一．內(nèi)部控制是什么？
當(dāng)前，“內(nèi)部控制”一詞是一個(gè)非常熱、也有點(diǎn)“泛濫”的詞語。在一定程度上，這反映了對內(nèi)部控制本身的重視，也反映了出了一些過度的期望和曲解，也是過猶不及的。我們認(rèn)為：
內(nèi)部控制不是簡單的制度匯編，搞內(nèi)部控制建設(shè)也就不是編內(nèi)控制度，更不是照搬別人現(xiàn)存的制度。別人成功的制度，不能根本上解決自身的問題，原因在于每一個(gè)企業(yè)的內(nèi)在機(jī)制和環(huán)境不同，所以照搬制度只能解決形式上的問題。
內(nèi)部控制也不能包治百病。內(nèi)部控制作為一種管理方法或管理工具的形式，它的目標(biāo)從保證資產(chǎn)的安全、完整，過度到保證財(cái)務(wù)報(bào)告的可靠性、法律法規(guī)的遵循性，再到提高企業(yè)經(jīng)營的效率和效果，這是提高企業(yè)核心競爭力的重要手段；當(dāng)然，企業(yè)發(fā)展還有很多外在的因素，如市場、供應(yīng)商、客戶以及競爭對手等，這些要靠外部控制，所以也不是“一控就靈”，但良好的內(nèi)部控制能增進(jìn)把握外部機(jī)會的能力。
我們理解：從性質(zhì)上，（1）內(nèi)部控制是企業(yè)的一個(gè)保障機(jī)制。一般來說，我們要求內(nèi)部控制能夠保證財(cái)務(wù)報(bào)告可靠，保證企業(yè)和管理層對于法律法規(guī)的遵循。正因?yàn)檫@樣，各上市公司監(jiān)管機(jī)構(gòu)把它作為一項(xiàng)指標(biāo)納入信息披露范圍。也就是說，用內(nèi)部控制來給企業(yè)“貼標(biāo)簽”，從而給投資者一個(gè)關(guān)于公司管理水平的鑒證報(bào)告；（2）現(xiàn)代的內(nèi)部控制也是增進(jìn)企業(yè)盈利的手段。
從形式上，內(nèi)部控制是貫穿企業(yè)管理全過程、包含企業(yè)經(jīng)營環(huán)境、各業(yè)務(wù)流程、相應(yīng)的風(fēng)險(xiǎn)點(diǎn)、關(guān)鍵控制、風(fēng)險(xiǎn)數(shù)據(jù)庫、溝通機(jī)制、信息系統(tǒng)、監(jiān)督體系等全方位的管理活動。它在過程中體現(xiàn)為業(yè)務(wù)環(huán)境的分析、流程的梳理、制度的建立、數(shù)據(jù)庫的維護(hù)、例外事項(xiàng)的改進(jìn)以及管理信息化的實(shí)施等階段。
二．上市公司需要什么樣的內(nèi)部控制？
和企業(yè)財(cái)務(wù)報(bào)告不同，所有的企業(yè)不可能按照同一個(gè)模式來設(shè)計(jì)自身的內(nèi)部控制。所以各監(jiān)管機(jī)構(gòu)就通過發(fā)布指引的方式，為各上市公司內(nèi)部控制建設(shè)指明方向。因此，上市公司需要的內(nèi)部控制應(yīng)該是：（1）首先符合自身特點(diǎn)，滿足自身管理需求；（2）同時(shí)又能滿足監(jiān)管需求的內(nèi)部控制。一般來說，前者是終極目標(biāo)，如果一個(gè)企業(yè)的內(nèi)部控制不能滿足自身管理的需要，而僅僅去迎合監(jiān)管要求，這是一種枷鎖，所以美國的上市公司會計(jì)監(jiān)管委員會（PCAOB）也只是推薦使用COSO模型；后者是監(jiān)管者的最低要求，所以一般企業(yè)在建設(shè)內(nèi)部控制時(shí)，都會考慮到監(jiān)管者的要求，同時(shí)結(jié)合自身的特點(diǎn)去設(shè)計(jì)自身的內(nèi)部控制。
因此，上市公司的內(nèi)部控制建設(shè)要做好三大功課，一是分析企業(yè)本身，二是熟悉相關(guān)法規(guī)，三是在此基礎(chǔ)上選擇和設(shè)計(jì)上市公司自身的內(nèi)控體系框架。本文試圖探討第二和第三部分的問題。
（一） 國內(nèi)關(guān)于內(nèi)部控制的法規(guī)有哪些？
目前主要有：
1. 《上市公司證券發(fā)行管理辦法》第六條 公司公開發(fā)行證券的條件中明確規(guī)定，“公司內(nèi)部控制制度健全，能夠有效保證公司運(yùn)行的效率、合法合規(guī)性和財(cái)務(wù)報(bào)告的可靠性；內(nèi)部控制制度的完整性、合理性、有效性不存在重大缺陷”，并且要求公司在證券發(fā)行的申請材料中提交由會計(jì)師事務(wù)所審核的《內(nèi)部控制審核報(bào)告》。
2. 《上海證券交易所上市公司內(nèi)部控制指引》（2006年7月1日起施行）和《深圳證券交易所上市公司內(nèi)部控制指引》（2007年7月1日起施行）均對在本所上市的公司內(nèi)控建設(shè)的目標(biāo)、內(nèi)容、范圍、內(nèi)部控制的要素以及內(nèi)部控制的監(jiān)督和信息披露均提出了具體的要求。這也是上市公司內(nèi)部控制建設(shè)必須達(dá)到的最低標(biāo)準(zhǔn)。
3. 《中央企業(yè)內(nèi)部控制評價(jià)暫行辦法》（尚處于征求意見稿階段）對中央企業(yè)集團(tuán)控股的上市公司內(nèi)部控制建設(shè)和評價(jià)也作了規(guī)范，對企業(yè)內(nèi)部控制的標(biāo)準(zhǔn)、原則、內(nèi)容、程序和工作組織等均提出了具體的要求。
4. 其他的法規(guī)主要包括：《會計(jì)法》、《內(nèi)部會計(jì)控制規(guī)范》、新《中華人民共和國證券法》、新《公司法》、新《企業(yè)會計(jì)準(zhǔn)則》、新《注冊會計(jì)師審計(jì)準(zhǔn)則》、《商業(yè)銀行法》等。
（二） 上市公司內(nèi)控建設(shè)選擇什么樣的模型或框架體系？
分析《上證指引》和《深證指引》，二者基本上都采用了COSO內(nèi)部控制框架，我們認(rèn)為這也是目前我國上市公司建設(shè)內(nèi)部控制比較好的成熟的模式。
COSO內(nèi)部控制框架作為美國SEC和PCAOB推薦各上市公司使用的內(nèi)部控制模型由“三個(gè)控制目標(biāo)”和“五個(gè)構(gòu)成要素”構(gòu)成，即經(jīng)營的效率與效果、財(cái)務(wù)報(bào)告的可靠性、法規(guī)的遵循性三個(gè)控制目標(biāo)；控制環(huán)境、風(fēng)險(xiǎn)評估、控制活動、信息和溝通、監(jiān)督等五個(gè)構(gòu)成要素。如何應(yīng)用COSO框架，結(jié)合我們?yōu)樵诿绹鲜械闹袊吞烊粴夤煞萦邢薰窘?jīng)驗(yàn)，我們認(rèn)為在設(shè)計(jì)上框架上，包含以下四大要素的內(nèi)部控制體系基本能夠滿足上海、深圳證券交易所監(jiān)管的要求，主要包括：
1. 公司層面控制層面：包括控制環(huán)境（含組織機(jī)構(gòu)圖、權(quán)限指引表）、風(fēng)險(xiǎn)評估過程、經(jīng)營活動分析、信息與溝通、信息披露、內(nèi)部審計(jì)、反舞弊7個(gè)方面，共17個(gè)主題；
2. 業(yè)務(wù)活動層面控制層面：包括風(fēng)險(xiǎn)數(shù)據(jù)庫、基本業(yè)務(wù)流程目錄、以及業(yè)務(wù)操作中重要業(yè)務(wù)流程的業(yè)務(wù)流程圖、風(fēng)險(xiǎn)控制文檔、控制程序文件及其相關(guān)文件；
3. 信息系統(tǒng)總體控制和應(yīng)用系統(tǒng)控制層面：信息系統(tǒng)總體控制和應(yīng)用系統(tǒng)控制；
4. 需要補(bǔ)充和完善的規(guī)章制度，包括企業(yè)管理和經(jīng)營活動各環(huán)節(jié)的各項(xiàng)管理制度。
（三） 《上證指引》和《深證指引》的內(nèi)部控制框架的主要區(qū)別是什么？
《上證指引》、《深證指引》規(guī)定均與COSO內(nèi)部控制框架基本一致。二者主要的區(qū)別如下：
1．基本目標(biāo)
三．上市公司如何開展內(nèi)部控制建設(shè)工作？
根據(jù)我們的經(jīng)驗(yàn)，內(nèi)部控制建設(shè)需要以下幾個(gè)必要的基礎(chǔ)：
1．聘請有專業(yè)經(jīng)驗(yàn)，并熟悉該公司業(yè)務(wù)流程，具有審計(jì)基礎(chǔ)的會計(jì)師事務(wù)所參與內(nèi)部控制建設(shè)，組成上市公司內(nèi)部專家和外部咨詢專家相結(jié)合的聯(lián)合項(xiàng)目組。
2．領(lǐng)導(dǎo)的高度支持，并指定專門的機(jī)構(gòu)和專人負(fù)責(zé)；
3．全公司各部門及全體人員的配合和參與；
4．需要一個(gè)相對較長的周期，分階段進(jìn)行，不可視為一兩個(gè)月搞個(gè)制度就完成了；
在實(shí)踐中，我們建議：首先應(yīng)該在分析和確立本公司經(jīng)營目標(biāo)的基礎(chǔ)上，對公司的風(fēng)險(xiǎn)進(jìn)行全面分析，并按照風(fēng)險(xiǎn)的優(yōu)先順序劃分屬于準(zhǔn)確性、完整性、有效性、合法性等控制特點(diǎn)的業(yè)務(wù)活動，在此過程中遵守相互牽制、協(xié)調(diào)配合、崗位匹配、成本效益、整體結(jié)構(gòu)五大原則，為職責(zé)分工、實(shí)物接觸控制、內(nèi)部核查、充分的書面記錄、恰當(dāng)?shù)氖跈?quán)提供有效合理的保證。
一般，我們采用“五步法”為企業(yè)設(shè)計(jì)內(nèi)控體系。
四．上市公司如何開展內(nèi)部控制評價(jià)工作？
建設(shè)了一個(gè)良好的內(nèi)部控制體系之后，要定期地對企業(yè)內(nèi)部控制進(jìn)行評價(jià)，以發(fā)現(xiàn)企業(yè)內(nèi)部控制的缺陷和風(fēng)險(xiǎn)，并同時(shí)不斷地改進(jìn)和完善企業(yè)的內(nèi)部控制，即監(jiān)管機(jī)構(gòu)經(jīng)常說的“以評促建”，因此從廣義上說，也屬于企業(yè)內(nèi)部控制建設(shè)的范疇。
根據(jù)《上證指引》和《深證指引》，上市公司的內(nèi)部控制至少包含三個(gè)環(huán)節(jié)的評價(jià)，即：企業(yè)內(nèi)部專職的內(nèi)控監(jiān)督檢查機(jī)構(gòu)或內(nèi)審部門的定期和不定期評估，形成內(nèi)部審計(jì)報(bào)告或內(nèi)控檢查監(jiān)督報(bào)告；監(jiān)事、獨(dú)立董事或董事會對內(nèi)部審計(jì)報(bào)告或內(nèi)控檢查監(jiān)督報(bào)告進(jìn)行評估，形成內(nèi)部控制自我評估報(bào)告；會計(jì)師事務(wù)所根據(jù)主管部門的規(guī)定，即審計(jì)準(zhǔn)則的有關(guān)要求，對內(nèi)部控制自我評估報(bào)告進(jìn)行核實(shí)，出具評價(jià)意見。這三種評價(jià)中，最重要的是注冊會計(jì)師的內(nèi)部控制評價(jià)工作，對于企業(yè)內(nèi)部控制自我評估報(bào)告的核實(shí)評價(jià)意見將與企業(yè)財(cái)務(wù)報(bào)告、內(nèi)控自我評估報(bào)告一同對外披露。
如何做好內(nèi)控評價(jià)工作呢？結(jié)合我們長期參與中國石油的內(nèi)控評價(jià)以及接受國資委、北京市證監(jiān)局等機(jī)構(gòu)委托參與中央企業(yè)、上市公司內(nèi)控評價(jià)的經(jīng)驗(yàn)，我們認(rèn)為，做好企業(yè)內(nèi)控評價(jià)工作，應(yīng)做好以下幾個(gè)方面的工作：
1．建立完善的評價(jià)體系和模型。一般來說，主要有用打分來評價(jià)企業(yè)內(nèi)控設(shè)計(jì)是否合理和運(yùn)行是否有效的定量方法和缺陷描述并進(jìn)行披露的定性方法。從《上證指引》、《深證指引》來看，采用了缺陷描述的方法，要求企業(yè)對于重大缺陷和重大損失進(jìn)行披露。但中央企業(yè)及其上市公司正在醞釀打分的評價(jià)模型。
2．建立缺陷認(rèn)定和分類、測試范圍、抽樣頻率、例外事項(xiàng)分類等技術(shù)標(biāo)準(zhǔn)。即如何定義和確認(rèn)存在的例外事項(xiàng)，如何確定內(nèi)控測試評價(jià)的范圍，如何確定具體抽樣的樣本總體和樣本量，如何認(rèn)定發(fā)現(xiàn)的例外事項(xiàng)是否一般缺陷、重大缺陷等，這些技術(shù)標(biāo)準(zhǔn)的建立需要和外部審計(jì)時(shí)共同討論，這也是注冊會計(jì)師最后發(fā)表內(nèi)部控制核實(shí)評價(jià)意見的標(biāo)準(zhǔn)。
3．設(shè)計(jì)、完善的工作底稿和評價(jià)工具。這是企業(yè)、會計(jì)師事務(wù)所共同開發(fā)完成的工作，以保證測試的規(guī)范性。從《上證指引》、《深證指引》來看，都要求按照檔案管理要求保留內(nèi)控評價(jià)的工作底稿，上海規(guī)定10年，因此，對于工作底稿、評價(jià)工具的開發(fā)和設(shè)計(jì)是非常重要的。
4．制定完善的評價(jià)工作方案。包括評價(jià)總體方案、技術(shù)方案、組織方案（工作組織、人員安排、時(shí)間進(jìn)度）、具體工作計(jì)劃等。
5．進(jìn)行人員培訓(xùn)，開展評價(jià)工作，撰寫評價(jià)報(bào)告。
五．上市公司內(nèi)部控制建設(shè)應(yīng)該注意哪幾個(gè)問題？
1．如何處理好現(xiàn)有管理制度和新的內(nèi)控體系之間的關(guān)系？
內(nèi)控體系是從風(fēng)險(xiǎn)管理的角度對現(xiàn)有的企業(yè)管理體系進(jìn)行梳理和完善，因此，上市公司內(nèi)控體系建設(shè)不是全盤否定現(xiàn)有的管理制度，更多的是按照風(fēng)險(xiǎn)管理的思路，補(bǔ)充和完善現(xiàn)有的管理體系，使其更加體系化。
2．內(nèi)部控制僅僅是財(cái)務(wù)部門的事情，與其他部門無關(guān)？
這是一個(gè)比較普遍的誤區(qū)。由于企業(yè)的所有業(yè)務(wù)操作最終都會在財(cái)務(wù)信息中體現(xiàn)，所以財(cái)務(wù)部門是內(nèi)控的核心部門，但這并不表示內(nèi)控僅僅是財(cái)務(wù)部門的事情，與其他部門無關(guān)。
從COSO框架、《上證指引》、《深證指引》中關(guān)于內(nèi)控的定義我們可以看出，內(nèi)控是公司董事會、管理層和全體員工共同參與的一項(xiàng)活動，每一個(gè)人都對內(nèi)部控制負(fù)有責(zé)任并受到內(nèi)部控制的影響。從內(nèi)控涉及的業(yè)務(wù)層面看，內(nèi)控涉及到公司各業(yè)務(wù)環(huán)節(jié)層面。由此可以看出，內(nèi)控建設(shè)需要企業(yè)的全員參與，是全體員工的共同責(zé)任，而不僅僅是財(cái)務(wù)部門的事情。
3．內(nèi)部控制要控制到多細(xì)，是不是越具體越好？
有人主張內(nèi)部控制應(yīng)該事無巨細(xì)，都一一在內(nèi)控管理文件中進(jìn)行規(guī)范，導(dǎo)致了內(nèi)控制度出現(xiàn)繁瑣、形式化的傾向。這違背了內(nèi)控建設(shè)提高經(jīng)營的效果和效率目標(biāo)的要求，沒有結(jié)合企業(yè)的實(shí)際經(jīng)營管理需要，也不符合可操作性、成本效益原則。我們認(rèn)為：在內(nèi)控的建設(shè)過程中，設(shè)計(jì)者應(yīng)該對企業(yè)進(jìn)行深入全面的了解，在原有企業(yè)經(jīng)營管理的基礎(chǔ)上優(yōu)化業(yè)務(wù)流程、控制風(fēng)險(xiǎn)，重點(diǎn)對重要業(yè)務(wù)流程和重要風(fēng)險(xiǎn)進(jìn)行控制，區(qū)分企業(yè)風(fēng)險(xiǎn)順序和重要程度進(jìn)行設(shè)計(jì)，不能脫離企業(yè)的實(shí)際，搞成繁文縟節(jié)。
4．如何利用外部智慧？
有人主張全部交由外部機(jī)構(gòu)操辦，這樣簡單、高效、可以解決自身不好解決的問題，相對成本也低；也有的人主張全部由內(nèi)部人員設(shè)計(jì)，這樣熟悉情況、自己設(shè)計(jì)的自己執(zhí)行也好。其實(shí)，這些優(yōu)點(diǎn)都是作為建設(shè)內(nèi)部控制的企業(yè)所希望達(dá)到的，方法就是：建立外部專家和企業(yè)內(nèi)部專家結(jié)合的聯(lián)合工作團(tuán)隊(duì)。
企業(yè)作為內(nèi)部控制的主體，充分了解自身的實(shí)際情況和目標(biāo)，這為內(nèi)部控制建設(shè)提供一個(gè)合理、可行、有效的基礎(chǔ)。而中介機(jī)構(gòu)作為參與企業(yè)內(nèi)部控制建設(shè)外部人員，可以充分發(fā)揮其專業(yè)經(jīng)驗(yàn)和作為內(nèi)部控制評估機(jī)構(gòu)的優(yōu)勢，可以保證內(nèi)部控制建設(shè)的專業(yè)標(biāo)準(zhǔn)。因此建立外部專家和企業(yè)內(nèi)部專家共同工作的聯(lián)合團(tuán)隊(duì)是建設(shè)有效的內(nèi)部控制的必經(jīng)之路。
聯(lián)系客服
