一次特殊的讨论

内控规范一周年的特殊时点，政、企、学三方对“逆境时期的内控”展开了一次大讨论。

稳步推进

2008 年6 月由五部委联合下发了《企业内部控制基本规范》，到今年6月刚好一周年，内控规范及其三个指引的实施，也在稳步推进中。

2009 年5 月13 日，在由《新理财》杂志社主办、优财智业协办的“逆境时期的内控之道”的主题沙龙上，财政部会计司副巡视员李玉环透露，“目前财政部正抓紧制定相关的三个配套指引――《企业内部控制应用指引》、《企业内部控制评价指引》和《企业内部控制审计指引》，以形成中国特色的企业内部控制规范体系。

据李玉环介绍，在基本规范之后，与其配套的三个指引，财政部一直在征求意见，目前处于修改完善之中。对于《企业内部控制应用指引》，将在原来征求意见稿的基础上，对一些项目作适当地调整，如增加了内控环境方面的内容。“评价指引”主要是对评价的方法、内容、标准和评价报告做出一些具体规定。另外，“鉴证指引”改为“审计指引”。

在李玉环看来，内控规范的实施，需要考虑其实施的外部环境。在当前的世界性金融危机的背景下，需要多方面通盘考虑。

此外，还必须考虑到企业实施内控的成本问题。内部控制建设是对企业业务流程的再造，涉及到岗位和流程地调整，涉及到内部管理制度地修订与完善，有的可能还需要聘请咨询公司提供内部控制咨询服务，需要一笔不小的成本。

从执行层面看，内控规范和配套指引只是为企业完善内部控制提出一个基本要求，内部控制是一个过程，每个企业还要根据自己的实际情况逐步完善，不断提高。

或将推迟

去年我国《企业内部控制基本规范》后，随着国际金融危机的深化和蔓延，国际经济形势和国内经济状况发生了很大的变化。由此对《企业内部控制基本规范》实施时间，需要有关方面重新审视。

《企业内部控制基本规范》相应的三个配套指引，目前尚未。另外，企业实施《企业内部控制基本规范》，也需要一定的培训和准备时间，需要进行相应的准备工作。据有关人员分析，推迟《企业内部控制基本规范》的实施时间，或许是相关部门需要或正在考虑的问题。

中国社会科学院公司治理中心主任鲁桐因工作关系接触了很多公司。据她介绍，从公司操作层面来说，在当前的情况下，推迟是必要的，也是受企业欢迎的。

实际上，企业实施内部控制面临着时间上的压力，如何在短时间内使企业内部控制能够达到现有规范的标准和要求，尤其是上市公司，达到信息披露的要求，确实还有很多工作要做。中国福马机械集团公司总会计师薛贵表示，如果推迟，无论是对于企业还是监管者，甚至是对注册会计师来说，都是一个务实而且周到的调整。

从国外的经验来看，一些大型企业实施内部控制的准备时间一般都在两年甚至两年以上。即从目前到推迟后企业出具内部控制自我评价报告的截止日还有近两年的时间。

并不是所有企业都对推迟持欢迎态度。也有企业对尽早推出指引表示期待。一方面，如果没有指引，让公司自己摸索，第一是慢，第二容易走弯路。另一方面，有些企业已经在海外上市，担心两个指引有差距，再重做一遍，成本就高了。

建言“指引”

事实上，内控虽在时间上有可能推迟，但企业对内控的要求却在提速，特别在应用指引方面。

“我个人殷切地期待财政部更快出台应用指引，为企业加强内部制度建设提供可操作性的支撑。”薛贵说。

中国钢研科技集团公司副总会计师李连清更是直接呼吁道：“应用指引是为企业所用的，企业在运营中期待出台的也就是这个！当然要一下子推出非常完美的内部控制应用指引，确实难度非常大。但可以根据成熟程度和需求的迫切程度逐渐推出。比如先出台争议不大的，以及同目前防范金融危机比较贴近的内容。这也符合科学发展观的要求，科学嘛，就是实事求是，就是按规律办事”。

但应用指引的出台存在客观难题。企业的情况千差万别，如果指引太细，反而约束了企业的内控发展。

而内容太虚也不行。普华永道系统与流程管理合伙人季瑞华从事务所的角度谈了他遇到的问题，“指引内容太虚，企业不知道如何实施，而事务所也因缺乏客观的标准难进行审计”。

李连清则建议，还是弄点真东西在里面。“最好结合咱们内部控制的几个目标，当然内部控制目标还要分出层次来。首先保证查错防弊，保证信息真实，这是最低的目标，也就是每个人都要做到的。至于说要提高效率的方面，甚至价值创造的时候，那就是作为一个更高层次的要求，可以作为一个选择性的或者自愿性的要求。所以我们在制定应用指引的时候，就要明确哪些具体的指引必须是强制性的，哪些是选择性规范”。

不仅要快，内控还应扩大范围。薛贵认为：“我觉得中国的内控准则应该更高远一些，因为从长远的角度来看，内控不仅要解决财务报告控制，还要更多地关注企业的内部运营和流程控制，并兼顾公司治理的控制。所以内控体系可以走一个多元目标的架构”。

无论如何，即便推迟，内控已成为现实需求。季瑞华特别提醒道：“企业现在关注的是金融危机下如何生存，但不应该为了灵活应对眼前的危机而抛开制度，放松管理，这样反而增加风险。所以，企业可以适当地考虑内部控制工作的成本效益，但不应该放松对内部控制的关注”。

中国铝业股份有限公司内审部副总经理戴锡宝更是态度鲜明：“内控就像吃饭一样，每天吃饭才能保证有能量，内控肯定是要不断地去做的”！

内控之核

内部控制，到底控什么？这是内控规范试图回答的问题，也是内部控制的核。

在李连清看来，内部控制的定位非常重要，但是内部控制范围太广，什么都包括，这也是推动难度很大的原因。所以我们内部控制的定位上到底管理什么东西，恐怕还需要梳理一下。

的确，“内控现在是一个说得清楚，又说不清楚的东西，很难界定”。

而在本次沙龙上，内控之核更加清晰起来：内控一是控制风险，二是提高效率并创造价值。内控不仅是一种方法和工具，而且是一种规范和文化。

由此，内部控制和风险管理在中央企业可能“打架”的问题也就好解决了。李连清说：“到底内部控制和全面风险管理怎么协调，这是一个很现实的问题。关于二者的关系有很多种说法，但从内控发展的历程看，全面风险管理是内部控制发展的高级阶段。另外，从企业内部控制的目标来看，控制风险是内部控制的一个目标，同时内部控制又具有创造价值的功能，如果从这个意义来讲，我觉得说内部控制包括全面风险管理是没有问题的。但至于谁包含谁，我认为并不重要，重要的是要对企业有用”。

但众多的企业老总客观上一直在“质疑”：内控对我们企业有什么价值？

李连清解释道：“因为内部控制的收益是间接的，是隐性的；但是内部控制的费用、成本却是直接的，是显性的。就像平常看病吃药，那是很有效果的，但是锻炼身体就看不出来这个效果，起码短期内看不出”。

企业还很难把握内部控制建设的成本效益的原则。薛贵说，内部控制是一个长期的过程，目前的投入很难在短时间内产生巨大的效益，不能立竿见影。所以推动企业实施内控，需要政府部门给予政策支持。

鲁桐认为，风险控制主要目标还是要能够服务于企业，而不是给企业带来负担。所以，主管部门落实和检查内控必须要考虑成本。

人是内部控制的核心之一。中国的许多企业是人治而不是法治，而且实施内控的关键是企业领导要对此有足够的重视。但内控主要控制的是领导人的行为，他们会觉得因此而被控制是件很难受的事。

“因此，人力资源的培训就显得格外重要，而且要实用化，进一步推进企业制度建设和体系建设，而不是停留在重要性和理念上。”鲁桐说。

常州天合光能有限公司内控部经理张征炬则认为，内控的核心价值一是在于合规，另外，就是风险管理，他同时特别强调关键性的控制。

张征炬说，控制环境非常重要，特别是一个公司的组织架构、战略目标、绩效考核、人力资源政策等，都是属于内控比较关注的层面。因为如果这个层面做得不好，根本就谈不上流程方面的控制。

还有一点，内控规范中没有提IT 控制，大型IT 系统对于整个控制体系其实是一个非常重要的工具，把内控与IT系统有效地结合起来，是未来发展的趋势。

对企业而言，落实内控规范确实不容乐观。鲁桐通过连续五年对中国上市公司百强的公司治理进行研究认为，目前存在落实的障碍，比如基础方法和工具模块的问题。内控毕竟涉及很多具体的方面，从经营风险到财务风险到合规。光经营风险就涉及十多个方面，所以需要使用具体的工具模块和方法论。

当然也有人认为，内控实施的关键是要渐进式推动。“从当前企业的实际情况看，企业实施内部控制尚有很大压力，”薛贵指出。

“压力”之下，焉有完卵。渐进式推动内部控制，似乎成为合理的选择。据此，薛贵建议：“内部控制报告的披露应先易后难，先简后繁，合理地划分自愿披露和强制披露的内容”。

而在具体实施策略上，戴锡宝建议：“要把对内控的检查及其审计放在后面一点，我觉得这样更好。这样给企业提供一个机会，它首先做这个事，然后再去考虑怎么接受检查，如果单纯地考虑为通过检查才做，那这个价值取向就有问题了。”

李连清也强调了关于推进内部控制的步骤及技巧。如果过于强调实质的要求，那么推动的时候就很难。所以推动的时候要注重先有形式后有实质。有些体制方面的要进行规范，再慢慢提高质量。

“我认为全面风险管理中最大的风险就是，太强调风险了，最后就导致什么都不敢干了。同样，内部控制过于强调控制那就没有发展了。” 李连清笑谈道。

评价难题

据了解，对内控审计目前有三种观点：一种观点是对企业内控的全面审计；一种观点就是对财务报告相关的内控进行审计，首先，企业要对外披露报表，内控对报表的真实性和可靠性提供一个支撑，财务报告的内控审计可以说大致跟美国萨班斯法案的做法一样；还有一种观点就是，对管理层能出具的内控声明进行审计，法国目前采用这种做法。

季瑞华认为，基本规范提出一个有效的内部控制体系所需要包括的要素，对企业来说，要满足基本规范并不意味企业要重新建设，而是需要考虑企业自身的条件和需求，在现有的管理基础上进一步完善。

要建立一个满足基本规范要求的内控体系需要决策层、高管层的推动。管理层要对内控体系及其有效实施全权负责，要成立一个专门机构或指定专门机构来做监督工作，建立评价机制并执行自我评价，对内部控制有效性做一个自我评价和年度报告。

“要对内部控制评价有效还是无效，我们曾经觉得很为难。”戴锡宝说，“我们的财务报表相关内部控制是有效的，因为确实可以验证。但战略目标是否有效就不敢说，因为没法查证这个东西，也没有办法落实，显然不能说战略实现了50% 的增长就是有效的，而40% 的增长就是无效的”。

“内控的自我评价工作最大的危险在于，不应该仅仅依赖于一个年度的工作，并以此作为一个评价的基础，不然，会出现鼓励两张皮的情况。”季瑞华如是表达。

季瑞华说：“很多企业所存在的问题不是通过外审或是自己的年度管理层评价发现的，因此管理层应该充分考虑从年度内控评价工作以外的其他渠道掌握管理上的问题，使企业可以对存在的内控问题进行全面、客观的评价。”

谈到内控审计，季瑞华表示，内部控制理论上覆盖战略、合规、经营的效率效益、财务报告的真实完整和资产安全等控制目标。但从审计的角度，必须明确审计的范围，确保审计工作可以对所发现的问题进行客观地评价。

戴锡宝也认为，评价非常重要，通过突出评价反过来会促使企业加强内控。

季瑞华指出，一直以来，内控审计的重点是在于财务报告相关的控制领域，而评价相关问题的重要性指标也存在行业通用的计算方法，因此，管理层与审计师可以相对客观地去分析所发现的问题对企业的重要性。但对于财务报告以外的领域，制定一致、可量化的评价指标仍然是一个难题。因此，我们需要在这个领域作更深入地探讨和研究。