基于系統思維的企業內部控制體系構建

■/ 車映安

近年來，伴隨著國際地緣政治、軍事形式持續變化，各類不確定因素復雜多變，企業經營風險陡增。我國自2008年5月發布《企業內部控制基本規范》、2010年10月發布《企業內部控制配套指引》以來，盡管國家逐步強化了對企業內部控制體系的實施和監督，但企業內部控制體系的建立仍然存在很多問題，需要進一步探討完善。

一、我國企業內部控制體系建設現狀

分析我國企業內部控制體系建設總體情況，上市公司好于非上市公司，央企好于民企，大企業好于中小企業。目前，企業內部控制體系建設中存在的問題主要表現在以下幾個方面：一是有的企業內部控制體系建設不到位，制度約束失效，企業的內部控制制度與企業的組織架構、業務發展不匹配，未及時更新、完善、優化，內部控制流程、關鍵崗位、制度存在設計缺陷或缺失，對新業態、新情況、新問題研究不夠，沒有制定和更新相應的內部控制制度，對業務發展不能提供有效的支撐作用，存在重大風險隱患。二是有的企業內部控制體系建設與業務發展存在兩張皮的現象，內部控制沒有融入企業管理，內部控制體系建而未管，企業在建立內部控制體系時，制定的流程圖、關鍵崗位設置和控制以及制定的制度與實際業務存在差距和不一致的情況，內部控制體系處于制度層面，沒有很好地落地實施，處于失效狀態，這也導致企業各類風險事故頻發，尤其有的企業安全事故頻發的主因，動輒發生重大傷亡事故，經過事故調查發現，重要原因還是企業缺乏有效的內部控制體系。三是企業重點領域和關鍵環節內部控制缺失，存在設計缺陷，同時缺乏有效的監督、評價制衡機制。例如企業資金管理內部控制體系存在設計缺陷和執行缺陷，導致資金安全風險。又如企業項目建設或者企業大宗采購環節，招投標環節的流程缺失，或者關鍵崗位控制不到位，就很可能招致串標、圍標，導致舞弊行為發生，給公司造成重大風險和損失。

二、運用系統思維的方法和觀念建立健全企業內部控制體系

（一）建立符合企業實際情況和業務發展需要的內部控制制度體系

按照《企業內部控制基本規范》及《企業內部控制應用指引》，結合企業實際情況和業務特點，將內部控制體系和管理制度形成有機融合與銜接。在建立企業內部控制體系時，對企業的各業務環節和企業管理的各方面，進行系統梳理，明確企業業務重要領域和關鍵控制環節，通過內部控制措施和工具，將內部控制管理和監督嵌入到具體的業務流程中，使業務流程形成閉環，對關鍵環節進行控制描述，制定具體控制措施，優化管理制度、操作規范、流程和權限，最終形成符合企業實際情況和業務發展的公司內部控制手冊或標準。這也是企業內部控制最基礎、最重要的環節，是企業內部控制體系建設的基礎。避免出現企業內部控制體系建設不到位，制度約束失效，企業的內部控制制度與企業的組織架構、業務發展不匹配的現象。對內外部合規要求進行系統梳理，將合規要求轉為各關鍵控制環節的具體執行標準，通過內部控制措施和工具，梳理整合、查缺補漏，將風險管理和合規管理嵌入到具體業務當中，優化制度、流程和權限，確保內部控制體系的全面、有效落地實施。

例如，企業采購是企業生產經營的起點，既是企業實物流的重要組成部分，又與資金流密切聯系。制定采購與付款的內部控制流程，首先要梳理采購與付款業務的整體流程圖及各業務流程，繪制流程圖，識別關鍵控制點。如某企業主要的采購流程包括：物資需求計劃審批流程、供應商選擇與評價、招標采購或者比價采購流程、合同評審流程、采購入庫流程、付款流程等等。每個流程都有關鍵控制節點，例如物資需求計劃審批流程中相關部門、財務部、主管領導的審核審批都是關鍵控制節點。繪制出各流程的流程圖后，對每個關鍵控制點進行識別，并準確描述控制措施。其次確定采購和付款業務的控制目標及職責。明確了流程圖和關鍵控制點，對控制點的控制目標進行描述，清晰的定義控制目標，并對關鍵控制點的崗位責任進行明確，達到崗位責任明確，責任落實到人。第三，對采購與付款業務循環的主要風險點進行標識和評估，確定各流程的風險矩陣，從風險描述、合規要求、控制描述、主責部門、主責崗位、控制方式及頻次等方面逐一細化，形成采購業務的風險矩陣。第四，確定采購與付款各環節的關鍵控制點。通過對采購的風險矩陣細化，明確了各流程的關鍵控制節點，制定具體的控制措施，達到控制目標。第五，結合主要風險點和關鍵控制點，采用不相容職務分離、授權審批控制、會計系統控制、財產保護控制、預算控制、運營分析控制和績效考評控制中一項或數項控制活動進行控制。

內部控制體系的流程、制度、操作規范形成內部控制的手冊或標準，是內部控制在企業實施的基礎，如何編制符合企業實際情況和業務特點的內部控制手冊或標準？在實踐中，主要做好以下幾方面的工作。一是要認真學習基本規范和配套指引，理解和掌握內部控制體系的基本框架和要求，領會內部控制體系的實質。二是在實施內部控制體系時，制定完整的實施方案，在制定方案時，要進行細致的調查研究，梳理企業現有的管理流程、制度，摸清公司管理現狀，對那些業務存在設計缺陷和執行缺陷的各個業務流程進行全面的梳理和研究，制定切實可行的實施方案。三是組建項目實施團隊，定期召開會議，跟蹤項目進展、分析解決項目中存在的不足，同時通過實施內部控制體系，培養和鍛煉一支隊伍，作為內部控制體系執行團隊成員。四是內部控制體系屬于一個系統工程，我們要堅持系統的思維，進行有機銜接，包含企業管理的方方面面，通過不斷地完善、持續改進，與企業管理進行融合，達到內部控制的有效運行，促進企業管理的提升。

（二）加強內部控制信息化，固化內部控制流程及制度

《我國企業內部控制規范》明確規定：單位應當充分運用現代科學技術手段加強內部控制，對信息系統建設實施歸口管理，將經濟活動及其內部控制嵌入單位信息系統中，減少或消除人為操作因素，保護信息安全。內部控制的核心是風險管控，通過流程、制度或操作規范，采用不相容職務分離、授權審批控制、會計系統控制、財產保護控制、預算控制、運營分析控制和績效考評控制方式，對內部控制進行風險防范和控制，利用信息化平臺，固化流程、制度、操作規范，實現從“人控”向“機控”的轉變，提高內部控制的信息化水平。

內部控制信息化建設是內部控制有效實施的重要手段，在具體業務中，內部控制內嵌于公司控制的各個環節，內部控制信息化建設主要通過建設OA協同辦公系統來實現，財務管理、供產銷等通過內嵌ERP系統來實現；尤其資金管理，資金的支付、費用控制屬于OA 辦公協同和ERP 兩個系統來實現資金管控。人事管理通過公司的相關流程內嵌于人事信息化系統。將采購入庫、銷售出庫、生產管理固化在公司的公司ERP 流程中實施控制。電商通過公司電商平臺來實現管控。例如采購環節的采購物資入庫的流程，首先采購人員在ERP上辦理物資入庫單，第二關鍵環節為檢驗環節，質檢部門檢驗合格后，辦理檢驗合格審核，第三個關鍵環節是庫管員驗收數量，整理入庫。這些環節都是鑲嵌在ERP 系統中的，把采購物資入庫固化到ERP系統中，達到隨時掌握物資狀態。

提高內部控制的信息化建設水平，一是將流程、制度以及控制過程固化和內嵌在各類管理信息平臺，與企業管理融合，提高管控的效果，減少人為操作，達到“機控”的效果。二是推動業務系統的持續優化，將內部控制體系管控措施嵌入各類業務信息系統，諸如SAP系統、OA協同辦公、ERP系統、人事管理系統、安全管理系統，DCS控制等系統，確保自動識別并終止超越權限、逾越程序的行為，促使各項業務活動和執行活動可控制、可追溯、可檢查，減少人為操作因素。三是逐步探索利用新技術提升智能化監管水平，要逐步探索利用大數據、云計算、人工智能等技術，實現內部控制體系實時監測、監督評價等在線監管功能。

（三）完善內部控制組織機構，是確保內部控制體系有效運行的組織保障

制定符合企業實際情況的業務特點的內部控制制度體系后，有效地貫徹執行，需要一個完善的內部控制組織來執行和落實。企業需要建立一個內部控制管理部門，但僅僅建立內部控制管理部門是不夠的，要建立和完善覆蓋企業各業務領域、管理環節、各部門、各崗位全面有效的內部控制體系，需要在各部門設置內部控制專員，負責組織、協調本部門業務相關的風險內部控制日常工作，識別和評估業務中的風險，明確風險的應對措施，與企業內部控制管理部門協作，確保企業內部控制手冊或標準有效地落地實施，形成內部控制的網狀結構，觸角觸及企業各方面。例如，某企業內部控制管理的組織架構主要包括兩個層面，一是成立以公司主要領導為組長、各部門負責人及風險管理辦公室負責人組成的內部控制規范實施小組，負責組織領導簡歷見覆蓋各業務領域、部門、崗位企業全面有效的內部控制體系。公司主要負責人親自領導和組織內部控制體系建設，以帶動公司全員參與到內部控制體系建設當中，引導企業員工轉變觀念，自覺接受內部控制制度約束。二是成立公司風險管理辦公室，由主責部門的負責人和公司的內部控制專員以及各部門的內部控制專員組成，各部門設置內部控制專員，負責組織協調與本部門業務相關的風險內部控制日常工作，識別和評估業務中的風險，明確風險應對措施，與內部控制管理部門協作對公司的重大經營決策開展風險評估。

（四）組建團隊，為企業內部控制體系有效運行提供人力資源保證

內部控制體系建設實踐性和操作性強，離不開一支專業有素的團隊，在工作中堅持原則，按制度辦事，追求精益求精，才能全面控制企業的風險，使企業高質量運行。

如何建立專業有素的團隊，主要做好以下幾個方面的工作，一是做好人員的選拔，將有能力，有責任心，有擔當，有專業素養的同志選拔到企業內部控制專員的崗位上來。二是人才培育，加強企業內部控制管理的專業培訓、業務指導，畢竟內部控制體系是一套完整的體系，有相應的法規、操作的指引，這需要企業內部控制專員系統地掌握，建設有效的內部控制體系，才能更好得將內部控制體系貫徹落實到位，防范企業風險。培訓主要包括兩個層面，一個層面是公司內部培訓，主要公司內部控制相關手冊、制度、實施方案的宣傳培訓。二是引入外部培訓資源，進行內部控制指引、政策解讀和專業培訓，對內部控制體系建設進行更高層次的培訓，使內部控制人員對內部控制體系有更深入的理解和掌握，有助于推動內部控制體系建設。三是強化團隊的學習能力和創新能力，構建“學習型、創新型”內部控制團隊，結合新業態、新問題研究內部控制體系，提出和解決內部控制實施過程中存在的問題，通過提高研究、分析、協調、溝通，創新能力，提高自身專業化水平，為內部控制體系的實施提供支持，通過選拔、培訓、引導組建有能力的內部控制體系實施團隊，是推進內部控制體系有效落地的重要保證。

（五）企業文化建設與內部控制體系相互構建，發揮文化對制度執行的重要影響

在內部控制的框架中，文化是內部控制的環境要素之一。內控體系建設必須注重企業文化建設和內控體系構建的相互關系，只有從企業文化的角度推進內控體系建設，才能建立起有效的內控體系。在構建和實施企業內控體系的過程中，要營造良好的文化氛圍，提升內部控制制度實施的有效性，杜絕制度落實的過程中存在選擇性。余秋雨先生的《何謂文化》描述到：“文化，是包含精神價值和生活方式的生態共同體，他通過積累和引導，創建集體人格。”由此看來，文化的重要性。正如毛澤東同志所說“一切新的東西都是從艱苦斗爭中鍛煉出來的”。企業文化來自于企業管理的實踐和總結，因此，企業內控體系構建的過程中，不能忽略企業文化的推動作用和影響力。

首先，企業完成內部控制流程、制度體系梳理，組建有效組織機構，選拔專業有素的內部控制團隊，要使得內部控制上升到更高層次，按照系統思維，既堅持目標導向又要堅持立足實際，發揮文化對制度執行的重要影響。加強企業內部控制文化建設，促進內部控制的實施，建設高效統一的內部控制治理體系。

其次，企業要提煉內部控制的共識，逐步形成文化影響內部控制體系的有效內部控制體系執行和落實。因此提煉適合企業實際情況的內部控制文化非常重要。企業內部控制文化建設和提煉主要關注以下幾個方面：一是要求逐步形成全員全過程控制的意識，內部控制主要通過流程和制度進行過程控制，包括事前控制、事中控制、事后控制。二是要求具有風險意識，風險意識是內部控制落實的重要保證。要想內部控制發揮作用，必須強化內部控制的風險管控的理念，需要樹立一種風險信念和風險態度促進全員風險意識的培養，將風險意識應用到各個部門的日常內部控制過程中。三是要求抓關鍵控制點，進行精準控制。內部控制涉及企業的各個層面和各環節，根據內部控制的重要性原則，要求內部控制應當重點關注重要業務事項和高風險領域，抓關鍵控制點，進行精準控制。企業提煉的內部控制文化是企業員工的共識，體現在員工身上，就是一種責任、使命和凝聚力，必須認真踐行企業內部控制文化，達到“內化于心，外化于行”,逐步形成企業的核心競爭力。