內部控制與公司治理的整合

【摘要】內部控制理論發展的歷史表明，內部控制的目標在不斷提升，范圍在不斷擴大，大有與管理學、經濟學融合之勢。文章在回顧有關內部控制和公司治理關系研究的基礎上，從現代控制理論和經濟學的角度分析了兩者整合的必要性和可能性，并提出了整合框架。

【關鍵詞】內部控制; 公司治理; 控制論; 整合

一、內部控制與公司治理的關系研究文獻回顧

關于內部控制與公司治理之間的關系，得到了理論界的充分關注。

(一)國外研究文獻

1994年修訂后的COSO報告在關于控制環境的論述中，包括了股東大會、董事會等公司治理的相關內容。而關于公司治理和內部控制關系的研究，當首推被稱為英國公司治理和內部控制研究史上的三大里程碑:1992年發布的《卡德伯利報告》、1998年發布的《哈姆佩爾報告》和1999年發布的《特恩布爾報告》。這三份報告將內部控制置于公司治理框架中進行研究，認為有效的內部控制是公司治理的一個重要環節，董事會及董事對控制的各個方面進行復核具有重要意義，在其內部控制和公司治理規范中，強調了董事會對內部控制的責任。

(二)國內研究文獻

國內關于內部控制與公司治理關系的研究，主要有以下幾種觀點。

1.公司治理是內部控制的環境之一，是內部控制的前提。

閻達五(2001)認為，隨著公司治理機制的完善，內部控制與公司治理的關系是內部管理監控系統與制度環境的關系。吳水澎、程新生等許多學者在相關研究中，都持有類似的觀點。

2.內部控制是公司治理的基礎。楊雄勝(2005)認為沒有系統而有效的內部控制，公司治理將成為一紙空文，內部控制是實現公司治理的基礎設施建設。

3.內部控制和公司治理是會計系統運行的兩個重要因素，兩者相輔相成，相互促進。王蕾(2001)認為，內部控制和公司治理具有高度的相關性，健全的內部控制體現了有效的公司治理，內部控制的創新和深化將有助于公司治理的完善。

4.內部控制和公司治理存在一種嵌合關系。李連華(2005)認為，內部控制和公司治理在主體、目標和內容上有很多的重合點和交叉性，用“你中有我，我中有你”的嵌合論更能準確地描述內部控制和公司治理的關系。

從內部控制與公司治理關系的研究文獻可以看出，兩者的關系非常密切，主要表現為三種形式:互為前提、等同關系、嵌合關系。既然公司治理和內部控制具有如此高的關聯度，二者均存在于企業運行系統之中，從系統控制論的觀點來看，兩者整合就具備了一定的基礎。

二、內部控制與公司治理整合的必要性與可能性分析

(一)內部控制與公司治理整合的必要性分析

1.從產生的根源來看，內部控制與公司治理都是基于委托代理而產生的，具有相同的理論基礎。在企業發展過程中，由于所有權與經營權分離，“內部人”控制相當嚴重，經理人背德、逆向選擇、大股東一股獨大導致非理性決策等問題而引發企業失敗。為了解決這一問題，形成了公司治理規范。公司治理規范通過建立約束、激勵和監督機制，試圖解決所有者和經營者的委托代理問題。關于公司治理問題的產生，哈特(Hart，1995)認為有兩個條件。第一，組織成員之間存在著代理問題;第二，存在著交易成本，從而代理問題不能通過一個完全合同來解決。也就是說，存在代理問題和不完全合同的情況下，公司治理問題就產生了。

內部控制從產生至今，經歷了內部牽制、內部控制制度、內部控制結構、內部控制整體框架和企業風險管理框架等五個階段。在不同的階段，內部控制都被賦予了不同的內涵。1992年，COSO研究報告《內部控制——整體框架》將內部控制定義為由董事會、經理層和其他員工共同實施的，為營運效率、財務報告的可靠性和相關法規的遵守等目標的達成而提供合理保證的過程，并將內部控制整體框架分為控制環境、風險評估、控制活動、信息與溝通、監督五個部分。2004年，COSO發布的《企業風險管理——整體框架》，將內部控制的目標提升到戰略目標的位置，實現了內部控制又一次質的飛躍。從本質上說，內部控制是存在于企業的一種控制機制和控制體系，是一種為了解決代理問題，降低代理成本而做出的一種制度安排。從契約理論的角度來看，內部控制可以看作是公司治理這個不完全契約在企業內部的進一步延伸。

2.從方法論的角度來分析，公司治理和內部控制理論在發展和完善的過程中，應用了系統論和控制論的思想。從控制系統的主要特征出發來考察企業運行系統，可以得出這樣的結論:公司治理和內部控制是典型的控制系統。作為企業管理系統中的兩個子系統，他們之間存在著較高的耦合度。首先，二者存在著內容耦合。在公司治理結構中，除獨立于企業業務系統的股東、監事會行使監督權外，其余的監督權、決策權和執行權都納入到內部控制框架之下，由董事會、經理、職能部門、業務部門來行使。其次，二者存在著控制耦合，內部控制與公司治理相互依賴而發揮作用。公司治理主要側重于處理約束、監督與激勵問題，處于企業控制系統的較高層次，而內部控制側重于企業各項具體活動的控制，主要解決經營管理部門的決策與執行問題，處于企業控制系統的較低層次。在實施公司治理結構時，配置和行使控制權必須以內部控制來保障和約束;對董事會、管理人員的監督和評價，也必須以內部控制的執行結果為依據;設計和實施激勵機制最終通過內部控制程序體現出來。內部控制活動是公司治理活動的具體化，沒有控制活動，公司治理結構就成為空中樓閣。從另一方面來說，公司治理又影響著企業內部控制的建立及運行效果。如果沒有有效的公司治理結構，管理者就容易發生道德風險和逆向選擇。現代控制理論認為，內容耦合的耦合度最高，是一種最差的耦合。耦合度越高，成本越高，從經濟學角度來說，不符合成本效益原則。如果模塊間必須存在耦合，盡量少用控制耦合，限制公共耦合的范圍，堅決避免使用內容耦合。從這個意義上說，有必要對內部控制和公司治理進行整合，以進一步提高其內聚度，降低耦合度。

3.從內部控制的產生和發展實踐來看，兩者有整合的必要。內部控制產生和發展的歷程是隨著經濟的發展其研究內涵不斷擴展和研究重心不斷變化的過程，是從以會計控制為主到不斷向企業管理延伸的過程，這個過程是建立在社會經濟實踐和企業經營管理需要的基礎之上的。20世紀60年代以來，大量的公司倒閉或陷入財務危機，導致“訴訟風暴”，引起審計風險的加大和對內部控制的懷疑，從而使內部控制研究的內容更加具體，同時不斷完善管理控制的內容。2004年，COSO發布的《企業風險管理——整體框架》，使風險控制不僅面向過去，而且面向未來，不僅貫穿于執行層，而且貫穿于決策層。因此，隨著經濟的發展、高風險行業的增多和方法論的發展使得內部控制不斷地與管理學和經濟學相融合。

(二)內部控制與公司治理整合的可能性分析

1.內部控制與公司治理在實施主體和手段上有一定的重

疊。作為兩種制度安排，內部控制與公司治理在運行過程中，其實施的主體和手段有一定程度的重疊，這種重疊為兩者的整合提供了進一步的可能，使兩者的整合找到了接合點。從實施主體來看，兩者都包括董事會和經理;從實施的手段來看，兩者均運用到約束、監督、評價等基本手段。

2.內部控制與公司治理的終級目標具有一致性。二者的具體目標雖然不同，但終極目標卻是一致的。無論是內部控制還是公司治理，都是為了保證企業系統的正常和高效運行，防范化解風險，確保企業目標的實現。兩者在終極目標上的一致性，為其整合創造了條件。

三、內部控制與公司治理的整合

(一)整合框架

內部控制和公司治理都是以委托代理為理論基礎，其終極目標表現出高度的一致性。內部控制理論在發展的過程中，逐漸向公司治理融合，兩者界限逐漸模糊并表現出較高的耦合度，從而具備了整合的基礎和可能。為了加快企業管理一體化進程，有必要對內部控制和公司治理進行整合。

兩者的整合以企業價值最大化目標為核心，以風險管理為主線，各責任主體的行為依照一定的流程，采用一定的程序和方法進行。也就是說，兩者整合后的基本框架為:一個中心，一條主線，三個維度。一個中心是企業價值最大化;一條主線是風險管理;三個維度分別是:責任主體(股東大會、董事會、經理、部門、個人)，管理流程(戰略、計劃、組織、協調、執行、作業)，程序方法(內部環境、目標設定、事件識別、風險評估、風險反映、控制活動、信息與溝通、監督)，他們為企業目標提供合理的保證。兩者整合后，內部控制與公司治理要統一到企業價值最大化目標之下，企業行為受制于企業價值最大化目標，要以企業目標為核心。按照企業目標的層次不同，可以將其進一步分解為:戰略目標(企業最高目標，應與組織的使命一致并支持該使命)、經營目標(有效使用資源)、報告目標(提供可靠的報告)、遵循性目標(遵循相關的法律規章)，以滿足管理和風險控制的需要。為了保證企業目標的實現，企業要制定一套有效的管理流程，具體包括:戰略、計劃、組織、協調、執行、作業。要根據企業目標制定企業發展戰略，以企業發展戰略為依據，綜合考慮各種影響因素，制訂企業經營計劃。為了保證計劃的有效實施，要確定一定的組織機構(責任主體維度)，各個層次的組織機構要協調運轉，需要制訂一定的流程。各組織或主體要執行計劃，一般通過具體的作業來完成。

風險存在于企業整個經營活動的過程之中，為了識別和控制風險，必須要有一套風險管理方法。2004年COSO發布的《企業風險管理——整體框架》報告指出，企業風險管理包含八個相互關聯的要素:(1)內部環境。內部環境包括風險管理哲學、風險偏好、董事會、誠實度和道德價值觀、組織結構、勝任能力、人力資源政策與實務、權責分配。它是組織人員對待和處理風險的基礎。(2)目標設定。企業風險管理要求管理層設定目標，選擇的目標需要能夠支持組織的使命并與組織使命、風險偏好相一致。(3)事項識別。識別那些影響組織目標實現的內外部事項，并區分為風險和機會。機會將被考慮進管理層的戰略或目標設定過程中。(4)風險評估。必須對風險加以分析，考慮其發生的可能性以及影響，確定風險應對和管理策略。(5)風險反映。管理層在不同的風險應對(包括回避、接受、降低、分擔風險)中做出選擇，從而采取一系列與組織的風險容忍度(risk tolerances)和風險偏好相一致的行動。(6)控制活動。建立相關的政策和程序，以確保風險應對策略得到有效的執行。控制活動通常包括兩個要素:從事何種活動的政策、執行政策的程序。(7)信息與溝通。識別、捕捉相關信息并加以傳遞溝通，使各責任主體可以有效地履行職責。有效的溝通包括向下、向上以及平行交互溝通。(8)監控。整個企業風險管理都應當加以監控并根據需要做出調整。監督可以通過持續性的管理活動、單獨評價或者二者同時來實現。

整合系統應充分發揮內部審計的作用。內部審計通過對整合系統的充分性、有效性的評價和運行過程的持續監督，發現整合系統及風險管理的薄弱環節，改善管理層風險管理流程的效果和效率，通過與管理層、董事會、審計委員會的溝通討論，加強風險管理，保證整合系統的有效運行。內部審計還可以通過為管理層提供咨詢協助企業完善和改進整合系統。

(二)整合的意義

內部控制與公司治理整合后，運行的目的更加明確并趨于一致，公司治理從戰略的角度應對風險，實現企業價值最大化，而內部控制則按照全面風險管理的要求運作。由于要素之間的協同效應，兩者整合后會體現出整體功能放大效應。在一致的目標統領下，各責任主體(股東大會、董事會、經理、部門、個人)協調運作，共同減少不確定性因素特別是風險對整合系統的影響，實現增加企業價值的最終目標。

內部控制和公司治理有效地整合，具有重要的現實意義。從現代控制理論的角度來說，兩者整合后形成的整體框架，其內聚度進一步增加，耦合度降低，加快了企業管理一體化的進程，提高了企業管理效率，對建立和完善有效的企業控制體系有著重要的意義。從經濟學角度來看，兩者整合后能在相對較低的成本條件下很好地解決委托代理關系，防范化解企業風險，實現企業相關者利益最大化。●

【參考文獻】

[1] 程新生.公司治理、內部控制、組織結構互動關系研究[J].會計研究，2004(4):14-18.

[2] 謝志華.公司治理、內部控制、風險管理:關系與整合[J].會計研究，2007(10):38-40.

[3] 楊雄勝.內部控制理論研究新視野[J].會計研究，2005(7):49-51.

[4] 吳水澎，陳漢文，邵賢弟.企業內部控制理論的發展與啟示[J].會計研究，2000(4):4-7.

[5] 閻達五，楊有紅.內部控制框架的構建[J].會計研究，2001(2):10-13.

[6] 張硯，楊雄勝.內部控制理論研究的回顧與展望[J].審計研究，2007(1):39-40.