合同，第一时间向业务部门发出风险提示，督促业务人员及时催款、催货；经常开展风险警示会，以案例的方式对员工进行培训。

又如，内部控制与审计部将日常审计与内部控制审计相结合，实现内部控制审计工作常态化；注重事前审计，在审计工作中揭示可能存在的风险点；协助和辅导各业务板块制定流程规范和编写内部控制手册，组织各业务部门进行内部控制自我评价工作；根据问责制度，在风险事件发生后，第一时间开展审计工作，追查责任人和事件原因。

公司还应设立一些跨部门的合作小组，除了上文提到的风险预警系统工作小组外，还应有制度梳理工作小组、内部控制自我评价工作小组等。此外，公司可以在各业务板块安排责任心强、有经验的内部控制专员，对一些关键风险点进行把控。