多业务模式公司内控体系建立和应用

文=朱凯军

以Dteg公司作为实例，探讨企业发展壮大过程中，如何在形成多业务模式后建立内控管理及评价体系。通过实践探索，寻求一条提升企业内部管控能力之路，促进战略目标的实现。

Dteg公司内控体系建立思路

Dteg公司作为世界500强企业旗下专业的环保节能产业平台，下辖7个子公司和4个事业部，正式员工1400多人。从2004年公司组建初期以脱硫工程建设为主的单一业务，经过10多年的发展，至2015年形成年产值近130亿元的规模，业务模块不断拓展，形成了工程建设、特许运营和产品制造三大类业务，涵盖电站总包、风机制造、燃煤电厂环保一条龙治理、水务运营、节能和信息技术服务等业务，目前海外项目已拓展至印度、泰国等地，是中国电力行业环保节能领域的主导者和领先者。

在工程建设模块：承揽了亚洲最大规模生物质发电厂工程，是首家承揽了南亚脱硫工程总承包项目的公司；环保工程累计业务量位居国内前列。

在特许运营模块：脱硫特许经营盈利水平、脱硝特许经营装机容量、脱硫特许经营装机容量均居行业内前茅位置。

在装备制造模块：拥有业内产能最大的平板式脱硝催化剂生产基地，销量稳居国内第一；风机制造是首家荣获“国家科技进步奖”的企业，在占领增量市场方面处于国内先进水平。

以确保实现公司战略目标为导向，以业务流程为纽带，根据公司实际业务情况和管控需要，建设具有公司特色的内控管理体系，使公司内控管理体系实现标准化、规范化，具有可操作性、可评价性和可持续性。以风险管理为主线，对照内部控制五要素梳理业务流程；覆盖公司本部及所属企业的主要业务流程和管理体系，重点突出设计主业流程设置；与质量体系紧密结合，将质量体系纳入内部控制体系的建设范畴；兼顾体系运营效率，与公司规模、业务范围、竞争状况和风险水平相适应，权衡实施成本与预期效益。以管理提升为基础，优化业务流程，明确权责分工；按照监管机构、集团母公司、内部管理要求进行对标，对业务管控进行全面诊断，发现薄弱环节；强化监督，建立内部控制评价体系；加强培训学习，打造一支支持内控体系长效运转的专业人才队伍。最终建成清晰的组织架构、实现高效实用的内控流程、打造切实可行的评价体系，实现多产业协同发展。

建立内控管理体系规划原则

要构建一个合理、科学的内部控制及评价体系，必须要明确该系统的整体架构、逻辑框架和评价指标。整体架构决定内部控制及评价体系的内容构成、逻辑框架决定评价方法和角度、评价指标决定着评价工作的可操作性、评价标准决定着评价系统的科学实用性。

一是整体架构原则。内部控制评价体系包含评价主体、评价客体、评价目标、评价指标、评价标准、评价方法和评价报告七个要素，各个要素相互依存、相互支持，是具有整体目的性和内在联系性的一个有效综合体。通过选取评价指标，确立评价标准，并经由规范的评价方法，最终得到一个评价指数。评价指数即为评价系统的最终评价结果，是企业内部控制有效性的一个量化反映。评价指数不是内部控制评价系统的独立构成要素，但是其在内部控制评价系统的运行和应用中起着极其重要的作用。首先，评价报告的得出依赖于评价指数，是在对评价指数比较和分析的基础上形成的。其次，评价指数可用作评判企业集团内部各子公司内部控制水平的标准，经过比较、分析，找出缺陷和改进措施，进而提升企业整体的管理水平。最后，评价指数可作为内部控制水平的比较标准，为投资者决策和市场监管提供重要依据。评价指数的得出依赖于评级指标、评价标准和评价方法。基于评价指数的重要性，评价指标、评价标准和评价方法可视作整个内部控制评价体系设计的重心。

二是逻辑框架原则。在我国，不论是理论研究还是企业实践，大多还是以内部控制的五要素为评价系统的逻辑框架，只有少数的学者尝试重新确立新的逻辑角度。通过引入层次分析法，建立基于风险导向和示意结构的内部控制递阶层次模型，分别从控制目标、风险要素、流程控制等多角度对内部控制进行评价。将内部控制的五要素框架作为内部控制评价系统的逻辑框架，是目前最合理选择。一方面，五要素联系紧密、互相牵制，具有很强的逻辑性和科学性，能够全面反映一个企业的内部控制状况。另一方面，基于五要素框架设计的内部控制评价系统与《企业内部控制基本规范》和配套指引相契合，易于实施和推广。

三是指标选定原则。内部控制评价系统的有效运行，合理选取评价指标是关键。严格遵循内部控制系统构建原则，以《企业内部控制基本规范》明确的五要素为逻辑框架，以《企业内部控制评价指引》为指导，以《企业内部控制配套指引》所诠释的企业内部经营和管理活动中存在的风险点为参考，借鉴国内外已有的内部控制评价指标体系，分四级设计了评价指标。一级指标是要素层指标，即内部控制五要素：内部环境、风险评估、控制活动、信息与沟通和内部监督。二级指标是准则层指标，与要素的具体业务或具体步骤相对应，主要依据内部控制的18项应用指引中所分析的风险为导向设计。一级指标“内部环境”对应组织架构、发展战略、人力资源、社会责任和企业文化；“风险评估”对应风险识别、风险分析和风险应对；“控制活动”对应不相容职务分离、授权审批控制、会计系统控制、财产保护控制、预算控制、运营分析控制、绩效考评控制和合同管理；“信息与沟通”对应信息传递和信息系统；“内部监督”对应内部审计、检查监督和内部控制评价。三级指标和四级指标是措施层指标，考虑各分子公司具体业务或步骤实施过程中主要风险的控制措施，差异在于四级指标是三级指标的细化，按实际需要和管控能力决定三级指标是否细化为四级指标。

四是评价标准原则。评价标准设定严格遵循《企业内部控制基本规范》、《企业内部控制评价指引》和《企业内部控制配套指引》关于评价指标的相关规定，同时考虑评价指标类型的影响，结合Dteg实际情况，建立科学合理的评价指数模型。借鉴内部控制评价指数的做法，以指标的得分情况衡量指标运行的有效性：以100-90分、90-80分、80-60分、60-40分、40-0分5个分值区间分别代表着优、好、良、较差、差5个评级，同时借鉴国资委的《中央企业综合绩效评价实施细则》确定定性评价指标评价标准的做法，将制度执行的程度划分为完全执行、基本执行、执行一般、执行较差、未执行5个级别，分别对应上述的五个分值区间，按照指标执行情况赋予指标科学的分值。依据制度执行效果的好坏程度采用定性描述，对照指标运行有效性区间，赋予其合适的分值。

内控管理体系的构建流程

聘请咨询公司进行指导，使用先进的风险识别工具制订科学的实施步骤，将公司所面临的风险进行了系统性归纳和总结，快速形成了风险清单，确保实施框架完整。

◎风险清单

◎风险识别

◎风险评估

◎内控诊断

◎设计内控流程框架

◎编写内控手册

◎贯彻内控体系

◎设计内控模版

◎评价样本

◎整改缺陷

◎评价报告

实现风险与策略的有效结合，将固有风险、剩余风险、控制有效性以及风险管理策略有机地结合在一起，提高了识别风险时的应对能力。将内控管理与风险管理充分结合、融为一体，梳理业务流程，明确职责，确定标准，落实制度，风险评级，管控关键风险点。

内控评价的实施范围

经过近一年的时间，开展了内控体系的建立及评价工作。评价范围包括11个职能部门和6家分子公司，涵盖所有业务模块，参评产业占公司总资产100%，业务事项包括组织架构、战略管理、规划发展、企业文化、法律事务、风险控制、信息沟通、内部监督、人力资源、投资管理、资本与产权管理、财务管理、采购管理、物资管理、全面计划与营销管理、生产管理、社会责任、工程管理、科技管理、信息系统管理、业务外包等按照内控要素五个维度划分的27个一级流程、103个二级流程的全部内容。

内控评价的实施步骤

前期准备阶段：与咨询公司商定内控建设工作计划，内控工作范围、工作要求、工作标准，编制招标文件，组织内控顾问招标、评标、定标，与内控建设顾问商谈技术服务合同。

调查研究阶段：编制内控建设项目工作计划，内控工作启动暨知识宣贯培训，原始资料收集与整理，本部及各分子公司领导访谈及调研，进行内控资料相关模板编制。

手册编制阶段：内部控制制度及业务流程梳理，查找内控缺陷，编制内控诊断报告，114个合规类内控缺陷整改，确定内控体系流程框架，编写内部控制手册，内控业务知识培训。

试运行阶段：内控管理手册颁布实施，30个管理提升类内控缺陷整改，管理流程跟踪，内控问题解答。

评价阶段：144个内控缺陷复核，内控体系建设评价，内控评价报告编写。

内控评价的实施内容

根据财政部等五部委颁布的《企业内部控制配套指引》，在涵盖组织架构、发展战略、人力资源、企业文化、社会责任、资金活动、采购业务、资产管理、销售业务、研究与开发、工程项目、担保业务、业务外包、财务报告、全面预算、合同管理、内部信息传递和信息系统等18项指引要求基础上，增加了集团公司要求涉及特许运营、产品装备制造、电力工程、能源管理、水处理等业务内容，设计了具有专业特色的内控框架。

依照五部委颁布的《企业内部控制基本规范》为理论基础，使用涉及公司全业务由100多个具体问题构成的调查问卷，将内控的五项要素（内部环境、风险评估、控制活动、信息与沟通、内部监督）的核心内容分解至公司治理、内控机制、控制活动等三个层面，确保收集信息的真实可靠性。

参考国资委《关于中央企业开展管理提升活动的指导意见》内容，加强了投资决策管理、全面预算管理、全面风险管理、科技创新管理、人力资源管理、产权管理、法律管理、采购管理、安全生产管理、管理信息化、社会责任管理、党建管理和反腐倡廉管理等13个方面的内部控制建设。

Dteg公司内控评价的应用

第一，内控评价在多业务模块的实施特点。

在不同业务模块中实施内控管理标准化是个难题，各业务模块差异性较大，产业规模、盈利能力、项目周期、人员结构、管理模式、侧重点都不相同，很难用一种标准的模型套用在几种不同业务模块之间。工程建设业务重项目执行、安全质量、成本造价控制、项目结算。特许运营业务重单位度电成本控制，重水、电、石灰石、还原剂耗量等小指标管理。装备制造业务重原材料采购、库存管理、产品质量、市场销售、回款进度等环节。

针对不同业务模块特点，结合咨询公司意见和前期对各模块调查研究结论，分门别类、统一协调，制订共性指标、通用指标、差异性指标、不相关指标四大类，按照各业务模块特点，有针对性地建立了科学、合理的内控评价体系，做到不放过管理的漏洞、不增加发展的阻力。

第二，内控评价中发现的问题。

按照《企业内部控制基本规范》、《中央企业全面风险管理指引》，依据《电力企业内部控制评价指引》、《Dteg公司内部控制管理办法（试行）》、《Dteg公司内部控制评价管理办法（试行）》、《Dteg公司内部控制手册》等规定中关于缺陷认定标准，通过人员访谈、制度翻阅与样本抽查，结合公司各业务具体情况判定：报告期内发现职能部门和6个分子公司共存在144个内控缺陷。其中，按是否合规划分，其中合规类缺陷114个，管理提升类30个，合规类缺陷占比79%；按是否设计缺陷划分，其中设计缺陷74个，执行缺陷70个，设计和执行类缺陷占比基本相当。

通过召开缺陷整改专题会进行分析，明确责任部门和责任人，制订整改计划、明确时间进度、落实整改措施，在规范的制度保障和清晰的职责范围下，制订有针对性的整改措施。从内控评价发现的缺陷类别占比情况看，在合规／管理提升类缺陷中，管理提升类缺陷占比79%；在设计／执行类缺陷中，设计和执行类占比基本相当。鉴于此，将整改措施重点放到管理提升方面，同时结合制度修订，设计和执行类缺陷整改同步进行。

第三，缺陷整改中采取的措施。

针对公司风险管理监督工作有待加强的缺陷，严格执行《Dteg公司全面风险管理办法》，走访各分子公司对控制缺陷进行复查，确保整改新建的工作流程有效提高风险管理能力。

针对客户信息管理分散、缺乏统筹的缺陷，对公司内各下属单位客户信息进行统筹管理，统一建立完整的客户档案，进行分级分类管理，确定重大重要客户，加强深度开发和长期合作，稳定客户资源。

针对工程进度款支付原则未执行的缺陷，财务部严格落实执行80%支付原则，制定超比例外支付审批程序；联合计划与成本管理部就《Dteg公司工程价款支付管理办法》组织研究、进行修订，确保该制度的刚性和科学性。

针对合同档案未进行统一归口管理的缺陷，召开合同档案管理专项会议，明确各类别合同归口管理部门，建立统一的合同管理台账并归档管理。

针对对信息系统投入不足的缺陷，科信部组织牵头，根据公司信息化建设与发展的目标，结合可能面临的信息系统风险，制定信息化战略与规划的草案，制定合理预算进行系统升级，确保公司信息系统可靠运行。

针对未制定完整人力资源规划的缺陷，人力资源部根据公司发展战略制定公司人力资源规划，从战略发展、人事组织、费用预算、制度建设、人才开发、系统调整等方面制定了细化的专项规划，提高为公司发展做好人力资源保障的预见性。

针对岗位职责说明书未及时更新的缺陷，根据公司组织架构和岗位设置情况对各岗位进行评估，对公司本部各职能部门共计96个岗位、4个事业部共计369个岗位进行了岗位说明书的修订，明确各部门各岗位职责。

针对未明确关键岗位范围、未建立关键岗位轮岗机制的缺陷，制订了关键岗位员工定期轮岗制度，明确轮岗范围、周期、方式等内容，形成相关岗位的员工有序持续流动，全面提升员工素质。

针对公司治理结构有待完善的缺陷，按照我国法律法规和《企业内部控制应用指引》的要求设立股东大会、董事会、监事会；完善三会管理相关制度，设立了相关的专门委员会和专业委员会。

针对公司未形成系统战略子规划的缺陷，制订具体措施，根据公司整体战略规划编制了更为细化的子规划，明确各子规划的权责部门，制订具体的执行措施，对各子规划执行情况进行定期总结分析并调整完善。

针对法律纠纷风险管理有待加强的缺陷，对各单位合同履行情况进行分析，重点关注应付账款、应收账款等数据信息，建立了合同审核制度和法律纠纷事件的报告、备案、处理机制，加强了法律风险防范。

第四，内控评价取得的效果。

经过半年时间，完成了各类缺陷整改。通过内控评价及缺陷整改，组织引导全产业、全业务人员参与内控手册的编制，有效地形成了良好的内控管理氛围；建立了相关职能部门间联系人制度，实现畅通的沟通机制；组织全员梳理本岗位业务风险点，提出制度建设意见和应对措施，提高风险防范能力和应对能力；落实了三会管理制度，健全了三会组织机构，完善了公司治理结构；健全了公司发展战略各子规划，制订了各分子公司相关子规划的执行措施；对各业务部门进行了权责梳理，对员工进行了岗位职能优化；修订及新颁布各类管理制度共计131项，加强了规范化、标准化和精细化的管理；优化了业务流程，提升了管理高效化和科学化。

利用开展内控评价的契机，以评促改，将内控管理融入到公司日常管理。通过建立内控评价标准，利用客观的内控评价结果，促进资源优化配置。提升了风险防范的能力和应对水平，形成完备的内控体系，通过每年一度的内控评价报告，能够对公司管理系统进行全面的体检，改善头痛医头、脚痛医脚，疲于应付各种突发状况的被动管理局面，促进了管理水平的不断提升。

探索与思考

Dteg公司规模不断壮大，随着业务量剧增，部分分子公司的业务呈井喷状态；涵盖互不交叉的各业务模式发展不均衡，造成内控体系建立的模式不尽相同；执行难度加大，项目点多、线深、面广，管理、设计、销售、施工人员构成的组织结构复杂；对基层项目部控制能力降低，管理难度加大，势必会造成新的管理难题和管控盲区。

这些新问题的出现，就要求在建立内控体系时既要坚持统一性原则，还要有针对不同业务模块适用性特点；既要抓住单个业务特点，还要消除多业务环节协同配合效率低下的难点；既要借内控评价工作排疏堵漏，还要使其能为公司发展创造机会条件。

内控管理不是孤立存在的，它是为企业风险防范建立屏障的过程，是和风险管理在两种视角下的一体化体现。内控评价工作要结合集团公司“四全管理”工作，即同全面计划、全面预算、全面风险和全面责任工作同步进行、长期开展、相互促进，促使公司管控力和执行力双提升，确实保障公司战略目标的实现。

内控体系建设是专项工作，更是系统工程，要与公司的日常管理工作有机地结合起来，形成有效的抓手，通过试运行、整改缺陷、合规建设、优化流程、完善制度，在内控评价的作用下，以管理水平的提升带动内控体系的完善。

内控管理可采取的新措施有：

一是文化引领。Dteg公司从传统的发电行业中发展起来，市场化程度越来越高，竞争日趋激烈。早期员工大多来自基层电厂，职业经历以电力生产、工程建设、运行维护等人员为主，对市场化条件下的竞争性业务接触时间不够，对新的管理理念方法了解不多，尤其是公司有了装备制造和信息技术两个产业模块以后，在加强制度执行的同时，要进行必要的培训、宣贯，导入现代内部控制理念，提高员工的接受度、增进认同感，推动建立内部控制体系的文化基础，培养良好的内控管理文化土壤。

二是创新引领。引入内控体系作为一种新兴的管理工具，其具体运作还需要在探索中完善，有必要发挥咨询机构的专业优势，共同推动内部控制体系在企业的深化应用。在引入咨询公司的通用经验之外，还要发挥企业的创新驱动作用，既注重顶层设计，尊重专业精神，同时注重结合企业实际，充分考虑分子公司和基层企业的合理诉求，切实调动企业内部各方面的自觉性，鼓励干部职工结合各自业务特点，在实践中创新，在创新中发展。

三是主动引导。公司规模不断壮大后，涉及集团化管控和简政高效之间的矛盾会日益突出。要积极引导、抓大放小，加强关键节点的控制，下放具备管控能力分子公司的业务权限，做好指导督促工作，激发分子公司内在积极性，形成一种自上而下、自下而上的双向动力，迫在眉睫。

内控管理在走过了萌芽期、发展期、成熟期和创新期以后，必将进入一个更加科学化、系统化、制度化、规范化的智能期发展阶段。Dteg公司从一个传统的工程建设型企业发展至今，已成为环保科技行业的领军者，并将致力于成为以科技引领的创新型企业。在引入并建立内控管理体系后，未来将通过不断的探索实践和创新升级，建成具备自我调节机制，信息化、自动化和智能化的高效管控系统。