一、COSO內部控制整體框架的概念及應用
COSO是由美國Tread-way委員會（全國舞弊性財務報告委員會）成立，其成員有美國會計師學會、內部審計師協會、金融管理學會等專業團體。1992年，COSO提出了《內部控制整體框架》報告，COSO內部控制整體框架的核心內容是內部控制的定義、目標和要素。
其中，控制環境是整個內部控制框架的基礎，風險評估是依據，控制活動是手段，監控是保證，信息與溝通是載體。該報告認為，內部控制是由董事、管理層及其他人員在公司內進行的，旨在為經營的有效性、財務報告的可靠性、適用法律法規的遵循性提供合理保證的過程。
無論是美國SOX法案404條中規定要求的財務報告內部控制，還是巴塞爾委員會頒布的商業銀行內部控制框架，都是將COSO于1992年發布、1994年增補的《內部控制——整體框架》作為理論基礎加以發展、改進和應用的。
二、我國企業內部控制制度的五要素及其重要性
借鑒COSO頒布的內部控制整體框架的內容，《企業內部控制基本規范》（以下簡稱《基本規范》）將內部控制的要素歸納為內部環境、風險評估、控制活動、信息與溝通、內部控制五大方面。這五大要素對于企業內部控制實施而言，都起著怎樣的作用？以下一一列舉。
（一）內部環境——內控體系的基石
除了看到公司所處的外部環境，對于企業自身能力的審視也必然是不可或缺的重要方面之一。對于企業內部管理要素，怎樣能夠做到有效地調整，這既是企業管理及控制的原則，也是基石。
內部環境主要包括治理機構、組織機構設置與權責分配、發展戰略、內部審計、人力資源政策、企業文化、反舞弊機制、社會責任等。如圖1所示。
（二）風險評估——內部控制更有效
一個公司對于風險的關注表現在公司渴望或要求規避風險。一般地，風險評估是指，在風險事件發生之前或之后（但還沒有結束），該事件給人們的生活、生命、財產等各個方面造成的影響和損失的可能性進行量化評估的工作。即風險評估就是量化測評某一事件或事物帶來的影響或損失的可能程度。
當今社會，經濟環境變幻莫測，企業之間競爭也是激烈異常，企業經營風險不斷提高，運用內部控制，目的就是幫助企業降低風險。
（三）控制活動——內部控制的“心臟”
控制活動貫穿于企業內部各個階層和所有職能部門，是指企業根據風險評估結果，采用相應的控制措施，將風險控制在可承受度范圍之內。企業采用的控制措施一般包括：不相容職務分離控制、授權審批控制、會計系統控制、財產保護控制、預算控制、運營分析控制和績效考評控制等。
（四）信息與溝通——信息流暢的重要性
《企業內部控制基本規范》中明確指出，企業應當建立信息與溝通制度，明確內部控制相關信息的收集、處理和傳遞程序，確保信息及時溝通，促進內部控制有效運行。如果運用不當，或者封閉信息，無法和外界及時互動，最后的結果必然是落后于同行業其他公司的發展水平。
（五）內部監督——內部控制運作的“潤滑劑”
內部監督是內部控制體系中不可或缺的一部分，是內部控制得到有效實施的有力保障，具有非常重要的地位。通過內部監督，企業可以發現內部控制的缺陷，及時改善內部控制體系，促進企業內部控制的健全性、合理性；提高企業內部控制施行的有效性；也是外部監管的有力支撐。同時，還能夠減少代理成本，保障股東的利益。
三、目前我國中小企業內部控制制度存在的問題
由于企業規模等各方面因素的影響，中小企業的內部控制制度一般都不夠健全，也存在著許多不足的地方。主要有以下幾個方面。
（一）內部控制制度不健全
目前，多數企業的內部控制制度不夠全面，沒有覆蓋所有的部門和人員，沒有滲透到企業各個業務領域和各個操作環節，使中小企業會計工作秩序混亂、核算不實而造成會計信息失真現象極為嚴重。所有這些，都與企業內部控制制度不健全密切相關。究其原因，主要表現為：與組織結構有關；與制度體系有關；與單位負責人有關。部門之間缺乏有效的協調和牽制，往往造成管理脫節，產生漏洞，使人有機可乘。
（二）缺乏有效的監督機制
為了加強監督，我國已形成了包括政府監督和社會監督在內的企業外部監督體系。但如此龐大的監督體系對中小企業的監督效果卻不盡如人意。有的企業雖然有內部審計，卻不能充分發揮其職能。一些企業的業務經辦人員、財會人員甚至領導干部利用監督不力的漏洞，大量收受賄賂，大肆侵吞公款，利用虛假發票非法占有企業資金等。
（三）對內部控制制度認識片面
內部控制制度是企業各個業務部門或人員在業務運作過程中形成的相互影響、相互制約的一種動態機制，是具有控制功能的各種方式、措施及程序的總稱，它絕不等同于規章制度，也不等同于內部管理，更不是組織計劃。內部控制要以有效性為前提，其關鍵是作為內控制度主體的經理和員工。由于一些中小企業的經理和員工對內控制度認識上存在偏差，導致企業認識不到內控制度的重要作用，造成企業的管理混亂。
（四）內部控制制度的行為主體素質較低
中小企業財會人員的思想教育、業務培訓跟不上，一些根本不具備從業資格的人員混進財會隊伍，思想素質差，業務一知半解，連正常的會計業務都處理不好，更談不上內部控制制度的運用。一些企業領導對會計制度、會計準則一竅不通，卻目無法規，獨斷專行，勢必給企業造成不可挽回的損失，使本就資金緊張的企業舉步維艱。
（五）內部審計職能較弱
內部審計是企業內部控制制度的一個重要組成部分。據調查，為數不少的中小企業沒有設置內部審計機構，即使具有內審機構的企業，其職能也已嚴重弱化，不能正確評價財務會計信息及各級管理部門的績效。于是，各級管理部門更加有恃無恐，趁機鉆了內部控制的空子。另外，內部審計機構職能的發揮從很大程度上取決于企業最高層的主觀意愿。
四、加強我國中小企業內部控制的對策
（一）建立健全的內部控制體系
一是優化控制環境。控制環境是對控制程序和控制技術的選擇及其有效性有著重要影響的各種因素的總和，包括外部環境和內部環境兩大類，但外部環境超出了企業的控制能力，因而不能作為內部控制系統的組成部分。
二是明確控制目標。內部控制的目標與其經營目標緊密相關，企業應確定單位內部每一管理階層所應達到的具體目標，進行目標分解，并且內部各階層應協調合作才能達到預定目標。
三是建立健全與業務規模相適應的組織機構與權責分派體系。企業在設置組織機構時，首先要根據自身特點，按照不同的管理幅度劃分不同的管理層次，設計不同的組織機構；其次，要明確規定各職能機構的權限與責任；再次，要規定各層次主管人員不僅要履行自己的職責，而且要對其下屬進行有效的監督和檢查，保證各層次目標的實現。
此外，還要設立一個良好的信息與溝通系統，以增強企業內部控制的效率和效果。
（二）建立員工培訓機制
中小企業的員工整體素質較低，而科學的內控體系又與員工的素質密切相關。因此，企業應結合實際，建立切實可行的員工培訓機制。通過培訓，使員工更具工作責任感，明確自己工作的重要性，養成良好的工作習慣，逐步提高自身的思想素質和業務素質。要使員工認識到，內控制度不是哪一個人的事情，而是員工的集體行為，從而達到整體提高員工素質的目的。
（三）加強內部審計控制
內部審計機構應直接對企業最高領導層負責，保持相對獨立性。企業通過內部審計制度對各級管理層的財務活動和管理活動進行評價，包括企業經營方針的貫徹執行情況、企業財務會計信息的真實性和可靠性、各級管理人員的績效、內控環節的協調情況等。內部審計機構的組成人員應該由企業最高層直接聘任，讓業務能力強、思想素質高、敢說真話、敢于堅持正義的員工從事內部審計工作。
（四）高度重視內部控制制度
一套嚴密的內部控制制度的順利實施，企業負責人起著十分重要的作用。離開企業領導的高度重視，再好的控制體系也顯得軟弱無力而流于形式。因此，企業領導必須自覺地接受內控制度的制約，力求使內控制度在企業內部隨時發揮作用。
五、總結
中小企業內部控制問題是復雜多樣的，無論何種組織結構，都有其優點和不足。只有根據企業的不同情況、不同問題，采取靈活機動的方v
