论文部分内容阅读
摘要：文章分析认为随着企业社会化程度的增强，企业内部控制从原来纯属“私”的性质开始呈现“公”的性质，负外部性的存在是引发企业内部控制监管的根本缘由。企业内部控制的监管应在确保“社会效率”和“公司效率”之间进行权衡，为此，应针对不同性质企业的内部控制以及企业内部控制的不同方面分别采取强制性和指导性相结合的监管政策。
关键词：内部控制；监管；强制性；指导性
一、 引言
所谓企业内部控制监管就是指企业主体以外的第三方通过各种方式对企业内控制度建设进行规范、强制和要求。但是对企业内控制度为何需要监管、如何实施监管以及监管应达到什么样的目标等一系列问题至今很少有专门的讨论，若不对这些问题进行认真思考并回答，有可能会影响内控监管政策的实施和最终效果，因此本文试图对上述问题进行分析和探讨。
二、 企业内部控制监管的缘起
监管的产生主要缘于市场失灵，经济性监管主要解决自然垄断、过度竞争、资源稀缺性问题，而社会性监管主要解决外部性、信息不充分、集体行动困难等问题。企业内部控制就其本质而言，是企业为实现其目标所设置的风险处理装置，是企业健康生存和发展的一种内在需求，属于企业内部管理的范畴，其本身并非“天然”属于监管的对象。内部控制的雏形自企业产生之日起就存在，内部控制已经历了相当长的发展历史，但对其进行监管的历史并不长，若从1977年美国颁布《反国外贿赂法案》（FCPA）对企业内部会计控制提出要求开始算起，也才足有三十年时间。全球普遍关注企业内部控制从20世纪90年代初才开始，之所以近年来开始对企业内部控制进行监管，主要是因为以下几方面原因：
1．公司社会化程度的提高使得公司内部控制开始具有外部性特征。公司社会化程度不仅受其本身发展规模的影响，而且受到各种外界因素的推动。如果一家公司规模大到可以与某一小国相抗衡，无论从其为国家、地方提供的财力、吸纳雇员的人数、提供的产品和服务等，其社会化程度都是不言而喻的。而资本市场发展、经济的全球化以及电子技术的发展带来的通讯便捷等因素更是促进了公司的社会化程度。这种进程的速度在20世纪80年代~90年代急剧加快，这使得公司尤其是对一国经济具有重要影响的大型公司由于内部控制不健全而导致的风险具有联动性和扩散性，从而使得单个企业内部控制不健全产生的风险具有外部性的特征，即其产生的风险损失不仅限于本企业主体及与其相关的利益主体，还可能会波及资本市场甚至一国经济的健康发展。21世纪初，安然、世通等大公司财务舞弊及破产案件就是最典型的例证，其不仅影响了本公司及相关的利益者，更重要的挫伤了投资者的信心，进而影响美国资本市场和经济的健康发展。这正是导致SOX法案出台的直接导火索。20世纪80年代~90年代发生在英国的国际信贷商业银行（BCBI）、英国报业巨头麦克斯韦（Maxwell）等一系列大公司破产案件之所以引发英国开始关注公司治理问题并进而对公司内部控制提出要求，也是出于一系列大公司财务舞弊及破产案件可能会影响到人们对英国公司会计行业及对伦敦作为国际金融中心动摇的担心（Adrian Cadbury，2005）。此外，各国政府对金融企业内部控制一般也都有较为严格的监管要求，这主要也是由于金融企业的风险具有较大的传染性和外部性，通过对金融企业内部控制进行监管可以要求其尽可能防范或内化相应的风险。
2． 政府监管理念的变化导致对企业内部控制的重视。自20世纪80年代以来以OCED国家为代表的发达国家开始对原有的管制政策进行反思，放松管制让位于监管改革，从干预主义转向监管治理（Christopher Clague，2006）。政府越来越认识到监管若能与公司“私的”内部控制结合起来可能会使得政府的监管政策更为有效，更容易为被监管者接受。以对公司内部控制活动进行治理和要求为依托实现公共监管目标可以减轻政府部门制定详细规则、实施严格监督等方面花费的大量精力和财力的压力（Michael Power，2004）。监管部门对企业内部控制的重视成为其制定放松管制政策的基础，放松管制并不意味着对企业的放任自流，而是要求加强对市场微观主体的风险控制，否则，容易引发放松管制的负面效应，增加市场竞争的无序。这是一些发达国家在20世纪70年代早期经历放松管制及监管改革尝试的经验教训。这也是各国在20世纪80年代~90年代开始关注企业内部控制建设，并通过各种方式对企业内部控制进行要求或规范的主要原因或背景之一。
对企业内部控制进行监管最为根本的原因在于一些企业所提供的内部控制产品质量水平没有达到社会的总体需求，而且这种不足将会而且已经引发社会、经济发展的动荡和不安，因此，必须采取外部力量推动企业内部控制的建设，其中监管是一支非常重要的外部力量。而监管的方式有多种，不同的监管方式适用于不同类型的被监管主体和所要监管的内容，即使是对于性质相同的被监管主体及内容也可能会采取不同的监管方式，而不同的监管方式其实施成本和效率是不同的。
三、 企业内部控制监管：社会效率和公司效率之间的权衡
企业自身制定的内控制度主要立足点在于企业自身的需求，企业作为一种经济组织，其首要功能履行经济功能，企业通过有效承受和解决各种风险而获得利润，因此，对于风险水平的“可容度”是以企业个体偏好（尤其是企业最高管理层）为依据的，这也是企业制定内控制度的决策依据，即每一个企业按照成本效益原则判断认为其建立的内部控制能妥善处理好其与相关利益方的关系，就达到了内部控制制度建设的“合理”水平。但是，并非所有的企业都能恰当地评估其可能承受的风险和妥善地处理好其应该处理好的风险，否则就不会有公司财务舞弊案件的发生。事实上，国内外公司财务舞弊案件从来就没有停止过，只是当公司财务舞弊案件引发的各种风险大到会削弱投资者的信心，影响本国资本市场甚至社会经济的健康发展时，政府往往就会采取相应的举措进行整治，对企业内部控制建设提出规范和要求往往是举措之一。
因此，企业内部控制监管的总目标就是要通过对企业内部控制的建设的规范和要求实现公司引发社会整体风险的最小化，以达到维护资本市场的安定和促进社会整体经济的发展——我们将其称之为实现“社会效率”的目标。如何判断公司引发社会整体风险损失的最小化是制定监管企业内部控制政策的关键和核心。但问题并非这么简单，一方面，公司可能引发的社会整体风险损失不仅在没有发生之前，即使实际发生了也往往难以直接衡量；另一方面，并非公司引发的所有风险都应通过监管方式来解决，如果是那样就等于否定了市场竞争的作用，也否定了公司是“自主”竞争的主体，显然，这是不妥当的。公司法在制定过程中之所以要分别不同内容采取强制性、赋权性和任意性规则（梅尔文·爱森伯格，1989）就是考虑到在对公司组织和行为进行最基本要求的前提下赋予其自治及对效率的追求。因此，对公司内部控制制定监管政策必须在市场与监管之间进行权衡，必须在社会效率和公司效率之间进行权衡，必须在社会风险和公司风险之间进行权衡。
从各国引发外界关注企业内部控制的事件来看，大量公司舞弊案件往往是导火索。但公司舞弊也并非必然引致对企业内部控制监管，历史地看，最早公司立法的主要动因之一也是公司舞弊。1929年大危机也与许多公司舞弊有关，针对大危机美议会着手立法时，其中一个中立集团主张制定与英国1900年《公司法》类似的披露法（弗莱德?斯考森等，2006），1933年《证券法》及1934年《证券交易法》的核心内容就是加强信息披露，1934年成立的SEC的职责就是确保公众投资者获得与证券投资相关的、所有重大事实“充分而公允”的信息，虽然这些要求隐含着对公司“内部控制”的要求，但是并没有在法律或监管规定中明确，这说明对企业内部控制的干预并非公司财务舞弊的必然。因为公司内控制度就其本质而言属于公司内部的制度，法律不恰当的干预会“侵蚀”公司的自主权。这是各国制定企业内控监管制度时需要把握的一项重要原则，即企业内控制度监管政策在促进社会整体效率的增加不以损害整体公司效率为代价。
四、 企业内部控制监管：强制性还是指引性？
无可回避的历史事实是企业内部控制开始受外界关注或成为政府立法部门的要求是基于人们对其与财务报表质量之间关系的认识，但是随着人们对内部控制的认识的深入，内部控制的功能已不再局限于财务或会计方面，20世纪90年代先后颁布的内控框架均突破了原来狭义的内部控制概念和内容 ，如1992年COSO报告提出内部控制的三目标，即经营效率和效果、财务报告的可靠性、遵循相应的法律和法规，使人们对内部控制的认识已突破了原有的狭义的理解，随后加拿大特许会计师协会（CICA）颁布的CoCo报告、英格兰及威尔士特许会计师协会（ICAEW）颁布的Turnbull报告也都采用广义的内部控制概念，甚至比COSO报告关于内部控制的定义还要广，如CoCo报告关于“报告”可靠性的目标，其中“报告”不仅包括外部报告，还包括内部报告；遵循性目标则不仅指遵循适用的法律、法规，还包括遵循企业内部规章制度 。Turnbull报告指出内部控制要能对企业所面临的重要风险做出适当反应使得经营更为有效，风险不仅包括财务方面，还包括商业、经营、遵循及其他方面；报告目标也包括内部和外部报告的质量；遵循性也不仅包括对法律法规的遵循，还包括对企业商业行为守则等内部政策的遵循。从现有内控指引框架来看，内部控制所涉及的内容几乎包括企业经营管理过程中的各个方面。如果从监管角度对企业内部控制提出要求，显然应当区别不同的监管目标采取不同的监管政策和方法。任何一项监管政策的制定，监管者都应当能清楚地回答以下问题：要监管什么？为什么要监管？如何实施监管？
“要监管什么”也就是要回答制定该项监管政策的直接目标，以便清晰界定监管的对象和范围，就企业内部控制而言，如果是为了解决会计信息失真、财务报告舞弊顽疾，就得明确内部控制前面的定语，如“内部会计控制”、“财务报告内部控制”；如果是为了更好地缓解资本市场上投资者投资决策时信息的不对称，除了提供面向过去的财务报告信息以外，还得要求企业提供能解读未来风险的信息，即企业是如何采取各项内部控制措施应对风险的，这时的内部控制就应是广义的。
“为什么要监管”是要求监管者在制定监管政策时，要弄明白是否非得要监管，有没有其他可以替代的方式，如果这个问题不清楚回答，可能会导致监管过度，或者引起监管效率损失或者导致监管政策失效。譬如，企业内部控制的经营效率和效果目标，就不应属于监管的范畴。因为作为市场竞争的主体——企业的立身之本就是追求经营的效率和效果，市场竞争是促进企业内部控制不违背而且要有助于提高效率和效果的最有效的机制，无需监管多此一举。关于遵循性目标，法律法规本身就隐含着对其的遵循要求，如果法律法规制定得具有可行性、可执行性，一旦违背就会受到相应的处罚，因此，若对内部控制的此类目标进行监管，显然不太符合逻辑，是一种循环反复。而若是对本企业内部规章或商业守则的遵循，理应是企业内部控制自身所有解决的，也是企业制定内部控制制定的主要目标之一，若外部监管对之进行强制要求有失合理性。
“如何实施监管”就是要充分考虑监管政策实施的效果及目标选择恰当的监管方式。按照监管政策实施是否具有强制性，可以分为强制性监管和指引性监管。强制性监管是指监管政策的执行具有强制性、统一性，若达不到相应标准则存在相应的处罚条款。强制性监管比较适用于那些必须要达到的最低要求；指导性监管则往往是指由非政府部门或自律组织通过颁布指引性文件指导企业应达到的“最佳实践”，之所以要采取指导性监管是因为一些“最佳实践”无法通过强制性规范予以要求，一些需要作出定性或主观判断的内容也难以通过强制性要求达到实质性遵循，此外，由于指导性监管政策的制定往往由专业性机构制定，更为贴近实践，而且也便于与时俱进地修订，这就易被监管单位接受和执行。
但是若指导性监管纯粹是“自愿”执行，没有任何辅助实施机制，也会面临着这样的危险：“好”企业“自觉”执行了，而本应属于被重点监管的对象却依然如故。因此，一般在采用指导性监管政策时，往往要辅之以相应的激励和督促措施，如可以采取已被欧盟国家广为采用的“要么遵循，要么解释”（Comply or Explain）的信息披露要求，即往往依托于证券交易所的上市规则，要求上市公司在年报中必须披露遵照执行内部控制的情况，也就是说，披露规定是“强制性”的，不可豁免，但是对于是否完全遵照执行内控条款则可以“自愿选择”，但要求对于没有执行的条款进行说明并解释没有这样做的原因。这样做是寄希望于通过市场的力量加以促进，同时也赋予企业以“自由选择”和“申辩”的余地，这种方式也可称之为“市场监管”。
“市场监管”方式是否能有效发挥作用，一方面依赖于公司披露的内控信息的质量，另一方面依赖于市场参与者对企业内控信息的关注程度。内控信息的质量，不仅包括内控信息的可靠性，还应包括内控信息是否具有“增量信息”，也就是说相比于一般年报中披露的财务报告信息是否为市场参与者（尤其是投资者）增加了更多有助于了解公司的情况的信息。财务报告信息是基于历史的、公司已经实现的业绩，而投资者是投资于公司的未来，如果公司能在内控信息披露中披露关于公司是如何采取措施管理其面临的风险信息会更有助于投资者决策。投资者对内控信息的关注与公司提供内控信息的质量之间的关系是相辅相成、相互促进的，随着机构投资者的兴起，投资者关注公司非财务信息的兴趣日渐增加，这会有力促进公司披露高质量内控信息，高质量内控信息的披露也会吸引投资者的关注。
上述方法比较适用于上市公司，对于非上市公司可以通过行业协会、民间组织团体等采取适合本领域的方法，如行业通报、驱逐出行业协会等方式予以惩罚或促进。结合上述关于内部控制的不同功能和目标以及强制性监管和指导性监管各自的优缺点，我们认为，应在这不同是监管方式之间寻求监管效益和效率的平衡。
一般而言，对于可能会引发公众普遍关注并容易产生负面影响的内部控制方面，如财务报告内部控制应采取强制性监管，一旦采取强制性监管就必须有配套的执行机制（如监管标准的设立、达不到标准时的惩治措施等），否则会削弱其强制性效果。而对于需要鼓励、倡导的内部控制的广义方面，如除了财务报告风险以外的其他方面的风险控制，就比较适合采用指导性监管，借助市场机制或行业协会等自律组织的支持和配合，通过指导性监管有助于促进企业的“自愿”遵循，有助于避免“形式而非实质”遵循的弊端，但是对于指导性监管也应有辅助性支持机制，而非“放任自流”。
五、 结语
由于内部控制的重要性和特殊性，它既是企业主体控制自身风险的基础，具有“私”的属性，随着经济和社会的发展，企业内部控制又逐渐由于其在控制市场风险和社会风险中的基础性作用而日益具有“公”的性质，因此，逐渐成为监管的对象。无论采取何种监管方式，都应平衡好“公”与“私”之间的关系，不能因为“私”的属性而影响或破坏社会整体效率，也不能因为强调“公”的性质而破坏企业的效率。这是制定企业内部控制监管政策时应予考虑的基本原则。此外，一项监管制度能否有效发挥作用很大程度上取决于被监管者对该政策的遵循意愿，而取决于大多数被监管者对政策目标的认可，归根结底取决于监管政策设计的科学合理性。否则，不被遵循的监管政策终将沦为形式而失效。
从我国具体情况来看，关于内部控制的监管政策有必要分别不同的对象，如上市公司和非上市公司、国有企业和非国有企业、金融和非金融企业，针对内部控制的不同方面，如是否具有外部性和非外部性，是对企业的最低要求还是较高标准等，分别采取强制性和指导性相结合的监管政策。
参考文献：
1．Adrian Cadbury．公司治理和董事会主席．北京：中国人民大学出版社，2005．
2．Christopher Clague．OECD国家的监管政策：从干预主义到监管治理．北京：法律出版社，2006．
3．弗莱德·斯考森等．公司治理与证券交易委员会．沈阳：东北财经大学出版社，2006．
4．梅尔文·爱森伯格．公司法的结构．北京：中信出版社，2004．
作者简介：缪艳娟，南京大学会计学系博士生，扬州大学副教授。
收稿日期：2008-03-16。
关键词：内部控制；监管；强制性；指导性
一、 引言
所谓企业内部控制监管就是指企业主体以外的第三方通过各种方式对企业内控制度建设进行规范、强制和要求。但是对企业内控制度为何需要监管、如何实施监管以及监管应达到什么样的目标等一系列问题至今很少有专门的讨论，若不对这些问题进行认真思考并回答，有可能会影响内控监管政策的实施和最终效果，因此本文试图对上述问题进行分析和探讨。
二、 企业内部控制监管的缘起
监管的产生主要缘于市场失灵，经济性监管主要解决自然垄断、过度竞争、资源稀缺性问题，而社会性监管主要解决外部性、信息不充分、集体行动困难等问题。企业内部控制就其本质而言，是企业为实现其目标所设置的风险处理装置，是企业健康生存和发展的一种内在需求，属于企业内部管理的范畴，其本身并非“天然”属于监管的对象。内部控制的雏形自企业产生之日起就存在，内部控制已经历了相当长的发展历史，但对其进行监管的历史并不长，若从1977年美国颁布《反国外贿赂法案》（FCPA）对企业内部会计控制提出要求开始算起，也才足有三十年时间。全球普遍关注企业内部控制从20世纪90年代初才开始，之所以近年来开始对企业内部控制进行监管，主要是因为以下几方面原因：
1．公司社会化程度的提高使得公司内部控制开始具有外部性特征。公司社会化程度不仅受其本身发展规模的影响，而且受到各种外界因素的推动。如果一家公司规模大到可以与某一小国相抗衡，无论从其为国家、地方提供的财力、吸纳雇员的人数、提供的产品和服务等，其社会化程度都是不言而喻的。而资本市场发展、经济的全球化以及电子技术的发展带来的通讯便捷等因素更是促进了公司的社会化程度。这种进程的速度在20世纪80年代~90年代急剧加快，这使得公司尤其是对一国经济具有重要影响的大型公司由于内部控制不健全而导致的风险具有联动性和扩散性，从而使得单个企业内部控制不健全产生的风险具有外部性的特征，即其产生的风险损失不仅限于本企业主体及与其相关的利益主体，还可能会波及资本市场甚至一国经济的健康发展。21世纪初，安然、世通等大公司财务舞弊及破产案件就是最典型的例证，其不仅影响了本公司及相关的利益者，更重要的挫伤了投资者的信心，进而影响美国资本市场和经济的健康发展。这正是导致SOX法案出台的直接导火索。20世纪80年代~90年代发生在英国的国际信贷商业银行（BCBI）、英国报业巨头麦克斯韦（Maxwell）等一系列大公司破产案件之所以引发英国开始关注公司治理问题并进而对公司内部控制提出要求，也是出于一系列大公司财务舞弊及破产案件可能会影响到人们对英国公司会计行业及对伦敦作为国际金融中心动摇的担心（Adrian Cadbury，2005）。此外，各国政府对金融企业内部控制一般也都有较为严格的监管要求，这主要也是由于金融企业的风险具有较大的传染性和外部性，通过对金融企业内部控制进行监管可以要求其尽可能防范或内化相应的风险。
2． 政府监管理念的变化导致对企业内部控制的重视。自20世纪80年代以来以OCED国家为代表的发达国家开始对原有的管制政策进行反思，放松管制让位于监管改革，从干预主义转向监管治理（Christopher Clague，2006）。政府越来越认识到监管若能与公司“私的”内部控制结合起来可能会使得政府的监管政策更为有效，更容易为被监管者接受。以对公司内部控制活动进行治理和要求为依托实现公共监管目标可以减轻政府部门制定详细规则、实施严格监督等方面花费的大量精力和财力的压力（Michael Power，2004）。监管部门对企业内部控制的重视成为其制定放松管制政策的基础，放松管制并不意味着对企业的放任自流，而是要求加强对市场微观主体的风险控制，否则，容易引发放松管制的负面效应，增加市场竞争的无序。这是一些发达国家在20世纪70年代早期经历放松管制及监管改革尝试的经验教训。这也是各国在20世纪80年代~90年代开始关注企业内部控制建设，并通过各种方式对企业内部控制进行要求或规范的主要原因或背景之一。
对企业内部控制进行监管最为根本的原因在于一些企业所提供的内部控制产品质量水平没有达到社会的总体需求，而且这种不足将会而且已经引发社会、经济发展的动荡和不安，因此，必须采取外部力量推动企业内部控制的建设，其中监管是一支非常重要的外部力量。而监管的方式有多种，不同的监管方式适用于不同类型的被监管主体和所要监管的内容，即使是对于性质相同的被监管主体及内容也可能会采取不同的监管方式，而不同的监管方式其实施成本和效率是不同的。
三、 企业内部控制监管：社会效率和公司效率之间的权衡
企业自身制定的内控制度主要立足点在于企业自身的需求，企业作为一种经济组织，其首要功能履行经济功能，企业通过有效承受和解决各种风险而获得利润，因此，对于风险水平的“可容度”是以企业个体偏好（尤其是企业最高管理层）为依据的，这也是企业制定内控制度的决策依据，即每一个企业按照成本效益原则判断认为其建立的内部控制能妥善处理好其与相关利益方的关系，就达到了内部控制制度建设的“合理”水平。但是，并非所有的企业都能恰当地评估其可能承受的风险和妥善地处理好其应该处理好的风险，否则就不会有公司财务舞弊案件的发生。事实上，国内外公司财务舞弊案件从来就没有停止过，只是当公司财务舞弊案件引发的各种风险大到会削弱投资者的信心，影响本国资本市场甚至社会经济的健康发展时，政府往往就会采取相应的举措进行整治，对企业内部控制建设提出规范和要求往往是举措之一。
因此，企业内部控制监管的总目标就是要通过对企业内部控制的建设的规范和要求实现公司引发社会整体风险的最小化，以达到维护资本市场的安定和促进社会整体经济的发展——我们将其称之为实现“社会效率”的目标。如何判断公司引发社会整体风险损失的最小化是制定监管企业内部控制政策的关键和核心。但问题并非这么简单，一方面，公司可能引发的社会整体风险损失不仅在没有发生之前，即使实际发生了也往往难以直接衡量；另一方面，并非公司引发的所有风险都应通过监管方式来解决，如果是那样就等于否定了市场竞争的作用，也否定了公司是“自主”竞争的主体，显然，这是不妥当的。公司法在制定过程中之所以要分别不同内容采取强制性、赋权性和任意性规则（梅尔文·爱森伯格，1989）就是考虑到在对公司组织和行为进行最基本要求的前提下赋予其自治及对效率的追求。因此，对公司内部控制制定监管政策必须在市场与监管之间进行权衡，必须在社会效率和公司效率之间进行权衡，必须在社会风险和公司风险之间进行权衡。
从各国引发外界关注企业内部控制的事件来看，大量公司舞弊案件往往是导火索。但公司舞弊也并非必然引致对企业内部控制监管，历史地看，最早公司立法的主要动因之一也是公司舞弊。1929年大危机也与许多公司舞弊有关，针对大危机美议会着手立法时，其中一个中立集团主张制定与英国1900年《公司法》类似的披露法（弗莱德?斯考森等，2006），1933年《证券法》及1934年《证券交易法》的核心内容就是加强信息披露，1934年成立的SEC的职责就是确保公众投资者获得与证券投资相关的、所有重大事实“充分而公允”的信息，虽然这些要求隐含着对公司“内部控制”的要求，但是并没有在法律或监管规定中明确，这说明对企业内部控制的干预并非公司财务舞弊的必然。因为公司内控制度就其本质而言属于公司内部的制度，法律不恰当的干预会“侵蚀”公司的自主权。这是各国制定企业内控监管制度时需要把握的一项重要原则，即企业内控制度监管政策在促进社会整体效率的增加不以损害整体公司效率为代价。
四、 企业内部控制监管：强制性还是指引性？
无可回避的历史事实是企业内部控制开始受外界关注或成为政府立法部门的要求是基于人们对其与财务报表质量之间关系的认识，但是随着人们对内部控制的认识的深入，内部控制的功能已不再局限于财务或会计方面，20世纪90年代先后颁布的内控框架均突破了原来狭义的内部控制概念和内容 ，如1992年COSO报告提出内部控制的三目标，即经营效率和效果、财务报告的可靠性、遵循相应的法律和法规，使人们对内部控制的认识已突破了原有的狭义的理解，随后加拿大特许会计师协会（CICA）颁布的CoCo报告、英格兰及威尔士特许会计师协会（ICAEW）颁布的Turnbull报告也都采用广义的内部控制概念，甚至比COSO报告关于内部控制的定义还要广，如CoCo报告关于“报告”可靠性的目标，其中“报告”不仅包括外部报告，还包括内部报告；遵循性目标则不仅指遵循适用的法律、法规，还包括遵循企业内部规章制度 。Turnbull报告指出内部控制要能对企业所面临的重要风险做出适当反应使得经营更为有效，风险不仅包括财务方面，还包括商业、经营、遵循及其他方面；报告目标也包括内部和外部报告的质量；遵循性也不仅包括对法律法规的遵循，还包括对企业商业行为守则等内部政策的遵循。从现有内控指引框架来看，内部控制所涉及的内容几乎包括企业经营管理过程中的各个方面。如果从监管角度对企业内部控制提出要求，显然应当区别不同的监管目标采取不同的监管政策和方法。任何一项监管政策的制定，监管者都应当能清楚地回答以下问题：要监管什么？为什么要监管？如何实施监管？
“要监管什么”也就是要回答制定该项监管政策的直接目标，以便清晰界定监管的对象和范围，就企业内部控制而言，如果是为了解决会计信息失真、财务报告舞弊顽疾，就得明确内部控制前面的定语，如“内部会计控制”、“财务报告内部控制”；如果是为了更好地缓解资本市场上投资者投资决策时信息的不对称，除了提供面向过去的财务报告信息以外，还得要求企业提供能解读未来风险的信息，即企业是如何采取各项内部控制措施应对风险的，这时的内部控制就应是广义的。
“为什么要监管”是要求监管者在制定监管政策时，要弄明白是否非得要监管，有没有其他可以替代的方式，如果这个问题不清楚回答，可能会导致监管过度，或者引起监管效率损失或者导致监管政策失效。譬如，企业内部控制的经营效率和效果目标，就不应属于监管的范畴。因为作为市场竞争的主体——企业的立身之本就是追求经营的效率和效果，市场竞争是促进企业内部控制不违背而且要有助于提高效率和效果的最有效的机制，无需监管多此一举。关于遵循性目标，法律法规本身就隐含着对其的遵循要求，如果法律法规制定得具有可行性、可执行性，一旦违背就会受到相应的处罚，因此，若对内部控制的此类目标进行监管，显然不太符合逻辑，是一种循环反复。而若是对本企业内部规章或商业守则的遵循，理应是企业内部控制自身所有解决的，也是企业制定内部控制制定的主要目标之一，若外部监管对之进行强制要求有失合理性。
“如何实施监管”就是要充分考虑监管政策实施的效果及目标选择恰当的监管方式。按照监管政策实施是否具有强制性，可以分为强制性监管和指引性监管。强制性监管是指监管政策的执行具有强制性、统一性，若达不到相应标准则存在相应的处罚条款。强制性监管比较适用于那些必须要达到的最低要求；指导性监管则往往是指由非政府部门或自律组织通过颁布指引性文件指导企业应达到的“最佳实践”，之所以要采取指导性监管是因为一些“最佳实践”无法通过强制性规范予以要求，一些需要作出定性或主观判断的内容也难以通过强制性要求达到实质性遵循，此外，由于指导性监管政策的制定往往由专业性机构制定，更为贴近实践，而且也便于与时俱进地修订，这就易被监管单位接受和执行。
但是若指导性监管纯粹是“自愿”执行，没有任何辅助实施机制，也会面临着这样的危险：“好”企业“自觉”执行了，而本应属于被重点监管的对象却依然如故。因此，一般在采用指导性监管政策时，往往要辅之以相应的激励和督促措施，如可以采取已被欧盟国家广为采用的“要么遵循，要么解释”（Comply or Explain）的信息披露要求，即往往依托于证券交易所的上市规则，要求上市公司在年报中必须披露遵照执行内部控制的情况，也就是说，披露规定是“强制性”的，不可豁免，但是对于是否完全遵照执行内控条款则可以“自愿选择”，但要求对于没有执行的条款进行说明并解释没有这样做的原因。这样做是寄希望于通过市场的力量加以促进，同时也赋予企业以“自由选择”和“申辩”的余地，这种方式也可称之为“市场监管”。
“市场监管”方式是否能有效发挥作用，一方面依赖于公司披露的内控信息的质量，另一方面依赖于市场参与者对企业内控信息的关注程度。内控信息的质量，不仅包括内控信息的可靠性，还应包括内控信息是否具有“增量信息”，也就是说相比于一般年报中披露的财务报告信息是否为市场参与者（尤其是投资者）增加了更多有助于了解公司的情况的信息。财务报告信息是基于历史的、公司已经实现的业绩，而投资者是投资于公司的未来，如果公司能在内控信息披露中披露关于公司是如何采取措施管理其面临的风险信息会更有助于投资者决策。投资者对内控信息的关注与公司提供内控信息的质量之间的关系是相辅相成、相互促进的，随着机构投资者的兴起，投资者关注公司非财务信息的兴趣日渐增加，这会有力促进公司披露高质量内控信息，高质量内控信息的披露也会吸引投资者的关注。
上述方法比较适用于上市公司，对于非上市公司可以通过行业协会、民间组织团体等采取适合本领域的方法，如行业通报、驱逐出行业协会等方式予以惩罚或促进。结合上述关于内部控制的不同功能和目标以及强制性监管和指导性监管各自的优缺点，我们认为，应在这不同是监管方式之间寻求监管效益和效率的平衡。
一般而言，对于可能会引发公众普遍关注并容易产生负面影响的内部控制方面，如财务报告内部控制应采取强制性监管，一旦采取强制性监管就必须有配套的执行机制（如监管标准的设立、达不到标准时的惩治措施等），否则会削弱其强制性效果。而对于需要鼓励、倡导的内部控制的广义方面，如除了财务报告风险以外的其他方面的风险控制，就比较适合采用指导性监管，借助市场机制或行业协会等自律组织的支持和配合，通过指导性监管有助于促进企业的“自愿”遵循，有助于避免“形式而非实质”遵循的弊端，但是对于指导性监管也应有辅助性支持机制，而非“放任自流”。
五、 结语
由于内部控制的重要性和特殊性，它既是企业主体控制自身风险的基础，具有“私”的属性，随着经济和社会的发展，企业内部控制又逐渐由于其在控制市场风险和社会风险中的基础性作用而日益具有“公”的性质，因此，逐渐成为监管的对象。无论采取何种监管方式，都应平衡好“公”与“私”之间的关系，不能因为“私”的属性而影响或破坏社会整体效率，也不能因为强调“公”的性质而破坏企业的效率。这是制定企业内部控制监管政策时应予考虑的基本原则。此外，一项监管制度能否有效发挥作用很大程度上取决于被监管者对该政策的遵循意愿，而取决于大多数被监管者对政策目标的认可，归根结底取决于监管政策设计的科学合理性。否则，不被遵循的监管政策终将沦为形式而失效。
从我国具体情况来看，关于内部控制的监管政策有必要分别不同的对象，如上市公司和非上市公司、国有企业和非国有企业、金融和非金融企业，针对内部控制的不同方面，如是否具有外部性和非外部性，是对企业的最低要求还是较高标准等，分别采取强制性和指导性相结合的监管政策。
参考文献：
1．Adrian Cadbury．公司治理和董事会主席．北京：中国人民大学出版社，2005．
2．Christopher Clague．OECD国家的监管政策：从干预主义到监管治理．北京：法律出版社，2006．
3．弗莱德·斯考森等．公司治理与证券交易委员会．沈阳：东北财经大学出版社，2006．
4．梅尔文·爱森伯格．公司法的结构．北京：中信出版社，2004．
作者简介：缪艳娟，南京大学会计学系博士生，扬州大学副教授。
收稿日期：2008-03-16。