论文部分内容阅读
摘要：一个完整的理论框架只有兼顾政策要求与企业需求，才能有效付诸实施。文章首先回顾、总结了我国内部控制规范系统建设近十年的相关政策文件，继而以政策要求为导向，结合上市公司的实际需求，提出了内控系统构建的理论框架与实践差异，进而对内控专门机构设置、关键流程与重要风险点的确定、人工控制测试抽样、控制缺陷认定等难点问题进行讨论。
关键词：内控系统构建；流程；专门机构；认定标准
一、 引言
为防止上市公司在内部控制建设与实施过程中出现“走过场”现象，2012年8月14日，财政部联合证监会发布通知，对原定于2012年在主板上市公司全面实施内部控制规范系统的规定进行更改，变更后，仅要求中央和地方国有控股上市公司在2012年执行相关规定，允许非国有控股等其他上市公司分步、分批于2013年、2014年公布年报时再批露内部控制评价报告、审计报告（财政部、证监会，2012）。原执行路径于2010年出台《企业内部控制配套指引》（下称“配套指引”）时敲定，《配套指引》联同2008年发布的《企业内部控制基本规范》（下称“基本规范”）标志着具有中国特色的，融合COSO内控经验的中国内部控制规范系统基本成型。然而，内部控制的两个主要文件均未对我国上市公司内部控制系统如何构建作出明确指导或说明，上市公司内控系统构建工作任重道远，本文基于政策要求与企业需求视角，融合COSO《企业风险管理——整合框架》的先进经验，试图整理我国上市公司内部控制系统构建的基本框架，以期为相关理论探讨与企业实务添砖加瓦。
二、 中国内部控制十年政策评析
COSO于1992年发布《内部控制--整合框架》，逐渐在世界范围内成为内控权威文献，相继被各国审计准则制定机构、监管机构广泛学习和借鉴。2004年，COSO发布《企业风险管理——整合框架》，相比1992年框架，其扩展了企业风险管理的主要目标，将风险管理“五要素”扩展为“八要素”，进一步突出和强调风险管理的重要性。在COSO风险管理框架先进经验的指导下，我国内部控制法律、法规建设工作取得了长足的发展和进步，自2004年以来，相关部门单独或联合颁布了一系列具有指导性和示范性的政策文件，简要归纳如表1。
依据文件适用的范围，可将以上9个文件划分为三类：第一类为中央企业内控规范文件（2个）；第二类为各交易所适用的内控规范文件（2个）；第三类为普适性内控规范文件（包括《基本规范》、《配套指引》、2个解释公告和1个通知，共5个）是针对各行业各上市公司提出的一般性要求。第一类和第二类文件是对第三类普适性文件的重要补充，上市公司应以第三类文件为基础，参照第一类、第二类文件的适用条款构建内控系统。遗憾的是，以上文件均未对我国上市公司内控系统构建的框架作出明确指导或说明，而这正是上市公司在构建内部控制系统过程中迫切需要的。
三、 上市公司内部控制系统构建的框架
1. 内控系统构建的理论框架。上市公司构建合理、完善的内控系统具有积极的意义：合理保证财务报告及其相关重要信息的真实性、完整性，保护投资者与其他利益相关者的利益；有效提高企业经营的效率和效果；促进企业发展战略目标的达成；合理保证企业经营合法、合规及主要资产的安全。目前，我国内部控制法规均未对上市公司内部控制系统的构建流程作出指导说明，根据COSO《内部控制——整合框架》、《基本规范》、《配套指引》的基本要求，参照 及陈国记（2012）等学者的观点，上市公司内控系统构建的理论框架大体可以提炼为三个环节，见表2。
2. 内控系统构建的实践差异。在企业内部控制建设实务中，内控系统构建的逻辑框架通常与表2的理论框架存在差异，主要表现在第一环节的第3项内容“识别流程中的关键控制活动，编制风险控制矩阵”，在实务中，该项工作内容通常需进一步改进并细化为以下工作内容：3.1开展制度缺口分析与控制差异分析；3.2完善控制措施设计，绘制业务流程图，编制内控手册；3.3内控手册实施与反馈。导致这一差异的主要原因是：一方面，企业在全面开展内部控制建设工作前鲜有关于各业务流程的描述文件，如标准操作流程（SOP）等；另一方面，企业现有内部控制基础薄弱，没有设计或执行应有的控制活动。因此，在确定重点与优先控制的风险点后，企业需以识别的关键风险点为基础，开展控制差异分析，比较“现有控制措施”与“预期控制措施”的差异，分析存在的漏洞，进而完善内部控制设计，填补制度设计缺口，绘制业务流程图（常用Visio专业软件）。在设计“预期控制措施”时，企业应根据实际经营管理情况，全面梳理各项相关规章管理制度，将内部控制的核心要求融入到各项管理系统当中，使内部控制真正为经营管理服务，提高经营的效率和效果；在绘制业务流程图时，应清晰地描述各项业务活动在各相关部门中如何发生、处理、记录及披露的过程，并有效嵌入复核、授权审批、岗位分离、定期经营分析等控制活动。具备条件的企业可以充分运用信息技术平台固化各业务流程，提高业务处理效率，增进信息共享的广度和深度，还可以减少内部控制与其他经营管理系统的冲突。
3. 内控系统构建的专门机构。内部控制系统框架的有效性和合理性最终在实施过程中得以体现，内控系统在实施过程中应由谁负责组织、协调？根据《基本规范》的要求，董事会负责企业内部控制的建立健全与有效实施，董事会指定专门委员会负责企业内部控制建设工作。一部分上市公司董事会下设风险管理委员会，风险管理委员会下设风险管理部负责牵头落实企业内部控制建设与推进工作，以保证工作的专业性和独立性；一部分上市公司在董事会下设总经理领导的内部控制工作小组（或称为“风控中心”），并由总经理委托董事会风险管理委员会管理，内部控制的工作实际由风险管理委员会组织、协调，这样的架构设计（由总经理领导）有助于体现内部控制工作的权威，减少内部控制推进过程中与经营管理系统的摩擦。内部控制构建专门机构的组织形式并没有一个固化的模式，企业可以根据现有的治理结构、结合管理层特征设计合理的机构模式。少数企业受现有岗位编制、专业人才储备等条件限制，可能尚不具备成立内控专门机构的条件，可以暂时把内控管理职能划归至现有机构，如内部审计部门，简化组织架构。总之，不同企业应根据企业规模、组织架构等基本情况成立专门机构负责组织协调内部控制的建立实施及日常工作（五部委，2012）。
关键词：内控系统构建；流程；专门机构；认定标准
一、 引言
为防止上市公司在内部控制建设与实施过程中出现“走过场”现象，2012年8月14日，财政部联合证监会发布通知，对原定于2012年在主板上市公司全面实施内部控制规范系统的规定进行更改，变更后，仅要求中央和地方国有控股上市公司在2012年执行相关规定，允许非国有控股等其他上市公司分步、分批于2013年、2014年公布年报时再批露内部控制评价报告、审计报告（财政部、证监会，2012）。原执行路径于2010年出台《企业内部控制配套指引》（下称“配套指引”）时敲定，《配套指引》联同2008年发布的《企业内部控制基本规范》（下称“基本规范”）标志着具有中国特色的，融合COSO内控经验的中国内部控制规范系统基本成型。然而，内部控制的两个主要文件均未对我国上市公司内部控制系统如何构建作出明确指导或说明，上市公司内控系统构建工作任重道远，本文基于政策要求与企业需求视角，融合COSO《企业风险管理——整合框架》的先进经验，试图整理我国上市公司内部控制系统构建的基本框架，以期为相关理论探讨与企业实务添砖加瓦。
二、 中国内部控制十年政策评析
COSO于1992年发布《内部控制--整合框架》，逐渐在世界范围内成为内控权威文献，相继被各国审计准则制定机构、监管机构广泛学习和借鉴。2004年，COSO发布《企业风险管理——整合框架》，相比1992年框架，其扩展了企业风险管理的主要目标，将风险管理“五要素”扩展为“八要素”，进一步突出和强调风险管理的重要性。在COSO风险管理框架先进经验的指导下，我国内部控制法律、法规建设工作取得了长足的发展和进步，自2004年以来，相关部门单独或联合颁布了一系列具有指导性和示范性的政策文件，简要归纳如表1。
依据文件适用的范围，可将以上9个文件划分为三类：第一类为中央企业内控规范文件（2个）；第二类为各交易所适用的内控规范文件（2个）；第三类为普适性内控规范文件（包括《基本规范》、《配套指引》、2个解释公告和1个通知，共5个）是针对各行业各上市公司提出的一般性要求。第一类和第二类文件是对第三类普适性文件的重要补充，上市公司应以第三类文件为基础，参照第一类、第二类文件的适用条款构建内控系统。遗憾的是，以上文件均未对我国上市公司内控系统构建的框架作出明确指导或说明，而这正是上市公司在构建内部控制系统过程中迫切需要的。
三、 上市公司内部控制系统构建的框架
1. 内控系统构建的理论框架。上市公司构建合理、完善的内控系统具有积极的意义：合理保证财务报告及其相关重要信息的真实性、完整性，保护投资者与其他利益相关者的利益；有效提高企业经营的效率和效果；促进企业发展战略目标的达成；合理保证企业经营合法、合规及主要资产的安全。目前，我国内部控制法规均未对上市公司内部控制系统的构建流程作出指导说明，根据COSO《内部控制——整合框架》、《基本规范》、《配套指引》的基本要求，参照 及陈国记（2012）等学者的观点，上市公司内控系统构建的理论框架大体可以提炼为三个环节，见表2。
2. 内控系统构建的实践差异。在企业内部控制建设实务中，内控系统构建的逻辑框架通常与表2的理论框架存在差异，主要表现在第一环节的第3项内容“识别流程中的关键控制活动，编制风险控制矩阵”，在实务中，该项工作内容通常需进一步改进并细化为以下工作内容：3.1开展制度缺口分析与控制差异分析；3.2完善控制措施设计，绘制业务流程图，编制内控手册；3.3内控手册实施与反馈。导致这一差异的主要原因是：一方面，企业在全面开展内部控制建设工作前鲜有关于各业务流程的描述文件，如标准操作流程（SOP）等；另一方面，企业现有内部控制基础薄弱，没有设计或执行应有的控制活动。因此，在确定重点与优先控制的风险点后，企业需以识别的关键风险点为基础，开展控制差异分析，比较“现有控制措施”与“预期控制措施”的差异，分析存在的漏洞，进而完善内部控制设计，填补制度设计缺口，绘制业务流程图（常用Visio专业软件）。在设计“预期控制措施”时，企业应根据实际经营管理情况，全面梳理各项相关规章管理制度，将内部控制的核心要求融入到各项管理系统当中，使内部控制真正为经营管理服务，提高经营的效率和效果；在绘制业务流程图时，应清晰地描述各项业务活动在各相关部门中如何发生、处理、记录及披露的过程，并有效嵌入复核、授权审批、岗位分离、定期经营分析等控制活动。具备条件的企业可以充分运用信息技术平台固化各业务流程，提高业务处理效率，增进信息共享的广度和深度，还可以减少内部控制与其他经营管理系统的冲突。
3. 内控系统构建的专门机构。内部控制系统框架的有效性和合理性最终在实施过程中得以体现，内控系统在实施过程中应由谁负责组织、协调？根据《基本规范》的要求，董事会负责企业内部控制的建立健全与有效实施，董事会指定专门委员会负责企业内部控制建设工作。一部分上市公司董事会下设风险管理委员会，风险管理委员会下设风险管理部负责牵头落实企业内部控制建设与推进工作，以保证工作的专业性和独立性；一部分上市公司在董事会下设总经理领导的内部控制工作小组（或称为“风控中心”），并由总经理委托董事会风险管理委员会管理，内部控制的工作实际由风险管理委员会组织、协调，这样的架构设计（由总经理领导）有助于体现内部控制工作的权威，减少内部控制推进过程中与经营管理系统的摩擦。内部控制构建专门机构的组织形式并没有一个固化的模式，企业可以根据现有的治理结构、结合管理层特征设计合理的机构模式。少数企业受现有岗位编制、专业人才储备等条件限制，可能尚不具备成立内控专门机构的条件，可以暂时把内控管理职能划归至现有机构，如内部审计部门，简化组织架构。总之，不同企业应根据企业规模、组织架构等基本情况成立专门机构负责组织协调内部控制的建立实施及日常工作（五部委，2012）。