关于完善企业内部控制体系建设的思考

王伟+黄江林

摘要：目前，随着监管部门和企业自身发展的要求，内部控制体系建设工作越来越受到重视，也是提升企业管理水平重要措施和必然趋势。内部控制体系建设是一项系统工程，是一个逐步优化固化的过程，如何建设高效、完善和规范的内部控制体系至关重要。本文在认真分析我国企业内部控制体系建设现状的基础上，研究发现了内控体系建设现存问题，从提高认识、加强人才队伍建设、完善规范内控体系建设适应环境变化、协调内控体系与风险管理体系、统筹内部控制体系和规章制度建设有效融合、改进内控评价方式方法等方面提出了完善企业内部控制体系建设的建议。

关键词：完善；内部控制体系；建设

作为企业提高经营效率效果的重要措施和经营管理的关键控制环节，内部控制在企业的发展壮大中具有重要作用。国务院国资委2006年发布《中央企业全面风险管理指引》，于2008年和2010年财政部等五部委联合发布了《企业内部控制基本规范》以及配套指引，财政部2012年发布《企业内部控制规范体系实施中的相关问题解释第1号》，2012 年国资委、财政部联合发布《关于加快构建中央企业内部控制体系有关事项的通知》，从监管和制度层面直接推动了我国企业内控体系建设的实施工作进程。

一、企业内部控制体系建设现状

自《内部控制基本规范》发布以来，随着一系列的制度完善、宣传贯彻、交流培训和建设实践等工作促进，我国企业内部控制体系建设逐步梯次展开，稳步推进，取得了显著进步和明显效果。主要表现在：

（一）内控认识持续提升，内控理念逐渐深化

1.从内部控制体系的认识和理解来看，内部控制理念的渗透范围已逐步从管理层渗透到全体员工，尤其是企业管理层在对内部控制的认识，经历了从“基本不信”到“半信半疑”，再到“真信真干”的观念转变。企业管理层逐步认识到内部控制的重要性，对内控体系建设和实施的积极性显著提升，自愿进行内控体系建设和进行内部控制评价的企业显著增加。

2.从内部控制体系建设的出发点来看，企业从最初的满足监管部门要求逐步向注重实效转变。越来越多的企业开始探索建立内部控制长效机制，持续改进完善内控体系，变“被动控制”为“主动控制”，促使企业内部控制由合规型、监督型向管理型、价值型过渡，逐步实现向风险预警型转变。

（二）内控体系初步建立，管理流程初步实施

1.从内控组织机构体系和人才队伍建设情况来看，大多数企业成立了内部控制体系管理委员会（或内控体系建设领导小组）等领导机构，明确了内部控制体系建设实施职能部门、岗位和职责范围；内部控制专职人员普遍增加，其中央企（含各级法人单位）内部控制体系建设实施团队专兼职人员接近万人。

2.从内控制度体系建立健全情况看，大多数企业依据《企业内部控制基本规范》及其配套指引，结合自身实际和管控模式，细化、丰富企业整体层面和业务层面具体流程。目前，大部分企业编制并逐步修订完善了《内部控制体系》、《内部控制手册》、《内控与风险管理手册》和《内部控制评价》等体系流程和手册，并实践中对内控流程持续进行优化和固化。

3.从内控体系工作覆盖面情况来看，大多数企业的内部控制工作己经从“整体（梯次）推进、试点先行”，向全级次全面推进。以前只在企业集团总部做或者试点企业（业务）做，目前发展为覆盖集团所有单位、所有业务。工作覆盖范围“横到边、纵到底”，不断拓展，有效延伸，逐步向真正意义上的“全级次、全员、全面、全过程”转变。

（三）内控方法不断创新，逐步对标国际企业

1.风险评估和风险预警体系方面。尝试将集中趋势法、压力测试失效模式与影响分析、杜邦分析法和蒙特卡罗模拟方法等各种管理工具运用到内部控制工作中，丰富和完善了内部控制技术手段。尝试开展风险预警指标库建设，探索重大風险动态预警机制，通过建立重大风险动态应急预防机制，及时发布预警信号，决策层或高管层启动应急机制进行预控，减少重大风险损失，降低风险发生频率。

2.内部控制管理信息系统建设方面。企业充分利用现有ERP、OA等企业资源信息系统，共享信息资源，促进内控体系信息化管理和运行水平。并紧紧围绕价值管理，尝试建立内部控制体系管理流程信息系统，推动内控体系在线运行和实时动态管控，逐步做到管理的制度化、制度的流程化、流程的信息化。

二、企业内控体系建设现存问题

总体上来说，在近几年内部控制体系建设取得较大进步的同时，企业内部控制体系建设实施情况和内部控制水平并没有和发展速度相匹配。一是在认识层面上，一些企业对内部控制的理解不到位，重视程度不够，工作积极主动性不足。二是内部控制体系建设层面上，部分企业内部控制组织体系不健全，内控部门的职责定位没有理顺，导致内部控制体系运行不畅或失效；一些企业内部控制体系与企业现有管理制度没有实现有效衔接融合。具体来讲，企业在内控体系建设五要素方面普遍存在以下主要问题：

（一）内部环境方面

企业法人治理结构不完善，控制权过于集中于决策层，职能层虚位；企业高管层凌驾于内控之上，超越制度，逾越流程，权力不能得到有效监督；企业管理模式分散，投资产权管理方式简单；企业有战略规划但缺少管理，战略规划和计划目标脱节；企业人力资源政策不透明，组织机构、岗位设置分析不足，激励机制单一僵化；企业过分相信能人经济和大拿文化，崇尚模糊、感情和经验的管理风格，员工守则规定不清，内控意识薄弱。

（二）风险评估方面

企业没有客观地、系统地开展风险评估，高层无法根据风险评估基础做出合理决策；企业缺少风险评估的流程、标准和工具，评估方法单一，过多依赖定性分析，定量分析应用较少；企业风险评估结果无法落地，重大风险评估出来，预防、监控和动态管理缺乏统一的操作流程；企业风险应对措施难以与战略目标、业务决策、资源配置机制和监督机制结合；企业不重视损失事件的收集和组织学习。endprint

（三）控制活动方面

企业内控审核、审批过多，控制责任上移，过多依赖高层领导的权力和控制能力；企业授权体系和职责分工体系不明确，不相容职务分离频出问题；企业缺乏系统的流程设计，导致控制片段化、零碎化，导致执行时无法遵循；企业缺乏定期梳理和评估，没有固化的控制优化机制。

（四）信息与沟通方面

企业信息系统组织架构较分散，导致多个需要评估和测试的系统控制环境；企业仓桶式组织机制，科层制的管理职能过深，部门墙阻碍了正常的业务决策信息流转，跨部门衔接地带往往是控制薄弱区；企业总部和基层单位之间信息沟通机制不清晰；企业缺乏系统化的信息系统规划，缺少机制推动信息系统控制功能的优化，控制自动化与业务管理系统信息化差距较大；企业信息化程度不高，信息化产品和应用水平较低，信息系统的可依赖性和有效性较低，过度依赖手工操作。

（五）内部监督方面

企业内部审计独立性不足，内部监督工作分散，缺乏有效手段进行集中管理或者共享信息，重复检查，重复发现；监督检查的标准和依据不足，监督结果无法应用，与绩效考核挂钩情况不好；内控评价手段主要集中在审阅测试，缺少实质性测试，分析性复核机制在内控评价中应用较少；企业缺陷认定标准宽泛或者缺陷认定过程随意性较大，对问题和缺陷的管理区分度不明显，缺陷整改流于形式，屡查屡犯或仅限于针对发现缺陷的整改，不能举一反三。

三、完善内部控制体系建设的建议

内部控制体系建设是一项长期的、系统的、逐步优化固化的过程。如何建设高效、完善和规范的内部控制体系，主要建议有：

（一）进一步提高对内部控制体系建设的认识

企业决策层（高管层）要深刻认识到内部控制体系建设对企业做强做优的深远意义，重视和加强内部控制体系建设工作，持续推进，逐步完善规范。企业应该进一步明确内部控制体系建设领导机构和内控职能部门的定位，内控体系建设领导机构逐步由管理层提升到决策层，单位负责人要亲自抓内部控制工作，提升内部控制体系建设工作地位。内控体系建设和管理模式上逐步由内控职能部门转变为内控部门牵头、所有部门单位按照职责分工共同参与。

（二）加强内部控制体系人才队伍建设，培育内部控制文化

内部控制体系建设人员要有先进的管理理念，开阔的视野思路，扎实的理论知识，较强的研究能力和丰富的实践经验；同时还要掌握科学方法和管理技术工具。企业要建立内部控制人才培养体系，定期培训学习，组织经验交流，借鉴吸收优秀企业和行业对标企业的成功做法，逐步打造一支先进的内部控制管理体系建设团队，尤其在国际化经营、并购重组等高风险业务领域要重点培育领军人才。要做好内部控制，必须深入推动内部控制文化建设，企业要加强面向全体员工的内部控制宣贯、培训工作，提高全员对内部控制体系文化的理解和认识，逐步培育内控文化。逐渐将内部控制理念、意识和文化融入企业管理全过程和业务全链条，确保内部控制文化与企业文化的真正融合，切实实现内部控制文化落地。

（三）协调处理完善规范内控体系建设，适应企业内外部环境变化

内部控制体系建设要适应企业外部发展环境变化要求。针对变化的环境势必调整经营策略，业务形式越来越丰富，业务领域不断突破，商业模式持续创新；内部控制体系可能因为经营环境、业务拓展的改变而削弱或失效，新业务不被原有的控制程序控制，在变化的过程中可能会发生差错或者不合规行为；这些都要求内部控制体系不断进行修改优化以适应新的变化。内部控制环境是内控体系健康有效运行的基础和保障，内部控制体系的实施依赖于良好的控制环境，如果控制环境任何一项要素出现缺损都会给企业正常经营管理活动带来风险内部控制体系构建是一个螺旋式上升过程，企业不可能构建一种满足将来和现在所有环境的、一成不变的内部控制体系。内控体系建设应与企业发展、管理水平相适应，是一个不断优化、精益求精、适应发展和逐步固化的过程。

（四）协调统一风险管理体系与内部控制体系

内部控制体系是风险管理的基础和手段，其建设应以风险管理为目标导向，二者密不可分，是协调统一的有机体。防范和管理风险的主体是风险管理和内控职能部门，企业可以将二者结合起来，整合机构和业务，明确职能和职责，统一目标和要求，规范管理和程序；以此减少职能重叠，降低企业成本和提高管理效率。企业要实现内部控制体系与风险管理体系有效融合，必须将内部控制体系建设与风险管理有机结合，通过对管理制度整理和业务流程梳理，找出重要控制活动和关键控制点，重塑再造优化流程，采取有效控制措施，防范预防重大风险，建立科学的内部控制体系。

（五）统筹处理管理制度和内部控制体系建设，促进有效衔接和融合

内部控制体系是以各项规章制度为基础，按照流程特點，直观反映管理和控制要求，有些内容可以直接引应用。企业管理制度是内部控制体系组成部分，内部控制体系手册又是企业管理制度的具体体现。企业管理制度更多的是做出规定，关注目标实现；而内部控制更多的是注重流程和过程管理，通过过程管理保证目标实现。建立健全内控体系不仅仅是建立各项管理制度，也不是单独额外的活动，而是一个过程，应内置于日常管理过程中作为一种常规运行机制来建设，让内部控制体系在企业落地。在内部控制体系建立前，企业的内部控制是通过各项规章制度来实现的。从长远来看，应当做到二者有效衔接、有效融合，逐步实现合二为一，最终实现内控“无形化”管理境界。

（六）改进内控评价方式方法，提高内控评价效率效果

改进现行内部控制评价方式方法。内部控制评价工作应贯穿年度始终，采用日常监督、专项监督和年终内控评价相结合的方式进行。按照内控评价要求，应考虑分清企业整体层面和具体业务操作层面的内部控制，并给予整体层面内部控制更大的关注。在内控评价方法的运用上，在目前主要采用调查问卷法、穿行测试法、实地查验法、比较分析法和抽样等方法基础上，应大量采取全面了解法、个别访谈法、背靠背打分法、专项讨论法、重新执行等方法。

加强内控缺陷分析认定，对内控缺陷整改要举一反三。要在分析认定企业内控缺陷的类型基础上，对被评价企业内部控制的有效性做出评价，并据以有针对性的整改建议。被评价企业应在认定内控缺陷进行整改基础上，举一反三，全面系统整改，提高内控评价的效率效果。

改进现行内部控制评价报告的披露和考核制度。基于现行内部控制评价报告的主要内容，借鉴上市公司对内控缺陷制定具体的财务报告和非财务报告缺陷认定标准，开展内控评价、缺陷认定和整改等。要逐步完善企业尤其是上市公司内控自我评价报告的披露制度，规范报告披露标准，统一信息披露基本格式和内容，及时披露信息。同时，积极探索内控体系激励约束机制，逐步建立内部控制评价考核制度并纳入企业绩效考核指标体系中。

参考文献：

[1]施文寅.综合投资集团风险管理与控制策略探析[J].市场论坛，2013（04）.

[2]张继德.两化深度融合条件下企业分阶段构建内部控制体系研究[J].会计研究，2013（06）.

[3]胡慧娟，胡细剑.上市公司内部控制自我评价信息披露分析——来自湖北上市公司数据[J].财会通讯，2013（18）.

[4]林乔青.国有企业内部控制评价体系的构建与完善[J].财会研究，2017（05）.

（作者单位：王伟 山东农业工程学院；黄江林 瑞昌市财政局）endprint