一、引言
由財政部、證監會、審計署、銀監會、保監會五部門聯合發布的我國第一部《企業內部控制基本規范》標志著我國企業內部控制規范體系建設取得重大突破。內部控制作為公司治理的關鍵環節和經營管理的重要舉措,在企業發展中具有舉足輕重的作用,正因為如此,許多國家通過立法的形式強化企業內部控制。《企業內部控制基本規范》的出臺,為企業規范和加強內部控制建設提供了基礎及權威性的指引。規范要求自2009年7月1日起實施,這既是挑戰,又是提升企業風險管理,推進改革創新的新機遇。
二、企業內部控制的意義與作用
企業內部控制制度是指單位內部為了有效地進行經營管理而制定的一系列相互聯系、相互制約、相互監督的制度、措施和方法的總稱。內部控制是企業保持正常生產經營的基石,是維護企業資產安全完整,防范經營風險和實現企業發展目標的重要手段。它已成為一個衡量企業綜合素質的標志。本世紀初期,安然、世通、施樂等跨國公司的紛紛落馬,震動世界;在國內,類似中航油新加坡的巨額財產損失,無不和內部控制缺失有關。實踐得出的結論是:得控制則強,失控制則弱,無控制則亂。
內部控制是一個企業管理的主要組成部分,它包括用于達到任務和目標的計劃、方法、程序,為建立在運營基礎上的管理提供支持。定位為合理保證企業經營管理合法合規,促進企業實現發展戰略。其主要作用有三個方面:一是有助于管理層實現經營方針、目標;二是保護單位各項資產的安全和完整,防止資產流失;三是保證業務經營信息和財務會計資料的真實性和完整性。除此之外,保證單位經營活動的合法性也是內部控制的目標。
但是應該明白內部控制提供的只是合理保證。無論內部控制設計的多么合理,執行的多么有效,都無法克服本身所固有的局限性。主要表現為:(1)如果負有不同責任的職員忽視控制、程序、錯誤判斷、甚至相互勾結、內外串通舞弊等,往往導致內部控制失效。(2)內部控制本身受成本效益的局限。(3)管理人員濫用職權,逾越控制,對設置或實施的內部控制不予理睬,也會使建立的內部控制形同虛設。(4)內部控制一般針對常規業務,對于特殊,非常規業務失去控制。
三、企業內部控制體系的構建
內部控制體系是一個復雜的工程。它不是某個事件或某種狀況,而是散布在單位運營中的一連串活動,是單位運營過程的一部分,與運營過程結合在一起,使運營過程發揮其應有的功能,并監督著單位運營過程的持續進行。它受著內部和外部環境的影響,企業中的每一個人對內控都負有責任,單位的最高負責人對內部控制負有最終責任。
(一) 企業內部控制構建的方法論。
要穩妥有效地實施企業內部控制體系。首先,成立內部控制的組織機構,應當由總經理或副總經理掛帥,由審計處、財務處、勞資處等相關處室處長組成內部控制領導小組,對項目進行總體布局,對重大問題進行定期決策和推動。與此同時,從相關部門中選取人員專職從事內部控制的建立健全,成立建設小組。審計處成立內控評價機構,成立審計小組。二者共同組成內部控制工作組,負責內部控制的具體實施工作。其次,確定項目藍圖。將項目劃分為:(1)項目準備階段。包括項目的總體計劃和具體計劃及前期的培訓工作,要使項目有條不紊的實施,各小組人員都必須具有順利完成各自工作的能力。(2)業務流程描述及相關文件匯編工作。采用一定的方法對各控制單元進行詳細的描述,為能夠進行風險的評估提供充分的準備。(3)風險分析、評估和確認。能夠根據流程結合內、外部具體情況,對風險的概率、影響的大小進行識別、評估并采取應對措施。(4)完善內部控制體系。根據企業已有的內控情況,結合內控基本規范,以及風險評估的結果,完善內部控制工作。(5)內控體系內部測試以及維護改進工作等若干階段。審計小組根據內部控制設計及運行情況,結合認定標準,對設計合理性、運行的有效性進行獨立評價,對內控各方面存在的缺陷提出改進意見并監督落實,提交評價報告。同時,將每個階段的具體任務進行列示,落實到具體責任人和部門。
(二)企業內部控制的內容。
企業應當按照《企業內部控制基本規范》的五大要素,將企業內部控制活動劃分為各個獨立的單元:(1)內部環境。它是企業實施內部控制的基礎,一般包括治理結構、機構設置及權責分配、人力資源政策、內部審計、企業文化等。覆蓋了企業的員工道德準則、企業組織機構、職責分工、公司議事機制、人力資源政策、內部審計工作機制和反舞弊機制等相關領域和內容。(2)風險評估。它是企業及時識別、系統分析經營活動中與實現內部控制目標相關的風險,合理確定風險應對策略。企業應當開展組織體系風險評估、持續性風險評估、專項風險評估、經營活動風險評估等內容。(3)控制活動。控制活動是企業根據風險評估結果,采用相應的控制措施,將風險控制在可承受度之內。覆蓋了企業生產、財務、銷售等領域的業務活動。如貨幣資金管理、采購與付款管理、銷售與收款管理、生產、存貨管理、固定資產管理、研究與開發管理、籌資與投資管理、項目子公司管理、擔保管理、在建工程管理、預算決算管理、成本費用管理、人事薪金管理、行政管理、信息系統管理、企業文化形象及危機管理等內容。(4)信息與溝通。信息與溝通是企業及時、準確地收集、傳遞與內部控制相關的信息,確保信息在企業內、外部之間進行有效溝通。它匯集了整個企業的多個信息溝通渠道,包括行政會議、內部報告、信息披露、投資者接待、公共信息、計算機系統管理等。(5)內部監督。內部監督是企業對內部控制建立與實施情況進行監督,評價內部控制的有效性,發現內部控制缺陷,及時加以改進。它對整個企業的監督體系進行梳理,包括持續性監督檢查、專項監督檢查、計劃與報告流轉以及跟蹤與改進。
在內部控制體系構建中,企業應將每個內控活動單元進行書面體系化,規范表達,說明主要描述對象及要求。每個單元包括流程綜述、風險識別及應對、控制目標和關鍵控制點、工作流程、相關參考政策及文件、職責安排及分工、流程附件等要點。最后,應將完整的內部控制體系提交決策層審批,由管理層和有關人員實施。
(三)示例。
企業內部控制體系是一個厐雜的工作,各工作表要主次分明,分層次編號,引用內容要相互索引,關系明確,要素齊全,我們以銷貨活動為例。
銷貨業務:(1)業務流和程序描述及流程附件。根據顧客定單,銷售部編制一式多聯的銷售單,賒銷經過信用部門的審批。由供應部門按銷售單供貨,填寫發貨單。裝運部按銷售單裝運貨物。財務部向顧客開具發票,記錄銷貨業務。附件有:銷售單、發運單、發票記帳聯。文件有;顧客名單、銷售制度、信用制度、崗位責任制等。(2)風險識別與應對。風險有賒銷無法收回的風險、沒有銷售的業務已登記入帳的風險、已實現的銷貨業務未記帳的風險、記帳的金額不正確的風險、會計科目適用不正確的風險、截止不恰當的風險等。建設工作組對該活動所面臨風險進行充分識別。評估風險對企業影響的大小,發生的概率大小。設置控制點,通過職責分離、授權審批、充分的記錄、單據的編號、以及內部檢查加以防范。(3)控制目標及控制點。目標是保證銷貨業務真實、完整、截止準確、會計信息披露正確?？刂泣c:賒銷、銷售價格、銷售條件、運費、折扣等進行授權審批。銷售、發貨、收款歸屬不同部門。合同談判由兩人以上進行,由其他人訂立。銷售人員不接觸貨款。單據連續編號并定期檢查。期末定期對帳。進行內部核查程序等。
四、自我評估在構建內部控制體系中的運用
內部控制自我評估是指由內部控制建設者對內部控制進行定期和不定期評價過程。內部控制自我評估由內部審計負責評價。CSA(CONTROL SELF ASSESSMEN )在歐美等一些發達國家得到積極的推廣,也得到國際內部審計協會的大力推薦。成為內控發展的一個新趨勢,在企業內部控制體系建設中,積極引進內部控制自我評價方法,把評估小組作為工作小組的一個組成部分,保持其應有的獨立性,充分發揮作用,以實現企業目標。
(一) 關鍵活動單元的選擇。
審計小組于內部控制自我評估活動開始前,從內控體系中選擇要進行評估的關鍵控制活動單元。關鍵控制活動的選擇必須考慮企業面臨的風險,以風險為導向。重點關注影響財務報告信息真實、可靠,與企業目標密切相關的控制活動。同時兼顧一定的全面性,力求覆蓋所有的業務領域及環節。通過定期不定期的評價,使企業所有的控制都能發揮應有作用。
(二)設計發放自我評估問卷進行活動單元自我評估。
在關鍵控制活動建立并運行適當時間后,審計小組負責設計《內部控制關鍵點自評問卷》并發送內部控制自我評估報告。各建設組相關人員接到內部控制自我評估問卷后,在規定的期限內,根據要求填列上報,開展對與活動單元相關的內部控制的自我評估。
(三)內部控制測評。
審計小組根據工作計劃收集各單元的問卷及附表,進行匯總,分析、確定測評范圍。測評范圍的確定必須以風險為導向,同時依賴于審計人員的職業判斷。其次,設計并確定測評程序及測評工作底稿。在正式開展測評前,審計小組人員必須事先設計并確定各項控制活動的測試程序及工作底稿。用以規范內部控制審計工作,降低審計風險。最后,在下發內部控制測評通知后,審計小組根據審計程序開展現場審計工作。
(四)測試報告和后期跟蹤。
審計小組根據各活動建設人員自我評估以及獨立測評的結果,向管理層及決策層提交內部控制測評報告。對照標準,針對內部控制自我評估及獨立測評過程中所發現的缺陷,項目建設組必須擬定整改計劃,并實施整改。
(五)示例。
1、審計小組將銷貨活動單元列為一個測評重點。設計銷貨業務內控自評問卷。
銷貨內部控制調查問卷
建設組:2編號:A-1
調查人: 審計人:日期:
2、 審計人員對關鍵控制活動控制點的現場評估,匯總活動單元控制情況。根據活動單元匯總整個體系控制狀況,從而對控制體系做出評價結果。
銷貨業務職責分離測評表
建設組:2 編號:A-2-1
編制人:***復核人:***
日期:2009-6-6
銷貨內部控制測評表
建設組:2編號:A-2
編制人:***審核人:***
五、構建企業內部控制體系的思考
《企業內部控制基本規范》體系在我國處于剛起步階段,在整個項目的執行過程中有許多問題值得我們進行思考:
(一)治理的效果問題。
每一個企業都有自己的內控體系只是水平層次不齊。比如規模較小企業,由于管理者本身在企業扮演一定的具體控制角色,就沒有必要制定太過細致的控制制度。構建新的企業內部控制體系,不是否定原來存在的一切內部控制制度,重新樹立一套新的控制體系。而應在梳理已有內控體系的基礎上,根據企業自身治理水平的長處和短處進行完善和提高。整個建設過程應平穩積極,避免過多的震動,同時又能積極提升公司治理水平。
(二) 建設過程中的支持問題。
內部控制體系建設的成功,在很大程度歸功于決策層,高官層對內控建設的高度重視。內控體系是公司風險管理的重要措施,是公司健康運行的神經系統。在企業內部進行充分宣傳,取得企業各個層面的理解和支持,在思想上取得認同。是企業建立真正行之有效的內部控制體系的關鍵。
(三) 收益成本問題。
內控體系的成本不僅在于制定的過程要投入的投入,耗費企業一定的財力、人力。內控體系的日常執行,在一定程度上也會提高公司的運行成本。所以,在內控體系的設置上,對任何企業控制點的設立,必須科學地進行分析,根據企業管理水平進行最為恰當的設計和建立,而不是簡單地照搬其他企業的控制體系。
(四) 持續改善問題。
內部控制體系的建立只有起點,沒有終點,不斷完善它,實質上也是公司管理水平、治理水平不斷提升的過程。隨著企業內、外部環境、條件的不斷變化,控制制度也要相應地發生變化。內部控制的實施可能遠比想象中的復雜和困難,如何將內部控制的要素、理念、框架、結構與企業的實際經營活動結合起來,將內控的設計、評價、改進真正落實,這是一項長期而艱巨的任務。尤其是企業內部環境的培育問題及內部控制實施的內在動力問題。作為企業管理有機組成部分的內部控制不應是空中樓閣,它應該深植于企業的日常經營管理之中,內部控制體系的建立是一場真正的從普通到優秀,從優秀到卓越的持久戰。
