轉型經濟條件下的上市公司內部控制建設的對策

（安徽工商職業學院 安徽合肥231131）

一、2011年內部控制實施基本情況

2011是我國企業內部控制實施元年，內控試點上市公司制定和公布了實施方案并組織員工培訓學習，按照財政部等部委相關要求做好內控體系建設的實施工作。從上市公司披露的年度財務報告信息、內控體系建設實施方案和上市公司內控自我評價報告看，2011年度內控工作是歷史上最好的一年，主要體現在實施內控標準體系、全面內控、實行企業內控審計并披露內控審計報告等方面。從披露情況看，除1家上市公司披露了內部控制存在重大缺陷外，其余上市公司均表示不存在與財務報告相關的內部控制重大缺陷。除少數上市公司披露內控工作中存在的重要缺陷和一般缺陷外，大多數上市公司都未披露。

具體調查上市公司內控實施情況發現，一些企業的內控仍以“財務內控”為主體，而一些風險管理水平較高的企業 （如金融企業和一些開展了全面風險管理的央企）則以“合規內控或風險內控”為側重點。在組織實施情況方面，企業整體上傾向于內部成立專門的部門或者成立內控團隊來執行基本規范。但上市公司則傾向于由外部顧問團隊以及內設內部控制部門的方式進行建設，究其原因，上市公司考慮到未來內控評價報告的披露，為了將來能順利通過內控審計，在內控建設上希望獲得更多的外部支持以確保順利過關。而試點公司中則是少數分公司建立健全內控制度，并擬進行審計，相當一部分公司尚待后續運行、整改。在近200份內控審計報告中，非標意見相對較少，唯有1家公司出具的是非標意見，內控有效性審計報告過于完美令人難以信服。

二、目前上市公司內部控制實施存在的問題

（一）內部控制認識不統一，缺乏內生動力。縱觀企業管理層對內控的認識，呈現出以下觀點：一是內控的實施會限制管理層的權利；二是內控的實施僅僅為了滿足外部監管要求；三是內控的實施僅是內控制度完善的過程；四是內控的實施僅是財務部門的事情；五是內控的實施會降低企業運行效率等等。這些不全面的甚至錯誤的認識，必然會導致企業缺乏內生動力，影響企業內控制度建立的健全和完善。

（二）公司治理結構不完善，難以發揮監督作用。目前，有些企業雖然形式上已經建立了法人治理機構，但很多公司的董事長、總經理依然由一人擔任，股權過于集中，董事擔任監事，監事會受制于董事會或總經理，董事會成員大多由企業經理人員擔任，董事會與經理層職權重疊等現實問題的存在，使內控制度形同虛設。

（三）內審機構不獨立，缺乏有效監督機制。目前，一些企業還沒有建立獨立于財務機構之外的內審機構，也沒有安排專職人員從事內控審計工作。企業的內控運行狀況大部分依賴于外部審計機構，造成企業內部審計缺乏有效性。除此之外，我國企業外部審計大多服務于企業，自身缺乏一定的剛性，甚者還會按照企業管理者的意圖進行內審，嚴重影響了審計監督的效果。

（四）內控復合型人才短缺，缺乏內控建設長效基因。近些年，由于內部控制專業人才儲備不足，缺乏實務經驗和操作指南等原因，我國大中型企業內控體系建設多選擇外包方式。而不同的服務范圍及性質對外部機構的資源投入不同，對公司提供的輔助程度也不同，很大程度上取決于外部機構的執業素質，影響了企業實施內控制度的效果。

（五）內控規范與管理結合程度不夠，缺乏內控實質效果。一些企業內控設計被認為是融合了國際經驗，并結合了企業實際，企業也積極推動實施，那么內控規范體系的設計是否合理？在多大程度上適用于公司呢？一些企業內控設計純粹是為了外部監管的需要，高薪聘請外部機構，諸如事務所、管理咨詢機構、IT公司等，簡單按照18項指引進行自身制度建設，形成一系列所謂的內控成果，如內控手冊、流程圖、風險地圖等，沒有考慮企業切身需要、服務企業戰略管理目標。

（六）內控有關配套措施不完備，缺乏長遠戰略目標。很多企業對內控的建設還是停留在內控的初級階段，比如內部監督、內部成本控制、內部資產安全控制等。企業內控一個很大的薄弱環節就是缺乏健全有效的激勵約束機制和長遠戰略規劃。企業內控建設應該分為內控基礎建設、內控促進管理和內控融入管理三個階段。內控基礎建設應包括現狀調研、風險評估、內控體系設計、內控宣傳推廣及內控管理平臺建設等方面；內控促進管理應包括內控體系完善和相關業務管理完善等；內控融入管理則包括內控體系的持續改造和相關業務管理的持續改進。

（七）內控與信息化結合程度不夠，影響內控作用充分發揮。內控有效實施需要信息化的大力支持，很多企業選擇了ERP系統、辦公自動化系統、電子商務系統、客戶管理系統等，但未能做到各種信息系統的有效整合，有些企業內控信息化建設只是將信息化看作是技術，忽視信息系統與管理思想的有機融合，從而嚴重影響了內控信息化使用的效果，造成企業資源的浪費。目前，企業缺失內控行業協會標準與操作指南，造成企業實施內控體系建設不夠標準化和規范化。

（八）對內控自我評價重視程度不夠，過度依賴外部服務。一些企業董事會對自身責任認識不夠，缺乏內控評審完整體系、行之有效的操作方法和符合企業實際的缺陷認定標準，而過于依賴中介機構的服務。即使一些企業執行自我內控評價，也容易產生追求零缺陷、過度整改的錯誤傾向。

（九）內控信息披露流于形式，缺乏規范性。縱覽2011年上市公司內控信息披露狀況，可以發現上市公司缺乏內控信息詳細披露的動力，一些公司披露內控相關信息只是流于形式，有的公司甚至僅以“公司現有內控制度基本覆蓋公司經營管理各業務環節，保證了公司經營管理活動的正常運行”等空洞的語言一帶而過，即使是披露略微詳細的公司，也未能完全符合《指引》中要求的內容。

（十）注冊會計師和事務所執行內審業務問題突出，內審報告質量令人堪憂。具體表現出以下問題：一是對內控審計業務不重視，標準制定及培訓不足。部分事務所尚未制定該部分技術指引，項目團隊對內控缺陷評價關鍵環節及要素理解不夠準確，存在明顯偏差，項目組間就同一內容反饋存在較大差異等。二是事務所分所管理不善，以低價競爭方式擾亂市場秩序。三是事務所內審人員專業勝任能力及水平較差。事務所項目合伙人、項目經理對內控審計的目的及程序缺乏基本認知，項目合伙人無法說明被審計客戶企業層面內控、流程梳理的方法論及基本情況，項目合伙人無法說明被審計客戶使用的財務系統種類以及功能模塊，審計質量堪憂。四是事務所信息系統審計力量不足。事務所信息系統審計團隊建設整體處于起步階段，尚未或正在建立信息系統審計團隊，信息系統審計力量不足；內審中僅測試信息系統一般控制而不包括信息系統應用控制，存在著較高的審計風險。五是非整合審計導致審計程序受限。221家實施內審試點的公司中有13家以非整合審計形式出具審計報告，占比5％，內審師無法及時、充分獲取財務報表審計過程中的審計發現，導致其無法根據財表審計結果充分衡量對內審意見的影響，審計程序受限。六是注冊會計師對內控審計關鍵技術要求理解存在偏差。有的流程描述過于簡單，測試控制點與流程描述缺乏匹配關系，有的內控執行測試樣本規模及樣本量選擇存在偏差，對內控審計中信息系統審計的理解存在偏差。七是事務所內控審計工作入場晚，導致審計程序出現偏差。

三、現階段上市公司內控規范建設有效性對策

（一）加強內控文化的宣傳貫徹，提高內控建設內生動力。內控文化是內控建設的靈魂，滲透于企業的一切經營管理活動之中，是推動企業可持續性發展的動力。企業應通過各種行之有效的宣傳手段，提高并統一其管理者對內部控制的認識水平，將內控置于企業的戰略高度。為此，公司領導要高度重視內控建設工作，首先就是要提升全員的內控與風險意識，從公司董事會、經營管理層自上而下推動，調動公司各業務部門、各工作崗位的全方位參與；其次，由于內控建設是系統性工作，因此需要進行業務梳理、流程再造以及形成內控手冊、開展自我評價、配合外部審計等。這一些列工作專業性強、工作量大、期限長，只有在不同的管理層級配備專門的部門和人員，才能保證該項工作的組織、協調和推進。

（二）完善內控環境建設，規范法人治理機構。內控環境是企業實施內控的重要基礎，支配著企業全體員工的內控意識，影響著全體員工實施控制活動和履行控制責任的態度、認識和行為。由于體制的問題，企業的部門規章都是各個部門制定的，站在各自的角度上，相互之間的協調和配套有欠缺，而這也就加大了企業現在實施內部控制的難度。企業要從所有者立場出發，設置科學合理的組織結構，明確董事會、監事會、股東會、經理層等部門職責，強化董事會在治理機構的主導地位和內控中的核心作用，建立董事會對經營者的約束和激勵機制，通過引入外部獨立董事，有效實行獨立董事制度，改善公司內部均衡機制，最大限度維護所有股東的權益。

（三）加強內控自我評價，保證內控規范有效實施。內控評價是企業董事會或類似機構對內控有效性進行全面評價，從而形成評價結論、出具評價報告的過程。內控評價與內控建立和實施，共同構成有機循環。內控評價最大難點仍然是缺乏具體的操作標準和依據。對此，我國政府相關監管部門迫切需要在一個更高平臺上構建一個統一、科學、規范的內部控制審計標準。企業應當建立有效的、全面內部審計機構，獨立于其他職能部門，并直接向董事會負責，保證其相對獨立性。目前，一方面要充實審計力量，優化審計人員結構，開展各種形式培訓等繼續教育，提高審計人員的業務素質；另一方面要制定一套操作性強的考核制度，提高審計人員的主觀能動性。

（四）加大內控業務培訓力度，培養和造就內控建設的復合型人才。企業內控體系應該量身定制，需要大量的專業內控人才。但目前我國比較缺乏內控的高端人才。許多人才都是局部性的、某一些環節的人才，復合型的人才非常缺乏。為此，企業需要加大培訓力度，如培訓教材要統一，案例要有實務指導，并且要長抓不懈，在總結經驗基礎上形成制度，將內控規范培訓納入會計等專業人員的評價和后續教育內容。培養和造就內控體系建設所需的核心團隊和專業人才。在此情況下，國際注冊內部控制師應運而生，成為企業內控體系設計、實施和日常監控等業務活動的領軍人才。

（五）切實落實內控信息化系統設計和實施，提升信息化內控管理水平。首先，信息系統的有效實施是企業內控落地的有效手段，其目標就是提高企業現代化管理水平，減少人為主觀操作因素干擾，為建立有效的信息與溝通機制提供支持保障。筆者認為提升信息化內控水平首先就是要將企業管理思想與信息化系統管理思想有效結合。其次，結合企業管理模式，召集一線管理人員，廣泛征求意見，分析風險關鍵控制點，優化業務流程，尋找企業核心業務合理的組織架構，界定各層級權責以及不相容職務區分標準。應通過各種培訓、實地參觀等方式，培養既懂內控專業知識，又熟悉信息系統應用，既熟悉業務流程，又清楚關鍵控制的內控復合型人才。

（六）規范內控信息披露內容，明確內控信息披露責任主體，加大懲處力度。管理當局、內審機構對企業內控設計和執行有效性進行評價，應由注冊會計師進行驗證并將其結果公布給外部信息使用者，這有利于管理當局及時發現內控缺陷，提高會計信息質量。為此，首先要從國家立法機構、財政等相關部門、證交所等加強上市公司內控規范性建設，提高內控信息披露工作的強制性。其次，明確規定上市公司內控信息強制披露的內容和形式要求。另外，我國還可借鑒美國等國家的先進經驗，明確并認真落實內控信息披露的責任主體，對于上市公司內控信息不披露、披露不規范或披露虛假信息的行為應當進行嚴厲懲處，加強對上市公司內部控制信息披露的監督和處罰力度。

（七）加強注冊會計師行業監管，保證內審執業質量。注冊會計師行業首先要大力倡導誠信文化，把職業道德操守作為內審執業著力點，并將其貫穿內審業務檢查和評價始終。其次，推進注冊會計師行業監管體系改革，進一步強化監管信息公開披露機制，提高行業監管透明度，構建一套以“周期性檢查為基礎、防范系統風險為核心、體現獨立監管要求”，與國際普遍認可監管制度趨同的會計師事務所執業質量監管體系。另外，還要按照“兼職化→兼職與專職相結合→專職化”的發展路徑，著力培養一支業務精湛、職業道德優良的內審執業監管隊伍，以內審執業質量提高促進事務所服務質量的提升。當然，還要進一步積極推動與發達國家資本市場內審監管合作，推動我國會計師事務所的內審質量和經我國會計師事務所審計的上市公司會計信息與國際對接，為推進國際內控監管合作提供技術和實踐基礎。