让内部控制“落地”

□马晋云 段茂尧

内部控制的建立、实施和改善是一个长期的过程，要提高内控管理的实效，必须不断改进完善内控管理的方式方法，使内部控制“落地”，内部控制才能成为企业防范经营风险、提高管理效率的利器。

落实控制环境评价强化分层与制度管理

现代内部控制理论把控制环境作为内部控制的第一要素。但由于控制环境的具体内容涉及道德、文化、理念、态度等方面，存在于人的内心，评价依据难于获取，所以对控制环境的评价通常难以实施。但不解决控制环境的评价问题，就不能对内部控制的状况进行全面、准确的诊断。解决控制环境评价问题，就必须改进评价的标准、程序和方法。一方面要坚持“顺查”与“逆查”相结合。“顺查”是按照控制环境的具体内容逐项进行要素评价。“逆查”是对企业在内部控制建立和实施过程中的表现,如对内部控制的组织分工、资金预算、工作计划和项目培训等，进行认真考察，并据此得出关于管理层控制意识的初步结论。另一方面要坚持“中层”与“高层”相结合。内部控制的业务流程涉及部门和基层的业务内容较多，涉及高层的业务内容较少。在检查评价过程中，除授权审批外，高层控制经常被忽视。实际上，高层控制的重要性大于部门控制，也更能反映控制环境的质量。高层控制的主要方法是会议、决策、制度、调整和沟通等，通过对这些细节的研究，将有助于获得更加可靠的信息。

随着内部控制工作的逐步深入，内部控制业务流程的数量不断增加。数量的扩展将使内部控制的范围趋于完整，如果不进行必要的分层规划，内控的有效性就会出现问题。从体系设计的角度看，把所有的业务流程置于相同的层级，这种“平面设计”没有反映出内部控制的内在规律。因为管理的组织机构是分层的，管理的内容也因管理层级的不同有很大差异，内控不实行分层管理就不能适应企业管理的实际。所以必须对内控的业务流程进行细分和分层，建立子流程体系，以规范管理细节，在控制方式和控制对象之间建立更加紧密的对应关系。内控业务流程分层的方法并不复杂。流程可以按“单位”分级，最高级别流程的分类单位是业务系统，最低级别流程的分类单位是岗位分工，中间级别流程的分类单位是岗位分工的集合。

贺时 供图

贺时 供图

内部控制流程和管理制度是一个整体，在控制流程建立之后，就必须对管理制度进行修订和调整。业务流程是“端到端”的流程，由起点到终点。流程的两端不受部门的局限，通常是跨多个部门的。而管理制度中的较大部分是“部门制度”，只规范部门内部的业务，这容易形成流程大、制度小的局面。要实现有效控制，就应该从“部门制度”的习惯思维中解脱出来，以业务流程为依据构建公司制度。业务流程规范的是控制的“路线图”，管理细节应该由管理制度来规范。而过去的管理制度或者对内控的重要事项没有涉及，或者与内控的要求不一致，因此必须根据内控制度的要求，对管理制度进行修订，以使两者保持一致，才能确保内控的有效性。

兼顾风险与效率注重效果评估

牺牲效率不是完美的内部控制的必然代价。在企业的经营实践中，忽视风险控制固然可以使企业遭受灭顶之灾，而效率低下的企业也不可能获得成功。因此，完美的内部控制应该做到风险控制和经营效率的兼顾。为此，应该放弃控制可以承受的风险。根据成本效益原则，对控制成本大于预期收益的风险应该放弃控制，而采取规避、转移风险的措施，如购买商业保险等，而不必事事控制。

研究表明，在习以为常的管理程序中，存在许多不增加任何价值的程序，并消耗了企业的资源，删减、合并此类程序是流程管理的核心职责之一。培训并提高员工的道德水准，以减少控制成本。

同所有的管理事项一样，责任分工是实施内部控制的基础。内部控制的管理责任可以分为建立体系的责任、实施控制的责任、检查与评价的责任和奖罚的责任。建立体系的责任在公司高层。高层管理人员除了制定内部控制的计划和政策之外，最重要的工作是建构良好的控制环境。包括进行合理的机构设置和人员安排，制定员工道德规范并督导实行，描述控制文化并使之深入人心，调整人力资源政策使之有利于实施内控，制定严格的奖罚制度等。实施控制的责任是立体的，从员工到高层均在其中。核心的问题是，流程管理的思想要求我们把业务流程作为一个系统来管理，不能因为部门的存在而被切割。在流程跨越部门的时候，谁是流程的管理者，这个管理者应该承担怎样的责任等，这些都必须进行清楚的界定。

内部控制有自身的要素和形式特征，对这些形式特征进行检查和评价在内部控制学上称为符合性测试。符合性测试是内部控制检查与评价的基础，但是形式符合不会必然导致控制目标的实现，因为内控也可能由于控制程序设计缺陷、人员串通舞弊、员工素质低下等原因而失效。在有的情况下，形式符合只是内部控制的表象，不能真实反映内部控制的实际状况。因此，对内部控制实际有效性的评估十分必要。如何才能实现这种转变呢？一是要增加业务流程的可考核性。在目前的内控业务流程要素安排中，只有关于风险的控制目标，缺少关于绩效的控制目标，致使有效性评估依据不充分。二是要加强业务流程的设计合理性检查。如果业务流程存在设计缺陷，进行符合性检查是没有意义的。只有合理的设计，才能导致有效的结果。