如何有效實施企業內部控制
——以瑞幸咖啡為例

林 欣

近來年，隨著我國經濟高速增長，上市公司財務舞弊案件也不時出現。從憑空捏造300億元資金的康美藥業，到扇貝多次“被跑路”的獐子島；從虛增119億元利潤的康得新，到花式玩弄“應收賬款”的風華高科，再到17億元資金憑空蒸發的輔仁藥業。上市公司造假案例頻發，給整個市場經濟健康發展以及投資者信心都帶來了巨大挑戰。我國上市公司于2009年開始披露內部控制缺陷，從證監會給出的報告可以看出，財務造假上市公司其內部控制都存在重大缺陷，形同虛設。2020年2月，著名的做空機構渾水發布了一份瑞幸咖啡做空報告，明確指出，瑞幸咖啡在2019年度部分報告中存在虛增收入及支出等財務欺詐行為。隨后，作為瑞幸審計機構的安永會計師事務所組織專業團隊進行審計，促使瑞幸被迫承認造假22億元的行為。基于此，本文以瑞幸咖啡財務造假事件為例，根據內部控制五要素，探究企業如何有效實施內部控制，減少因企業內部控制失效而誘發財務造假行為，從而對上市公司財務造假防患于未然，維護中小投資者利益。

一、案例背景

luckin coffee（瑞幸咖啡），由神州優車集團原CEO錢治亞于2017年創建，他通過精準的產品定位、獨到的裂變營銷以及新型的商業模式，借助移動互聯網和大數據技術在短時間內與咖啡巨頭星巴克并駕齊驅。從成立之初，瑞幸咖啡就保持著高速擴展的態勢，自2017年成立到2018年年初累計完成300多萬訂單，銷售約500萬杯咖啡，隨后，在短短5個月內，它在全國開設了500多家直營店，到2019年底，發展到4500多家直營門店，一舉超過星巴克，成為在中國擁有咖啡門店最多的咖啡品牌。2019年5月瑞幸成功地在納斯達克上市，耗時僅用18個月，成為全球最快實現IPO的公司。瑞幸在2020年1月迎來市值巔峰，總市值高達126億美元。

2020年2月1日，著名的做空機構渾水發布了關于瑞幸咖啡的做空報告，明確指出瑞幸咖啡在2019年度部分財務報告中虛增收入及支出，其管理層存在套現、道德瑕疵等問題。2020年4月2月，瑞幸發布公告承認其高管存在財務舞弊行為，當日股價跌幅達75.57%，觸發幾次“熔斷”，股價僅為4.39美元/股。

二、瑞幸咖啡內部控制缺陷分析

在無效的內部控制中，企業風險水平與控制要素設計和運行密切相關，只要控制要素設計或運行中存在重大缺陷，企業風險水平就會提高（Hogan and Wilkins，2008）。因此，內部控制缺陷往往體現在企業的各種行為上。

（一）控制環境存在缺陷

控制環境主要指企業內部整體文化、企業價值觀等，它是內部控制的基礎和核心。在渾水機構發布做空報告后，2020年2月瑞幸咖啡官方回應：否認做空報告中財務造假、管理層存在套現及商業模式存在缺陷等全部指控。瑞幸咖啡的審計機構安永會計師事務所對這份報告產生了警覺，審計機構出于自保，立刻派出相關人員對報告所指出的季度財報進行審計，結果發現其存在嚴重問題。隨后，4月2日瑞幸咖啡官方承認捏造銷售收入22億元。瑞幸咖啡前后態度反差較大。

（二）風險評估失靈

風險評估是指識別和分析與實現目標相關的風險。主要包括風險識別和風險分析兩個方面。瑞幸咖啡在所發布的公告中承認其財務造假涉及的區間是2019年下半年，但是其承認財務造假卻是在內部審計以后。基于財務造假時間差，瑞幸咖啡并沒有對可能形成財務造假風險的區間進行識別，同時，基于渾水報告給出的關于瑞幸咖啡欺詐的五條鐵證，說明瑞幸咖啡在采取相關定價、跳號、廣告投入等措施時，并未對其采取措施進行風險評估，沒有規避風險，更沒有對風險進行分析。

（三）控制活動有待完善

控制活動主要是指企業對風險的控制，即對能夠明確確認的風險采取一定方法措施進行控制，不使風險發展成為不可控。在實踐中可通過職責劃分、不相容崗位分離等舉措進行有效控制。瑞幸咖啡的CMO楊飛，曾因非法經營罪被判處18個月監禁。

（四）信息與溝通存在問題

信息與溝通是指為了使企業內部員工更好地完成相應職責與任務進行相互溝通，包括內部和外部。基于渾水發布的做空報告，許多數據及資料來源于公司內部員工，表明瑞幸咖啡內部沒有一個明晰的舉報投訴處理程序。

（五）監督

監督是一個評價指標，評價內部控制制度的設計與執行情況，通常包括日常監督和專項評價活動等。由于對日常經營活動、工作流程沒有形成一個有效的監督機制，導致瑞幸咖啡財務安全隱患一直存在。

三、如何提高內部控制有效性之建議

瑞幸咖啡財務造假，不僅毀了自身前途，還給赴美上市的中概股企業帶來了信譽危機，影響了中國企業的國際形象。因此，我國上市公司應該警覺，時刻反思自省，從瑞幸咖啡的慘痛案例中得到經驗與教訓。

（一）控制環境

企業的控制環境確定了整個企業內部控制的基調，影響了企業所有員工的控制意識。首先，有效的控制環境可以在企業內部形成一個良好的氛圍，推動企業內部控制制度執行及企業經營目標的實現。企業在設定一個良好的控制環境時，應該避免“內部人控制”現象的出現，股權的過于集中會在一定程度上為管理層道德缺失創造條件。其次，管理者本身不具有正確經營理念。如果管理層受到利潤誘惑而喪失職業道德，那么從一開始公司的內部控制環境就存在問題，同時也會因為管理層單純追求經濟利益的錯誤意識，而大大削弱企業控制環境的作用和功能。瑞幸咖啡在開始設立時，管理層就存在信用危機，在發展過程中難免不切實際地快速擴張。

（二）風險評估

風險具有不確定性，會對企業實現其經營目標產生重大影響，不管是“灰犀牛”還是“黑天鵝”，都會對企業發展產生一定的不利影響。風險評估是企業實施內部控制不可缺少的一環，是控制活動實施的重要依據。在充分識別企業潛在風險后，要對風險進行分類處理，再根據不同風險類別確定不同的風險目標。同時，公司也應對風險可能產生的損失進行分類，然后根據不同風險類別采取相應的解決措施來應對。風險評估要落實到項目上，在重大交易過程中，保持風險評估的連貫性。財務報表的真實性較為直接地反映了企業的財務風險問題，因此企業風險評估的重點可以放在企業財務報表及內部審計上。

（三）控制活動

根據企業采取的風險應對策略，企業需要及時采取相應的控制活動，盡量避免風險產生，同時降低企業損失。企業在設計控制活動時應當貼合企業發展現狀，分析哪些是以企業現有能力可以采取的，哪些是以后隨著發展而實施的。在整個過程中采取手工與自動相結合，預防與發現相補充。企業必須采取相應的控制手段，這樣才能對企業風險進行控制，整個內控環節才是有效的，能夠真正發揮作用。總的來說，對于風險控制是最難的，因為風險本身存在不確定因素，所以企業是根據以往經驗或參考其他公司做法施策。這也提醒企業管理層在進行控制活動設計時，應當具有前瞻性和預見性思維，不能僅僅著眼于當前，這樣實施的控制活動才能更有效果。

（四）信息與溝通

信息與溝通是實施企業內部控制的重要條件，它為控制環境的其他因素提供連接。企業內部應當建立一套完整的信息溝通體系，合理設計中間信息人，確保信息自上而下、自下而上都是聯通的，企業內部各部門之間也應當保證信息暢通，而不要相互屏蔽。重要信息可以申請上級批準是否流通共享。當然，信息與溝通本身是在人與人之間進行的，因此，鏈接公司員工要增強凝聚力，提高彼此之間信任度。在企業內部整個信息溝通過程中，要盡量避免越權操作等行為，越權操作會影響公司內部溝通與交流，形成人為障礙。

（五）內部監督

內部監督是對整個內部控制進行監督，是對其他要素系統檢查，一定程度上可以反映企業內部控制的質量。有效的內部監督能夠幫助企業及時發現內部控制存在的相關問題，保證企業內部控制流程有效實施。內部監督所形成的報告應當有暢通的報告渠道，確保監督所發現問題能夠及時傳遞到管理層，這樣有利于整個內控體系更好地實施。首先應當保障企業內部審計部門發揮作用；其次，應當避免內部人控制。內部人控制的形成，會導致企業內部監督形成閉環，無法得到良好運行。企業也可以通過設立外部獨立監事等外部監督手段，從而保證企業內部監督效果。

萬丈高樓平地起。企業要想有效實施其內部控制，在內控五要素設置時就要層層把關，環環相扣。希望我國其他上市公司引以為戒，吸取經驗教訓，不讓公司內部控制形同虛設。