淺談企業內部控制體系構建

馬 力

(中國中鐵股份有限公司，北京 100039)

國務院國資委頒布的《中央企業全面風險管理指引》和財政部等五部委頒布的《企業內部控制基本規范》及其《企業內部控制配套指引》，為企業實施內部控制提供了標準和依據。構建與企業管理體系相融合的內部控制體系，不僅是企業實施內部控制的基礎，也是提高風險管控能力，提升企業運行質量，實現企業轉型升級的有效途徑，對于做強做優中央企業，打造具有核心競爭能力的世界一流企業具有十分重要的意義。

中國中鐵股份有限公司(以下簡稱中國中鐵)是集勘察設計、施工安裝、工業制造、科研咨詢、工程監理、投資開發、建設管理、信托投資和對外經貿于一體的多功能特大型企業集團，現有二級企業48家。自2007年重組改制并在滬港兩地上市以來，中國中鐵董事會、經理層高度重視企業內部控制與風險管理，結合企業特點，于2009年5月全面啟動全公司企業內控體系建設工作，經過近三年的積極探索與實踐，初步建立了一整套適用性強、融合度高、覆蓋面全的企業內部控制體系，進一步規范了企業依法經營運作，使企業內控風險管理水平不斷提高。

1 明確內部控制體系建設職責和分工

中國中鐵董事會負責內控體系的建設工作，審議工作方案和經費預算，聽取工作匯報，提出明確要求;董事會審計委員會受董事會委托負責指導內控體系建設工作;經理層負責內控體系建設的實施工作。為了加強內控體系建設工作的組織領導，成立內控體系建設領導小組，主要領導擔任組長，分管領導擔任副組長，相關部門負責人為成員，研究解決內控體系建設過程中的重大事項。明確戰略規劃部為內控體系建設的牽頭部門，審計部為內控監督和自我評價的牽頭部門，各部門為內控體系建設的實施部門。做到人員到位、工作到位、責任到位，有力地推動了內控建立工作的順利開展。

中國中鐵在內部控制體系建設過程中，不僅明確了內控體系建立過程中的職責分工(如表1所示)，同時制定了《內控體系運行管理辦法》，進一步明確了內控體系的執行、維護、監督、評價、整改、提高等日常工作職責，確保內控體系有效運行。

2 確定內控體系建設的方案和工作流程

總體方案是內控體系建設的行動綱領。針對中國中鐵管理層級多、管理鏈條長、業務差異大和多級法人實體的管控特點，按照制度流程化、內控信息化的總體目標，制定了《全公司內部控制體系建設總體方案》。確立了“全面規劃、統一部署、突出重點、試點先行、分步實施，逐級推進”的工作方針，明確了內控體系建設分三個階段推進的實施步驟(第一階段為公司總部內部控制體系建設階段;第二階段為二級企業內部控制體系建設階段;第三階段為全面逐級建立階段)。提出了用兩年半左右的時間，在全公司建立起相對統一、相互關聯、上下聯動、運行有效的內控體系的任務目標，確保內控體系建設工作按計劃有序推進。

表1 內控體系建設的職責分工

工作流程是建立內控體系過程控制的關鍵。為了統籌全公司內控體系建立的工作方法步驟，結合企業組織建構設置和管理現狀，依據《中央企業全面風險管理指引》、《企業內部控制基本規范》及其《配套指引》，制定了規范的內控體系建立工作流程，確保中國中鐵總部及各等級企業內控體系上下關聯、協調一致、便于執行(如圖1所示)。

圖1 內部控制體系建立流程

3 全面構建內控體系

3.1 公司層面控制體系

公司層面的控制體系建設包括兩方面:公司層面控制機制建設和公司層面風險評估。

(1)公司層面控制機制建設

公司層面的控制機制建設包括建立健全內部控制組織體系，培育內控風險管理文化，完善內部控制制度及信息系統建設。

短視頻可以充分利用其自身社交媒體的特點進行社會化營銷，用戶是社交平臺中的主角，而社會化營銷的目標群體也是網絡平臺中的這些用戶，好的社會化營銷可以讓每一個用戶成為企業宣傳的參與者，擔當企業營銷人員，在社交平臺中形成口碑營銷。而短視頻作為一種營銷方式，只有在與社交媒體相結合時才能夠發揮出更大的價值。而企業也可以在充分了解用戶需求的基礎上，通過對用戶數據挖掘，制作千人千面的“個性化”的短視頻，這樣創作出來的短視頻能夠“投其所好”，也會獲得更加良好的營銷效果，個人或者營銷品牌能夠和用戶更親密的接觸是社會化營銷的優勢。

①建立健全內部控制組織體系

內部控制職能的有效發揮，依賴于企業良好的內部控制環境，其中公司治理結構及其工作程序決定了內部控制環境的基調，為公司內部控制的建立、運行、維護和整改提供了組織和制度基礎。《企業內部控制基本規范》要求，公司應當根據國家有關法律法規、部門規章的規定，建立規范的公司治理結構和議事規則，明確決策、執行、監督方面的職責權限，形成科學有效的職責分工和制衡機制，充分表明了良好的治理結構對公司內部控制的重要意義。公司應以規范治理結構為基礎，構建內部控制體系的組織架構，為內部控制建設和運行提供良好的組織保障，圖2為中國中鐵股份有限公司治理結構。

②培育內控風險管理文化

內控風險管理文化是內部環境的重要組成要素。良好的內控風險管理文化能夠幫助全體員工樹立正確的內部控制和風險管理理念。中國中鐵啟動內部控制建設項目后，就《企業內部控制基本規范》解讀、管理框架設計、業務流程繪制等內控建設的相關理論和內容，先后兩次開展全員集中培訓，并通過會議和專題座談等方式，對相關部門和人員進行了重點培訓，培訓范圍基本覆蓋了總部機關每位員工。各層級企業都相應開展了多次培訓，努力培育企業內控風險文化，為內控體系建立工作奠定了堅實的基礎。

③完善內部控制制度

內部控制的基本要求是保證企業經營管理的各項活動都有相應的制度加以規范和指引。中國中鐵依據《企業內部控制基本規范》、《企業內部控制配套指引》和《中央企業全面風險管理指引》的要求，從建立完善的規章制度體系入手，狠抓規章制度梳理、整合、優化工作;從規章制度的合規性、必要性、充分性和操作性入手，廣泛開展各項規章制度評審工作;從規章制度的有效性、協調性入手，重點解決制度規定的統一和環節接口的一致，建立了以《內控手冊》、《內控流程匯編》和《內控運行管理辦法》統籌各項管理制度的內控體系文件，確保企業各項活動有章可循。

④建設內控信息系統

(2)公司層面風險評估

公司層面的風險評估包涵風險識別、風險評估、繪制風險地圖和建立風險數據庫等工作內容。

①風險識別

公司層面風險識別應遵循“目標——風險——控制”的核心思想，圍繞公司的戰略目標識別對實現戰略目標產生不利影響的不確定因素。中國中鐵圍繞公司的戰略目標，在深入開展盡職調查的基礎上，對企業內外部環境進行分析，廣泛收集風險初始信息，共識別戰略規劃風險、投資風險、工程造價風險等75項風險，并對風險內涵給予明確的定義。

②風險評估

運用定性與定量相結合的方法對識別出來的公司層面風險進行評估。定性的方法有問卷調查、實地調研、訪談、專家意見等;定量的方法有敏感性分析、情景分析和蒙特卡羅模擬分析等。從公司層面風險發生的可能性與影響程度兩個維度，確定重大風險、重要風險和一般風險。同時結合內外部環境的變化，加強風險動態管理，定期不定期地深入開展公司層面的風險評估工作，辨識公司層面重大和重要風險，分析風險發生的影響因素，理清風險管理的思路，制定了總體解決方案和應對措施。

③風險地圖繪制

根據風險評估的結果進行風險排序，繪制風險地圖，風險地圖的縱坐標是風險的影響程度，橫坐標是風險發生的可能性。風險地圖能清晰地反映出風險的重要性，幫助管理層確定風險管理的優先順序和策略(如圖3所示)。

圖2 中國中鐵股份有限公司治理結構

圖3 公司層面風險地圖

3.2 業務流程層面控制體系

業務流程層面控制體系建設的工作步驟包括搭建流程體系框架，繪制流程圖與流程描述，撰寫RCM矩陣。

(1)搭建流程體系框架

業務流程層面控制體系建設的基礎工作是搭建公司業務的流程體系框架。流程體系框架是對企業現有業務的分類分級描述，企業的所有業務的控制目標、潛在風險和控制措施都孕育在業務活動之中，不可能獨立存在。通過搭建流程體系框架，能夠使相關人員清晰地查看風險全景視圖，明確管控的總體思路和要求(如圖4所示)。

(2)繪制流程圖與流程描述

流程圖與流程描述的作用是清晰地說明了各項業務存在哪些環節，各個環節涉及哪些部門、崗位、人員及所需要的資源和信息，同時體現出流程與流程之間、流程內部環節與環節之間銜接的權責歸屬。中國中鐵在流程梳理的過程中，共優化了221個業務管理流程，補充建立和修訂管理制度40余個，識別流程控制目標540余個，識別確認關鍵控制點590余個，編寫1 105個管理文檔。

(3)撰寫RCM矩陣

RCM矩陣即風險控制矩陣，反應了“目標—風險—控制”的對應關系，具體到業務流程層面的內部控制體系建立，就是指識別具體業務的控制目標，查找影響控制目標實現的風險，進行控制措施與風險的配比，判定是否存在控制缺陷。中國中鐵在明確各項業務控制目標的基礎上，將公司層面重大、重要風險與相關業務流程的關鍵控制進行全面對接，細化控制措施，明確實施控制的責任，系統地規范了不相容職責的分離，實現重大風險的全流程管理(如表2所示)，層層建立以實現企業發展戰略為目標，風險管控為手段的防范機制，確保安全質量、投資融資、分包管理、海外施工、工程造價、民工隊伍等企業重大風險基本可控，為企業持續健康地發展提供了有力保障。

圖4 中國中鐵流程體系框架

3.3 工作報告

在公司層面控制體系建設、業務流程層面控制體系建設這兩個主要工作階段結束后，公司應出具相應的工作報告。工作報告主要包括《內部控制手冊》和《內部控制體系流程文件》。

內部控制手冊從五個方面描述了中國中鐵內控體系，包含了內控體系建設工作的所有內容，內控手冊規定了術語、編制依據、組織體系、部門責任、內控要點、實施程序、方法模型以及文件模板，是內控體系建設的綱領性文件，用以指導內部控制體系運行、維護、監督、評價和改進工作。

表2 質量監督管理體系建設與管理流程RCM風險控制矩陣(示例)

內部控制體系流程文件主要包括:流程圖、流程說明、風險控制矩陣、風險數據庫以及控制文檔組成。流程圖是對業務操作程序的直觀展示，規定具體業務的操作步驟、責任崗位等;流程描述是對流程圖中每個節點步驟的詳細說明，包含每個步驟的操作要求、操作人，操作的時限等;風險控制矩陣是每個業務流程實現控制目標、可能存在的風險以及控制措施的規定;風險數據庫是對識別出來的業務流程關鍵控制點(風險點)的描述和風險等級的判定;控制文檔是業務流程運行的描述，是監督評價內控體系運行的依據。按照內部控制管理的規定，《內部控制手冊》和《內部控制體系流程文件》經董事會審議批準后，在全公司范圍內發布執行。

4 結論

中國中鐵通過建立健全內部控制體系，不僅滿足了國資委、財政部、證監會等相關監管機構的要求，而且進一步提升了企業的內部控制水平與風險管控能力，保證了企業經營管理合法合規、資產安全、財務報告及相關信息的真實完整，提高了經營效率和效果，實現了企業的可持續發展。

［1］ 財會［2008］7號．財政部、證監會、審計署、銀監會、保監會關于印發《企業內部控制基本規范》的通知［S］

［2］ 李書鋒．企業內部控制配套指引操作指南［M］．北京:中國經濟出版社，