許幼芬

2008年5月22日，財政部會同審計署、銀監(jiān)會、證監(jiān)會和保監(jiān)會聯(lián)合印發(fā)了《企業(yè)內(nèi)部控制基本規(guī)范》通知，該規(guī)范自2009年7月1日起在上市公司范圍內(nèi)實施，鼓勵非上市公司的大中型企業(yè)執(zhí)行。執(zhí)行本規(guī)范的上市公司，應當對本公司內(nèi)部控制的有效性進行自由評價，披露年度自我評價報告。作為上市公司和國有企業(yè)，執(zhí)行《企業(yè)內(nèi)部控制基本規(guī)范》首當其沖，我們有必要對該規(guī)范進行深入的了解和學習，以便有效的貫徹和實施該制度。筆者將以內(nèi)部控制的定義作為切入點，結(jié)合COSO內(nèi)部控制內(nèi)容，對企業(yè)內(nèi)部控制談談自己的認識和理解。

一、內(nèi)部控制的定義

《企業(yè)內(nèi)部控制基本規(guī)范》總則中對內(nèi)部控制進行了如下定義：本規(guī)范所稱內(nèi)部控制，是由企業(yè)董事會、監(jiān)事會、經(jīng)理層和全體員工實施的、旨在實現(xiàn)控制目標的過程。建立內(nèi)部控制體系時應符合以下目標：1、合理保證企業(yè)經(jīng)營管理合法合規(guī)、資產(chǎn)安全、財務報告及相關信息真實完整；2、提高經(jīng)營效率和效果；3、促進企業(yè)實現(xiàn)發(fā)展戰(zhàn)略。本內(nèi)控規(guī)范借鑒了以美國 COSO （Committee of Sponsoring Organization）報告為代表的國際內(nèi)部控制框架，并結(jié)合中國國情，要求企業(yè)所建立與實施的內(nèi)部控制，應當包括下列五個要素：（1）內(nèi)部環(huán)境；（2）風險評估；（3）控制活動；（4）信息與溝通；（5）內(nèi)部監(jiān)督。

內(nèi)控規(guī)范強調(diào)內(nèi)部控制是由企業(yè)董事會、監(jiān)事會、經(jīng)理層和全體員工實施的、旨在實現(xiàn)控制目標的過程。同時要求企業(yè)實行內(nèi)部控制自我評價制度，并將各責任單位和全體員工實施內(nèi)部控制的情況納入績效考評體系。

執(zhí)行內(nèi)控規(guī)范的上市公司，在對企業(yè)內(nèi)部控制的有效性進行自我評價后，應同時披露年度自我評價報告。國務院有關監(jiān)管部門有權(quán)對企業(yè)建立并實施內(nèi)部控制的情況進行監(jiān)督檢查；并明確企業(yè)可以依法委托會計師事務所對本企業(yè)內(nèi)部控制的有效性進行審計，出具審計報告。

二、COSO內(nèi)部控制內(nèi)容

由于我國的內(nèi)部控制規(guī)范借鑒了COSO內(nèi)部控制框架的主要內(nèi)容，現(xiàn)筆者對COSO內(nèi)控框架的五個要素作簡單介紹，COSO內(nèi)部控制框架包括：控制環(huán)境、風險評估、控制活動、信息與溝通、監(jiān)察。

（一）控制環(huán)境

控制環(huán)境是其他內(nèi)部控制因素的根基?？刂骗h(huán)境因素包括人員的道德觀和勝任能力、董事會提供的指示和管理的效率，控制環(huán)境應包括堅守誠信及高尚的道德觀。就此而言，高級管理層必須把企業(yè)的價值觀和行為守則向全體員工明確傳達，對違反行為守則的人員作出適當?shù)奶幜P，以確保他們遵循行為守則并將其融入企業(yè)文化?？刂骗h(huán)境因素的范圍包括誠信和道德觀、用人唯才的承諾、管理哲學和經(jīng)營風格、董事會和審計委員會、組織結(jié)構(gòu)、權(quán)力和責任的分配、人力資源政策和實務等，控制環(huán)境是內(nèi)部控制的根本性組成部分。

（二）風險評估

按照 COSO立體模型，控制活動的上一層是風險評估。企業(yè)實現(xiàn)其目標的能力可能受到來自多個內(nèi)外部因素的不利影響。作為整體內(nèi)部控制結(jié)構(gòu)的一部分，企業(yè)應實施一個程序，來評估可能影響其各種內(nèi)部控制目標實現(xiàn)的潛在風險。風險評估可能是正規(guī)的量化風險評估程序，也可能是不太正規(guī)的方法，但是應包含對風險評估程序最起碼的理解。風險評估是一個具有前瞻性的過程，應在所有層面以及企業(yè)的所有活動中實施這樣的風險評估程序。COSO內(nèi)部控制架構(gòu)強調(diào)風險分析并非一個理論過程，而且常常對實體的整體成功起到至關重要的作用。管理層是內(nèi)部控制整體評估的重要一環(huán)，他們應采取措施對可能影響整個企業(yè)的風險，以及不同的組織活動或?qū)嶓w所面對的風險進行評估。風險管理包括識別和分析影響目標實現(xiàn)的風險（包括與不斷變化的監(jiān)管、運營環(huán)境和商業(yè)策略有關的風險），以此來確定如何降低和管理此類風險的依據(jù)。

（三）控制活動

評估風險只是整個內(nèi)部控制程序的一部分，管理層必須確定處理風險所需的行動，并付諸執(zhí)行。這些行動亦應將注意力集中于控制活動的作用，目的是確保所需的行動得以有效且適時地執(zhí)行。控制活動可分為運營、財務報告及合規(guī)三個類別，但它們之間有時可能出現(xiàn)重疊。常見的內(nèi)部控制活動有組織控制、職責劃分、調(diào)節(jié)和復核、實物控制、授權(quán)和批準、計算和會計、人員控制和監(jiān)督及管理控制。

（四）信息與溝通

為了控制風險，有必要設立一個完善的溝通程序，以獲取必要的信息，并向需要該信息的所有人員提供?？刂骑L險是企業(yè)各類程序涉及的所有人員的責任，因此，已識別風險的信息以及控制這些風險的方法，必須向每個相關人員傳達。有關員工應當遵循的政策及程序的信息，應在公司內(nèi)從上至下得以傳達。關于日?；顒拥男畔?，應從公司內(nèi)準備這些信息的員工流向需要這些信息的員工。關于日?；顒又邪l(fā)現(xiàn)的問題的信息，需要向公司上層流動，直至能夠采取糾正措施的人員。

（五）監(jiān)察

內(nèi)部控制系統(tǒng)必須接受監(jiān)察。監(jiān)察是不斷對內(nèi)部控制系統(tǒng)的表現(xiàn)進行評估的過程，可以通過持續(xù)的監(jiān)察活動或單獨的評估來實現(xiàn)。內(nèi)部控制如有缺陷，應向上級（例如高級管理層和審計委員會或董事會等）報告。

以上是對 COSO內(nèi)部控制內(nèi)容的簡單闡述，要使內(nèi)部控制系統(tǒng)有效，該系統(tǒng)必須能降低管理層己識別的業(yè)務風險。內(nèi)部控制系統(tǒng)對于管理重大風險以實現(xiàn)業(yè)務目標發(fā)揮關鍵作用，完善的內(nèi)部控制系統(tǒng)能極大地促進對股東投資的保護、公司資產(chǎn)的保護，以及確保對法律法規(guī)的遵守。

三、內(nèi)控規(guī)范對企業(yè)的影響

在某種程度上說，內(nèi)控規(guī)范的發(fā)布是中國在公司治理方面的一個重要里程碑，體現(xiàn)了中國經(jīng)濟與全球經(jīng)濟的進一步接軌和整合。隨著中國資本市場的發(fā)展與壯大，與之配套的公司治理和監(jiān)督機制的需求日益增加；而隨著企業(yè)的做大做強，企業(yè)對于內(nèi)部外部的風險需要更系統(tǒng)有力的控制。具體到企業(yè)而言，一方面，內(nèi)控規(guī)范為企業(yè)建立內(nèi)部控制體系提供了一個標準的框架，在理念、實施和制度層面為企業(yè)提供了基礎，而在另一方面，內(nèi)部控制作為一個相對較新的課題，對我們企業(yè)提出了新的挑戰(zhàn)，從國際上一些公司治理法案，包括美國的《薩班斯一奧克斯利法案》實施情況來看，企業(yè)通常在內(nèi)部控制實施的第一年需要投入很多時間和精力。企業(yè)應該建立一系列的內(nèi)控制度，而且要根據(jù)企業(yè)的實際情況完善這些制度，并有效地保證其得以一貫的實施，真正做到合理保證公司經(jīng)營管理合法合規(guī)、資產(chǎn)安全、財務報告及相關信息真實完整，提高經(jīng)營效率和效果， 促進企業(yè)實現(xiàn)發(fā)展戰(zhàn)略這才是最重要的。