谈企业内控体系的建立和评价

余 靖

（1.安徽大学 商学院，安徽 合肥 230039；2.安徽交通职业技术学院 成教部，安徽 合肥 230051）

谈企业内控体系的建立和评价

余 靖1，2

（1.安徽大学 商学院，安徽 合肥 230039；2.安徽交通职业技术学院 成教部，安徽 合肥 230051）

论述了企业内控建设中现存的主要问题和建立企业内控体系的方法和措施，并提出企业评价内控体系重点关注的问题和对策，指出企业在建立和评价内部控制体系时，应结合其发展阶段，重点运用全面性原则、重要性原则、成本效益原则等，制定出适合企业需要的内控体系。

企业；内控体系；建设；评价

2010年4月15日，财政部、证监会、审计署、银监会和保监会联合下发了《企业内部控制应用指引》、《企业内部控制评价指引》和《企业内部控制审计指引》。随后，财政部及时组织了有关专家陆续对《企业内部控制应用指引》进行了详细地解读。这些规章制度对2008年5月下发的《企业内部控制基本规范》进行了详细地阐释，标志我国企业内部控制规范体系建设目标基本建成，对规范企业管理、防范企业风险，促进企业健康持续地发展有着深远积极的意义和影响。通过回顾企业的内控体系建立和评价实践，笔者发现还存在诸多亟需解决的问题。

一、企业内控建设中现存的主要问题

企业在内控体系建设和评价中，普遍存在以下几个主要问题：

1.重业务轻管理

较多的企业所有者及其管理者往往重视市场的开拓，忽视了企业的内部管理，包括企业内部控制体系的建设。他们往往认为业务是龙头，过多的规章制度反而束缚了企业业务的开展。在内控体系建设中不够积极主动［1］33，20。

其次，还有部分企业认为内控体系的建设和评价属于财务部或者审计部等职能部门的事情。过多地依靠职能部门去开展工作。其实，作为规模庞大、业务综合的内控体系建设，单一的某个部门很难胜任。

还有，随着公司业务规模的发展，企业信息化也被提上日程。但在实践中，部门信息不畅通的现象普遍存在。内控的要求常常无法贯穿到企业信息化过程中，这也导致了内控得不到全面和真正地实施。

2.重细节轻基础

部分企业认为内部控制，就是要学会控制企业的具体业务活动。他们对于内控环境的建设往往忽视。其实，内控环境作为内控体系的基础起着至关重要的作用［2］133－134。譬如：在一个治理结构不合理、企业文化缺失的公司，即使某些环节控制较好，也会造成“按下葫芦起来瓢”的现象，也即内控失控的现象会层出不穷。

3.重制度轻流程

不可否认，规章制度是企业管理行为中重要的一个环节。它也是企业内部控制体系建设中不可或缺的重要内容。但是，规章制度不等于内控制度。一个运行良好的内控体系，常常需要规章制度和业务流程的完美结合。只有通过业务流程的描述，企业才会发现哪些地方是企业内控应该关注的重点。很多企业建立了大量的规章制度，却疏于建立规范的业务流程，从而导致内控不同程度地失控［3］30。

4.重制订轻执行

内控体系建设作为一项长期的工程，不是一蹴而就的。在实践中，常有人认为内控既然这么复杂，不如制定一个万能的内控体系，在企业中可以一劳永逸地执行下去。或者，有的公司出于外部监管的需要，制定了名目繁多的内控制度，却常疏于执行。另外，个别公司高层认为内控体系是约束公司其他员工的，自己可以凌驾于内控体系之上，从而常常发生“管理当局凌驾”现象，给公司造成重大损失。

5.重控制轻评价

部分公司既制定了严密的内控体系，也严格执行，却疏于评价，或者企业内部评价流于形式。他们认为，既然都在严格地按照内控体系要求办理公司业务，自然不会出现意外。还有，评价牵涉到个人绩效，为了面子，考核也常常被形式化。

二、如何有效建立内控体系

通过总结企业内控体系建设实践中的经验和教训，为了有效建立企业内部控制体系，笔者认为可以采取如下思路。即：企业应当根据自身发展阶段以及业务规模大小，在分析宏观经济环境和行业特点的基础上明确公司战略规划。据此，可以确定公司的内部控制的目标。这些工作主要由董事会（或类似权力机构）负责制订。明确内控目标之后，为了构建具体的内控体系，企业应当成立专门的内控部门或者内控小组（以下统称为内控部门）。内控部门应当根据国家颁布的《企业内部控制基本规范》、《企业内部控制评价指引》等相关规章以及上市监管部门要求，结合企业实际情况，通过全面分析公司业务状况，确定内控体系建设的重点，在各业务部门配合下完成内控体系的初步建设。具体工作中，需要重点关注以下几点：

1.领导重视，扎实推进

《企业内部控制基本规范》要求内控体系的建设的责任主体是董事会。在企业实践中，董事会可以授权管理层负责制定，然后由董事会负责审批即可发布。企业管理高层尤其是一把手的重视，不但表明内控的重要性，更在于向员工传达一种信心和决心。企业可以根据其自身规模大小以及发展阶段，组建专门的内控部门或者内控小组，以此推动内控体系的建设［4］120。

2.强化战略，优化流程

企业战略是公司前行的方向，而内控体系则是保证企业前行正确的工具。在内控体系建立之前，有必要重新审视公司既定战略是否切实可行，业务流程是否能够满足和优化公司管理。公司战略一定不能作为文字记录在公司业务发展规划中，而应当通过各种场合向全体员工宣讲，以统一目标。实际上，公司战略和业务流程是保证公司内控体系健康运行的重要保证。另外，业务流程的梳理，不一定是推翻重来，企业在长期运作中，已经积累了较为丰富和实用的业务流程。在此阶段，企业只需优化流程即可。

3.全员参与，全面推动

企业管理实践证明，只有自己参与的才会感兴趣，内控体系建设与评价亦是如此。在公司战略制定、流程再造以及内控体系建设等阶段，可以引入不同的形式让员工参与。比如：访谈、建议甚至直接加入内控小组等。通过参与，一线员工不但将最为熟悉的业务特点告诉内控制定者，而且他们知道哪些是控制关键点。在日后执行中，由于有自己的参与，员工执行的热情一般较高。

4.持续改进，不断完善

在充满竞争的时代，唯一不变的就是变化。随着公司所处环境以及自身业务的改变，企业的内控体系毋庸置疑应当持续优化。否则，将可能导致内控制约公司业务发展的负面现象出现。为此，企业应根据PDCA循环的原理持续健全和完善内控体系。

三、企业评价内控体系重点关注的问题和对策

在内控体系评价中，需要重点关注以下问题和对策：

1.加强评价，赏罚分明

著名管理学大师彼得·德鲁克有一句至理名言“评价什么，就得到什么”。那么，“想得到什么，就应该评价什么”。内部控制体系作为企业管理重要的一部分，理应作为公司绩效考核的项目。企业不论是使用何种绩效考核工具，均应将内部控制体系建立和执行的程度及其效果作为公司层面和个人层面的考核指标。通过持续不断的绩效考核过程，内控的理念也会随之深入人心。

企业董事会可以根据企业实际情况，研究确定内部控制重大缺陷、重要缺陷和一般缺陷的认定标准，以及明确各类缺陷的内控责任追究层次，建立内控责任追究制度，构筑内控体系评价闭环管理，强化各管理层级内控责任意识［5］115，120。

2.独立运行，客观公正

内部控制评价的责任主体是公司的董事会或类似权力机构，实际操作中，常授权企业的内部审计部门（或专门机构，以下统称为评价小组）组织实施。评价小组中至少应该包括内部审计人员、流程管理部门人员、财务部门人员、信息技术人员。鉴于审计委员会的独特地位和其职责规定，应由审计委员会负责指导评价小组的工作。此时，评价小组应当充分发挥其独立监督作用，在《企业内部控制基本规范》的指导下，围绕企业具体的内部环境、风险评估、控制活动、信息与沟通、内部监督等要素，对内部控制设计和执行有效性进行全面的评价并形成评估报告［6］112。

另外，内控体系的评价，应注意妥善协调内外评价的关系。内控评价不能仅仅依赖于企业内部的评价。企业要定期（每年度）委托外部中介机构对企业本身以及下属分支机构进行外部评价，为保证评价的独立性，负责内部控制设计和评价的中介机构应适当分离。通过企业内外内控体系监督部门的检查，可以全面地评价公司内控体系建设是否完备。

3.重点评价，把握关键

（1）对内部控制主体的职业道德素养进行评价

因其素质直接影响到企业的行为，进而影响到内部控制的效果和效率，也影响到内部控制评价结果的准确性，内部控制主体的品行也会影响到内部控制评价结果的可信赖性。

（2）对内部控制体系的健全性进行评价

应明确企业内部控制关键控制点的设置思路，然后依据关键控制点的设置思路评价内部控制体系的完整性，特别应关注业务流程过程中曾经发生过舞弊的控制点，是否在评价期间再次出现；

（3）对内部控制体系的合理性进行评价

从适用性、经济性两方面入手。适用性的评价是为了了解企业内部各方对内部控制的接受程度。经济性的评价是遵照成本效益原则评价针对关键控制点（风险点）的控制程序，是否能为企业带来更好的业绩、能否反映重要的偏差、能否以最小的成本去纠正偏差等。

（4）对内部控制体系的有效性进行评价

内部控制效率效果如何关键取决于内部控制体系执行的有效性。通过采用抽查、复核、穿行测试等技术手段对各控制点责任人的履责情况进行评价，对发现的控制缺陷进行分析，查找原因，评估风险大小，提出改进措施。

4.动态评价，持续改进

企业所属单位，也应逐级落实内部控制评价责任，建立日常监控机制，开展内控自查、测试和定期检查评价，发现问题并认定内部控制有缺陷，需拟订整改方案和计划，报本级管理层审定后，督促整改。内审部门应当坚持“动态跟踪”的方式，持续地对公司内控体系进行监督，以适时评价内控体系，发现其设计和运行中的各项缺陷，为进一步改进和完善现有内控体系做好准备［7］39－40。

5.借助IT，提高效率

企业应当逐步建立和完善内控体系评价系统，通过IT系统支撑，固化内控控制评估点、评估方法以及对应责任部门和责任人，以此明晰协助评价的业务部门具体职责；在IT系统中，保留评价痕迹，归集评价档案记录，以此保证内控评价过程规范化和全面性；实现“控制点表单化、表单信息化”管理，以此提高内控体系评价的效率和效果，促进企业管理工作的规范和高效。

企业在建立和评价内部控制体系时，应结合其发展阶段，重点运用全面性原则、重要性原则、成本效益原则等，制定出适合企业需要的内控体系。并随着外部环境的变化，及时修正内控体系。唯有如此，企业才能充分利用内控体系这把利剑，刺破阻碍公司快速健康发展的各种障碍，最终实现其战略目标。

［1］朱琴.建立和完善企业内部控制建设的思考［J］.新会计，2011（2）.

［2］韩龙坤.企业内控管理长效机制的构建路径探讨［J］.中国乡镇企业会计，2010（12）.

［3］李忠萍.建设与完善民营企业内控制度的探讨［J］.商场现代化，2010（30）.

［4］范凯东.浅析我国企业内控制度存在的问题及对策［J］.现代商业，2011（3）.

［5］周翔.浅议中小企业内控存在问题及解决对策［J］.知识经济，2010（24）.

［6］朱廼奕.浅谈加强中小企业内控制度建设［J］.时代经贸，2010（14）.

［7］裘丽娅，严雅茜.对企业内部控制注册会计师审计的理性思考［J］.商业会计，2011（5）.

Discussion on the Establishment and Evaluation of Enterprise Internal Control System

YU Jing

This paper discusses the existing problems of enterprise internal control construction and the measures for establishing enterprise internal control system，puts forward the focused problems and countermeasures，and indicates that overall principle，materiality principle，cost－benefit principle and so on should be applied into establishing and evaluation of enterprise internal control system combining with its development stage so as to develop a suitable internal control system.

enterprise；internal control system；construction；evaluation

F27

A

1671-8275（2011）04-0026-03

2011-06-06

余靖（1979-），女，安徽寿县人，安徽大学商学院在职硕士研究生，安徽交通职业技术学院会计师。

责任编辑：何玉付