在眾多企業中，特別是跨國上市的大型央企公司，在日常經營管理過程中，除了企業自身需要一些管理工具協助管理之外，還要滿足眾多監管部門的監管要求。如果多種管理工具獨自應用，就會出現“兩張皮”甚至“多張皮”現象，不僅浪費時間、耗費資源，還會增加企業的經營“風險”。如能將這些管理工具有機融合，實現統籌兼顧、流程簡化，就可以大大提升管理效率，促進企業平穩有序、創新發展。本文通過對企業的三標管理體系、內部控制管理體系及全面風險管理體系進行有機融合的可行性進行分析，從理論角度、運作程序、共同目標角度論述其融合的理論基礎和現實意義，以期實現企業高效運行、資源共享和可持續發展。

 

 

    三標管理體系簡單地說就是基于質量管理體系（QMS）、環境管理體系（EMS）、職業健康安全管理體系（OHSAS）三個管理體系的管理原則、體系結構、總體要求一致并且相融合，因此由三個管理體系整合而成的一個管理體系。企業可根據自身的具體情況，依據3個管理體系的要求，建立適合自己的三標管理體系。但要注意的是，三標管理體系并非3個管理體系的簡單疊加，而是一個有機融合體，因為三個體系各自關注的目標不同，要求控制的要素也不盡相同。

 

    作為跨國企業開展國際性業務，都要遵循相關體系標準。企業遵照三標管理體系要求，采用過程方法，運用標準提供的管理思想和管理體系運行的最基本要素通過規范工作流程，對企業圍繞提供合格產品、持續改進績效等各元素進行具體地組織和協調，并通過策劃、控制和改進，達到為顧客（社會）負責的目的。

 

 

    企業內部控制基本規范是財政部、證監會等五部委依據國家法律法規制定的，并且屬于上市企業要強制執行的規范。旨在保證企業管理合法合規、保障資產安全、實現企業財務報告及相關信息真實、完整，提高企業經營效率和效果，最終實現發展戰略。

 

 

    中央企業全面風險管理指引由國資委制定，是中央企業全面開展風險管理工作的指導文件，旨在通過對未來的不確定性進行識別、評估及應對，降低企業實現目標的風險，實現經營收益最大化。全面風險管理體系要求主要負責人要親自抓，層層落實，確保企業持續穩定健康發展。

 

 

風險管理體系與內部控制管理體系的共同點

 

    風險管理體系和內部控制管理體系從理論角度來看，兩者都是為戰略目標服務。從實際運作角度來看，兩者在日常工作中的融合體現為，用完善的內部控制制度去控制日常工作風險事項的發生，或要求針對重大風險事項制定應對方案，來達到控制成本、實現戰略目標的目的。諸多企業包括上市公司都將風險管理和內部控制進行相互融合。而健全內部控制機制是防范企業風險的重要保障，對于提升管理水平同樣具有十分重要的作用。

 

三標管理體系與內部控制管理體系的共同點

 

    從實現預期目標角度來看，兩者都是通過建立一套內部體系，并加以控制，通過檢查并持續改進，規范企業管理，提高管理水平，從而高效地實現企業各項發展目標。

從理論角度和實際操作的過程來看，兩者都要求建立一套管理體系，均在既有的管理模式的基礎上，對既已存在的體系進行梳理、補充、修訂，持續優化其規范性（標準化）、操作性及可評價性，第三方可獨立根據要求進行外部評價；兩者還要求有專門的歸口部門采取定期及不定期的監督檢查，這一行為在三標管理體系中稱為內審、管理評審，在內部控制管理體系中稱為內部控制自我評價；兩者都要將檢查結果向第三方披露，三標管理體系要將內審、管理評審的報告向外審機構進行披露，內部控制體系是否有效運行要接受會計師事務所的審計，并出具審計報告，并披露給證監會及股東。

 

三標管理體系與風險管理體系的共同點

 

    從理論層面來看，兩者“風險”的定義相似。風險管理體系中對風險的定義為，風險是對預期結果不確定性的后果。是指在公司發展過程中，各種不確定性對公司實現其經營目標的影響，包括純粹風險（只帶來損失一種可能性）和機會風險（帶來損失和盈利的可能性并存）。
 

    2015年9月份換版的新標準中主要變化之一，就是ISO 9001新標準用系統的方法關注風險，增加了“基于風險的思想”，即風險是“不確定性的影響”（注：影響是指偏離預期，可以是正面的或負面的）。“明確提出確定風險和機會應對措施的要求”。“基于風險的思想”和“應對風險的措施”體現了“預防措施”的概念，通過基于風險的方法，積極地尋求改進機會。

兩種管理體系都是將風險管理嵌入管理（組織）的過程，確保實現期望的結果。通過對風險的管理得到有效管控，防止非期望結果的出現；通過執行風險管理基本流程，制定并執行的規章制度、程序和措施，確保將風險控制在與總體目標相適應并可承受的范圍內，將應對風險的措施融入到管理（組織）過程中并予以實施。

 

 

    內部控制管理體系與全面風險管理體系的融合，從實際運作角度來看，目前諸多企業包括上市公司也都已經實施。其直接目的就是針對公司的業務流程，分析內控現狀，找出各業務的風險點、控制點及檢查點，建立相關控制制度，通過企業內部監督，對過程中發現的控制缺陷分析性質和原因，提出整改方案并進行及時整改，同時接受外部審核，最終達到確保企業運營的效率和效果、財務報告的可靠性和遵守適用的法律法規，實現對股東負責，這是對上市公司的強制性管理要求。

 

    內控管理體系重在風險點的識別，特別關注決策、投資和運營中的風險控制，通過風險識別確定重點監控點，并通過流程、程序和制度加以管理和控制，達到風險控制的目的。企業管理者都意識到健全內部控制機制、是防范企業風險的重要保障。

 

    內部控制管理體系與三標管理體系的融合，體現在工作的基本程序和方法基本相同，二者都要履行相關的程序。

 

    三標管理體系相關程序包括：組織員工培訓、建立適宜的規章制度、制定程序文件（含作業指導書）、過程控制（記錄）、內審（持續改進召開評審會）、外審（出具審核結果）。

 

    內部控制管理體系包括：制定評價工作方案、組成評價工作組、組織評價前的工作組的培訓、實施現場測試、認定控制缺陷、匯總評價結果、編報評價報告等環節。

 

    不難看出，兩種管理體系的工作內容實質相近，只是名稱略有區別。

 

    內部控制管理體系與三標管理體系的融合，就覆蓋范圍而言，內部控制管理體系的覆蓋范圍略大于三標管理體系。在公司層級方面，三標管理體系一般只覆蓋一個獨立法人，限于公司本級，內部控制管理體系除公司本級外，還覆蓋納入上市范圍的下屬子公司或業務部門。在人員方面，三標管理體系覆蓋的是經理層至普通員工，內部控制管理體系覆蓋的范圍是董事會、經理層至普通員工。在產品范圍方面，由于內部控制管理體系覆蓋公司本級及下屬公司及業務部門，其范圍是公司各項管理活動中與風險控制相關的一切業務流程的各個環節，略大于三標管理體系只覆蓋公司本級的管理活動。

 

    綜合以上管理體系的特點進行分析，只要依據有關法律、法規、標準，結合行業和企業特點，建立并實施統籌兼顧的一整套管理體系，就可以避免“多張皮”的重復勞動。
 

    三標管理體系文件中大部分可以作為內部控制管理體系文件的組成部分，建立一套同時滿足三者要求的統一的管理制度，對重合的部分，應順次依照要求較高的條款建立制度，實施管理，并同時滿足相關方的要求，這部分的管理制度三方共用，對非重合的部分，應根據各自管理體系的要求單獨建立控制制度并實施監督。

 

 

    在企業的日常管理中，整合多種管理體系一體化的思路是，以企業為整體，以戰略為目標，將組織中所有資源和活動按照過程方法重新整合成一體的一種管理體系模式。在為一體化管理體系建立制度或條款時，采取就高不就低的原則，表面上看過于嚴格，且需要投入資源較多，但是就企業發展而言，新的高標準結構適用于所有管理體系標準，當企業開始了解并體會到不同的管理體系在同一種結構下的價值時，真正的受益者是企業。

 

    集約資源，一體化管理不僅是企業充分發揮自身整體效能的前提，同時也能滿足相關的法律法規、國家標準以及其他相關方監管要求，履行應盡的經濟責任、社會責任和政治責任，這樣才能更好地保障戰略目標的實現。

 

    企業在優化配置管理資源的基礎上，通過吸收整合、總結提煉、豐富擴展而形成以過程為基礎、以企業為整體的管理體系，形成策劃、實施、檢查和改進的持續優化的良性循環，用以規定和指導企業經營過程的管理活動，實現企業可持續發展。