关于内部控制概念框架的构建

2019-10-30赵珂

财政监督 2019年20期

●赵珂

一、问题提出

作为一种观念形态上的内部控制和作为一种社会世界现象的内部控制，实际上已经存在数千年之久。早在公元前3600年，苏美尔文明中就出现了“内部牵制”这种蕴含内部控制理念的原始现象。公元前4000年至前2000年的河洛文明也出现了结绳记事等控制现象。到了20世纪，社会经济进入大发展时期，学者分别根据实际需要，及时总结并创造性地提出了内部控制制度、内部控制结构、内部控制整体框架和风险管理框架等理论，形成了比较完整的内部控制理论。从内部控制形成与发展的过程中，可以知道它是先有朴素原始的实践，然后从实践到认识，及时总结规律进行抽象形成初步的理论，再从认识到实践，经过完善又回到认识，最终形成了现在的一套相对独立的系统化的理论体系。

内部控制不同于一般的研究物质世界的自然科学，不具有完全的可复现性、可重复性，并不是所有的理论、结论都完全可证实或可证伪。但它依旧是对社会世界中大量客观现象的一种规律性概括，是建立在具有个性化特点的不同单个样本基础上的一种实证科学，对实践具有事实上的指导意义。所以，它应该定位为一门研究社会世界的实证科学。这门学科实践相对久远、但理论发展相对比较新，不少问题还处于讨论之中。因此，对于其概念框架相关的研究并不十分多。

杨清香（2010）就构建内部控制的概念框架相关问题提出了一个参考框架，该框架包括内部控制本质、内部控制对象、内部控制主体、内部控制目标、内部控制方法、内部控制规范和内部控制环境等理论要素。该文较多地对已有文献进行了梳理归纳，并没有给出十分清晰的要素定位，但对整体概念框架的构建具有一定的启发性。夏宁（2013）基于和谐管理理论提出了一个参考性的企业内部控制框架。其他一些学者也分别对政府部门内部控制概念框架和行政事业单位的内部控制审计概念框架进行了研究并提出了一些思考。

总体来看，学术界对于内部控制概念框架的基础性研究偏少，更侧重于企业内部控制的研究。本文尝试弥补关于内部控制概念框架方面相关文献的不足，提出一些新的具有启发性的观点。

二、对内部控制概念框架的构建

内部控制的本质。从企业内部控制的方面看，由财政部、证监会、审计署、银保监会出台的《企业内部控制基本规范》中第一章第三条将其定义为 “由企业董事会、监事会、经理和全体员工实施的，旨在实现内部控制目标的过程。”《小企业内部控制规范（试行）》也认为是“旨在实现控制目标的过程”。从政府内部控制的方面看，《联邦政府内部控制准则》对其定义是：“一个由实体的监督机构、管理层和其他人员实施的，旨在为实现实体目标提供合理保证的过程。”中华人民共和国审计署（2006）也认为政府内部控制是：“为履行职能、应对风险和实现总体运作目标的一种自我约束和规范过程。”从行政事业单位内部控制的方面看，《行政事业单位内部控制规范（试行）》认为其是：“单位为实现控制目标，通过制定制度、实施措施和执行程序，对经济活动的风险进行防范和管控。”可见，内部控制是一套“过程”（process）。但过程一词比较含混模糊，并未很好揭示出其本质。企业内部控制有18个细化的《应用指引》，分别就是其内部控制针对的对象，例如：工程项目、组织架构、人力资源、资金活动、合同管理、资产管理、企业文化、销售业务、担保业务、采购业务等。追根溯源不论是内部环境、控制活动、控制手段等等，这些用于控制针对对象、环节的制度、方法最后都是落脚于控制人，是实现对人的一种管理。从政府内部控制方面来看，要实现其组织的目标也需要加强对其雇员的管理，引导激励其雇员为实现组织目标服务。行政事业单位的内控规范虽然提出的是 “对经济活动的风险进行防范和管控”，但是风险依旧是通过人来防范、管控或者是因为人的缘故而导致风险不当扩散和放大的。所以，归根结底还是要实现管理人。因此，内部控制实际是实现对人的一种管理。内部控制的本质就是对人的管理，是服务于组织管理需要的，与组织管理共生共存。

内部控制的概念适用性。有一种常见观点认为，内部控制是企业等经济组织的事，其他机构组织不怎么需要内部控制。这类观点是不正确的。就国内而言，目前使用内部控制的确实主要是企业等经济组织。财政部专门制定了关于企业内部控制的系列指导文件，对于其他类型的合伙经济实体发布了诸如《会计师事务所内部治理指南》等规范性文件，也都是着眼于经济组织的。但实际上政府部门、行政事业单位也有相关的内部控制。只是企业应用相对比较广泛一些，上市公司和其他一些大中型企业由于加强公司治理的需要而建立健全了内部控制。资本市场、社会公众对此更加熟知一些。政府方面的内部控制提的确实不多，其也有类似内部管理制度，客观上起到了内部控制的作用。行政事业单位的内部控制规范在2014年由财政部制定出台并开始推广执行。虽然起步较晚，但现在行政事业单位也需要建立健全内部控制了。政党组织自己内部的相关党内法规和规范性文件也是为了自我约束、自我控制。可见，内部控制的概念适用性并不只局限于企业等经济组织，而适用于一切组织。因为内部控制也是一种管理，内部控制对于政府部门、行政事业单位乃至党内组织一样适用。

内部控制的主体。《企业内部控制基本规范》指出其是“由企业董事会、监事会、经理层和全体员工实施的”。《行政事业单位内部控制规范（试行）》要求：“督促相关工作人员认真执行。”可见，内部控制是全体参与，全员覆盖，全岗落实，需要相关环节的员工全部参与而不是置身事外，不是当旁观者。董事会、监事会实际上是由每一个人所组成，经理、全体员工和工作人员也是人。因此，内部控制的主体是人，是由人出发去进行各种控制行为和活动。沈烈（2014）也认为内部控制实际上表现为“人”的关系的集合与联结。

内部控制的客体，就是内部控制的控制对象。从18个《企业内部控制应用指引》中，可以看出内部控制针对的对象主要是：合同、资产管理、销售业务、担保业务、资金活动、工程项目、采购业务等等这样一些具体的对象、项目、环节。COSO委员会（2013）的《内部控制——整合框架》认为是控制“风险”。COSO委员会（2015）的《网络时代的内部控制》同样聚焦于防范网络“风险”。《行政事业单位内部控制规范（试行）》中内部控制是：“对经济活动的风险进行防范和管控。”但是对这些具体的对象、项目、环节、风险进行管控的制度、办法、流程、过程最终落脚点还是其实际执行者，也就是实施内部控制的全体员工，也即内部控制的主体。所以，内部控制的客体就是人本身。只要内部控制控制住了人本身，那么就可以降低风险到可接受的程度。内部控制的主体控制其客体，即内部控制的主体控制主体自身，形成相互制衡、相互监督和相互支撑的集合与联结。这是内部控制主客体同一的性质，即反身性。所以，内部控制的客体是人。

内部控制的发展动力，就是促使内部控制能够不断发展完善、演化进化的机制。如果内部控制不能不断发展完善，缺乏发展进化、适应新环境的动力，那么它就会逐步僵化停滞，最后无法适应新的环境需要而走向衰亡，丧失存在的价值。从长期的历史实践来看，内部控制实际上存在了数千年，正是因为内部控制有其发展的动力。发展动力可以具体细分为推动力和源动力。内部控制的发展推动力就是控制与反控制的博弈。控制与反控制是一对矛盾，存在博弈关系。内部控制的设置的控制机制不是永恒的，其制定与实施不是一劳永逸的。由于环境和技术的制约、人的认知水平、知识水平和道德水平的局限性、人的欲望贪婪与私心等原因，会导致内部控制的设计不够完善、有意无意存在漏洞。即使当时相对完善管用，但实施的时候可能因为各种原因而导致实际执行存在作选择、打折扣、搞变通的情况，有利于自己的就执行、不利于自己的就不执行。再或者即使设计有效、执行高效，结果有用，但经过长时间运行，由于人的懒惰懈怠与他人钻空子等情况的存在，内部控制的被执行者就会因为内部控制本身的内在完善性不足而出现“道高一尺魔高一丈”的现象，最后导致控制失效、被反控制，从而变成“牛栏关猫”等情况。因此，内部控制需要不断改进控制。这是内部控制发展的推动力。但推动力来源于源动力。内部控制发展的源动力是对实现组织价值的不懈追求。正因为有着对实现组织价值的不懈追求，才会愿意去进行控制与反控制的博弈，不断去产生推动力促使其发展进化。

内部控制的总体目标。最根本的是要促进其实现组织目标、组织使命和组织价值。《企业内部控制基本规范》将其目标确定为：“合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。”这就具体概括为了5个主要方面。《小企业内部控制规范（试行）》第四条规定其目的是：“合理保证小企业经营管理合法合规、资金资产安全和财务报告信息真实完整可靠。”由于企业规模较小，目标就确定为3个主要方面。《行政事业单位内部控制规范（试行）》第四条规定的目标还包括：“有效防范舞弊和预防腐败。”企业和行政事业单位内部控制的规范都是为了促进组织实现其组织目标、组织使命。对于政党组织而言，政党组织实施内部控制也是为了使组织自身能够更好实现组织目标、组织使命，完成其历史任务。

内部控制的方法工具，就是通过什么具体手段和措施来推行内部控制。不同的环境需要有不同的方法，需要因地制宜。普遍使用的方法主要有：绩效考评控制、全面预算控制、不相容职务分离控制、授权审批控制、会计系统控制、财产保护控制、运行分析控制、文件记录控制等等。《行政事业单位内部控制规范（试行）》还提出了：“归口管理”的方法。这些主要方法同样适用于对政府部门、政党组织的内控控制。例如，中共中央和国务院在2018年9月1日印发了《关于全面实施预算绩效管理的意见》，就将绩效考评控制、全面预算控制引入政府管理之中，以进一步加强和实现对政府部门的内部控制。

内部控制的时空，就是何时何地进行控制。王清刚（2016）认为应该是“全过程控制”。空间上是全过程控制，就是对主体运行过程中的所有环节、所有流程、所有过程均进行控制，实现无死角全覆盖。但对于时间维度尚未加以明确。工作中要控制，非工作时间同样要控制。因此，时间上是全天候控制。就是说内部控制还能够延伸到工作时间之外。即在工作时间之外，相关控制依然有效。实际上也是如此，并不是工作时间之外内部控制就失灵了、没人执行了。

内部控制的环境，就是内部控制实施所处的背景条件。这些背景条件一般分为外部条件和内部条件。外部条件主要有：国内政治环境、国内经济环境、国内文化环境、国内法治监管环境、国内产业行业环境和国际外部环境等等。内部条件主要有：组织结构与治理结构、人力资源政策、组织文化、信息化环境、职务职位设置与权责分配制度、成员知识技能水平、人际关系状态等等。内部控制应当适应其所处的环境。

内部控制的依据，就是内部控制必须遵守的官方规范性文件、原则和要求以及组织自身就内部控制制定的一系列制度、机制、规章。必须遵守的官方规范性文件有：国家相关的法律、行政法规、有关政府部门制定的政策性文件等。对于企业和行政事业单位而言，有关政府部门制定的政策性文件有：《企业内部控制基本规范》《企业内部控制应用指引》《行政事业单位内部控制规范（试行）》《小企业内部控制规范（试行）》等。对于政府部门而言，就是国家相关的法律、行政法规、有关政府部门制定的规章制度和发布的具有约束力的政策性文件等。对于党内组织而言，则还有党章和相关的党内法规及其他党内规范性文件。

图1 内部控制概念框架图

内部控制实际上是组织自身一个 “免疫系统”，这个“免疫系统”确保组织围绕组织自身的总体目标正常运行，保障组织的稳态、促进组织自身目标的实现。内部控制的主体始终围绕组织的总体目标在时间上的全天候和空间上的全过程实现自我管理、自我控制、自我稳定，内部控制发展动力贯穿于内部控制的始终，源动力使得内部控制对组织具有存在意义，与组织共生、与管理共生，推动力直接推动内部控制的演化发展与进步。一切的内部控制都根植于组织的内外部环境。在环境的约束下，内部控制结合其依据和常用方法、工具有效实施其控制与管理。

三、框架的总结与实践建议

本框架与之前有学者提出的内部控制概念框架有一些不同之处。本框架的先进性与科学性在于对很多关键要素进行了清晰的定位并加以明确，将内部控制的本质定位为管理；将内部控制概念适用性由企业拓展到政府部门、行政事业单位、党内组织等其他一切组织，扩展了其适用范围，防止这一学科故步自封、自我设限，极大扩大了学科的发展空间；将内部控制的主体确定为人、客体确定为人，即主体实现对自身的控制，即反身性；明确了内部控制的发展动力，将内部控制的发展动力分为源动力和推动力，源动力是对实现组织价值的不懈追求，推动力是现实控制与反控制的博弈；明确其总体目标是促进组织实现其组织目标、组织使命和组织价值；在内部控制的时空维度上，在全流程控制之外提出全天候控制，增加时间维度相关的表述。本框架不足之处在于对方法工具这个要素的阐述不够充分，尚未很好地提取各类组织内部控制工具和方法的共同点，今后可随着实践发展进一步概括。

落实到目前的具体实践，就是要根据新优化理论框架的特点去改进完善企业和行政事业单位的内部控制。主要有以下几点建议：

（一）营造良好的控制环境

单位要强化营造良好控制环境的意识，重视各项内部管理制度的建设，多渠道多途径加大对内部控制制度宣传的力度，使内控制度成为每一个员工自觉遵守的行为准则。本质上看，强化控制环境建设不仅仅是单位领导或者内部控制人员的需要，更是开展各项工作的基础需求。

（二）完善控制风险预警机制

科学合理地制定内部控制风险预警机制，提前预测各类风险，采取措施降低和分散各种风险，更好地促进行政事业单位的运营和发展。

（三）责任具体到人

将对岗位、职位所进行的内部控制，通过责任制的方式具体到人。只有把责任传导到具体的人，才能发挥出其应有的控制效用，防止其落空。奖惩结合，奖励正面行为，严惩负面行为，通过形成对内部控制主体的约束管控，从而达到内部控制的目的。要把内部控制延伸到工作之外的范围中去，实行全天候的控制，防止内部控制在8小时之外失效，造成风险。非工作时间，内部控制的相关机制和对人的约束也不能放松和失灵。

（四）灵活运用各种控制工具和方法

内部控制，无时无刻不处于发展变化之中，俗话说：“道高一尺魔高一丈。”内部控制的环境会不断改变，特别是人也会在环境中作出一定的行为和反应。为了能够适应这种改变，内部控制的依据、手段、工具和方法的演进也需要更新升级，这也是一个相关联的互动模式。因此，要随时注意更新内部控制的工具、方法和手段，废止效用较低和无效的，采用高效、科学的。如此，才能实现内部控制的与时俱进，防止其失效。这也是内部控制的动力机制所导致的内部控制不断进化、提升。