论文部分内容阅读
关键词:内部控制 认知 工作方法 实施落地
“内部控制”已成为央企、国企和上市公司的热门词汇,不过大家态度不同,有的公司对它热烈欢迎,有的则对它诚惶诚恐,也有的对它嗤之以鼻,表面上恭恭敬敬,实则敷衍了事,或者避而远之。总体来说,央企、大型国企和大型上市公司对内部控制比较重视,也做得较好,但也有许多上市公司抱着应付证监会审查的心态,形式化的开展合规型内部控制体系建设,而没有真正结合企业实际,深耕细作,把提高基础管理水平作为基本目标。这些上市公司存在以下几类典型问题。
一、认知问题
内部控制是比较新的管理概念,大多数企业管理者对它不甚了解。对于内部控制的误解,诸如“是对管理层权利的牵制与约束”、“会降低企业运营效率”、“是途耗成本的工作,并不能为企业带来多大价值”、“是证监会的要求,我们只需满足监管要求即可,不必花太大力气去做”、“内部控制体系建设很简单,证监会审查那关好过得很”等等,并不鲜见。对于管理者秉持这种观念的上市公司,笔者深感担忧。
首先,没有切实把基础管理水平提升作为内部控制体系建设的根本目的。
每个企业不论大小都有内部控制,只是未形成完整的管理体系,它是企业新型核心竞争力的重要体现。在企业生命周期中的每个重要阶段,基础管理水平都需要进行阶段性提升,内部控制亦是如此。然而,当企业规模达到一定时候,原有的分散型内部控制已难以提升,必须进行体系化建设,才能使企业管理水平上升到新的台阶。而且,当今衡量大型企业综合管理水平的重要标准之一就是内部控制水平,只有真正重视,认真开展内部控制体系建设,才能进一步提升基础管理水平,实现可持续发展,保障战略目标实现。
其次,没有认识到内部控制体系给企业带来的价值。
一位经济学家曾说“企业利润=销售总额-总成本-不可预知损失”。内部控制既能帮助企业增长销售额,又能减少成本,还能减少损失。
从销售管理角度来讲,有的企业并未做好充分地市场调查及预测就盲目研发或推出新产品,同时伴随着定价机制不合理、销售策略不灵活、信用管理跟不上、货款收不回等问题,最终导致销售总额下降,这就是典型的销售管理内部控制缺失。《内部控制配套指引》第9号——销售业务第五条说到,“企业应当加强市场调查,合理确定定价机制和信用方式,根据市场变化及时调整销售策略,灵活运用销售折扣、销售折让、信用销售、代销和广告宣传等多种策略和营销方式,促进销售目标实现,不断提高市场占有率。”
从成本管理角度来讲,成本控制已蕴含于内部控制体系的各个环节,使企业成本总额合理降低。《内部控制配套指引》第7号——采购业务第五条说到,“企业的采购业务应当集中,避免多头采购或分散采购,以提高采购业务效率,降低采购成本,堵塞管理漏洞”;《内部控制配套指引》第14号——财务报告第八条说到,“各项费用、成本的确认应当符合规定,不得随意改变费用、成本的确认标准或计量方法,虚列、多列、不列或者少列费用、成本。”
不可预知损失指的是由于舞弊、造假、诉讼、盗窃、客户退换货、自然灾害等难以预知的风险事件带来的企业经济损失,而内部控制体系的基本作用就是防范这些风险事件的发生,或者降低其发生后带来的经济损失。
再次,错误地以为内部控制很容易通过证监会审查。
2011年,273家试点上市公司进行了内部控制体系建设,总体上取得了可喜成果。然而,其中仍有少数上市公司抱着侥幸心理,没有认真开展此项工作,在会计师事务所进行内部控制审计时发现大量内部控制缺陷,结果受到证监会公开批评,影响了公司形象,导致股价连续下跌,真是因小失大。
究其原因,一方面是这些上市公司没有认真开展内部控制体系建设,或者仅针对部分模块进行建设,另一方面是误以为《内部控制自我评价报告》还可以像以前一样由审计部关在办公室自己编写。
按照2010《企业内部控制配套指引》要求,新的自我评价不再像以前一样仅针对财务报告,而是全面性的测试与评价(至少包括指引中18个方面),需要公司各部门共同参与,其评价工作底稿也必须留档作为审计证据。如果在体系建设时就偷工减料,在进行测试及自我评价时自然是漏洞百出,被审计出大量缺陷也就不足为奇了。
二、工作方法问题
《企业内部控制基本规范》及其配套指引只是给出了内部控制体系框架及18个方面的要求,若没有深入结合企业实际情况,采取合适的方法推进,很容易导致推进困难,成果漏洞百出,不仅难以达到提升基础管理水平的目的,反而会降低企业运营效率。
(一)领导层没有高度重视,缺少有效组织、授权及考核。
内部控制体系建设包含公司运营管理各个层面,涉及大量的制度修订、流程文档及控制矩阵编写工作,必须公司所有部门参与,但很多其他部门认为这是审计部(或其他主责部门)的事情,于是敷衍了事的完成自己部门的工作,或者干脆推给审计部做,造成项目迟滞,推进困难,质量下降。因此,公司领导层必须高度重视这项工作,亲自担任项目小组领导,定期检核项目成果,纳入绩效考核,并给予审计部足够的授权,让它能够组织、协调各部门参与,共同完成这个项目。
(二)项目预算不足,项目方案只为通过证监会审查而设计
内部控制体系建设最大的成本投入是聘请咨询公司。国内能够提供内部控制服务的咨询公司有十几家,但报价相差较大,这是由咨询公司的品牌实力、专家实力、项目经验、项目方案及服务质量等多项因素共同决定的。这两年有些上市公司投入预算严重不足,最终只能选择低价格的小咨询公司进行合作,结果服务质量大打折扣,即使勉强通过了证监会审查或审计,但建设成果不实用、不适用,没有真正给企业带来价值。此外,一些知名咨询公司为了降低报价获得项目,严重削减项目方案,削减顾问及专家投入,口口声声表示以基础管理提升为目标,实则仅提供纯合规型方案,而客户在前期往往看不出这一点。这种忽视客户价值的商业行为,既有违商业道德,也不利于企业长足发展。
(三)没有以集团整体的视角看待内部控制体系建设与运作。 上市公司大多为集团型企业,进行内部控制体系建设必须站在集团整体高度。只有充分考虑总部对不同产业板块、不同子公司的管控问题,将集团管控思想融入内部控制体系,才能真正建设符合集团型企业需要,能够实现跨层级运作的内部控制体系。然而,很多咨询公司为了降低项目难度、削减成本,刻意回避这个问题,而客户也往往忽略这一点。最终结果是,总部与不同产业板块、不同子公司的内部控制体系衔接不畅,权责不清,流程不明,控制强度把握不好,不仅降低集团管控水平,甚至可能诱发重大风险事件发生。
三、实施落地方案
内部控制体系实施落地比体系建设更难,这是大家的共识。作为一套新的管理体系,企业大多数员工是持排斥心理的,有些上市公司没有采取合适的实施落地方案,使得内部控制体系逐步流于形式。
(一)没有制定详细的实施计划,循序渐进、分步推进。
有些上市公司完成内部控制体系建设后,马上召开经理会、董事会,向证监会汇报并公开发布内部控制体系成果,然后动员全员开始执行。结果是大家执行起来不知道该做什么,或者问题重重,一些忙碌的部门根本就没有执行。究其原因是没有事先制定详细的实施计划。一般来说,应当先抽取3-5个重点部门及试点子公司先试行3-6个月,第4个月对发现的问题集中调整修订,然后逐步向其他部门及子公司铺开。同时,实施过程中应当进行足够的辅导、培训及跟踪检查,帮助大家逐步改变以前的工作习惯,适应新的管理体系要求。
(二)没有制定体系运行配套制度及流程。
内部控制体系运行配套制度至少应包括《内部控制体系工作细则》、《内部控制监督管理办法》、《内部控制绩效考核管理办法》及《内部控制测试及自我评价工作细则》等四大制度及相应的配套流程。其中,内部控制绩效考核指标制定及实施的难度最大,很多咨询公司采取刻意回避的态度或做得不实,直到客户实施起来,才发现没有合理的绩效考核很难持续推行下去。
(三)没有认识到内部控制水平提升是一项长期工作。
有些上市公司以为完成了内部控制体系建设,通过了证监会审查和外部审计就大功告成了,其实这只是完成了前期工作而已。内部控制水平的持续提升才是重中之重,其工作内容至少包括持续性地培训、风险评估、缺陷记录及整改、内部控制人才培养、内控与风险文化建设等,未来时机成熟时还可以升级为全面风险管理体系,甚至可以引入全面风险管理信息系统,从人工化推向自动化。
以上根据笔者近年在风险与内控咨询领域的亲身经历所总结,上市公司在进行内部控制体系建设过程中的常见错误,希望这些问题能引起更多重视,有更多的上市公司正确严肃地对待内部控制。
“内部控制”已成为央企、国企和上市公司的热门词汇,不过大家态度不同,有的公司对它热烈欢迎,有的则对它诚惶诚恐,也有的对它嗤之以鼻,表面上恭恭敬敬,实则敷衍了事,或者避而远之。总体来说,央企、大型国企和大型上市公司对内部控制比较重视,也做得较好,但也有许多上市公司抱着应付证监会审查的心态,形式化的开展合规型内部控制体系建设,而没有真正结合企业实际,深耕细作,把提高基础管理水平作为基本目标。这些上市公司存在以下几类典型问题。
一、认知问题
内部控制是比较新的管理概念,大多数企业管理者对它不甚了解。对于内部控制的误解,诸如“是对管理层权利的牵制与约束”、“会降低企业运营效率”、“是途耗成本的工作,并不能为企业带来多大价值”、“是证监会的要求,我们只需满足监管要求即可,不必花太大力气去做”、“内部控制体系建设很简单,证监会审查那关好过得很”等等,并不鲜见。对于管理者秉持这种观念的上市公司,笔者深感担忧。
首先,没有切实把基础管理水平提升作为内部控制体系建设的根本目的。
每个企业不论大小都有内部控制,只是未形成完整的管理体系,它是企业新型核心竞争力的重要体现。在企业生命周期中的每个重要阶段,基础管理水平都需要进行阶段性提升,内部控制亦是如此。然而,当企业规模达到一定时候,原有的分散型内部控制已难以提升,必须进行体系化建设,才能使企业管理水平上升到新的台阶。而且,当今衡量大型企业综合管理水平的重要标准之一就是内部控制水平,只有真正重视,认真开展内部控制体系建设,才能进一步提升基础管理水平,实现可持续发展,保障战略目标实现。
其次,没有认识到内部控制体系给企业带来的价值。
一位经济学家曾说“企业利润=销售总额-总成本-不可预知损失”。内部控制既能帮助企业增长销售额,又能减少成本,还能减少损失。
从销售管理角度来讲,有的企业并未做好充分地市场调查及预测就盲目研发或推出新产品,同时伴随着定价机制不合理、销售策略不灵活、信用管理跟不上、货款收不回等问题,最终导致销售总额下降,这就是典型的销售管理内部控制缺失。《内部控制配套指引》第9号——销售业务第五条说到,“企业应当加强市场调查,合理确定定价机制和信用方式,根据市场变化及时调整销售策略,灵活运用销售折扣、销售折让、信用销售、代销和广告宣传等多种策略和营销方式,促进销售目标实现,不断提高市场占有率。”
从成本管理角度来讲,成本控制已蕴含于内部控制体系的各个环节,使企业成本总额合理降低。《内部控制配套指引》第7号——采购业务第五条说到,“企业的采购业务应当集中,避免多头采购或分散采购,以提高采购业务效率,降低采购成本,堵塞管理漏洞”;《内部控制配套指引》第14号——财务报告第八条说到,“各项费用、成本的确认应当符合规定,不得随意改变费用、成本的确认标准或计量方法,虚列、多列、不列或者少列费用、成本。”
不可预知损失指的是由于舞弊、造假、诉讼、盗窃、客户退换货、自然灾害等难以预知的风险事件带来的企业经济损失,而内部控制体系的基本作用就是防范这些风险事件的发生,或者降低其发生后带来的经济损失。
再次,错误地以为内部控制很容易通过证监会审查。
2011年,273家试点上市公司进行了内部控制体系建设,总体上取得了可喜成果。然而,其中仍有少数上市公司抱着侥幸心理,没有认真开展此项工作,在会计师事务所进行内部控制审计时发现大量内部控制缺陷,结果受到证监会公开批评,影响了公司形象,导致股价连续下跌,真是因小失大。
究其原因,一方面是这些上市公司没有认真开展内部控制体系建设,或者仅针对部分模块进行建设,另一方面是误以为《内部控制自我评价报告》还可以像以前一样由审计部关在办公室自己编写。
按照2010《企业内部控制配套指引》要求,新的自我评价不再像以前一样仅针对财务报告,而是全面性的测试与评价(至少包括指引中18个方面),需要公司各部门共同参与,其评价工作底稿也必须留档作为审计证据。如果在体系建设时就偷工减料,在进行测试及自我评价时自然是漏洞百出,被审计出大量缺陷也就不足为奇了。
二、工作方法问题
《企业内部控制基本规范》及其配套指引只是给出了内部控制体系框架及18个方面的要求,若没有深入结合企业实际情况,采取合适的方法推进,很容易导致推进困难,成果漏洞百出,不仅难以达到提升基础管理水平的目的,反而会降低企业运营效率。
(一)领导层没有高度重视,缺少有效组织、授权及考核。
内部控制体系建设包含公司运营管理各个层面,涉及大量的制度修订、流程文档及控制矩阵编写工作,必须公司所有部门参与,但很多其他部门认为这是审计部(或其他主责部门)的事情,于是敷衍了事的完成自己部门的工作,或者干脆推给审计部做,造成项目迟滞,推进困难,质量下降。因此,公司领导层必须高度重视这项工作,亲自担任项目小组领导,定期检核项目成果,纳入绩效考核,并给予审计部足够的授权,让它能够组织、协调各部门参与,共同完成这个项目。
(二)项目预算不足,项目方案只为通过证监会审查而设计
内部控制体系建设最大的成本投入是聘请咨询公司。国内能够提供内部控制服务的咨询公司有十几家,但报价相差较大,这是由咨询公司的品牌实力、专家实力、项目经验、项目方案及服务质量等多项因素共同决定的。这两年有些上市公司投入预算严重不足,最终只能选择低价格的小咨询公司进行合作,结果服务质量大打折扣,即使勉强通过了证监会审查或审计,但建设成果不实用、不适用,没有真正给企业带来价值。此外,一些知名咨询公司为了降低报价获得项目,严重削减项目方案,削减顾问及专家投入,口口声声表示以基础管理提升为目标,实则仅提供纯合规型方案,而客户在前期往往看不出这一点。这种忽视客户价值的商业行为,既有违商业道德,也不利于企业长足发展。
(三)没有以集团整体的视角看待内部控制体系建设与运作。 上市公司大多为集团型企业,进行内部控制体系建设必须站在集团整体高度。只有充分考虑总部对不同产业板块、不同子公司的管控问题,将集团管控思想融入内部控制体系,才能真正建设符合集团型企业需要,能够实现跨层级运作的内部控制体系。然而,很多咨询公司为了降低项目难度、削减成本,刻意回避这个问题,而客户也往往忽略这一点。最终结果是,总部与不同产业板块、不同子公司的内部控制体系衔接不畅,权责不清,流程不明,控制强度把握不好,不仅降低集团管控水平,甚至可能诱发重大风险事件发生。
三、实施落地方案
内部控制体系实施落地比体系建设更难,这是大家的共识。作为一套新的管理体系,企业大多数员工是持排斥心理的,有些上市公司没有采取合适的实施落地方案,使得内部控制体系逐步流于形式。
(一)没有制定详细的实施计划,循序渐进、分步推进。
有些上市公司完成内部控制体系建设后,马上召开经理会、董事会,向证监会汇报并公开发布内部控制体系成果,然后动员全员开始执行。结果是大家执行起来不知道该做什么,或者问题重重,一些忙碌的部门根本就没有执行。究其原因是没有事先制定详细的实施计划。一般来说,应当先抽取3-5个重点部门及试点子公司先试行3-6个月,第4个月对发现的问题集中调整修订,然后逐步向其他部门及子公司铺开。同时,实施过程中应当进行足够的辅导、培训及跟踪检查,帮助大家逐步改变以前的工作习惯,适应新的管理体系要求。
(二)没有制定体系运行配套制度及流程。
内部控制体系运行配套制度至少应包括《内部控制体系工作细则》、《内部控制监督管理办法》、《内部控制绩效考核管理办法》及《内部控制测试及自我评价工作细则》等四大制度及相应的配套流程。其中,内部控制绩效考核指标制定及实施的难度最大,很多咨询公司采取刻意回避的态度或做得不实,直到客户实施起来,才发现没有合理的绩效考核很难持续推行下去。
(三)没有认识到内部控制水平提升是一项长期工作。
有些上市公司以为完成了内部控制体系建设,通过了证监会审查和外部审计就大功告成了,其实这只是完成了前期工作而已。内部控制水平的持续提升才是重中之重,其工作内容至少包括持续性地培训、风险评估、缺陷记录及整改、内部控制人才培养、内控与风险文化建设等,未来时机成熟时还可以升级为全面风险管理体系,甚至可以引入全面风险管理信息系统,从人工化推向自动化。
以上根据笔者近年在风险与内控咨询领域的亲身经历所总结,上市公司在进行内部控制体系建设过程中的常见错误,希望这些问题能引起更多重视,有更多的上市公司正确严肃地对待内部控制。