基于風險管理的中小企業內部控制問題研究

陶婭

【摘 要】 風險無處不在，無時不在，內部控制就是圍繞如何使企業降低各種風險而展開的一系列控制活動，它能否有效貫徹執行關系到一個企業的生死存亡。文章正是基于這樣的認識，以風險導向為視角，以內部控制信息披露為研究切入點，分析中小企業內部控制問題的原因，并從控制環境、風險評估、控制活動、信息與溝通及監督五個方面闡釋了具體的措施。

【關鍵詞】 風險； 中小企業； 內部控制

中圖分類號：F275.1 文獻標識碼：A 文章編號：1004-5937（2015）23-0028-05

中小企業在我國的國民經濟發展中發揮的作用越來越重要，成為創造GDP、維持社會穩定、解決就業、支持創新的重要力量。現階段中國經濟處于發展的新常態，表現出經濟增長速度放緩、結構深度調整、政策逐步消化的特點，在宏觀發展環境變化的情況下，中小企業如何順應發展趨勢、如何在日趨復雜的風險競爭環境中生存下來并且獲得長遠發展，是我們需要思考并探索的社會問題。其中，中小企業的內部控制是重要的影響因素，企業的各項活動都必須在內部控制規范下進行，如果沒有完善健全的內部控制，中小企業的生存乃至發展就是空談。

一、中小企業內部控制規范發展歷程

我國的內部控制及其信息披露相關法規可以追溯至二十多年前。具體發展歷程見圖1。

二十多年的發展，企業內部控制規范經歷了從無到有，從萌芽到成熟的階段。《會計法》1985年頒布，經歷了1993年、1999年的兩次修訂，從國家法律的高度對企業的內部會計監督制度包括職責權限、監督范圍、處理規則、內部審計等方面作了規定；2000年12月中國證監會對上市的金融企業內部控制提出了特殊要求，重點披露完整性、合理性和有效性；2001年6月財政部頒布了《內部會計控制規范——基本規范（試行）》和一系列具體規范，重點是內部的會計控制；2006年和2007年開始實施的證券交易所《內控指引》，標志著我國內部控制信息進入強制性披露階段；2008年6月的《企業內部控制基本規范》和2010年4月的《企業內部控制配套指引》的頒布說明我國的內部控制體系已經進入成熟發展階段。

特別需要強調的是，在這個發展過程中，2007年12月深交所出臺了《中小企業板上市公司內部審計工作指引》，從內控流程、風險評估、內控監督、評價標準等方面對中小企業的內部控制作了詳細規定。

二、中小企業內部控制發展現狀

我國的內部控制體系經歷了從萌芽到成熟的發展階段，在中小企業內部控制的流程、評估、效果等方面也有了相應規定，取得了一定成績，但是中小企業由于規模小、發展不規范、自身抵御風險的能力較差，還存在內部控制制度不健全、控制意識較差、信息披露不全面等問題，很多中小企業在內部控制如何建立、完善方面還是感到無所適從，因此中小企業的內部控制實施效果大打折扣。在這樣的狀況下，中小企業仍然面臨著較大較多的各類風險，研究內部控制問題顯得尤為迫切。

（一）研究對象概況及代表性說明

自1994年內蒙古第一家上市公司內蒙華電在上交所上市以來，截至目前內蒙古轄區內共有24家上市公司，其中20家在滬、深兩市上市，4家在深市中小企業板和創業板上市。這4家分別為福瑞股份、東寶生物、金河生物、蒙草抗旱，直接融資達22.73億元，計劃進行中小企業私募債備案的公司有5家，預計融資11億元。

截至2015年6月，國內中小企業板和創業板上市公司已達1 234家，總市值達19.67億元，而內蒙古中小企業板和創業板上市公司僅有4家，占全國比例極小，差距較大。但是我們也不能忽視它巨大的發展潛力。在內蒙古大約15萬家左右的中小企業中，規模以上中小工業企業約有4 127家，增加值占比64.9%，對內蒙古工業增長的貢獻率為47.6%（截至2014年6月底數據）。由于地區優勢，涌現出一批新能源、新材料和農牧業產業化龍頭企業，是中小企業板和創業板市場十分歡迎的選擇對象，比如東升廟礦業2013年在深交所中小板借殼上市、銀基礦業于2014年在天津股權交易所掛牌等，這些企業為內蒙古中小企業在資本市場融資起到了帶頭示范作用。內蒙古的中小企業已經成為推動國民經濟發展的一支重要力量。

在眾多的中小企業中，筆者選擇了在深市中小企業板和創業板上市的四家中小上市公司作為研究對象，分析研究其內部控制信息披露狀況。由于它們具備健康有活力的資產、優良的資本結構和公司治理結構、良好的發展業績等優勢而走在了眾多中小企業的前列，成為了內蒙古中小企業發展的榜樣，因此，研究這四家中小企業上市公司的內部控制信息披露狀況，具有一定的代表性。由于四家上市公司的上市時間在2010—2012年，因此本文研究的時間范圍是2013—2015年。四家公司基本情況見表1。

（二）內部控制信息披露狀況分析

1.總體情況

本文選取的4家樣本公司都對內部控制信息進行了披露（表2）。

2.內部控制信息披露載體

（1）董事會報告

從2013—2015年，董事會報告是公司內部控制信息披露的重要場地，從董事會報告中可以大體了解到公司內部控制信息的框架和基本設置。選取的四家樣本公司在董事會報告中都會首先介紹我國內部控制信息披露的會計政策與原則等，繼而對本公司內部控制信息披露的方式、內部控制的基本設置以及本公司未來內部控制的設想作進一步介紹。

（2）公司治理結構

內部控制在企業發揮作用的首要條件是良好的內部治理結構。公司內部控制信息披露的重要載體是公司的治理結構，它是否高效、系統、先進，決定了公司內部控制信息披露的完整性、合理性和有效性。在2013—2015年研究期間，四家樣本公司無一例外地從公司治理結構談到公司內部控制制度。內部控制是有助于確保管理層的指令得到實施的政策和程序，而公司治理結構是內部控制制度的重要組成部分，樣本公司在財務報告中都介紹了公司治理機制，內容包括治理結構的層次、薪酬計劃、股權激勵機制等，這樣就對外披露了內部控制的實施主體、實施流程、風險評估、收益分配等具體信息。

（3）監事會報告

上市公司基本上都是在監事會報告的“監事會就有關事項發表獨立意見”中專門設置“內部控制制度情況”披露相關意見。在分析的四家樣本公司中，監事會對公司的內控制度信息沒有作進一步的說明和指導。

（4）附件、內部控制自評報告和審計機構審核報告

通過對四家公司財務報告的研究，四家樣本公司都在內部控制自評報告中對公司的內部控制信息作了進一步披露（表3），這也是報告使用者了解公司內部控制信息的另一個重要途徑。以東寶公司2014年度為例，該公司在內部控制自評報告中介紹了本公司內部控制的方向以及目標和基本原則，緊接著進一步披露了公司的內部控制系統以及內部控制的執行情況。在這一部分披露中，詳細介紹了公司運營過程中各環節的內部控制制度，包括貨幣資金管理制度、采購資料管理制度、生產管理制度、銷售管理制度、籌資與投資管理制度以及關聯交易制度等。這部分詳細的內部控制信息披露為大家揭開公司運營的面紗，使大家了解到公司運營這趟列車向前行駛的制度根基所在。同樣的，公司在自評報告中對進一步完善內部控制制度的措施及下年度的工作計劃作出概述。

附件以及審計機構的審核報告對公司的內部控制涉及較少，一方面，源于審計報告大多出具無保留意見，這意味著公司的內部控制比較完善；另一方面，審計機構的審核報告如果對公司的內部控制給出意見，就說明這家公司在內部控制方面可能存在嚴重問題，才會使得審計機構單獨質疑公司的內部控制。

3.內部控制信息披露組成要素

企業內部控制信息披露是一個完整且全面的系統，作為基本規范及其配套指引要求的一部分，企業應當記錄、測試和評估內部控制的組成要素。

（1）內部控制環境

內部控制環境確定了公司的總體態度，是內部控制所有其他組成要素的基礎。內部控制環境主要包括以下要素：公司治理結構、組織架構、對誠信和道德價值觀念的溝通與落實、對勝任能力的重視、治理層的參與程度、管理層的理念及經營風格、職責和權限的分配等。

從表4可以看出，樣本公司對內部控制環境的信息披露還是比較全面的，涉及內容較多，在公司治理結構、組織架構以及職責分配和管理層的理念及經營風格方面都進行了披露，并且都有詳細而清晰的闡述。而對誠信和道德價值觀念的溝通與落實、對勝任能力的重視、治理層的參與程度這三個方面都沒有做到全部披露，還需要進一步改進和完善。此外，按照基本規范的要求，內部控制環境中應該披露的還有人力資源政策及程序、社會責任等。實際上，內部控制環境并不局限于某幾個方面，而是泛指能推動公司內部控制建設和推廣落實的所有方面，因此，樣本公司雖然涉及內容較多，但是應該更加全面、完整地對控制環境進行披露。

（2）風險評估

為了有效執行內部控制，公司必須制定目標和了解實現目標所面臨的風險，這個過程就是風險評估。在這四家樣本公司中，關于風險評估這一方面的缺失與漏洞顯而易見。在三年的考察期中，沒有一家樣本公司在對外披露的財務報告中進行風險評估內容的介紹。

（3）控制活動

控制活動是一系列政策和程序，為了確保管理層的指令得到實施，它涉及整個企業的所有層面，包括不相容職務分離控制、會計系統控制、授權審批控制、績效考評控制等。樣本公司都采取了一般性的、常規的控制措施，例如專職部門的設立，采購、生產、銷售、核算方面的控制以及績效控制等。尤其對會計系統的控制，在四家樣本公司中，每一家都認識到它的重要性，對會計核算手段、方法以及資金周轉、企業經營等方面都進行了會計披露，都注明了核算方法以及資金流向等內部控制流程。事實上，目前大多數企業尤其是中小企業仍在以會計系統控制代替企業內部控制。可以說，會計系統控制是企業內部控制的基礎與核心。但是由于樣本公司風險評估的缺失，而控制活動又具有一般普遍性，都是為了滿足基本規范要求而設立的，因此使得控制活動的效果不盡如人意。

（4）信息與溝通

信息與溝通要素是一系列信息確認、獲取和交流的系統，它同時滲透在內部控制的其他組成要素中，樣本公司都沒有對相關信息進行收集，也沒有對包括保證信息安全的控制系統、授權交易的程序以及保管記錄文件的系統等進行了解和關注，更沒有對信息與溝通情況的評估。

（5）內部監督

內部監督是用來評估公司內部控制工作質量以及內部控制有效性持續的過程。它包括持續監督、獨立評估或定期監督、缺陷報告。樣本公司對內部控制的整體情況以及有效性都有正面的描述和評價，而對監督過程中發現的內部控制缺陷沒有涉及，也沒有分析缺陷產生的性質和原因，更沒有提出整改方案。

4.內部控制信息披露內容

根據我國會計準則以及信息披露的有關政策，上市公司信息披露一般包括以下幾方面內容。

（1）內部控制實施情況；

（2）內部控制評價的范圍、內容、程序、方法等；

（3）內部控制責任主體的聲明；

（4）內部控制評價的依據；

（5）內部控制重大缺陷及其認定情況；

（6）內部控制的“三性”，經濟性、效果性、規范性。

從表5—表7看，樣本公司對內部控制的框架進行了描述，對本公司內部控制信息的評價都是積極且正面的，極少涉及負面消息的評價；四家樣本公司都對內部控制的“三性”進行了評價，但基本沒有涉及內部控制的評價標準，且四家樣本公司都在財務報告中對下一年度公司內部控制提出了愿景和期許，但是沒有一家公司制定下一年度具體的改進完善措施。

通過對四家內蒙古中小企業板上市公司年報數據進行分析，發現2013—2015年這四家公司全部披露了內部控制相關信息，說明隨著我國市場環境和相關法律法規的完善，企業對內部控制信息披露的意識不斷增強，正在逐步改善內部控制信息披露的狀況，但是也暴露出了許多問題和不足。比如，對內部控制缺乏正確認識，信息披露自愿性較差；信息披露的內容不全面，缺乏實質性內容；對內部控制的控制環境、控制活動披露情況最好，而對內部控制評價標準、監事會的相關信息以及風險評估、內部控制缺陷等重要內容的披露卻不完善，甚至沒有。

三、中小企業內部控制現狀成因剖析

（一）中小企業整體發展層次不高，競爭力不強，內部控制水平低

內蒙古具有明顯的經濟資源型特征，多數中小企業都是依托自然資源的優勢，70%以上的中小企業還屬于分散化經營，沒有形成產業集群，缺乏專業化分工和協作；90%以上的中小企業都集中在傳統的勞動密集型行業，如有色金屬加工業、農副產品加工業、煤炭開采等，規模小，產品檔次偏低，精深加工產品、高附加值產品所占比重較低，自主創新能力較弱，更加缺乏持續創新能力。這些問題嚴重影響了企業的發展水平和競爭能力，制約了企業內部控制機制的有效運行。絕大多數中小企業并沒有形成自己的企業文化，沒有根據企業長遠的戰略目標發展需要，將內部控制的建設和企業文化、企業制度等很好地結合起來。

（二）中小企業嚴重短缺內部控制人才，管理理念落后，風險意識差

目前，內蒙古中小企業主要缺乏三類人才：一是具備豐富管理經驗的職業經理人、高級管理人才；二是各類專業技術人才，尤其是熟練工、中高級技師；三是國際貿易人才。企業的內部控制涉及控制環境、風險評估、控制活動等因素，專業性較強，此類人才的缺乏必會影響內部控制的有效制定與執行。中小企業規模小，尤其在初創時期，體現出明顯的家族制管理模式，優點較明顯，但是在隨后的擴大規模及發展壯大過程中，也暴露出了較多弊端，尤其是缺乏先進的現代管理理念，難以將內部控制、風險評估和企業發展聯系起來，導致企業的發展出現起伏。

（三）缺乏適合中國國情、適合中小企業規模和產權性質的內部控制模式

我國的內部控制發展較多借鑒西方尤其是美國的控制框架和模式，且基本上都是適應于上市公司的，而我國的政治體制和經濟體制都不同于西方，是政府主導型的市場經濟體制，99%的企業又都是中小企業，這樣就不能照搬西方國家的內部控制模式，要將我國的國情特點和內部控制結合起來，考慮政府、文化、區域、市場等不同情況，才能制定出適合中小企業發展規模以及產權性質的內部控制模式。

四、基于風險管理的中小企業內部控制措施解析

通過對內蒙古中小企業板上市公司內部控制信息披露進行分析，不難發現我國中小企業在內部控制方面還存在很多問題及不足，如何推動中小企業內部控制體系的完善，加強對中小企業內部控制實施有效性監督等是今后需要關注和努力的方向。近幾年中小企業的發展，包括發展方向、發展模式等都受到了廣泛的關注，國家、政府、社會公眾都在關心并且支持中小企業的發展。那么，中小企業怎樣才能實現健康、有序、可持續的發展呢？非常重要的一個因素就是要建立適合具有高度適應性的內部控制模式，避免內部控制的形式化、全能化、空洞化。

（一）優化內部控制環境，適應外部控制環境

內部控制的控制環境是其他組成要素的基礎，應該包含內部環境和外部環境，是內外部環境的集合。在對中小企業進行內部控制制度設計時，不僅要關注企業的內部環境，比如中小企業的組織結構是否包含有授權和責任的關鍵領域以及建立適當的報告流程，董事會和審計委員會與管理者之間的獨立性、行為的適當性，人力資源的政策及程序的合理性等，還要更加關注和重視企業的外部環境，特別是要重視政府和社會文化對企業內控的實際影響，將企業的內部控制嵌入到社會結構之中。只有這樣，內部控制的制定與實施才能去掉形式化的外衣，才能與中國的社會結構和社會文化相適應。

內部控制環境是中小企業能夠控制并加以影響的，因此，中小企業應該遵循實用性和科學性原則，通過不斷優化自己的內部控制環境，致力于提高企業的價值，提高員工的工作能力，促進企業的可持續發展。外部控制環境是相對較宏觀的，各種環境因素和風險因素是不可控的，因此中小企業只能根據自身狀況主動適應它，才能在復雜多變的社會和經濟環境中立于不敗之地。

（二）強化風險評估

中小企業由于自身的發展規模較小，內部控制水平較低，與之而來的就是抗風險能力弱，而它們又時時處在千變萬化的風險當中，那么，如何在風險來臨時具備抵御風險的能力，避免企業陷于不利境地呢？就是企業必須提高風險評估的能力，努力使自己所處的風險等級降低。這就要求企業必須制定目標和了解實現目標所面臨的風險，即設立目標、風險識別、風險控制。只有先將目標確定下來，才能做到有的放矢，針對目標確定的風險類別采取具體的措施管理風險。風險識別是一個循環往復的過程，包括對內外部環境中風險因素的識別，以及對重大風險的估計和對風險發生可能性的評估；在風險識別出來之后，根據重要程度確定應對風險的方法，進而實施風險控制。中小企業尤其要提高自身風險評估能力，建立常設的風險評估機構，提高其在企業中的地位，使它真正融入企業的管理之中。

（三）明確內控活動范圍

內部控制活動是為了降低風險，有助于確保管理層的指令得到實施的政策和程序。它體現在整個企業的所有級別和職能部門中，包括不相容職務分離控制、批準授權控制、財產保護控制、業績考核控制等。在企業的不同層面普遍執行控制活動，既確保了業務的貫徹執行，也使企業保持了實現目標的正確方向。中小企業在對內部控制活動進行設置時，應該明確“做什么”和“如何做”，將內部控制活動的范圍進行細化，將整個企業都納入內部控制的活動范疇，建立針對所有經營及財務活動的權限和權責分配以及報告關系和授權協議體系，爭取做到問題的發現及解決在最快時間實現。

（四）建立有效的信息溝通

在信息時代下，中小企業也在逐步實現經濟活動的信息化。相關信息的識別、掌握、溝通能夠提高中小企業的經營效率，促進企業的長遠發展。因此，中小企業應該構建良好的信息交流平臺與順暢的信息溝通系統，信息的傳遞與反饋能夠順利完成，這樣整個企業才能實現及時有效的溝通。這是企業內部控制體系的重要組成部分，也是降低風險等級、控制風險因素的重要途徑。

（五）構造良好的內部牽制和監督機制

內部控制經歷了從內部牽制到監督的過程，它們之間相互交融、相互促進。內部牽制和監督是管理層采用的一種用來評估公司內部控制工作質量的持續過程。有效的內部控制實施離不開科學的牽制和監督機制，包括在公司日常經營過程中發生的持續監督、管理層定期對內部控制系統進行的獨立評估或定期監督以及向相關管理人員和董事會上報的內部控制缺陷報告。從中小企業自身角度來說，內部控制應以內部牽制和監督為核心，要將經營、財務領域設計和應用內部牽制和監督機制，盡可能落到實處，不能流于形式，同時還要借助外部監控主體的力量進行有效監督。此外，隨著我國獨立審計事業的快速發展和注冊會計師行業的逐步規范，獨立審計服務中小企業管理已成為可能。

【參考文獻】

[1] 李軍訓，秦靜，李少莉.基于戰略目標導向的中小企業內部控制問題研究[J].財會研究，2010（7）：59-61.

[2] 李心合.內部控制研究的困惑與思考[J].會計研究，2013（6）：54-61.

[3] 趙麗芳，祁祖儀.內部控制信息披露經濟后果實證研究[J].財經理論研究，2013（5）：100-108.

[4] 王連英，閆龍，蔣鑫.內蒙古中小企業適應新常態轉變方式謀發展[J/OL].正北方網http：//www.northnews，2014.

[5] 孫文娟.中小企業內部控制報告的披露效果研究[J].會計之友，2012（29）：88-93.

[6] 王素艷，毛文靜.內蒙古中小企業集群發展的問題與對策：以呼包鄂經濟圈為例[J].中小企業研究，2013（1）：90-92.

[7] 王琴.我國企業內部控制信息披露的發展歷程[J].商業經濟，2011（5）：37-38.