從三鹿奶粉事件看企業內部控制的實施
企業內部控制是以專業管理制度為基礎，以防范風險、有效監管為目的，通過全方位建立過程控制體系、描述關鍵控制點和以流程形式直觀表達生產經營業務過程而形成的管理規范。
企業內部控制在定義和內涵上，屬于全面風險管理系統的子系統，涵蓋在全面風險管理的范疇內，隸屬于其中的一個重要部分。
從三鹿奶粉事件看企業內部控制的實施
由三鹿奶粉引發的“奶粉事件”震動全國。該事件不僅對整個乳制品行業影響重大，在競爭主體、產品結構、企業架構、供應鏈等方面將重新洗牌，而且引發了公眾對國家危機應對體制、社會道德和企業責任等問題的討論和反思。筆者認為，該事件也暴露了企業在內部控制方面的缺陷和不足，應當引起我們對如何建立健全、有效的內控機制的思考。
一、從內部控制角度看三鹿事件
根據財政部聯合證監會、審計署、銀監會、保監會發布的《企業內部控制基本規范》的定義，內部控制是由企業董事會、監事會、經理層和全體員工實施的、旨在實現控制目標的過程，其目標包括合理保證企業經營管理合法合規、資產安全、財務報告及相關信息真實完整、提高經營效率和效果、促進企業實現發展戰略。建立和實施有效的內部控制包括內部環境、風險評估、控制活動、信息與溝通、內部監督五個要素。從此次三鹿奶粉受三聚氰胺污染的事件本身及應對過程我們可以發現，企業在內部控制的五個要素中或多或少都存在不足，也給我們設計、執行和評價內部控制帶來反思。
1.內部環境。該要素是內部控制框架的基礎所在，涵蓋治理結構、機構設置及權責分配、內部審計、人力資源政策、企業文化、誠信與道德觀等多方面內容。盡管內部控制更強調相互牽制的制度性安排，但顯然人的因素在內部控制，尤其是內部環境中發揮著重要的作用。我們常說“道德使之不愿、法律使之不敢、制度使之不能”，這說明誠信與道德觀或者是企業文化在某種程度上是高于制度本身的。資料顯示，三鹿集團早在2008年3月就接到消費者反映，但直到2008年8月三鹿已經秘密召回部分問題奶粉之時，卻仍然沒有將事件真相及可能產生的后果公之于眾，有媒體稱這種做法直接導致此后的一個多月里又有一批嬰兒食用了三鹿問題奶粉。顯然此次事件在某種程度上檢驗了三鹿集團決策層的誠信與道德觀。事實上除了三鹿集團外，向牛奶中添加三聚氰胺的耿氏兄弟等不法分子、告知這些不法分子通過添加三聚氰胺可通過檢測的技術人員、銷售給不法分子三聚氰胺化工原料的人員，都存在著只顧利益不顧消費者健康的問題，而這種環境因素也許才是真正導致此次事件的罪魁禍首。我國的內部控制基本規范中將職業道德修養和專業勝任能力作為聘用員工的重要標準，要求企業加強文化建設，培育積極向上的價值觀和社會責任感，這對培育一個良好的環境氛圍，更好地發揮內部控制的風險防范作用有著積極的意義，而要實現這個目標顯然非一朝一夕之功。
2.風險評估。這個要素要求企業及時識別、系統分析經營活動中與實現內部控制目標相關的風險，并合理確定風險應對策略。眾所周知，食品中不能添加的物質遠比能添加的多，現有的檢測手段不可能對每種有害物質都進行檢查。就奶粉這種需要從分散農戶處采購原料的食品而言，每個農戶的奶牛喂養過程、原料奶的加工、儲存和運輸過程等都可能存在不同的風險，這就給原料奶的質量檢驗帶來了挑戰。我們知道，一般的企業內部控制都是針對常規事項進行設計的(如奶粉的營養成分是否達標等)，而對例外事項(如添加三聚氰胺)則重視不足。這對內部控制的設計提出了挑戰。顯然，食品加工企業除了對原料采購、產品加工、存儲儲藏、物流配送等各個環節進行風險評價、分析之外，還應該就最可能產生風險的環節設立應對措施，例如風險評估時針對生產的奶粉原料中可能會含有哪些有害物質，原料提供者添加這些物質的可能性以及消費者食用這些物質的后果嚴重性等進行評價、排序，并從原料采購、產成品的檢測驗收等方面設定有針對性的指標，以提高內部控制的效率和效果。
3.控制活動。是指企業根據風險評估結果，采取相應的控制措施來將風險控制在可接受的程度之內。顯然，食品行業的風險問題更多地與消費者的生命財產安全密切相關，控制活動也更應該切實、有效。此次奶粉的污染物三聚氰胺盡管對普通消費者而言還非常陌生，但在食品行業并非首次出現。早在2007年4月，中國徐州的一家寵物食品公司在出口美國的寵物食品中添加此種物質冒充蛋白質，導致大批寵物腎衰竭而死亡。美國食品和藥品管理局也曾通報我國部分企業在出口的用于制造寵物食品的小麥蛋白、大米蛋白及麩皮等植物源性蛋白中違規添加三聚氰胺。對這種“有前科”的食品添加物，食品企業顯然應該有所記錄和警惕。此次三鹿集團奶粉事件曝光后，根據警方抓獲的耿某介紹，在2007年底前向三鹿集團銷售的牛奶就屢次因檢驗不合格而被拒收。而三鹿集團對這種“屢次不合格”牛奶的提供者居然沒有“誠信記錄”，在其向牛奶中添加三聚氰胺，使得“問題”奶進一步演化為“毒奶”而順利通過檢測后沒有保持“合理懷疑”。從事實看，三鹿集團能夠在2007年前“屢次”查出耿某提供的牛奶不合格，說明企業擁有嚴格的采購驗收制度并得到切實執行，但如果能對日常控制活動中發現的一些不良信息進行收集、整理，并對異常現象(屢次不合格的原料提供者后來提供的都是合格原料)尋找合理解釋，以進一步提高控制活動的效率效果，則發現“耿某”類不法分子的伎倆并非全無可能。
4.信息與溝通。這個要素從某種程度上可以看作是內部控制的神經系統，它要求企業及時、準確地收集、傳遞與內部控制相關的信息，確保信息在企業內部、企業與外部之間進行有效溝通。從現有的報道看，早在2008年3月三鹿集團就已經接到消費者的投訴，6月份反映的人越來越多，但直到2008年8月2日，三鹿集團才將相關信息上報給石家莊市政府。這中間已存在信息與溝通不及時、不全面的問題。而根據《國家重大食品安全事故應急預案》的有關規定，地方人民政府和食品安全綜合監管部門接到重大食品安全事故報告后，應當立即向上級人民政府和上級食品安全綜合監管部門報告，并在2小時內報告至省(區、市)人民政府，也可以直接向國務院和食品藥品監管局及相關部門報告。上述規定事實上是對信息溝通的及時性做出了明確的要求，但實際情況是，石家莊市政府直到9月8日才將有關情況的書面報告提交給河北省政府。這種信息與溝通的延遲在一定程度上加大了毒奶粉的危害后果。
5.內部監督。該要素要求企業對內部控制建立與實施情況進行監督檢查，評價內部控制的有效性，發現內部控制缺陷，應當及時加以改進。內部監督分為日常監督和專項監督。作為中國食品工業百強、農業產業化國家重點龍頭企業，三鹿對內部監督不能說不重視，因為其產品是經過“1100道檢測”的。而對于為何沒有檢測出三聚氰胺，專家給出的解釋是在現有的檢測指標中主要是通過檢測氮元素來確定奶粉的蛋白質含量，沒有針對三聚氰胺的專門檢測。而三聚氰胺這種化工原料的含氮量高達66%，不法分子正是通過增加牛奶中的氮元素含量來達到通過檢測的目的。這表明企業的監控活動中，除了日常的監控活動外，還應該有一些專項的、非常規的監控活動，從而達到發現控制缺陷的目的。除了三鹿產品，還有其他被發現存在問題的古城、圣元、伊利奶粉等都被授予“免檢產品”稱號，這意味著上述產品在獲取了免檢證書后可以在有效期內不受各地質檢部門的監督檢查，這顯然也不符合內部控制的持續監控原則。
從三鹿奶粉事件的表面看，主要的風險因素來自原料采購控制環節，但從事件的產生、發展來分析，則無疑牽涉到監管環境、行業特征、內部控制等多個層面。從內部控制的設計看，我們對食品原料的采購驗收環節存在缺陷，指標設計不全面;從內部控制的執行看，我們對風險事項的識別和評估還缺乏科學合理的方法論指導，對信息與溝通的及時性、有效性認識不足，在內部環境的建設尤其是培育積極向上的價值觀和社會責任感方面還應付出更多努力。
二、延伸思考
三鹿奶粉事件絕非個案。早年喂食垃圾的“垃圾豬肉”、喂食含瘦肉精的“問題豬肉”以及查出硝基呋喃類代謝物、環丙沙星、氯霉素、紅霉素等多種禁用魚藥殘留的“多寶魚”事件，都曾在社會上引起極大反響。這些事件或多或少都與經濟利益相關，一些不法商販為個人私利而將法律法規、社會責任、社會公德等拋諸腦后，而對此類問題絕非查處個別責任人或出臺某項制度就可解決的，顯然需要道德、法律和制度層面的整合措施。
在財政部牽頭下，我國的《企業內部控制基本規范》已于2008年6月28日頒布，并將于2009年7月1日起在上市公司范圍內實施(鼓勵非上市的大中型企業執行)，相關的企業內部控制評價指引、應用指引的征求意見也在如火如荼地進行。事實上早在2006年，上交所、深交所就先后頒布了各自的《上市公司內部控制指引》，國資委也在2006年頒布了《中央企業全面風險管理指引》，這對降低企業實現目標過程中的不確定性、提高經營的效率效果等發揮著積極的作用。從2007年滬深股市上市公司公布的年報看，絕大部分的上市公司都遵守證券監管部門的通知要求，在年報中公布了內部控制建設的相關信息，部分公司還披露了董事會/管理層的內控自我評估報告和審計師的核實評價意見。但我們也應該看到，內部控制的實施遠比想象中的復雜和困難。如何將內部控制的要素、理念、框架、結構與企業的實際經營活動結合起來，將內控的設計、評價、改進真正落實，這是一項長期而艱巨的任務。尤其是內部環境的培育問題、內部控制實施的內在動力問題更非短期可見效的活動。作為企業管理的有機組成部分，內部控制不應是空中樓閣，它應該深植于企業的日常經營管理之中。對于企業而言，如何從此次事件中汲取教訓，更好地結合內部控制規范的貫徹實施來提高企業的風險應對能力和戰略目標，是我們應深入思考的問題。
--------------------------------------------------------------------------------
