简论内部控制体系建设

文/王　力



简论内部控制体系建设

文/王力

摘要：无论从实践角度还是学术角度研究如何构建科学有效的企业内控体系均具有重要意义。本文首先探讨了建设企业内部控制的重要意义；其次，对构建企业内部控制的内容步骤进行了阐述；最后，要辩证地看待内部控制作用。本文以期在为内部控制体系做出理论贡献的同时为我国企业提供强有力的实践指导意义。

关键词：企业； 内部控制； 体系； 建设

随着安然、安信达、雷曼等国际知名公司的相继倒下，引发了全世界的广泛关注。尽管导致这些公司破产的原因复杂多样，但其深层原因无不与内控存在缺陷，内控执行不到位有直接关系。随着类似事件的不断重复上演，促使了各类企业加深了对内控的认识，引发了人们对内控更加深入的思考。建立与企业相适应的内控体系成为管理者的当务之急。

一、内控体系建设的意义

在市场竞争如此激烈的今天，为降低企业风险，提高企业盈利水平，建立完善的企业内控，具有重大意义。具体表现为：

（一）内控是我国企业提高经营管理水平的重要保证。

（二）内控是我国企业与单位风险防范能力得以提升的重要手段。

（三）内控通过提高会计信息的真实性，从而有助于构建良好的市场经济秩序。

（四）从企业形象角度来说，内控可以增强企业经营管理的透明度，在很大程度上提升企业与单位的品牌形象。

（五）从企业与单位发展目标角度来说，内控通过对企业健康程度加以提升，来更好更快实现企业与单位发展目标。

（六）从外部监管角度来说，相关法律法规对企业的内部控制提出了一定要求。

二、内控体系建设内容及步骤

完善的企业内控体系的构建不是空穴来风，而是依据企业管理的基本原则，在现有内控理论体系支撑下，结合企业现有基础，进行分析诊断，风险评估，总结归纳，最后得出一定的步骤与方法。总的来说，完善的企业内控体系的建设可以分为如下步骤：

（一）搭建内部控制框架

内控框架的构建是内控体系构建的根本。没有良好的内控框架，企业的内控体系构建就容易走入两个误区：一是过分注重形式，忽视企业内控的内容；二是建立的内控体系与企业的实际情况偏离，对企业产生的作用微乎其微。因此，构建企业内控体系的首要步骤就是构建内控框架。构建企业的内控体系一般依据“四层分法”，即：第一层按行业划分；第二层依据单位所处阶段划分；第三层按企业类型划分；第四层按专业划分。构建企业的内控框架可以从三个层面进行分析：（1）从公司层面来说，内控框架包括四个方面：第一，组织架构；第二，人力资源；第三，社会责任；第四，企业文化。（2）从业务层面来说，内控框架包括的内容较多，但是主要可以分为六个方面：第一，战略方面；第二，人力资源方面；第三，资金方面；第四，产品方面；第五，销售方面；第六，财务报告方面。（3）从信息层面来说，内控框架可以分为两个方面：第一，内部信息系统；第二，信息传递系统。总而言之，企业要重视内控框架的构建，才能建设完善的内控体系。

（二）评估诊断企业现状，找到企业存在的风险

在构建企业内控框架后，接下来就是找到企业所面临的风险。由于根据不同风险制定的企业内控体系会差别很大，所以只有根据企业实际情况找到企业面临的风险，才能对症下药，制定的企业内控体系才会更加有效。企业风险受诸多因素影响，例如所有制、成长阶段、企业规模、业务类型、经济环境等等。从大的方面来说，企业要找到两个方面的风险：以往制度设计缺陷风险及执行风险。一方面，制度设计缺陷风险。许多企业及单位从一开始的内控体系设计就存在风险。一般来说，设计缺陷风险有三：（1）最终责任人不明确；（2）法人治理结构不合理；（3）外部监督缺乏。另一方面，执行风险。如果有了科学合理的内控体系，但是缺乏积极有效的执行，那么企业将面临极大的执行风险。如果企业的内部控制不能有效执行，企业面临的将是执行风险。因此，企业在正式建立内部控制前，应通过访谈、调查问卷、实地查验、查阅内部管理文件、调阅财务报表等方法，对企业的战略发展、组织机构和职能定位、管理现状、业为类型等进行分析评估，找到企业面临的是制度设计缺陷风险还是执行风险，为建立企业内部控制规则做准备。

（三）建立内部控制规则

依据对企业的评估诊断结果，结合《内部控制基本规范》、《内部控制配套指引》等指导文件，建立内部控制规则。通常来说，企业一般使用内部控制手册作为企业内部控制规则成果的体现。内部控制手册的具体内容依据不同类型不同行业企业的不同而不同，但是总的来说，可以分为六大手册：（1）总则。总则一般清楚表述了企业内控体系编写目的、原则、职责范围、管理规定等。（2）环境分册。环境分册是内部控制体系的基础，是内部控制有效实施的保障。包括治理结构、机构设置及权责分配、内部审计、人力资源政策、企业文化、法律环境等内容。（3）风险评估分册。风险评估分册具体规定了企业重大建设项目的合法性、合理性、安全性及可行性分析。另外，风险评估分册都对风险评估报告的撰写细则进行了规定.开展风险评估时，应关注企业内部风险和外部风险，合理确定企业可接受的风险承受度，并制定相应的策略。（4）控制活动分册。控制活动在内控基本规范的基础上，依据内部控制及企业风险管理整体框架进行编写。控制活动可以采取手工与自动、预防性与发现性相结合的方法，采取不相容职务分离控制、授权审批控制、会计系统控制、财产保护控制、预算控制、运营分析与绩效考评控制等措施（5）信息与沟通分册。信息沟通分册中规定了信息系统的总体控制与应用控制。另外，信息沟通分册中还对内部控制体系执行的文件规范做了具体说明。企业应建立信息

下接（第221页）