一、内控建设目标

《基本规范》对内控目标定义是：合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。该规范有五大目标，分别是合规、资产安全、报表真实、提高效率和促进战略实现。论述很全面，但从另一个角度看，赋予它的任务也很重。一个企业，犹如一辆汽车，希望它跑得快而且安全，尽早到达目的地，那么最重要的工具是油门和刹车，相当于企业的市场营销和内部控制，跑得快需要踩油门，要安全需要在限制速度内，有情况时还需要点刹，两者的合理配合保证了安全高效，从而可以提高效率，早日到达目的地（实现战略目标）。笔者理解，虽然内部控制涵盖的面很广，但其重心仍然是制动系统，它需要很好地与油门配合，着眼于合理保证合规、安全和真实反映，也就是五大目标中的前三者，而后两者是体系顺畅运行产生的结果。

二、领导重视

同样是施行了内部控制的企业，为什么仍然会有兴有衰，有舞弊案出现。从内部控制发源地美国看，当年的五大会计师事务所之一———安达信，本身承担市场经济秩序“维护者”重任，为企业提供咨询诊断，本应该是内控掌握的翘楚，自己却轰然倒下；最近爆出的金融机构操纵汇率报价案，牵出多少国际金融界鼎鼎大名的百年老店，金融行业一向给人以诚信、严谨、一丝不苟的形象，内控应该相当完善，但仍然存在“失灵”环节。人既是内部控制的客体，也是内部控制的主体，内部控制效果是内部控制制度以及与内部控制主体行为综合作用的结果，所以领导及领导班子要重视内控体系的建设，在建设中要体现人本思想，要带头执行。此外，各层级领导都要重视，都要依规执行，监督系统也要跟上，这样的重视才能真正发挥应有的作用。

三、建设方式

（一）企业自我建设内控体系自我建设的优势是参与者熟悉企业情况，所提出的措施更能切合企业经营管理实际。自我建设面临的问题是人员不专业，没有经验可以借鉴，而且因为集中时间段来完成，工作量大，人手缺乏，最后形成的体系可能会不完备。比如流程梳理工作，从内控五大要素出发，一直细化到三级、四级子流程甚至更多级，对每一项最基础流程要明确其涵盖内容、风险点描述、控制措施、现有规章制度和工作流程存在的问题、拟出台的规章制度和工作流程、牵头部门和人员、配合部门和人员等方面事项，而这样的事项要有几百项之多。

（二）聘请中介机构建设内控体系聘请中介机构的优势是工作人员和方法手段较专业，并能以全新的眼光来审视企业的经营管理工作，发现其中的缺陷和不足，并提出调整和改进。考虑到注册会计师在专业知识、从业经验等方面的特有优势，我国鼓励聘请注册会计师参与建设。其不足是可能会照搬已有的模板，形式上的完整大于实质的好用。因为企业所处的行业、业务内容、面对的市场会不同，人员构成和企业文化也会有差别，内控的重点就会发生变化。没有两个企业是完全一样的，不可能照抄照搬一样的体系。所以，对于聘请中介机构建设内控体系，也要客观看待，企业自身的配合人员也必须挑选了解企业业务、能力较强的员工，把握工作主动性，建设出适合本企业的内控体系。

四、内控体系与经营管理现状关系

内控体系建设，首先应在企业原有的内控环境、公司治理结构和议事规则上进行建设，以便新内控体系在执行和贯彻时更加顺畅。目前我国各类企业拥有自己的内部控制机制。如上市公司中，股东会、董事会、经理层的决策、执行、监督的职责分工和制衡机制。部分国有独资企业建立了形式上的董事会，部分还没有建立董事会。再如，国资委推行建立全面风险管理体系，企业通过大量基础工作，梳理评估形成风险事件库，建立风险预警模型，并通过几年来的实际应用积累了丰富的风险管理经验。又如，有的行业建立了质量、职业健康安全、环境管理体系（简称QHSE质量管理体系，由体系手册、记录文件、程序文件构成，由授权机构如中国船级社审核颁证），从不同角度来描述、规范企业的经营管理活动，通过一系列的体系文件和表格的规范执行来保证企业产品合格、合规，其与内控体系有异曲同工之处。所以内控体系建设要充分运用企业已有的风险管理和质量管理的方法、技术、经验和成果，通过从内控的视角系统审视已有的制度体系，查漏补缺，加以完善。从而与其他体系协调发展、相互促进、形成合力，促进实现企业战略。而不是另起炉灶，再搞一套。

五、内控体系与管理提升

按照要求，内控体系建设是从五要素的分析开始，然后围绕18个应用指引展开，那么大企业和小企业、有10年历史的企业和有60年历史的企业，初创的企业和成熟的企业，大家建立的内控体系，会不会是一个面孔？企业希望建设一个“体系完整、对接标准、符合实际、运行有效”的内控体型，以实现简洁、规范、可控、高效的管理，笔者以为“体系完整、对接标准”是形式上的要求，“符合实际、运行有效”是实质的要求。最重要的是建立机制，而机制的核心则是激励约束机制。所以内控不能仅仅满足于与企业经营管理现状相结合，还要与管理提升相结合，在既有基础上要通过“对标”等方式迈上新台阶，不仅要体现约束，还要体现激励的一面，有“收”有“放”，激励全体员工为实现战略目标添砖加瓦。近期，笔者所在企业正在实施“简政放权”，希望基层组织责权利要匹配，把上下两个层面的积极性都发挥出来，而不仅仅是一方面的积极性。

六、子公司管理

大中型企业一般都设立子公司（含控股子公司，下同），部分企业还设立了境外子公司，对它们的内控建设如何把握？首先应建立子公司的管理原则，对子公司应建立科学的投资管控制度，通过合法有效的形式（如股东会、董事会等）履行出资人职责、维护出资人权益，重点关注子公司特别是异地、境外子公司的发展战略、年度财务预决算、重大投融资、重大担保、大额资金使用、主要资产处置、重要人事任免等重要事项。上述重要事项应在公司和子公司内控体系中体现出来，日常经营管理则由子公司根据既定的业务范围设计内控体系并在总公司备案。此外要关注其业务供应链的风险，及由此延伸出对上下游客户的风险管理。当子公司链条过长、反应变慢时，将会形成新的风险源。如2012年爆出的部分央企下属企业涉入“钢贸”业务，造成资金损失的情况，这种情况下对其内控体系的要求应有所区别。

七、成本收益考量

据粗略统计，2007年以前我国建成内部控制体系的上市公司不足5%，2008年以后已公开披露内部控制制度的上市公司占比也并不高。陈汉文（2010）发现我国上市公司内部控制整体水平不高，处于Ⅵ级水平。这些情况也许揭示一个现象：内部控制并不是或者不完全是上市公司的自愿选择，而是迫于监管部门压力的无奈选择。如果实施内控收益大于成本，那么企业会主动选择；反之，则可能是被动选择，在设计及执行内控制度的过程中会流于形式。因此建设内部控制体系无疑要考虑到企业要付出的成本以及获得的收益。付出的成本是现实的，而获得的收益是隐性的，要从长期来衡量。与此相关的是信息化。从提高管理水平的角度来讲，企业希望实现管理制度化、制度流程化、流程信息化。企业如果正在搞信息化建设，则可以与内控建设结合到一起，如果已经有一套系统，则涉及到系统的改造，建设成本扩大。目前，大部分企业已经使用ERP系统，但运用开发程度参差不齐，因此如何实现“流程信息化”，如何与原有体系对接，需要慎重对待，分步走也许是选择之一。

八、内控体系评估

内部控制评估从财务报表审计的一部分，进而成为独立的审核业务，再发展到独立的审计业务，这是包括美国在内的大多数国家内部控制评估的发展历程。在这个过程中，其地位、保证水平甚至评估技术都发生了深刻变化，然而，专业判断在其中的重要地位并没有改变。正如Mautz&Mini(1966)所指出，由于内部控制评估的复杂性，想对这个过程进行标准化是不可能的，但是，提出一些原则性的指导意见是可以的。正因为高度依赖职业判断，那么想有标准答案就比较困难。比如Bedard&Graham(2011)根据几个大型会计公司的档案材料研究发现，公司内部控制评估对缺陷的等级评价要低于外部审计人员，也就是说，同样的缺陷，外部审计人员认定的缺陷等级更严重。即使同为外部审计人员，研究表明也可能出现认定不一致的情况。这受到专业经历、所持立场、对行业和企业情况的熟悉程度等因素影响。目前的评估技术手段多使用个别访谈、问卷调查、统计抽样和穿行测试等方式，还缺乏公认的一致性。也就是说，可以借助一定的技术方法，但依然离不开专业判断，需要职业判断和评估技术相结合，还需要努力开发便于实施和认可的技术手段。

九、内控是一个持续过程

企业在发展，内控就要不断跟踪完善。比如原来是以招标为主的企业，转型向国内外工程承包以及自营进出口业务发展，内控就需要极大的调整，因为业务的关键点、风险点、控制点变化了，即使主要业务没有变化，面对的市场和客户情况也会变化，所以不可能一劳永逸。企业本身是以承担风险为代价来获取利润，内控就是界定以承担适度的风险来获取相应程度的利润，何谓适度，这本身需要高水平的判断和把握。中钢可以大规模并购以扩张行业地位，中国建材可以以超常并购“跑马圈地”，占领国内水泥霸主地位，这些重大决策实质上取决于领导班子，尤其是一把手的判断和抉择，它一定也是按照公司的决策流程来完成的，内控也发挥了作用，但是效果如何，现在并不能下结论。内控体系是否成功的关键在于持之以恒地执行。但内控体系搭建完成后并不是一劳永逸的，还需要不断完善、改进。企业就是在不断解决问题，又不断有新问题产生的过程中成长的。

作者：牛来保单位：中国技术进出口总公司总会计师