淺談央企內部控制測試中存在的問題及建議

中國石化銷售股份有限公司浙江石油零售分公司 趙青芽

1 央企內部控制測試的基本內容

近年來，根據財政部等五部委發布的《企業內部控制基本規范》及其配套指引、《關于加快構建中央企業內部控制體系有關事項的通知》的相關要求，央企的內部控制體系已經基本建立，企業內部都設有相應的內控手冊、內控權限指引，在企業的合規要求和內部管理提升方面發揮了積極的作用，內控體系工作已幾乎覆蓋到了央企的所有單位、所有業務。央企基本都是涉及國計民生的重要行業和關鍵領域，對國家和整個社會的發展起著重要的作用，完善央企的內控體系才能增強企業競爭力及抗風險能力，促進國有資本合理流動，實現資本的保值增值，提升誠信度，提升公信力，為企業樹立良好的形象。

內部控制是企業為了合理保證財務報告的可靠性、經營的效率和效果以及對法律法規的遵守，由治理層、管理層和其他相關人員設計與執行的政策和程序，主要包括企業層面、業務流程層面、應用系統或交易層面。內部控制的有效性包括內部控制設計的有效性和內部控制運行的有效性，當設計和運行都有效時，內部控制才有效果，而內部控制測試是指評價內部控制運行有效性的一種審計程序，評價的內容包括控制在所審計期間的相關時點是如何運行的，控制是否得到一貫執行，控制由誰或以何種方式執行。央企一般每個季度進行一次內部控制測試，年底時進行一次年度綜合檢查，檢查采用內部交叉測試，重點抽查等形式。

2 目前內部控制測試中存在的主要問題

2.1 參加內部控制測試的人員缺乏積極性

雖然央企的內控體系已經基本建立，但是在內控測試時還存在著很多問題，財務部是內部控制工作的組織部門，內部控制體系建設的責任主體為各業務的主管部門，但是很多業務主管部門的人員認為，內控是財務部門的事情，當財務部門將任務分解下達至各部門時，他們是幫忙配合的心理，思想上沒有形成內控風險管理意識，整個企業也未建成風險管理文化，并把這種文化融入日常工作和業務管理之中，內控測試工作的好壞沒有相應具體的考核指標，因此參加測試的人員對于這項工作沒有積極性。央企的績效考核一般都同業務量掛鉤，或者是基本工作有沒有完成，而不會聯系到其中一項明細工作完成的好壞。除各業務主管部門外，領導層面的內控測試意識也不夠強，他們多數認為系統里已經做了很多內控權限的設置，內控測試是走形式化流程，繁瑣且無實際意義，按時完成任務即可，領導層的態度對整個企業內控環境的建設有致命的影響。

2.2 參加內部控制測試的人員專業素質不高

業務層面的內部控制測試的人員基本為各部門的普通員工，業務素質不高，企業內外部或部門之間的流動性較大，導致對內控要素、要求、程序等內容根本不理解，一些人員甚至不了解何為控制測試，不知道測試的要求，一些人員了解如何實施控制測試，但怕麻煩不愿認真按照要求測試，導致控制測試的結果不正確，不能實現測試的目的。央企一般都會印發企業專門的內控手冊，隨著時間的推進，一些權限指引、業務流程、控制點等會發生變化，企業會修改相應的內容，但很多員工并未更新知識，習慣性地憑感覺和經驗進行測試工作。

2.3 控制測試的樣本量及樣本內容不符合要求

在測試控制的運行有效性時，應當在考慮與控制相關的風險的基礎上，確定測試的范圍也就是樣本規模。測試范圍應當足以獲取充分、適當的證據來為內部控制是否存在重大缺陷提供合理保證。表1為內部審計時測試人工控制的最小樣本規模區間。

表1 企業內部審計時測試人工控制的基本區間

但是央企實際的內部控制測試流程中，樣本量一般最多只選取3個，有些員工認為沒有樣本就直接選擇無，或者填寫一些不相關的內容，這樣讓他們較快地完成任務，但是相應的樣本量及樣本內容都不符合要求，導致測試結果根本不準確，不能發現公司內控管理中存在的問題。對于不符合要求的樣本量和樣本內容，一些部門領導也是蒙混過關的態度，復核時直接通過，并未按內控測試的要求嚴格執行。

2.4 控制測試的電子信息化水平不夠

信息技術處理具有內在一貫性，除了系統發生變動，一項自動化應用控制應當一貫運行，電子自動化可以自動匹配，自動鏈接，減少搜索時間，對于一項自動化應用控制，一旦確定企業正在執行該控制，通常無須擴大控制測試的范圍。但在央企現在實際的控制測試中，企業的電子化信息通常不能直接提供所需要的樣本內容，而需要測試人員手工去尋找樣本，內部控制測試的系統未能實現與日常在用系統之間的直接聯系，如果日常未記錄一些測試中所需的特殊事項，則測試人員需要浪費更多的時間去查詢符合條件的樣本。

3 完善內部控制測試的對策建議

3.1 強化內部控制測試人員的專業培訓

針對領導層及業務層面測試人員專業性不夠的問題，首先要加強企業全體人員思想上對內控測試重要性的認識，日常工作中加大內控宣傳力度，增強風險控制的管理意識，使員工內心樹立高度的責任感，企業內形成良好的內控環境，同時各單位及業務部門之間要多溝通交流聯系，對內控測試工作進行交叉測試及經驗分享；其次應針對本企業的內控權限指引與業務流程組織開展全員學習與培訓，理解相關業務內涵，當權限指引有新的修訂及變動時，及時學習新的指引，重點關注新的要求，提升崗位工作能力，對于過去發生問題的領域，在確保問題已經得到有效整改的基礎上，要把問題當成典型案例，組織學習后杜絕類似問題不再發生；再次要注重培養內控測試負責人的專業勝任能力，在全面理解掌握內部控制的同時要負責指導好相關人員的內控測試工作，負責人要圍繞企業生產經營中的重點工作，尋找內控測試工作的突破口，確保企業決策層管控到位，保證內控測試的效果；最后，要完善內部控制測試工作相關的績效考核，細化量化各崗位的責任要求，確定適合的考評指標和考評方法，讓員工明確自己的崗位職責，對各級責任人采取責任追究機制，把握重要風險環節及關鍵控制點，減少例外事項的發生。

3.2 升級內部控制測試技術水平

企業的業務人員、財務人員、審計或者風險控制等人員可以根據企業環境圍繞業務流程進行充分的風險評估，按照企業自身的需求確定關鍵控制點、建立數據模型、設立相應的操作權限和審批權限，加強內部控制相關的各業務板塊的系統管理，升級內部控制測試系統，實現內控系統與各業務板塊系統的鏈接。當業務板塊系統出現不符合內控要求的事項時，可以直接出現在內部控制測試系統中，減少人為去尋找樣本的時間，也能防止抽樣測試時遺漏關鍵樣本。一些企業雖設置了控制權限，但為了方便省事，將一個事項拆分成幾個錄入系統，這樣系統就能順利通過，但是這違反了內控的根本目的。因此，內控測試系統技術的升級，應該從根源上杜絕管理層人為操作修改系統，防止內控測試流于形式。

3.3 創新內部控制測試方法

內部控制測試并非一種單獨使用的程序，企業應該將多種方法結合在一起使用。在評價內部控制是否有效運行時，一般將跟單測試和關鍵控制點抽樣測試兩種方法一起使用，跟單測試追蹤交易處理過程時通過詢問、觀察、檢查等程序，同時采用抽樣測試的方法，對關鍵控制執行重要流程的符合性進行檢查。在內控測試時，要堅持測試的流程、時間、地點、抽樣方法的不可預見性，一些單位內控測試時每個季度每年都采用相同的流程程序，完全照搬以前的經驗方法，導致測試人員只要簡單的復制粘貼就可快速完成測試工作，而未探究一些樣本內容的真實性，從而不能保證測試結果的真實性，因此企業應改革創新更多的測試方法，保證評價的有效性。

3.4 推進內部控制測試的電子化程度

現代電子信息技術的使用使監督渠道增加了，監督方式改變了，實時地跟蹤、監測、調節就都能全部實現。內部控制測試的電子化通過人機結合，將許多控制程序、指標、方法都設置在控制系統內部應用程序中，測試時只要及時了解程序和參數等是否過時、有效，就可得出自動化應用控制是否運行有效的結論。當關鍵控制點、風險點發生變化時，控制系統的設置都要隨之發生變化，及時做好系統的維護工作，確保測試工作按照新的要求順利進行。電子化內容的增加，可以減少人工控制風險，減少管理層凌駕控制之上的概率，規范企業的內部管理，保證企業的長期平穩發展。

綜上所述，內部控制對于現代企業管理已經越來越重要，要全面系統地評價內控是否有效運行，就得建立健全完善內部控制測試的相關制度體系，培養專業人才，升級測試技術，創新測 試方法，依靠電子信息技術，不斷提升中央企業的管理效率，促進國民經濟的支柱性行業穩步向前。