基于系统思维的企业内部控制体系构建

■/ 车映安

近年来，伴随着国际地缘政治、军事形式持续变化，各类不确定因素复杂多变，企业经营风险陡增。我国自2008年5月发布《企业内部控制基本规范》、2010年10月发布《企业内部控制配套指引》以来，尽管国家逐步强化了对企业内部控制体系的实施和监督，但企业内部控制体系的建立仍然存在很多问题，需要进一步探讨完善。

一、我国企业内部控制体系建设现状

分析我国企业内部控制体系建设总体情况，上市公司好于非上市公司，央企好于民企，大企业好于中小企业。目前，企业内部控制体系建设中存在的问题主要表现在以下几个方面：一是有的企业内部控制体系建设不到位，制度约束失效，企业的内部控制制度与企业的组织架构、业务发展不匹配，未及时更新、完善、优化，内部控制流程、关键岗位、制度存在设计缺陷或缺失，对新业态、新情况、新问题研究不够，没有制定和更新相应的内部控制制度，对业务发展不能提供有效的支撑作用，存在重大风险隐患。二是有的企业内部控制体系建设与业务发展存在两张皮的现象，内部控制没有融入企业管理，内部控制体系建而未管，企业在建立内部控制体系时，制定的流程图、关键岗位设置和控制以及制定的制度与实际业务存在差距和不一致的情况，内部控制体系处于制度层面，没有很好地落地实施，处于失效状态，这也导致企业各类风险事故频发，尤其有的企业安全事故频发的主因，动辄发生重大伤亡事故，经过事故调查发现，重要原因还是企业缺乏有效的内部控制体系。三是企业重点领域和关键环节内部控制缺失，存在设计缺陷，同时缺乏有效的监督、评价制衡机制。例如企业资金管理内部控制体系存在设计缺陷和执行缺陷，导致资金安全风险。又如企业项目建设或者企业大宗采购环节，招投标环节的流程缺失，或者关键岗位控制不到位，就很可能招致串标、围标，导致舞弊行为发生，给公司造成重大风险和损失。

二、运用系统思维的方法和观念建立健全企业内部控制体系

（一）建立符合企业实际情况和业务发展需要的内部控制制度体系

按照《企业内部控制基本规范》及《企业内部控制应用指引》，结合企业实际情况和业务特点，将内部控制体系和管理制度形成有机融合与衔接。在建立企业内部控制体系时，对企业的各业务环节和企业管理的各方面，进行系统梳理，明确企业业务重要领域和关键控制环节，通过内部控制措施和工具，将内部控制管理和监督嵌入到具体的业务流程中，使业务流程形成闭环，对关键环节进行控制描述，制定具体控制措施，优化管理制度、操作规范、流程和权限，最终形成符合企业实际情况和业务发展的公司内部控制手册或标准。这也是企业内部控制最基础、最重要的环节，是企业内部控制体系建设的基础。避免出现企业内部控制体系建设不到位，制度约束失效，企业的内部控制制度与企业的组织架构、业务发展不匹配的现象。对内外部合规要求进行系统梳理，将合规要求转为各关键控制环节的具体执行标准，通过内部控制措施和工具，梳理整合、查缺补漏，将风险管理和合规管理嵌入到具体业务当中，优化制度、流程和权限，确保内部控制体系的全面、有效落地实施。

例如，企业采购是企业生产经营的起点，既是企业实物流的重要组成部分，又与资金流密切联系。制定采购与付款的内部控制流程，首先要梳理采购与付款业务的整体流程图及各业务流程，绘制流程图，识别关键控制点。如某企业主要的采购流程包括：物资需求计划审批流程、供应商选择与评价、招标采购或者比价采购流程、合同评审流程、采购入库流程、付款流程等等。每个流程都有关键控制节点，例如物资需求计划审批流程中相关部门、财务部、主管领导的审核审批都是关键控制节点。绘制出各流程的流程图后，对每个关键控制点进行识别，并准确描述控制措施。其次确定采购和付款业务的控制目标及职责。明确了流程图和关键控制点，对控制点的控制目标进行描述，清晰的定义控制目标，并对关键控制点的岗位责任进行明确，达到岗位责任明确，责任落实到人。第三，对采购与付款业务循环的主要风险点进行标识和评估，确定各流程的风险矩阵，从风险描述、合规要求、控制描述、主责部门、主责岗位、控制方式及频次等方面逐一细化，形成采购业务的风险矩阵。第四，确定采购与付款各环节的关键控制点。通过对采购的风险矩阵细化，明确了各流程的关键控制节点，制定具体的控制措施，达到控制目标。第五，结合主要风险点和关键控制点，采用不相容职务分离、授权审批控制、会计系统控制、财产保护控制、预算控制、运营分析控制和绩效考评控制中一项或数项控制活动进行控制。

内部控制体系的流程、制度、操作规范形成内部控制的手册或标准，是内部控制在企业实施的基础，如何编制符合企业实际情况和业务特点的内部控制手册或标准？在实践中，主要做好以下几方面的工作。一是要认真学习基本规范和配套指引，理解和掌握内部控制体系的基本框架和要求，领会内部控制体系的实质。二是在实施内部控制体系时，制定完整的实施方案，在制定方案时，要进行细致的调查研究，梳理企业现有的管理流程、制度，摸清公司管理现状，对那些业务存在设计缺陷和执行缺陷的各个业务流程进行全面的梳理和研究，制定切实可行的实施方案。三是组建项目实施团队，定期召开会议，跟踪项目进展、分析解决项目中存在的不足，同时通过实施内部控制体系，培养和锻炼一支队伍，作为内部控制体系执行团队成员。四是内部控制体系属于一个系统工程，我们要坚持系统的思维，进行有机衔接，包含企业管理的方方面面，通过不断地完善、持续改进，与企业管理进行融合，达到内部控制的有效运行，促进企业管理的提升。

（二）加强内部控制信息化，固化内部控制流程及制度

《我国企业内部控制规范》明确规定：单位应当充分运用现代科学技术手段加强内部控制，对信息系统建设实施归口管理，将经济活动及其内部控制嵌入单位信息系统中，减少或消除人为操作因素，保护信息安全。内部控制的核心是风险管控，通过流程、制度或操作规范，采用不相容职务分离、授权审批控制、会计系统控制、财产保护控制、预算控制、运营分析控制和绩效考评控制方式，对内部控制进行风险防范和控制，利用信息化平台，固化流程、制度、操作规范，实现从“人控”向“机控”的转变，提高内部控制的信息化水平。

内部控制信息化建设是内部控制有效实施的重要手段，在具体业务中，内部控制内嵌于公司控制的各个环节，内部控制信息化建设主要通过建设OA协同办公系统来实现，财务管理、供产销等通过内嵌ERP系统来实现；尤其资金管理，资金的支付、费用控制属于OA 办公协同和ERP 两个系统来实现资金管控。人事管理通过公司的相关流程内嵌于人事信息化系统。将采购入库、销售出库、生产管理固化在公司的公司ERP 流程中实施控制。电商通过公司电商平台来实现管控。例如采购环节的采购物资入库的流程，首先采购人员在ERP上办理物资入库单，第二关键环节为检验环节，质检部门检验合格后，办理检验合格审核，第三个关键环节是库管员验收数量，整理入库。这些环节都是镶嵌在ERP 系统中的，把采购物资入库固化到ERP系统中，达到随时掌握物资状态。

提高内部控制的信息化建设水平，一是将流程、制度以及控制过程固化和内嵌在各类管理信息平台，与企业管理融合，提高管控的效果，减少人为操作，达到“机控”的效果。二是推动业务系统的持续优化，将内部控制体系管控措施嵌入各类业务信息系统，诸如SAP系统、OA协同办公、ERP系统、人事管理系统、安全管理系统，DCS控制等系统，确保自动识别并终止超越权限、逾越程序的行为，促使各项业务活动和执行活动可控制、可追溯、可检查，减少人为操作因素。三是逐步探索利用新技术提升智能化监管水平，要逐步探索利用大数据、云计算、人工智能等技术，实现内部控制体系实时监测、监督评价等在线监管功能。

（三）完善内部控制组织机构，是确保内部控制体系有效运行的组织保障

制定符合企业实际情况的业务特点的内部控制制度体系后，有效地贯彻执行，需要一个完善的内部控制组织来执行和落实。企业需要建立一个内部控制管理部门，但仅仅建立内部控制管理部门是不够的，要建立和完善覆盖企业各业务领域、管理环节、各部门、各岗位全面有效的内部控制体系，需要在各部门设置内部控制专员，负责组织、协调本部门业务相关的风险内部控制日常工作，识别和评估业务中的风险，明确风险的应对措施，与企业内部控制管理部门协作，确保企业内部控制手册或标准有效地落地实施，形成内部控制的网状结构，触角触及企业各方面。例如，某企业内部控制管理的组织架构主要包括两个层面，一是成立以公司主要领导为组长、各部门负责人及风险管理办公室负责人组成的内部控制规范实施小组，负责组织领导简历见覆盖各业务领域、部门、岗位企业全面有效的内部控制体系。公司主要负责人亲自领导和组织内部控制体系建设，以带动公司全员参与到内部控制体系建设当中，引导企业员工转变观念，自觉接受内部控制制度约束。二是成立公司风险管理办公室，由主责部门的负责人和公司的内部控制专员以及各部门的内部控制专员组成，各部门设置内部控制专员，负责组织协调与本部门业务相关的风险内部控制日常工作，识别和评估业务中的风险，明确风险应对措施，与内部控制管理部门协作对公司的重大经营决策开展风险评估。

（四）组建团队，为企业内部控制体系有效运行提供人力资源保证

内部控制体系建设实践性和操作性强，离不开一支专业有素的团队，在工作中坚持原则，按制度办事，追求精益求精，才能全面控制企业的风险，使企业高质量运行。

如何建立专业有素的团队，主要做好以下几个方面的工作，一是做好人员的选拔，将有能力，有责任心，有担当，有专业素养的同志选拔到企业内部控制专员的岗位上来。二是人才培育，加强企业内部控制管理的专业培训、业务指导，毕竟内部控制体系是一套完整的体系，有相应的法规、操作的指引，这需要企业内部控制专员系统地掌握，建设有效的内部控制体系，才能更好得将内部控制体系贯彻落实到位，防范企业风险。培训主要包括两个层面，一个层面是公司内部培训，主要公司内部控制相关手册、制度、实施方案的宣传培训。二是引入外部培训资源，进行内部控制指引、政策解读和专业培训，对内部控制体系建设进行更高层次的培训，使内部控制人员对内部控制体系有更深入的理解和掌握，有助于推动内部控制体系建设。三是强化团队的学习能力和创新能力，构建“学习型、创新型”内部控制团队，结合新业态、新问题研究内部控制体系，提出和解决内部控制实施过程中存在的问题，通过提高研究、分析、协调、沟通，创新能力，提高自身专业化水平，为内部控制体系的实施提供支持，通过选拔、培训、引导组建有能力的内部控制体系实施团队，是推进内部控制体系有效落地的重要保证。

（五）企业文化建设与内部控制体系相互构建，发挥文化对制度执行的重要影响

在内部控制的框架中，文化是内部控制的环境要素之一。内控体系建设必须注重企业文化建设和内控体系构建的相互关系，只有从企业文化的角度推进内控体系建设，才能建立起有效的内控体系。在构建和实施企业内控体系的过程中，要营造良好的文化氛围，提升内部控制制度实施的有效性，杜绝制度落实的过程中存在选择性。余秋雨先生的《何谓文化》描述到：“文化，是包含精神价值和生活方式的生态共同体，他通过积累和引导，创建集体人格。”由此看来，文化的重要性。正如毛泽东同志所说“一切新的东西都是从艰苦斗争中锻炼出来的”。企业文化来自于企业管理的实践和总结，因此，企业内控体系构建的过程中，不能忽略企业文化的推动作用和影响力。

首先，企业完成内部控制流程、制度体系梳理，组建有效组织机构，选拔专业有素的内部控制团队，要使得内部控制上升到更高层次，按照系统思维，既坚持目标导向又要坚持立足实际，发挥文化对制度执行的重要影响。加强企业内部控制文化建设，促进内部控制的实施，建设高效统一的内部控制治理体系。

其次，企业要提炼内部控制的共识，逐步形成文化影响内部控制体系的有效内部控制体系执行和落实。因此提炼适合企业实际情况的内部控制文化非常重要。企业内部控制文化建设和提炼主要关注以下几个方面：一是要求逐步形成全员全过程控制的意识，内部控制主要通过流程和制度进行过程控制，包括事前控制、事中控制、事后控制。二是要求具有风险意识，风险意识是内部控制落实的重要保证。要想内部控制发挥作用，必须强化内部控制的风险管控的理念，需要树立一种风险信念和风险态度促进全员风险意识的培养，将风险意识应用到各个部门的日常内部控制过程中。三是要求抓关键控制点，进行精准控制。内部控制涉及企业的各个层面和各环节，根据内部控制的重要性原则，要求内部控制应当重点关注重要业务事项和高风险领域，抓关键控制点，进行精准控制。企业提炼的内部控制文化是企业员工的共识，体现在员工身上，就是一种责任、使命和凝聚力，必须认真践行企业内部控制文化，达到“内化于心，外化于行”,逐步形成企业的核心竞争力。