內部控制包含以下五大組成部分的內容:
(1)控制環境
控制環境是推動控制工作的發動機,是所有其他內控組成部分的基礎。它奠定組織的風紀和結構,并且涉及到所有活動的核心—人,特別是人的控制覺悟?？刂骗h境中的要素有價值觀、激勵與誘導機制、精神指導、員工能力、管理哲學與經營風格、組織結構、規章制度和人事政策等等。公司要有積極的控制環境,使整個組織中的員工具有控制覺悟和自覺的控制態度,特別是高級管理層要積極地進行控制;員工的能力與其責任要相匹配。
(2)風險評估
風險評估是識別和分析那些妨礙實現經營管理目標的困難因素的活動,對風險的分析評估構成風險管理決策的基礎。風險評估中的要素包括關注對整體目標和業務活動目標的制定和銜接、對內部和外部風險的識別與分析、對影響目標實現的變化的認識和各項政策與工作程序的調整。有關風險的識別與評估的原則強調有效的內控系統需要識別和不斷地評估有可能阻礙實現目標的種種物質風險。這種評估應包括公司和公司集團所面對的全部風險。需要不時調整內控,以便恰當地處理任何新的或過去不加控制的風險。
(3)控制活動
控制活動是為了合理地保證經營管理目標的實現,指導員工實施管理指令,管理和化解風險而采取的政策和程序,包括高層檢查、直接管理、信息加工、實物控制、確定指標、職責分離等。在控制活動中主要關注控制與風險評估過程的聯系、控制活動的適當形式及其實施、對執行政策和管理指令的保證、控制活動的針對性(尤其是對信息系統的控制)等等。
(4)信息與交流
信息與交流存在于所有經營管理活動中,使員工得以搜集和交換經營、管理和控制等活動所需要的信息,包括管理者對員工的工作業績的經常性評價。在信息技術的發展中注意控制信息系統。
(5)監督評審
“監督評審”是內控體系的第五大重要組成部分,其主要內容是對上述內控活動,包括“控制環境”、“風險評估”、“控制活動”和“信息與交流”等內容進行嚴格的檢查監督和客觀公正的評價。這包括從整體水平上和從業務活動水平上對內控進行持續性的或分別單獨的評審。監督評審是經營管理部門對內控的管理監督和內審監察部門對內控的再監督與再評價活動的總稱。監督評審可以是持續性的或分別單獨的,也可以是兩者結合起來進行的。主要應關注監督評審程序的合理性、對內控缺陷的報告和對政策程序的調整等等。 以上五大組成部分與前述三大目標有機地相結合,構成了內控的完整體系。我國的企業工作者很有必要適應形勢,轉變觀念,從內控的三大目標出發,去考察本單位上述五大組成部分的各個方面,看是否建立了健全的內控制度以及這些制度是否得以認真的貫徹實施。
很多企業的中層管理者對內控認識比較膚淺,也不了解內控與管理、內審的關系,簡單的認為管理就是內控,抓了管理,內控自然就到位了。因此,我們有必要搞清楚內控與管理的關系。
1管理的內涵及其與內控的區別
管理是管理者確立目標和戰略,并通過一定的組織形式、規章制度和操作方法去實現目標的全過程。管理者要以一定的組織形式為依托,以一定的規章制度為依據,采取種種方法去實現既定的目標。管理者有責任控制局面,并解決和糾正各項經營管理活動中所發生的偏差和錯誤。管理的含義比內控更為廣泛,并不是所有的管理活動都是內控活動。而內控則是管理中至關重要的部分,就是要抓住管理活動中的那些對管理目標實現至關重要的部分,也就是它的主要矛盾,具體體現就是:控制要素和控制風險,這是管理者必須關注的地方。
2風險管理與內部控制的關系
風險評估是對可能發生的不利條件或事件進行評價,并做出完整的專業性鑒定的一種系統過程。風險是和環境、目標共存的。相對于外部環境而言,同類企業有同類風險,誰能戰勝風險,風險就轉化為機遇,同時也會提高其競爭能力,并直接影響其提高其產品質量與服務質量的能力。風險是如此之重要,以至于有人認為風險管理就是內部控制,甚至風險管理包括了內控。實質上,內控涵蓋了風險管理,內控處在比風險管理更高的層次上,內控才是管理的更本質性的內容。內控所負責的是風險管理過程中間及其以后的重要活動,內部控制強調評估經營管理活動中突出的風險點,建議經營管理人員針對這些風險點實施必要的控制活動。風險管理為內控中的風險評估提供了前提條件。風險管理的全部活動都在內控的監督評審之下。
內控程序涉及到以下幾個方面:工作目標的確立,風險的識別和分析,針對風險研定控制措施,對所采取的控制活動進行監督評審等等。而這些控制工作顯然都是各級經營管理部門的基本職責。因而,我們說內控的大部分工作都是經營管理部門的重要職責。首先,合乎標準的內控需要公司營造良好的“控制環境”,使員工樹立正確的價值觀,遵守正常的職業道德,而公司的管理層又能夠以恰當的管理風格和正確的激勵機制,引導員工創造一種良好的企業文化,特別是控制文化。同時,設計適應業務發展的組織結構,配備合格的經營管理人員,制定合理和嚴格的規章制度,確立正確的目標和戰略決策系統等等,也都是加強內控的必要環境條件。第二,“風險評估”也主要是各經營管理部門的重要職責。傳統的經營管理方式忽視對風險的識別和分析,而滿足于執行指令。這種方式給國有企業在轉軌過程中帶來了巨大的損失。風險的防范有大量工作要做,包括對內部和外部的風險進行判別和預測,分析風險發生的可能性和概率;并在此基礎上研究化解風險的種種控制措施。第三,當風險已被發現之后,經營管理者還需要調動機構和人員,切實執行所制定的“控制活動”,以便防范和化解風險,合理保證經營管理目標的實現。這方面的工作是十分細致的,包括高層檢查,直接管理,信息加工,實物控制,確定指標,職責分離等等。第四,在信息科技突飛猛進地發展的時代,“信息與交流”是經營管理中的另一不容忽視的職能。在把有關的內部和外部控制信息搜集整理出來以后,經營管理者要利用可靠信息為實現目標服務,并向適當的部門和負責人進行交流。
如果把如此豐富的內控工作簡單的理解為管理,一個直接的后果就是削弱了經營管理部門的風險意識和控制覺悟,使他們滿足于行政指令的執行方式,而無意面對復雜多變的競爭形勢。因此,控制活動是公司日常經營管理工作的不可分割的一部分。
雖然近年來我國內部控制建設方面做了許多扎實有效的工作,并取得較大成績,但是我國對內部控制理論的研究和實踐與國外相比面無論在廣度上還是深度上都有較大差距,存在不少問題。
(1)缺乏系統性內部控制理論的指導,內部控制基礎十分薄弱。
我國至今尚未形成一個統一的權威的內部控制定義。財政部發布的《內部會計控制規范——基本規范(試行)》,只是定義了什么是內部會計控制,對于內部控制的具體定義、構成等未予以明確說明。由于理論研究的滯后,導致內部控制實踐的落后。我國企業的內部控制水平良莠不齊,不少企業對內部控制知之甚少,有的企業甚至根本沒有內部控制意識,內部控制基礎十分薄弱。 (2)忽視內部控制環境建設,內部控制的執行缺乏有效監督。
控制環境是內部控制能否生效的重要因素之一,控制環境的失效必然會直接導致內部控制的失效。由于我國企業普遍存在著大股東或關鍵人控制問題,內部控制環境未得到應有的重視。許多企業無視國家的法律法規,甚至棄基本的內部控制制度于不顧,對內部控制內容進行利益選擇,形成內部控制成為“內部人的控制”的現象
(3)內部控制固有的局限性。
內部控制固有的局限性假如沒有得到較好的控制,也會直接導致內部控制的失效。COSO報告指出,內部控制決不是包治百病的靈丹妙藥,再完善的內部控制也不能解決企業存在的所有問題和困難,具體包括以下四大問題:①不能解決治理階層人員素質問題;②不能左右政府政策或經營環境;③不能絕對保證企業完成經營目標;④不能絕對保證企業決策中不出現失誤。
那么,如何建立和完善企業內部控制機制和控制文化呢?企業可以從以下幾個方面入手:
(1)強調高級領導層的控制責任。
首先,董事會充分理解公司的主要風險,正確設定風險的可接受水平;并定期督導高級管理層識別,估量,監督和控制這些風險;確保內控系統的有效性;建立獨立的審計委員會幫助董事會行使這方面的職責。其次,高級管理層負責制定識別,估量,監督和控制風險的程序,通過維護某種組織結構去明確職責、權限和報告關系;確保職責的有效執行;制定有效的內控政策;并監督評審內控的充分性和有效性。
(2)大力提倡和營造一種“控制文化”。
一方面董事會和高級管理層負責促進在道德和完整性方面的高標準,并在機構中建立一種文化,向各級人員強調和說明內控的重要性。另一方面企業中的所有員工都需要理解他們在內控程序中的作用,并在程序中充分發揮他們的作用。有效的內控系統的一項實質性內容就是建立強有力的控制文化。
(3)企業要充分關注對全部風險的評估。
特別要明確銀行是承擔風險的機構,生產企業也需要不時調整內控,以便恰當地處理任何新的或過去不加控制的風險,并對企業不能夠控制的風險采取正確的防范措施。
(4)控制活動已被當作企業日常工作的不可分割的一部分,而不是對經營管理的額外補充。
有效的內控系統能夠迅速采取應變措施,避免不必要的成本;建立適當的控制結構,明確定義各經營級別的控制活動。特別強調適當分離職責;識別和盡力縮小有潛在利益沖突的地方;并遵從謹慎的和獨立的監督評審。
(5)高度重視企業的信息與交流。
首先是保證信息的完整性、可靠性和可獲性,并且信息應能夠前后連貫一致。其次是信息系統應受到安全保護和獨立的監督評審,防止突發事件;特別注意有效地控制電子信息系統和信息技術的使用。另外,建立有效的交流渠道,確保相關信息的正確傳達。
(6)企業應當注意加強監督評審活動,并強調缺陷的糾正。
企業經營管理人員應經常在日常工作中監督評審企業內控的總體效果和主要風險;對內控制度定期進行獨立、有效和全面的內部審計,并將結果向高級領導層直接報告;及時報告并果斷處理所發現的內控缺陷。
(7)對內控制度的評價要成為企業內審監督部門的日常監管工作和現場檢查監督工作。
內審監督部門和外部審計機構應要求企業具有有效的內控制度,充分和有效地化解企業的風險;監督部門應檢查高級領導層的內控態度、內部審計部門的有關工作和外部審計的檢查結果等等,對不合要求的企業采取措施。
內部控制雖然重要,但它不是萬能的,也有其局限性。企業的內控能合理地確?；窘洜I目標的實現,但不能把一個本質上很壞的經營者變好。內控能確保財務報告的可靠和合法合規,但不能絕對保證做到這一點,而只能合理保證。此外,內控制度的設計還受到人、財、物等資源的約束,因此,企業在建立和完善內部控制機制和控制文化時應多加考慮。
參考文獻:
[1]王光甫.企業戰略管理.中國財政經濟出版社,2000.
[2]邁克爾·波特等著,劉守英主編.戰略——45 位戰略家談如何建立核心競爭力.中國發展出版社,2002.
[3]師東菊.企業戰略成本管理中存在的問題及策略研究.中國科技信息,2007.
[4]田華秀,張波.淺談我國企業內部控制現狀及治理對策.中國論文下載中心,2010.
