以战略为导向的企业内部控制架构研究

□

（神马实业股份有限公司帘子布公司 河南平顶山467000）

2 004年，针对国际企业界频繁发生的高层管理人员舞弊现象，美国COSO委员会在1992年发布的《内部控制——整合框架》研究报告的基础上，又发布了《企业风险管理——整合框架》研究报告，并以此作为企业内部控制的新框架。新框架从风险管理要求出发，在原框架所提出的内部控制目标的基础上，又增加了企业战略目标，从而将内部控制从业务管理层面提升到了战略管理层面，成功地实现了内部控制的转型。依照新框架的要求，企业在建立内部控制过程中，首先要设定目标，并依此为识别和管理战略风险提供基础。我国财政部等部门于2008年联合发布的《企业内部控制基本规范》也引入了战略目标，表明了企业内部控制必须为企业战略目标的实现提供合理保证。按照内部控制实施时间表，该规范从2012年1月1日起已经在上海证券交易所和深圳证券交易所主板上市的公司全面实施，其他一些非上市的大中型企业也自愿地实施了该规范。在此情况下，企业需要对现有的内部控制制度按照新规范的要求重新进行审视，并重新进行顶层设计，导入战略目标，注入风险管理要素，并梳理各项管理制度，实现内部控制战略转型，从而将内部控制由作业层次控制上升到企业层面。因此，探讨战略与内部控制的关系，以及如何以战略为导向构造内部控制，对保证企业战略实施具有重要的意义。

一、内部控制与战略的关联性

战略是企业与其环境相互作用的产物，是企业针对环境所做出的反应和选择，是实现企业目标的综合性计划和支撑企业目标实现的手段。基于企业内外部环境的复杂性，企业战略的制定和实施存在诸多风险，这就需要内部控制充分发挥风险管理职能，对企业战略的实现提供合理的保证。

（一）风险是企业战略与内部控制发生关联关系的契合点

从某种意义上讲，战略产生于风险，风险是战略的本质属性。战略是一个组织的长期发展规划，它通过在不确定环境中调整资源配置来取得竞争优势，从而实现组织使命。风险的特征是不确定性，战略的目的就是对不确定性作出反应并予以应对，以规避风险造成的损失。可以讲，战略管理就是风险管理，与内部控制内涵一致，是二者的契合点。

（二）内部控制是企业战略实施的基石和保证

目标是企业战略的具体化，风险是影响目标实现的不利因素，因而风险管理是企业战略管理的必然要求。鉴于战略在企业发展中的长期性和全局性作用，风险管理的重要性日益突出，这就要求内部控制要以风险管理为核心，通过识别、评估和应对风险，以及相应的控制政策和程序，为企业战略目标的实现提供基础和合理的保证。因此，风险管理贯穿于内部控制的始终，它在内部控制的诸要素当中均有体现，例如：（1）目标设定，企业管理层根据风险偏好和风险承受度，选择战略目标，并经过层层分解，细化为企业各个层级的经营目标。（2）事项识别，识别影响企业目标实现的各有利和不利因素，为风险应对提供基础。（3）风险评估，评价和估量风险的概率及其对实现企业目标的影响。（4）风险应对，将识别的风险的评估结果与企业既定的风险承受度进行比较，并结合企业风险偏好，选择风险管理策略。（5）控制环境，是风险管理的基础，主要由企业领导人的经营理念、管理风格、风险偏好等组成，它决定了企业风险管理的基调。（6）控制活动，通过一定的政策程序，对业务活动蕴含的风险进行管理。（7）信息与沟通，通过风险信息的收集和交换，向控制活动和监督传递风险信息。（8）对控制的监督，识别内部控制缺陷，改进内部控制。

（三）内部制度是决定企业战略目标实现的关键因素

企业在制定战略时，既要考虑现有的资源和能力，同时还要超越现有的资源和能力，这就意味着战略存在很大的风险。影响战略目标实现的风险因素很多，以至于没有任何一家公司能够准确预期所有的风险事件。贝尔德和汤马斯提出的战略风险可能性模型将战略风险分为：（1）宏观环境风险。（2）行业风险。（3）组织风险。（4）战略问题风险。（5）决策制定者风险。罗伯特·西蒙将战略风险的来源和构成分成四个部分：（1）运营风险，当企业出现严重的产品或流程失误时，运营风险就转变为战略风险。（2）资产损伤风险，如果是对实施战略有重要影响的财务价值、知识产权或者是资产的自然条件发生退化，资产损伤就变成一种战略风险。（3）竞争风险，产品或服务与众不同的能力受损伤的竞争环境的变化，竞争风险就会变成战略风险。（4）商誉风险，上述三个方面的综合结果，当整个企业失去重要关系方的信心而使价值减少时，就产生了商誉风险。企业战略的高风险性以及风险因素的复杂性，要求企业建立以战略为导向的内部控制，提升企业战略风险管理能力。战略导向内部控制通常是在战略制定后，开始介入战略管理，它以战略为中心轴，将企业内部管理各个部门、环节和业务串联起来，将战略以目标的形式分解到不同层面，再通过对各个战略层面的风险管理，来保证企业总体战略目标的实现。

二、战略导向内部控制的理论依据

（一）基于交易成本理论的财务内部控制

传统的内部控制思想源于委托代理，是基于交易成本观的。由于委托人和代理人的利益不完全一致，在委托人看来，代理人会做出非最优决策和出现投机行为；而在代理人看来，委托人约束自身行为的原动力不足。这就需要一种外在的机制，以降低交易成本。既然内部控制的目标是降低交易成本，而控制本身也有成本，所以，内部控制的设计和执行必然要受成本效益原则约束，也就是说，内部控制只能为风险管理提供合理保证。上个世纪，企业生产经营主要局限于一国之内，经营环境相对稳定，不确定性因素比较少，风险比较低，不需要企业战略，组织的主要任务是保证财产的安全，维护所有者的权益，这时的内部控制目标比较单一，主要是保证财产安全，主要手段是内部牵制，包括实物牵制、分权牵制、簿记牵制等。

（二）基于资源观的战略内部控制

研究发现，基于资产的资源在静态环境中是高效的；而基于知识的资源在动态环境中是高效的。根据资源观，内部控制也是企业的一种资源，它综合了资产资源与知识资源的特征。进入本世纪之后，资本跨越国界，企业经营环境的不确定因素增强，企业间竞争不断加剧，企业的战略使命是提高经营管理水平，降低成本和风险，增强竞争力。在这一背景下，内部控制的主要目标发生了嬗变，开始主动地适应企业战略管理的需要。

三、战略导向内部控制系统框架

（一）以战略为主线，对内部控制与管理制度进行系统整合

管理制度与内部控制的整合实质上是二者的协调问题。实践中，企业不可能没有管理制度，否则企业便无法正常运转。正因为如此，企业在建立和实施内部控制的过程中，不可避免地与管理制度存在冲突或者重叠。由于管理包括预测、决策、规划、控制、考核、分析等职能。所以，管理包含了控制，而内部控制从属于管理制度，内部控制只是管理的一部分，或者说是管理的核心部分，而不是全部，内部控制并不能替代管理制度。然而，管理理论将控制表述为“是监视组织的各种活动以保证他们按计划进行并纠正各种重要偏差的过程。”也就是说，基于管理的内部控制属于常规性控制，主要是对日常经营和财务规划的控制，主要是保证组织实现其近期经营目标，它是在一个封闭的系统内运行的，不与外部环境发生关联。如果从战略视角进行审视，基于管理的的内部控制层次则明显偏低，主要以业务活动控制为主线，以完成计划任务为目标，无力对企业战略管理提供有效的支持。这就要求以战略为主线，将内部控制与管理制度进行整合，及时考虑外部环境的变化，注入风险因素，着力于从组织层面进行顶层设计，以内部控制统帅管理制度，消除管理制度与内部控制之间的重叠和冲突，实现各项管理制度的系统化。

（二）引入战略地图，加强战略与行动的协调

企业战略从制定到执行需要依次经过治理层、管理层、各职能部门员工。治理层根据内外部环境和自身情况，制定企业发展战略；管理层首先将战略目标分解成不同的阶段目标，再进一步将这些阶段性目标分解到各个职能部门；职能部门再根据自身的特点将战略目标分解落实到具体的业务当中。战略目标的分解是一个自上而下的过程，由于信息不对称的原因，战略目标在分解过程中会产生执行风险，即战略目标不能准确和清晰地传达给下级职能部门和员工，这就需要沟通和协调，让员工充分地理解自己的行为与战略的关系及其对战略的贡献，从而将战略化为自己的行为。

战略地图是描述战略的工具，它是由罗伯特·卡普兰和戴维·诺顿于2004年1月在其出版的 《战略地图——化无形资产为有形成果》一书中首次提出的。按照卡普兰和诺顿的说法，不能衡量的东西就无法管理，不能描述的东西同样也无法管理。就企业战略而言，平衡计分卡是衡量战略的工具，而战略地图则是描述战略工具。战略地图是以平衡计分卡的四个层面目标——财务层面、客户层面、内部与流程层面、学习与成长为核心，绘制的企业战略因果关系图，为人们正确理解战略提供了一个框架。通过这一框架，战略地图清晰地说明了战略是如何将企业的资产与价值创造联系起来的，内部流程是如何创造并传递客户价值主张以及满足客户价值主张带来的财务成果的，战略地图模板还为描述战略的构成要素及其相互关系提供了一个标准化的清单。战略地图使企业的关键关系可视化，明晰了创造预期产出结果的因果联系，包括企业如何将人员的活动和无形资源转变成有形产出；让员工明了其工作和企业整个目标间的联系，使员工在追求企业战略目标下的协同工作成为可能。

（三）重建内部控制的环境，对企业战略提供支撑

由于战略的制定和实施是一个自上而下的过程，那么战略导向内部控制也是一个自上而下的过程，这表明了内部控制具有明显的层次性。内部控制可以粗略地分为企业和业务两个层面。企业层面内部控制与具体业务无直接关系，但是影响所有业务活动；业务层面是专门针对某一业务活动设置的控制，其失效不影响整体的有效性。所以，内部控制的关键是顶层设计。如果企业组织层面的内部控制设计存在重大缺陷，将会导致整个控制无效，包括业务层面控制无效。鉴于控制环境是整个内部控制框架的基础，其中包含了领导人的风险理念、经营风格、人力资源政策、组织架构设计、监督机制等关键因素。这些因素都涉及了人的因素，而人的因素是决定内部控制是否有效的关键，它决定了内部控制的基调。而且，环境的不确定性是战略产生的根本原因，同时也是战略风险产生的根本原因。所以，战略导向的内部控制应当从完善控制环境入手，除了要求领导人树立风险意识、识别和统一风险偏好、风险容忍度等之外，还要对组织结构进行调整，使其扁平化，增强其柔性，以增强对外部环境变化的适应能力，从而对企业战略目标的实现提供强大的支持。