關于完善企業內部控制體系建設的思考

王偉+黃江林

摘要：目前，隨著監管部門和企業自身發展的要求，內部控制體系建設工作越來越受到重視，也是提升企業管理水平重要措施和必然趨勢。內部控制體系建設是一項系統工程，是一個逐步優化固化的過程，如何建設高效、完善和規范的內部控制體系至關重要。本文在認真分析我國企業內部控制體系建設現狀的基礎上，研究發現了內控體系建設現存問題，從提高認識、加強人才隊伍建設、完善規范內控體系建設適應環境變化、協調內控體系與風險管理體系、統籌內部控制體系和規章制度建設有效融合、改進內控評價方式方法等方面提出了完善企業內部控制體系建設的建議。

關鍵詞：完善；內部控制體系；建設

作為企業提高經營效率效果的重要措施和經營管理的關鍵控制環節，內部控制在企業的發展壯大中具有重要作用。國務院國資委2006年發布《中央企業全面風險管理指引》，于2008年和2010年財政部等五部委聯合發布了《企業內部控制基本規范》以及配套指引，財政部2012年發布《企業內部控制規范體系實施中的相關問題解釋第1號》，2012 年國資委、財政部聯合發布《關于加快構建中央企業內部控制體系有關事項的通知》，從監管和制度層面直接推動了我國企業內控體系建設的實施工作進程。

一、企業內部控制體系建設現狀

自《內部控制基本規范》發布以來，隨著一系列的制度完善、宣傳貫徹、交流培訓和建設實踐等工作促進，我國企業內部控制體系建設逐步梯次展開，穩步推進，取得了顯著進步和明顯效果。主要表現在：

（一）內控認識持續提升，內控理念逐漸深化

1.從內部控制體系的認識和理解來看，內部控制理念的滲透范圍已逐步從管理層滲透到全體員工，尤其是企業管理層在對內部控制的認識，經歷了從“基本不信”到“半信半疑”，再到“真信真干”的觀念轉變。企業管理層逐步認識到內部控制的重要性，對內控體系建設和實施的積極性顯著提升，自愿進行內控體系建設和進行內部控制評價的企業顯著增加。

2.從內部控制體系建設的出發點來看，企業從最初的滿足監管部門要求逐步向注重實效轉變。越來越多的企業開始探索建立內部控制長效機制，持續改進完善內控體系，變“被動控制”為“主動控制”，促使企業內部控制由合規型、監督型向管理型、價值型過渡，逐步實現向風險預警型轉變。

（二）內控體系初步建立，管理流程初步實施

1.從內控組織機構體系和人才隊伍建設情況來看，大多數企業成立了內部控制體系管理委員會（或內控體系建設領導小組）等領導機構，明確了內部控制體系建設實施職能部門、崗位和職責范圍；內部控制專職人員普遍增加，其中央企（含各級法人單位）內部控制體系建設實施團隊專兼職人員接近萬人。

2.從內控制度體系建立健全情況看，大多數企業依據《企業內部控制基本規范》及其配套指引，結合自身實際和管控模式，細化、豐富企業整體層面和業務層面具體流程。目前，大部分企業編制并逐步修訂完善了《內部控制體系》、《內部控制手冊》、《內控與風險管理手冊》和《內部控制評價》等體系流程和手冊，并實踐中對內控流程持續進行優化和固化。

3.從內控體系工作覆蓋面情況來看，大多數企業的內部控制工作己經從“整體（梯次）推進、試點先行”，向全級次全面推進。以前只在企業集團總部做或者試點企業（業務）做，目前發展為覆蓋集團所有單位、所有業務。工作覆蓋范圍“橫到邊、縱到底”，不斷拓展，有效延伸，逐步向真正意義上的“全級次、全員、全面、全過程”轉變。

（三）內控方法不斷創新，逐步對標國際企業

1.風險評估和風險預警體系方面。嘗試將集中趨勢法、壓力測試失效模式與影響分析、杜邦分析法和蒙特卡羅模擬方法等各種管理工具運用到內部控制工作中，豐富和完善了內部控制技術手段。嘗試開展風險預警指標庫建設，探索重大風險動態預警機制，通過建立重大風險動態應急預防機制，及時發布預警信號，決策層或高管層啟動應急機制進行預控，減少重大風險損失，降低風險發生頻率。

2.內部控制管理信息系統建設方面。企業充分利用現有ERP、OA等企業資源信息系統，共享信息資源，促進內控體系信息化管理和運行水平。并緊緊圍繞價值管理，嘗試建立內部控制體系管理流程信息系統，推動內控體系在線運行和實時動態管控，逐步做到管理的制度化、制度的流程化、流程的信息化。

二、企業內控體系建設現存問題

總體上來說，在近幾年內部控制體系建設取得較大進步的同時，企業內部控制體系建設實施情況和內部控制水平并沒有和發展速度相匹配。一是在認識層面上，一些企業對內部控制的理解不到位，重視程度不夠，工作積極主動性不足。二是內部控制體系建設層面上，部分企業內部控制組織體系不健全，內控部門的職責定位沒有理順，導致內部控制體系運行不暢或失效；一些企業內部控制體系與企業現有管理制度沒有實現有效銜接融合。具體來講，企業在內控體系建設五要素方面普遍存在以下主要問題：

（一）內部環境方面

企業法人治理結構不完善，控制權過于集中于決策層，職能層虛位；企業高管層凌駕于內控之上，超越制度，逾越流程，權力不能得到有效監督；企業管理模式分散，投資產權管理方式簡單；企業有戰略規劃但缺少管理，戰略規劃和計劃目標脫節；企業人力資源政策不透明，組織機構、崗位設置分析不足，激勵機制單一僵化；企業過分相信能人經濟和大拿文化，崇尚模糊、感情和經驗的管理風格，員工守則規定不清，內控意識薄弱。

（二）風險評估方面

企業沒有客觀地、系統地開展風險評估，高層無法根據風險評估基礎做出合理決策；企業缺少風險評估的流程、標準和工具，評估方法單一，過多依賴定性分析，定量分析應用較少；企業風險評估結果無法落地，重大風險評估出來，預防、監控和動態管理缺乏統一的操作流程；企業風險應對措施難以與戰略目標、業務決策、資源配置機制和監督機制結合；企業不重視損失事件的收集和組織學習。endprint

（三）控制活動方面

企業內控審核、審批過多，控制責任上移，過多依賴高層領導的權力和控制能力；企業授權體系和職責分工體系不明確，不相容職務分離頻出問題；企業缺乏系統的流程設計，導致控制片段化、零碎化，導致執行時無法遵循；企業缺乏定期梳理和評估，沒有固化的控制優化機制。

（四）信息與溝通方面

企業信息系統組織架構較分散，導致多個需要評估和測試的系統控制環境；企業倉桶式組織機制，科層制的管理職能過深，部門墻阻礙了正常的業務決策信息流轉，跨部門銜接地帶往往是控制薄弱區；企業總部和基層單位之間信息溝通機制不清晰；企業缺乏系統化的信息系統規劃，缺少機制推動信息系統控制功能的優化，控制自動化與業務管理系統信息化差距較大；企業信息化程度不高，信息化產品和應用水平較低，信息系統的可依賴性和有效性較低，過度依賴手工操作。

（五）內部監督方面

企業內部審計獨立性不足，內部監督工作分散，缺乏有效手段進行集中管理或者共享信息，重復檢查，重復發現；監督檢查的標準和依據不足，監督結果無法應用，與績效考核掛鉤情況不好；內控評價手段主要集中在審閱測試，缺少實質性測試，分析性復核機制在內控評價中應用較少；企業缺陷認定標準寬泛或者缺陷認定過程隨意性較大，對問題和缺陷的管理區分度不明顯，缺陷整改流于形式，屢查屢犯或僅限于針對發現缺陷的整改，不能舉一反三。

三、完善內部控制體系建設的建議

內部控制體系建設是一項長期的、系統的、逐步優化固化的過程。如何建設高效、完善和規范的內部控制體系，主要建議有：

（一）進一步提高對內部控制體系建設的認識

企業決策層（高管層）要深刻認識到內部控制體系建設對企業做強做優的深遠意義，重視和加強內部控制體系建設工作，持續推進，逐步完善規范。企業應該進一步明確內部控制體系建設領導機構和內控職能部門的定位，內控體系建設領導機構逐步由管理層提升到決策層，單位負責人要親自抓內部控制工作，提升內部控制體系建設工作地位。內控體系建設和管理模式上逐步由內控職能部門轉變為內控部門牽頭、所有部門單位按照職責分工共同參與。

（二）加強內部控制體系人才隊伍建設，培育內部控制文化

內部控制體系建設人員要有先進的管理理念，開闊的視野思路，扎實的理論知識，較強的研究能力和豐富的實踐經驗；同時還要掌握科學方法和管理技術工具。企業要建立內部控制人才培養體系，定期培訓學習，組織經驗交流，借鑒吸收優秀企業和行業對標企業的成功做法，逐步打造一支先進的內部控制管理體系建設團隊，尤其在國際化經營、并購重組等高風險業務領域要重點培育領軍人才。要做好內部控制，必須深入推動內部控制文化建設，企業要加強面向全體員工的內部控制宣貫、培訓工作，提高全員對內部控制體系文化的理解和認識，逐步培育內控文化。逐漸將內部控制理念、意識和文化融入企業管理全過程和業務全鏈條，確保內部控制文化與企業文化的真正融合，切實實現內部控制文化落地。

（三）協調處理完善規范內控體系建設，適應企業內外部環境變化

內部控制體系建設要適應企業外部發展環境變化要求。針對變化的環境勢必調整經營策略，業務形式越來越豐富，業務領域不斷突破，商業模式持續創新；內部控制體系可能因為經營環境、業務拓展的改變而削弱或失效，新業務不被原有的控制程序控制，在變化的過程中可能會發生差錯或者不合規行為；這些都要求內部控制體系不斷進行修改優化以適應新的變化。內部控制環境是內控體系健康有效運行的基礎和保障，內部控制體系的實施依賴于良好的控制環境，如果控制環境任何一項要素出現缺損都會給企業正常經營管理活動帶來風險內部控制體系構建是一個螺旋式上升過程，企業不可能構建一種滿足將來和現在所有環境的、一成不變的內部控制體系。內控體系建設應與企業發展、管理水平相適應，是一個不斷優化、精益求精、適應發展和逐步固化的過程。

（四）協調統一風險管理體系與內部控制體系

內部控制體系是風險管理的基礎和手段，其建設應以風險管理為目標導向，二者密不可分，是協調統一的有機體。防范和管理風險的主體是風險管理和內控職能部門，企業可以將二者結合起來，整合機構和業務，明確職能和職責，統一目標和要求，規范管理和程序；以此減少職能重疊，降低企業成本和提高管理效率。企業要實現內部控制體系與風險管理體系有效融合，必須將內部控制體系建設與風險管理有機結合，通過對管理制度整理和業務流程梳理，找出重要控制活動和關鍵控制點，重塑再造優化流程，采取有效控制措施，防范預防重大風險，建立科學的內部控制體系。

（五）統籌處理管理制度和內部控制體系建設，促進有效銜接和融合

內部控制體系是以各項規章制度為基礎，按照流程特點，直觀反映管理和控制要求，有些內容可以直接引應用。企業管理制度是內部控制體系組成部分，內部控制體系手冊又是企業管理制度的具體體現。企業管理制度更多的是做出規定，關注目標實現；而內部控制更多的是注重流程和過程管理，通過過程管理保證目標實現。建立健全內控體系不僅僅是建立各項管理制度，也不是單獨額外的活動，而是一個過程，應內置于日常管理過程中作為一種常規運行機制來建設，讓內部控制體系在企業落地。在內部控制體系建立前，企業的內部控制是通過各項規章制度來實現的。從長遠來看，應當做到二者有效銜接、有效融合，逐步實現合二為一，最終實現內控“無形化”管理境界。

（六）改進內控評價方式方法，提高內控評價效率效果

改進現行內部控制評價方式方法。內部控制評價工作應貫穿年度始終，采用日常監督、專項監督和年終內控評價相結合的方式進行。按照內控評價要求，應考慮分清企業整體層面和具體業務操作層面的內部控制，并給予整體層面內部控制更大的關注。在內控評價方法的運用上，在目前主要采用調查問卷法、穿行測試法、實地查驗法、比較分析法和抽樣等方法基礎上，應大量采取全面了解法、個別訪談法、背靠背打分法、專項討論法、重新執行等方法。

加強內控缺陷分析認定，對內控缺陷整改要舉一反三。要在分析認定企業內控缺陷的類型基礎上，對被評價企業內部控制的有效性做出評價，并據以有針對性的整改建議。被評價企業應在認定內控缺陷進行整改基礎上，舉一反三，全面系統整改，提高內控評價的效率效果。

改進現行內部控制評價報告的披露和考核制度。基于現行內部控制評價報告的主要內容，借鑒上市公司對內控缺陷制定具體的財務報告和非財務報告缺陷認定標準，開展內控評價、缺陷認定和整改等。要逐步完善企業尤其是上市公司內控自我評價報告的披露制度，規范報告披露標準，統一信息披露基本格式和內容，及時披露信息。同時，積極探索內控體系激勵約束機制，逐步建立內部控制評價考核制度并納入企業績效考核指標體系中。

參考文獻：

[1]施文寅.綜合投資集團風險管理與控制策略探析[J].市場論壇，2013（04）.

[2]張繼德.兩化深度融合條件下企業分階段構建內部控制體系研究[J].會計研究，2013（06）.

[3]胡慧娟，胡細劍.上市公司內部控制自我評價信息披露分析——來自湖北上市公司數據[J].財會通訊，2013（18）.

[4]林喬青.國有企業內部控制評價體系的構建與完善[J].財會研究，2017（05）.

（作者單位：王偉 山東農業工程學院；黃江林 瑞昌市財政局）endprint