企业内部控制设计十种常见的症状与内控体系“六大应该疗法”让企业经营更加稳健。

　　良好的内控制度，能够有效约束企业的主要经济行为和关键岗位人员，确保企业经营和管理运行良好。笔者结合多年的财务管理和中介审计工作经验，总结了企业在内控设计时面临的十个突出问题。相关企业可以针对本企业的内控制度设计和执行情况，把脉诊断是否存在以下“症状”，以便结合财政部等五部委联合发布的《企业内部控制基本规范》的落实，进行对症治疗。

 

　　1.设计目标不集中

 

　　企业设计内控制度时，如果忽视目标定位，可能会出现设计目标不集中、思路不清晰问题：一是关注内控的具体目标，忽视内控制度设计应当服务于企业发展的战略目标；二是战略目标调整、业务模式改变后，内控程序不能跟上企业变革的步伐；三是内控制度侧重查舞弊、防风险，忽视财务报告和管理信息的真实、可靠和完整，表现为过程控制和结果控制不平衡，高级管理人员容忍甚至授意、指使会计造假，为虚构业绩、隐瞒利润或偷逃税款而放弃内控。

 

　　2.关键控制点偏离

 

　　企业内控制度的设计，在层次上应涵盖董事会、管理层和全体员工，在对象上应涉及各项业务和管理活动，在流程上应渗透到决策、执行、监督、反馈等各个环节。而选准关键控制点是制定内控制度的核心，只有抓住关键控制点，才能有效避免内控真空。比如，销售收款环节的关键控制点之一是销售人员不得直接收取销货款。有的企业为方便工作，在一定条件下允许销售人员直接收取销货款，这样的内控制度为无良人员截留、挪用甚至贪污货款提供了可能。

 

　　3.成本效益失衡

 

　　内控制度设计需讲求控制效率和效果，合理权衡成本和效益的关系，避免两个极端：一是成本节省偏好，即使对重要业务与事项、高风险业务领域，也不舍得投入必要的控制成本；二是苛求控制效益，设计的控制程序繁琐，管理刚性有余但缺少必要的变通，执行难度大、效率差。把握好成本效益原则，需要记住：内控不在繁简，管用就行。

 

　　4.照搬照抄缺个性

 

　　企业之间因所有制形式、组织形式、行业特点、经营模式、业务规模、企业文化等方面的差别，在实施内控时也有不同的要求。借鉴别人的经验本无可厚非，假如只是简单照抄，千人一面，内控制度不能充分体现个性化差异，那只能算是充当门面，很难具有可操作性。

 

　　5.企业发展难适应

 

　　有的企业内控制度沿袭传统，一朝制定多年不变，很难适应企业的发展，使得内控制度不能随着外部环境的变化、经营业务的调整和创新、管理要求的提高而改进和完善，使得企业在新情况、新问题面前没有应对措施。为此，企业内控制度也要与时俱进。

 

　　6.部门之间少协同

 

　　有的企业把内部控制等同于内部会计控制，认为内控是财务部门监督其他部门的职责，往往形成财务部门单枪匹马抓内控，却得不到其他部门协同配合和支持理解的被动局面。高级管理人员，特别是直接负责的主管人员在认识上的误区、自身能力的限制、管理上的偏好等因素，都可能使企业部门之间的内控协同效果弱化。

 

　　7.控制程序脱节

 

　　企业内控的程序应当与业务流程环环相扣，相关的控制要求应当延伸到业务的各个链条，业务链条变化后也应当有恰当的控制程序与之相适应，否则就可能出现控制程序脱节的问题。比如，有的企业在合同控制中，只关注合同评审和签订，不注重合同的执行和变更，或者虽然关注合同的执行，但跟踪控制程序只是参照初始签订的合同，不深入分析合同变更原因，不认真了解合同条款变更的内容，使得控制程序脱节。

 

　　8.信任逾越监督

 

　　企业的组织结构、岗位设置和权责分配应当科学合理，确保不同部门、岗位之间权责分明并有利于相互制约、相互监督。但习惯代替制度、信任逾越监督的问题在不少企业都有所表现，少数人拥有凌驾于内控之上的特殊权力，负责监督的部门被边缘化，不敢行使监督权。

 

　　9.制度迁就环境

 

　　内控制度设计应当以企业的工作环境为依托，不同的工作环境和人员安排，对内控的要求也不尽相同。有的企业派驻外地的经营网点不设立分公司，异地经营网点的采购、仓储、保管、销售、收款业务完全依赖同一部门的工作。随着网点的经营规模扩大，其自主经营时间越长，企业面临的风险就越大。在此经营环境下，若没有适当的内控制度安排，单独依靠内部审计和突击检查是解决不了问题的。

 

　　10.轻信管理系统

 

　　企业管理系统往往具有一定的局限性，有的企业缺乏对系统流程与内控有效性和适配性的评估，流程再造不彻底，管理系统与控制环节脱节甚至矛盾，系统更新不及时，内控工作又过分依赖管理系统，形成系统流程和控制程序两条主线的排斥效应，有可能造成管理混乱和控制程序失效。

 

　　第一步：内控组织搭建与人员培训

 

　　首先，组织保障是建立健全内控的首要条件，根据《基本规范》的定义：内控是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程，只有有了全员参与，内控方能行之有效，明确了各机构在内控决策、执行以及监督中的工作职责。

 

　　构建内控体系最大的挑战是如何与生产经营相结合，将控制无缝嵌入企业的生产、销售、管理等各环节的工作中，所以除了成立专/兼职部门负责组织内控的建立与持续改进外，搭建内控组织很重要的一环就是在各部门指定内控人员来负责本部门的内控建立与落实。

 

　　其次，内控建设要得到企业各层级员工的大力支持与配合，宣贯与培训是必不可少的，通过宣贯让各利益方了解内控的意义，通过培训让内控人员理解和掌握内控的理念和方法论，在企业内营造管控的氛围，为内控建设奠定基础。

 

　　第二步：确定内控建设的目标与范围

 

　　内控涵盖企业的方方面面，是长期持续改进的过程，并非是一蹴而就的，笔者建议，在初期主要围绕财务报告真实准确的目标来构建内控体系，再逐步进化为全面风险内控体系。

 

　　内控建设围绕公司层面、业务层面、信息系统层面三个层面展开，企业根据自身的战略规划、经营目标、基本业务类型、组织架构、职责分工来确定内控体系的建设范围。

 

　　公司层面建设以解读战略目标为起点，如某公司的战略目标之一是“为把公司建设成长健康、业绩优良、回报理想的上市公司而努力奋斗”，相应的经营目标是“公司组建为上市公司”，那么“公司治理”与“合规管理”就是公司层面重要事项。

 

　　业务层面建设范围采用定量与定性相结合的方法来判断。定量方法从财务报告出发，确定重要性标准，如税前利润的5%或资产总额的1%（企业可以根据自身的情况调整），对超出此标准的会计科目再辅以定性判断。如：是否存在较大的错误和舞弊的可能性，是否具有较强经营风险，管理层是否关注，往年审计是否有重大发现等。将所确定的重要会计科目映射到相应的业务流程，如“收入”映射到“销售”，“成本”映射到“生产”与“采购”，“工程物资”与“在建工程”映射到“工程项目”，再对这些重要的流程进行梳理，确定内控建设的子流程/事项。

 

　　信息系统层面建设包括系统开发与维护、访问与变更、数据输入与输出、文件储存与保管、网络安全等方面的控制。

 

　　第三步：风险评估

 

　　确定了重要的流程/事项后，要充分考虑对其目标的实现可能造成不利影响的内外部因素，真正认识到这些风险，再根据风险评估的结果设计经营管理的关键控制活动，从而将风险降低到可控且可接受的范围内。可以说风险评估师内控建设的依据。

 

　　具体实施可由内控专/兼职部门牵头，组织相关专业人员，采用“调查问卷”、“头脑风暴”等方法来识别风险，并从风险发生的“可能性”和“影响程度”两个维度来评价风险，对风险进行排序，企业对不同水平的风险采取不同的态度和措施，从而将主要精力放在可能产生重大风险的环节上，而不是关注企业管理中的所有细小环节。

 

　　第四步：设计关键控制活动

 

　　根据风险评估的结果设计关键控制活动是内控建设的核心环节，建议推进方式如下：

 

　　（1）针对第二步中确定的重要流程/事项，分析企业内控现状，确定现有控制点，描述现有的控制措施与方法，并相应归集有关的规章制度；

 

　　（2）根据业务流程/事项中存在的风险，参照五部委的监管要求与最佳实践，分析内控设计中的差异。确认现有的控制环节与方法是否可以规避存在的各种风险，找出现有控制措施中的缺陷与遗漏，设计整改方案；

 

　　（3）落实到相关部门/责任岗位，固化到内部控制手册中；

 

　　（4）补充完善相关制度。如某企业合同评审与审批流程中，现有的控制措施是企业财务部门和相关专业部门对其经济、技术条款进行评审，报领导审批执行，对法律风险的控制缺失，针对这种状况，建议在合同评审时由总经办合同管理岗对法律条款进行审核，出具专业意见后报领导审批。以流程和风险控制矩阵形式固化在内控手册中，并相应修订《合同评审程序》及相关实施证据《合同评审表》。

 

　　需要注意的是，控制活动设计不仅包括业务层面的设计，也包括内部环境、信息与沟通、内部监督等公司层面以及信息系统总体控制的设计。

 

　　第五步：内控有效性测试

 

　　在建立内控体系后，需要对内部控制运行的有效性进行测试：

 

　　（1）企业在测试内控有效性时，可以采取多种方法：询问、观察、检查、重复执行或者是以上几种方法的组合。根据风险的大小和某一内控程序消除风险的重要性，应该采取不同的测试方法，这样可以节约测试的成本以达到最佳效果。

 

　　（2）选择进行测试的时间。为了确定截至财务年度日期间的内控运行的有效性，测试程序应该在充分早的时间进行。并且随着新的变化，在接近年底时，还要进行更多更新的测试。

 

　　（3）确定测试的程度。在确定内控测试的程度时，应该考虑内控对实现企业目标的重要性，需要考虑的因素包括以下几个方面：①企业计划在何种程度上依赖某一控制的有效性；②控制（例如，内部环境或信息系统总体控制）在何种程度上支持其他控制的有效性。通常，管理层应该更广泛地执行程序以评估这类控制的运行有效性；③控制的执行是人工操作的还是自动操作的。如果存在人工的监督或参与，管理层的评估程序应该更加广泛；④人工控制执行的频率；⑤控制的复杂程度；⑥以下方面是否存在变化：可能负面影响控制设计或运行有效性的交易量或性质；控制设计；执行控制或业绩监控的关键人员。

 

　　企业在确定每个控制需要进行测试的项目数量时，需要运用判断。总体上讲，要求至少应该执行和外部审计师通常进行的测试量一致的测试，以支持其控制有效性的结论。

 

　　（4）针对测试结果进行补救。企业的内控经过测试之后，也许会是有效的，但有可能在某些方面还存在缺陷或没有考虑到的地方。那么我们需要针对测试后的结果进行补救，对不完善的地方再进行改进。这将是一个反复重复的过程，直到测试结果令人满意为止，可以为管理层对保证内控有效性发表声明作基础。

 

　　第六步：内控体系的维护与更新

 

　　内控体系建设是一个动态过程，并不是一劳永逸的。在测试整改阶段完成之后，只能说针对当前的情况，所建立的内控体系是有效的。但外部环境和企业自身的情况是不断变化的，业务流程与风险也是在不断更新的，这就需要随时关注内部控制体系建设，维护更新，以适应具体情况的变化。管理层每年都需要出具自我评价报告，来证明企业内部控制运行的有效性。所以，为保证建立的内控体系长期有效运行，需要根据外部环境和企业内部管理状况的不断变化，持续建设企业的内部控制体系，不断改进完善。

 

　　综上所述，企业通过以上六步的动态闭环，有助于把内控的理念和要求融入日常的工作，从而使各岗位高效运行，各部门密切配合，充分发挥整体的作用，以顺利实现企业的目标。

---