第一節 我國內部控制規范體系概述
一、2006年以前內部控制規范概述
盡管我國學者早在20世紀80年代就已經開始對內部控制進行理論探索和實踐運用，但直到90年代才真正體現在監管部門的相關規則中。其中中國注冊會計師協會于1996年頒布、1997年1月實施的具體審計準則第9號《內部控制與審計風險》，成為我國民間審計發展推動內部控制建立健全的有力佐證，此后我國政府開始加大對企業內部控制的建設步伐。
金融業本身的高風險使得其首當其沖成為內部控制建設的試點行業。1997年5月中國人民銀行頒布實施的《加強金融機構內部控制的指導原則》，成為我國第一個部委級的內部控制規范，此后，證監會、保監會、國家經貿委等政府機構分別以部門文件的形式頒布了內部控制的指導意見，例如1999年中國證監會發布《關于上市公司做好各項資產減值準備登有關事項的通知》，明確要求上市公司責成相關部門擬定或修訂內部控制制度；2000年，證監會發布的《公開發行證券公司信息披露編報規則》第1、3、5號，要求商業銀行、保險公司、證券公司建立健全內部控制制度，并對內部控制制度的完整性、合理性與有效性作出了說明，在實務中一定程度上推動了上市公司內部控制的建立健全。
1999年修訂、2000年7月開始實施的新《會計法》中同樣提及內部控制，如第27條明確提出了諸如崗位分離、授權批準、財產監控、內部審計等內部會計控制的基本要求，從而將內部控制提高到法律的高度；此后的2001年6月，財政部發布了《內部會計控制規范——基本規范（試行）》和《內部會計控制規范——貨幣資金（試行）》，成為《會計法》的配套措施。2002-2004年間，財政部又陸續出臺了采購與付款、銷售與收款、工程項目、實物資產、對外投資、籌資、成本費用和擔保等經濟業務的內部控制規范，從而對強化企業管理、提高經營的效率效果、保護資產的安全完整、保證財務信息的可靠發揮了積極的作用。
2002年2月，中國注冊會計師協會發布《內部控制審計指導意見》，以規范注冊會計師執行內部控制審計業務，保證執業質量。該指導意見直到今天仍然成為部分事務所的執業依據，如2007年年報中部分上市公司對內部控制的審核評價意見中就明確指出其事務所的審計依據是指導意見。
除了內部會計控制規范之外，證監會于2001年1月發布的《證券公司內部控制指引》、2002年9月中國人民銀行制定的《商業銀行內部控制指引》，也在一定程度上改進了金融機構的內部控制建設工作，成為我國監管部門推動內部控制進程的有力工具。
需要指出的是，在各部委各自建立內部控制的過程中，并沒有形成全國性的組織來統一規范內部控制方面的工作，而已有的規范在理論框架、實際操作方面也存在一定的不足，因此使得我國企業內部控制建設的整體推進力度不大，效果也沒有顯現。
二、2006年以后的內部控制規范體系的發展
2006年，在美國等西方國家實施財務報告內部控制的背景下，我國監管部門明顯加快了內部控制建設步伐。首先是2006年6月6日，國務院國有資產監督管理委員會發布了《中央企業全面風險管理指引》，從而有力地指導國有企業開展全面風險管理工作；其次是上交所和深交所先后于2006年6月和9月頒布了各自的《上市公司內部控制指引》，以幫助上市公司建立健全內部控制工作；與此同時由財政部牽頭，聯合國資委、證監會、保監會、銀監會以及審計署等部委成立了全國內部控制標準委員會，并聘請了86名專家，開展我國內部控制的規范工作，并于2007年3月頒布了一個基本準則、17個具體準則的征求意見稿，可以預見我國的內部控制規范建設進程將得到強有力的推動。
1、財政部內部控制規范征求意見稿述評
通過閱讀財政部2007年3月發布的《企業內部控制規范》（征求意見稿），我們可以發現我國內部控制概念基本借鑒了COSO報告的理論研究成果，即以五要素為框架，適當體現了2004年頒布的“企業風險管理——整體框架”中提出的八要素的先進理念。從目標上看，我國的內部控制概念提出了（1）企業戰略；（2）經營的效率和效果；（3）財務報告及管理信息的真實、可靠和完整；（4）資產的安全完整；以及（5）遵守國家法律法規和有關監管要求等五項基本目標，其中第三項目標以財務報告和管理信息的真實、可靠和完整是當前內部控制建設的主要目標。從體系上看，我國的內部控制框架以基本規范、具體規范和應用指南為基本構成，與已經頒布實施的《企業會計準則》相呼應，易于為大家所接受和實踐 。
應該說財政部頒布的內部控制規范在理論上走在了前沿，并有效實現了與國際接軌。但不可否認的是，即使在美國，COSO框架也并非得到廣泛認可和使用，事實上在SOX法案404條款實施之前，美國的絕大多數企業并沒有采納COSO框架，而為配合法案的實施，COSO委員會目前開始陸續出臺相關的解釋和指南，如2006年出臺的小企業指南、2007年出臺的監控指南等等。因此如何借鑒先進理論經驗，并與企業實際緊密結合，發揮內部控制對企業目標的促進作用，還有待實踐的進一步檢驗。
2、滬深證交所《上市公司內部控制指引》述評
從2006年兩個交易所發布的內部控制指引的時間可以看出，我國的證券監管部門在有效借鑒海外資本市場經驗方面可圈可點。但從內容上，兩家交易所各自發布的內控指引還存在很大差異（見附件），如定義中上交所強調提高經營效率效果、加強信息披露的可靠性、確保行為合法合規三項目標，而深交所則增加了資產安全的第四項目標；盡管兩家交易所都強調董事會在內部控制中的重要地位，但上交所明確了董事會三項職責：內控的建立健全、有效實施及檢查監督，而深交所簡單要求“董事會對內部控制的制定和執行負責”；此外在上交所在其指引中強調了附屬公司、金融衍生品、其他風險等專項風險的危機管理控制制度，而深交所則更多地關注控股子公司、關聯交易、對外擔保、募集資金使用、重大投資、信息披露等重點關注活動。
閱讀交易所發布的內部控制指引，可以看出我國的監管部門與美國證監會僅關注財務報告內部控制不同，盡管證交所頒布的內控指引在操作性上要強于COSO框架，范圍上要大于SOX法案的404條款，可以更好地發揮內部控制的作用，但完全遵循無疑會增加企業的實施成本和實施難度，尤其是對內控自我評價、審計師核實評價提出了挑戰。
3、國資委中央企業全面風險管理指引及審計準則中對內部控制的要求述評
2006年6月發布的中央企業全面風險管理指引，對中央企業實施風險管理提出了明確的要求。按照國資委的提法，出臺指引的目的是為了全面落實科學發展觀，進一步加強和完善國有資產監管工作，深化國有企業改革，加強風險管理，促進企業持續、穩定、健康發展。從內容上看，指引對中央企業開展全面風險管理工作的總體原則、基本流程、組織體系、風險評估、風險管理策略、風險管理解決方案、監督與改進、風險管理文化、風險管理信息系統等方面進行了詳細闡述。應該說指引全面借鑒了COSO2004年發布的企業風險管理框架，并在文字表述、實質內容上考慮了我國的習慣和現實，尤其是指引還提供了4種風險管理的常用技術和方法，使其更具操作和實用性，但問題在于中央企業如果連董事會、監事會等治理機制都不健全，那么內部控制的建立健全、有效實施、持續改進、監控等都失去了責任主體，難以落到實處，因此從某種意義上說央企的配套措施的完善更為重要，如出資人明確、董事會職責權限的劃分、獨立董事的引入、審計委員會及內部審計的建立健全等。
值得一提的是，2006年頒布、自2007年實施的注冊會計師執業準則中同樣對內部控制進行了大幅度的修訂。從第1211號“了解被審計單位及其環境并評估重大錯報風險”準則及其指南看，我國審計準則同樣借鑒了COSO的五要素框架，在內容上、形式上都有照搬美國經驗的嫌疑，但其操作性究竟怎樣，同樣有待于實踐的檢驗。
從上述一系列的規范可以看出，無論是針對會計、審計職業，還是針對普遍意義的企業，我國內部控制的建設都可謂如火如荼。從內容上看，這些規范大同小異，但無一不體現了COSO框架的精神和實質，而最大的問題也許不在形式上如何的花哨，其實質是通過實施內部控制，究竟能給企業帶來怎樣的益處。
從美國的經驗看，其內部控制理論和實務都走在了世界的前沿，但僅僅實施財務報告內部控制就已經讓眾多企業不堪重負，并引起實務界的廣泛爭議和口誅筆伐。不可否認，內部控制的建立健全確實能在一定程度上幫助企業識別和管理影響企業目標實現的不確定性因素，但巨額的成本開支、大量資源的投入能否帶來成本效益的有利結論，還很難倉促得出結論。我國轟轟烈烈開展的內部控制規范工作，在范圍上、深度上都要大于美國，如何讓好事做好，更好地發揮內部控制的正面積極作用，需要監管層、企業、市場參與者謹慎對待。
應該說內部控制是一項長期的工程，要建立長效機制，發揮企業主體自身的積極作用顯然必不可少。正如SEC主席William Donaldson2003年所說：“僅僅遵守相關的內控規則是不夠的。公司應該將這種方法作為公司的DNA一樣。對那些執行404條款的公司而言，絕大多數對遵循的關注消失了，相反，如果公司將新的法律看作是一種機會——改進內控、提高董事會績效并改善公開報告的機會——他們將最終得到更好的運行，更加透明，因而對投資者更有吸引力”。從“強制”到“自覺”，從“負擔”到“DNA”，這需要整個內部環境的改善。
第二節 我國內部控制體系的特點和不足
一、我國內部控制體系的特點
（一）基本借鑒COSO的理論成果和美國實務的最新進展
無論是基本規范中對內部控制的定義，還是內部控制需要達到的基本目標，我國的企業內部控制規范都全面借鑒了COSO的理論框架，而基本要素的內容更是全面照搬COSO的研究成果，只是在內容上結合了COSO2004年提出的企業風險管理框架的內容，例如將原來的“控制”環境要素改為“內部”環境，將風險管理框架中的目標設定、風險識別、風險分析和風險應對四個要素統一為風險評估。結合2002年9月中國人民銀行頒布的《商業銀行內部控制指引》、2006年2月發布的審計準則、2006年兩個證券交易所發布的上市公司內部控制指引以及國資委發布的中央企業全面風險指引，我們發現，COSO理論已經在我國的內部控制規范中得到廣泛運用。
（二）適當結合我國實際，突出財務報告可靠性目標
在我國內部控制規范的起草說明中，明確提出“引導企業建立健全以財務報告內部控制為核心的內控機制”，也就是說將COSO框架中的經營效率效果、財務報告可靠性、合法合規性三個目標進行了排序，認為財務報告內部控制是主線，是內部控制的重心和主體。而基本規范在第四條提出內部控制五個目標的同時，強調“有義務對外提供財務報告的企業，應當確保財務報告及管理信息的真實、可靠和完整，具備條件的，還應同時實現其他控制目標”，從中可以看出，財務報告可靠性是我國內部控制最基本的目標，企業實施內部控制規范必須達成該目標，而其他控制目標則是“具備條件的”才實現。
（三）突出政府推動特點，法規強制推動內控體系建設
我國的內部控制規范體系在借鑒美國等發達國家經驗的基礎上，還適當體現了我國的特色，例如將控制標準體系設為基本規范、具體規范和應用指南三個層次；將具體規范分為財務報告內部控制和其他方面的內部控制兩個方面，內容上則概括為與企業財務報表項目相關的、可能對財務報告真實可靠性產生較大影響的經濟業務事項控制規范；與財務報表編報相關的控制規范；以及為實現有效的財務報告內部控制所必需的事前、事中和事后制度支持的控制規范
二、我國內部控制體系現有規范的不足
（一）企業內部需求不足
內部控制實施過程中成本與效益不匹配的問題，導致管理層認為只要達到法律法規的最低要求即可，美國的《公眾公司會計改革與投資者保護法案》404條款中對財務報告內部控制的要求受到理論和實務界的廣泛詬病，最主要的原因也是實施成本過高問題。在實際操作中，我國的企業往往關注制度方面的形式，如要經過驗收、評比、評優等，但在執行中很難保證內部控制有效運行和持續改進的長效機制，這也在一定程度上抑制了內部控制的實施效果。顯然，解決內部控制內在需求動因問題，將直接影響到內部控制的實施積極性和有效性。
（二）內部控制評價缺乏實務指南
我國內部控制規范盡管在體系上包含了基本規范、具體規范和實務指南三個層次，但到目前為止還沒有出臺實務指南，而前兩個層次的內容則大都體現了一些基本的、具有共性的控制要求，對企業實際操作指導意義不大。中國注冊會計師協會2002年2月發布了《內部控制審核指導意見》的通知，但在我國內部控制規范發展迅速的今天，其過于原則性的規定很難滿足實務發展的需要。
事實上即使在美國這樣一個COSO理論框架已經出臺十余年的國家，仍然缺乏具體的內部控制實務操作指南。盡管COSO的控制框架得到廣泛認可，但它僅僅提供了一些原則，并沒有為管理層提供諸如如何建立控制文檔、如何進行內部控制測試等方面的指南，也沒有為管理層提供如何評價識別出的控制缺陷方面的指南。在美國SOX法案404條款的要求下，公眾公司會計監管委員會頒布了第2號審計準則（AS2），為外部審計師決定財務報告內部控制是否有效提供了指南，但由于實務中缺乏管理層實施內部控制的指南，因此美國的很多上市公司管理層反過來采用AS2進行內控的建設和評價，努力與審計師的要求相一致，這不能不說是一件奇怪的事情。小規模公司面臨的挑戰更大，因為沒有明確的定義或指南來說明什么是“充分的內部控制”，盡管COSO委員會于2006發布了小企業財務報告內部控制指南，但也僅僅提供了20個基本原則，既不能完全解決小企業面臨的問題，也不會減少小企業執行404條款的成本。
審計師的境況也沒有想象中那么好，盡管404條款給審計師帶來了巨大的利益流入，但在美國證監會舉行的聽證會上，很多反饋意見表示審計師在實務中采用了一個“以不變應萬變”的準則（one-size-fits-all standard），結果是審計師過多地關注細節性的程序（有些公司在風險評估中識別出了數以萬計的風險點），并沒有以風險為導向，而這些細節性的程序很多對財務報表的可靠性并沒有多大意義。
（三）內部控制與企業現有管理制度的銜接不足
我國實行的有中國特色的社會主義，這也體現在企業的管理體制中來。黨紀管理、行政管理、業務管理、財務管理等都成了企業管理結構的重要組成部分，其中的黨務、紀律、檢查管理及相關制度成為我國企業、尤其是國有企業獨特的風景線。從某種程度上說，黨紀管理是最有效的內部控制環境，因此如何將原有的企業管理體制和控制結構與新的內部控制規范有機地結合起來，如何處理好習慣于各自分工管理與在統一內部控制控制框架下各司其職、相互呼應的關系，是內部控制有效實施的重要課題。顯然，這并非財務部門或者企業管理部門所能解決的，而是要董事長、黨委書記掛帥、全員參與進來，從這點上看，提高有關人員的認識，將現有管理體制與內部控制框架相協調成為內部控制有效實施的首要前提。
