浅议上市公司如何有效实施内部控制

卢鸿飞

一、上市公司建立内部控制体系的必要性

基本规范和内控指引所述的内容覆盖了企业所有的业务，已经远远超出财务与会计的范畴，特别是在内控指引中，对企业的各项业务活动给出了内部控制的定义、控制目标、关键风险点，以及对风险管理点的指导。基本规范共七章五十条，各章分别是:总则、内部环境、风险评估、控制活动、信息与沟通、内部监督和附则。内控指引包括18个应用指引、1个评价指引、1个审计指引。基本规范强调内部控制是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程，要求企业在保证经营管理合法合规、资产安全、财务报告及相关信息真实完整、提高经营效率和效果的基础上，着力促进企业实现发展战略。由此可见，企业内部控制的实质是实现管理的精细化，它从结果控制到过程控制、从执行层控制到决策层控制、从消除风险到管理风险、从合规内控到管理控制、进而到价值链的控制，对企业的健康持续发展起到保驾护航的作用。

目前，上市公司为了规范企业行为、防范各类风险和避免经营失败，建立了包括会计控制在内的企业内部控制制度并在执行过程中不断的加以完善，但会计信息造假、营私舞弊事件仍时有发生。同时，大多上市公司由国有企业改制而来，公司治理缺失，管理层的知识结构、观念更新较慢，对内部控制的作用认识不足，执行内控制度情况较差，因此，上市公司必须依据基本规范和内控指引制定具体的执行方案，建立整套完善的内部控制体系，并形成有效的内部控制评价程序，保证内部控制落到实处而不至流于形式。

二、上市公司如何实施内部控制

1.从组织架构上，建立完整的内部控制组织架构，内部控制组织架构由股东大会、董事会、监事会、经营班子和各部门、各下属子公司等构成，各构成成分根据公司的实际情况和基本规范要求明确其控制目标、组织职责和权限，建立完整的制衡和监督机制。同时，成立“内部控制领导小组”，作为内部控制体系建设的专职机构，以专门队伍负责公司内控制度的建设及宣贯、内部控制工作的实施、内部控制制度执行情况检查和公司风险防范和控制。

2.从工作开展上，首先要梳理业务流程，将现有制度清晰的梳理一遍，根据公司经营情况和行业特点，结合基本规范要求，检查公司是否存在过失的、相互冲突的、需要修补和调整的制度。一般地，上市公司应按照《公司法》、《股票上市规则》、《企业会计制度》、《企业会计准则》等法律法规，制定包括董事会、监事会、股东大会、独立董事、管理高层等议事和工作制度，以及信息披露、资金募集、重大信息内部报告、关联交易、对外担保等一系列公司内部管理制度，涉及公司业务的各个方面，为公司在重大投资决策、关联交易、财务管理以及研发管理、人力资源管理、行政管理、采购管理、生产和销售管理及相关的信息披露等各个方面。确保上市公司财务报告的准确性和可靠性，公司经营活动的高效率、高收益运行，以及保障公司资产安全地、高质量存活。

其次，是编制内部控制管理手册，并组织培训，将公司内部控制政策深入灌输到上至公司老总、下至基层员工，使得公司每一位成员都不能游离于内部控制之外。同时，强化员工的主人翁意识，将内控意识融入公司的企业文化中。内部控制手册的编制目的是为了管理风险，使管理制度更加有效的发挥作用，用内部控制将管理制度串起来。

三是，将质量保证体系（下称ISO9001）与内部控制合为一体。质量保证体系关注的是质量领域，也可以起到防范企业经营风险的作用，ISO9001有着严格的稽核程序，将ISO9001与内部控制有机结合起来，可以达到全面管控效果。比如，在存货管理的活动中，在ISO9001的存货管理表中加入会计入账的控制点，内控和质量稽核人员依规定从事稽核，更好地保证资产质量和资产安全性。

三、如何保证上市公司内部控制发挥长期高效的作用

上市公司大力发展公司规模，公司的业务量持续增大，因此上市公司在实际经营过程中可能会出现新的问题、新的需求，同时由于全球经济一体化发展，企业为了加强竞争力，适应新的经济形势，必须不断完善内部控制并将内控工作落到实处，以发挥内部控制的有效性，保证上市公司资产安全、财务信息真实可靠。

1.上市公司必须建立内部控制信息化平台，运用信息技术实现对各类业务和事项的刚性控制，减少人为操作因素，提高内部控制工作效率和执行力。一般地，企业以ERP（企业资源计划）为核心的管理信息系统，外接办公自动化、电子商务、客户关系管理、生产管理等子系统，将企业采购、生产、销售、资产管理等方面的控制点，包括业务流程、岗位职责、管理权限、不相容角色的划分等等，以标准的信息化控制模板导入内部控制信息化平台，保证企业的每项业务都在内部控制的信息化平台内运行，以实现内部控制体系的有效监督。

2.上市公司必须建立内部控制评价机制。内部控制评价是推动企业内部控制规范体系有效实施和不断完善的重要手段，企业通过开展内部控制评价，查找、分析内部控制缺陷，并有针对性地采取有效应对措施，及时堵塞管理漏洞，持续改进和完善企业的内部控制体系。

上市公司必须建立内部控制评价管理办法，明确内部控制评价范围、评价内容、评价方法和标准、评价程序等，将内部控制工作完成情况纳入各级管理层的业绩考核。一方面，公司各管理部门或业务单位依据内部控制管理手册，实行内部控制自我评价，另一方面，内部控制领导小组将内部控制监督日常化，随时监督检查各管理部门或业务单位的内部控制工作的开展和执行情况。内部控制评价结果与各级管理层的绩效考核和个人晋升直接挂钩，对重要控制点实行一票否决制，保证内部控制体系有效进行。

3.加强上市公司内部审计，充分发挥内部审计作用。企业内部控制是为了推进经济实体有效运营，内部审计是协助管理层调查、评估内部控制制度，并向管理层提出恰当建议，以保证内部控制持续实施。内部审计是内部控制体系的重要分支系统，是企业实现内部控制目标的重要手段，企业可以通过内部审计机构来评价管理部门或业务单位执行内部控制的健全性和有效性。上市公司可以在董事会下设立由独立董事组成的审计委员会，同时在经营层面设立独立的内部审计机构。内部审计与内部控制体系高效联动，对内部控制的失效点进行实地调查，深入研究其内在原因，切断利益关联，保证内部控制有效执行。

4.引入具有资质的外部评价机构对上市公司内部控制体系进行的有效性评价，并将其评价结果并入管理层的业绩考核。根据内部控制基本规范要求，上市公司必须披露内部控制自我评价报告，但是上市公司管理层本身就负责包括监督在内的内部控制工作，同时，企业内部控制体系的实施还受到经营风格、诚信原则、道德价值观念等因素的影响，所以，必须内部审计、自我评价、外部评价三管齐下，尤其要强化外部评价和监督的作用，以确保上市公司的内部控制体系有效运行。

总之，有效性是内部控制的精髓所在，是内部控制发挥作用的关键，是内部控制的完整性和合理性的最终体现。完善有效的内部控制体系是保证上市公司正常运行的基础，也是全面提升企业管理水平的关键所在。在当前国家制定并发布的企业内部控制规范体系下，上市公司将率先实施试点，充分发挥内部控制作用，使上市公司的管理水平跨上新台阶。