論企業內控規范的實施

從踏上內審崗位之日起，有幸趕上我國內控建設發展年代，最大的感受有幾點：一是我國企業內控建設正在積極實施和推進過程中，且比預期要好；二是面對“五部委”的要求，全社會、各企業對內控建設的認知程度有待提高；三是內控規范實施需要有計劃、有步驟、逐步、穩妥的持續進行。

一、內控建設起源

內部控制起源于西方，尤其是自1992年9月，美國反虛假財務報告委員會的發起組織委員會（COSO）發布了一份報告《內部控制：整合框架》，提出了內部控制的三項目標和五大要素，標志著美國的內部控制進入了一個新的發展階段。

內部控制這一概念導入我國不過近10年的歷史。2008年6月28日，財政部、證監委、審計署、銀監會、保監會在北京聯合召開企業內部控制基本規范發布會，發布了《企業內部控制基本規范》。2010年4月24日，五部委在北京正式發布《企業內部控制配套指引》，標志著我國的內部控制體系建設取得重大突破，進入了一個全新格局。

二、提升認知水平

從某種程度上來講，內控真正引起國資管理部門和國企經營管理者的重視不過也就是近幾年的事情。因此，很多企業對內控的認知水平并不高，認識往往僅局限在內部監督或內部控制制度等簡單層面，并未了解這種模式的優點是增加了風險評估要素，可以利用已經發生的事情來進行分析，減少事后發生風險的可能性，使它成為一個既控制舞弊又控制風險的控制模式。例如，通過內控測試發現，下屬企業與營業執照經營范圍無“食品批發與銷售”資質，食品流通許可證經營方式為“食品銷售管理”，而非“批發”或“零售”的供應商有采購業務往來，我們可以判斷出潛在的風險，若出現食品質量安全問題，可能使企業遭受經濟損失、信譽損失，引發企業的經營風險及法律風險。由此可見，企業內部控制的目標之一是要將從控制事后風險逐漸向控制事前風險過渡和轉化。通過控制風險，企業內部控制將會同步發現自身問題和機遇，有利于企業持續、健康發展。

因此，董事會、監事會、管理層及全體員工對內控的認知程度，直接影響了內控的建設和實施，企業的內控建設首先要掃清的障礙是對內控認知的混亂，提高全社會、各企業對內控建設的正確認知乃重中之重。

三、淺淡內控規范實施

根據“五部委”要求，內控評估實施時間自2012年1月1日起在上海證券交易所、深證證券交易所主板上市公司施行。為有序、適時、穩妥、有效落實該項工作，擬作分步推進。

步驟一、制定年度內控實施工作方案及具體行動計劃

企業年度內部控制規劃實施工作方案要求涵蓋公司基本情況、內部控制工作的組織領導、內部控制建設工作計劃、內部控制自我評價工作計劃及內部控制審計工作計劃。

公司基本情況應包括公司簡稱、股票代碼、上市情況、組織架構、公司性質、資產規模、經營范圍、控股子公司情況、參股公司情況等。

內部控制工作的組織領導應明確①公司設立內部控制推進工作小組、內控規范實施工作負責人、牽頭部門及內部控制推進工作小組成員、組長、副組長等。②聘請外部咨詢機構為公司在內控規范實施工作中提供相關專業支持。③內部控制規范實施工作預算費用。

內部控制建設工作計劃應首先制定內控缺陷整改方案，根據已查找出的內控缺陷，完成內控缺陷整改方案。其次落實內控缺陷整改工作，各責任部門根據內控缺陷整改方案完成整改工作；計劃財務部、董秘室、審計室等檢查整改效果。再次確定內控實施工作情況披露，董事會將按照上市公司信息披露要求，在定期報告中及時披露內控實施工作情況。

內部控制自我評價工作計劃應包括①擬定自我評價工作計劃，明確納入評價范圍的子公司和業務流程，確定評價工作的時間表、人員分工等；②確定內控缺陷評價標準，根據《企業內部控制評價指引》對一般缺陷、重要缺陷和重大缺陷的定義確定評價標準，評價標準將包括定性標準和定量標準；③組織實施評價提出整改建議，根據經批準的內控自我評價計劃，組織實施內控自我評價工作，提出整改建議；④編制并披露內控自我評價報告，根據缺陷評價匯總表和責任部門及所屬企業整改情況，編制內部控制自我評價報告，報經董事會批準，審議通過后按照監管要求對外披露。

內部控制審計工作計劃應確定內控外部審計機構，對以某年某月某日為基準日的財務報告內部控制設計與運行有效性發表審計意見，出具內部控制審計報告。

具體行動計劃分解到月，列明每月內控工作推進的內容、責任人、工作目標及需要協調資源等。

步驟二、明確內控工作組織領導和工作小組

首席執行官為內控規范實施工作負責人，并由審計室牽頭與紀檢監察室、董秘室、辦公室、計劃財務部、投資發展部、人力資源部等相關人員組成內部控制推進工作小組；下屬各企業的董事長或總經理為本企業內部控制第一責任人。

步驟三、搭建培訓師隊伍，開展《企業內控手冊》專題培訓

抽調總部各職能部門專業人員擔任培訓師，結合實際，就《企業內控手冊》涉及各專業板塊的風險描述、風險控制對下屬企業進行專題培訓，并有合格會計師事務所內控專家對關鍵風控點作點評。

步驟四、啟動內控宣貫動員大會

首席執行官作內控宣貫總動員，學院內控教授或行業內控專家配合總動員作《企業內控與風險管理》專題報告，以生動、形象、深刻的案例說明內控工作的重要性。出席對象總部各職能部門負責人、企業總經理、財務總監、審計主任等部門負責人。

步驟五、各類測試模版的編制

組織相關人員著手編制《內控規范自我評價調查問卷》、各主流程內控獨立測評測試程序及《內控測試工作底稿》模版等。關鍵內控活動測試工作表應包括被測試單位名稱、測試業務流程、子流程、控制責任人、控制活動編號、控制活動描述、控制類型、控制頻率、樣本量、測試程序、測試記錄、測試結果等具體內容。

步驟六、下達《關于開展企業內部控制規范自測自評的通知》

《通知》中應明確自測自評范圍、自測期間、自測方式、自測跟蹤、測試評估等相關要求。

自測自評范圍，某公司所有附屬公司，包括各分公司、子公司和總部各部室。

自測期間，總體以某年工作軌跡作為自測自評重點。總部職能部門及所屬相關企業以某年第一季度作為自測自評重點；自測跟蹤擴展到某月份；測試評估擴展到評估日。

自測方式，總部職能部門及所屬相關企業依據總部下發的《內部控制規范自我評價調查問卷》所涉及公司層面、財務報表編制與披露、長期股權投資管理、人力資源管理、固定資產管理、無形資產管理、合同檔案管理等某個主流程，某個子流程的相關內容，逐項逐條認真對標。

對標使用文件：總部各職能部門對標使用附件二①，某板塊對標使用附件二②，其他企業對標使用附件二③。

各相關企業及部門應將對標情況，如控制描述是否有變化、控制設計是否有效、控制執行是否有效等如實、完整記錄在問卷中，并妥善保存對標的相關資料，以備核查。同時，根據對標記錄反映的結果，形成本企業、本部門的自測自評報告。

自測跟蹤，企業完成對標工作后，總部各職能部門應組織力量對各企業對口部門進行后續跟蹤，并應就跟蹤發現的未達標情況，提請企業限時整改。同時，將跟蹤情況形成匯總報告，提交總部內控工作推進小組。

測試評估，總部內控工作推進小組將派內控規范測試小組，對納入評價范圍分子公司，按照確定的關鍵業務流程及其控制活動的測試程序進行測試。

步驟七、構建兩支隊伍，做好測試跟蹤及測試評估

一支隊伍，由總部各職能部門專業人士組成，落實《通知》要求的自測跟蹤；另一支隊伍，由總部內審與外部專業人士共同組成測試小組，落實《通知》要求的測試評估。

步驟八、進行現場測試

通過現場訪談，了解被測試企業所涉及的關鍵業務主流程內控設計和執行有效性；并對相關子流程所對應的控制活動實施實地測試、穿行測試、抽樣測試等。

步驟九、編制、復核測試工作底稿，出具內控測試報告

測試小組編制、復核被測試企業測試工作底稿，并與被測試企業就測試情況進行溝通，交換意見，形成測試結果和整改建議匯總表，出具被測試企業內控測試報告。內控測試報告內容涵蓋項目立項依據、被測試企業、測試期間、測試流程、測試方法、測試結果及測試發現的問題、存在風險及整改建議等。

步驟十、下達整改任務書

對被測試企業下達整改任務書。

步驟十一、內控測試結果運用

對一些易在不同企業重復發生的情況進行提煉，形成《內控測試若干缺陷發現、分析和整改要求》下發所有企業，要求各企業對照本企業情況，舉一反三，避免類似情況在本企業重復發生，引導企業將從控制事后風險逐漸向控制事前風險過渡和轉化，不斷提高企業經營管理者對法律、財務、經營等方面風險防范意識。