浅谈ISO9000族标准在企业内部控制质量评价中的应用

刘美辰

摘要：企业内部控制是由董事会、管理层和全体员工共同实施的旨在合理保证控制目标实现的过程。健全有效的内部控制是现代企业制度的必然需求。财政部等五部委在2010年分别出臺了《企业内部控制评价指引》与《企业内部控制审计指引》，积极推进企业内部控制的建立和完善，但却缺少一套完整的质量评价体系来判定其建立和实施的情况。本文拟基于ISO9000族标准的相关理论，结合ISO9000族标准的八大原则，构建企业内部控制质量评价体系，丰富内部控制质量评价标准。

关键词：ISO9000族标准;企业内部控制;质量管理

中图分类号： 文献识别码：A 文章编号：

2096-3157（2019）06-0032-04

一、引言

2008年5月22日，财政部、证监会、审计署、银监会、保监会联合出台发布了《企业内部控制基本规范》。2010年，五部委又分别出台了《企业内部控制评价指引》与《企业内部控制审计指引》。标志着中国企业内部控制达到了正式化、规范化阶段。内部控制在企业建立和完善自我约束机制、提高经济效益等诸多方面发挥着举足轻重的作用。越来越多的企业认识到建立和完善内部控制的重要性，并通过一系列的措施来评定内部控制质量，以提高维持自身的持续经营与健康发展能力。

企业内部控制的质量管理是通过对企业内部控制的质量进行管理从而指挥和控制整个企业内部相互协调有效运作的活动。其质量管理又分为质量保证和质量控制两个方面的内容，质量控制是为了达到目标质量要求而进行的一系列活动，质量保证则是提供客观证据证明标的已经达到目标质量要求，其中质量评定尤为重要。

ISO9000族标准正是一系列关于产品质量管理和质量保证的国际标准族，是现代质量管理和质量保证理论的结晶。我国早在1978年就已经正式成为国际标准化组织的一员，自2001年加入世界贸易组织（WTO）后，各行各业更是掀起了广泛采用ISO9000族标准的热潮。自我国1989年开始等效采用该族标准，到1992年正式等同采用，再到2000年的ISO9000族标准中文版发布，该族标准在我国的运用越来越广泛。将企业内部控制整体看作企业的一种“产品”，利用ISO9000族标准对其质量进行评定，可以说是突破该族标准原有使用范围的限定，将其以顾客为中心的产品质量优化理念拓展到整体企业质量优化的理念，是具有相当程度的意义的。

二、内部控制的发展

1.内部控制总体发展历程

内部控制是指企业为了实现其各项目标，而在企业内部采取的自我调整、约束、规划、评价和控制的一系列方法、手段与措施的总称。其发展大体经历了以下五个阶段：内部牵制阶段、内部控制系统阶段、内部控制结构阶段、内部控制整合框架阶段、企业风险管理整合框架阶段。内部控制是组织经营与管理发展到一定程度的产物，是科学管理的必然需求，在社会经济进步与发展的过程中，其理论也随之发展与进化，从最初的无意识的自发性的活动逐渐的演变成系统的、科学的一门学科。其具有我们无法忽略的重要性。

2.我国企业内部控制发展历程

我国内部控制的建设并非一蹴而就，而是经历了漫长的过程，主要经历了以下三个阶段：

（1）引入阶段。我国于20世纪80年代将内部牵引相关概念进入国内，但当时正值改革开放初期，政府和企业在“放权让利”为重点的改革中追求企业的自主与自由发展，并未对内部控制做出严格规定，直到1985年《会计法》我国才首次在法律文件上对内部牵制提出了明确要求。

（2）发展阶段。2008年5月，我国财政部、证监会、审计署、银监会、保监会五部委联合出台发布了《企业内部控制基本规范》。这基本规范融合了国内外长期的相关于内部控制的经验，并结合了我国企业的实际情况，是我国内部控制建设历程上的一个里程碑。

（3）基本建成阶段。2010年4月，财政部等五部委出台了《企业内部控制应用指引第1号——组织架构》等18项应用指引、《企业内部控制评价指引》与《企业内部控制审计指引》。在企业内部控制发展过程中，诸多问题暴露出来，国家也在不断完善我国企业内部控制。这几份指引不仅包括了实务指南，更包括了诸多的操作指南，涵盖了企业各个方面的内部控制，标志着我国内部控制规范体系的基本建成。

三、ISO9000族标准

1.ISO9000族标准的产生与发展

（1）ISO9000族标准的产生。ISO9000族标准是国际标准化组织（ISO）下设的品质保证技术委员会（TC176）于1987年制定并颁布的用于规范质量管理的族标准。这一标准族包括ISO9000《质量管理和质量保证标准——选择和使用指南》、ISO9001《质量体系——设计开发、生产、安装和服务的质量保证模式》、ISO9004《质量管理和质量体系要素——指南》等几项标准。ISO9000族标准规范了企业从原材料采购到产成品交付的所有过程，涉及到企业内部的全体员工，还适用于不同的行业。该标准是当前国际、国内贸易往来及合作中，被作为相互认可的技术基础和确认质量保证能力的依据。拥有这份认证，可以在短时间内提升企业形象，获取顾客的信任，从长远看来，可以降低成本，形成优良的企业文化，并与国际接轨，促进企业良性、长期发展。ISO9000族标准自颁布以来经历过多次改进：1987年版本、1994年版本、2000年版本和2008年版本。我国国家质量监督检验检疫总局最早在1992年正式等同采用ISO9000族标准为中国的国家标准，并于2000年12月28日发布2000版ISO9001的中文版。目前我国国内广泛使用的为2008年的颁布新改进版本，其国际版编号为：GB/T19001-2008。

2.ISO9000族标准的优点

ISO9000族标准作为国际性的一组标准，具有以下几点特征：

（1）国际公认程度较高。ISO9000族标准是一个国际标准，其制定组织品质保证技术委员会（TC176）是目前世界上最大、最具权威的标准化专门机构国际标准化组织（ISO）中的第176個技术委员会，其制定发布的标准均具有较高的权威性。

（2）通用性程度较好。全世界已经有150多个国家等同采用了ISO9000族标准，全球通用。同时，ISO9000族标准应用范围共有39大类，包括农业、出版业、教育等，适用范围广泛，基本没有使用壁垒。

（3）具有较强的实用性。经过多年的、全球一百多个国家的不断实践和对经验的积累，使ISO9000族标准足以应对各种情况下的质量管理与保证。同时可以减少社会重复检查费用，节约支出，带来较高的经济效益。

（4）规范程度较好。ISO9000族标准实行时间长，经过长久的实践与多次改进，具有较强的规范性。

（5）有较强的灵活性。2000版ISO9000族标准取消了1994版本中的ISO9001、ISO9002以及ISO9003这三项标准，形成了一个统一的标准，各组织在运用该族标准时，可以根据组织的具体实际情况进行删减，避免了对标准进行死板与机械的单纯套用。

四、企业内部控制评价体系的构建

1.基于ISO9000族标准的企业内部控制评定标准

ISO9000族标准2008年版一共明确了八项原则，分别是：领导作用、全员参与、基于事实的决策方法、过程方法、管理的系统方法、以顾客为关注焦点、持续改进，以及与供方互利的关系。企业内控制度作为企业的特殊“产品”，其质量决定着其实行的效果，可以用ISO9000族标准八大原则作为管理理论的指导思想与方法，可作为标准对企业内部控制的质量进行评定。

（1）领导作用原则。领导者在组织管理活动中起着关键的作用，是落实企业内部控制质量管理的基础。本文将领导者界定为在企业运行过程中具有战略决策、组织管理以及保证计划有效实施的权力人员，包括高层领导和中层领导。具体而言，高层领导者负责战略的制定，中层领导者负责计划的实施与调整。对于企业内部控制的领导层方面应当着重考察以下几个方面：①企业高层领导者（董事会）确立的企业的宗旨和目标是否适应企业本身的特点和需求。企业内部控制的目标与宗旨决定了内控制度实行的目标与方向，该目标或宗旨必须符合市场发展自然规律并适应行业发展大环境。②企业高层领导者引导的企业文化是否益于企业持续发展。企业文化渗透在组织内部每一个角落，其包括企业精神、道德水平、行为准则、历史传统等内容。好的企业文化可以为企业带来事半功倍的效果，有助于企业在外建立良好的形象。企业精神是否积极，行为准则是否规范，历史传统是否优良，都应列入考查范围。③企业中层领导者（内部审计部）对内部控制的组织落实、监督检查、评价处置、改进创新是否到位。中层领导者处在一个上传下达的重要位置上，不仅是企业制度实施的主要操刀手，也是对企业制度进行改良的先锋军。中层领导者应定期不定期的对企业内控制度的实行情况进行检查与评价，及时意识到内部控制的不足之处并进行反馈，及时做出调整与改进，做到防微杜渐。④企业领导层是否为员工提供所需资源和培训。恰当的提高员工素质，才能确保企业内控制度的实行可以畅通无阻，并在合适的地方适当赋予员工自主权，以免员工成为单纯的“执行机器”，并可以避免人才埋没。

（2）全员参与原则。企业全体人员的充分参与是企业内部控制运行达到良好效果的重要条件。企业的内部控制质量管理不仅需要高层管理者的正确领导，还有赖于基层员工的参与。企业每一个员工的参与都决定着内控制度相关规定以及要求的落实情况。从企业的董事会、各层管理者到企业的基层员工是否全员参与到企业的内控制度当中去，是评定企业内部控制质量的一项重要标准。

（3）基于事实的决策方法原则。正确的决策对于企业的日常运营与未来发展来说至关重要，在制定与企业内部控制相关的各种决策时所依据和使用的各种信息以及数据的真实可靠性，是企业内部控制质量的根本保证。只有以事实为依据做决策，才可以防止决策失误。因此，在企业处理那些反馈出来的信息与数据时，应在下几个方面进行重点考察：①所需信息和数据的取得途径是否有效。取得的信息和数据是来自于执行者还是设计者，应有所辨别。使用的数据是内部数据还是外部数据，也应加以区分。区分的途径是单一途径还是多重途径，是否掺入人员主观判断，更加要引起重视。②相关信息和数据的输入过程是否准确无误。类似于键盘输入错误、人为传达错误等非系统错误，应当杜绝，避免错误数据和信息干扰决策。③相关信息和数据的分析过程是否科学。对数据和信息采用的分析方法、分析依据以及结论表示方法都是否有理可据，环环相扣。④管理人员决策态度是否端正。管理人员应当公正客观，不以公谋私，只论事不论人。⑤企业内部控制的行动方案的选择是否恰当。企业应选择符合本企业自身情况的方案，不随波逐流，也不盲目从众，一味的借鉴其他企业成功经验。同时，管理人员应确保决策符合逻辑，在对事实进行了充分的分析之后，在兼顾经验与直觉的基础上做出决策，并采取措施。只有依据的数据和信息真实可靠并进行科学理智的决策，才能确保企业内部控制的质量。

（4）过程方法原则。管理的本质就是管理过程。作为管理的一部分，内部控制并不只是简单的结果控制，其本身是一个过程控制。所谓的过程就是任何使用资源，将输入转化为输出的活动。通常，一个过程的输出将直接成为下一个过程的输入，过程之间相互关联、相互作用，使组织有效运行。因此，对企业内控制度质量进行评定，必须要看企业是否将内部控制作为一个过程来对待。若把企业内控制度的实施作为过程来管理，就可以识别和确定每一个过程的输入输出活动，并对其各部分的质量进行测量与控制。同时可以明确一个过程与其他过程之间的关系、作用和接口，方便相关人员进行调整，使各个过程之间更加协调与兼容，提高企业内控制度的运行效率和效果。

（5）管理的系统方法原则。企业应将相互关联的各个内控过程作为一个系统加以识别、理解和管理，这样有助于企业提高实现内部控制目标的效率和效果。因此，应该判断企业内部控制单独的各个过程是否作为企业内部控制的有機组成部分，彼此间相互协调、促进和辅助，共同促进企业内部控制的有效实施，达到总体作用大于各分系统作用之和的效果。其实企业内部各个部门之间本身就存在着紧密的联系，企业本身就是一个有机体，任何一个部门都不可能独立存在，其职能权利相互制约相互促进。所以适应企业的内部控制制度应该像一张错落有致的网，下有制度，上有监管，与企业各项业务运作完美契合。因此，企业内部控制是否以过程为基础建立统一的系统，使内部控制过程作为有机体存在于企业内部控制制度当中，是企业内部控制质量评定的关键。

（6）以“顾客”为关注焦点原则。所谓的顾客既指产品的使用者，因此企业内部控制的“顾客”就是企业以及企业的利益相关者。企业的存续完全取决于社会对企业产品与服务的满意程度和对企业本身的信任程度，因此高质量的内部控制也应该令企业及其利益相关者满意并取得他们的信任。企业应当定期或不定期对企业以及社会大众进行匿名调查，以了解基层人员、小股东以及潜在股东对企业内部控制管理制度的看法，并及时做出调整与回应。

（7）持续改进原则。企业所面对的经济环境、政策环境、市场环境等外部环境以及上游的供应商、下游的顾客、同行业竞争对手等内部环境，都在不断发生变化，企业的经营方向与决策目标也会随之改变，倘若故步自封，只能自取灭亡。如此一来，企业的内部控制也必须因时而变，保证自己能够继续确保企业整体的有效运行，不断增强企业的市场竞争力。永久有效的内控制度是不存在的，持续改进才可以保证企业内控制度的质量随时新鲜，持续改进才是企业内控制度永不枯竭的生命源泉。因此，企业是否将企业内部控制的持续改进作为企业内每个成员的目标，相关测量和跟踪的方法是否制定，改进成果是否及时确认和通报，均是评定企业内部控制质量的重要标准。

（8）与供方互利的关系原则。供方既指原材料供给方。组织与供方的互利关系可以提高双方创造价值的能力，企业能否处理好与供方的关系，影响到企业能否持续稳定的为顾客提供满意的产品与服务。若将企业内部控制制度视为企业的“产品”，企业的供方就指那些制定企业内部控制的人员（企业董事会成员）。董事会制定的内部控制是否有益于企业整体发展，又是否能为公司股东带来稳定收益，是需要在企业内部控制评价过程中需要注意的问题。

2.基于ISO9000族标准的企业内部控制评价体系的构建

企业内部控制的质量评定可以形成一个完整的体系，上文提到的八项质量评定标准之间具有以下的关系：首先，应先考察企业人员对企业内部控制的关注程度、参与程度，评定企业领导作用是否有效合理，同时，判断在企业领导层的指挥下，企业董事会、高层管理者以及企业基层员工是否全员积极地参与到企业的内控制度建设当中;其次，应关注内部控制具体内容，第一步考察内部控制相关决策是否基于可靠的事实，第二步考察企业内部各个过程是否连贯，最后考察企业内部控制是否可以形成有机的统一的整体，达到部分之和大于整体的效果;再次，应该考察企业内部控制质量是否满足了企业及其利益相关者的需求，同时考察企业董事会制定的内部控制是否与企业股东与企业整体达成了互利共赢关系;最后，应对企业内部控制存在缺陷的地方进行持续改进，避免因小失大，做到防患于未然。具体如下方图1所示：

图1 八大内控评定标准之间的层次关系

在持续改进过程中，企业可以选用“质量环”模型（即PDCA循环方法）进行内控制度的质量进行改进，在计划、执行、检查、纠正这四个步骤的不断循环往复的过程中，使企业内控制度质量螺旋式上升，被打磨成最优状态。如下方图2所示：

图2 以过程为基础的企业内控质量管理体系模式图

建立和实施质量管理体系的具体步骤有以下几步：首先，确定企业和企业利益相关者的需求和期望，据以确认企业内部控制的质量方针与质量目标，以及实现质量目标的过程和各方职责;其次，确定所需的资源并对其进行资源管理;然后，构建企业内部控制;最后，应用测量方法得到相关信息与数据，分析企业内部控制的有效性和效率，并对其缺陷之处进行改进。

五、局限与建议

1.研究局限

利用ISO9000族标准这一国际标准对企业内控制度质量进行评定具有一定的现实意义。但下列问题必须注意：

（1）在风险预估上具有局限性。ISO9000族标准对企业内部控制制度质量的评定局限在过去的实施过程和现在的实施效果上，而没有对其未来的或有风险进行预测。企业内控制度很可能存在一些会诱发风险的潜在因素，对这些因素进行挖掘和判定，并视情况进行排除也是非常重要的。若缺少对潜在风险的认识，很可能会忽略企业内部控制存在的巨大隐患而轻视部分内控缺陷，最终造成无法挽回的损失。

（2）无法满足定量的质量评定。ISO9000族标准可以提供的仅是定性的质量判断，但对于利润至上的企业来说，鲜明的数字数据往往要比各种文字概念更容易引起企业人员的注意。而且，定性的判断难免会受到一些评定人员的主观因素的影响，难以做到数据计算得出的结果那么客观，也无法做出非常精确的结论。

2.对策及建议

对于上述的两点局限之处，可以选择用其他的方法进行确认与衡量。例如，可以利用事件树分析法（ETA）与故障树分析法（FTA）的结合，对一个事实的可能原因和可能结果进行判断，识别企业内部控制存在的潜在风险。对于将企业内控量化的方法，可以采用杜邦分析法，从企业的权益净利率（企业净利润与平均净资产的比率，反映所有者权益所获报酬的水平，也称资产净收益率）出发，层层分解分析，直至企业最基本生产要素的使用，成本费用的构成，以便观察和确定企业内部控制的效果。

六、结论

将ISO9000族标准运用到企业内部控制质量评定中，是一种对ISO9000族标准运用方式的创新。这种评价体系可以实现从基层到高层、从微观到宏观、从点到面的评价，也可以将企业内部控制抽丝剥茧的分析，准确的将企业内部控制质量不过关的地方辨别出来，方便有针对性的提高相应的应对措施。该评价方法还需在实践中不断探索和改进。

参考文献：

[1]王海英，史文新.运用ISO9000标准构建企业集团财务公司内部控制体系[J].金融经济，2010，（18）：141～142.

[2]吴竟勤.谈ISO9000质量管理体系在外贸企业内部控制评价中的运用[J].国际商务财会，2009，（4）：41～42.

[3]刘义雄编著.ISO9000质量标准与质量体系审核简明教程[M].北京：中国经济出版社，2003.

[4]骆良彬，王河流.基于AHP的上市公司内部控制质量模糊评价[J].审计研究，2008，（6）：84～90+96.

[5]刘立芹.浅谈企业内部控制有效性及评定方法[J].中外企业家，2014，（4）：89+103.

[6]方红星，池国华，樊子君.内部控制[M].大连：东北财经大学出版社，2014.