全面規范內控體系?系統實施評價監督

毛曉菲

摘要：我國企業越來越關注內控體系建設，內部控制檢查評價又是評估內控體系有效性的重要方式。結合《我國上市公司2018年執行企業內部控制規范體系情況分析報告》，本文首先分析評判了上市公司內控檢查評價的報告結論，其次歸納概況監管機構對內控檢查的關注點和方法論，最后總結整理該報告對內控實際工作的借鑒啟示。

關鍵詞：內控檢查評價;風控體系建設;內控管理

建立健全合規有效的內部控制體系越來越成為政府、企業、中介機構關注的話題，實施內控檢查評價是評估內控體系有效性的重要方式。2019年10月國資委發布《關于加強中央企業內部控制體系建設與監督工作的實施意見》（國資發監管規[2019]101號），明確指出要推進內控、風險和合規管理的監督檢查評價工作，對內控體系有效性進行全面自評，促進內控體系持續優化。

一、財政部對上市公司內控檢查評價的匯總分析

財政部于2019年12月發布《我國上市公司2018年執行企業內部控制規范體系情況分析報告》，對滬深兩市上市公司內控報告等公開資料進行跟蹤研判，全面深入分析我國上市公司內部控制規范體系運作情況。

報告從披露情況、內控評價報告結論、內控缺陷認定標準、內控缺陷數量內容、內部控制審計報告等方面分別分析闡述;同時針對黨中央國務院關于防范化解重大風險、精準脫貧、污染防治三大攻堅戰的決策部署，聚焦金融上市公司、ST類上市公司和重污染行業上市，對其內控體系執行情況進行了重點研究。

報告還闡述了內控評價實施存在的問題及改進建議。從內控評價報告和內控審計報告、自評和鑒證兩個維度，分析上市公司內控檢查評價執行情況，舉例說明報告在規范性、信息可比性、標準完備性、整改持續性等方面仍存在不足。在此基礎上，從政府層面、企業層面和事務所層面提出改進建議，三個方面齊抓共管、形成合力，共同健全并規范企業內部控制體系，為提高企業競爭能力保駕護航。

二、監管機構對內控工作的關注點和方法論

第一，報告體現傳承性與創新性的有機結合。

一方面，延續以往慣例，報告全面分析當年上市公司內部控制體系基本情況和檢查評價實施情況。披露內控評價報告企業的數量呈持續上升態勢，滬深兩市上市公司披露報告企業占比系近三年最高;披露的整體有效結論占比有所下降，財報/非財報存在無效、整體無效的數量和占比均略有上升。另一方面，緊跟時代主題，報告對三大攻堅戰和安全問題進行獨立分析，較往年有所創新。以防范化解金融風險為例，金融企業內控基礎普遍扎實，但需關注市場信息不對稱、 “跨市場、跨機構”等金融風險，夯實金融風險管控措施，警惕可能出現的“黑天鵝”“灰犀?！笔录?。

第二，報告基礎數據量大、分析方法多樣，結論令人信服。

報告數據涵蓋滬深全部3584家上市公司，從企業類型、缺陷認定標準、報告結論、財報/非財報等方面詳細闡述分析。從結論數據來看，上市公司內控披露的全面性、科學性不斷增強，深市主板、中小板和創業板的披露比例均達到或接近100%，內控部分或整體無效占比有所上升，且缺陷分布逐漸向非財報領域轉移。上市公司不再為了“交作業”而“寫作業”，切切實實把內控體系搭建、內控檢查作為提升核心競爭力的內在動力，內控評價工作趨于成熟和理性。

第三，報告體現內控評價的整體性和聯系性。

報告從缺陷認定、自我評價、審計鑒證報告等多方面進行交叉驗證和對比分析，提示個別企業存在內控自評價與內控審計報告結論不一致、內控自評價有瑕疵、內控審計質量不高等現象。有些上市公司內控自評為整體有效，同時被事務所出具非標審計意見;有些企業已聘請中介機構鑒證，可年報只字不提聘請內控審計會計師事務所;還有些企業缺陷描述不清、缺陷成因和解決進展不明。隨著國家監管機構信息化和大數據廣泛運用，對上市企業的內控披露要求不斷提高，披露成本和違法成本不斷增大。

三、對內控實際工作的借鑒啟示

一是不能固步自封，需要在傳統思路中另辟蹊徑。眾所周知，20年前的COSO框架把內部控制劃分為控制環境、風險評估、控制活動、信息與溝通和監督，也使得多年來內部控制一直受制于這個“經典立方體”中，變現為我國企業實際經營管理和COSO框架“水土不服”，需要我們更新觀念、創新思路、與時俱進。比如，多數國企依然推崇制度管控，制度橫向到邊、縱向到底，但制度畢竟類似于“底線”，只能規范下限而非上限，可以嘗試制度管控和文化浸入相結合，將工作規范上升到文化高度，變被動執行為主動意識。

二是全面分析研判，充分運用信息化手段。當前內部控制的兩大條線是制度和流程，但在實踐中往往不相統一，表現為制度未體現流程，流程沒嵌入制度，執行中有沖突矛盾、更新迭代不及時。解決上述問題的關鍵鑰匙在于“信息化”，通過信息化手段將制度流程化，將流程表單化，并把時間因素、成本因素、考核因素固化到流程結點，當制度更新優化時，流程結點和要求同步更新，能夠最大程度避免合規風險，提升內控管理的效率和效果。

三是樹立內控管理全局觀，體現風險、內控的對立統一。風險管理基于未來視角，時刻關注潛在風險點，對不確定性進行識別、分析、應對和管理，提前預警并做好風險防范，使剩余風險處于可控狀態;內部控制立足歷史視角，充分利用制度和流程等有形載體，基于過去發生和現在進行的事件進行控制。但二者都體現了企業的使命和核心價值觀，都為公司戰略發展服務，都涉及管控措施和效果考核。在依法合規框架下，把風險管控融入制度，把流程管控嵌入制度，全面提升風控體系的科學性、實用性和可操作性，強化 “強內控、防風險、促合規”的管控目標，充分發揮內控風險的二道防線作用，加快推進企業高質量發展才是上策。

參考文獻：

[1]我國上市公司2018年執行企業內部控制規范體系情況分析報告，財政部會計司等，財政部網站。

[2]關于加強中央企業內部控制體系建設與監督工作的實施意見，國務院國資委，國資發監督規 [2019]101號，2019年10月。