基于WBS的内部控制制度设计*——以企业社会责任履行为导向

河北地质大学会计学院 冯丽丽 河北司法警官职业学院 从均广

基于WBS的内部控制制度设计*
——以企业社会责任履行为导向

河北地质大学会计学院 冯丽丽 河北司法警官职业学院 从均广

内部控制在促进企业社会责任履行方面发挥着重要作用。本文首先分析内部控制目标调整是促进企业社会责任履行的先导要求，在此要求下，考察了基于WBS（工作分解结构法）的内部控制制度影响社会责任履行的作用机理，并依据WBS优化了内部控制的内在设计，以提高企业社会责任履行。

WBS企业社会责任 履行 内部控制

现代企业作为当今社会有效运行的基本经济细胞，在从事生产经营活动并为人类创造大量物质财富的同时，亦会因社会责任缺失而带来诸如环境污染、资源枯竭、劳工和消费者权益保护失当等日益严峻的问题。这些问题的出现与我国内部控制规范建设中缺乏对企业社会责任的重视有关（刘蓉，2009）。然而，企业在履行社会责任过程中，交织着企业与社会、股东与其他利益相关者、经济与环境污染等多方面的利益冲突（冯丽丽，2012），这就需要通过内、外部制度来综合协调不同群体的利益，进而提高企业履行社会责任的主动性。规制企业履行社会责任的外部制度主要有国家法律和政策规定的约束与激励机制、外部利益集团的约束和道德伦理约束三个方面，但外部规制作用的发挥最终还是需要通过企业内部制度的执行来具体体现。对于企业而言，不仅要充分意识到履行社会责任的重要性，而且还必须将履行社会责任变成企业每个成员的自觉行为。要实现这一要求，企业必须在内部制度建设上予以充分保障，内部控制制度即是这种制度保障的具体体现方式。因此，应当完善与企业社会责任履行相关的内部控制制度，提高企业社会责任履行效果，从而提升企业价值。

一、以促进企业社会责任履行为导向的内部控制目标调整

以社会责任履行为导向的内部控制体系存在的根本目标、内部控制体系自身的建设目标和相应的内部控制标准三个内容是内部控制目标的核心内容。内部控制体系存在的根本目标也就是基本规范中明确提出的五大目标，即合规目标、资产安全目标、报告目标、经营目标和战略目标。企业内部控制应根据这个总目标设置相应的目标体系，同时应确定相配套的评价标准，以有效判断控制活动、措施和目标实现的好坏。因此，内部控制体系自身的建设目标要在社会责任履行环境下通过一系列方法形成牵制和制约，这是内控方法观的要求；在社会责任履行环境下企业内部控制体系建设关键的目标是在内控系统中着眼于过程，形成学习型的社会责任自组织控制机制，这既是过程观也是风险观的要求，这一机制的形成是内部控制系统完善的重要目标之一，也是保证内部控制根本目标充分实现的重要前提。而以社会责任履行为导向的内部控制标准，就是用来判定内部控制的根据，即内部控制是否符合基本规范、具体指引和应用指南的要求。三种目标互相配合，形成了以社会责任履行为导向的内部控制目标的核心内容。

二、基于WBS的内部控制作用企业社会责任履行的机理分析

企业内部控制本质是一种自律管理行为，在适应经济发展的同时逐步形成的。它包括着强制与自愿的有机整合，是一个具有独立理论价值与实践内容的范畴（杨雄胜，2011），是为了维护企业组织内部相关各方的利益关系而存在的（谢志华，2007）。甚至，有学者认为企业内部控制所面临的最大风险是来自于相关利益者的企业社会责任风险（王海兵等，2011），而社会责任风险失控将会严重削弱企业可持续发展的能力。因此，建立促进企业社会责任履行的内部控制系统，不仅有利于获取员工的支持和社会的认可，而且降低了企业的社会责任风险，有助于实现企业的可持续发展。因此，一套合理、有效的内部控制体系必须考虑各利益相关者掌握的权力和承担的风险（黎文靖、张帆，2005），具体作用机理见图1。

图1中，为了实现企业社会责任的有效履行，相关内控制度的完善：首先要明确内部控制制度设计中各层级、各部门和各岗位的社会责任职责，同时建设以社会责任履行为导向的内部环境，为企业社会责任履行提供组织保障和氛围。其次，将社会责任作为企业生产经营的重要内容，结合自身运营过程和内部控制流程，制定明确的社会责任内部控制流程，有计划、有步骤地开展社会责任实践。并对执行过程进行监督和反馈，将社会责任理念融入企业战略和日常营运，处理好企业与内外部利益相关者的关系，防范风险。最后，定期披露、检查和评估促进企业社会责任履行的内部控制制度、措施及成效，明确改进方向，调整相关内部控制目标，促进企业社会责任履行，以实现企业和社会持续发展。

图1 促进企业社会责任履行的内部控制框架示意图

有效的内部控制不仅能够合理保证企业社会责任行为的日常化、规范化和合理化，积极推动企业履行不同相关利益者的责任，而且也有助于企业有效的识别、评估与应对社会责任风险。在内部控制制度发挥作用过程中，内部控制五要素相互配合，但重要性各不相同。内部环境为促进企业社会责任履行提供了良好的企业氛围；风险评估识别社会责任风险，以及确定社会责任防范的重点；控制活动是保障企业社会责任履行的具体措施；信息与沟通促进企业社会责任履行信息有效传递，及时调整修正社会责任履行活动；内部监督则是确保实现企业社会责任履行目标的重要手段。同时，企业社会责任履行的督促与保障促进了内部控制制度的设计与执行。社会责任履行好的企业具有良好的企业形象，吸引并留住优秀的员工且对员工（潜在员工）有积极的心理暗示，为内部控制制度执行提供了有素质的员工，同时也推动了积极向上的企业文化建设。因此，企业社会责任履行也是促进内部控制制度不断完善的动力。此外，企业社会责任注重“以人为本”，特别关注对相关利益者责任的履行，一方面为内部控制制度的制定和实施提供了人力资源支持，另一方面使企业经营目标更加明确，引导内部控制制度进一步完善。因此，企业应把内部控制制度与社会责任履行结合起来，以形成两者的良性互动发展。

三、基于WBS的内部控制优化设计以促进企业社会责任履行

内部控制的过程和要素固然重要，但如果不能实现控制目标，一切都是枉然（张兆国等，2011）。因此，为了实现前文论述的内部控制目标，需要分析已有内控规范中社会责任履行内容，改进相关内部控制制度的内在设计。

（一）形成有助于企业社会责任履行的内部控制要素链企业积极履行社会责任不仅有助于增强企业的影响力，而且可营造一种负责任的企业文化，对员工的归属感和认同感产生积极影响，从而形成有助于企业社会责任履行的内部环境，这样的内部环境奠定了内部控制制度的基调，引导其他要素的执行；而且，内部控制的设计与实施保障了企业社会责任的有效履行，并为其提供评价监督。此外，内部控制不仅为企业履行相应的社会责任提供合理的保证，而且也是对外积极响应社会控制的要求。因此，内部控制五要素需要从企业社会责任履行出发并加以通盘考虑，其中企业社会责任履行的内嵌是关键和核心，因为社会责任履行既是内部控制的对象更是内部控制的重要工具和手段，具体如图2所示。

图2 企业内部控制促进社会责任履行的机理图

内部控制要素在内部控制理论中居于核心地位（王竹泉、隋敏，2010）。因此，图2结合内部控制五要素，从不同角度展示了内部控制对企业社会责任履行的作用机制。本质上，内部控制是一种机制，目的是确保企业战略目标的实现。而战略目标的实现包括三个层次：战略规划、战略执行以及战略执行过程中各项具体的业务和事项。与此对应，内部控制也分成三个层次：与战略规划相关的控制，处于最高层级；与战略执行相关的控制，联结最高层级和最低层级控制的纽带；与具体业务和事项相关的控制，处于最低层级。并且，企业通过信息与沟通和内部监督两个要素，保证三个层级目标的实现，从而实现内部控制的有效运转。

（二）运用WBS法明晰有助于企业社会责任履行的内部控制点 图2中，CSR目标分解维按照不同层次目标的粒度（一个较大实体被拆分的程度）要求，可运用工作分解结构（Work Breakdown Structure，简称WBS）方法将战略CSR目标（安全生产、产品质量、环境保护和能源节约、促进就业、员工权益、产学研用和公益事业）分解为CSR管理目标、CSR业务目标、CSR具体控制目标，直至形成控制点上的控制目标——控制标准；业务流程分解维通过对业务流程不断细化，直至细化到不能细化或没有必要再细化的步骤——控制点。在此理念下，可以从不同方面将企业社会责任履行与内部控制的业务控制通过WBS方法分解匹配，以促进企业社会责任履行，实现企业可持续发展。

（1）细化内部环境的关键控制点。内部环境是实施内部控制的基础，包括治理结构、内部审计、人力资源政策和企业文化等。但是在现实中，企业面临的外部环境不断变化，并不断影响改变着企业的内部环境。因此，为了与不断变化的内外部环境相适应，需要建立一个开放的自我调整的内部控制系统。所以，在图2中，用虚线表示内部控制环境，表明其是一个动态的环境。治理结构本质就是权力的分配和制衡，不同管理层级根据授权原则拥有不同的权限，董事会负责社会责任战略制定，并成立专门的社会责任部，负责规划企业社会责任项目，并将其融入具体的业务流程，制定相应的内部控制流程手册。经理层负责社会责任战略执行，成立社会责任办公室，将社会责任战略落实到各业务环节。并根据企业社会责任战略、内容及特点，结合企业具体情况，确定不同的授权权限。常规的企业社会责任，即生产经营过程中经常出现的、可辨认的和可预估的社会责任，一般包括日常的安全生产、产品的质量控制和员工正当权益等，应明确各自的决策权限和执行程序；突发性的企业社会责任，即非正常经营过程中，突然发生、难以辨认的社会责任，一般包括自然灾害、重大安全事故、重大环境污染、集体罢工等，建立临时授权制度，制定应急预案明确突发事件的责任人、处理流程、处理手段等。结合企业的具体社会责任项目，内部审计机构主要负责监督检查内部控制执行的有效性及其存在的缺陷是否及时排除，关注社会责任风险处理的流程、资金、时间是否合法合规。人力资源政策方面，除了处理日常的员工权益事宜，如薪酬、培训、保险和身心健康等活动外，企业在聘任员工时，通过性格测试、个人信用调查、关联方咨询等方式选聘富有社会责任感、职业道德水平高和专业胜任能力强的员工。企业文化在倡导积极向上的价值观和诚实守信、爱岗敬业、开拓创新和团队协作精神时有一定的影响，宣传部门要通过口号、横幅、手册等形式全方位展现公司的社会责任定位，并加强员工的培训和继续教育，通过社会责任知识竞赛，提升员工的社会责任意识。在这样的企业文化熏陶下，企业内部控制将得到有效的执行和监督，为促进企业社会责任履行提供良好的企业氛围。

（2）强化风险评估的关键控制点。风险评估指及时识别、分析经营活动中存在的风险，制定合理有效的应对策略。图2中，风险识别评估维通过对可能CSR风险的识别、分析、确认和应对，乃至形成具体的CSR风险控制措施。具体步骤：首先，准确识别与实现CSR目标相关的内外部风险；然后，针对识别的CSR风险进行具体分析和排序，确定要重点关注和优先控制的CSR风险；最后，权衡CSR风险与收益，确定CSR风险应对策略。

企业内部应关注的企业社会责任风险包括：治理机制、管理层的职业操守、员工胜任能力和企业文化等因素是否与企业社会责任履行要求相匹配；企业的经营方式、业务流程设计是否节省能耗、降低污染、是否有损员工身体健康、是否有违安全生产规程等社会责任风险；研究开发是否有助于提升企业社会责任；产品质量是否达到国家相关质量标准；财力是否对企业履行社会责任或规避潜在风险有足够的支持；等等。企业外部应关注的企业社会责任风险包括：宏观经济因素，如经济形势是否改变、产业政策是否调整、融资环境是否有利和资源供给是否满足需求等；法律因素，如是否出台新的关于本行业的法律法规、是否出台财务制度规定等；社会因素，消费者购买行为是否发生变更，是否有重大社会事件影响本行业或本企业发展等；自然环境因素，如是否突然发生重大自然灾害、紧要能源是否短缺、是否有可替代能源等。这些外部风险是否对企业社会责任履行提出了新要求和新方向。同时，企业面临的社会责任风险不断变化，其应对策略也要及时调整。此外，在履行社会责任过程中，企业应充分考虑自身发展战略和承受能力，实现股东和各利益相关者权益的统筹和协调。

外部社会责任风险由社会责任办公室定期（每周或每月）搜集，并上报给社会责任部。内部社会责任风险由业务部门（采购部门、销售部门等）派专员定期上报给社会责任办公室，由其汇总上报给社会责任部。社会责任部根据出现的新社会责任风险，制定相应的社会责任流程和手册，固化起来，以有助于下一个周期相应内部控制的执行。如销售或售后部门收集到产品质量方面的投诉信息，及时反馈给社会责任办公室，再由其直接向社会责任部汇报，社会责任部向董事长提交召集董事会，紧急商讨解决措施，消除产品质量风险。

（3）分解控制活动的关键控制点。在风险评估的基础上，采取一定的控制措施降低风险，使其在企业可承受范围是控制活动的内涵。企业内部控制体系不同级次的目标不同，这也就决定了在实施控制过程中，要按照内部控制三个级次依次建立内部控制体系。具体如图2所示。首先，企业董事会社会责任部负责制定CSR战略目标。在制定战略目标过程中，需要分析企业社会责任履行的内外部环境，设定CSR战略及具体目标，同时进行CSR事项的风险识别和分析，形成相应的CSR风险应对策略。其次，社会责任办公室执行董事会制定的CSR战略。在执行CSR战略过程中，将战略目标逐步细化和层层分解，落实到内部控制具体的流程，CSR部门目标和CSR控制点目标是实现CSR战略目标的具体落实。在各个CSR控制点目标基础上，采取相应的CSR控制措施，以保证各个环节CSR控制点目标的实现。

（4）疏通信息与沟通渠道的关键控制点。及时准确地收集、并传递信息，确保这些信息在企业内部之间以及与外部进行有效的沟通，这就是信息与沟通的内涵。图2中，用虚线框表示信息与沟通，表明信息的沟通不仅包括企业内部利益相关者的沟通，还包括企业与外部利益相关者的沟通，其范围随着内部控制环境的扩展而拓展。根据《控制应用指引——信息系统》建立信息与沟通体系，形成高效有序的系统开发、运行、维护、监督、披露等流程，并根据社会责任业务性质、重要性程度、涉密情况等确定信息系统的安全等级，建立不同等级信息的授权使用制度，采用相应技术手段保证信息系统安全有序运行。首先，在系统开发流程就要明确与社会责任履行的相关内部控制信息的收集、传递的流程、渠道、方向及方式；其次，分析运行流程中不同信息的流通渠道、方式与责任人是否适合匹配，能否实现有效沟通；再次，在系统维护与监督流程，明确不同用户的权限、定期核查各账号与流程，以避免授权不当或存在非授权账号，及时发现系统中存在的问题，及时处理；最后，确定系统披露制度能否满足不同层级管理者的决策需求。其实，企业执行各控制活动，通过各部门和员工为实现目标所进行的各项活动的开展与了解，也就是信息与沟通的过程。

（5）提升内部监督效率的关键控制点。内部监督是企业对内部控制的健全性、合理性和有效性进行监督检查与评估，并采取必要措施加以改进的过程。在企业建立信息系统的基础上，通过系统设置相应的监督流程检查CSR工作的针对性和及时性；同时，通过内部监督部门，提高信息系统运行的效率和质量。如图2所示，内部监督，即设置或指定专门机构或人员对内部控制制度的设计与运行情况进行检查，及时改进发现的内部控制缺陷，督促内部控制的有效运转。具体步骤：首先，建立内部监督的具体流程，具体流程的不同，内部监督实施的时间也不同。常规性的促进社会责任履行的内部控制活动要定期评价审核，如生产过程中废弃物的排放是否超标，需时时监控，定期监督；非经常性的促进社会责任履行的内部控制活动需不定期审核，如财务报告的编制监督、特殊业务的执行审核，需不定期监督等。其次，内部监督部门还要关注内外部环境，及时调整应对措施或方法，降低不利因素的影响。最后，内部监督部门负责披露监督结果，包括管理层出具促进社会责任履行的内部控制自我评价报告和外部审计机构出具的促进社会责任履行的内部控制鉴证报告，有助于内外部利益相关者对企业社会责任履行有效性进行客观地分析和准确地评价，并与预定的CSR战略目标进行比较，分析产生的偏差，采取措施纠正偏差，周而复始，最终确保实现CSR战略目标。

当然，促进企业履行社会责任的相关内部控制制度设计，也必须考虑成本效益原则，要在企业内部控制预算范围内实施。当然，有助于社会责任履行的内部控制预算可以货币或人次为计量单位，将企业社会责任目标及其所涉及的资源配置以计划的形式加以具体而系统的反映，对明确企业社会责任目标，协调企业各部门社会责任履行工作，控制企业日常社会责任活动和考评企业各部门社会责任业绩都有十分重要的作用。事实证明，当内部控制执行水平达到一定程度时，内部控制制度执行与社会责任履行会发挥协同作用，有效提升企业价值内部控制制度。因此，融合企业社会责任履行要求的内部控制制度必将成为企业管理的一项重要制度，在促进企业社会责任履行方法发挥极其重要的作用。

*本文系教育部人文社科青年基金项目“管理层异质性与企业社会责任履行的行为契合研究”（项目编号：14YJC630033）；河北科技厅软科学项目“我国自然资源资产审计体系及评价研究”（项目编号：17454204D）；河北省教育厅重点项目“河北省上市公司环境绩效评价研究”（项目编号：SD141008）阶段性研究成果。

[1]杨雄胜：《内部控制范畴定义探索》，《会计研究》2011年第8期。

[2]谢志华：《内部控制、公司治理、风险管理：关系与整合》，《会计研究》2007年第10期。

[3]吕敏康、许家林：《企业内部控制专家系统：基本思想·理论模型·构建方法——以GL暖通设备有限责任公司采购成本控制为例》，《会计研究》2012年第12期。

[4]王竹泉、隋敏：《控制结构+企业文化：内部控制要素新二元论》，《会计研究》2010年第3期。

[5]王海兵、伍中信、李文君等：《企业内部控制的人本解读与框架重构》，《会计研究》2011年第7期。

[6]冯丽丽：《当代中国企业社会责任规范的现状与反思——基于利益相关者视角》，《财政监督》2012年第12期。

[7]黎文靖、张帆：《利益相关者导向内部控制设计》，《中国金融》2005年第22期。

[8]张兆国、张旺峰、杨清香：《目标导向下的内部控制评价体系构建及实证检验》，《南开管理评论》2011年第1期。

（编辑 刘 姗）