论文部分内容阅读
关键词：内部控制 认知 工作方法 实施落地
“内部控制”已成为央企、国企和上市公司的热门词汇，不过大家态度不同，有的公司对它热烈欢迎，有的则对它诚惶诚恐，也有的对它嗤之以鼻，表面上恭恭敬敬，实则敷衍了事，或者避而远之。总体来说，央企、大型国企和大型上市公司对内部控制比较重视，也做得较好，但也有许多上市公司抱着应付证监会审查的心态，形式化的开展合规型内部控制体系建设，而没有真正结合企业实际，深耕细作，把提高基础管理水平作为基本目标。这些上市公司存在以下几类典型问题。
一、认知问题
内部控制是比较新的管理概念，大多数企业管理者对它不甚了解。对于内部控制的误解，诸如“是对管理层权利的牵制与约束”、“会降低企业运营效率”、“是途耗成本的工作，并不能为企业带来多大价值”、“是证监会的要求，我们只需满足监管要求即可，不必花太大力气去做”、“内部控制体系建设很简单，证监会审查那关好过得很”等等，并不鲜见。对于管理者秉持这种观念的上市公司，笔者深感担忧。
首先，没有切实把基础管理水平提升作为内部控制体系建设的根本目的。
每个企业不论大小都有内部控制，只是未形成完整的管理体系，它是企业新型核心竞争力的重要体现。在企业生命周期中的每个重要阶段，基础管理水平都需要进行阶段性提升，内部控制亦是如此。然而，当企业规模达到一定时候，原有的分散型内部控制已难以提升，必须进行体系化建设，才能使企业管理水平上升到新的台阶。而且，当今衡量大型企业综合管理水平的重要标准之一就是内部控制水平，只有真正重视，认真开展内部控制体系建设，才能进一步提升基础管理水平，实现可持续发展，保障战略目标实现。
其次，没有认识到内部控制体系给企业带来的价值。
一位经济学家曾说“企业利润=销售总额-总成本-不可预知损失”。内部控制既能帮助企业增长销售额，又能减少成本，还能减少损失。
从销售管理角度来讲，有的企业并未做好充分地市场调查及预测就盲目研发或推出新产品，同时伴随着定价机制不合理、销售策略不灵活、信用管理跟不上、货款收不回等问题，最终导致销售总额下降，这就是典型的销售管理内部控制缺失。《内部控制配套指引》第9号——销售业务第五条说到，“企业应当加强市场调查，合理确定定价机制和信用方式，根据市场变化及时调整销售策略，灵活运用销售折扣、销售折让、信用销售、代销和广告宣传等多种策略和营销方式，促进销售目标实现，不断提高市场占有率。”
从成本管理角度来讲，成本控制已蕴含于内部控制体系的各个环节，使企业成本总额合理降低。《内部控制配套指引》第7号——采购业务第五条说到，“企业的采购业务应当集中，避免多头采购或分散采购，以提高采购业务效率，降低采购成本，堵塞管理漏洞”；《内部控制配套指引》第14号——财务报告第八条说到，“各项费用、成本的确认应当符合规定，不得随意改变费用、成本的确认标准或计量方法，虚列、多列、不列或者少列费用、成本。”
不可预知损失指的是由于舞弊、造假、诉讼、盗窃、客户退换货、自然灾害等难以预知的风险事件带来的企业经济损失，而内部控制体系的基本作用就是防范这些风险事件的发生，或者降低其发生后带来的经济损失。
再次，错误地以为内部控制很容易通过证监会审查。
2011年，273家试点上市公司进行了内部控制体系建设，总体上取得了可喜成果。然而，其中仍有少数上市公司抱着侥幸心理，没有认真开展此项工作，在会计师事务所进行内部控制审计时发现大量内部控制缺陷，结果受到证监会公开批评，影响了公司形象，导致股价连续下跌，真是因小失大。
究其原因，一方面是这些上市公司没有认真开展内部控制体系建设，或者仅针对部分模块进行建设，另一方面是误以为《内部控制自我评价报告》还可以像以前一样由审计部关在办公室自己编写。
按照2010《企业内部控制配套指引》要求，新的自我评价不再像以前一样仅针对财务报告，而是全面性的测试与评价（至少包括指引中18个方面），需要公司各部门共同参与，其评价工作底稿也必须留档作为审计证据。如果在体系建设时就偷工减料，在进行测试及自我评价时自然是漏洞百出，被审计出大量缺陷也就不足为奇了。
二、工作方法问题
《企业内部控制基本规范》及其配套指引只是给出了内部控制体系框架及18个方面的要求，若没有深入结合企业实际情况，采取合适的方法推进，很容易导致推进困难，成果漏洞百出，不仅难以达到提升基础管理水平的目的，反而会降低企业运营效率。
（一）领导层没有高度重视，缺少有效组织、授权及考核。
内部控制体系建设包含公司运营管理各个层面，涉及大量的制度修订、流程文档及控制矩阵编写工作，必须公司所有部门参与，但很多其他部门认为这是审计部（或其他主责部门）的事情，于是敷衍了事的完成自己部门的工作，或者干脆推给审计部做，造成项目迟滞，推进困难，质量下降。因此，公司领导层必须高度重视这项工作，亲自担任项目小组领导，定期检核项目成果，纳入绩效考核，并给予审计部足够的授权，让它能够组织、协调各部门参与，共同完成这个项目。
（二）项目预算不足，项目方案只为通过证监会审查而设计
内部控制体系建设最大的成本投入是聘请咨询公司。国内能够提供内部控制服务的咨询公司有十几家，但报价相差较大，这是由咨询公司的品牌实力、专家实力、项目经验、项目方案及服务质量等多项因素共同决定的。这两年有些上市公司投入预算严重不足，最终只能选择低价格的小咨询公司进行合作，结果服务质量大打折扣，即使勉强通过了证监会审查或审计，但建设成果不实用、不适用，没有真正给企业带来价值。此外，一些知名咨询公司为了降低报价获得项目，严重削减项目方案，削减顾问及专家投入，口口声声表示以基础管理提升为目标，实则仅提供纯合规型方案，而客户在前期往往看不出这一点。这种忽视客户价值的商业行为，既有违商业道德，也不利于企业长足发展。
（三）没有以集团整体的视角看待内部控制体系建设与运作。 上市公司大多为集团型企业，进行内部控制体系建设必须站在集团整体高度。只有充分考虑总部对不同产业板块、不同子公司的管控问题，将集团管控思想融入内部控制体系，才能真正建设符合集团型企业需要，能够实现跨层级运作的内部控制体系。然而，很多咨询公司为了降低项目难度、削减成本，刻意回避这个问题，而客户也往往忽略这一点。最终结果是，总部与不同产业板块、不同子公司的内部控制体系衔接不畅，权责不清，流程不明，控制强度把握不好，不仅降低集团管控水平，甚至可能诱发重大风险事件发生。
三、实施落地方案
内部控制体系实施落地比体系建设更难，这是大家的共识。作为一套新的管理体系，企业大多数员工是持排斥心理的，有些上市公司没有采取合适的实施落地方案，使得内部控制体系逐步流于形式。
（一）没有制定详细的实施计划，循序渐进、分步推进。
有些上市公司完成内部控制体系建设后，马上召开经理会、董事会，向证监会汇报并公开发布内部控制体系成果，然后动员全员开始执行。结果是大家执行起来不知道该做什么，或者问题重重，一些忙碌的部门根本就没有执行。究其原因是没有事先制定详细的实施计划。一般来说，应当先抽取3-5个重点部门及试点子公司先试行3-6个月，第4个月对发现的问题集中调整修订，然后逐步向其他部门及子公司铺开。同时，实施过程中应当进行足够的辅导、培训及跟踪检查，帮助大家逐步改变以前的工作习惯，适应新的管理体系要求。
（二）没有制定体系运行配套制度及流程。
内部控制体系运行配套制度至少应包括《内部控制体系工作细则》、《内部控制监督管理办法》、《内部控制绩效考核管理办法》及《内部控制测试及自我评价工作细则》等四大制度及相应的配套流程。其中，内部控制绩效考核指标制定及实施的难度最大，很多咨询公司采取刻意回避的态度或做得不实，直到客户实施起来，才发现没有合理的绩效考核很难持续推行下去。
（三）没有认识到内部控制水平提升是一项长期工作。
有些上市公司以为完成了内部控制体系建设，通过了证监会审查和外部审计就大功告成了，其实这只是完成了前期工作而已。内部控制水平的持续提升才是重中之重，其工作内容至少包括持续性地培训、风险评估、缺陷记录及整改、内部控制人才培养、内控与风险文化建设等，未来时机成熟时还可以升级为全面风险管理体系，甚至可以引入全面风险管理信息系统，从人工化推向自动化。
以上根据笔者近年在风险与内控咨询领域的亲身经历所总结，上市公司在进行内部控制体系建设过程中的常见错误，希望这些问题能引起更多重视，有更多的上市公司正确严肃地对待内部控制。
“内部控制”已成为央企、国企和上市公司的热门词汇，不过大家态度不同，有的公司对它热烈欢迎，有的则对它诚惶诚恐，也有的对它嗤之以鼻，表面上恭恭敬敬，实则敷衍了事，或者避而远之。总体来说，央企、大型国企和大型上市公司对内部控制比较重视，也做得较好，但也有许多上市公司抱着应付证监会审查的心态，形式化的开展合规型内部控制体系建设，而没有真正结合企业实际，深耕细作，把提高基础管理水平作为基本目标。这些上市公司存在以下几类典型问题。
一、认知问题
内部控制是比较新的管理概念，大多数企业管理者对它不甚了解。对于内部控制的误解，诸如“是对管理层权利的牵制与约束”、“会降低企业运营效率”、“是途耗成本的工作，并不能为企业带来多大价值”、“是证监会的要求，我们只需满足监管要求即可，不必花太大力气去做”、“内部控制体系建设很简单，证监会审查那关好过得很”等等，并不鲜见。对于管理者秉持这种观念的上市公司，笔者深感担忧。
首先，没有切实把基础管理水平提升作为内部控制体系建设的根本目的。
每个企业不论大小都有内部控制，只是未形成完整的管理体系，它是企业新型核心竞争力的重要体现。在企业生命周期中的每个重要阶段，基础管理水平都需要进行阶段性提升，内部控制亦是如此。然而，当企业规模达到一定时候，原有的分散型内部控制已难以提升，必须进行体系化建设，才能使企业管理水平上升到新的台阶。而且，当今衡量大型企业综合管理水平的重要标准之一就是内部控制水平，只有真正重视，认真开展内部控制体系建设，才能进一步提升基础管理水平，实现可持续发展，保障战略目标实现。
其次，没有认识到内部控制体系给企业带来的价值。
一位经济学家曾说“企业利润=销售总额-总成本-不可预知损失”。内部控制既能帮助企业增长销售额，又能减少成本，还能减少损失。
从销售管理角度来讲，有的企业并未做好充分地市场调查及预测就盲目研发或推出新产品，同时伴随着定价机制不合理、销售策略不灵活、信用管理跟不上、货款收不回等问题，最终导致销售总额下降，这就是典型的销售管理内部控制缺失。《内部控制配套指引》第9号——销售业务第五条说到，“企业应当加强市场调查，合理确定定价机制和信用方式，根据市场变化及时调整销售策略，灵活运用销售折扣、销售折让、信用销售、代销和广告宣传等多种策略和营销方式，促进销售目标实现，不断提高市场占有率。”
从成本管理角度来讲，成本控制已蕴含于内部控制体系的各个环节，使企业成本总额合理降低。《内部控制配套指引》第7号——采购业务第五条说到，“企业的采购业务应当集中，避免多头采购或分散采购，以提高采购业务效率，降低采购成本，堵塞管理漏洞”；《内部控制配套指引》第14号——财务报告第八条说到，“各项费用、成本的确认应当符合规定，不得随意改变费用、成本的确认标准或计量方法，虚列、多列、不列或者少列费用、成本。”
不可预知损失指的是由于舞弊、造假、诉讼、盗窃、客户退换货、自然灾害等难以预知的风险事件带来的企业经济损失，而内部控制体系的基本作用就是防范这些风险事件的发生，或者降低其发生后带来的经济损失。
再次，错误地以为内部控制很容易通过证监会审查。
2011年，273家试点上市公司进行了内部控制体系建设，总体上取得了可喜成果。然而，其中仍有少数上市公司抱着侥幸心理，没有认真开展此项工作，在会计师事务所进行内部控制审计时发现大量内部控制缺陷，结果受到证监会公开批评，影响了公司形象，导致股价连续下跌，真是因小失大。
究其原因，一方面是这些上市公司没有认真开展内部控制体系建设，或者仅针对部分模块进行建设，另一方面是误以为《内部控制自我评价报告》还可以像以前一样由审计部关在办公室自己编写。
按照2010《企业内部控制配套指引》要求，新的自我评价不再像以前一样仅针对财务报告，而是全面性的测试与评价（至少包括指引中18个方面），需要公司各部门共同参与，其评价工作底稿也必须留档作为审计证据。如果在体系建设时就偷工减料，在进行测试及自我评价时自然是漏洞百出，被审计出大量缺陷也就不足为奇了。
二、工作方法问题
《企业内部控制基本规范》及其配套指引只是给出了内部控制体系框架及18个方面的要求，若没有深入结合企业实际情况，采取合适的方法推进，很容易导致推进困难，成果漏洞百出，不仅难以达到提升基础管理水平的目的，反而会降低企业运营效率。
（一）领导层没有高度重视，缺少有效组织、授权及考核。
内部控制体系建设包含公司运营管理各个层面，涉及大量的制度修订、流程文档及控制矩阵编写工作，必须公司所有部门参与，但很多其他部门认为这是审计部（或其他主责部门）的事情，于是敷衍了事的完成自己部门的工作，或者干脆推给审计部做，造成项目迟滞，推进困难，质量下降。因此，公司领导层必须高度重视这项工作，亲自担任项目小组领导，定期检核项目成果，纳入绩效考核，并给予审计部足够的授权，让它能够组织、协调各部门参与，共同完成这个项目。
（二）项目预算不足，项目方案只为通过证监会审查而设计
内部控制体系建设最大的成本投入是聘请咨询公司。国内能够提供内部控制服务的咨询公司有十几家，但报价相差较大，这是由咨询公司的品牌实力、专家实力、项目经验、项目方案及服务质量等多项因素共同决定的。这两年有些上市公司投入预算严重不足，最终只能选择低价格的小咨询公司进行合作，结果服务质量大打折扣，即使勉强通过了证监会审查或审计，但建设成果不实用、不适用，没有真正给企业带来价值。此外，一些知名咨询公司为了降低报价获得项目，严重削减项目方案，削减顾问及专家投入，口口声声表示以基础管理提升为目标，实则仅提供纯合规型方案，而客户在前期往往看不出这一点。这种忽视客户价值的商业行为，既有违商业道德，也不利于企业长足发展。
（三）没有以集团整体的视角看待内部控制体系建设与运作。 上市公司大多为集团型企业，进行内部控制体系建设必须站在集团整体高度。只有充分考虑总部对不同产业板块、不同子公司的管控问题，将集团管控思想融入内部控制体系，才能真正建设符合集团型企业需要，能够实现跨层级运作的内部控制体系。然而，很多咨询公司为了降低项目难度、削减成本，刻意回避这个问题，而客户也往往忽略这一点。最终结果是，总部与不同产业板块、不同子公司的内部控制体系衔接不畅，权责不清，流程不明，控制强度把握不好，不仅降低集团管控水平，甚至可能诱发重大风险事件发生。
三、实施落地方案
内部控制体系实施落地比体系建设更难，这是大家的共识。作为一套新的管理体系，企业大多数员工是持排斥心理的，有些上市公司没有采取合适的实施落地方案，使得内部控制体系逐步流于形式。
（一）没有制定详细的实施计划，循序渐进、分步推进。
有些上市公司完成内部控制体系建设后，马上召开经理会、董事会，向证监会汇报并公开发布内部控制体系成果，然后动员全员开始执行。结果是大家执行起来不知道该做什么，或者问题重重，一些忙碌的部门根本就没有执行。究其原因是没有事先制定详细的实施计划。一般来说，应当先抽取3-5个重点部门及试点子公司先试行3-6个月，第4个月对发现的问题集中调整修订，然后逐步向其他部门及子公司铺开。同时，实施过程中应当进行足够的辅导、培训及跟踪检查，帮助大家逐步改变以前的工作习惯，适应新的管理体系要求。
（二）没有制定体系运行配套制度及流程。
内部控制体系运行配套制度至少应包括《内部控制体系工作细则》、《内部控制监督管理办法》、《内部控制绩效考核管理办法》及《内部控制测试及自我评价工作细则》等四大制度及相应的配套流程。其中，内部控制绩效考核指标制定及实施的难度最大，很多咨询公司采取刻意回避的态度或做得不实，直到客户实施起来，才发现没有合理的绩效考核很难持续推行下去。
（三）没有认识到内部控制水平提升是一项长期工作。
有些上市公司以为完成了内部控制体系建设，通过了证监会审查和外部审计就大功告成了，其实这只是完成了前期工作而已。内部控制水平的持续提升才是重中之重，其工作内容至少包括持续性地培训、风险评估、缺陷记录及整改、内部控制人才培养、内控与风险文化建设等，未来时机成熟时还可以升级为全面风险管理体系，甚至可以引入全面风险管理信息系统，从人工化推向自动化。
以上根据笔者近年在风险与内控咨询领域的亲身经历所总结，上市公司在进行内部控制体系建设过程中的常见错误，希望这些问题能引起更多重视，有更多的上市公司正确严肃地对待内部控制。