企业内部控制体系建设探讨

[摘 要]本文结合公司内部控制规范试点的工作实践，在阐释了公司对内部控制的理解和认识后，着重介绍了公司内控规范工作的组织和实施情况、内控规范实施工作值得借鉴的经验以及内控实施过程中存在的问题，以期对正在或将要进行内控规范体系建设的公司有所帮助和启示。

[关键词]内部控制 内控规范 体系建设

2008年5月，财政部会同证监会、审计署、银监会、保监会等五部委（以下简称五部委）联合了《企业内部控制规范》，2010年4月，五部委又联合了《企业内部控制配套》指引，自2011年1月1日起首先在境内外同时上市的公司施行，自2012年1月1日起扩大到上海证券交易所、深圳证券交易所的主板上市公司施行。在证监会、财政部的大力推动下，200多家公司全方位实施了企业内部控制规范体系，成为了资本市场各类主体建立内控的主导。公司有幸成为了内控规范工作的试点单位，结合公司内部控制规范试点的工作实践，本文对内部控制体系建设的若干问题作相关的探讨。

一、公司对内部控制的理解

COSO委员会定义内部控制为：内部控制是一个受到董事会、经理层和其他人员影响的过程，该过程的设计是为了提供实现以下三类目标的合理保证：经营的效果和效率；财务报告的可靠性；法律法规的遵循性。《上海证券交易所上市公司内部控制指引》定义内部控制为：内部控制是指上市公司（以下简称公司）为了保证公司战略目标的实现，而对公司战略制定和经营活动中存在的风险予以管理的相关制度安排。它是由公司董事会、管理层及全体员工共同参与的一项活动。《企业内部控制基本规范》定义内部控制为：内部控制是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。公司通过内部控制规范试点的实践，对内部控制的理解如下：

1. 内部控制是企业本身的一种内环境。内部控制不在企业的运营过程之外，不是立法者和监管当局给企业增加的负担，而是与企业的运营紧密相连，因基本的商业动机而存在，只有内部控制成为企业生命体的一部分，内部控制才最为有效。

2. 内部控制必须服务于企业的战略目标。企业的目标一定程度上是股东财富最大化，而内部控制通过“嵌入”企业的运营管理之中，直接影响其实现目标的能力。

3. 内部控制的实施必须“自上而下、逐步延伸”。内部控制规范的实施需要高层的支持，特别是“一把手”的重视。因为内部控制规范的实施一方面需要有组织机构和人员保证，也需要有经济资源的新投入，另一方面实施内部控制规范在一定程度上会打破既有的利益格局，在实施过程中会存在阻力。

4.内部控制的实施需要全员参与。企业确立的目标，需要通过企业所有员工的努力才能实现，而内控贯穿于企业经营活动之中，因此需要全体员工参与并执行，才能将内控付诸实施。

5. 内部控制是一个过程。首先，内部控制并非单一的事件或环境，而是针对企业行为的一系列活动。企业的经营行为是通过计划、执行与监督这一基本过程进行的。内部控制是这一过程密不可分的一部分，使之能够良好运行，并监督运行以保持持续的相关性，是管理层的工具。其次，内部控制也随着企业战略目标、经营环境的变化需要进行不断调整，不断优化的过程，是一个只有起点、没有终点，需要坚持不懈、持之以恒地改进。

6. 内部控制为实现目标只能提供合理保证。内部控制无论设计和执行多么理想，也只能就企业目标的实现向经理层和董事会提供合理的保证。内部控制本身有其局限性：例如建立内部控制时需要考虑成本效益原则；人为的错误和失误带来的内部控制失效；内部控制会因两个人或多个人的联合欺诈而失效；经理层有越过内控系统的权利等等。另外，在对内部控制评价的过程中，我们采用抽样的方法，由样本来推断总体，也只能为内控有效性的评价报告提供合理保证。

二、 公司内部控制规范的组织和实施情况

1.组织和资源保证。为确保公司内部控制规范实施工作的顺利进行，公司成立了内部控制规范工作小组，由公司董事长担任组长，董事会秘书牵头组织落实。公司设立了内部控制规范实施的日常工作机构，由该部门来专职推进此项工作。公司还特别聘请了咨询公司作为内控的专家团队，为公司的内部控制进行特别咨询和设计。公司独立董事对内控规范实施方案、内控评价方案及内控评价结果进行复核和审议。在内控规范的推进过程中，公司高级管理层给予了很大的支持并投入了较多的资源，如增加工作人员、聘请中介机构、进行信息化建设。

2.内部控制规范的实施方法。公司在内控规范实施的过程中，主要采用了“内外结合、知行合一、持续提升”的方法，主要情况如下：

（1） 内外结合。从外部来看，首先自公司成为内控规范试点单位后，监管部门对公司进行了持续的指导，不仅举办了系统的内控培训活动，而且还就公司内控实施过程中的问题采取了座谈、电话咨询、亲自到公司现场指导等方式帮助公司完成内控规范工作；其次聘请了咨询公司作为内部控制实施规范的专家团队，对涵盖公司重要业务单元和重要业务流程及交易的内控体系建设进行咨询和评价；再次根据公司城市资源开发板块及纺织服装板块公司的专业特点，特别聘请了专业从事房产管理及纺织咨询的咨询机构从组织管控、流程管理、绩效管理、质量管理体系等方面进行了全面的梳理。

在内部，公司努力实现咨询成果的转移，对内部控制手册进行了优化，根据公司集团化运作的要求，编制了组织权责手册，明确了分（子）公司的权责边界。针对内控检查过程中发现的缺陷，及时进行了跟踪整改。在经历了风险识别、缺陷查找与整改后，制定了完善的内部控制两级自我评价方案，设计了一套行之有效的内控评价检查底稿，对各分子公司的内控规范实施情况进行了客观公正的评价。另外为了将内控手册的要求落到实处，公司将内控规范的实施情况纳入各公司总经理绩效考核体系。

（2） 知行合一。为了让内控规范工作顺利推进，在实施之初，就特别邀请了南京大学杨雄胜教授为公司40余位中高层管理人员讲授“内部控制与风险管理整体框架”课程。随后在全集团范围内开展了“企业内部控制配套指引解读”读后感征文活动，创办了内控征文的专业电子期刊，并向中国会计报选送出20多篇优秀文章，稿件得到了比赛评委会的高度评价，公司成为全国范围内20名组织奖获得者之一。公司内部控制与审计部、外聘咨询公司多次为公司员工进行“企业内部控制体系建设培训”及“内部控制自我评价实务培训”，认真组织员工学习观看李若山教授的《企业内控管理》和白万纲专家的《集团管控》视频教学材料。通过这些全方位的培训，一方面营造良好的企业文化和内控推进的环境；另一方面进行知识和内控规范意识的传播，有效地实行知识转移，更好地指导管理实践工作。

（3）持续提升。内控体系的建设并非一朝一夕，需要持续地改进和提升，公司会持续地加快信息系统的建设，实现统一平台，共享服务；进一步优化内部控制手册，并将内控手册的要求落到实处；进一步优化内部控制评价的方法，在缺陷认定的定量分析方面作相关的深入探讨；从组织、制度、文化、权责利等方面加强集团公司对分（子）公司的管控，加强对分子公司经营成果的控制。希望每天进步一小步，日积月累，形成质的飞跃。

三、公司内部控制规范实施可借鉴的经验

1.从战略高度重视内部控制体系建设。公司将“规范内部控制，提升企业经营管理水平”作为内部控制的重点工作，高级管理层以身作则，认真学习《企业内部控制规范讲解》并撰写感想，积极参加各类培训，在公司中起到了非常好的示范作用。同时，在内部控制推进过程中，高级管理层高度重视、积极推进并帮助内控规范工作小组解决问题，使各项工作顺利推进。

2.组织机构及资源的强有力保证。公司集团层面成立了内控规范工作小组，下设了专门的日常工作机构，每个分子公司设立内控规范实施工作小组，小组成员至少包含总经理、内控联络人、财务负责人，部分公司还有一位分管副总。同时积极寻求专家的帮助与指导，聘请了外部的内控中介机构和针对各业务板块的业务咨询机构。

3.植根于现实的土壤，结合业务板块特点进行了内控设计。首先从集团管控的角度，制定了集团公司的组织权责手册，明确了三大业务板块公司共同的控制点；其次根据各个业务板块特点，分别制定了集团公司对各板块不同的控制要求；再次各板块公司根据自身业务特点对对组织架构、业务流程、绩效考核、质量管理体系等进行了全面诊断、调整和落实。

4.内外结合，尤其要发挥内部员工的主观能动性。在内控体系建设的过程中，公司充分发挥了内部员工的主观能动性。首先，在咨询机构进行风险识别和缺陷查找的过程中，内控规范工作小组有3-4名工作人员全程一起参与，并通过学习和培训有效实行知识转移。其次公司对中介机构的咨询成果进行结合实际的改良和创新。根据咨询机构编制的内控手册的要求，公司不仅编制了母公司对子公司管控的组织权责体系，而且结合公司实际管理要求和各个分子公司的业务特点编制了一套标准的内部控制检查评价底稿，在2011年度评价的过程中进行了再次优化。内部控制是一个持续优化的过程，咨询机构只能带着我们走最前面的一段，后面的过程需要我们自己内部的员工去不断优化。

5.倡导全员参与，将内控规范实施情况纳入绩效考核管理体系。从推进内部控制规范工作初，就一直坚持全员参与的理念，内部控制规范不仅仅是内控规范日常工作小组或者管理层的工作，需要每个员工为之努力。另外公司将内部控制规范实施情况纳入各分（子）公司总经理的绩效考核管理体系，充分调动了各分（子）公司内控规范工作的积极性。

6.持续地培训和提升。在内部控制规范工作推进的过程中，公司根据推进的需要不断地灌输内控相关知识，通过培训进行知识和意识的传播，使得内部控制规范工作的推进具有良好的环境。在信息化方面，通过信息化的手段将流程固化，将控制变成习惯，让管理变得简单。在内部控制评价的信息化方面，公司正在进行有益的尝试。在母子公司的管控上，计划从组织、制度、文化、权责利等方面加强集团公司对分（子）公司的管控。

四、内控规范实施过程中的典型问题

1.内部控制框架体系与公司实际情况的衔接问题。公司的内控系统因行业和规模、文化和管理层哲学均有所不同，没有两个企业会或者应该具有相同的内控系统。公司有多个业务板块，即使同一个板块内，公司与公司内的业务性质仍然有所差异，那就没有一套通用的内控规范框架体系对各个公司都适用，在实施过程中需要考虑共性与个性的问题。

2.内部控制评价中缺陷认定在定量分析方面存在一定难度。内控评价中缺陷认定在定量分析方面存在如下难度：1.部分缺陷难以判断是否对财务报表科目产生定量影响；2.当有两个或者两个以上缺陷对财务报表某个科目产生影响时，不知是简单地累计相加还需要考虑相互作用和影响；3.在考虑缺陷的定量影响因素时，我们还需要考虑是否存在补偿性措施，而补偿性措施会抵消多少量，难以界定。

3.内控有效性的时点认定问题。由于内控有效性认定是以12月31日为基准的，部分内控评价只能在下年度进行，在评价过程中也可能发现部分缺陷因受企业系统管理因素等影响没有整改或者有新的缺陷，但这些缺陷在内控评价报告报出日前已经进行了整改，那么内控评价报告中是否需要考虑这些缺陷的影响或者披露这些缺陷。

4.内控有效性认定标准的探讨。根据内控评价指引，公司存在一个或者多个内部控制重大缺陷时，内部控制即为无效，那么是否可视同没有重大缺陷就是内控有效。目前内控缺陷的标准分为定性和定量两个标准，在实施过程中部分定性标准的经验值还需要进一步验证，定量标准有的也难以量化，主要是某些指标之间的相互关系，某些补偿性指标可以起到的作用等往往因企业文化，行业，经验，甚至领导团队权威等因素而呈现不同的控制力，因此，是否在设计和执行上能按照内控规范的要求并持续改进就认为该公司本年度内控是有效的。

综上所述，内部控制规范的资源投入不仅体现在咨询机构的聘请、信息化系统等一次性的支出，还包括了内控部门人力资源的充实，信息化的维护与持续改进等等。同时，内部控制的实施成本可能还会包括因控制要求的变更导致的内部人员不适应，内部效率降低或者内部运行差错等隐性影响，因此，内部控制的推行应遵循准则要求，立足公司实际，按照循序渐进原则稳步推进，逐步完善，逐年提高。

参考文献：

[1]财政部会计司.《企业内部控制规范讲解》[M]. 北京：经济科学出版社，2010.3

[2]财政部会计司、证监会会计部、中国会计报.《中国企业内部控制建设》[M].北京：经济科学出版社，2012.序2

[3]COSO内部控制整合框架（中文版）[EB]

[4]上海证券交易所.《上海证券交易所上市公司内部控制指引》

[EB] 2006

作者简介：恽伶俐 硕士研究生。就职于江苏省常州市黑牡丹（集团）股份有限公司，现任公司监事、内控与审计部副经理