内控概述及执行难题应对

○荆晶

（中国移动通信集团河北有限公司廊坊分公司）

内部控制是指经济单位和各个组织在经济活动中建立的一种相互制约的业务组织形式和职责分工制度。笔者作为国企内部审计员工，结合切身工作经验，分析了国企内部控制执行的难题，并提出了应对措施。

一、内控理论概述

1、萌芽期——内部牵制

内部控制作为一个专用名词和完整概念，直到20世纪30年代才被人们提出、认识和接受。但在此前的人类社会发展史中，早已存在着内部控制的基本思想和初级形式，这就是内部牵制。内部牵制是内部控制的最初形式，在古罗马时期，就有了“双人记账制”、财产支出检查和复核制度；我国西周时期，实施了分权控制方法和交互考核制度。L.R.Dicksee最早于1905年提出内部牵制概念，认为内部牵制的组成要素有职责分工、会计记录和人员轮换。

2、发展期——内部会计控制与内部管理控制

1934年，美国《证券交易法》首次提出了内部会计控制概念。1936年美国会计师协会发布的《注册会计师对财务报表的审查》，以及1947年的《审计准则暂行公告》，出于改进审计方式的需要，提出了以内部控制为基础的审计程序。为了赋予内部控制一个准确完整的定义，审计程序委员会下属的内部控制专门委员会于1949年发表了题为《内部控制、协调系统诸要素及其对管理部门和注册会计师的重要性》的专题报告，对内部控制首次作出了如下权威定义：内部控制是企业所制定的旨在保护资产、保证会计资料可靠性和准确性、提高经营效率，推动管理部门所制定的各项政策得以贯彻执行的组织计划和相互配套的各种方法及措施。

1972年，美国准则委员会（ASB）《审计准则公告》的制定者，循着《证券交易法》的路线进行研究和讨论，在第1号公告中，对管理控制和会计控制提出并通过了今天广为人知的定义：内部会计控制由组织计划以及与保护资产和保证财务资料可靠性有关的程序和记录构成。内部管理控制包括但不限于组织计划以及与管理部门授权办理经济业务的决策过程有关的程序及其记录。

3、成熟期——内部控制结构和内部控制整体架构

美国注册会计师协会的文献界定了会计控制概念，而公司的经理们创立并在实践中运用着管理控制概念，这两个概念形成鲜明的对照。如果对这两种不同解释的同时并行这一事实视而不见，那么任何设计内部控制系统的企图都是短视的，同时也是徒劳的。于是，人们提出了内部控制结构和整体架构的概念。

1988年4月，美国注册会计师协会发布《审计准则公告第55号》，规定从1990年1月起以该文告取代1972年发布的《审计准则公告第l号》。该文告首次以内部控制结构一词取代原有的“内部控制”一词，而且文告提出的内部控制内容比以前更为实在，条理更加清楚。该文告的颁布和实施可视为内部控制理论研究的一个新的突破性成果。以“财务报表审计对内部控制结构的考虑”为题的《审计准则公告第55号》指出：企业的内部控制结构包括为合理保证企业特定目标的实现而建立的各种政策和程序，并且明确了内部控制结构的内容。

1992年，美国“反对虚假财务报告委员会”所属的内部控制专门研究委员会发起机构委员会（简称COSO委员会），在进行专门研究后提出专题报告：《内部控制一整体架构》，也称COSO报告。经过两年的修改，1994年COSO委员会提出对外报告的修改篇，扩大了内部控制涵盖范围，增加了与保障资产安全有关的控制，得到了美国审计署（General Accounting Office，GAO）的认可。与此同时。AICPA则全面接受COSO报告的内容，于1995年据以发布了《审计准则公告第78号》（SAS NO.78），并自1997年1月起取代了《审汁准则公告第55号》。COSO报告中把内部控制定义为：“内部控制是由企业董事会、管理当局和其他员工实施的，为保证财务报告的可靠性、经营的效率效果以及现行法规的遵循等目标达成而提供合理保证的过程。”其构成要素应该来源于管理阶层经营方式，并与管理的过程相结合。我国《独立审计具体准则第9条——内部控制与审计风险》所称内部控制，是指被审计单位为了保证业务活动的有效进行，保护资产的安全和完整，防止、发现、纠正错误与舞弊，保证会计资料的真实、合法、完整而制定和实施的政策与程序，包括控制环境、会计系统和控制程序。

COSO报告指出：内部控制是一个过程，受企业董事会、管理当局和其他员工影响，旨在保证财务报告的可靠性、经营的效果和效率以及现行法规的遵循。它认为内部控制整体架构主要由控制环境、风险评估、控制活动、信息与沟通、监督五项要素构成。当然，内部控制的目标是帮助企业实现经营目标，减少经营过程中的风险，而COSO只是实现目标的手段。

4、后成熟期——企业风险管理总体框架

2001年出现的安然事件，以及由此发现的一系列美国著名大公司在公司治理和财务管理方面的问题，引发了美国社会特别是经济界、金融界的诚信危机。为此，美国采取一系列措施加强了对公司治理和监管的改革，美国证监会、纽约证券交易所等机构都制定了相应的公司治理规则，其中最突出的措施是2002年出台的萨班斯一奥克斯利法案。该法案对美国《1933年证券法》、《1934年证券交易法》作了不少修订，在会计职业监管、公司治理、证券市场监管等方面作出了许多新的规定。因为该法案出台时没有规定特别豁免的情况，因此在美国上市的外国公司同样需要遵守该法的各项规定。

2004年9月COSO委员会颁布了《企业风险管理—总体框架》新报告。新报告给出了企业风险管理的明确定义：企业风险管理是一个过程，该过程由企业董事会、管理层和其他员工共同参与，应用于战略制定，贯穿于企业各层级和部门，为识别影响企业的潜在事项和在风险偏好范围内管理风险而设计，为企业目标的实现提供合理保证；并提出了内部环境、目标制定、事项识别、风险评估、风险反应、控制活动、信息、与沟通、监控八个相互联系要素。

5、我国内部控制的发展

从20世纪90年代起，我国政府就开始加大对企业内部控制的监管，1996年财政部颁布的《独立审计具体准则第9号—内部控制与审计风险》（以下简称9号准则）提出：“内部控制是指被审计单位为了保证业务活动的有效进行，保证资产的安全和完整，防止、发现、纠正错误和舞弊，保证会计资料的真实、合法、完整而制定和实施的政策和程序。”

1999年10月，修订后的《会计法》首次以法律的形式对建立健全内部控制提出原则要求，其中第四章第27条要求，各单位应当建立健全本单位内部会计监督制度。

2008年6月28日，财政部、证监会、审计署、银监会、保监会五部委联合发布《企业内部控制规范—基本规范》，自2009年7月1日起先在上市公司范围内实施，后又延迟到2012年执行。新基本规范中，企业建立和实施内部控制应遵循5条原则：全面性原则、重要性原则、制衡性原则、适应性原则、成本和效益原则。该规范的实施将有利于维护中资本市场的长期发展，并为上市公司内部控制信息披露的规范运作提供重要的指导。

二、内部控制实际执行中存在的问题及解决办法

1、广大员工重视程度有待提高

内控制度尽管目前已经比较健全，而且部分大型企业也设置了专业部门负责执行和落实，但是广大员工的认识水平却没能得到相应提升。一方面，广大员工对于内控缺乏较为全面的认知，部分关键岗位的员工也知之甚少，还有部分员工甚至认为：内控是审计等专业部门的工作，与我们业务部门无关；另一方面，部分企业过于强调工作绩效和KPI，不同程度上促使广大员工忽视了内控的落实与执行。

如何解决这个问题？重要的是宣传教育，但是对于一线员工的宣传教育切忌长篇大论的理论说教，而要用生动的案例和浅显的道理来说服他们；在宣传形式上要灵活多样，避免大规模的人员聚集，要通过彩信等信息化媒体，通过小故事的形式来做好思想宣传工作。

2、内部控制独立于现行制度流程

当前，在绝大多数企业中，内部控制与制度流程是相对独立存在的。例如在中国移动内部，SOX控制点有200多个，涉及企业各方面的关键点。而在企业内部得到广大职工遵照执行的却是各项制度与流程。制度与流程从大方向上来讲与内控制度是保持一致的，但是在细节方面却与内控制度相互独立存在。例如，一线营业人员如果需要添加一个工号权限，制度流程只会要求：如何提需求、如何去审批、如何去管理、如何去注销。而如果按照SOX的要求，则要审核这个营业员的新工号与原有工号是否存在职责冲突，甚至会审核该营业员是否拥有多个权限。也就是说，内控与制度从不同角度对工号进行了规范和约束；但是在现实工作中，广大员工却仅仅需要遵循制度流程，这也导致了内控执行的缺失。

SOX控制点突出的是点，而制度流程突出的是线和面，如何既遵从制度流程又兼顾内部控制？本文认为要将SOX的点揉入到制度流程的线和面中，使制度流程进一步细化。这样就能让广大员工在遵循制度流程的同时也落实了内部控制。

具体而言，厨师在工作前需要洗手的案例很好地证实了这一观点。无论是哪国哪个餐馆、快餐甚至KFC的厨师在工作前都要洗手，这就好比是制度流程的约束，所有厨师都会遵从。但是，在KFC中，却将内控插入到了制度流程中，KFC在洗手这个环节的要求是，第一，湿润手和手臂到肘部；第二，抹上抗菌洗手液；第三，搓洗双手手指、指甲，直到肘部至少20秒；第四，用流水彻底冲洗手和手臂，烘干双手。这就可以理解为KFC的洗手环节将SOX控制点揉入到制度流程中了，能实现制度与内控的双执行。

3、内控制度的执行要由又快又好转向又好又快

内控制度的执行导致了制度流程变长变厚，这一点是毋庸置疑的。特别是随着大企业病的出现，加之竞争的加剧与加速，内控这一副作用会被基层员工放大。以通信行业为例，联通的县公司在一周之内就能策划实施一个新的营销方案，而在移动内部则大约需要一个月的时间，市场就是战场，基层人员将这种较长的流程、较慢的速度在一定程度上归结于内控制度。

面对这一问题，努力优化流程、提高效率是最基本的解决办法，除此之外还要提升一线员工对内控的正确认识：有效地规避风险有时比发展几千个客户更重要；公司内部确实有很多案例证明了这一点。同时，也要用国家大形势来引导员工，要将企业的增长方式由又快又好向又好又快转变。

[1]沙伊纳著，邰先宇、周瑞平译：索耶内部审计[M].中国财政经济出版社，2005.