如何有效实施企业内部控制——以瑞幸咖啡为例

林 欣

近来年，随着我国经济高速增长，上市公司财务舞弊案件也不时出现。从凭空捏造300亿元资金的康美药业，到扇贝多次“被跑路”的獐子岛；从虚增119亿元利润的康得新，到花式玩弄“应收账款”的风华高科，再到17亿元资金凭空蒸发的辅仁药业。上市公司造假案例频发，给整个市场经济健康发展以及投资者信心都带来了巨大挑战。我国上市公司于2009年开始披露内部控制缺陷，从证监会给出的报告可以看出，财务造假上市公司其内部控制都存在重大缺陷，形同虚设。2020年2月，著名的做空机构浑水发布了一份瑞幸咖啡做空报告，明确指出，瑞幸咖啡在2019年度部分报告中存在虚增收入及支出等财务欺诈行为。随后，作为瑞幸审计机构的安永会计师事务所组织专业团队进行审计，促使瑞幸被迫承认造假22亿元的行为。基于此，本文以瑞幸咖啡财务造假事件为例，根据内部控制五要素，探究企业如何有效实施内部控制，减少因企业内部控制失效而诱发财务造假行为，从而对上市公司财务造假防患于未然，维护中小投资者利益。

一、案例背景

luckin coffee（瑞幸咖啡），由神州优车集团原CEO钱治亚于2017年创建，他通过精准的产品定位、独到的裂变营销以及新型的商业模式，借助移动互联网和大数据技术在短时间内与咖啡巨头星巴克并驾齐驱。从成立之初，瑞幸咖啡就保持着高速扩展的态势，自2017年成立到2018年年初累计完成300多万订单，销售约500万杯咖啡，随后，在短短5个月内，它在全国开设了500多家直营店，到2019年底，发展到4500多家直营门店，一举超过星巴克，成为在中国拥有咖啡门店最多的咖啡品牌。2019年5月瑞幸成功地在纳斯达克上市，耗时仅用18个月，成为全球最快实现IPO的公司。瑞幸在2020年1月迎来市值巅峰，总市值高达126亿美元。

2020年2月1日，著名的做空机构浑水发布了关于瑞幸咖啡的做空报告，明确指出瑞幸咖啡在2019年度部分财务报告中虚增收入及支出，其管理层存在套现、道德瑕疵等问题。2020年4月2月，瑞幸发布公告承认其高管存在财务舞弊行为，当日股价跌幅达75.57%，触发几次“熔断”，股价仅为4.39美元/股。

二、瑞幸咖啡内部控制缺陷分析

在无效的内部控制中，企业风险水平与控制要素设计和运行密切相关，只要控制要素设计或运行中存在重大缺陷，企业风险水平就会提高（Hogan and Wilkins，2008）。因此，内部控制缺陷往往体现在企业的各种行为上。

（一）控制环境存在缺陷

控制环境主要指企业内部整体文化、企业价值观等，它是内部控制的基础和核心。在浑水机构发布做空报告后，2020年2月瑞幸咖啡官方回应：否认做空报告中财务造假、管理层存在套现及商业模式存在缺陷等全部指控。瑞幸咖啡的审计机构安永会计师事务所对这份报告产生了警觉，审计机构出于自保，立刻派出相关人员对报告所指出的季度财报进行审计，结果发现其存在严重问题。随后，4月2日瑞幸咖啡官方承认捏造销售收入22亿元。瑞幸咖啡前后态度反差较大。

（二）风险评估失灵

风险评估是指识别和分析与实现目标相关的风险。主要包括风险识别和风险分析两个方面。瑞幸咖啡在所发布的公告中承认其财务造假涉及的区间是2019年下半年，但是其承认财务造假却是在内部审计以后。基于财务造假时间差，瑞幸咖啡并没有对可能形成财务造假风险的区间进行识别，同时，基于浑水报告给出的关于瑞幸咖啡欺诈的五条铁证，说明瑞幸咖啡在采取相关定价、跳号、广告投入等措施时，并未对其采取措施进行风险评估，没有规避风险，更没有对风险进行分析。

（三）控制活动有待完善

控制活动主要是指企业对风险的控制，即对能够明确确认的风险采取一定方法措施进行控制，不使风险发展成为不可控。在实践中可通过职责划分、不相容岗位分离等举措进行有效控制。瑞幸咖啡的CMO杨飞，曾因非法经营罪被判处18个月监禁。

（四）信息与沟通存在问题

信息与沟通是指为了使企业内部员工更好地完成相应职责与任务进行相互沟通，包括内部和外部。基于浑水发布的做空报告，许多数据及资料来源于公司内部员工，表明瑞幸咖啡内部没有一个明晰的举报投诉处理程序。

（五）监督

监督是一个评价指标，评价内部控制制度的设计与执行情况，通常包括日常监督和专项评价活动等。由于对日常经营活动、工作流程没有形成一个有效的监督机制，导致瑞幸咖啡财务安全隐患一直存在。

三、如何提高内部控制有效性之建议

瑞幸咖啡财务造假，不仅毁了自身前途，还给赴美上市的中概股企业带来了信誉危机，影响了中国企业的国际形象。因此，我国上市公司应该警觉，时刻反思自省，从瑞幸咖啡的惨痛案例中得到经验与教训。

（一）控制环境

企业的控制环境确定了整个企业内部控制的基调，影响了企业所有员工的控制意识。首先，有效的控制环境可以在企业内部形成一个良好的氛围，推动企业内部控制制度执行及企业经营目标的实现。企业在设定一个良好的控制环境时，应该避免“内部人控制”现象的出现，股权的过于集中会在一定程度上为管理层道德缺失创造条件。其次，管理者本身不具有正确经营理念。如果管理层受到利润诱惑而丧失职业道德，那么从一开始公司的内部控制环境就存在问题，同时也会因为管理层单纯追求经济利益的错误意识，而大大削弱企业控制环境的作用和功能。瑞幸咖啡在开始设立时，管理层就存在信用危机，在发展过程中难免不切实际地快速扩张。

（二）风险评估

风险具有不确定性，会对企业实现其经营目标产生重大影响，不管是“灰犀牛”还是“黑天鹅”，都会对企业发展产生一定的不利影响。风险评估是企业实施内部控制不可缺少的一环，是控制活动实施的重要依据。在充分识别企业潜在风险后，要对风险进行分类处理，再根据不同风险类别确定不同的风险目标。同时，公司也应对风险可能产生的损失进行分类，然后根据不同风险类别采取相应的解决措施来应对。风险评估要落实到项目上，在重大交易过程中，保持风险评估的连贯性。财务报表的真实性较为直接地反映了企业的财务风险问题，因此企业风险评估的重点可以放在企业财务报表及内部审计上。

（三）控制活动

根据企业采取的风险应对策略，企业需要及时采取相应的控制活动，尽量避免风险产生，同时降低企业损失。企业在设计控制活动时应当贴合企业发展现状，分析哪些是以企业现有能力可以采取的，哪些是以后随着发展而实施的。在整个过程中采取手工与自动相结合，预防与发现相补充。企业必须采取相应的控制手段，这样才能对企业风险进行控制，整个内控环节才是有效的，能够真正发挥作用。总的来说，对于风险控制是最难的，因为风险本身存在不确定因素，所以企业是根据以往经验或参考其他公司做法施策。这也提醒企业管理层在进行控制活动设计时，应当具有前瞻性和预见性思维，不能仅仅着眼于当前，这样实施的控制活动才能更有效果。

（四）信息与沟通

信息与沟通是实施企业内部控制的重要条件，它为控制环境的其他因素提供连接。企业内部应当建立一套完整的信息沟通体系，合理设计中间信息人，确保信息自上而下、自下而上都是联通的，企业内部各部门之间也应当保证信息畅通，而不要相互屏蔽。重要信息可以申请上级批准是否流通共享。当然，信息与沟通本身是在人与人之间进行的，因此，链接公司员工要增强凝聚力，提高彼此之间信任度。在企业内部整个信息沟通过程中，要尽量避免越权操作等行为，越权操作会影响公司内部沟通与交流，形成人为障碍。

（五）内部监督

内部监督是对整个内部控制进行监督，是对其他要素系统检查，一定程度上可以反映企业内部控制的质量。有效的内部监督能够帮助企业及时发现内部控制存在的相关问题，保证企业内部控制流程有效实施。内部监督所形成的报告应当有畅通的报告渠道，确保监督所发现问题能够及时传递到管理层，这样有利于整个内控体系更好地实施。首先应当保障企业内部审计部门发挥作用；其次，应当避免内部人控制。内部人控制的形成，会导致企业内部监督形成闭环，无法得到良好运行。企业也可以通过设立外部独立监事等外部监督手段，从而保证企业内部监督效果。

万丈高楼平地起。企业要想有效实施其内部控制，在内控五要素设置时就要层层把关，环环相扣。希望我国其他上市公司引以为戒，吸取经验教训，不让公司内部控制形同虚设。