谢安:合力建内控

两个月前，在与某知名电商的CFO面谈风险控制后，谢安了一条意味深长的微博：“民企的管理还有很多课要补呀。”

1998年从清华大学毕业之后，谢安便一直从事财务、内部控制、风险管理等相关工作，5年前成为德勤中国企业风险管理服务合伙人，怀着对中国企业内控现状及未来的思考和期许，谢安接受了《新理财》记者的专访。

内控报告乱象解读

《新理财》：2012年，继在境内外同时上市的公司之后，我国所有上市公司被要求出具内控自评报告，对于这些自评报告的具体内容与所反映出的实质，您有怎样的解读和评价？

谢安：在上市公司公布内控自评报告方面，每年证监会在年报公告中会提及，两家交易所也会具体的要求。二者的具体要求有些差别。上交所每年都会公布一份报告的模板，对自评报告的格式、内容均进行规范。同时还会一份董事会成员对内控报告的审议工作底稿，是一张需要做选择题的表单，要求董事亲笔作答并签名。深交所也要求符合条件的企业披露内控自评报告，还专门针对中小板要求披露一份内控规范落实自查表，并且要求保荐人对持续督导期的公司的自查表出具审核意见。通常，上市公司会按照交易所的具体要求来披露内控自评报告，因而，并不是所有的公司的自评报告的内容与格式均一致。

基本上，那些作风稳健、运作规范、管理基础好、内控工作起步较早的公司的内控评价报告的可读性比较强，能比较真实和客观地反映内控的实际情况，对于存在的问题（当然是比较不严重的问题）的描述也比较准确；而基础不太好的公司的报告中，对问题的描述往往稍显笼统，并不深挖，这也跟不愿意展露缺陷的心理有关。

《新理财》：与2011年在我国境内外同时上市的首批执行企业内控规范的公司相比，2012年所反映出的执行情况有哪些异同？

谢安：2011年首批执行规范的公司都是境内外同时上市公司，从内控工作开展的角度看，境内外同时上市公司又可以分为几类，一是美国上市，众所周知，美国是最早要求披露内控报告的，因而很多同时在美上市的中国公司的内控工作早在7、8年前就已经起步，包括财务报告内控的自我评价和审计，可以说这些公司在对内控的认知、财务报告内控的健全性等方面的基础比较好；同时在香港上市的公司要在年报中披露企业管制报告，其本质上也是董事会对公司内控的一种自我评价，评价的范围不局限于财务报告内部控制，但是并不要求对内部控制做审计。或多或少境内外同时上市的公司的内控都有一个来自外部的持续的要求，这个要求在促使公司持续完善内控方面起了一定的作用。所以无论从报告编制经验，还是从内控的实际水平的角度来看，首批实施内控的公司的基础都会好一些。

对上市公司的内控工作我们有持续的关注，已经连续7年内控调查报告。从调查的结果也能印证上述分析，即每年内控的自评都会有进步的表现，包括越来越实，不像刚开始那样大而空的感觉；重点越来越突出，篇幅也有所调整，不像刚开始那样长的几十页，短的只有一两页，可读性增强了。

内外兼修跨越差距

《新理财》：对比中美两国的企业内控报告，从出具过程、所反映出的内容、揭示的问题实质角度来看，存在哪些差异？为什么？

谢安：两国内控报告最大的差异就在于内控的范围，美国要求的是财务报告内部控制，直白点说，是关注那些出了问题会导致财务报告错报的领域；而中国要求的是全面内部控制，不仅包括财务报告内控，还包括与战略、运营的效率与效果、合规性及资产安全相关的内控，是包罗万象的，范围远远大于美国的要求；相应的，在技术上评价的难度也加大了，评价财务报告内控是否失败，在很大程度上是可以量化的；而其他方面内控的评价是很难量化的。但是从阅读者的角度出发，全面的内控自评报告还是更受欢迎的，报告中披露了更多企业经营管理中的细节，包括内控方面的管理架构、企业运营方方面面的政策流程等，投资者可以进一步了解公司，有利于作出更恰当的投资决策；监管机构可以发现公司内控方面的优势及薄弱领域，并可以开展有针对性的监督工作。

《新理财》：我国上市公司内控，从事后惩罚到事前控制，从突击检查到持续监察，从被动他查到主动自查，这之间的距离有多远？如何跨越？

谢安：这个距离看似遥远，其实只在“一念之间”，只在最高决策层、管理层的认识里。作为检查的主体，事后惩罚、突击检查更容易操作，也更容易“出成绩”，而事前控制，持续监察需要更细致、更耐心、更全面的工作，且不容易看出“成绩”。从被动到主动，也是一个挑战自我的过程。一个企业的主动性、挑战自我的愿望和能力，跟一个人在这方面是很像的，最难做的是挑战自我、超越自我。

解决之道可以从两个角度入手：一是外力的推动，充分珍惜监管要求的契机，提升自我；二是内在的需求。有作为的企业管理者应该是定期回顾、调整企业发展目标，不断自省、不断提升的，企业发展的内在需求是能够建成和维护内控长效机制的最有力的保障。一家公司如果真正实现了内控工作从事后到事前，从突击到持续，从被动到主动，我相信，在其他方面，也会做得卓有成效。

态度决定成败

《新理财》：中国的企业内控要想冲破形式化“外衣”真正做到行之有效，应从何入手？

谢安：对于任何一家企业来说，内控工作都应该讲究实事求是。正如内控技术框架里写的，最高管理层的理念和行为影响着一家公司的内控基础，内控工作只有各级管理层认识到位，思路正确，自上而下地推动，才有可能做得好。管理层的认知和思路是内控工作做好的最必要的基础条件。

除认知外，管理层身体力行的支持也是必需的，上行下效，身教胜于言传。只有最高管理层时时刻刻严格遵循政策、流程，也就是按内控的要求办事，自然而然的内控体系被破坏的可能性会相应降低，若管理层随意逾越，内控体系肯定会沦落为空谈。

在技术上，需要做的工作是领会监管要求的精神实质，同时充分认识自身的现状，只有两者充分结合在一起，才有希望把内控工作做到实处，发挥内控为公司发展“保驾护航”的功能。若是断章取义地应付检查，一定会导致事倍功半的后果。若要内控长期有效，势必应该结合公司的长期及阶段性发展目标，持续完善，包括完善监督机制。

事实上，内控的意识、职责、具体的措施应该是无孔不入地融入公司的日常运营，宏观到战略规划的制定，细致到每一份岗位操作手册，无一不蕴含着内控。从这个角度讲，内控体系的建设、持续完善和监督机制运转正常了，整个公司的运转也就正常了。

打好持久战

《新理财》：据您了解目前，中国上市公司乃至非上市公司的内控管理实务中，有哪些亟待解决的问题？对此，您有怎样的建议？

谢安：从我们历年对内控的调查来看，如前所述，最高领导的重视是一个突出的问题。说白了，内控是一个涉及长治久安的话题，要从基础做起，有些“功在当代利在千秋”的意味。真正好的内控，一定是有个好的内控文化作支撑的，而文化的形成，决非一朝一夕之功。

此外，如何把握内控建设的成本效益原则也需要特别注意。好的内控，其效益是很难量化的，与此形成鲜明对比的是，内控工作的投入是现实的。能否、如何将短期的投入跟长期的效益结合起来，这可能跟领导的风格、考核及任期等问题颇有关联，这可能不仅需要高管层自己思考，董事会等权力机构也要更多地思考。

其他的问题可以看做是衍生问题，比如人才。很多公司做内控工作时感觉人力匮乏。其实内控并不是一个全新的概念，技术壁垒也不高，只要领导真正重视了，舍得投入，培训、联合项目组等各种形式都可以迅速培养出内控人才，并且无论什么样的组织体系，无论是专职还是兼职，都有可能把内控工作做得有声有色。我们曾经接触过从集团总部开始，建立独立的内控部门，垂直管理，进行内控的维护和监督工作（当然也需要其他部门的配合）；也接触过只在集团总部开始成立一个部门，在二、三级公司的各部门均指定内控联络员，明确职责，内控工作上下联动，内控工作也做得非常到位。

再比如工具。越来越多的公司将内控措施固化在系统中，以提高效率和效果设置得当的自动控制的效果要远远优于人工控制，效率也不可同日而语。

重实质而非形式

《新理财》：今年3月底，财政部公布了《石油石化行业内部控制操作指南（征求意见稿）》，这也是我国首个行业内控操作指南，对此，您持怎样的态度？接下来，就政策法规层面而言，您认为还有哪些需要明确和完善的？

谢安：不同行业的公司内控的重点领域、控制手段可能会有不同，行业性的操作指南对于公司的内控工作具有重要的指导意义，从这个角度来说，这份操作指南在中国内控发展的历史上可称为一块重要的里程碑。

行业内公司在参考指导完善内控工作时，很重要的是认识这份指南的精神实质，读懂字里行间背后的宗旨、原因、目的。说到底，还是结合自己公司的实际情况来操作。事实上，不仅行业，每一家公司的历史、文化、规模、发展阶段、管理层风格等条件的不同，决定了其内控体系也必定是独具特色的。因此，重要的不是在形式上全部照抄，而是在理解了精神实质的基础上，完善自己的控制体系，使之能达到指南所含的控制水平。

从企业长期发展的角度看，不要拘泥于指南及内控指引、内控规范。换句话说，可将这些视为基本要求，企业要不断进步、不断完善自身，无论是否已经在行业内领先，对于一个企业来说，这也是最具挑战性的。

政策法规层面，据我们所知，早在财政部刚动手起草内控规范体系时，就有逐步制定分行业指南的计划，相信随着其他行业指南的陆续完成，内控体系在政策法规、技术指引方面的完整性越来越强，对企业的指导价值会越来越大。