企业内部控制评价体系建设相关问题分析

刘品含

摘要：企业内部控制是现代企业管理体系重要的组成部分，而内部控制评价体系更是直观反映企业内部控制工作成果与效率的“晴雨表”。我国企业在内部控制领域的探索起步较晚，在企业内部控制评价体系的建设工作上还存在诸多问题，文章从企业内部控制的功用出发，探究企业内部控制工作的实施要点，分析企业内部控制评价体系建设的相关问题。

关键词：企业内部控制；评价体系；问题分析

一、引言

现阶段，我国企业面临的经营环境相对之前来说较为严峻。在全球经济增长为负的大背景下，我国总体经济情况虽然实现正增长，但经济增速明显放缓，市场环境预期收紧，很大一批企业的经营无法存续，幸存下来的企业也要面对行业竞争趋势不断加大，企业经营风险剧增的状况。在此前提下，企业更需要做好内部控制工作，深挖企业内部的每一分潜能，以期最大化提升企业生产经营效率，降低企业经营生产的潜在风险，实现降本增效，提升企业的市场竞争力。此时就需要一套合理的内部控制评价体系来反映企业内部控制工作的实际效果，来为企业决策者提供内部控制工作方面的决策参考，帮助企业预测、规避与合理应对风险，帮助企业更加平稳地运行，提升企业的市场竞争力与生存能力。

二、企业内部控制及其评价体系

（一）企业内部控制的实施要点

首先需要明确的是，企业内部控制是一个动态的过程，它是企业经营过程的一部分，且受环境的影响比较大。企业内部控制针对的是人，它以应对企业经营过程中的风险，提高企业经营活动的效果和效率为目的。

企业内部控制的实施一般包括“五要素”，即内部环境、风险评估、控制活动、信息与沟通以及监督。一是企业内部控制需要良好的内部环境。一个有利的环境是顺利实现企业内部控制的保障前提。内控的核心是制衡，需要严格按照流程推进。要实施企业内部控制管理，首先需要塑造一种氛围，让企业全体成员遵循指令，塑造一种纪律性的氛围，各个管理机构、部门都要明确自己的职责，权力恰当分配，一切行动听指挥。二是企业内部控制的主要对象之一是风险，风险评估工作是企业内部控制工作的一个要点。风险评估包括识别风险、评估风险的影响、判断风险应对预案等。同时企业应该针对某项风险设置一个承受阈值来判断企业承受风险的预期临界点，确保风险可控。三是正确实施控制活动。企业控制需要根据风险评估报告采取对应方法和手段来应对，把风险维持在一个可以承受的程度。这里要考虑一个原则：衡量控制措施的成本与防范风险带来的收益。控制措施可能有多种，需要选择成本最小的措施，不能因为收益太小而忽略，更不能因为实施控制而产生新的风险。四是信息与沟通，企业及时、准确地收集、传递与内部控制相关的信息，确保信息在企业内部、企业与外部之间进行有效沟通。维护好此机制能有效避免企业内部的舞弊问题，强化企业的运营透明性，保持企业的控制环境。五是监督，监督是企业对内部控制建立与实施情况进行监督检查，评价内部控制的有效性，发现内部控制缺陷，应当及时加以改进。监督可以分为内部监督与外部监督，具体探查内部控制措施是否执行，执行情况如何等。监督，贵在独立和长效，使之不受其他因素影响，并持续进行，定期或不定期进行。

（二）企业内部控制评价的标准

企业内部控制评價的范围一般包括对企业管理层的评价、对内部控制政策和程序的评价、对一些非正式控制的评价等。企业内部控制评价的内容一般为上节所述的“五要素”，其标准为制度的健全性、措施的合理性以及结果的有效性。在制定企业内部控制评价标准时，一定要在企业内部控制制度的框架下，结合企业实际面临的风险与企业实际情况，综合考量。结合这些维度，一般可以对一个企业的内部控制结果做出合理的评价。

（三）企业内部控制评价体系建设概述

内部控制评价体系建设的主要工作内容可以概括为建立适当的内部控制检查与评价机制，以风险分析评估结果为基础设计一套规范的、可操作性的检查与评价方案，该方案能综合体现设计与执行的有效性。通过恰当的机构和人员就企业内部控制的设计和执行情况进行检查和评价。检查和评价的重点在于控制活动，这主要是考虑到控制活动是内控体系的主要载体。一般来说，在企业内部控制体系的建设中，控制活动要素往往要占到60%以上的工作量，内部控制评价工作是对企业内部控制活动的评价，其工作程序与工作核定一般与企业内部控制工作相对应，重点在于内部控制活动的有效性检查与评价，在这些方面宜做适当的调整。

（四）企业内部控制评价体系建设的一般方法

企业的内部控制工作与内部控制评价并不是一蹴而就的结果性报告，而是深入企业整体运行的过程性工作。根据财政部、证监会、审计署、银监会、保监会财会2010年出台的《企业内部控制评价指引》的规范，企业内部控制评价体系的建设一般包括内部控制部分、风险评估部分、控制活动部分、信息与沟通部分以及内部监督部分。以这五个部分为主体框架，涉及制度建设、风险的识别、分析和应对、人员、财务专项以及应急处理等关键节点，以健全性、合理性、有效性为原则，构建出适应企业内部控制评价实际的评价体系。在实际的内部控制评价体系的建设中，需要在企业内部控制评价制度的指导下，重置企业内部审计人员或执行相应职能的人员的定位，明晰审计职能的工作职责，对企业的内部控制工作按照制度进行评价。

三、企业在建设内部控制评价体系中遇到的问题

（一）管理层不明确内部控制的工作目标

要明确的一点是，我国的企业以中小型企业居多，大部分企业尚处于企业经营的初级阶段，这些企业的管理层决策层并不具备专业的财务知识与企业管理知识；而大型企业的管理层成员具有财务背景的也并不多。在内部控制方面，企业的管理层或许通过书籍、课程了解过大致的概念，但对于具体实施仍然需要长时间的、系统性的学习才能够融入企业的实际管理中去。而企业内部控制所注重的风险评估与风险评估报告的出具是一个相对系统性的工作，其内容复杂、范围广阔，知识的专业性强，要求企业管理层对内部控制具有一定程度的知识储备与概念理解，一旦上述环节有所不足，企业的管理层对企业内部控制的理解就会陷入到片面化、望文生义的困境中去，更不要说明确企业内部控制工作的目标体系了。企业的管理层对企业内部控制工作的理解出现偏差，内部控制评价工作自然无法得到重视，出现种种问题也就是应有之义了。

（二）内部控制实施主体与评价主体混淆

企业内部控制的实施主体是企业的全体成员，从管理层开始，上下统合对企业运行的各个方面进行风险管控、成本管控、产业结构调整等。进行企业内部控制评价工作的是企业的内部审计部门。如企业未设立单独的内部审计部门或岗位，则由其他类似岗位行使内部控制评价职能，检查企业内部控制工作是否规范、是否合理、是否有效。不可否认的是有相当一部分的企业混淆了这两部分的功用和实施主体，以企业的财务部门为主体进行企业内部控制管理工作，让企业的内部控制工作浮于表面，变成了条文和口号；以管理代替评价，忽视内部控制评价的反馈作用，使得审计职能缺位，内部控制工作虽然在推进，但无法反馈具体的控制效果，使企业的内部控制工作失去了应有的作用，游离于监督之外；信息沟通与交流机制不完善，企业内部控制层面不明确内部控制评价环节的评价方式，无法提供应提供的数据，而企业内部控制评价的执行方不能够深入企业内部控制活动中去，无法获取企业内部控制工作实际执行情况与效果，不能给出相对应的、客观的评价，双方沟通环节缺失。而能明晰企业内部控制工作与内部控制评价的企业，往往也只是聘用外部的注册会计师进行财务报告评价，并不能达到企业内部控制评价的需求标准。

（三）内部控制评价制度缺失

标准的企业内部控制评价应该包含完善的内部控制评价制度，从制度层面规范和指导内部控制评价工作的展开，制定合理的评价指标，进行科学的评价从而给出具有可参考性的评价报告，辅助企业管理层进行企业管理。然而很多企业的内部控制评价工作尚不完整，很大程度上照搬其他企业实行的或学者研究的制度，没有结合企业实际情况和面临的具体风险，也没有参考企业成员和审计人员的意见，内部控制评价制度既不具备科学性也不具备合理性，对企业的内部控制评价没有实际的指导和规范意义，审计人员只能依据自身所学的知识进行有限的评价，而没有统一的制度和规章来指导审计人员的评价工作时，审计人员受限于自身的认识和对企业状况的理解，给出的评价往往会存在一定程度上的片面化和局限性，无法真实反映企业的内部控制工作是否达到标准，给出的评价报告也就失去了参考价值，内部控制评价工作的效用和意义随着内部控制评价制度的缺失而缺失。

（四）内部控制评价标准模糊

原则上，企业内部控制评价的范围一般包括对企业管理层的评价、对内部控制政策和程序的评价、对一些非正式控制的评价等，进行企业内部控制工作评价时，其标准一般遵循制度的健全性、措施的合理性以及结果的有效性等原则，其指导性文件为《内部会计控制规范》。然而各个企业的实际情况各不相同，面对的外部环境、风险因素不同，内部控制工作的实际状况和执行力度也有所不同，而在相应的规范指导性文件中，并没有对具体行业和规模的企业做操作指导，这就使得广大企业在内部控制评价工作上要一企一案，结合自身的实际情况进行评价标准编制。但在实际情况中，大部分企业并不具备制定合理标准的能力，在企业内部控制评价方面没有统一的标准，内部控制评价工作标准十分模糊，再加上有相当多的企业对内部控制评价的一些核心问题和基本原则缺乏清晰的认识，便导致各个企业对于内部控制评价效果无法进行横向比较，给内部控制工作的监管和企业的风险管理调控都带来了不便。

（五）内部控制评价的外部监督缺失

按照现行的相关法律法规，企业的内部审计工作要配备相应的外部监督程序。然而此规定更加偏向于财务审计与财务报告的出具，对企业内部控制评价方面，不论是相关制度还是实际操作，都存在疏漏。原则上，企业内部控制评价工作的主体是企业的审计部门或具备同等功能的其他部门，这个主体需要总览企业的运营管理全局，并具备较强的权威性与独立性，出具的意见与报告能够直接触达企业管理层。与之相对应的，配备的外部监督也需要具备同等的条件，在相应要求方面相较内部控制工作的主体要更加高、更加严格。然而当下的现状是很多企业的内部控制管理评价工作都存在缺失，要么制度生搬硬套，不适应企业实际，要么环节不全，执行存在局限性，要么干脆流于形式，重财务管理评價而轻内部控制评价；至于内部控制评价的外部监督，大多数都流于表面，形式大于实际，并不能帮助企业对其内部控制评价工作进行规范和引导，无法发现企业在内部控制工作上是否存在偏移和疏漏，无法从外部视角审查企业经营中的系统性风险。

四、对做好内部控制评价体系建设的几点建议

（一）培训先行，强化管理层企业管理理论知识储备

不可否认的是，在我国的企业管理中，企业的运营管理和规章制度的执行能否顺利推行，很大程度上与企业管理层是否具备相应的知识体系与认识还有对其的重视与否有直接的关系。就内部控制及其评价工作而言，领导层懂内部控制对企业的益处，明白内部控制工作的运行原理和具体操作规范，重视内部控制工作在企业运行中的作用、重视内部控制评价在企业决策中的作用，则企业的内部控制及其评价工作就能运行良好并切实对企业的经营发展起良性作用。故此，对企业领导层的知识培训必须先行规划。就具体操作层面，必须从多方面入手。第一，企业要重视对领导层的知识性、理论性技能培训，最好以内部函的形式或不定期召开管理层会议的方式强调和提醒其重要性，敦促企业管理层进行学习。第二，为管理层人员简化学习路径，可开设定期的企业内部培训班或相应课程，聘请专业的讲师对企业管理层进行相关知识的培训，此培训也可扩大至全体员工，只需合理安排时间便可。第三，为管理层人员提供更多的综合性知识获取途径，如罗列对应的书单、编制企业内部控制讲解的视频课、聘请老师常驻企业等，方便企业管理人员规划时间自学。第四，制定相应的验收与考核标准，通过考试、组织管理人员充当教师进行员工培训等方式将企业管理人员的自我提升纳入管理人员考核标准，以敦促企业管理层重视理论知识的学习和理解。做好了管理人员认知的前期建设，让企业管理人员对企业内部控制工作有了全面的认识和深刻理解，再推行企业内部控制工作与内部控制评价就会顺利很多，其成效也会大大提高。

（二）目标明晰，探明企业内部控制工作方向

在做好内部控制及内部控制评价工作的先期准备，使之具备运行环境的同时，明晰企业进行内部控制工作的方向也具备同等的重要性。一般来说，企业的内部控制工作是基于企业的运营风险探查及风险评估报告来进行的，目的是帮助企业降低运行风险，实现良性发展。可以说，做出准确的风险评估和出具可靠的风险评估报告是进行企业内部控制工作的前提，只有明确了风险的来源及其构成，企业成员在内部控制工作方面才有计可施。有了明确的工作方向，企业的内部控制工作就可以按照相应的处理方法快速推进，对风险该规避的规避，该应对的应对，让企业不至于陷入“夜里行船”的窘境。要达成这一目标，需要能够总览全局的风险评估部门。对内，企业需要抽调精兵强将，综合分析市场环境、企业外部环境和企业内部情况，在企业的角度给出具体的答案；对外，企业需要聘请专业的评估机构，结合政策环境、金融环境与经济发展走向，从社会的角度给出企业可能面临的风险的预估。综合内外的评估结果，企业就可以得出具体的、符合企业实际的风险评估报告，从而更好面对企业明面上的风险和潜在风险，企业的内部控制工作便可以对症下药，解决企业的问题，而企业的内部控制评价工作也可以依照企业的内部控制工作进展来给出阶段性评价，帮助企业管理层及时调整工作方向，把握工作进程。

（三）制度科学，明确规定内部控制评价路径

企业的运作主体是一个个的企业成员，企业成员的数量增加时，企业运行中的问题也会呈几何级增加，此时，科学合理的制度在企业运行中就非常必要，可以避免大量的重复工作，最大程度提高企业运行效率，帮助企业提高效益，规范人员的工作。在内部控制和内部控制评价工作中，制度的科学性和合理性更加重要。兼顾科学性、合理性的制度能在企业的内部控制及内部控制评价工作中给出明确的工作路径，从而起到统筹性作用，让企业的决策人员和执行人员都能实时明确自身所在的位置能够做什么、应该做什么和怎么做。而兼顾科学性和合理性则让企业内部控制工作及内部控制评价工作在实际操作中更加有效率、有效果；由于制度的合理，决策人员和执行人员也能够长效地推进下去。在制定企业内部控制工作制度和内部控制工作评价制度的时候，首先要参考全方位的理论知识，确保该制度在全面性和科学性上不存在缺陷或缺陷最小，可以组织全体管理人员群策群力或聘请专业的人员参与制度的制定，此步骤需要从规范的角度出发，具备指导性与约束性；在完成制度制定后，需要征询具体操作人员的意见，對该制度进行调整，适当删减、增加或修改具体流程和规定，让制度具备合理性，此步骤需要从人的角度出发，具备可执行性与人性化。具体而言，制度的主体框架起草需要侧重管理层与专业人员的意见，而制度的合理性调整需要侧重具体执行人员，内部控制工作制度参考全体企业成员的意见，内部控制评价工作制度需要参考审计人员或承担同等职能的人员的意见。

（四）实情调研，综合考量企业内部控制评价标准

企业的创立与管理架构或许有模板可参考，但随着企业的发展与壮大，企业必然会受环境、经济、业务范围、人员配置的影响，变得各有千秋，呈现企业层面上的“千人千面”。故此我们可以明确，所有的企业管理方式与模板都只能具备参考价值而不能进行简单地套用。具体到企业内部控制工作与内部控制评价工作方面，该工作的具体规范与标准都需要从实际出发，实施调整。在确立了科学合理的内部控制评价制度后，在此制度框架下确定内部控制评价标准就成了内部控制评价工作的重要内容。这一标准的制定需要大量的准备工作。首先，要明确企业的具体情况，考察风险评估报告，分解企业面临的风险，逐项评价风险评估报告的准确性，以与实际相符的程度和报告权重为标准；其次考察企业内部控制工作制度的科学性与合理性，可通过自我判断与咨询外部人士评判其科学性，结合企业实际咨询企业成员的看法来评判其合理性，以科学程度以合理程度为标准；其三，参考企业实际情况，及企业的风险等级，和企业的制度执行能力，预估企业内部控制工作的实际效果能否应对企业当前面临的风险，以该工作的有效性为标准。以上述三点为原则，结合企业的实际情况，综合考量，便可以制定出较为准确合理的企业内部控制评价标准，从而准确、直观地反映一个企业的内部控制工作，为企业管理层进行决策提供有价值的参考，帮助企业合理应对各种风险，实现平稳发展、长远发展。

（五）体系合理，正确配置企业内部控制评价人员及架构，加强监管

企业的主体永远都是人，一切合理、不合理的制度都需要人来执行，这就需要适合的体系来发挥人的作用，并规范人的行为和职权行使范围，让企业在合适的状态下运行。就企业内部控制评价工作而言，需要明确的是其主体是企业的内部审计人员或承担同等职能的部门或人员，因此要正确配置此部分人员，并给予正确的监管，使其能切实发挥应有的效用。有以下几点需要注意，首先，此部分的人员要具备独立性和一定程度上的内部控制工作干预能力，以便在出具评价结果时公正客观，在发现内部控制工作的方向偏差及问题时能及时干预内部控制工作，减少企业的损失，最好能设立单独的内部审计部门以实现专人专岗专职；其次，在审计部门的组织架构设计上需要合理，审计部门与其他部门的关联性要尽可能少，部门的构架等级需要与财务部门平级或更高，部门的直属领导需要设置为企业的最高管理人员，以减少审计与评价工作中的人为干预，以确保评价工作的客观性和准确性；最后，在企业内部控制评价工作中的内部、外部监督必不可少，可以设置单独的监督机制，也可以是内部控制工作体系与内部控制评价工作体系互相监督，最大程度上实现内部控制工作与内部控制评价工作的客观、公正与透明。同时，要注意企业的审计人员或执行同等职能的人员的职业素养问题，考量其在专业知识储备与专业技能素养方面能否满足企业内部控制评价工作的需要，可考虑系统化地对企业内部审计人员进行培训，针对性地提升内部审计人员相关方面的能力，以更好地完成企业内部控制评价工作。

五、结语

纵观当今的经济环境与国际贸易局势，可以预见的是市场环境将越来越严峻，市场竞争将越来越激烈，而各个企业面临的经营风险将越来越剧烈。这些风险可能来自企业本身的管理结构不合理、业务模式单一、盈利能力薄弱，也可能来自政策方向、国际经济局势方面或是市场经济恶化的传导。企业内部控制工作在企业今后的经营管理与发展中的作用将越来越明显，地位也将越来越重要。做好内部控制工作的企业将获得更强的市场竞争力，企业的生命力也会越来越顽强，能对抗更大的风险。而内部控制评价工作做到位的企业将拥有更快的反应速度，能更好预测与应对风险，从而获得更长远的发展，企业内部控制评价工作对企业发展的意义随着时间的推移和社会的发展会越来越重大。

参考文献：

[1]林真.中小型企业内部控制存在的问题及对策探讨[J].财富生活，2021（16）：57-59.

[2]郜红卫.论企业内部控制监督评价机制的完善[J].当代会计，2021（13）：106-108.

[3]孔晓亚.企业内部控制的有效性及其评价方法探讨[J].今日财富，2021（12）：59-60.

[4]高立新.企业内部控制有效性评价体系的构建研究[J].中国中小企业，2021（05）：74-75.

[5]李潍旭.内部控制制度在企业管理中的作用研究[J].大众投资指南，2021（09）：77-78.

[6]俞杰敏.企业内部控制评价审计要点研究[J].中国高新科技，2021（07）：92-93.

[7]王治良.内部审计在企业内部控制中的应用[J].财会学习，2021（07）：119-120.

（作者单位：沈阳盛京天使私募基金管理有限公司）