新《企业内部控制基本规范》解读

朱亚平

摘要：文章对新《企业内部控制基本规范》的目标定位、设置原则、要素架构、实施机制，以及必须全员参与，进行全过程的内部控制等进行了解读。旨在对企业更好地按照《基本规范》要求，尽快建立和健全内部控制制度有所裨益。

关键词：内部控制；控制目标；风险评估：控制活动：内部监督

2008年6月28日五部委(财政部、证监会、审计署、银监会、保监会)联合发布的《企业内部控制基本规范》(财会[2008]7号文，以下简称基本规范)，自2009年7月1日起先在上市公司范围内施行，鼓励非上市的大中型企业执行。小企业和其他企业可以参照本规范建立与实施内部控制。这是继新企业会计准则和审计准则之后，在会计、审计领域实施的又一与国际接轨的重大改革。

《基本规范》既借鉴国际惯例，以极其开放的态度，广泛吸取了国际范围内有关内控的多项有益成果。又坚持立足我国国情，吸取我国经济管理尤其是改革开放30年的经验教训，形成了国际要求和我国实际相互协调的内部控制强制性要求。确定了我国建立和实施内部控制的基本目标、设计原则、要素架构和实施机制。可以自豪地说，《基本规范》在拥有美国《萨班斯一奥克斯利法案》(SOX)等效强制力的同时，比其对企业内控要求更加具体详细；在拥有与美国COSO报告同样的内控框架效用的同时，比其具有更高的权威性和强制力，标志着我国企业内部控制规范体系建设取得了重大突破。

一、企业内部控制目标定位

内部控制是由企业董事会、监事会、经理层和全体员工实施的，旨在实现控制目标的过程。《基本规范》将内部控制目标定位在“合理保证企业经营管理合法合规、资产安全完整、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略”这一高度上。

(一)促进企业经营管理合法合规

内部控制要求企业必须将发展置于国家法律法规允许的基本框架之下，在守法的基础上去实现自身的发展。

(二)促进资产安全完整

资产安全是投资者、债权人和其他利益相关方普遍关注的重大问题，是企业可持续发展的物质基础。因此，良好的内部控制应为资产安全提供扎实的制度保障。

(三)促进提出信息报告质量

可靠的信息报告能够为企业管理层提供适合其既定目标的准确而完整的信息，支持管理层的决策和对营销活动及业绩的监控。只有保证对外披露的信息报告的真实完整，才有利于提升企业的诚信度和公信力，维护企业良好的声誉和形象。

(四)促进提高经营效率和效果

这一目标它要求企业必须结合自身所处的特定的经营、行业和经济环境，通过健全有效的内部控制，不断提高营业活动的盈利能力和管理效率。

(五)促进实现发展战略

这一目的它要求企业将近期利益与长远利益结合起来，在企业经营管理中努力做出符合战略要求，有利于提升可持续发展能力和创造长久价值的策略选择。这是企业内部控制的终极目标。

《基本规范》确定的这一内部控制目标，既借鉴了国际上有关内部控制目标的定位，又立足于我国国情。既遵循了适当的前瞻性和发展性，又考虑了《基本规范》的稳定性和可操作性。且将内部控制作为一种动态的过程而不仅是静态的制度。完全克服了以往我国内部控制目标主要定位在保证业务活动有效进行，防错纠弊，保证会计资料的真实、合法与资产的安全和完整方面的局限性。

二、企业内部控制制度设计原则

《基本规范》确定了企业建立并实施内部控制的5项原则：

(一)全面性原则

内部控制应当贯穿决策、执行和监督全过程，覆盖企业及其所属机构的各种业务和事项。

(二)重要性原则

内部控制应当在全面控制的基础上关注重要业务和事项和高风险领域，切实防范重大风险。

(三)制衡性原则

内部控制应当在治理结构、机构设置及权责分配、业务流程等方面形成相互制约、相互监督、同时兼顾运营效率。

(四)适应性原则

内部控制应当与企业经营规模、业务范围、竞争状况和风险水平等相适应，并随着情况的变化及时家以调整。

(五)成本效益原则

内部控制应当权衡实施成本与预期效益，以适当的成本实现有效控制。

《基本规范》确定企业建立和实施内部控制应遵循的上述原则，是企业建立和实施内部控制所依据的规则和基本要求，这对于企业选择内部控制程序和方法具有重要的指导作用。

三、企业内部控制要素架构

《基本规范》明确指出企业建立实施有效的内部控制应当包括内部环境、风险评估、控制活动、信息与沟通和内部监督5要素。

(一)内部环境

一般包括治理结构、机构设置及权责分配、内部审计、人力资源政策、企业文化等。内部环境规定企业的纪律和架构，影响经营管理目标的制定，塑造企业文化并影响员工的控制意识。内部环境是企业实施内部控制的重要基础。

(二)风险评估

主要包括目标设定、风险识别、风险分析和风险应对。风险评估是指企业及时识别、系统分析经营活动中与实现内部控制目标相关的风险(内部和外部，固有和剩余)，合理确定风险应对策略(风险规避、风险降低、风险分担和风险承受)的过程。企业应采用定性和定量相结合的方法；按照风险发生的可能性及其影响程度，对识别的风险进行分析和排序，确定关注重点和优先控制的风险。根据风险分析结果结合风险承受度，权衡风险与收益确定风险应对策略。并结合不同发展阶段和业务拓展情况，持续收集与风险变化相关的信息，进行风险识别和风险分析，及时调整风险应对策略以实现对风险的有效控制。风险评估是企业实施内部控制的重要环节。

(三)控制活动

常见的控制措施有：不相容职务相分离控制、授权批准控制、会计系统控制、财产保全控制、预算控制、运营分析控制、绩效考核控制。它是指企业管理层根据风险评估结果，采用相应的控制措施，将风险控制在可承受度之内。企业应当根据内部控制目标，结合风险应对策略，综合运用控制措施，对各种业务和事项实施有效控制。控制活动是企业内部控制的具体方式。

(四)信息与沟通

其主要环节有：确认、计量、记录有效的经济业务，在财务报告中恰当揭示财务状况、经营成果和现金流量；保证管理层与企业内部、外部的顺畅流通，保证与利益相关者、监督部门、注册会计师、供应商的沟通。信息沟通是企业及时准确地收集、传递与内部控制相关的信息，确保信息在企业内部、企业与外部之间进行有

效沟通。其方式是灵活多样的，但无论哪种方式都应当保证信息的真实性、及时性和有效性，以确保内部控制的有效运行。信息与沟通是企业实施内部控制的重要条件。

(五)内部监督

主要包括日常监督和专项监督。是企业对内部控制建立和实施情况进行监督检查，评价内部控制的有效性，对发现的内部控制缺陷及时加以改进。监督是一种随着时间的推移而评估制度执行质量的过程，监督情况应当形成包括揭示内部控制重要缺陷的书面报告。并应有畅通的报告渠道，确保发现的重要问题能送达经理层和管理层。同时应当建立内部控制缺陷纠正、改进机制，充分发挥内部监督效力。内部监督是企业实施内部控制的重要保证。

显然，《基本规范》科学地构建了一套内部环境优化、风险评估科学、控制措施得当、信息沟通迅捷、监督制约有力的内部控制框架。

四、企业内部控制贯穿全员、全过程

内部控制是由企业董事会、监事会、经理层和全体员工实施的旨在实施控制目标的过程。董事会负责内部控制的建立健全和有效实施，直接影响内部环境这一控制基础。而监事会对董事会建立和实施内部控制进行监督；经理层负责组织领导企业内部控制的日常运行，在内部控制中承担重要责任。企业所有员工都应在实现内部控制中承担相应职责并发挥积极作用。企业应当在董事会下设立审计委员会，负责审查企业内部控制、监督内部控制的有效实施和内部控制自我评价情况。这就形成了从董事会到全体员工全员参与的内部控制。克服了长期以来，我国企业内部控制建设滞后、相关各方执行时权责不清，从管理层到员工缺乏企业内部控制的责任与动力，经营管理水平不高，不能适应市场经济发展的状况。

同时《基本规范》规定企业内部控制应当贯穿决策、执行和监管全过程，覆盖企业及其所属单位的各种业务和事项，这就将企业的整个经营管理活动都置于内部控制的管理之中。强化了企业风险防范意识和社会责任感，实现了由内部牵制、单一会计控制向全面、全员、全过程的内部控制观念的转换。

五、企业内部控制实施机制

《基本规范》规定企业应当建立规范的公司治理结构和议事规则，形成科学有效的职责分工和制衡机制，并建立内部控制实施的激励约束机制，将各责任单位和全体员工实施内部控制的情况纳入绩效考评体系。国务院有关部门对企业建立与实施内部控制情况进行监督检查；接受企业委托从事内部控制审计的会计师事务所，对企业内部控制的有效性进行审计，并出具审计报告。

这就建立了以企业实施为主体，以政府监管检查为促进，以中介机构审计为重要组成部分的有考核、有监督、有审计的完善的内部控制实施机制。这必将有利于企业内部控制工作的开展，促进内部控制的有效实施。必将大大提高企业经营管理水平、风险防范和可持续发展能力，维护社会主义市场经济秩序和社会公众利益。这对强化企业改革和资本市场的发展，构建和谐社会具有及其重大的推动作用。