企业内部控制体系“落地”攻略

金虹

摘要：随着我国企业内部控制规范体系的建立和实施范围的不断扩大，上市公司对内部控制的期望逐步提高，希望通过内部控制建设与实施推动企业稳健经营。本文以2013年资本市场重大舆情事件为线索，提出内部控制体系“落地”的必要性，并从自上而下理念宣导、控制职责明确到人、建立内部控制激励机制等方面提出了具体措施。

关键词：企业管理 内部控制 文化

一、引言

据相关数据，2011年我国境内外同时上市的67家公司披露了A股内部控制评价报告，2012年这一数字激增到2 244家，占沪、深交易所2 492家上市公司的比例为90.05%。而根据财政部《关于2012年主板上市公司分类分批实施企业内部控制规范体系的通知》的要求，2012年应纳入实施范围的上市公司仅为853家。由此可见，上市公司对内部控制寄予了高度的关注与极大的期望，希望通过内部控制建设有效防范经营中的重大风险。

但是，2013年光大证券的“8·16乌龙指事件”、万福生科巨额造假案以及中国石油高管涉腐被查、中国石化输油管道原油泄漏爆炸应对无力等事件的发生，却引发了对企业内部控制体系的深度思考。光大证券股份有限公司2012年A股内部控制评价报告结论为有效。万福生科的上市保荐机构平安证券有限责任公司是中国平安（保险）集团股份有限公司旗下重要成员，而中国平安（保险）集团股份有限公司作为A+H股公司，是国内第一批遵循企业内部控制规范体系的上市公司，其2011、2012年A股内部控制评价报告结论均为有效。中国石油、中国石化作为在美上市公司，早在2006年起就遵循美国萨班斯法案要求实施404条款遵循工作，历年在美国年报、A股年报中披露的内部控制评价报告结论均为有效。

在这些已经发生的重大风险的面前，内部控制有效的结论显得如此苍白。我国企业内部控制规范体系要求存在问题吗？答案显然是否定的。根据迪博企业风险管理技术有限公司发布的《中国上市公司2012年内部控制白皮书》，2008-2011连续四年内部控制与投资资本回报率的关系的实证研究结论显示，二者之间存在着正相关关系。良好的内部控制可以提升企业的价值。

产生上述问题的原因笔者认为应归结为企业在落实企业内部控制规范体系要求过程中，追求“形似”而非“神似”，内部控制体系“落地”不够。众多上市公司将企业内部控制规范体系的遵循简单理解为：做一本内部控制手册，写一套评估底稿，出一份内部控制报告。将内部控制建设与企业运营割裂，形成了“两层皮”，将每年的内部控制评价变成了“例行公事”。

二、如何将内部控制转变为企业的生产力

如何使企业内部控制落地，将内部控制转变为企业的生产力呢？笔者认为应从以下方面入手：

（一）自上而下传递内部控制理念

企业作为盈利机构，在实施内部控制规范体系过程中容易出现“重业绩轻管理”的倾向。管理层对内部控制“说起来重视，做起来忘掉”的态度，会导致企业的其他成员自然而然的将内部控制“形式化”。这其中很大一部分原因是企业管理层对内部控制的认识尚不准确。

企业内部控制建设的成本相对显性，如内部控制建设初期的咨询费、年度的外部审计费用、内部控制部门专职人员的工资及其开展检查评估工作时发生的差旅费等。但是内部控制产生的效益难以量化，内部控制带来的效益往往是通过发生违规案件才体现出来的。或许这就是很多企业在经历了内部控制建设初期的热潮后迅速冷却的主要原因。

尤其需要指出的是，人们往往感觉内部控制会增加企业的运行成本，降低企业的效率。绝大部分企业在实施内部控制的初期，往往也面临来自销售部门的压力，将业绩问题归结为控制要求过多导致的效率问题。实际上，好的内部控制制度是有助于企业提升管理效率的。加强内部控制并不一定需要设置层层审批的管控流程，例如，通过引入预算控制，就可以在达到预定控制目标的同时减少审批环节，从而提升企业的管理效率。

因此，管理层首先要对内部控制有一个正确的认识，并将这一认识传递下去。内部控制既不是包治百病的“灵丹妙药”，也不是“一招鲜，吃遍天”的绝招。根据《企业内部控制基本规范》，“内部控制，是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。”内部控制的有效执行有赖于全员参与，长期坚持，通过“水滴石穿”的方式渐渐营造“内部控制文化”氛围引导员工主动加强内部控制。

在自上而下传递内部控制理念的过程中，企业可参考以下抓手：

一是要体现在企业战略中。战略是企业长远高效发展的重要基础，是企业各项运营活动的根本出发点。内部控制文化只有体现在企业战略中才能保证得到持续性的贯彻和落实。如某上市保险股份有限公司的战略目标中，“管治先进、制度健全、内部控制严密”三项目标都与内部控制建设相关，高屋建瓴地明确了内部控制建设的根本要求。

二是要体现在公司治理中。《企业内部控制基本规范》指出：“董事会负责内部控制的建立健全和有效实施。”企业的监事会、董事会以及董事会下设的风险管理委员会和审计委员会都有监督内部控制的职责。这些治理机构应定期审阅内部控制建设与评估计划、工作进展及结果报告，以落实管控职责。

三是要体现在企业的管理理念中。管理层特别是企业“一把手”的重视是内部控制建设与有效实施最重要的保障，没有企业管理层的支持，内部控制建设往往会流于形式，有了企业管理层支持，内部控制建设才能真正地发挥作用。在财政部组织的首届企业内部控制规范体系培训班上，海尔董事长兼首席执行官张瑞敏当被问及为何如此关注企业内部控制规范体系，张瑞敏只是简单说了一句：“内部控制就是我该管的事情啊。”窥一斑而知全豹，海尔管理的成功显然与其管理层对内部控制的重视紧密相关。

（二）控制职责要明确到人

企业中不同人员的内部控制责任是不同的，因此在内部控制建设落实过程中，要特别注意“因人施教”，明确划分控制职责。控制职责确认后，还要注意传递到具体岗位人员手中，确保每位员工都清晰地了解本身的控制职责是什么，从而形成良好的内部控制文化氛围。endprint

在控制职责明确到人的过程中，企业应重点抓好以下环节：

一是贴合企业实际制作内部控制手册。内部控制手册的建立不能是“拿来主义”。从其他企业“嫁接”过来的内部控制没有生命力。内部控制手册的基础必须是企业自身的制度要求与业务实务，手册的内容必须是企业各部门充分讨论的结晶。以某上市保险公司为例，其内部控制手册囊括了70%的公司内部制度，对于来源于公司制度的控制措施，还特别注明了制度名称以及具体条款内容。手册每年更新一次，更新过程中以总部各部门审核完善为主，同时兼顾下属单位的反馈意见。

二是控制要求宣导要到人。只有每位员工都熟知本部门、本岗位的控制职责、业务基本规定、操作流程、控制要点和控制措施，明确工作权限、责任和风险防范义务，才能切实发挥内部控制体系预防风险的作用。以某上市保险公司为例，每年内部控制手册中的控制措施按照岗位发送到每位员工的手中，做到一个岗位一本手册。每年围绕手册内容开展培训、知识考试、专题征文等活动。将内部控制培训考试纳入员工制式培训体系，考试结果与年终绩效考核成绩挂钩。通过多种方式促使企业员工切实了解、掌握控制要求。

三是以内部控制评估推动控制落地。通过内部控制评估，一方面可以将公司的控制要求以访谈、测试的方式传递给具体的控制执行人。另一方面发现问题的整改也进一步推动了控制要求的落实。以某上市保险公司为例，每年除了以内部控制标准执行为依托开展覆盖全员的控制执行自评外，内部控制管理部门每年对公司的控制流程有重点地进行二次的独立评价。执行企业内部控制规范体系以来，内部控制评估发现问题逐年下降，体现出公司内部控制水平的日益提高。

（三）要建立内部控制绩效激励机制

在内部控制体系建设及实施过程中，利用公司的绩效评价体系对内部控制执行效果实施考核是一种非常重要和有效的保障手段。内部控制执行的好坏直接与绩效挂钩，对各岗位人员带来的压力是直观的，能够较好地提高机构和人员对内部控制工作的重视程度，推动内部控制机制的落地。

在建立内部控制绩效激励机制的过程中，企业可参考以下途径：

一是实施风险管控管理人员委派制。以某上市银行为例，其境内外分行领导班子里设立风险管理总监，由总行派驻、考核。其中总行风险总部负责从风险管控技术角度对拟派驻风险管理总监进行资格审查，风险管理总监的绩效考核成绩总行风险总部占50%权重。同时在总行及一级分行核心业务部门设立风险管理总监以及相应的风险管理团队。业务条线风险管理总监实施双线考核，总行风险总部占50%权重。

二是将关键控制指标纳入绩效考核体系。一种做法是建立相对独立的风险管控评价体系，风险管控评价结果作为绩效考核结果的补充。如风险管控评价结果低于某一水平，则下属单位年度绩效考核成绩不能为优。另一种做法是将部分控制指标纳入绩效考核指标中。以某上市保险公司为例，对总公司所有部门负责人，统一设立“问题整改有效率”，作为共性评估指标。该指标反映部门及所辖条线的整改情况，如果该指标得分过低，将对部门负责人的绩效考核产生负面影响。

三、结语

内部控制建设与实施是一项系统工程，其兴衰成败与领导的重视和支持、公司员工的配合和参与是紧密联系在一起的。只有将内部控制“落地”才能充分发挥其作用，为企业的可持续发展保驾护航！J

参考文献：

1.财政部.我国上市公司2011年实施企业内部控制规范体系情况分析报告[R].

2.财政部.我国上市公司2012年实施企业内部控制规范体系情况分析报告[R].endprint