基于COSO框架思路的小企業(yè)內部控制建設

黃亞平

2017年6月29日，財政部發(fā)布了《小企業(yè)內部控制規(guī)范(試行)》（財會〔2017〕21號），自2018年1月1日起實行。對于小企業(yè)來說，不管已經是新三板的掛牌公司，還是業(yè)主兼經理的企業(yè)，都要面對市場和政策風險，在規(guī)避和化解經營風險之中尋求自身的生存之道和發(fā)展途徑，借助內部控制應對企業(yè)所面臨的風險，對經營風險進行有效管理，以保證自己實現經營的合法合規(guī)、資產的安全、經營的效率和效果，以及業(yè)務、財務和管理等相關信息的真實、準確、及時、完整。

本文從COSO框架出發(fā)來理解實施小企業(yè)內部控制，以期為小企業(yè)執(zhí)行內部控制規(guī)范提供準確指導。

一、COSO框架對小企業(yè)內部控制建設的啟示

1992 年COSO 委員會發(fā)布了《內部控制--整合框架》，2013年發(fā)布了修訂版。COSO 委員會認為內部控制可以幫助企業(yè)達到重要的目標，維持和改進業(yè)績。COSO委員會同時認為，COSO框架能夠幫助企業(yè)開發(fā)有效果且有效率的內部控制體系，建立起來的控制體系能夠適應變化的商業(yè)和運營環(huán)境，將風險降低到可接受的水平，而且能促進企業(yè)規(guī)范決策和組織的治理。

在其COSO框架的執(zhí)行綱要中，COSO委員會明確COSO框架是對內部控制目標、要素和原則之間關系的有機整合，表明企業(yè)在內部控制建設時，需要明確內部控制目標，充分理解內部控制要素，合理運用內部控制原則，靈活設計、實施和推進內部控制以實現內部控制目標。小企業(yè)由于人手少，內部控制無法面面俱到，為了實現最大的內部控制效果，可以抓大放小，選擇那些關乎企業(yè)成敗的重點風險領域來加以控制。

1.保證財務報告真實可靠是小企業(yè)內部控制建設的基礎目標

小企業(yè)應當考慮可靠財務報告的風險并識別降低這些風險所需要的控制，尤其應當關注那些能降低與財務報告認定相關的風險的控制。事實上，無論從內部控制理論發(fā)展脈絡來看，還是《企業(yè)內部控制基本規(guī)范》及其配套指引，或者COSO框架的具體實踐，均圍繞財務報告的內部控制展開，最終通過財務報告的形式影響投資者、其他利益相關者和社會公眾的決策。

2.業(yè)務循環(huán)是小企業(yè)內部控制建設的核心方向

由于小企業(yè)普遍規(guī)模較小，其扁平化的組織架構不同于大企業(yè)的官僚體系，管理層可以直接與關鍵員工、供應商、顧客、資本提供者進行互動溝通，之間往往沒有層級分明的職能部門的阻隔。盡管如此，小企業(yè)的銷售、采購、融資等經營活動的業(yè)務特性還是顯現的，業(yè)務流程的各個環(huán)節(jié)還是存在的，將控制活動融合在業(yè)務循環(huán)當中的做法，可以恰當防止管理層越權，隨便變更、存廢控制制度，造成內部控制失效；另外，將控制責任融入業(yè)務流程環(huán)節(jié)中，能夠讓員工明確各自的控制要求，讓小企業(yè)在不過多提高控制成本的情況下實現有效的內部控制，降低企業(yè)控制風險。

二、構建適應小企業(yè)特點的COSO框架立方體

在COSO委員會發(fā)布的整合框架中，內部控制目標、內部控制要素和企業(yè)組織架構（如運營單元、法律實體及其他）之間的關系是以一個立方體的形式來展現的。其中：運營、報告和遵循三類控制目標以縱列表示；內部控制的五個要素以橫行表示；組織架構以第三維表示。為適應小企業(yè)，本文對橫行的“內控五要素”保持不變；因為保證財務報告真實可靠是小企業(yè)內部控制的基礎目標，所以把縱列變成“賬戶余額、交易類別和列報與披露”的財務報告認定；因為業(yè)務循環(huán)是小企業(yè)內部控制的核心，把第三維變成“業(yè)務循環(huán)”，如下圖1所示。

COSO框架立方體的如此演變，呈現了小企業(yè)財務報告認定、業(yè)務循環(huán)和控制要素之間的關系，表明了小企業(yè)內部控制框架是以財務報告為目標，以業(yè)務循環(huán)為核心，以控制要素為骨架的體系。立方體如同一個魔方，每一維度的旋轉和切割，給出了小企業(yè)不同的內控切入點：（1）橫向，從控制要素著手，構建企業(yè)層面的內部控制；（2）縱向，從財務報告認定著手，構建會計系統(tǒng)的內部控制；（3）第三維方向，從業(yè)務循環(huán)著手，構建業(yè)務流程的內部控制。如圖2-4所示。

從圖例中不難看出，不管從哪一個維度切入的內部控制體系，我們都能實現內部控制的目的，只是控制路徑的不同，需要匹配的資源也不同?？紤]到資源的局限性，小企業(yè)必然追求成本效益原則，因地制宜建設符合自身條件的內部控制。

三、建設自上而下、脫虛向實的小企業(yè)內部控制

（一）從控制要素入手，建立企業(yè)層面的內部控制

由于小企業(yè)往往由擁有多數所有權的人員管理企業(yè)，且機構設置簡單、管理層級較少，所以內控五要素中的有些要素在性質上對內部控制更具有廣泛影響，如控制環(huán)境和監(jiān)督。小企業(yè)需要管理層的積極參與控制，當沒有人員或資源去執(zhí)行傳統(tǒng)的控制活動（如職責分離）時尤其重要。例如，在每筆交易完成之前由管理層復核和批準，以防止或發(fā)現并糾正某些具體錯誤或舞弊。

另外，小企業(yè)的持續(xù)監(jiān)督活動需要融入正常的重復發(fā)生的業(yè)務活動時，如常規(guī)的管理和監(jiān)督工作、復核由信息系統(tǒng)生成的例外報告，就需要管理層密切參與經營活動，及時識別財務信息中偏離預期的重大差異和不準確情況，并采取糾正措施以修訂或改進控制。

事實上，這些企業(yè)層面的廣泛性控制可以防止和發(fā)現在業(yè)務流程層面的具體錯報和舞弊。當然，管理層過度參與也會增加凌駕于內部控制之上的風險，需要設計恰當的反舞弊控制來解決。所以，《小企業(yè)內部控制規(guī)范(試行)》要求“樹立依法經營、誠實守信的意識，制定并實施長遠發(fā)展目標和戰(zhàn)略規(guī)劃，為內部控制的持續(xù)有效運行提供良好環(huán)境?！?/p>

（二）從財務報告認定入手，建立會計系統(tǒng)的內部控制

企業(yè)與外界交換資產和勞務，以及企業(yè)內部轉移或使用資產與勞務而形成交易時，需要有一個有效的會計系統(tǒng)可以：

（1）確認并記錄所有真實的交易；

（2）及時且充分詳細地描述交易，以便在會計報表上對交易做適當的分類；

（3）計量交易的價值，以便在會計報表上記錄其適當的貨幣價值；

（4）確認交易發(fā)生的期間，以便將交易記錄在適當的會計期間；

（5）在會計報表中適當地表述交易和披露相關事項。

圖1 小企業(yè)COSO框架立方體

圖3 會計系統(tǒng)

圖2 企業(yè)層面

圖4 業(yè)務流程

表1 銷售收入完整性認定

有效的會計系統(tǒng)使得管理層對財務報告可以作出明確或隱含的表達，即財務報告認定。譬如，管理層向審計師和投資人等聲稱，會計記錄中的銷售收入金額包含了所有的銷售交易（完整性認定），交易確實發(fā)生并且是真實的（發(fā)生認定）以及交易已經恰當地計入會計記錄中，并且記錄于恰當的會計期間（準確性和截止認定）。設立和實現與這些認定相關的具體控制目標，可以幫助管理層確定企業(yè)是否具備了處理特定交易類別的控制活動，以及這些控制活動能否為合理保證實現內部控制目標提供了依據。以銷售收入完整性認定為例，見表1。

顯然，明確與認定相關的具體控制目標、尋找風險控制點以及設置必要的控制活動，需要從事會計和財務報告工作且具有豐富經驗和技能的人員來完成，而小企業(yè)往往缺乏這方面具備專業(yè)勝任能力的人力資源。所以，《小企業(yè)內部控制規(guī)范(試行)》只能要求“小企業(yè)嚴格執(zhí)行國家統(tǒng)一的會計準則制度，加強會計基礎工作，明確會計憑證、會計賬簿和財務會計報告的處理程序，加強會計檔案管理，保證會計資料真實完整?！?/p>

（三）從業(yè)務循環(huán)入手，建立業(yè)務流程的內部控制

業(yè)務循環(huán)是業(yè)務活動周而復始的過程，企業(yè)不同的業(yè)務規(guī)律和特點造就不一樣的業(yè)務循環(huán)構造，但其業(yè)務流程中的每一個具體操作都可以歸類為一個動作屬性，譬如：授權批準、業(yè)務經辦、會計記錄、財產保管和稽核檢查。從COSO框架立方體（業(yè)務流程立方體）來看，這些具體操作的動作屬性恰好是內部控制要素在業(yè)務流程上的體現。譬如：

（1）“授權批準”是“控制環(huán)境”中“授權和分配責任的方法”在業(yè)務流程中的自然延伸；

（2）“業(yè)務經辦”和“財產保管”是“控制活動”在業(yè)務流程中的實踐措施；

（3）“會計記錄”是“信息與溝通”的重要部分，在業(yè)務流程中就是“憑證與記錄控制”；

（4）而“稽核檢查”是持續(xù)“監(jiān)督”的日?；?/p>

（5）至于“不相容職務分離”，是對“那些如果由一個人擔任，既可能弄虛作假，又能夠掩蓋其錯弊行為的職務”進行“風險評估”之后采取的應對措施。就是把不同動作屬性的具體操作做到兩兩分離，由不同的人或崗位來完成，確保業(yè)務信息跨職務傳遞的一致性，以防范錯誤和舞弊。

以銷售業(yè)務流程為例，小企業(yè)可以通過憑證和記錄控制以及以不相容職務分離為主要控制措施的具體操作，以單據控制（單據流程和所能完成的控制目標）的形式建立其業(yè)務流程的內部控制。

1.單據流程

①銷售訂單崗位收到客戶訂單后，填制多聯(lián)的銷售訂單，銷售訂單（第2聯(lián)）傳遞給信用主管；

②信用主管完成信用檢查并確認之后在訂單信用聯(lián)上簽字，審批后的信用聯(lián)次（第2聯(lián)）傳遞至銷售訂單崗位，銷售訂單崗位將確認聯(lián)（第6聯(lián)）送至客戶；

③銷售訂單崗位之后分發(fā)其余訂單聯(lián)次，發(fā)票和收款聯(lián)次傳遞至開票部門，開票部門一直持有到收到“已發(fā)貨”發(fā)貨聯(lián)為止；

④裝箱聯(lián)次傳遞至發(fā)貨崗位，發(fā)貨崗位待收到倉庫發(fā)來貨物之后裝箱；

⑤發(fā)貨聯(lián)傳遞給倉庫以授權其移送貨物至發(fā)貨崗位；

⑥待貨物和發(fā)貨聯(lián)（第1聯(lián)）送至發(fā)貨崗位時，相對應的裝箱聯(lián)（第3聯(lián)）從單證中抽出，并填制好發(fā)貨單證（如提單），貨物和裝箱聯(lián)次（第3聯(lián)）一起裝箱。發(fā)貨聯(lián)（第1聯(lián)）戳記“已發(fā)貨”后提交開票崗位；

⑦開票崗位抽取相應的發(fā)票和收款聯(lián)次（第4、5聯(lián)），檢查價格并計算乘以發(fā)貨數量后的金額，開具發(fā)票后發(fā)票聯(lián)與發(fā)票寄送至客戶。

⑧開票崗位編制過賬到總賬的序時會計分錄（借記應收賬款，貸記銷售收入）；

⑨開票崗位將收款聯(lián)（第5聯(lián)）提交至應收賬款崗位，用來過賬到應收賬款明細賬的客戶個人名下；

⑩發(fā)貨聯(lián)（第1聯(lián)）傳遞到存貨管理員，用來減記已發(fā)貨物的存貨數量。

2.所能完成的控制目標

①銷售訂單由信用主管經手，保證貨物是銷售給能付款的客戶（也就是說，恰當計價）；

②發(fā)貨聯(lián)交由倉庫管理員經手，有助于保證貨物安全保管并依照恰當審批后的銷售訂單發(fā)貨；

③由發(fā)貨崗位核對其持有的裝箱單聯(lián)能保證從倉庫發(fā)出的貨物發(fā)貨部門都能及時收到；

④由開票崗位核對其持有銷售訂單聯(lián)次能保證所有發(fā)送的貨物都開具發(fā)票給客戶；

⑤預先編號的憑單可以用來發(fā)現未記錄和未經授權審批的業(yè)務。譬如，銷售發(fā)票預先編號和會計核算保證所有的銷售訂單都已開票；

⑥定期核對應收賬款明細賬和總賬能保證所有發(fā)票都已記錄到客戶名下。

可見，業(yè)務流程的內部控制使得每個崗位能夠更好地意識到自己的操作要求，從而形成特定崗位的職責，通過崗位說明書（操作手冊），將控制責任融入崗位職責之中，有利于讓員工理解和注意到控制問題，及時預防和發(fā)現控制缺陷，實現有效的內部控制。而且單據控制為不同業(yè)務流程的每筆交易提供一個完整的交易軌跡，通過編碼、交叉索引和聯(lián)結賬戶余額與原始交易數據的書面資料提供一連串的跡象，也為會計系統(tǒng)的內部控制有效與否提供了依據。因此，小企業(yè)在資源有限的情況下，應該首先從業(yè)務循環(huán)著手，建立以單據控制為主要控制措施的內部控制體系。

四、小結

綜上所述，基于COSO框架，結合小企業(yè)發(fā)展階段、經營規(guī)模、管理水平、資源狀況等實際情況，建設與小企業(yè)相適應的并能隨著情況變化而及時加以調整的內控體系，是一個自上而下、脫虛向實的內控建設過程。特別是從業(yè)務循環(huán)著手的內部控制建設，優(yōu)先發(fā)揮了控制要素在業(yè)務層面的指導作用，保證內部控制要素在業(yè)務流程中得到規(guī)范和發(fā)揮作用，從而確保實現財務報告目標及其他內控目標，起到了加快實施《小企業(yè)內部控制規(guī)范(試行)》并提高了小企業(yè)內部控制實效性。

作者單位：上海中金會計師事務所

主要參考文獻

1.高垚.如何正確理解與運用不相容職務分離.新會計.2016(05)

2.王晶.企業(yè)內部控制建設模式國際比較及啟示.財會通訊.2008(01)

3.朱榮恩.建立和完善內部控制的思考.會計研究.2001(01)