企业风险管理整合框架阶段：优化方案

自《COSO报告》发布以来，《内部控制——整合框架》已经被世界上的许多企业所采用，但理论界和实务界也纷纷对该框架提出改进建议，认为其对风险强调不够，使得内部控制无法与企业风险管理相结合。

2001年12月，安然公司突然申请破产保护，此后上市公司和证券市场丑闻不断，特别是2002年6月的世界通信公司会计丑闻，更是彻底打击了投资者对资本市场的信心。

针对安然、世通等财务丑闻及一系列上市公司等财务欺诈事件造成的美国股市危机，2002年7月，美国国会通过了《萨班斯-奥克斯利法案》，该法案是一部涉及会计职业监管、公司治理、证券市场监管等方面改革的重要法律。由于该法案在颁布时没有提出具体的适用豁免条件，这意味着所有在美国上市的公司，包括在美国注册的上市公司和在外国注册而于美国上市的公司，都必须遵守该法案。《萨班斯法案》完善了当时美国法规在处理虚假财务报表、虚假财务审计、销毁财务证据等方面的规定。《萨班斯法案》强调了公司内部控制的重要性，从管理层、内部审计及外部审计等几个层面对公司内部控制做了具体规定，并设置了问责机制和相应的惩罚措施。《萨班斯法案》404条款明确指出公司管理层对建立和保持完整的财务报告有关的内部控制系统所负有的责任，并要求管理层在财务年度期末对公司财务报告相关的内部控制体系做出有效性的评估，会计师事务所的审计师需要对管理层所做的有效性评估发表意见。(www.xing528.com)

2004年9月，COSO在借鉴以往有关内部控制研究报告的基本精神的基础上，发布了《企业风险管理——整合框架》，风险管理是由董事会、管理层和其他人员实施的，应用于战略制定并贯穿于企业之中，旨在识别可能影响主体的潜在事项、管理风险，以使其在该主体的风险容量之内，并为主体目标的实现提供合理保证的过程。由此，将内部控制上升到了全面风险管理的高度。全面风险管理包含八个相互关联的要素，这些要素来源于管理层管理企业的方法，并与管理过程合成一个整体。这些要素包括：内部环境，目标设定，事项识别，风险评估，风险应对，控制活动，信息与沟通，监控。在风险管理整合框架中，这八个要素为企业的四类目标服务，企业的各个层面都要坚持四类目标，每个层而都要基于八个要素进行风险管理。根据COSO的这份研究报告，内部控制的目标、要素与组织层级之间形成了一个相互作用、紧密相连的有机统一体系。同时，《ERM框架》对内部控制要素进行了进一步细分和充实，使内部控制与风险管理日益融合，拓展了内部控制。