擬上市民營企業內控體系建設探析與實踐

●李景廳

股票發行注冊制的全面實施加強了對企業信息披露和監管的要求，提高了市場透明度和對投資者的保護。在這一背景下， 對企業的內部控制要求則更高。 在全面注冊制的“嚴監管”和“重內控”要求下，擬上市民營企業如何在盡可能短的時間內完成內控落地，達到上市企業內控要求，順利上市融資，是亟須解決的難題。

“管理制度化、制度流程化、流程信息化” 是中央企業內部控制體系建設的要求， 也是民營企業內部控制體系建設發展的趨勢。 要想解決民營企業上市時間緊、 內控體系建設落地慢的矛盾， 最有效的方式就是利用信息化手段。通過信息化建設，識別企業的關鍵風險， 將關鍵風險固化到信息系統，進行在線運行，并結合有效的內部監督，最終促使內控體系的快速落地。

一、 擬上市民營企業的內控現狀

2022 年， 被質問內控問題的擬上市民營企業占所有被質問內控問題的擬上市企業的90%， 顯示出擬上市民營企業的內控問題尤為突出， 本文將擬上市民營企業存在的內控問題與《企業內部控制基本規范》（以下簡稱《基本規范》） 中內部控制五要素相結合， 深入分析擬上市民營企業的內控現狀。

（一）內部環境缺失，機構設置不合理

經過40 多年的改革開放，中國的民營企業如雨后春筍般“自由生長”。這種“自生自滅”式的自由生長，促使民營企業對資金的依賴性相比國企、央企更強， 也促使民營企業更關注企業的成本，特別是人工成本的節約。一人擔任多個職位、 專業人員素質參差不齊、機構設置不合理、不相容的崗位未分開設置，等等。雖然擬上市民營企業相比其他民營企業在人員規模上已經有了較大的提升， 但是這種提升更側重于一線生產人員數量的增加，一些關鍵崗位（如采購、財務），則繼續由家庭成員擔任或兼任， 家族化管理特征沒有改變。

目前擬上市民營企業中，60、70 后的企業家占據較大比例， 他們成長于社會變革的時代，更注重資金的積累，更傾向于將資源和精力投入到業務擴張和市場開發中。這種重發展、輕控制的心態， 導致其對內控管理的意識仍然不強。 以實際控制人個人為中心建立的集權制組織結構， 組織監督職能發揮失效， 在管理控制中充斥著個體化、隨意性的個人行為，而忽視了內控建設對于企業長遠發展的重要性，實際的法人治理和制衡機制缺失。

（二）內部控制目標不明確，風險評估不到位

擬上市民營企業建設內控體系多以完成上市任務為主。 內控工作以財務部、法務部等其他部門人員兼任， 缺乏具備專業知識和經驗的內控人才，企業在設定內部控制目標時缺乏科學的依據和判斷。開展內控工作重心不齊、目標不明，內部控制的控制目標沒有與企業發展目標以及業務目標相結合。 沒有明確的、合理的控制目標，將無法評估、識別企業經營活動中的風險，無法提出合理的風險應對策略。 對一些關鍵風險點缺乏風險評估和識別，將失去對企業業務運行變化的控制和各項政策調整變化的控制，同時，影響企業財務數據的真實性和準確性，降低企業的風險承受能力和企業可持續發展能力。

（三）控制活動形同虛設，流程節點責任不清晰

擬上市的民營企業在管理方式上常受限于家族化和實控人個性化管理，因此往往過度依賴個人經驗或家族傳統，而忽視了建立科學的風險管理機制和體系，導致內部控制制度存在缺失和滯后的問題。企業日常的業務流轉依靠的是歷史的工作習慣和經驗，表單和流程節點設置不合理，各操作細節描述不準確， 業務人員在實際操作中無所適從，部門之間相互推諉情況嚴重，缺乏系統的制度安排和健全的內控體系支撐。 授權、業績評價、實物控制、職責分離等相關控制活動無法有效執行。

表單保管不齊全，表單上的簽字不完整，并散落在各個部門之間。 在上市輔導期，花大量的時間和精力在補單子、補簽字、補手續上，而這種依葫蘆畫瓢式的補單子、補簽字、補手續，卻經不起外部機構的監察，極易出現因內控缺失而無法正常上市的情況。

（四）信息化水平低，單據傳遞時間過長

由于證監會對上市企業財務核算健全性的要求，擬上市的民營企業需要建立完善的財務核算體系，才能滿足上市要求。相比其他民營企業，擬上市民營企業的信息化水平相對要高，但信息化系統多以財務系統為主，沒有形成完整的業財融合的ERP系統和進行業務流轉的OA 系統。 業務端的經營信息和數據傳遞滯后，業務流程不順暢，人工錯弊的風險高。

紙質單據傳遞過程中容易出現因某位簽字人員不在崗而頻繁擱置的情況， 單據流轉時間過長，工作效率低下?；蛘?，先辦事后補流程和簽字，特殊情況常態化，導致內控失效。單據的使用不統一，使部門之間信息溝通不暢，內控體系建設落地慢。

（五）制度執行不到位，缺乏內部監督

約定俗成的習慣，是阻礙內控制度執行的主觀因素；審計監督部門的缺失是阻礙內控執行的客觀因素。大部分擬上市民營企業都是在上市輔導期才匆忙組建審計部門，審計部門的建立通常掛靠在財務中心下面，當開展內審工作時只能滿足本部門的工作要求，缺乏審計工作的獨立性，沒有發揮真正的監督職能。

內控制度的落實為了應付上市而流于表面，制度執行上推一下、走一步，積極性不高。擬上市民營企業人事績效考核和獎懲機制還不夠健全，責任追究制度形式化。 一旦審計監督工作出現問題，將導致整個內部控制監督體系失靈，內部控制工作無法得到真正落實。

二、內控體系信息化建設的必然性

“推進內部控制體系建設同信息化建設的融合對接”，是國資委、財政部對中央企業內部控制體系建設提出的明確要求，也為擬上市民營企業的內部控制體系建設指明了方向。擬上市民營企業可以通過信息化建設，實現業務協同，提升業務流程效率，助力內控體系的快速落地。針對上述擬上市民營企業存在的內控問題， 通過信息化建設可以有效解決。

（一）利用信息化中的制衡機制可以有效解決機構設置不合理的問題

通過信息化建設明確職責分配和授權的具體方法，對組織架構的設置、人員之間的權限分配進行再梳理，明確各崗位的職責權限，形成以不同崗位為流程節點的審核制度。

首先，通過信息化建設，企業可以更加清晰地了解各個崗位的職責和權限，避免出現職責重疊或遺漏的情況。這有助于提高企業的運營效率和管理水平，確保各項工作得以順利進行。

其次，通過信息化中的制衡機制，可以規范操作人員的行為， 確保他們按照規定的流程和標準進行操作。這有助于減少人為錯誤和舞弊行為的發生，提高操作的準確性和效率。同時，制衡機制還可以確保企業的經濟業務真實、完整和可持續，避免出現財務舞弊或欺詐行為。

特別是對于外部監管機構重點關注的“三重一大”問題，按照設定好的規定權限和流程進行集體決策或聯簽， 可以規避企業運行發展中的重要經營風險。這有助于提高企業的合規性和透明度，提升企業的信譽和形象。

（二）利用信息化的固有屬性，可以有效解決流程節點責任不清晰、單據傳遞時間過長等問題

內部控制的建設需要考慮重要性原則和成本效益原則，重點是對企業關鍵風險點的識別和控制，并與企業控制目標相結合， 評價企業內部控制的有效性，最終符合上市企業的內控要求。利用流程信息化可以將識別出的企業關鍵風險點轉化成流程節點，企業根據常規授權的權限指引，將相應的授權范圍、權限、責任等通過信息系統進行自動流轉審批，解決了審批次序的不合理、審批滯后、審批責任不清等問題。并將各流程固化到系統中，通過不同的方式和頻率進行風險控制，有效解決關鍵風險點的控制問題，提升企業的風險防范能力， 使整個企業的內部控制合理、有效。

在信息化系統中流轉的數據都會存儲在后臺的服務器中，即起到了數據留痕的功能，又可以確保數據的安全。 信息系統中的附件上傳功能和搜索功能可以定位到每一筆流轉審批業務和對應單據， 在外審、券商進行內控穿行測試時，確保單據的完整和控制點的貫通。

信息化系統可以在電腦、手機等多終端、遠程進行操作，在手機上可以設置信息提醒功能，各節點操作人員可以快速查看和處理信息。 流程處理時間從原來紙質傳遞時以“天”為單位，縮短到信息自動流轉時以“秒”為單位，單據傳遞時間縮短了幾個量級，提升工作效率的同時也加快了各部門間信息的傳遞，為內控體系的快速落地生根提供載體。

（三）利用信息化中的日常監督功能，可以有效解決制度執行不到位的問題

利用信息化系統中的流程監控功能， 對日常的流程進行實時監督一旦發現執行不到位的情況，系統可以自動發出預警， 提醒相關人員及時采取措施進行糾正。信息系統可以定期生成數據分析和報告，對制度執行情況進行全面分析和評價。 幫助管理者了解制度執行的情況并發現流程缺陷， 找出存在的問題和不足，提出改進措施，進行有針對性的完善和優化，形成流程“設定—執行—修訂”的閉環管理。

信息化中的日常監督也可以為審計工作提供更加全面、準確的數據支持，提高審計監督工作的質量和效率。同時，有效的審計監督進一步強化了各部門制度的執行。 審計人員通過對各部門的經濟活動和財務狀況進行審查和評估， 可以發現制度執行中的問題，提出改進意見和建議。這些意見和建議可以促使各部門更加自覺地遵守和執行制度， 從而確保企業的穩定發展和合法運營。

綜上所述，信息化建設以自身的優勢，不但可以解決現階段擬上市民營企業的內控問題， 也能為企業上市后的持續健康發展保駕護航。 健全的內控體系也提升了企業財務報告的準確性和可靠性， 進一步保護了廣大投資者的利益。因此，信息化建設是擬上市民營企業內控體系建設的必然選擇。

三、內控體系信息化建設的實施路徑設計

通過對擬上市民營企業內控現狀的分析， 本文認為， 擬上市民營企業內控體系信息化建設的實施路徑可分以下幾個步驟進行：

（一）轉變管理意識，做好內部環境建設

內部環境是企業實施內部控制的基礎， 是內部控制賴以生存的土壤， 控制環境的好壞直接決定著其他控制要素能否發揮作用。

企業在實施信息化建設時應做好業務流程、管理模式、組織結構等內部環境變革的準備，以及做好機構設置和權責分配調整的準備。 明確信息化的總體實現目標，利用系統思維，科學設置，使企業在業務流程、管理模式、授權審批等方面有顯著的改進和提高。 結合企業現狀，貼合企業實際需求，按重要程度分階段推進信息化項目進程。同時，在信息化建設實施之前，企業管理者需要先轉變“三個管理意識”。

1.由“封閉式”管理意識向“開放式”管理意識的轉變。 評價半導體技術進步速度有一條法則叫摩爾定律，就是每一美元能買到的電腦性能，隔一個月就會翻一倍以上。 同樣，中國的信息化經過30 年的發展與之前相比已經有了翻天覆地的變化，信息化系統的應用能力已經顯著提高，信息化建設成本已經明顯降低，企業管理者應以“開放式”的管理觀念去接收新事物，利用信息化手段為企業管理服務。

2.由“集權式”管量意識向“分權式”管理意識的轉變。 內控體系建設中最重要的一條是授權，通過授權把管理職責分配到各部門、各崗位，用活每個人，通過不相容崗位之間的相互牽制，達到企業“活而不失控”的狀態。 擯棄以前高度“集權式”的管理意識和“家長式”的作風；擯棄“一支筆”的審批權限，大事小事都由企業主一人簽字。 利用“分權”這條鲇魚盤活企業的大池子，利用“內控”這道圍墻管住池子里的鲇魚，做到“放得開又管得住”。

3.由“重發展，輕控制”管理意識向“發展+信息化控制”管理意識的轉變。 利用信息化固化的制度流程，提升員工的工作效率，增加企業經營的穩定性；利用信息化的風險識別手段，防范企業經營風險，優化企業資源配置，確保企業可持續發展；利用科學合理的評價體系，充分調動員工工作的積極性和主動性，減少人員的流失率，增強企業的競爭力?！鞍l展+信息化控制”是確保企業目標實現和長期穩定健康發展的有效管理模式。

（二）梳理組織架構和崗位職責，明確崗位職級

清晰的組織架構和崗位職責是開展信息化建設的基礎，只有明確各崗位職能、權限、相互關系，才能設計具體的審批流程。 組織架構和崗位職責的梳理步驟如下：

1.明確企業戰略和目標：在梳理組織架構之前，首先需要明確企業的戰略和目標。 這將有助于確定組織架構的方向和重點，以確保所有部門和崗位都能支持企業戰略的實現。

2.分析現有的組織架構：對企業的現有組織架構進行深入的分析，包括部門的設置、職責劃分、人員配置以及信息流程等；了解現有組織架構的優勢和不足，以及存在的問題和瓶頸。

3.優化組織結構設計：根據企業的戰略目標和業務特點，以及現有組織架構的分析結果，對組織結構進行優化設計。 可以考慮以下幾個方面：一是減少管理層級：簡化組織結構，減少決策層級，提高信息傳遞效率和決策速度； 二是合并重復職能：整合重復的職能部門，以減少資源浪費和提高工作效率；三是調整部門劃分和職責：根據企業戰略和核心業務需求，重新劃分部門職責和權限，確保各部門能夠更好地支持企業目標；四是制定組織架構圖和崗位說明書：將新的組織架構以圖表的形式展現出來，明確各個部門和崗位的職責、權限和各崗位人員匯報層級。 同時，為每個崗位制定詳細的崗位說明書，包括職位名稱、職責描述、任職要求等；五是溝通與反饋：將新的組織架構和崗位說明書與企業的員工進行溝通和反饋，確保員工對新的組織架構有充分的了解和認識。 同時，鼓勵員工提出意見和建議，以便進一步完善組織架構；六是搭建信息化系統中的人員組織架構： 根據梳理出的企業、部門層面的組織架構和各崗位人員匯報層級，搭建信息化系統中的人員組織架構，以直線型的方式明確各崗位人員的上下級關系。 從上向下：一位上級可以對應多名下屬；從下向上：一位下屬不能對應多名上級。 建立崗位人員信息錄入標準，為后續各節點之間的順暢流轉奠定基礎。

組織架構的梳理需要結合每個企業的業務特點進行調整和優化。 同時，組織架構的設計也需要考慮到企業的文化和員工的實際情況，以確保新的組織架構能夠得到員工的認可和支持。

（三）結合崗位說明書，進行關鍵風險點識別

結合梳理出的各崗位說明書，進行關鍵風險點識別的步驟如下：

首先，需要認真閱讀和理解崗位說明書，了解每個崗位的職責、權限、工作要求、任職要求等。 這樣可以明確每個崗位的工作內容和標準，為后續的關鍵風險點識別提供基礎。

其次，在了解崗位說明書的基礎上，需要分析每個崗位可能面臨的風險因素。 這些風險因素可能包括業務風險、法律風險、道德風險等。 可以通過對歷史數據的分析、同行業比較、專家評估等方式，識別出每個崗位的關鍵風險點。

對關鍵風險點的識別應結合企業的實際發展情況、自身業務特點、風險承受程度等影響因素進行系統分析，避免遺漏風險、過度識別風險。 關鍵風險點識別過程中的注意事項包括：

第一， 關鍵風險的識別要了解企業的風險承受程度。 風險承受是指企業對所面臨的風險采取接受的態度， 從而承擔風險帶來的后果。 對企業風險承受程度的考量可以結合具體的量化指標，包括資產負債率、流動比率、利潤率等；以及非量化指標，包括管理層的風險偏好、行業的地位等。了解企業的風險承受度， 并根據識別出的風險做出相應的風險應對策略， 為下一環節的具體控制活動提供依據。

第二，關鍵風險的識別要考慮成本效益原則。風險無處不在、無時不在，對企業風險的識別要考慮成本效益原則。 風險識別過程中應該對每個關鍵風險點可能帶來的影響進行評估， 包括可能導致的損失、 對企業戰略目標的影響等。 這樣有助于了解風險的嚴重程度， 提高關鍵風險識別的質量。

第三，關鍵風險的識別要考慮重要性原則。先關注重要的風險點，在識別關鍵風險點時，需要優先關注對企業影響較大、發生概率較高的風險點。這些風險點可能帶來的損失較大， 因此需要優先采取防控措施。 同時， 對于一些發生概率較低但對企業影響較大的風險點， 也需要引起重視并采取相應的防控措施。

第四， 對關鍵風險點識別的過程和結果進行詳細的文檔記錄， 包括識別的方法、 識別的結果等， 這樣有助于后續的跟蹤和評估。 隨著企業內外部環境的變化，新的風險點可能會出現，而舊的風險點可能會降低或消失。 因此， 需要保持敏感性和靈活性，根據記錄及時調整和優化篩選關鍵風險的方法和結果。

在流程信息化建設過程中， 對關鍵風險點的識別格外重要， 只有關鍵風險點的識別達到了內部控制的要求，才能真正發揮流程控制的作用，整個流程的結果才能得到控制， 內部控制的建設才能有效。

（四）根據識別出的關鍵風險點，繪制流程矩陣

根據識別出的關鍵風險點， 輔以每個關鍵風險點具體的控制活動，并繪制流程矩陣，具體步驟如下：

1.明確流程目的和范圍：在繪制流程矩陣之前，需要明確流程的目的和范圍。流程目標可以是提高效率、降低成本、提高質量、增強安全性等，確保流程目標與企業的戰略和業務目標保持一致。流程范圍包括涉及的業務領域、部門和人員等。同時，需要了解業務的運作方式和關鍵環節，有助于確定流程的目的和目標， 以及確定需要包含哪些控制活動和環節。

2.確認控制活動的合理性和有效性：在繪制流程矩陣時， 需要根據識別出的關鍵風險點確認具體的控制活動。例如，采購環節識別的關鍵風險點：因合同條款模糊不清，違反法律規定的風險。具體的控制活動可以描述為： 采購人員應與供應商簽訂框架協議，需要發生采購業務時，采購人員填寫《采購訂單》；框架協議除需采購經理審批外，還需法務人員審批。 另外，在繪制流程矩陣時，還需要參考相關法規和標準， 以確?？刂苹顒臃戏珊托袠I規范。例如，需要參考《基本規范》等相關法規和標準， 以確?？刂苹顒拥暮侠硇院陀行?。

3.確認信息流向的合理性和準確性：在繪制流程矩陣時， 需要仔細核對每個環節的輸入和輸出、確保每個符號和注釋都準確無誤。 例如，每次觸發不同的控制條件時， 信息是否能準確傳遞。

4.及時更新和完善：隨著企業內外部環境的變化，需要及時更新和完善流程矩陣，以適應新的情況和需求。例如，當出現新的業務需求或政策法規時，需要在原有流程矩陣的基礎上，增加更多的流程節點，包括操作活動、決策活動、信息流向等；或針對可能出現的異常情況， 需要增加異常處理流程來解決問題、恢復業務的正常運行。

控制活動是企業根據風險評估的結果， 采用相應的控制措施。 控制活動貫穿于企業的所有層次和各個職能部門，是內部控制的重要組成部分。在確定控制活動時， 需要考慮控制活動之間的聯系，不能為了控制而控制，必須將控制活動與關鍵風險控制點相結合， 利用具體的控制活動將風險控制在可承受范圍內。

（五）結合流程矩陣，搭建具體信息化流程

結合流程矩陣中的關鍵風險點、 風險描述、控制活動描述等，將關鍵風險點轉化成信息系統中的審批節點嵌入到具體的審批流程中。

在搭建具體流程之前，先要分析：這個流程用來做什么（流程類型、流程名稱）？ 需要處理哪些數據（表單、字段）？ 需要經過哪幾個環節（節點）？每個環節之間的連接順序（出口）是怎樣？每個環節由誰來執行（操作者）？

具體流程搭建步驟如下： 確定流程類型、定義流程名稱；確定表單中的字段，明確字段類型，將字段的合集在系統中生成一張完整的表單；確定每個節點和節點之間的連接順序（參照上述的原/輔料采購節點）； 確定每個節點具體的審批人和歸檔人（參照控制活動的描述）。

固化后的信息系統審批流程通過系統的自動流轉將大大縮短審批時間，節點與人員的一一對應，進一步明確各部門、各崗位的責任，避免相互推諉的情況發生，工作效率得到提升。 流程發起人員可以隨時查看流轉狀態， 進行實時跟蹤，通過流程報表進行歷史流程查詢。 真正做到內部控制有授權、有審批、有留痕。

（六）加強內部監督，持續優化

內部監督是指企業對內部控制建立與實施情況進行監督檢查，是內部控制五要素中的最后一個要素。 對擬上市企業來說，有效的內部監督也是評價內部控制有效性的重要一環。

審計部門通過對信息系統中各流程數據的采集和分析，完成各業務循環的穿行測試，評價內控的有效性，發現內控執行中的缺陷。 對人為因素導致的內控體系執行不到位，會同人事部門建立獎懲機制， 追究相關責任單位或者責任人的責任，監督內控體系建設的落地。 內控部門通過在信息系統中建立 “內控問題直通車模塊”，搭建與執行部門內控問題溝通的橋梁， 執行部門在執行過程中的內控問題通過信息系統第一時間反饋給內控部門，內控部門根據各關鍵風險點的掃描和識別，結合企業控制目標，進行快速響應、改進和優化。 利用信息系統形成審計部門監督、內控部門優化和執行部門反饋的閉環控制（見圖1）。

圖1 內控體系信息化建設閉環圖

四、期望成效

通過內控體系信息化建設，將制度和流程進行“固化”，實現從“人治”管理向“法治”管理和科學管理的轉變，內控管理更加規范化和標準化。 信化建設加速了各部門之間的信息流轉和數據交換，內部控制的穿行測試、監控和自我評價變得更高便捷和高效。 在一定程度上縮短了內控體系的建設周期，提高了企業內部控制的效率和質量。

通過內控體系信息化建設，真正構建了《基本規范》中要求的：以內部環境為重要基礎、以風險評估為重要環節、 以控制活動為重要手段、以信息與溝通為重要條件、 以內部監督為重要保證，相互聯系、相互促進的五要素內部控制框架，達到上市企業的內控要求，助力企業成功上市。

隨著信息化的廣泛運用，民營企業的信息化建設是順應時代發展的必然選擇。 雖然內控體系信息化建設只是眾多信息化建設中的冰山一角，但通過與實踐的結合，可以有效幫助擬上市民營企業解決內控體系薄弱、建設周期長、落地慢的難題，為更多有上市需求的民營企業解決內控問題上的燃眉之急。 ■