企业内部控制体系建设的相关思考

文/邢常海（中国建筑材料工业地质勘查中心青海总队）

内部控制体系的建设是企业健康稳定发展的重要保证。加强内部控制的必要性可以从以下几方面来概述：首先，加强内部控制可以推动企业的健康稳定发展。企业在内部控制的影响下可以建立监督机制、执行机制并行的决策层，基于投资责任制度、决策联签制度等规范决策审批流程，避免“一言堂”现象，进而提高企业对决策环节的控制成效，实现企业可持续发展。其次，内控的加强有助于企业工作效率的提高。企业内控体系从本质上来说是一项十分复杂的综合性体系，通过内部控制管理可以有效地对企业内各个业务流程进行规范，使企业各个层级和部门之间的员工更加有效地进行配合和制约，从而使企业内部部门之间、不同层级之间能够更加有效地进行交流，形成上下同心的企业工作环境和氛围，切实促进内部工作效率的提高。不过虽然企业已经认识到内部控制建设的重要性，但多数企业内部控制建设进程缓慢，实际应用常不及预期，有待企业进一步研究优化改进之法。

一、企业内部控制体系建设的路径

从2008年发布《企业内部控制基本规范》后，我国企业基本建立相对成体系的内部控制，保障企业的资产安全、会计信息质量等，促进企业战略发展目标的实现。近年来，随着外部市场变化，企业经营状况越发复杂，多数企业原有内控体系越来越难以满足管理需要。2019年国资委也发布了《关于加强中央企业内部控制体系建设与监督工作的实施意见》，给企业内控体系建设提供了新思路、新方向和新要求。目前，多数企业内部控制体系的建设主要从以下几方面出发：

（一）设立专门的管理小组

在内部控制建设上，多数企业采用从上到下的工作组织模式。成立内部控制体系领导小组，由企业总经理、董事会成员、财务负责人等高层领导人员组成，主要负责内部控制目标的确定，内控方案、内控手册的审批，重大问题的决策等工作；设立独立的内部控制工作小组，主要由内控人员、各部门负责人组成。主要负责结合企业实际，以企业审批、管理等流程为依据，制定相适宜的内控体系建设方案，起草现代化内部控制制度预案，上报领导小组进行审定。同时，牵头负责企业各部门内控建设和培训工作，监督实际运行成果，识别内控建设存在的问题，完善内控手册，报经领导小组审批。通过对内控管理组织架构的进一步优化，企业将内控工作细化到了具体，确定了各部门的职责，将内控相关政策和企业发展规划相结合，明确了内控体系建设责任主体。

（二）邀请第三方机构共同参与建设

为了进一步提高企业内部控制建设和运行效果，多数企业选择邀请第三方专业机构来协助建设。企业将第三方机构团队纳入内控工作小组中，由外部人员和内部人员共同梳理企业内控流程，通过调查问卷、面谈、穿行测试等模式，对企业人事管理、资产管理、财务管理、公章管理、合同管理等重点业务流程进行分析，基于分析结果制定内控建设实施方案。同时，全面展开风险评估，做好风险准备、信息搜集、风险识别和分析、风险评价以及确定解决方案等工作，对发现的问题及时上报给领导小组，编制风险管理报告。另外，结合企业业务流程各环节控制要点以及关键风险点，绘制内控流程体系，编制内控手册。

（三）编制权限指引规章文件

企业根据内控工作小组编制的风险管理报告、内控手册、内控流程，全面梳理各业务环节的授权审批过程，建立授权审批岗位责任制，编制了《权限指引表》，明确划分相关部门、岗位的职责和权限，各级人员只能在规定的授权审批范围内行使权利、办理业务，形成相互制约、相互制衡的管理格局。

（四）诊断管理问题，制定整改方案

企业内控工作小组对当前内控体系运行现状进行充分调研，深入研读现有内控制度、相关管理制度等，将其和当前发布的内控规范文件进行对比，诊断当前内控缺陷，并针对性地提出整改意见，编制了《内控管理现状诊断报告》《内控整改跟踪表》，为企业完善内控体系建设提供指引。

（五）优化了内控评价机制

内部控制评价是内部控制体系优化的重要一环，由于以往并未建立规范的内控评价工作流程，因而在现阶段内控体系建设中，多数企业都加强了对内控评价机制构建的重视，以《内控评价指引》为依据，完善内控评价程序、流程、方法等，合理分配制度、流程的得分权重，完善《内控评价评分细则》，进一步规范了内控评价工作。

二、实践中企业内部控制建设存在的问题

目前，虽然多数企业都在积极推进内部控制体系建设，但实践中仍然暴露出不少问题：

（一）第三方机构配合度不高

企业一般选择业内具有口碑、经验的第三方机构来协助建设自身内控体系，但实操中，第三方机构带来的协助效果并不理想。一方面是由于部分企业内控建设预算有限，第三方机构出于成本考虑，委派给企业的内控团队在经验、专业能力上都稍逊色，以通用内控体系建设模板为依据，给企业提供了建议，缺乏针对性，实际上并不切合企业实际业务流程。另一方面，第三方机构对企业所处行业了解不深，尤其是对于业务复杂、涉及多个行业的企业，全面梳理耗时耗力，短期内第三方机构难以全面、深入地了解到企业各业务流程风险点，虽然提出的内控建设方案具有可行性，但还存在较大优化空间。然而部分企业认为只有初始建设方案设计阶段需要较多人力，如果招募过多人员，后续运行管理中容易出现人力冗余，因而虽然企业也招募了专业内部控制人员，组建了内控工作小组，但出于长期人力设置考虑，部分企业内控人员数量有限，难以独立担负企业内控体系建设重任。而且企业内控自查时难免会存在主观臆断情况，部分内控缺陷、问题无法及时识别，所设计的内控建设实施方案可操作性、合理性都不高。

（二）内控执行不到位

在内控建设过程中，多数企业通过企业内控工作小组以及第三方专业机构的努力，为企业编制了内控手册等文件，做好了顶层设计。但在具体实施时，存在执行不到位的问题。一方面是由于目前企业只有部分人员具有内控意识，相当一部分执行人员对内部控制认识不足，执行时往往是应付了事。甚至部分企业领导也对内部控制建设的认识不到位，仅仅认为只要按照内部控制手册实施工作，完成手册要求就算是完成了内控体系建设。表面上企业已经设计了较为了合理的内控建设方案，完善了内部控制手册，取得了“丰厚”的成果，但实际上，企业内控设计和运行是“两张皮”，制度建设是一回事，落实又是另一回事，内控手册执行缺乏跟踪监督和评价，为了建设而建设，企业内部控制所发挥的效果大打折扣。

（三）内控诊断和整改不及时

从审计评价来看，企业在内控缺陷诊断和整改上还存在问题。部分企业虽然通过内控评价考核发现了自身内部控制体系中的不足，找到了问题所在，但负责人风险防控意识不强，加上企业也未健全相关评价奖惩制度，问题发现后多数时间在相互扯皮，推诿责任，问题解决时效性缓慢，整改不及时，甚至是已发现的问题在后续经营管理中仍然多次出现。部分企业则是没有做好内控评价，没有完全识别到内控缺陷，没有找到问题所在，无从整改，影响了内控体系效果的发挥。另外，还有企业并未有健康的内部审计机制，缺乏独立的内部审计部门，内审人员综合能力有限，对内部控制诊断和整改情况的监督不够全面、深入，无法及时发现不足之处，给企业营造出了一种“一切都好”的假象。

（四）风险评估和控制不理想

风险评估包括前期准备、相关数据的搜集、风险识别和分析、风险评价以及风险解决方案的制定几大流程，在实际内控运行中，虽然企业也依据规范在开展风险评估工作，但一方面，搜集的数据不够全面、真实，风险分析深度不够。这主要是由于目前企业仍然存在信息孤岛问题，构建的业务系统、财务系统等的信息并不能直接共享，还需人工支持，往往会存在数据丢失或是被篡改的情况，风险评估数据不全，部分风险可能并未发现。同时，数据的混乱也会影响到企业对数据背后信息的追踪，风险分析结果有限。另一方面，风险控制力度不强。企业内部各部门之间还未形成管理合力，各部门难以协同联动，多数是由财务部门把控风险，企业业务流程风险缺乏控制。

三、企业推进内部控制体系建设的保障策略

通过对上述问题的研究，针对企业内控体系建设的优化提出以下建议：

（一）选择合适的第三方中介机构

企业要明确认识到内部控制体系建设是一项长期的工程，需要投入一定的资金和人力，在建设初期，应给予足够的重视和资金支持，做好预算。同时，企业还需认识到必须选择第三方机构参与的必要性，客观认识到如果单纯依靠自身内控团队建设时存在的弊端，比如部门沟通效率低、专业工作团队难建立、自查有效性较低等问题。而在选择第三方中介机构时，在考虑聘请成本的同时，更应重视第三方机构的资质、资信等，不要求邀请业内顶尖的内控建设团队，但要保证所邀请的第三方机构团队具有一定的经验和成功的案例。如果企业规模较小，可以向同业同规模的企业取经，挑选口碑好且有同行业内控建设经验的机构，对其服务进行考量，综合成本、服务质量等作出最优选择。而对于企业规模比较大的企业，可以通过招投标的方式来选择。另外，企业在和第三方中介机构签订合同时，可以将选取一些内控建设评价标准作为硬性条件，比如约定赔付或扣费条款等，以此来保证第三方机构可以有效发挥作用，帮助企业制定科学、合理且行之有效的内控体系建设方案。

（二）将内控建设与负责人绩效评价相挂钩

企业要组织各管理层学习现代化内控知识，革新内部控制理念，明确认识到内部控制是一项“一把手”工程，内部控制职能作用的发挥既要有完善的内控建设方案做指引，也要保证内部控制执行的有效性。针对当前内控执行不到位的问题，企业需进一步明确划分各环节职责，将业务流程各关键内控点、风险点的职责和权限具体到各负责人、各岗位，并建立相适应的绩效考核评价体系，如果内控执行评价较差，应直接追究相关负责人的责任。另外，企业还需完善激励机制，管理心理学把激励看成是“持续激发动机的心理过程”。有效的激励措施能够刺激员工工作的积极性，提高工作效率。实践中，企业可以将内控执行效果和人员绩效工资、年终奖等的核算相挂钩，或是将员工在内控执行过程中的履职情况作为岗位升迁的加分项，以此来激发负责人、相关职员的工作热情。除了物质激励外，企业也需重视精神层面的激励，比如可以在内控建设讨论会或是职工大会上，宣讲优秀完成任务的负责人经验，让其代表企业去宣讲企业内控建设的成功经验等，以此来增加职员的归属感和荣誉感，为企业内控建设继续发光发热。

（三）及时展开内控体系评价和审计工作，将自查常态化

企业内部控制体系的建设应随企业经营的变动、市场环境的变动不断进行调整，因而可能某一时段企业所建设的内控体系较为完善，但在后续评价时会出现和企业实际情况脱节、偏离等问题，因此企业需定期展开内部控制评价和设计工作，保证企业可以及时发现内控缺陷，并做好整改。实践中，企业可以利用内部审计来进行内控自我评价。在这一过程中，企业需构建独立的内部审计部门或是纪检部门，招募专业的审计评价人才，并结合内控评价需求优化内控评价流程，对企业日常经营活动进行不定期的专项审计，识别存在的管理缺陷，并提出整改意见。同时，企业也需做好信息披露工作，借助外部监督来提高内控评价的真实性。通常外部监督包括政府相关部门监督和社会监督两类，政府部门监督具有强制性、广泛性特征，不过监督范围有限，以行业要求为主。而社会监督主要为公众监督、会计师事务所监督等，企业可以定期邀请会计师事务所来对现行内控体系运行情况进行评估，反馈存在的问题。而且企业也可以对比外部审计评价报告来发现自查评价中的不足和缺陷，不断优化。另外，在具体评价时，原则上，企业在实际评价过程中针对失误和错误应当视情况区分认定评价、综合分析研判，正确把握事业为上、实事求是、依纪依法、容纠并举等原则，鼓励探索创新，支持担当作为，保护员工的积极性、主动性和创造性。

（四）健全风险识别、评估以及控制体系

首先，企业应设立风险评估小组，对企业业务流程进行全面稽查、复核，识别存在的风险，并对风险危险等级进行评估，结合企业风险承担能力编制风险清单。以此为依据，结合风险动因，追溯到具体业务节点，并选择风险敏感值，构建适宜的风险管理模型，借助信息系统实时监管，使得管理人员可以及时了解到经营过程中存在的风险及其危险级别。其次，推进信息化建设。一方面，将风险管理模块嵌入到内部控制系统中，实现风险识别、评估以及控制的自动化。另一方面，企业还需推进内部共享平台建设，实现业务各环节数据的实时共享，为企业风险识别和评估提供全面、有效的数据支撑，保证企业可以有效识别出业务流程中潜在的风险，发现内控缺陷。另外，企业还可以构建风险控制数据库，包含风险清单上各类风险的具体应对措施，以便在发现风险后，可以及时制定出有效的管理办法，强化风险控制力，从而避免风险蔓延，把风险影响降低到最小。

四、结语

综上所述，内部控制虽然是企业经营管理中常见的管理体系，但多数企业现行内部控制都存在着一些问题，优化内部控制体系是企业应对市场变革、风险冲击的关键。而各企业虽然都已经逐步推进现代化内控体系的建设，但企业必须认识到建设中存在的“重设计轻运行”的问题，要主动寻求外部帮助，结合业务特点建立科学的内控建设方案，同时健全考核管理、内控监督评价以及风险评估体系，保证方案可以有效落地，防控内控缺陷，充分发挥内控效果，助力企业实现稳健发展。