姚刚/文

　　

　　当前，“内部控制”一词非常热，在一定程度上反映了对内部控制本身的重视，但也反映出一些过度的期望和曲解。

　　内部控制不是简单的制度汇编，更不是照搬别人现存的制度。内部控制也不能包治百病。内部控制作为一种管理方法或管理工具，目标从保证资产的安全、完整，过度到保证财务报告的可靠性、法律法规的遵循性，再到提高企业经营的效率和效果。同时，良好的内部控制能增进把握外部机会的能力。

　　

　　企业需要什么样的内部控制

　　监管机构通过发布指引的方式为企业内部控制建设指明方向。企业需要的内部控制应该首先符合自身特点，满足自身管理需求，同时又能满足监管需求。

　　前者是终极目标，如果一个企业的内部控制不能满足自身管理的需要，而仅仅去迎合监管要求，这是一种枷锁；后者是监管者的最低要求，一般企业都会考虑到这方面，同时结合自身特点设计内部控制制度。

　　因此，公司的内部控制建设要做好3大功课，一是分析企业本身，二是熟悉相关法规，三是在此基础上选择和设计适合公司自身的内控体系框架。

　　

　　如何开展内部控制建设

　　《上海证券交易所上市公司内部控制指引》和《深圳证券交易所上市公司内部控制指引》（以下简称《上证指引》、《深证指引》）基本上都采用了COSO内部控制框架，我们认为这也是目前适合我国公司内部控制建设的较好模式。

　　如何应用COSO内部控制框架？根据我们为中国石油天然气股份有限公司进行的管理层内部控制测试经验，主要包含以下4大要素的内部控制体系基本能够满足企业要求，主要包括：

　　——公司控制层面：包括控制环境（含组织机构图、权限指引表）、风险评估过程、经营活动分析、信息与沟通、信息披露、内部审计、反舞弊7个方面，共17个主题；

　　——业务活动控制层面：包括风险数据库、基本业务流程目录、以及业务操作中重要业务流程的业务流程图、风险控制文档、控制程序文件及其相关文件；

　　——信息系统总体控制和应用系统控制；

　　——补充和完善规章制度，包括企业管理和经营活动各环节的各项管理制度。

　　在具体开展方面，首先，应聘请有专业经验、熟悉该公司业务流程、具有审计基础的会计师事务所参与内部控制建设。

　　其次，需要领导的高度支持，指定专门的机构和专人负责，同时全公司各部门及全体人员要配合和参与。并且需要一个相对较长的周期，分阶段进行。

　　在实践中，首先应该在分析和确立本公司经营目标的基础上，对公司的风险进行全面分析，并按照风险的优先顺序划分不同控制特点的业务活动，在此过程中遵守相互牵制、协调配合、岗位匹配、成本效益、整体结构5大原则，为职责分工、实物接触控制、内部核查、充分的书面记录、恰当的授权提供有效合理的保证。

　　一般按照 “5步法”为企业设计内控体系，即：诊断与评估、制度收集——业务流程重组、风险控制——试运行——符合性测试——修订整改正式发布，并保持日常维护与更新

　　

　　如何进行内部控制评价

　　建设了一个良好的内部控制体系之后，要定期对企业内部控制进行评价，即“以评促建”，因此从广义上说，内控评价也属于企业内部控制建设的范畴。

　　做好企业内控评价工作，应做好以下几个方面的工作：

　　首先，建立完善的评价体系和模型。一般来说，主要有用打分来评价的定量方法，以及缺陷描述并进行披露的定性方法。从《上证指引》、《深证指引》来看，采用了缺陷描述的方法。但央企业其上市公司正在酝酿打分的评价模型。

　　其次，建立缺陷认定和分类、测试范围、抽样频率、例外事项分类等技术标准。这些技术标准的建立需要和外部审计时共同讨论，这也是注册会计师最后发表内部控制核实评价意见的标准。

　　第三，设计、完善工作底稿和评价工具。这是企业、会计师事务所共同开发完成的工作，以保证测试的规范性。从《上证指引》、《深证指引》来看，都要求按照档案管理要求保留内控评价的工作底稿，上海规定10年。

　　第四，制定完善的评价工作方案。包括评价总体方案、技术方案、组织方案（工作组织、人员安排、时间进度）、具体工作计划等。

　　第五，进行人员培训，开展评价工作，撰写评价报告。

　　此外，内控建设过程中还应注意一些具体问题：

　　——处理好现有管理制度和新的内控体系之间的关系。上市公司内控体系建设不是全盘否定现有的管理制度，更多补充和完善，使其更加体系化。

　　——内部控制是全体员工的共同责任，而不仅仅是财务部门的事。从COSO框架、《上证指引》、《深证指引》中关于内控的定义我们可以看出，内控是公司董事会、管理层和全体员工共同参与的一项活动；从内控涉及的业务层面看，内控涉及到公司各业务环节层面。

　　——内部控制重点是对业务流程和重要风险进行控制。内控制度出现繁琐、形式化的倾向，就违背了内控建设提高经营效率和效果的目标要求。设计者应对重要业务流程和重要风险进行控制，区分企业风险顺序和重要程度进行设计。

　　——充分利用外部智慧。企业是内部控制的主体，而中介机构作可以充分发挥其专业经验和作为内部控制评估机构的优势，可以保证内部控制建设的专业标准。因此建立外部专家和企业内部专家共同工作的联合团队，是建设有效的内部控制的必经之路。

　　

　　作者单位：天职国际会计师事务所管理咨询部