我国企业内部控制建设研究

杨周南 刘梅玲 吴寿元

【摘要】 2010年，财政部会同证监会、审计署、银监会、保监会五部委创建了适应我国企业实际情况、融合国际先进经验的中国企业内部控制规范体系。借此契机，文章以企业内控建设背景为切入点，系统地阐述企业内控建设的理论基础，从而归结出企业内控建设的机理和实质所在。在此基础之上，以我国A股主板上市公司SJ集团为例，详析企业内控建设的筹备过程和具体建设过程，以期为我国正在或将要进行内控建设的上市公司及相关大中型企业提供有益参考。

【关键词】 上市公司； 内部控制； 内控建设

一、企业内控建设的背景

人类社会进入21世纪以来，公司治理和内部控制逐渐成为经济管理界最热门的研究课题之一。从2001年来连续爆发的安然、世通和施乐公司的财务造假案件，暴露了美国大型上市公司内部控制体系的严重缺陷，并直接导致了《萨班斯法案》的出台。纵观我国经济现实，不少企业管理松弛、违法违规、内部控制薄弱、风险频发，导致资产损失、经营亏损、营私舞弊等现象十分严重，上市公司频发内控失效和财务舞弊案事件，从郑百文、中航油新加坡、四川长虹、科龙、三鹿集团奶粉事件，到最近发生的绿大地、紫鑫药业等上市公司财务造假案件，以及财政部、审计署对企业的年度财务检查中频繁查出的各种财务问题，无不彰显我国企业在公司治理和内部控制方面存在重大缺陷。企业内部控制作为公司治理的关键环节和经营管理的重要举措，对于防止、发现、抑制和纠正财务舞弊和财务造假至关重要。为此，建立健全内部控制，有效防范各类风险，完善自我评价机制，接受审计监督，已成为相关监管部门和各类企业的首要任务之一。

（一）企业内部控制规范体系的出台

为加强和规范企业内部控制，提高企业经营管理水平和风险防范能力，财政部会同证监会、审计署、银监会、保监会（简称“五部委”）创建了适应我国企业实际情况、融合国际先进经验的中国企业内部控制规范体系。

2008年5月22日，五部委联合发布《企业内部控制基本规范》，自2009年7月1日起在上市公司范围内施行，鼓励非上市的大中型企业执行。该基本规范的发布，确立了我国企业内部控制的基础框架。2010年4月26日，五部委又联合发布“企业内部控制配套指引”（以下简称“配套指引”）。该配套指引包括《企业内部控制评价指引》、《企业内部控制审计指引》和18项《企业内部控制应用指引》，自2011年1月1日起首先在境内外同时上市的公司施行，自2012年1月1日起扩大到在上海证券交易所、深圳证券交易所主板上市的公司施行；在此基础之上，择机在中小板和创业板上市公司施行；同时，鼓励非上市大型企业提前执行。配套指引连同此前发布的《企业内部控制基本规范》，标志着适应我国企业实际情况、融合国际先进经验的中国企业内部控制规范体系基本建成。

中国注册会计师协会为了规范注册会计师开展内部控制审计业务，明确工作要求，提高执业质量，维护公众利益，于2011年10月11日发布了《企业内部控制审计指引实施意见》，自2012年1月1日起施行。

（二）证监会的相关要求

为进一步贯彻落实《国务院批转证监会关于提高上市公司质量意见的通知》和《企业内部控制基本规范》及配套指引，积累内控规范的实施经验和监管经验，证监会于2011年2月14日印发《关于做好上市公司内部控制规范试点有关工作的通知》（以下简称“试点通知”）。“试点通知”中将2011年试点单位分为两类：一类为按规定实施类，按配套指引规定，68家境内外同时上市的公司在2011年实施《企业内部控制基本规范》及配套指引；一类为自愿试点类，在上市公司自愿的基础上，根据证监会机关和证监局的推荐，共选取216家①公司参加内控规范试点。

（三）SJ集团内部控制建设项目概况

为贯彻实施《企业内部控制基本规范》及配套指引，根据“试点通知”及相关要求，作为陕西省2011年上市公司内控规范自愿试点单位之一的SJ（集团）上市公司（简称“SJ集团”），聘请北京大华融智管理咨询有限公司（简称“大华融智”）作为内部控制咨询服务中介机构。笔者作为该咨询项目的乙方项目组成员，深度参与了其内控建设的全过程，希望该上市公司内控建设过程及经验能够为2012年及以后启动类似项目的企业提供有益参考。

二、企业内控建设的理论基础

（一）控制论

控制论主要研究各类系统的调节和控制规律。反馈方法是控制论中的主要方法之一，是指施控系统把控制信息输送出去，作用于被控系统，又将其作用结果信息返送回去，影响和调节信息的再输出，起到控制作用的一种方法。简单来说，就是运用反馈的概念去分析和处理问题的方法。在SJ集团内部控制建设过程中，用内控缺陷查找、内控缺陷整改、内控自我评价、内控审计等反馈方法来检验内部控制的设计和执行是否有效，以促成其内部控制的日臻完善。

（二）内部控制理论

内部控制理论，主要研究内部控制的含义、目标、基本假设、基本原则、基本内容和方法。它从20世纪40年代前的内部牵制，发展到20世纪40～70年代的内部控制，再到20世纪70～90年代的内部控制结构，最后发展成为20世纪90年代后的内部控制整体框架，其中以COSO2004年9月发布的《企业风险管理——整合框架》最为著名。该整合框架为我国企业内部控制规范体系的建立提供了有效借鉴，也为我国企业实施该规范体系提供了最为有力的理论支撑。

（三）内部控制工程学

内部控制工程学，是在设计和实施内部控制系统时，为了实现降低成本、提高经济效益、减少风险的既定目标，用工程学的方法使内部控制系统从理论到实践的相互转化的过程规范化与科学化所形成的应用工程学科，重点是解决内部控制理论与实践相互转化过程中所面临的实施、评价、反馈等以及由此带来的相关技术、管理、风险等问题。SJ集团内部控制的建设过程，是从企业内部控制理论到企业内部控制实践的转换过程，该转换过程采用了内部控制工程的规范化方法和技术，以经济地设计和建设高质量的内部控制系统并有效地维护。

三、企业内控建设的机理和实质

在企业内部控制建设相关理论的支撑之下，本文归结出企业内控建设的机理，如图1所示。

由图1可见，整个内控建设是一个循环往复、不断提升的过程，每一循环的内控建设又可分为以下五个步骤：

第一步，确定内控建设的单位范围和流程范围。根据证监会的“试点通知”，自愿试点类公司应按照《企业内部控制基本规范》及配套指引的要求，做好母公司及重要子公司②财务报告内部控制的建设③、自我评价和审计工作。其中母公司及重要子公司是内控建设的单位范围，财务报告相关重要流程是内控建设的流程范围，单位范围覆盖流程范围。

第二步，进行内控建设。在内控咨询服务中介机构的主导下，了解企业内控的现状，查找企业现存的内控缺陷，列出发现的内控缺陷清单，内控建设单位认可后进行内控缺陷的整改，共同完成阶段性的内控建设工作。

第三步，进行内控自我评价。按证监会“试点通知”和企业所属证监局内控实施相关“工作通知”的要求，在内控咨询服务中介机构的协助下，选择恰当的内控评价方法，进行企业的内控自我评价，列出发现的内控缺陷清单，出具并对外公布内部控制自我评价报告。

第四步，进行内控审计。按证监会“试点通知”和企业所属证监局内控实施相关“工作通知”的要求，聘请专业的内控审计机构，对本企业的内控进行审计，列出发现的内控缺陷，进行缺陷分类与评价，考虑其对审计报告意见类型的影响，出具并对外公布内部控制审计报告。

第五步，在内控自我评价和内控审计的基础上，基于分别发现的内控缺陷，有针对性地进行新一轮的内控缺陷整改，迎接该内控建设范围内新一轮的内控评价和内控审计。

该内控建设机理的归结，有助于企业认清内控建设的实质——长期性、艰巨性和渐进性，以做好长期建设的思想准备、人力准备、财力准备和物力准备。

四、SJ集团内控建设的筹备

良好的开端是成功的一半，细致而周到的筹备工作是后续内控建设顺利开展的保障。SJ集团内控建设的筹备工作具体包括内控咨询服务中介机构的联络与选择、成立内控建设的组织体系、确定内控建设的工作范围、召开内控建设项目启动大会和上报并发布内部控制规范实施工作方案等内容。

（一）联系并选择内控咨询服务中介机构，提供内控建设的技术保障

内控咨询服务中介机构，是企业内控建设的技术保障，应慎重选择。经过多方比较，SJ集团最终选定大华融智作为其内控建设的咨询服务机构，并与其沟通，明确时间安排、工作步骤、阶段性成果和注意事项等内容。

（二）成立内控建设领导小组和办公室，提供内控建设的组织保障

1.成立内控建设领导小组

为确保内控建设工作顺利开展，SJ集团成立了由董事局主席兼集团总裁担任组长的内控建设领导小组，主要负责提出内控建设的要求，把握内控建设的方向，确定内控建设的整体方案，协调集团内外的各类资源，保证内控建设项目顺利开展。SJ集团内控建设领导小组的具体组成如图2所示。

2.组建内控建设办公室

为贯彻落实内控建设领导小组的各项决定，SJ集团继而成立了内控建设办公室，具体负责集团公司内控建设和自我评价工作，并对子公司的内控建设和自我评价工作进行指导、协调、监督和考核，保证所建立的内控体系有效运转。SJ集团内控建设办公室的具体组成如图3所示。

3.确定内控建设的工作范围

内控建设的工作范围包括单位范围和单位范围内的流程范围。

（1）确定内控建设的单位范围。根据证监会“试点通知”的要求，结合SJ集团的经营特点，项目组④与SJ集团共同确定了母公司以及印务子公司、化纤子公司和学院3家重要子公司作为本次内控建设的单位范围。上述4家单位的总资产、营业收入和净利润三项指标均占SJ集团2010年合并财务报表相应指标的85%以上。SJ集团内控建设的单位范围详见图4。

（2）确定内控建设的流程范围。在确定内控建设单位范围的基础之上，项目组与SJ集团进一步商榷了本次内控建设的流程范围——与财务报告相关的11个重点业务流程，包括4家单位共有的6个共性业务流程（资金管理流程、费用支出管理流程、人事与薪酬管理流程、资产管理流程、收入管理流程、财务报告流程）和5个个性业务流程（集团公司特有的投资管理流程和关联方管理流程，印务和化纤子公司共有的生产管理流程，化纤子公司特有的研究与开发管理流程和学院的预算管理流程），具体如图5所示。

4.召开内控建设项目启动大会

SJ集团于2011年8月5日召开了内控建设项目启动大会，陕西省证监局有关领导、集团公司董事、监事及高管人员、内控咨询服务机构大华融智、集团公司各职能部门负责人、部分子公司总经理、财务负责人出席了会议。董事局主席兼集团总裁对内控建设工作进行了总动员，对内控建设具体事项进行详尽部署，正式启动SJ集团的内控建设工作。

5.上报并发布内部控制规范实施工作方案

在选定内控咨询服务中介机构，成立内控建设领导小组和办公室，确定内控建设的工作范围，以及召开内控建设项目启动大会之后，SJ集团向陕西证监局上报并对外公布了“内部控制规范实施工作方案”，主要内容包括公司基本情况介绍、内控建设工作计划、内控评价工作计划和内控审计工作计划四个条目。

因SJ集团内控建设工作着手较晚（2011年6月），致使内控建设计划未能如期完成。根据陕西监管局2012年内控实施的相关要求，结合实际情况，SJ集团调整修订了原工作方案，新工作方案如表1所示。在新工作方案中，主要是适当调整了内控建设、内控评价和内控审计的执行时间，增加了内控评价报告和审计报告的披露时间。

五、SJ集团的内控建设

SJ集团的内控建设，以内控咨询服务中介机构大华融智为主导，各建设单位全力配合。整个内控建设过程根据建设任务的侧重点不同，可划分为内控现状了解、内控缺陷查找和内控缺陷整改三个阶段。

（一）第一阶段：内控现状了解

本阶段的主要任务是了解SJ集团4家内控建设单位的内控现状。

1.收集梳理现有的内控制度，形成现有内控制度清单

在4家内控建设单位的全力配合下，大华融智主导收集梳理现有的内控制度，形成现有内控制度清单。清单内容涵盖制度名称、适用流程名称、制定时间、制定部门、所属单位、使用状态等。

2.初步访谈，了解内控现状

大华融智就圈定的内控建设流程，对4家建设单位的相关人员进行初步访谈，了解实际业务流程及其内控现状，并整理形成访谈纪要。访谈纪要包括访谈的时间、地点，与会人员、主持人、记录人，访谈主题和访谈细节，以及该访谈纪要的发送者、发送时间、收件者和抄送人等内容。

3.分析内控建设流程之间的关系

在收集完现有内控制度，初步了解业务流程及其内控现状之后，进一步分析内控建设流程之间的关系，形成SJ集团内控建设的总体规划，如图6所示。

在SJ集团内控建设的总体规划中，内控流程可分为集团内完全统一、集团内基本统一、集团内部分统一和集团内不统一四类流程。其中，前三类属于共性化的流程，后一类属于个性化的流程。

（1）对于集团内完全统一的流程，在集团层次制定规范，集团内统一执行，如财务报告流程。对于该流程，集团公司和3家子公司均包括一般会计处理与期末结账、财务报告编制与报出和财务报告的分析与利用三个子流程，流程图和流程描述一致；所不同的是，集团公司除执行以上三个基本子流程处理本公司的财务报告相关事项以外，还需要处理与集团合并报表相关的财务报告事项，但这并不影响集团公司和子公司执行同一套内控流程及相应制度。

（2）对于集团内基本统一的流程，在集团层次制定规范，各子公司在集团规范的基础之上，根据实际情况进行非实质性的修订，子公司根据修订后的规范执行，如资金管理流程和收入管理流程等。

（3）对于集团内部分统一的流程，在集团层次制定共性部分的规范，各子公司在集团规范的基础之上，根据实际需要进行实质性的修订，子公司根据修订后的规范执行，如费用支出管理流程、人事与薪酬管理流程、资产管理流程，以及学院的收入管理流程等。

1）对于费用支出管理流程，在集团层面仅涉及公司生产经营活动过程中发生的各项期间费用（销售费用、管理费用和财务费用）和营业外支出；而在子公司层面，对于涉及生产的印务子公司而言，必然会涉及生产所需的物资采购业务，主要包括原材料、辅助材料和其他生产材料的采购，因此该流程中除费用报销子流程之外，还存有实质性的子流程拓展，如采购子流程、应付账款确认子流程、付款的审核与支出子流程和供应商管理子流程等，因此该流程名称也相应拓展为“采购与支出流程”。化纤子公司亦涉及生产，因此其拓展后的“采购与支出流程”内容与印务的“采购与支出流程”基本相同，但存在非实质性的修订，采用的内控制度也存在一定程度的差异。学院隶属教育行业，其采购项目具备一定的特殊性，涉及基建项目、后勤项目、教学科研项目等，又是集团内唯一一家实行全额预算的子公司，有必要对其经费进行单独管理，因此相对于集团的费用支出流程而言，存在实质性的拓展。

2）对于资产管理流程，在集团层面仅涉及固定资产和无形资产的管理，而对于生产型的印务和化纤子公司而言，除包含固定资产管理和无形资产管理两个子流程之外，还会涉及存货（主要包括原材料、辅助材料、包装物、低值易耗品和产成品等）的出入库管理和日常管理，因此需要对集团资产管理流程进行实质性拓展，加入存货管理子流程。对于学院而言，因隶属教育行业，主要涉及固定资产管理，与集团资产管理流程有显著差异，需要进行实质性缩减。

3）对于人事与薪酬管理流程，在集团层面主要涉及管理人员的薪酬，而对于生产型的子公司印务和化纤而言，除涉及管理人员的薪酬之外，还涉及销售、生产等人员的薪酬，也就必然涉及“销售底薪+提成”和“计件工资”、“计时工资”等多种工资形式，因此存在实质性差异，有必要进行实质性拓展；学院隶属教育行业，其人事招聘、考勤管理与薪酬计算、薪酬支付、人事退出等与集团公司及其他两家子公司差异较大，需要实质性拓展。

4）对于收入管理流程，因学院隶属教育行业，其收入主要源于面向学生的各种收费，因此其收入的确认、价格的制定与管理、学费的退回、应收账款管理等方面与集团公司以及集团内其他子公司的差异较大，需要实质性修订。

（4）对于集团内不统一的流程，各单位自行制定规范，并在本单位内单独执行，如集团公司的投资管理流程和关联方管理流程，学院的预算管理流程，印务的生产管理流程，化纤的生产管理流程和研究与开发业务流程等。该类流程在图6中以斜纹矩形表示。

（二）第二阶段：内控缺陷查找

为企业查找内控缺陷，类似大夫为病患诊断病症，只有找到症结所在，才能对症下药。本阶段在整个内控建设过程中至关重要，是内控建设第三阶段的前提条件，主要成果为内控缺陷汇总表和内控缺陷整改方案。

1.查找内控缺陷，形成内控缺陷汇总表

大华融智通过访谈、调研、现场检查等多种方式，对4家内控建设单位的11个财务报告相关重点业务流程实施风险评估，查找内控缺陷。在查找的基础上，进行整理和汇总，界定缺陷的类型和缺陷的性质，形成内控缺陷汇总表，详见表2。

2.与管理层沟通，出具内控缺陷整改方案

大华融智以交流会的形式，就内控缺陷汇总表分别与4家内控建设单位进行沟通，得到各单位管理层的认可进而征求其处理意见，据此出具各单位的内控缺陷整改方案，包括与每个流程相关的制度完善（新制定或修订）和需整改事项。

（三）第三阶段：内控缺陷整改

病来如山倒，病去如抽丝。尽管诊断出内控缺陷至关重要，但内控缺陷的整改更是一项复杂而艰巨的任务，是内控建设成败的关键所在。在本阶段，就咨询方而言，需要提供内控手册，包括流程描述、流程图和控制矩阵三部分内容；就建设单位而言，需要按整改方案进行内控缺陷的整改，主要包括内控制度的完善和整改事项的落实，并需要将整改情况提交集团内控建设办公室审定。

1.形成内控手册

内控手册由咨询公司负责编制，对4家单位分别出具。每家单位手册中所包含的流程个数=本单位涉及的财务报告相关重要流程个数-集团内完全统一的财务报告相关流程个数。根据前文对“内控建设流程之间关系”的分析，在11个财务报告相关重要流程当中，仅有财务报告流程是集团内完全统一的流程，因此集团公司内控手册中的流程个数为8，印务子公司和学院均为6（=7-1），化纤子公司为7（=8-1）。内控手册包括流程描述、流程图和控制矩阵。

（1）流程描述，是以文字形式对实际业务流程的操作步骤进行描述，具体内容涉及流程所属单位、流程名称、流程概念界定，子流程的划分，每个子流程的概念界定和子流程中的节点描述等。

（2）流程图，是以图形的形式对实际业务流程的操作步骤进行描述，是流程描述的图形展现形式，主要由业务节点串联而成，较文字形式的流程描述而言，更加清晰明了。

（3）控制矩阵，针对流程图上的每个重要业务节点，具体记载为降低风险而实施的控制活动。表3为SJ集团的内部控制矩阵示例。

2.内控缺陷整改方案执行情况反馈

4家内控建设单位应分别针对各自的内控缺陷整改方案，向内控建设办公室反馈执行情况，执行情况要针对每个流程相关的制度完善（新制定或修订）情况和整改事项落实情况做出整改说明。内控建设办公室审定各建设单位内控缺陷整改方案的执行情况，并提出与业绩挂钩的内控建设考核方案，提请内控建设领导小组核准。

至此，SJ集团的阶段性内控建设工作暂告一段落，后续将面临内控自我评价和内控审计两个重要的内控建设反馈活动。根据企业内控建设的机理，SJ集团在完成这一循环的内控建设工作之后，将进入内控建设的下一循环；根据企业内控建设的实质，内控建设的每一循环之后，SJ集团的内控质量将会有量的提升或质的飞跃。

六、结论

2010年，财政部会同证监会、审计署、银监会、保监会五部委创建了适应我国企业实际情况、融合国际先进经验的中国企业内部控制规范体系。借此契机，本文以企业内控建设的背景为切入点，包括企业内部控制规范体系的出台、证监会的相关要求、SJ集团内部控制建设项目概况三个方面，系统地阐述企业内控建设的理论基础，包括控制论、内部控制理论和内部控制工程学，从而归结出企业内控建设的机理和实质所在。在此基础之上，以我国A股主板上市公司SJ集团为例，详析企业内控建设的筹备过程，包括联系并选择内控咨询服务中介机构、成立内控建设领导小组和办公室、确定内控建设的工作范围、召开内控建设项目启动大会和上报并发布内部控制工作方案五项工作；企业内控的具体建设过程，包括内控现状了解、内控缺陷查找和内控缺陷整改三个子过程，以期为我国正在或将要进行内部控制建设的上市公司及相关大中型企业提供有益参考。

【参考文献】

［1］ 财政部，证监会，审计署，银监会，保监会.企业内部控制基本规范（财会［2008］7号）［S］.2008-05-22.

［2］ 财政部，证监会，审计署，银监会，保监会.企业内部控制配套指引（财会［2010］11号）［S］.2010-04-15.

［3］ 中国注册会计师协会.企业内部控制审计指引实施意见（会协［2011］66号）［S］.2011-10-11.

［4］ 国务院.国务院批转证监会关于提高上市公司质量意见的通知（国发［2005］34号）［S］.2005-10-19.

［5］ 证监会.关于做好上市公司内部控制规范试点有关工作的通知（上市部函［2011］031号）［S］.2011-02-14.

［6］ 杨周南，吴鑫.内部控制工程学研究［J］.会计研究，2007（3）：64-70.

［7］ 中国证券监督管理委员会陕西监管局.关于做好陕西辖区主板上市公司内部控制规范实施工作的通知（陕证监函［2012］46号）［S］.2012-02-27.