關于企業內控體系建設的幾點思考

王永亮

摘 要：目前，隨著監管部門和企業自身發展的要求，內部控制體系建設工作越來越受到重視，這也是提升企業管理水平的重要措施和必然趨勢。內部控制體系建設是一項系統工程，是一個不斷優化固化的過程。對于企業而言，建設一套完善和規范的內部控制體系至關重要。從某企業內部控制體系建設的歷程出發，分析我國企業內部控制體系建設存在的問題，并提出相應的思路和方案。

關鍵詞：內部控制體系;三本手冊;內部控制制度

中圖分類號：F272? ? ? ? 文獻標志碼：A? ? ? 文章編號：1673-291X（2021）28-0016-03

一、企業內部控制體系建設的必要性

內控源于風險，而風險之于企業，是與生俱來的。內部控制體系建設作為企業風險防范的最為重要的一道防線，在現代公司治理中扮演著重要的角色。隨著企業規模的不斷擴大，規避市場環境、資本管控、成本價格等各方面的風險，提高風險應對能力，已成為企業快速發展的迫切需求。為了企業發展戰略的順利實施以及戰略目標完成的高效安全，爭取在復雜多變的市場競爭中立于不敗之地，推進企業內部控制體系建設就成為了推動企業發展的重要舉措。這不僅是響應財政部、國資委等監管機構的要求，同時也是滿足資本市場的要求，更是滿足企業自身發展的要求。

企業的戰略決策就是要面臨各種決策風險，企業的經營管理就是對各種風險進行規避，隨著企業規模不斷擴大，企業需要應對的風險也將增加，要在各種風險環境中立于不敗之地，就必須有敬畏之心，積極推進企業內部控制體系的建設。企業內部控制體系建設是一項系統工程，通過內部控制體系建設，可以給企業經營發展以及綜合管理帶來一定提升，并可按照風險管理基本流程，通過對各種經營風險進行識別、評估、應對、運行監控、報告、持續改進等，形成一套閉環的風險管理體系，從而提高內控執行力，提升公司各項經營業務的精細化管理水平。內部控制體系化建設能夠加快信息反饋速度，提升內控工作效率、質量與風險管理能力，加強信息披露，提升企業形象與投資者信心。

二、A企業內部控制體系建設工作回顧

A企業內部控制體系建設首先根據其上級集團公司統一安排，于2011年安排監察審計部負責配合某會計師事務所編制，形成內部控制體系（內部控制制度手冊、內部控制管理手冊、內部控制評價手冊）“三本手冊”，2012年初通過上級集團公司驗收后全面實施。

這三本手冊在集團公司下屬各單位中大同小異，幾乎是完全一致的“多胞胎”，并且內容翔實，涵蓋企業業務的所有細節，完全按照國家財政部、證監會、審計署、銀監會、保監會等五部委聯合下發的《企業內部控制基本規范》《企業內部控制配套指引》編制，正如手冊前言所稱“本手冊滿足集團企業統一要求和外部監管要求，確保企業各項工作規范、有序、高效運行”，完全體現了編制時企業經營業務管控的現狀與特點。三本手冊在編制時，對全面風險管理、內部控制管理、內部控制評價做了職責分工，如在《內部控制管理手冊》中規定：“管理規劃部具體負責企業風險評估、風險管理工作;負責內部控制體系及制度體系有效運行和完善，對職能部門擬定發布內部控制制度進行審核。紀委（監察審計部）具體負責內部控制制度有效性的監督與評價。各職能部門負責本部門級職責系統內部控制制度的制定與實施，對本部門及本系統內部控制制度的健全性、合理性、有效性負責?！?/p>

手冊發布以后，作為內部控制管理核心部門的經營規劃部首先提出異議，認為紀委（監察審計部）與外部事務所搞出的三本手冊僅僅將相關內容拼湊起來，不符合企業管理實際，難以操作實施，歸納起來的主要問題有三個。

其一，內部控制制度如何界定？與各項管理制度有哪些異同？

其二，風險評估、風險管理工作不能憑空出現，如何與各項業務融合？缺乏相應的人才配備。

其三，三本手冊只是對管理和控制流程現狀的表述，內部控制管理的機制和規則到底是什么？如何去實施動態管理？

作為體系建設的內部配合單位，監察審計部對此無法給出有效答復。

三本手冊的運行結果是，監察審計部每年組織各相關單位根據《內部控制評價手冊》要求，對重點業務流程進行內控審核評價，并在此基礎上編制企業年度內部控制自我評價手冊并上報上級集團公司。手冊文件所規定的“風險評估、風險管理”“內部控制體系及制度體系有效運行和完善”“對職能部門擬定發布內部控制制度進行審核”等都成為一種紙面規定，沒有任何實際進展。

三、企業內部控制體系建設工作存在的主要問題

如何解決內部控制管理“兩張皮”現象已成為企業必須面對和解決的首要問題，通過對公開網站上百家上市企業內部控制和風險管理制度的收集，筆者對內部控制體系建設和風險管理等業務進行了相對廣泛的論證和研討。筆者認為，目前企業內部控制體系建設工作存在以下主要問題。

第一，對內部控制概念的認識存在偏差。內部控制不應該是一個管理制度，而應是一個在對各項經營業務流程實施風險評估的基礎上針對關鍵風險點采取一定防范措施的運行機制。內部控制措施應列入到各項管理制度之中，才能發揮其控制機制的作用，不存在所謂的“內部控制制度”。

第二，手冊的定位不準?！秲炔靠刂乒芾硎謨浴贰秲炔靠刂圃u價手冊》應定位為體系大綱文件，不是一個有效的內部控制和風險管理制度文件，內部控制體系建設需要相應的不同層次的管理制度文件支撐。

第三，全面風險管理和內部控制體系建設缺乏思路清晰可操作性的整體規劃。

四、企業內部控制體系建設系統規劃思路和架構方案

內部控制涉及企業的各個部門，對企業的健康發展起著極為重要的作用。企業實行內部控制，組織實施的重點環節是組織結構及職責分工、授權批準、風險評估等，同時通過內外部審計監督手段，使內部控制更有效地發揮作用。根據上級集團公司有關內部控制工作規定等要求，筆者組織企業內部控制和審計人員經多層次多方面研究溝通，確立了企業內部控制體系建設系統規劃思路和架構方案。

企業內部控制體系建設系統規劃可以分三個層級進行構建。

第一層次是企業層面的宣貫文件，包括全面風險管理手冊、內部控制管理手冊、內部控制評價手冊等，為全面風險管理和內部控制工作提供目的和原則要求，是統籌性綱領性文件。

第二層次是企業層面的管理文件，包括全面風險管理辦法、內部控制工作實施辦法、內部控制評價實施辦法等制度文件，為全面風險管理和內部控制工作提供職責和流程等規范。

第三層次是業務管理層面的管理指引以及業務層面的評價操作指引等文件，為具體業務工作提供規范性的操作指引。

筆者根據以上規劃思路在所在企業已經制定下發了《全面風險管理辦法》《內部控制工作實施辦法》《內部控制評價實施辦法》等三個基本管理制度文件，同時對各職能管理部門、業務部門的相關職責進行明確，確立風險管理和內部控制工作的管理和操作流程，使全面風險管理和內部控制工作實施起來有章可循、有據可依。

企業層面的宣貫文件依然是三本手冊，但用《全面風險管理手冊》替換《內部控制制度手冊》，并對三本手冊實施定期修訂制度，每年一季度組織進行全面修訂更新。

第三層次的指引文件根據業務管控現狀統一計劃并分階段逐步制定完善。一是確定內控管理框架。以風險為指引，梳理完善業務流程，從而確定內部控制管理框架，確保內部控制建設的體系完整。二是開展風險識別與評估。結合企業控制目標，綜合考慮內部與外部環境，全面系統收集相關信息，進行風險識別與評估，評估企業可能面臨的風險。三是制定內部控制制度。具體說明各流程的控制目標，形成覆蓋全業務流程、滿足內外部管理要求的內部控制制度，將其作為企業內部控制必須遵守的基本準則，從而指導公司內部控制有效運行。四是對內控進行監督檢查。監督檢查工作分為日常監督檢查和專項監督檢查，日常監督檢查是指進行常規、持續地監督檢查。專項監督檢查是對某一或者某些方面進行有針對性的監督檢查。五是評價內控執行。根據內部控制評價結果及缺陷，編制內部控制評價報告。

五、完善內部控制體系必須考慮的幾個因素

第一，增強內部控制和內部審計人員的職業榮譽感。內部控制和審計崗位人員雖然介入了企業許多重大政策的調整和完善，并從專業角度提供了強有力的支持，但內部控制特別是審計工作的雙刃性特點往往使他們在作出貢獻的同時為自身的職業發展留下了陰影，可以說難言榮譽感。從工作方式方法角度來看，其他職能和業務部門的工作更“接地氣”，能夠直接參與具體的業務處理，是行為的主動者，完成得好就能夠取得具體成果，而內部控制和審計的角色卻是以第三方的角色去檢查、去“挑刺”、去評判，運用專業知識提出意見，這些不但很難取得現場管理者的認同，而且即使意見被采納了，最后的成績都是別人完成的。隨著時代的發展，內部控制和內部審計工作逐漸發揮出其價值創造作用。因此，探究如何構建內部控制和內部審計人員的職業生涯體系、提升其職業榮譽感，是企業迫切需要做的事情。

第二，關于內部控制體系建設的有效性。目前，各企業內部控制管理均以“三本手冊”為基礎來開展各種內控自評工作，并配合外部事務所進行內部控制審計。每個季度根據上級集團公司的要求上報內部審計、內部控制和風險管理報表。僅從報表來看，成果很讓人激動，企業的內部控制環境建設良好、各項控制流程沒有重大紕漏，有問題也只是一點疏忽。但筆者從自身多年從業經驗角度來說，認為其中內部控制自我評價的有效性很難讓人滿意和信服，內部審計自身的定位和管理模式使得其很難對外出具真實性程度較高的內部控制自我評價報告。

構建職責明確的責任分工體系，構建嚴密的風險管控體系。從“誰授權，對誰負責”的原則來講，企業內部機構無法對企業高層的行為實施有效評價，自我監督并不現實。并且從內部控制發展歷程來看，內部控制主要因眾多企業舞弊和財務造假等丑聞而得到重視與推廣，在企業面對的風險中最大的風險就是高層風險、是企業文化風險，也只有企業高管才能輕易視各種規章和控制機制若無物，使各種管控形同虛設，使企業陷入生死存亡的險地。筆者認為，這也是國內與國外將內部控制環境作為內部控制體系架構理論的首要前提和基礎的原因所在，畢竟環境和文化的缺失將使得一切控制措施都成為虛設。但對于內部控制環境和企業文化的監控和評價，也就是對企業高管層的監督和評價，不是企業自身的審計和風險管理部門所能做到的。

為此，筆者建議可從集團企業層面建立內部控制評價體系平臺，內部控制評價體系平臺可從兩個層面開展。

第一層面，從集團企業層面對下屬各子企業的內控控制環境和企業文化建設等內部控制體系建設進行評價，可借鑒ISO9000系列認證、IRIS體系認證的方式方法，建立集團企業的內部控制體系評價標準，每年按評價標準組織專家進行現場審核打分，評價結果在集團企業內部公示并將其納入績效考核指標。實施內部控制考核，對內部控制體系建設完成情況、內部控制監督、優化與改進情況等進行評價，并將評價結果與相關責任人的績效考核相結合，逐級落實組織領導責任。發現內部控制存在缺陷的，根據其性質或影響程度中對相關責任人給予相應處理。對于造成資產損失的，追究相關責任人的責任，確保各項內控制度有效落地執行。

第二層面，由子企業審計和風險管理部門負責對企業內部具體的專項業務控制活動進行測評和評價。構建公開透明的內部控制監督體系;加強內部審計工作，設置審計合規部，加大源頭把關、過程控制的力度;加強審計信息化建設，推進信息化審計功能進一步升級，創新完善內部控制監督機制，健全完善審計制度，促進內部審計工作的制度化、程序化、規范化，促使內部審計工作成為企業內部控制管理的必不可少的重要組成部分。

通過上述兩個層面的配合實施，不但可以提高內部控制體系的有效性，同時能夠通過內部專家體系的建立促進內部審計、內部控制和風險管控人員職業生涯的完善。

參考文獻：

[1]? 張宜霞.內部控制——基于企業本質的研究[M].北京：中國財政經濟出版社，2004.

[2]? 中國內部控制研究中心 劉永澤，池國華.企業內部控制制度設計操作指南[M].大連：大連出版社，2011.

[3]? 胡為民.內部控制企業風險管理——實務操作指南[M].北京：電子工業出版社，2013.

[4]? 許國才.企業內部控制流程手冊[M].北京：人民郵電出版社，2012.

[責任編輯 毛 羽]