走出内“困”

得益于政策推动，中国企业的内控建设在过去的几年，可谓成效卓著。短短几年内，内部控制就在企业中完成了从无到有、由小到大的转变。但企业在内控建设方面的“急就章”，也不可避免地带来了各种隐疾。酒鬼酒塑化剂超标，企业形象一落千丈；北大荒逾越管理权限审批使用资金，违规拆借超10亿元；华锐风电被爆财务造假，无数投资者hold不住，惊呼上当受骗……这些事件在一定程度上凸显了我国企业在内控体系建设方面的差距，内控形式化、表面化的危害逐渐显现。面对日益复杂的社会环境和经济形势，如何在企业中建立起一套行之有效的内控系统，并在实际操作中落到实处，仍是我们需要面对的重要课题。

缘何内“困”

仔细算来，从2002年中注协正式《内部控制审核指导意见》以来，“内控”这个词汇走入中国企业，已经有十几年的时间。然而，这十几年中，内部控制在企业运营体系中“只落地不生根”，原因到底为何？

“首先在对内控的理解层面，就存在很大问题。”北京国家会计学院教授刘霄仑在接受《新理财》采访时表示，目前中国大多数企业，对内控的内涵、必要性、有益性认识不足，内部控制语言还不统一，这也从根本上，导致了我国内控问题频发、“有内控无执行”的尴尬局面。

按照COSO内部控制框架中的定义，内部控制是由企业董事会、管理当局和其他员工实施的，为财务报告的可靠性、经营的效率效果以及现行法规的遵循等目标的达成提供合理保证的过程。“很显然，从目标上看，合理保证经营的效率效果与提高企业的经营效率效果这两者并不相同，不能相互替代，更不能混为一谈。但对于大多数企业来说，他们在实行内部控制的过程中，并没有注意到企业开展内部控制的双面性，或者片面希望通过开展内控来提高企业经济效益，或者认为企业搞内部控制会导致控制环节增加，束缚了业务活动开展，导致营业收入和利润的下降。应该说，这两种认识都是不全面的，以偏概全的话就会犯方向性错误。”刘霄仑说。

中国国际经济会副会长、北京国家会计学院特聘教授邹志英近年来一直致力于企业内控及风险管理实践以及实战内控培训，和公司高层多有接触。她对刘宵仑的意见表示认同，但从内控的实施效果上看，她更强调内控对于不同发展阶段的企业的不同意义。“对于一家公司来说，逐利永远是其天性。一项政策能否真正落到实处，关键是其背后有着怎样的利益驱动机制设置。”如果企业不能从内部控制的实施过程中尝到甜头，企业高层或者员工对企业的内控建设就会有不理解和抵触情绪，从而不愿或者不敢在企业内部切实推行内控建设，最终导致内控体系与实际管理“两层皮”的现象。

邹志英认为，作为企业一方，应该辨证地去看待内部控制和经营效率二者之间的关系。“首先明确一点，内部控制和经营效率绝非矛盾的。内控的目的不仅仅是满足于外部监管的需求，这只是满足了最低层次的需求，一套好的内控体系可以提升企业管理的经营效率，并可以促进企业实现发展战略，为企业创造价值。比如，英国施乐公司通过优化‘特殊订单’的流程，使得‘特殊订单’的处理时间从112天减至了24小时；伦敦西林顿医院通过改造护理流程，使血液检查在5分钟内完成。内部控制还可以给企业带来哪些价值？比如，如何加速现金周期从而增加企业净利，在这个过程中应该保留、优化、增加和去除哪些流程？降低应收存款5%，可以增加税前净利多少？比如说，一家企业的销售收入5个亿，3年内要翻番，在这过程中有什么缺陷和风险，应该制定什么标准，如何考核？”如果企业能够切实地按照重要性原则和成本效益原则，找出企业经营中的关键控制点予以重点控制，而对非关键控制点或不必要控制点则少控或不控，则肯定会对经营效率的提高产生正面影响。

刘霄仑则强调，内控的成本效益原则并不是普适的。他把企业内控分成两部分：一部分是为了达成企业目标直接服务的，他将其称为“管理控制”部分，对这部分内容，成本效益原则是适用的。但是，还有一部分是为企业目标的实现“保驾护航”的，也就是合理保证的部分，即“风险控制”部分，对这部分内容而言，成本效益原则就是不适用的，而应代之以“风险效益原则”。“就像开车，车上的安全带和安全气囊对于提升车速毫无意义，它就不适用成本效益原则，但如果出现了事故，或许它可以救人一命。企业投保的保险也是同样道理”。

其次，流程、岗位和职能定位上的混乱，也是使得当今企业内控问题频出的一个重要原因。刘霄仑发现，在很多企业中，内控部门结构和技术其实已经十分完善，但在落地时，具体谁来做的问题上，定位却相当混乱。很多人认为，企业内控应该是内控部门或审计部负责的事，而和公司普通员工或者其他部门没有太多联系。正是这种职能定位不明确、责权不对等的现象，导致企业在内部控制体系建设中经常出现相互推诿、互踢皮球的情况，严重影响企业的沟通和运营效率。“企业内部控制，应该由董事长负监督责任，由总经理负实施责任，其中内控部或风险管理部应起牵头作用，但内控的设计和应用仍应由业务部门来承担。内审部门对内控的设计、应用和自我评价工作进行监督，并向董事会汇报。这就需要对现有的职权结构和岗位职责说明进行修订。”刘霄仑分析道。

此外，刘霄仑认为，监管部门监察力度不够、内控人才不足、内控体系设计不合理等因素，也在一定程度上制约着我国内控制度的发展。

解决之道

如果企业内控制度只是停留于表面而没有真正嵌入公司运营结构中，那么企业风险管理也就成了一纸空谈。内控形式化不仅会使企业运行如履薄冰，企业利益随时可能受损，而且还会打击投资者信心，造成公共资源的浪费。很显然，无论是企业、投资者，还是政府监管部门，都不期望看到这样的结果。

刘霄仑认为，内部控制是一个社会性的话题，想要尽快走出目前中国内控建设所遭遇的困境，需要各方共同努力，而不只是企业一家的事情。

从监管部门的角度，政府监管部门应当加大监管力度，提升内控法律地位，提高企业内控报告的造假成本，进而推动我国内控制度在企业的实质性融合。刘霄仑指出，在美国，上市公司主动披露内控缺陷的比例远远高于国内，其中一个主要原因就是内控报告造假的成本很高。反观中国，在法律层面并没有对内控的建立在责任和义务上予以明确规定，也没有建立比较完善的惩戒条款。

从企业层面来说，应通过多种方式加快培养内控人才，以突破当下企业所面临的内控人才不足的瓶颈。企业内部控制是一个系统而科学的管理体系，其内容涵盖营销、投资、金融、法律、生产等多方面知识，因此对内控人才的职业素质要求极高。值得欣慰的是，近期，北京国家会计学院推出了一项学制22天、分3个月授课的企业风险管理高级专业人才培养工程，在众多学员当中，大多数为企业负责内部控制工作的董、监、高人士。这也表明，目前企业已经逐渐认识到了内控人才不足的问题，并在努力弥补因此而造成的短板。

需要强调的是，企业内控建设往往离不开公司高层的支持。企业管理者的经营管理的理念、方式和风格，都有可能对内控环境造成影响。在做企业内控和风险管理实战培训时，经常有学员告诉邹志英，“当我不知道内控为何物时，我可能会感觉无所谓；但当我了解到内控的真正含义以及内控之于企业发展有哪些意义时，我却会感到很痛苦。”原因就是，在内控实施过程中，由于公司高层内控意识薄弱，对内控工作不够重视，导致内控部门开展工作时缺少足够支持。

“这就要求内控部门在企业内开展内部控制工作时，尽量去找一个突破点，寻求一块敲门砖，让企业尽量在短期内看到效能上的明显的提升，从而提高大家对内控的信心，最重要的是获得企业高管的支持。否则，企业内部控制在企业内部推行时将会非常困难。”邹志英说道。

而对于企业高层来说，经营时不能只考虑短期经济效益，邹志英强调道，企业效率高低有时只是会影响企业发展的快慢，但风险控制则会涉及企业的存亡问题。“资金崩盘、快速并购、外部环境的变化，甚至团队建设上的失误都有可能使企业瞬间遭受毁灭性灾难，而内部控制做到位的话，则能规避或者减小风险所带来的损失。”

邹志英认为：“一家企业的成功只看两点：一是对内商业模式的定位，二是对外品牌溢价。对内的商业模式就要有6大模式去支撑，包括扩张模式、管理模式、营销模式、人才管理模式、融资模式等。”这几大模式支持企业商业模式的有效定位，在这个过程中，管理会计、内部控制/风险管理，包括战略财务就发挥了巨大的作用。

在长期的实务操作中，邹志英总结出了一套“珍珠链”理论，它的核心思想体现在战略-业务-人力-财务一体化。该理论共分为9个步骤：

第一，对于一个企业来说，首先要明白企业的愿景、使命、价值观，然后在公司发展的过程中，对公司业务有选择地取舍，并将内控建设与企业发展战略结合起来，进行顶层设计，将其上升到管理提升的高度；

第二，在确定公司愿景之后，企业要通过构造合适的财务模型来促使整个财务体系从上到下、从战略到运营的全面落地；

第三，进行业务职能方面的规划，即业务和职能的路径分解；

第四，责权利的匹配、进行组织架构的对应调整以及KPI的设置，在进行岗位分工时，对于一些不相容的岗位，实行岗位分离，以达到相互牵制，预防风险的目的；

第五，制定薪酬激励和公司联动机制；

第六，建立经营分析与预警机制，要识别哪些做得好，哪些做得不好以及背后的原因，对于做得好的方面，可以考虑加以复制，做得不好的，要有整改计划，并落实到责任人、流程、时间点、行动计划、交付物的目标及标准等；

第七，通过审计寻找偏差，定位风险的级别，比如是A类、B类还是C类，风险是怎么造成的，然后逐一确定改善方向、改善原因、改善策略，最后落到行动方案、人、系统流程上；

第八，建立完善的跟踪体系，随时对各个方面进行查缺补漏；

第九，建立合理的奖惩机制，做得好的一定要奖，做得不好的一定要罚。

邹志英认为，假如企业能够将以上9个步骤努力做到尽善尽美，那么，对于企业的管理运营，对于企业价值的重新塑造，都将大有裨益。这样就形成了一家公司治理结构的有效的闭环体系，当公司遇到危机或压力的时候，至少可以帮助公司有效地去拐大弯。