新形势下企业内控的要点和难点
中华财务咨询公司业务董事程静萍
《规范》和《指引》的出台，标志着我国各类企业，尤其是上市公司全面开展内部控制体系建设的时机已经成熟，也是企业规范内部控制，提升全面风险管理水平的良好契机。根据五部委要求各类企业施行《规范》和《指引》的时间表，我们可以预见，中国的上市公司将掀起一波内部控制建设的热潮。2010年7月 19日，财政部会计司、证监会会计部举办了境内外同时上市公司内控培训班暨中国企业内控论坛，笔者有幸聆听了财政部会计司几位领导的培训课程，加深了对本次《指引》出台的背景、《规范》和《指引》施行的目标，《指引》具体内容的理解。笔者结合多年从事企业内部控制管理咨询经验，初步探讨在《规范》和《指引》的要求下，建立符合企业经营管理特点的内控管理体系工作的要点和难点。
《规范》和《指引》带了什么新东西
“内部控制”是近年来企业运营管理的一个热门词汇，越来越多的企业开始着手建设内控管理体系，其中不乏有部分管理先进的企业已经搭建了相对成熟的内控体系。这既源于国内外监管要求的压力，也源于企业自身发展过程的需要。提及内控，我们的脑海中自然会浮现“COSO”这个字眼，的确，这个由美国“反欺诈财务报告全国委员会”下属的COSO委员会于1992年提出的《内部控制——整体框架》（简称“COSO”框架）堪称当今企业内控体系建设的圣经。而财政部两年前颁布的《规范》正是以COSO框架为基础，吸纳了目前在企业中应用广泛的COSO五要素内部控制框架及八要素全面风险管理整合框架的内容，并通过《指引》加以具体规范和指导企业实践。但是与COSO相比，《规范》和《指引》更贴合现阶段中国经济发展的特点和中国企业的实际需求，具有更强的可操作性。二者在目标、内容和实施程序上均存在区别，如图1所示：
其中，最主要的区别可归纳为三点：
与COSO框架相比，《规范》和《指引》对内部控制的目标进行了拓展。表面上看，是目标层次上更丰富和完整了，但是实质上却远不止如此。基于制定者的身份和立场，要求企业按照COSO框架完善内部控制，在于将会计师的责任降到最低，规避其执业风险。而我国本次颁布实施的内控框架，把促进企业实现其发展战略和确保企业资产安全纳入主要目标，昭示内控的终极目的在于实现企业价值最大化而非会计师责任最小化。
与COSO框架相比，《指引》的内容更符合中国企业的实际情况，与管理结合更为紧密。以控制环境为例，COSO框架列出“诚信与道德观、董事会与审计委员会、管理层经营风格与理念、组织结构、管理授权与职责分工、人力资源政策与措施”等六项，而《指引》则将“组织结构、发展战略、人力资源、企业文化和社会责任”等列为主要五项内容，涵盖了企业发展方向和经营管理的主要范畴。
与COSO框架相比，《指引》在内控程序上追求的是完整和效率之间的平衡性，而非单纯的完整性。这点是特别符合我国企业发展阶段和经营管理现状的，使内控规范更具可操作性。
综上所述，本次在上市公司推行的内控《规范》和《指引》，并不是对企业已进行的内控管理体系建设工作的否定。对于部分管理比较规范，与国际接轨程度较高，已拥有较为完备的COSO框架内部控制体系的企业，不必推倒重来，另起炉灶，而是在现有基础上，按照《规范》和《指引》的要求，在内容和程序上进行相应的改进和充实。
二、企业内控管理体系建设的难点——处理好四个关系
在《指引》正式出台之前，笔者曾经实施过多个内控管理体系建设的咨询项目，所服务的客户大多是管理相对先进的大型国有企业集团和民营上市公司。每每在被企业的老总们问到诸如“内控管理实施难不难，成本高不高，效果好不好”之类的问题，都觉得很难给出一个确切的答案，因为这项工作的难与否、成本高与否、效果好与否，都取决于是否能处理好以下四个方面的关系。如图2所示：
◎内部控制的成本与效益的平衡关系
笔者接触过的一些公司，尤其是在境外上市的公司，为满足上市所在地的监管要求，通常都会花费高额的成本，聘请国际知名的咨询机构，设计出一套严格遵照相关监管文件要求的内部控制体系文件，并在企业全面地推广实施。这样的做法固然是好，但是如果一味地为追求控制的严格性和完整性，而忽略了随之而来的执行成本，就可能导致负面的结果。
要平衡内部控制的成本与效益关系，企业的领导者首先要树立正确的内控观，即完善内控体系不是为了应付监管机构，而是为了促进企业提高经营管理水平，实现企业价值最大化。其次要遵循成本和收益配比的原则，核算出控制成本与利润的关系。笔者认为，数目众多的中小规模上市公司在实施内部控制规范体系过程中，应在遵照《规范》和《指引》基本要求前提下，尽可能简化执行程序，提高效率，以最低的成本获取最大的收益。
◎内控权利与责任的配比关系
以往部分企业在内控建设和管理工作中，往往将其视为是内控相关部门，甚至是财务部门的责任，领导者名义上虽然担任着项目领导小组的负责人，但是并未给予充分的重视，参与度不够。而内控部门在未获得充分授权的情况下，往往难以调动各方面资源加入内控体系建设工作，导致内控执行达不到预期的效果。证监会副主席李小雪在境内外同时上市公司内控培训班开班仪式上明确指出，“要着力解决内控的权利与责任问题”，要充分借鉴国外经验，赋予企业高管层在实施内控规范的权利，并通过刚性的法律规定，明确如果公司内控失效，高管层应承担的相应法律责任。《指引》和《规范》中对董事会及经理层在建立健全内部控制方面的职责作出了规定，在实施过程中有必要考虑建立相应的责任追究机制，使其权利与责任充分匹配。
◎内控效果与效率的平衡关系
通常而言，内控流程的关键控制点越多，控制的措施越完善，单纯的风险控制效果越好。但是，如果内部控制的环节过多，不仅增加了管理的成本，更重要的是丧失了效率。笔者在调研中经常能听到业务部门的声音，抱怨内控虽然把风险控制住了，但是业务效率也随之下降，因为业务要不断识别风险，满足内控部门要求。与前文提到的成本与效益平衡一样，企业在内控体系建设过程中，应结合自身具体情况，合理地确定业务流程和管理流程的关键控制点，制定控制措施，以取得控制与效率的最佳平衡点。
◎内控制度与公司其他管理制度体系的融合
内控体系建设的成果，最终将通过内控手册及配套的文件体系体现。但是，企业在此之前都已经建立了各种各样的管理制度体系，例如ISO质量管理制度体系、HSE健康安全环保管理体系，财务管理制度、人力资源管理制度、业务操作手册等。借助企业已有的制度基础，尤其是流程类制度文件，根据内控规范的要求，建立内控制度体系文件，既能避免重复劳动，节约成本，又能避免企业多套制度体系并存且不相融，导致员工无所适从，不知道该遵照哪套制度体系执行。
