企业内部控制流程设计原理研究

一、关于内部控制流程设计研究背景的思考

回顾我国的内部控制发展历程，上世纪90年代中期我国《独立审计具体准则》首次明确了“内部控制”的定义，让内部控制问题第一次走进了国内财会理论和实务界的研究视野，而财政部等五部委先后于2008年和2010年联合的《企业内部控制基本规范》（以下简称《基本规范》）和《企业内部控制配套指引》（以下简称《配套指引》），则可视为国内内部控制实践模式从“粗放”向“集约”转型的分水岭，当时高达84%的企业认为内部控制实施的主要障碍源于缺乏具有可操作性和指导性的框架模型，而《基本规范》和《配套指引》的出台恰好为企业的内部控制实践指明了方向（详见德勤中国公司治理中心的《2010年中国上市公司内部控制调查分析报告》）。从最近两年来国内企业内部控制实践情况看，如何根据企业实际进行高效的内部控制流程设计，将《基本规范》和《配套指引》等理论框架转化为指导企业内部控制实务的具体措施和办法，成为影响企业内部控制实施效果和效率的关键所在。基于上述分析可做出如下结论：研究内部控制流程设计问题是内部控制理论发展的内生要求，更是企业开展内部控制活动的客观需要。

二、内部控制流程设计目标的定位

目标意味着方向，目标体现了结果。内部控制流程的设计目标不同，必然导致所构建的内部控制体系各有侧重。通览国内关于内部控制流程设计问题的研究文献，在涉及内部控制流程设计目标时大致有两种研究思路，一类是将内部控制设计的目标与内部控制目标完全划等号，另一类是回避对设计目标问题的讨论，直接探讨内部控制要素以及控制活动等内容。上述两类研究思路固然简单明了，但由于缺乏对内部控制实施机理的分析与研判，导致内部控制流程无法体现和满足企业的核心价值观和战略规划，仅仅成为企业众多规章制度中的又一套“繁文缛节”。

总体而言，内部控制流程设计目标应将内部控制目标作为根本出发点，在此基础上根据企业的经营情况、发展阶段和战略目标进行调整。例如对于组建时间短，尚处于成长阶段的企业而言，应将合理保证企业经营管理合法、合规以及合理保证资产安全作为内部控制流程的设计目标，而对于那些有着良好资信和多年发展历史的“老字号”，则应将内部控制流程的设计目标定位于提升企业经营效率，促进企业又好又快的发展。

三、内部控制流程设计原则的确立

内部控制流程的设计原则是指进行内部控制流程实践时，用于指导设计活动的基础性约定。设计原则与设计目标之间是从属关系，设计目标决定设计原则，设计原则体现设计目标。

（一）合法合规原则

企业开展生产经营活动，必须遵循国家相关法律法规，制定监督、管理企业经济运行的内部控制流程体系，更应在法律法规框架下开展，背离法律法规的内部控制体系，非但不能确保企业的健康、可持续发展，反而使得企业的运营面临严重的法律风险。

狭义层面理解，内部控制流程的设计应该遵循《基本规范》，同时依据《配套指引》进行深入和细化；广义层面理解，内部控制流程的设计还应充分体现《公司法》、《会计法》以及《企业会计准则》等法律法规的要求。

（二）整体性原则

所谓整体性，即指在进行内部控制流程设计时，应充分考虑内部控制体系的全面性和系统性。内部控制贯穿企业运营活动全局，是对企业人、财、物（信息）实施的立体全程控制。进行内部控制流程设计时，应始终将企业视为一个有机整体，充分考虑单项内部控制活动之间的逻辑性和系统性，避免出现控制盲点和相互矛盾。

（三）牵制与配合原则

牵制与配合这两个词，从字面上理解是相互对立的，但具体到内部控制流程设计问题上，二者却是辩证统一的。开展内部控制流程设计时，应从纵向和横向两个层面交叉用好、用活这种依托和制约关系。

需要注意的是，在充分发挥牵制与配合原则的积极作用时，应注意避免过度的牵制导致内部控制实施效率低下的情况发生。可依据重要性原则进行评估，对于那些关键业务流程和控制点，必须引入牵制措施控制风险，而对于那些重要性水平较低的环节，可适度减少牵制措施的运用，保证内部控制实施效率。

（四）成本收益原则

实施内部控制管理需要企业支付相应的费用开支，通常情况下，内部控制工作越周密，内部控制实施效果越好，内部控制成本也相应增加，但正如哈里·科斯在其著名的企业理论中描述的那样，企业诞生和存在的根本目的是为了降低交易费用，因此，内部控制流程的设计存在着一个内部控制成本与内部控制收益间的均衡关系。

在考虑成本收益原则时，要注意两个问题：一是不同企业之间的成本效益配比程度不完全相同。例如花费相同的开支设计一套金融衍生工具内部控制体系，为期货公司带来的预期收益必然大于商品零售企业预期得到的报酬。第二个问题是这里所谓的收益，不仅简单指那些可以看得见、摸得着的物质收益和货币收益，应通盘评估内部控制流程体系为提升企业经营效率和管理水平方面起到的重要作用。

（五）原则和规则导向相结合原则

在谈到内部控制流程设计的导向问题时，理论界和实务界大都倾向于为企业量身打造一件“紧身衣”，并且衣服越贴身，越能反应出这个裁缝手艺高强。事实上，一套“合身”的内部控制流程体系，并非需要在每一个控制环节和控制措施上，都为企业设计好了“既定路线”，如果能够适当加入一些原则性导向的约束条款，可能会带来事半功倍的效果。

一般而言，对于相关法律法规已有明文规定时，应考虑采用规则性导向设计相应的内部控制措施。对于一些具体操作层面上的，非但不会影响内部控制实施效果，反而有助于提高企业员工积极性和生产效率的控制点，可尝试采用原则性导向进行内部控制流程设计。

四、内部控制流程设计思路的选择

（一）整体框架设计思路

企业内部控制活动涉及企业组织架构、控制环境和业务活动流程三个方面，虽然设计企业内部控制流程体系的根本目标在于实现对企业经济业务活动进行有效的制约和控制，但我们却不能忽视组织框架结构和控制环境对业务活动的影响。如果忽视企业的组织框架结构和控制环境，单纯考虑业务活动本身进行内部控制方案的设计，“头疼医头，脚疼医脚”，内部控制实施效果将大打折扣。此外，如果将企业的内部控制流程设计成为一套完全封闭的控制体系，不能根据企业的实际情况对内部控制流程进行修正和完善，将导致内部控制与企业运营实际严重脱节，最终致使内部控制形同虚设。

综上所述，内部控制流程设计的整体思路应从关注和分析企业的组织架构和控制环境等基础性环节着手，在对其进行充分优化和完善的基础上，拓展和细化企业各项经济业务活动层面上的内部控制设计，并保证内部控制流程体系的开放性和可塑性。

（二）单项活动设计思路

在《配套指引》出台之前，单项内部活动的控制流程设计思路大体有三种：一是依据业务部门设置展开设计，通过分析各部门的主要职责和对口风险，确定相应的控制点并设计相应的内部控制措施；二是依据项目情况展开设计，通过分析各个项目在实施过程中可能发生的风险，制定相应的内部控制措施；三是依据业务流程展开设计，将企业的经济业务活动划分为不同业务流程，针对不同业务流程设计相应的内部控制措施。

比较上述三种设计思路，依据部门设置展开设计可将内部控制责任落实到具体岗位和负责人，便于提高员工参与内部控制的积极性，有利于内部控制考核的实施，但可能会发生部门之间为了通过考核，相互推诿责任或者擅自增加内控控制措施来规避风险的情况，从而导致内部控制实施效率下降；按照项目情况展开设计，可以针对项目自身特点量身打造内部控制流程，提高内部控制流程的适用性，但缺点在于针对每一个项目都需要单独设计一套内部控制流程体系，成本偏高；按照业务流程展开设计，是近年来学术界和实务界较为推崇的一种设计思路，其优势在于从业务流程人手展开设计能够保证内部控制流程的全面性和系统性，并可根据业务流程的重要程度和对企业经营业绩以及战略规划的影响程度适时调节，此外，一旦企业进入稳定发展期，其经营活动和业务流程亦保持基本稳定，根据业务流程展开内部控制流程设计还可以大幅减少开支。

五、内部控制流程设计步骤的设定

企业内部控制流程的设计是一个多环节的构建过程，起始于对企业相关基本情况的了解，然后依次经历内部控制流程设计目标确定、内部控制现状评估、风险点和控制点确定、内部控制措施设计、内部控制制度形成和内部控制流程体系评审验收等环节。其中每一个环节完成的好坏，都将直接影响内部控制流程体系的执行效果和效率。其具体设计步骤如下：

（一）深入了解企业内外部环境

企业的内外部环境很大程度上左右着企业的实际运营，甚至还会对企业的发展战略产生不确定影响。在设计内部控制流程之前对企业面临的内外部环境进行拉网式梳理和分析，首先能够帮助内部控制设计人员全面、系统地判断和评估企业现阶段和将来可能面临的各种风险；其次有助于设计人员不囿于财务报表数据，客观评估企业目前的经营管理状态；此外，还能为下一步开展内控控制环境优化设计提供更为翔实的背景支持。

在充分了解企业内外部环境基础上，设计人员需与企业内部控制负责人员就内部控制流程设计的业务范围进行约定，明确建立内部控制流程体系的主要目标，以合理保证内部控制实施的效果，提高内部控制实施效率。

（二）充分评估现有内部控制体系

孟子云，“不以规矩，不能成方圆。”具体到企业管理范畴，企业的存在和发展，必须遵循某种形式的制度约束，制度约束体系的好坏，某种程度上决定了企业发展的命运。因此，在设计内部控制流程体系时，应关注企业已有内部控制体系，这样可以适度减少内部控制流程设计的工作量，对于那些设计科学、合理，能够有效提高企业运行效率的内部控制，内部控制流程设计人员仅需对其进行充实和完善；而那些存在明显漏洞的控制措施，也恰好能为设计人员发现企业可能存在管理漏洞和风险提供相关线索，设计人员必须高度重视这些“问题”措施，评估它们可能产生的连带影响。

（三）合理确定风险点和控制点

风险点和控制点的确定，是企业内部控制流程设计过程中的关键环节。风险点和控制点的确认是否合理，将直接影响企业内部控制实施的效果和效率，如果误拒了重要风险点和关键控制点，则会直接影响内部控制执行的效果，使得内部控制形同虚设甚至适得其反；如果误受了那些次要的风险点和控制点，又将严重影响内部控制的实施效率。因此，应在充分考虑业务活动对提高企业经营效率和促进战略目标实现的影响程度的基础上，合理确定风险点和控制点。

（四）高效设计内部控制活动

内部控制活动的内容主要包括三个部分：第一部分是针对企业现有内部控制环境进行优化，尤其应关注企业组织架构和文化建设方面的改善和调整，保证内部环境与企业运营目标和发展战略匹配适应；第二部分是针对企业业务活动制定相关的控制措施，这部分控制活动是整个内部控制流程体系的关键，应确保控制措施详略得当，在满足重要性原则的前提下，充分体现成本收益原则；第三部分是针对内部控制执行结果设计评价体系，良好的评价体系是保证内部控制实施效率的关键，更是促进内部控制发展的抓手，可充分借鉴同行业企业的评价方法体系，结合自身特点加以改进和完善。

（五）及时修订和完善内部控制流程

前文已经论述，保证内部控制流程的开放性和可修改性，对提高内部控制流程指导性和可操作性具有重要意义。但从国内企业内部控制实践情况看，鲜有企业重视内部控制流程的修改和完善工作，内部控制流程与企业运营实际严重脱节。内部控制设计人员应高度重视内部控制流程的后续建设问题，结合业务流程定期或不定期对内部控制流程进行梳理，判断二者之间的匹配程度，合理评估企业是否存在重大违法违规事项和重大经营风险等问题的同时，找出存在问题和需要优化的控制流程，及时修订完善，保证内部控制流程对企业运营的管控力。