《会计法》内部控制责任主体问题探析

◎崔萌萌

财政部于2019 年10 月21 日发布了关于《中华人民共和国会计法修订草案（征求意见稿）》向社会公开征求意见的通知（以下简称“《征求意见稿》”），将内部控制制度（以下简称“内控制度”）首次规定在《会计法》中，这意味着我国对于内控制度的完善愈加重视，是对我国各单位内部监管领域法制化的重要举措。但其中对于内控制度责任主体的界定仅仅用单位负责人作为规范内控制度的责任主体，显然与《会计法》适用单位和配套下位法的规定不相契合。因此，本文拟从内控制度责任主体的角度，对《会计法》中不同主体内控制度责任主体问题进行探讨，以期对《会计法》立法有所裨益。

一、上市公司等大中型企业内控制度责任主体

《征求意见稿》第二十六条第二款明确内控制度建立健全和有效实施的负责主体为单位负责人。关于单位负责人，《会计法》第五十条定义其为“单位法定代表人或者法律、行政法规规定代表单位行使职权的主要负责人”，《征求意见稿》第五十六条沿用了此说法。按照此逻辑，在公司的语境下，需要对内控制度负责的主体为公司的法定代表人。法定代表人是否应当对公司内控制度负全部责任以及其是否有条件和能力建立实施内部控制制度值得我们探讨。

（一）法定代表人或者董事会是否应为内控制度责任主体

内控制度涉及到企业生产经营活动的各个方面，需要全员参与。这意味着在进行内部控制系统的架构时，不可避免的会涉及到公司管理过程中一些重大决策，而这些决策并非可由法定代表人一人决定。比如在构建内部控制的监督评价部门时，需要具有决定公司内部管理机构设置的权利，而《公司法》明确规定，董事会的职权之一就是决定公司内部管理机构的设置；另外，公司在对员工进行职业道德教育和业务培训等过程中，经常需要公司的资金支持，法定代表人并不具有资金分配的权利，公司的年度财务预算方案、决算方案应当由董事会制定并报股东会审议批准。按照《公司法》的规定与现行的公司治理理念，公司意志一般需要通过股东会议或者董事会议等决议的方式形成。随着国有企业改革的完成，类似于厂长似的负责人已经不再是公司所必须。继续将法定代表人定位为公司的行政首脑似的负责人不再符合现代公司的要求。《会计法》第五十条和《征求意见稿》第五十六条对“单位负责人”的笼统定义实际上没有将法定代表人与行政首脑进行区分。公司的治理架构与行政机关等具有公权力色彩的组织存在很大区别，公司并不存在一个集权力与责任于一身的行政首脑似的“负责人”。《会计法》在修改时应当将两者区分开，审慎定义“单位负责人”，重新考量公司的内控责任主体，只有有能力构建与实施内控系统的主体或组织才应当承担责任，否则会造成权责失衡的情况。

《企业内部控制基本规范》第十二条规定：“董事会负责内部控制的建立健全和有效实施。”内控思想的产生与董事会制度的发展密切相关。伴随着董事会权力的扩张，如何避免董事履职懈怠行为以及故意损害公司利益事件的发生，成为公司治理的焦点，除外部监管外，内控制度即是公司治理中避免董事会权利滥用的重要尝试。内部控制理论的核心之一即为“岗位相互分离、相互制约”的制衡机制，是公司组织结构发展与完善的产物。由此来看，由董事会作为内控制度的责任主体既符合《企业内部控制基本规范》的规定，而且与其权力制衡的思想一脉相承。但应当注意的是，根据《公司法》第四十六条的规定，董事会的职权主要在于制定有关公司利润分配、发行债券等较为基础性的重大问题的议案，即使是有关“内部管理机构的设置”，董事会是“决定”权利，而非“制定”权利。根据《公司法》第四十九条的规定，经理负责拟订公司内部管理机构设置方案、拟订公司的基本管理制度并制定公司的具体规章。而且董事会发挥作用的机制在于议事程序，即通过董事会决议的方式作出决定，这也决定了董事会无法具体的参与到企业生产经营的方方面面，但是内控制度所要约束的主体正是公司中实际的“经营者”，那么将董事会作为内控制度责任主体的合理性也值得怀疑。

（二）内控制度责任主体的重新考量

《萨班斯法案》第302 和第404 条款对内部控制的相关要求和责任主体做了规定。第302 条规定，公司的首席执行官（the chief executive officer）和首席财务官（the chief financial officer）或者与上述主体担任同等职位的人员（the equivalent thereof）应当设计内部控制体系、对建立和保持内部控制负责、评价内部控制的有效性并向审计委员会披露其相关内容；第404 条规定公司的年度报告中应包含内部控制报告，内部控制报告中应当强调管理层（management）建立维护内部控制系统、保证其控制程序有效的责任，管理层应当对内部控制体系的有效性进行评价。《萨班斯法案》将内控制度责任主体定位到了首席执行官、首席财务官等公司的管理层。COSO 发布的《企业风险管理——整合框架》也将内部控制的责任落实到公司管理层。美国并未将内部控制责任主体定位为董事会，而是实际负责公司经营的管理层。究其原因，美国大型公司的股权较为分散，股东一般通过选举董事代替其监督公司的运营情况，管理层实际上拥有公司的经营权，决定公司的实际运营。另外，在公司治理上，美国强调以独立董事为核心的监督模式，独立董事被要求与公司没有利益关联，以保障其独立性。《萨班斯法案》第205 条对“审计委员会”进行定义时即规定：“审计委员会是指由董事会发起并且由董事会成员组成的委员会，如果公司内部没有这种委员会，那么该公司的整个董事会就是公司的审计委员会。”这一规定可以充分说明董事会在美国公司内部的监督职能。

我国公司监督机制主要依靠监事会制度，因此不能完全借鉴美国规定，但是可以从中获得一些启示。《萨班斯法案》规定首席执行官、首席财务官等管理层人员应当为公司的内控制度负责，将内部控制制度相关责任落实到了个人，并且规定由这些人员承担责任的理由为他们是公司的实际经营者，参与企业的日常经营。《企业内部控制基本规范》规定董事会对公司的内部控制负责，实际上属于集体责任，由董事会全体成员承担责任又会回归到无责可追的尴尬境地，是对内控制度责任主体的模糊。虽然我国董事会与总经理等高管的关系与美国不同，但是公司内部都存在具体的掌权经营者，在美国为首席执行官、首席财务官等，在我国为董事长、总经理等。《公司法》第十三条规定，法定代表人由董事长、执行董事或者经理担任，所以，法定代表人的身份并不能直接决定其是否为内控制度负责人，因其同时担任董事长、总经理等，才有可能成为内控制度责任主体。根据银保监会作出的有关内部控制的行政处罚决定，内控制度责任主体也可以为分公司负责人。除此之外，实际控制人、控股股东也有可能成为内控制度的责任主体，两者的共同点是其虽然表面上并不直接参与公司的经营管理，但是其具有通过实际支配公司股份表决权从而能够决定公司董事会半数以上成员选任的可能，进而可以决定公司的财务和经营政策。因此，内控制度责任主体应为公司内部的实际经营者，实际控制人、控股股东、董事长、总经理都有可能，主要应考察其在公司的实际职能与作用，考察其是否可以决定公司的财务与经营。

二、大中型企业之外单位内控责任主体

《征求意见稿》第二条规定：“国家机关、企业、事业单位、社会团体和其他组织（以下统称单位）应当依照本法开展会计工作。”因此，除大中型企业之外，小微企业、行政事业单位、社会团体也受到《会计法》的调整，遵循《会计法》中内部控制制度的相关规定。

（一）行政事业单位内控责任主体

根据《征求意见稿》第二十六条第二款的规定，单位负责人应当对本行政事业单位内部控制的建立健全和有效实施负责。在行政事业单位中，高层权力较为集中，单位负责人即指单位领导人。在行政单位语境下，单位负责人是指相对应的行政区划范围内的最高领导人，即省长、市长、县长等；在事业单位的语境下，单位负责人指在本单位中拥有最高话语权的领导人，如校长、院长等。单位领导人需要对内控制度负责，是其领导职责的必然要求。领导职责属于行政职责的范围，一般是指领导人员对下级的命令、监督的权力和义务。我国行政机关普遍实行首长负责制，行政事业单位的领导对本行政区划或者本单位内部的事务具有最高话语权与决定权，也因此需要对其负责。

根据《征求意见稿》第二十六条第一款和《行政事业单位内部控制规范（试行）》的相关规定，行政事业单位建立内部控制应当至少做到：强化全体员工的职业道德教育和业务培训；确保各项经济业务事项的决策、执行、监督等岗位相互分离、相互制约；明确对发现的经济业务事项和会计事项中的重大风险、重大舞弊的报告程序及其处置办法；建立内部控制的监督评价制度，明确定期监督评价的程序，并确保实施监督评价的部门具有相对的独立性。“首长负责制”的制度基础决定了行政事业单位的领导拥有统筹规划整个单位内部事务的权力，其无论在人员职能分配、决定是否进行人员培训以及培训周期的长短、单位组织架构的设计等方面都具有决定权。另外，行政事业单位的领导有时可能会处于监管真空状态，不透明不规范的内部运转系统不仅会导致普通公务人员的违法操作，我们也经常可以看到领导人员的贪污腐败现象。而且，只有让政府和事业单位的高层参与内部控制程序，才能确保内部控制系统持续长久的运行。因此，行政事业单位负责人承担建立健全和有效实施内部控制系统的责任较为合理而且十分必要。

（二）小微企业与社会团体内控责任主体

根据《中小企业划型标准规定》的规定，小微企业的从业人员较少，而且企业的结构较为简单，其特点主要表现为经营权与所有权的高度合一以及股权过于集中两个方面，其董事长和总经理通常也是公司的大股东，因此，其内控责任主体不同于大型企业。针对此，《小企业内部控制规范（试行）》第七条规定：“小企业主要负责人对本企业内部控制的建立健全和有效实施负责”。对小微企业内控责任主体的规定与上述行政事业单位较为类似，盖因小微企业高层的权利较为集中。但是应当注意到的是《小企业内部控制规范（试行）》与《征求意见稿》的表述虽然类似，但是也存在不同：《小企业内部控制规范（试行）》采用的是“主要负责人”的说法，而《征求意见稿》在公司语境下采用的是“法定代表人”的表述。应当来说，“主要负责人”的表述更为合理，因为即使是小微型企业，其法定代表人也并不一定是公司的实际掌权主体，法定代表人对于公司来说更多是一种代表作用，而非管理作用，小微企业也不例外。

与公司相同的是，社会团体也有法定代表人，一般规定应当由会长担任，特殊情况下可以由副会长担任。结合《征求意见稿》第二十六条第二款和第五十六条的规定，从文义解释的角度看，社会团体的内控负责主体也是其法定代表人，也就是会长或者副会长，这与前述对公司的分析具有同样的问题。社会团体中设有会长办公会议，由会长、常务副会长、副会长、秘书长组成，负责处理社团重要日常工作。但是实际上，会长、常务副会长、副会长、秘书长都可能具有较大的权力，尤其是秘书长作为社会团体内部的实际管理者，具有较大的掌控权利，实际负责社会团体的运营业务。秘书长与公司的经理等管理层类似，负责社会团体内部具体的业务活动，其职权甚至高于公司中的经理。如果秘书长不是社团的法定代表人，很可能会将其内控责任排除在外。目前我国尚且没有关于社会团体内控制度的指引性或者细化性的规范，但是应当明确的是，不应当只规定法定代表人对社团内控制度的建立和实施负责。

三、内控制度责任主体的完善建议

除将内控制度责任主体为单位负责人外，《会计法》中多次出现了“单位负责人”的表述，第四条规定单位负责人对本单位的会计工作和会计资料的真实性、完整性负责；第十四条规定会计人员发现不真实的原始凭证有权不予接受，并向单位负责人报告等。但是这些情况下的负责主体是否都统一为单位负责人呢？单位负责人到底指哪些主体？应当注意的是《会计法》中同样多次出现了“直接负责的主管人员”的表述，此表述是对《刑法》的沿用，《刑法》在实际适用时实际将“单位负责人”包含在了“直接负责的主管人员”范围之内。因此，可以认为在《会计法》中，“单位负责人”实际上包含于“直接负责的主管人员和其他直接责任人员”中，其主体并非唯一，而且与其职权挂钩。因此在确定“单位负责人”到底是哪一主体时，应当重点考察其在单位中实际的职权大小，而非直接根据头衔确定。《会计法》第五十条与《征求意见稿》第五十六条都将“单位负责人”定义为“法定代表人或者法律、行政法规规定代表单位行使职权的主要负责人”，这实际上是对责任主体的含混界定。

“单位负责人”在企业中可以包括董事长、控股股东、总经理等高层人员，在行政事业单位可以包括正副职在内的领导人员，在社会团体和其他组织包括会长、秘书长等高层人员。但是，考虑到《会计法》是基本法，其规范对象包括企业、行政事业单位等多种主体，因此在对内控制度责任主体进行界定时可以做原则性的规定，具体主体的细化可以由特别法或者下位法进行特别规定。

因此，考虑到以上两点因素，建议可以在第二十六条第二款不做改动的情况下，重新对“单位负责人”进行定义，去掉“法定代表人”的限制性表述，将第五十六条修改为：“单位负责人，是指法律、行政法规规定代表或者在单位行使职权的主要负责人。单位负责人属于本法规定的直接负责的主管人员之一。”