企业内部控制管理探讨

●刘吉文

企业构建一套完善的内部控制管理机制需要一个长期的过程。在市场竞争日趋激烈的情况下,如何基于内部控制管理视角增强企业的竞争力，已逐步成为了企业最为关注的问题。健全的内部控制管理体系能够为企业的健康发展提供一个强有力的保证，其可以有效地保障企业财产物资的安全完整、避免会计信息失真以及促进企业有效经营等。企业为实现长远目标，应高度重视内部控制管理建设，力求通过成熟的内部控制管理模式推动自身快速发展。

一、企业内部控制概述

2008年6月，财政部等部门联合发布《企业内部控制基本规范》指出内部控制是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。内部控制是企业进行自我管理的一种方式，它可以实现对内部的检查、制约及调整。内部控制的自我约束制度受到各个层面成员的监督和推动，是企业对内的一种自我完善方式。强化企业的内部控制管理可发挥四方面作用，其一是保护企业资产的完整安全及对其有效使用，提高企业经营管理和风险防范能力；其二是通过内部控制能够尽可能压缩成本费用支出，这将会大幅提升企业的生产经营效率，进而获得较多盈利，确保企业可持续发展；其三是规范企业会计行为，确保会计传递信息的及时性、准确性和可靠性；其四是保障企业管理部门方针、政策和指令的贯彻执行，使企业各项生产经营活动有秩序地持续进行。

《企业内部控制基本规范》指出，企业建立和实施有效的内部控制，应包括内部环境、风险评估、控制活动、信息与沟通、内部监督五个要素。控制环境要素为企业提供了基本的组织架构和管理纪律氛围，决定着内部控制的规则与结构，潜移默化地影响着企业员工的内部控制意识，包括管理者的经营管理理念、方式和风格及道德品行、组织结构、董事会、人力资源政策与实务、企业文化等。风险评估要素是风险管理的基础工作，主要是识别和分析企业在经营管理过程中的各种风险。控制活动要素是确保企业管理层的指令得以执行的政策和程序。控制活动自上而下或自下而上贯穿于企业，包括控制范围设定、职责划分、业务授权、活动协调、考核、资产及信息安全保障等。内部监督要素是企业对建立和实施内部控制的情况所进行的常规、持续的监督检查，或者对内部控制建立与实施的某些方面的情况进行不定期的、有针对性的监督检查。有效的内部控制是增强盈利能力的重要保障[1]，具有健全内部控制制度的企业在盈利能力方面显著高于存在内部控制缺陷的企业。

二、我国企业在内部控制管理中存在的问题

（一）内部控制环境基础薄弱

多年来，尽管我国大部分企业的内部控制建设在不断推进，但是仍有部分企业的内部控制基础相对薄弱，没有将内部控制理念全方位宣贯至全体员工思想之中，也没有做到与各个生产经营业务紧密联系，进而造成企业经营管理工作秩序紊乱，造成账实不符、资产流失等现象存在。如出纳、制单、审核等本该由有多人承担的工作却由一人承担，企业将公章和财务用章都交由一人保管，这些漏洞违背了内部牵制的原理与初衷。

（二）风险意识薄弱

在激烈的市场竞争中，企业面临的可控风险主要有市场风险、经营风险、财务风险。企业为了更好地生存下来，必须做到未雨绸缪。然而，很多企业中的管理人员的内部控制意识淡薄，仅重视企业营业收入、营业利润、利润总额等方面持续增长，缺乏对内部制衡、内部监督、内控管理等事项的高度重视。甚至有些管理者认为内部控制只是针对资产安全的控制，这将会导致部分企业内部控制管理工作只停留在表面。内部控制涵盖了企业的各个业务过程和管理过程，还涉及到企业的各个部门及每个人员，不仅仅局限于企业的管理者。往往基层员工按照“师带徒”模式完成工作，不按照各自岗位的标准作业流程和管理制度完成各项工作，有的员工甚至对自身的工作范围、任务和职责等事项都不够明晰，进而导致工作频繁地出现差错且效率低下。

（三）内部控制执行不力

内部控制制度是企业根据自身经营管理特点自行制定，是保证正常生产经营活动的系统行为规则，能够有效地降低企业经营过程中的风险，提升企业综合竞争力。然而，我国现有内部控制更偏向于内部制度的设计，忽略了内部制度的执行、对执行情况的分析以及对制度的动态调整与修正。部分企业内部控制制度的执行仅是停留在表面，落实不到位，甚至并未真正实施。有关企业内部控制方面的制度有很多，如预算业务控制、收入业务控制、合同业务控制等，还有各类内部控制表单，但如果出现财务工作代替内部控制等现象，或内部控制职责分工不明确，则在内部控制执行不力的前提下，任何健全的内部控制制度都将流于形式。

（四）信息传递不畅

内部信息传递是生产经营管理信息以内部报告形式传递给企业内部各管理层级的过程。内部报告系统不完善、功能缺失不健全、内容不完整、传递方式不安全、不通畅、不及时，都有可能导致生产经营运行障碍、泄露商业秘密，从而削弱企业核心竞争力。

1.管理信息化观念落后。我国企业往往忽视各部门之间信息的协调沟通，进而形成了不利于信息传递的氛围。企业员工对企业运营中的问题、见解和个人诉求，不能通过适当的渠道予以表达和上传。此外，企业管理层不重视对管理信息化的投入，不能享受和运用网络技术带来的便捷，使得业务环节的信息化管理水平落后，企业管理手段滞后于发展的需要。

2.沟通渠道单一、僵化。部分企业管理者对有关内部控制信息化所发挥的重要作用的认识不到位，“大智移云物区”等智能科技在企业内部控制中的渗透和应用只是停留在口头上，在信息渠道上仍习惯于通过设计组织结构、制定制度来实施对人、财、物的管理[2]。近年来，很多企业的信息传递还主要依靠于自上而下的行政命令，多以强制灌输和重复传达出现，缺乏充分的沟通交流和耐心的讲解，因此信息传递缓慢，甚至产生扭曲、歪曲和遗漏等现象。当前，某些企业上一层级管理者信息的获取主要依赖于自下而上的逐级报告制度，或以采取书面或口头的方式单向传递为主，缺乏如例会、恳谈会、交流会等多形式的交流和沟通，缺乏诸多参与人员之间不同思想的碰撞和启迪，进而影响了信息获取的准确性与完整性以及信息处理的及时性和科学性。长此以往，信息沟通的障碍将会使上层管理者、中层管理人员和员工缺乏对企业内部控制文化的认同，且对内部控制目标的认识也会出现偏差，以致影响企业目标和个体目标的共同实现。

3.信息化系统尚未建成。部分企业未建立内部控制信息系统，现有的管理系统与内部控制不能衔接一致，在进行内部控制检查时只能通过手动方式对各项资料进行检查，没有利用财务内部管理控制系统实现企业内部数据共享，导致信息化资源的浪费和工作效率的降低。如果企业缺乏高度集成的内部控制信息化系统，则内部控制信息在企业内部纵向交流不畅，横向不能实现共享和整合，于是各层级员工很难对内部控制关键信息进行及时、恰当的回应，进而无法有效识别与管控自身所面对的风险。

（五）缺乏有效的监督机制

某些企业内部审计部门仅仅是完成传统意义上的审核账目、查错纠弊任务，而在内部控制评价、有效防范经营风险方面却没有有效地发挥监督职能[3]。部分企业内部审计部门的隶属关系偏弱或领导层级偏低，这将导致内部审计的独立性缺失，内部监督职能不能充分发挥，不能实施客观的评价和公正的监督，对企业生产经营活动的各项监督执行不力。除内部审计之外，企业的董事会、监事会、纪检部门、工会、风险管理部门等，内部监督部门过于分散、定位不明晰，不能形成协同运作的合力，也将会制约内部监督效果。

三、我国企业内部控制管理问题的成因

（一）法人治理结构不完善

多年来，尽管我国部分企业已经建立了现代企业制度，但其还依然在持续完善之中。部分企业虽然在形式上建立了董事会和监事会，设立了内部控制、内部审计、纪委、工会等部门，然则真正意义上的“产权清晰、政企分开、责权明确、管理科学”的现代企业制度中仍未有效形成，董事会没有发挥其应有的作用。法人治理结构不完善将会导致董事会及审计委员会、监事会对董事等高管人员的监督形同虚设，内部审计机构所能发挥的监督作用有限，内部控制缺陷难以及时修复。

（二）缺乏完善的内部控制评价机制

我国企业长期以来将利润指标作为对经营管理考核评价的主要依据，很少把内部控制建设与执行情况纳入考核评价范围[4]。一般而言，考核是“指挥棒”，考核评价的内容，决定着企业各个部门及每位员工努力的方向。如果企业以利润最大化作为考核评价的标准，以经营绩效为中心建立各项考核评价细则，则企业管理层将会重视绩效考评制度、方法和程序的快速跟进，不知不觉间忽视内部控制机构职能的有效发挥，甚至会抵触那些以牺牲利润增长为代价的内部控制活动的实施。多年来，尽管我国出台了一系列有关内部控制方面的法律法规，如《会计法》《审计法》中有关内部控制的规定以及《企业内部控制基本规范》《企业内部控制配套指引》《中央企业全面风险管理指引》《证券公司内部控制指引》《保险公司内部控制基本准则》等，但是我国还缺乏一套更为详尽的内部控制评价机制以供企业借鉴和参考，这将会导致某些企业在有关内部控制评价内容的确定、评价程序的确立、评价方法的选择等事项中，更多地依赖于相关人员的主观经验和职业判断，而缺乏更为明确且全面的外在指导。

（三）缺乏有效的内部审计监督

当前，部分企业对内部控制流程的建立和执行工作缺少有效的内部监督。内部监督主要是由企业的内部审计部门执行，内部审计部门在执行内部监督时，主要存在如下不足：一是在内部控制检查时，只是对照企业的内部控制手册进行检查，检查过程大多流于形式；二是内部审计人员由于专业度不够，不能深入到整个业务流程之中，无法全面掌握企业的各项经营业务信息，降低了内部审计工作有效性；三是在内部审计人员的检查过程中，将会出现部门之间相互包容的现象，使得内部审计过程受到的干扰因素较多，进而很难在公平、公正的环境下开展内部监督检查工作。外部监督主要是由年报审计机构执行，外部审计机构都是在每年的年报审计时，对照企业的内部控制手册对企业的各项业务流程进行抽查，很难在短时间内找出企业内部控制中的风险点。

（四）缺乏专业内部控制监督人员

很多企业的内部控制监督人员是由财务人员转岗而来的，他们对于专业的财务知识了解较多，但缺乏对企业内部控制的全方位认识。在开展检查工作时，内部控制监督人员更关注各项业务的账务处理是否正确。由于某些企业缺乏专业的内部控制风险管理人员，且受专业知识的影响不能深入到企业的各项业务流程中，因而他们难以发现内部控制中的风险点，以致影响了内部控制的实施效率，进而导致了企业存在内部控制执行失效的问题。

四、我国企业内部控制管理的完善策略

（一）增强企业内部控制意识

企业管理层应高度关注企业建立和实施内部控制的现实意义。企业只有建立科学的内部控制体系，才能夯实内部管理基础，提升风险控制能力。与此同时，企业还应增强员工的内部控制意识，通过自主学习或集体培训等方式，加强员工对岗位管理制度和有关内部控制流程的深层次认知，并严格要求员工按照各项内部控制流程处理各项业务。人既是内部控制的主体，也是内部控制的客体。企业必须以人为本，全方位调动全体员工内部控制建设的积极性，唯有此，才能够做到事半功倍，有的放矢。内部控制建设离不开企业员工的控制意识行为，更离不开领导者的控制意识行为。提高领导层对内部控制重要性的认识，是企业内部控制建设的首要工作。只有管理者高度重视内部控制建设的重要性，重视内部控制建设和风险防范，才能使企业的一切管理活动以内部控制要求为参照。企业的利润是由全体员工创造的，只有充分调动员工的积极性和创造性并在企业控制活动中发挥作用，使员工主动参与到内部控制管理的建设中，使内部控制管理文化在企业内部得到广泛的认同，企业的经营效益才能持续提升。

（二）改善企业的内部控制环境

企业管理层的经营理念、组织结构的制约体系、员工的基本素质等在不同程度上影响了企业内部控制环境。在内部控制的所有环节中，控制环境是整个内部控制的基础，管理者和员工的品德、企业的凝聚力、董事会的领导水平都会直接影响到企业的生存。企业管理者应重视内部控制环境的孕育与改善，自行带头严格遵守内部制度，应弘扬积极向上的内部控制文化，增强职工对内部文化的高度认同。企业管理者根据企业的内外部环境和实际情况，建立科学合理的组织架构和内部管理机构，以提高内部控制的效率和效果为前提，选择科学、务实的经营管理方式，选择适当的风险应对态度，转变经营风格为稳健务实型，实现可持续发展。

（三）健全内部控制制度体系

企业经营环境瞬息万变，所面临的风险复杂多样，一套完善的内部控制机制必须能够时刻适应形势的变化和挑战，有效防范经营过程中的风险，保证企业战略目标的实现。企业内部控制的建设与执行是一个长期的过程，管理层需要高度重视内部控制制度的设计及其有效实施。首先，企业应从梳理已有的制度着手，根据业务特点，找出内部制度建设中的短板和薄弱环节，做到内部控制制度的全覆盖，事事有章可循，有据可依。其次，企业应不间断地跟踪内部控制制度的执行情况，开展内部控制评估和内控审计，检查内控制度是否能够适应企业经营管理的需要，以及企业内部不同层次对内部控制制度执行的反馈。再次，根据内部控制评估、审计和反馈情况，企业应对内控制度动态修正，使其能够适应不同发展阶段的现实需求。

（四）完善企业内部监督机制

企业应完善内部审计机构的设置，成立独立的内部控制审计工作小组，使其不归属于企业的某个部门，力求做到监督处处存在，时时存在，对发现的问题督促相关部门整改到位[5]，确保收到实效。内部审计监督需要明确分工，针对企业内部部门的内部审计，由管理层委派审计部负责；针对领导层的内部审计，由审计委员会专门组织开展；针对审计委员会的内部审计，由监事会负责。内部控制监督是一项综合性、专业性都较高的工作，涉及到的专业知识较为全面。内部控制监督的特点对内部监督人员提出了更高的专业知识要求。企业应加大对内部监督人员技能和专业知识的培训力度，提高相关人员的综合素质。此外，企业还应在内部控制审计小组中增加除财务、审计人员之外的其他人员，着力提高内部控制监督机构的督查能力。

（五）加强内部控制信息化建设

企业的内部控制信息化建设需要与业务部门、审计部门、信息化部门协同配合，逐步实现内部控制体系与业务信息系统互联互通、业财融合以及有机整合。企业将内部控制体系管控嵌入各类业务信息系统，能够确保自动识别并限制相关业务的超越权限，促使各项经营管理决策和执行活动可控制、可追溯、可检查，并有效减少人为违规操纵因素。在日益竞争激烈的环境中，企业想要长远稳定地发展，需要结合“大智移云物区”等智能技术，深度开展内部控制信息化建设，并以此为手段，持续提高内部控制管理的质量，以便为企业经济效益的提高和经营风险的防范打下良好的基础。