內部控制歷史沿革及企業應對策略

2008年6月28日財政部等五部委聯合發文公布我國第一部《企業內部控制基本規范》，2009年7月1日上市公司施行，鼓勵非上市的其他大中型企業參照執行。要求對本公司內部控制自我評價，披露年度自我評價報告，并可聘請具有證券、期貨業務資格的中介機構對內部控制的有效性進行審計。這一規定的頒布，加上此前滬深證交所和國資委推出的內部控制各項規定，都要求由企業內部控制由政府相關部門監管，內部控制監管外部化已基本完成。那么，國際上的內部控制是如何發展的，我國內部控制制度又是如何逐步完善的呢？企業如何面對日益加強的內部控制監管呢？本文就此進行分析。

一、國際內部控制歷史沿革及分析

內部控制框架的發展，不能不說是一種幸運或是悲哀。目前說得最多的還是美國的內部控制發展，盡管世界上其他國家比較權威的內部控制如加拿大的COCO、英國的Turnbull、南非的King和其他一些國家的權威的框架，但是占主流或主導地位的還是美國的COSO。不管你是否承認，回顧這段歷史，主要還是以美國的內部控制發展為主，也許這就是所謂的美國軟實力的體現吧。執經濟之牛耳的美國一直蠶食著世界人們的思想與頭腦，應當反對這種壟斷，但是確實太難了。

隨著認識的不斷深化，內部控制的發展經由積少至多發展脈絡，即從內部牽制到內部控制制度（二要素）、內部控制結構（三要素）、內部控制整合框架（五要素），最新變更為“企業風險管理整合框架（八要素）”。這主要是美國一直主導世界范圍內的內部控制建設與發展。這里引述的也主要是美國的內部控制發展史。

內部控制的最早標志，可追溯至早期蘇美爾文化（公元前3600年到公元前3200）中。當時，審核人員在賬簿旁邊標上小標記，表明完成查賬。古埃及的“兩個官吏審核稅收”、古代波斯的“政府記錄官”、希臘雅典的“財務披露”、古羅馬的“內部牽制制度”、我國西周的“分權控制方法”、“九府出納制度”、“交互考核制度”都說明內部控制歷史的源遠流長。

現代內部控制分為萌芽、發展、形成和成熟四個階段：

（1）萌芽階段——內部牽制（Internal Check）。20世紀初，人們將控制視為預防性的，如享利·法約爾認為“在一個企業中，控制在于檢驗每一件事情是否同所擬定的計劃、發出的指示和確定的原則相符合，旨在發現、糾正和防止重犯錯誤”。控制成為管理人員的助手。1912年審計學家蒙哥馬利在編寫的《審計——理論與實踐》中提出：“一個人不能完全支配賬戶，另一個人也不能獨立地加以控制的制度，某位職員的業務與另一位職員的業務必須是相互彌補、相互牽制的關系，即必須進行組織上的責任分工和業務的交叉檢查或交叉控制，以便相互牽制，防止發生錯誤或舞弊”。

（2）發展階段——內部控制制度（Internal Control System）。1934年美國《證券交易法》首次提出“內部會計控制”。1936年美國會計師協會的《獨立職業會計師對財務報表的檢查》中，提出：“內部牽制和控制這一術語是指為了保護公司現金和其他資產，檢查簿記事務的正確性，而在公司組織內部采用的手段和方法”。將內部牽制和內部控制區分開來。1939年美國會計師協會發布的《審計程序的擴展》中第一次使用了“內部控制”這一術語。1949年美國會計師協會第一次正式公布了內部控制的定義，《內部控制——調整組織的各種要素及其對管理當局和獨立職業會計師的重要性》，將內部控制訂義為：“包括企業內部采用的機構計劃和所有有關的調整方法和調整措施，旨在保護企業資產、檢查會計數據的準確性和可靠性，提高經營效率，促使有關人員遵循既定的管理方針。”但是該定義過于寬泛，將內部控制包括所有的內部控制，審計師認為責任過于重大，不準備接受該定義。為此，會計師協會建議將內部控制分為“會計控制”和“業務控制”兩部分。審計人員主要負責會計控制。1958年AICPA頒布的《獨立審計人員評價企業內部控制的范圍》中提到：“企業內部控制制度分為內部會計控制（Internal Accounting Control）和內部管理控制（Internal Administrative Control）”。

1970年日本會計研究學會提出經營者為維護資產的安全完整，確保會計記錄的正確性和可靠性，以及對經營活動進行綜合的計劃、協調和評定而制訂的制度、組織、方法和程序的總稱。1976年加拿大特許會計師協會提出：“內部控制由組織體制的設計和企業管理人員制訂的所有協調制度所組成，就其實用方面而論是為了取得確定的管理目標，促進企業的業務有秩序和有效率地進行，保證資產的安全、會計記錄的可靠和及時地提供準確的財務資料。”

（3）形成階段——內部控制結構（Internal Control Structure）。1988年AICPA公布的《審計準則公告第55號》中提出，“內部控制包括控制環境（Control Environment）、會計制度（Accounting System）、控制程序（Control Procedure）。”期間，1981年國際會計師聯合會提出：“內部控制系統包括組織體制的設計和經濟實體所采用的方法和程序，是為了達到既定的管理目標而有序和有效率地進行的經營活動。”

（4）成熟階段——內部控制框架（Internal Control Integrated Framework）。1992、1994年COSO《內部控制——整體框架》，提出了五要素，即控制環境（Control Environment）、風險評估（Risk Appraisal）、控制活動（Control Activity）、信息與溝通（Information and Communication）和監控（Monitoring）。1950年代以來，CPA訴訟案件上升，SEC重申和強調CPA對揭露欺詐的職責，社會公眾也有如此期待。審計技術局限性及財務報告舞弊復雜性，現有的審計程序和方法可能無法保證查出重大舞弊行為。70年代中期，在對“水門事件”調查中，發現美國不少大公司進行違法的國內捐款，甚至賄賂外國政府官員，引起立法和政府部門關注。國會于1979年通過《反國外賄賂法（FCPA）》，規定了與會計及內部控制有關的條款。不久美國SEC發布了《管理層對內部會計控制的報告書》，強制公司對其內部會計控制提出報告書。

1985年美國注冊會計師協會AICPA、美國會計學會AAA、財務經理人協會FEI、內部審計師協會IIA、管理會計師協會IMA聯合創建了反虛假財務報告委員會（前任SEC委員Treadway擔任主席，即Treadway委員會），探討財務報告中的舞弊原因。1987年該委員會提交著名的研究報告，提出諸多頗具價值性的建議。兩年后，該委員會建議，其贊助機構成立COSO（Committee of Sponsoring Organization）委員會。1992年9月發布《內部整合框架COSO－IC》，1994年增補。馬上得到美國審計總署（GAO）的認可，AICPA全面接受其內容，1995年發布的《審計準則公告第78號》中吸收。

1998年巴塞爾銀行監管委員會提出了銀行內部控制評價的13條原則。

經由2001年的“安然事件”和2002年的“世通公司舞弊案件”，美國SEC出臺旨在加強公司內部控制的《薩班斯法案》，其中404條款“最終細則”要求，上市公司必須對內部控制制度進行自我評價，并同時在年報中公布經由事務所審計的內部控制評價報告。同時提到，COSO框架可以作為評估企業內部控制的標準，并參照這一框架給出了“財務報告內部控制”的定義，美國學術界也全力擁護COSO。為了適應1991年美國頒布的聯邦存款保險公司修正法案（FDICIA），美國許多銀行也已采用了COSO。如果管理層不想采用COSO，他們必須選擇其他框架，其他國家包括加拿大的COCO、英國的Turnbull、南非的King和其他一些國家的權威的框架。不管管理層采用哪一種框架，它都必須符合SEC的標準。如果公司選用COSO之外的框架，管理層應當把它選擇的框架與COSO作圖示對照，證明包含了COSO的關鍵構件。這樣當外部審計者及其他各方對使用COSO以外的框架有異議時，可以用圖示說明。

2002年頒布的《薩班斯法案》要求上市公司全面關注風險，加強風險管理，這客觀上推動了內部控制整體框架的發展。與此同時，COSO委員會也意識到《內部控制整體框架》自身存在一些問題，如過分注重財務報告，沒有從企業全局與戰略的高度來關注企業風險。2003年7月COSO委員會根據《薩班斯法案》要求，頒布了“企業風險管理整合框架”的討論稿，該討論稿是在《內部控制整合框架》的基礎上擴展而來的。2004年9月正式頒布（COSO－ERM）。

2006年6月COSO委員會針對較小公司（但也可適用于大公司），就如何利用整合架構來設計和執行符合成本效益的內部控制，發布了《財務報告的內部控制——小型公開發行公司指引》，協助管理階層建立及維持有效的內部控制，也可協助管理層針對政府主管機關的評估指引，更有效率地評估內部控制的有效性。但是這份報告并未取代，也沒有修改整合架構，主要是關于怎樣使用整合架構的指引。共分三冊：第1冊為管理層摘要，為公司董事會和高管理階層提供一份執行摘要。第2冊為小企業內部控制的概要說明，包括公司特征的描述，怎么影響內部控制以及面臨的挑戰，如何使用此架構。第3冊包含評估工具，幫助管理層評估內部控制。

從上可見，國際上的內部控制有幾個特點：一是發展要素經由簡至繁、由少到多、由點到面這樣一個循序發展過程；二是美國在世界近代內部控制發展史上，占有絕對的主導地位；三是目前的內部控制制度較多體現了成熟市場經濟條件下的要求，對中國這樣轉型經濟考慮較少。

二、中國內部控制規范沿革及分析

我國內部控制規范歷史較短，基本上可以歸為引介、吸收和消化、洋為中用。

1999年修訂的《會計法》，第一次以法律的形式對建立健全內部控制提出原則要求。

2001年后財政部連續制定發布了《內部會計控制規范——基本規范》等7項內部會計控制規范。

審計署、國資委、證監會、銀監會、保監會以及上海、深圳證券交易所等也從不同角度對加強內部控制提出明確要求。

2004年底，國務院領導同志就強化企業內部控制問題作出重要批示；2005年6月在財政部等上報《關于借鑒〈薩班斯法案〉完善我國上市公司內部控制制度的報告》；溫總理批示，同意“由財政部牽頭，聯合證監會及國資委，積極研究制定一套完整公認的企業內部控制指引”；2006年7月15日財政部、國資委、證監會、審計署、銀監會、保監會聯合發起成立企業內部控制標準委員會；草擬了《企業內部控制規范——基本規范》和17項具體規范（征求意見稿）。具體規范涉及財務報告內部控制和其他方面的控制（如對符合企業經營目標的控制）。目前，具體規范的設計主要以財務報告內部控制為主線，初步擬定為26項。其中，17項已起草完成并對外公開征求意見；9項正在抓緊研究起草之中。具體規范分三類：第一類是對與企業財務報表項目相關的、可能會對財務報告真實可靠性產生較大影響的經濟業務事項提出具體要求的控制規范。第二類是與財務報表編報相關的控制規范，包括財務報告編制、公允價值、關聯交易、信息披露等。第三類是為實現有效的財務報告內部控制所必需的事前、事中和事后制度支持的控制規范，包括預算控制、人力資源控制、計算機信息系統控制、審計監督控制等。

2008年6月28日，由財政部等五部委頒布了我國第一部《企業內部控制基本規范》。基本規范融合世界主要經濟體加強內部控制的做法經驗，提出了建立與實施內部控制的要素，即構建以內部環境為重要基礎、以風險評估為重要環節、以控制活動為重要手段、以信息與溝通為重要條件、以內部監督為重要保證。

從上可見，我國內部控制體現了三個特點：第一，我國的內部控制發展經由引進、消化和吸收，并逐漸形成自己的特色；第二，對企業內部控制監控由放任不管，到逐步加強，直至全面加強監管；第三，內部控制體系經由政府相關部門的努力，由簡單到復雜，由零散到規范，逐步完善。

三、企業應對策略

內部控制標準的出臺，無疑會使企業面臨著如何抉擇，以使自身利益最大化的問題。一是直面內部控制標準。內部控制標準的推出已經無法改變，作為中國企業，必須執行，這是一個企業作為社會公民的應盡義務。所以，以積極的心態迎接這種挑戰。二是未雨綢繆，成立專門機構或專門人員制定企業的內部控制制度。我國在美國上市企業已經先行一步，已經制定并執行了《薩班斯法案》，一些企業盡管沒有在美國上市，也已經按照類似標準，自覺制定了自己的內部控制標準。一旦內部控制標準開始執行，就將很快適應新的形勢。三是正確認識內部控制標準及相關制度。盡管上面分析了諸多內部控制屬企業內部管理權限問題，但是真正良好的內部控制制度是有利于企業完善公司治理結構，為提高企業效益服務的。所以，不應把內部控制制度的執行當作負擔，而是作為一個改善企業業績的契機，這樣反而會真正提升企業的管理水平和經濟效益。四是對于中小企業而言，如果執行內部控制標準過高，可以考慮將其業務外包，由民間審計或其他中間機構提供服務，盡可能減少成本。

（作者單位：北京理工大學管理與經濟學院）