內部控制——企業可持續發展的基石

    對於中國企業來說，2009年是一個值得謹記的年份：中國經濟經歷了高速發展的“黃金六年”之後，遇到了經濟大週期的拐點。在和很多企業家交流的過程中，筆者深刻地感受到，經濟環境的變化的確給很多企業敲響了警鐘：沒有能夠一直長盛不衰的市場環境，任何企業都可能遇到來自宏觀大環境和微觀小環境的挑戰。而中國企業在面對這些挑戰的時候，缺少的不僅僅是勇氣，還有戰勝困難的機制和能力。

 　　從2004年中航油投資金融衍生品失敗，到去年的三鹿奶粉事件。近年來，中國企業的經營風險越來越多地暴露出來。企業內部控制已經越來越受到中國企業家的重視，同時也成為監管部門的重要管控手段之一。

一、內控體系建設會成為必需品嗎？

　　幾年前，企業家們遇到最多的困惑是如何才能快速地發展，“快一點、再快一點”是很多企業面對各種增長誘惑時的唯一可行選擇。

　　增長既需要速度，更需要品質。如果說企業戰略可以保障企業有正確的發展方向，那麼內部控制則可以保障企業在前行的道路上不摔跟頭。隨著市場經濟各項建設漸趨完備，新的遊戲規則正在確立，其中最為重要的一點便是對企業風險與內控的要求在逐步加強，而企業市場競爭環境的日益複雜化，客觀上也要求企業及其決策者能夠關注風險管理。

　　的確，中國需要在發展中解決經濟結構優化的問題，但是這種增長一定不再是粗放的無序增長，無論是中國經濟發展到今天這個特定階段還是中國企業發展到今天這個特定水準，都會更加關注增長所代表的品質。因此，加強企業內部控制體系建設可以說是應運而生！

　　我們有理由關注，內部控制體系建設究竟會成為企業經營的奢侈品還是必需品呢？

　　事實上，很少有企業會把內控體系作為企業核心的競爭力！即便是最早意識到這個問題的企業，也都是出於極其偶然的原因：石油行業的人們一定會清晰地記得，在2003年到2005年裏，中國的石油行業一直處於多事之秋。有兩件事情最終對這個行業造成了非常深遠的影響：一件是2003年發生的“12.23”重慶開縣川東鑽探公司井噴特大事故，事故奪走243人的生命；另外一件是中航油新加坡公司發生的投資金融衍生品出現的巨虧事件，最終造成了一顆冉冉升起的新星，中航油新加坡公司總裁陳久霖黯然隕落。在後來對事情的進一步剖析中，發現內控體系建設和執行控制的缺失才是最大的誘因。這樣兩件看起來風馬牛不相及的事情，但卻在撩動更多人的神經，促使他們深入思考：企業的內控體系究竟會怎樣影響著它的生存和發展？於是，很多企業把管理創新的視角轉向了內部控制體系的建設和完善。

　　也許一位企業管理者的話可以當作內控體系必將成為企業管理核心競爭力的注腳：“我們公司是最早意識到內控體系建設重要性的企業之一，企業做大之後，要及時從人治轉到法治，很多方面要同步進行提升，否則一定會出問題。現在我們遇到的問題，相信未來一段時間，其他企業也會陸續遇到，我們今天所進行的探索，以及積累的在內控建設方面的經驗，以後他們也會逐步使用到。也許現在內控體系建設這個領域在國內還很生僻，但我相信，要不了多久，內控體系建設將會成為更多企業和企業家的選擇。”

　 　果不其然，2006年，中國公佈了《新會計準則》，同時新《公司法》、《證券法》和《物權法》等重要法律的修改。都要求公司從法人治理結構層面的內控環境營造到公司各級規章制度中的內控職能都需要進一步加強和完善，規範公司的經營行為；2008年，財政部、證監會、審計署、銀監會、保監會聯合發佈了《企業內部控制基礎規範》，首先要求上市公司在2009年7月1日前，必須建立企業內部控制體系；對內部控制的要求在國有企業及其其他類型企業中逐步推進。

　 　當內控體系建設正在成為上市公司的核心競爭力，成為國有企業的核心競爭力，成為民營企業的核心競爭力的時候，我們看到了內控體系建設的春天正在到來。

　 　無論是中航油新加坡投資衍生品事件還是最近的三鹿事件，都給中國的企業家們敲響了警鐘，企業走得慢一些會面臨被競爭對手超越的問題，但是如果不關注風險控制的話則可能面臨企業生存的問題。

　　內部控制體系建設正在從過去的可有可無變成現在的不得不建。

二、內控建設“外因是急、內因是本”

　　我曾經在談到中國企業海外並購的時候提出過一個觀點：中國企業可以有選擇地進行海外並購，但絕對不要因為所謂的人民幣升值或者企業價值低估而去進行並購。這就好像你可以去談朋友結婚但是絕對不要因為年齡大了而不得不去結婚。坦率地講，對於推進企業內控建設，我也是有著這樣的擔心：會不會因為政府有關部門的強力推動，讓很多企業忘記了推動內控建設的根本，只顧上滿足一些合規性的要求了，最後勞命傷財卻沒有收到什麼效果！

　　對此，我對企業家們有一個忠告：企業可以因為財政部等相關部門的要求而去加緊推進內控建設，但是，絕對不要“為建而建”。內控建設中“外因是急”，但是“內因才是本”。

　　有三類企業應該借著推進內部控制體系建設的東風，真正關注企業的風險管理，完成企業的核心競爭力建設。

　　首先，是面臨戰略轉型和產業轉型的企業，這些企業的運營風險客觀上會相應增大，對企業風險管理也會提出新的要求。一種情況是很多企業經歷了一段時間的快速發展之後，積累了很多突出的矛盾和問題，需要在戰略層面進行適時地調整，才能轉危為安；還有一種情況是企業所處的產業遇到了重大的轉折，供需狀況的變化使得企業必須積極應對才能生存下來；還有一種情況是企業正處於集團化轉型的關鍵階段，管控模式也面臨大的轉變，是否能夠實現規模經濟將決定企業未來的發展。所有這些處於重大轉型期的企業，戰略風險尤其需要關注，千萬不能走錯，所以內部控制和風險管理便是幫助企業度過難關的諾亞方舟。

　　其次，是自身業務結構存在重大缺陷或者資源與能力存在重大劣勢的企業，這些企業要麼是業務佈局不夠合理，重要的業務環節存在較大風險。要麼是資源與能力方面存在重大不足，使得企業的持續發展能力嚴重不足。這些企業，如果不能在內部控制上進行重點建設，這些缺陷和劣勢在外部環境出現重大變化的時候，便會成為企業的致命毒藥。

　　最後，是深受經濟週期影響的企業，應該在大調整中勤修內功，磨刀不誤砍柴工。不同的企業在這場經濟危機面前所受到的影響程度是不同的，例如出口導向型的企業和融資約束型的企業，受到危機的負面影響就會更大一些。這場危機對世界經濟的影響是深遠的，對一些行業的影響也會在未來持續較長一段時間。因此，這些行業內的企業必須打消僥倖心理，在大調整中首先是活下來，然後才是更好地發展。

三、國內企業推進內控建設的“五宗罪”

　　儘管是必需，但中國企業在內控建設方面的意識和積累畢竟還很薄弱，具體到推進企業內部控制的時候，往往會非常困惑。首先，當前中國企業對風險管理、對內部控制的認識還是比較淺顯，要麼理解成財務控制，要麼理解成審計手段，很多企業都是在經營風險暴露之後才開始關注到這個問題。

國內企業在風險管理集中存在五個方面的問題：

　　一是風險管理意識薄弱。由於風險管理意識淡薄，片面追求發展速度，制定不切實際的目標或盲目擴展投資，使企業承受無謂的風險。

　　二是公司治理結構存在缺陷。因為公司治理結構不規範，不能有效制衡管理層的強大權力，董事會沒有或者不能負起監督管理層的責任。

　　三是管控模式不合理。企業管控模式不合理，便無法有效控制企業風險。組織結構設計不合理，便不能建立有效的內控和相互制衡的機制。

　　四是風險管理組織不健全。缺乏包含決策、管理和具體執行層在內的完整的風險管理組織。內部審計限於財務報表審計和經濟責任審計，缺乏對風險管理情況的檢查和監督。

　　五是風險管理體制不健全。缺乏系統的成套風險管理體制，識別影響企業達標的風險進行監控及管理。沒有將風險管理的手段和內控程式融入到管理與業務的制度與流程中。

　　因此，做好內控首先需要有一個正確的內部控制理念。企業對內控的重視程度和主動程度決定了風險管理、內部控制的水準。其次，還要有具體的步驟和措施來進行內控建設，包括內控組織的建設、公司級內控風險的識別、流程風險識別、控制活動、措施等，要形成一個體系。制定工作規劃，並扎實推進。

四、推進企業內控建設的“四項基本原則”

　　企業推進內部控制體系建設，必須從始至終貫徹四項基本原則：

　　第一，一定要建立“戰略導向”的內部控制體系。傳統的內控建設高度關注風險，戰略導向的內控建設則關注企業戰略導向與風險控制的平衡。

   圖一：戰略導向的內控體系建設示意圖

    首先，是戰略上“做什麼、不做什麼？ ”，對於企業來說，結合環境的動態業務規劃可以幫助企業準確把握內控建設的核心環節；其次，是戰略實施的路徑，明確企業在未來3-5年內採取的分階段戰略措施，對於企業正確地規劃內控建設的節拍至關重要；其三，在內部環境方面，從運營能力、成長能力、無形資產和重要資源四個方面分析和總結企業的競爭力狀況，有助於明確企業核心競爭力的提升方向。關注戰略的指引，就像為企業內部控制體系找到了方向，為企業內部控制體系塑造了靈魂。

　　第二，一定要明確重點建立“核心導向”的內部控制體系。內控體系建設，既要嚴格按照財政部《基礎規範》的要求進行，在實施中又要抓准重點，關注核心模組的建設。

　　第三，一定要建立“深淺適度”的內部控制體系。內控體系建設，不能一味地求全責備，而是要結合企業的實際情況。在不同的階段，根據企業的資源與能力，進行階段性的安排。力爭把企業的內控精力用在最為關鍵的地方。

　　第四，一定要“內外結合”建立企業內部控制體系。內控體系建設，是一個全新的市場，但不是一個全新的專業領域，只不過國內企業還缺少相應的經驗。因此，企業在首次建設企業內部控制體系的過程中，要善於借力，充分發揮專業化知識的優勢，先學習，再提高，最後的目標是形成企業自身的內部控制管理和持續優化能力。

　　四項基本原則，既是企業推進內部控制建設的出發點，也是重要的指導思想和實踐原則。

五、推進企業內控建設必須“求真務實”

　　從央企和上市公司開始強制性要求加強內控到在更大範圍內逐步展開，內部控制體系建設正在成為一個大的市場。筆者從2006年財政部著手起草《企業內部控制基本規範》時，就開始關注內部控制的經驗積累和方法 論形成。從中央企業，到美國上市公司，再到中國上市公司的內控體系建設實踐，形成了對於內控建設的系統思考。在我看來，企業推進內部控制最好分四個階段進行。

　　第一個階段就是對企業的戰略進行識別。當前中國企業大多數都還沒有建立起內部控制體系，通過對企業戰略的梳理，包括集團管控、業務特點以及業務環境等的識別，可以明確企業戰略對內部控制體系建設的要求是什麼。根據企業的戰略，瞭解企業內部控制的特點，風險集中體現在哪些區域。然後進行針對性地規劃，確定內部控制體系建設的重心。

　　第二個階段就是在企業戰略目標的指導下，圍繞內部控制的控制環境建設、風險識別、控制活動、資訊與溝通、監督等五個方面的具體要求，設計公司級的內部控制。例如，在COSO框架的控制環境要素中，重點關注的包括道德準則、企業文化、人力資源等。這些內容屬於整個企業的大環境，我們把它放在一個模組裏來建設。通過對風險的識別，發現上述幾個方面存在的問題，並通過對公司內部控制管理的測試，全面解決這些問題。

　　第三個階段就是流程級和IT級內部控制體系的建設，這是內部控制的重點，也是難點。把通過戰略梳理確定的關鍵風險區域歸結成流程地圖，對現有的流程進行描述，並找到這些流程中的風險點、現有的控制措施以及控制的缺失，從而制定內部控制措施、風險控制目標等。對於IT（資訊系統）而言主要關注的是一般性控制缺陷，例如安全性的缺陷、硬體管理的缺陷等。通過流程級和IT級內部控制體系的建設，要形成企業的風險控制矩陣，系統性地發現風險並制訂相應的控制措施。

　　前三個階段主要針對公司內部控制的設計缺陷，比如公司沒有戰略、或者缺失流程、或者流程不合適存在風險，這就通過上述過程解決。但是我們發現，有很多企業所面臨的風險不是由於設計缺陷造成的。它有制度、有流程，只是沒有去嚴格地執行。所以需要進行第四個階段。它主要有兩項工作，一是要生成一套內部控制的體系檔，包括控制環境等多個子模組，並在此基礎上形成一個持續優化的機制。二是對之前提到的公司級內控、流程級內控以及IT級內控進行跟單測試，通過測試發現運行缺陷，並針對內控建設的基本要求提出整改意見。不僅流程要整改，制度要整改，組織、文化也要整改，管理要系統提升。通過一到兩次的測試，彌補內控體系運行的缺陷。就可以讓企業的內控真正做實。

　　第一個階段通過戰略梳理明確內控的要求，第二、第三個階段是內控建設的核心，通過公司級、流程級和IT級的內部控制，完成對公司內部控制風險的識別和完善。最後通過第四個模組，即內控測試以及體系檔的生成，為公司內控建設形成指導性的體系，同時針對運行缺陷進行適當地整改，使企業內部控制建設上一個臺階。

六、推進企業內控建設是一場“中長跑”

　　內部控制發源於美國，中國的《企業內部控制基礎規範》設立的原則也是參照了COSO的內部控制框架。美國公司在內控方面的建設、操作重點對中國公司具有一定的指導意義。但是一定不能機械地照搬，要在建設過程中體現出中國公司自己的關注要點。各公司要根據行業特點和自身特點，在風險管理的過程中要選擇不同的側重點。另外，內控是一個持續的過程，企業一定要學會對內控體系進行持續優化，每年都對內控建設的狀況進行適當的、科學的評估。

　　在企業內部控制體系建設的過程中，扎實推進企業內控管理文化是企業內部控制管理的基礎，是有效實施內部控制的保障。

　　企業必須儘快建立與企業戰略目標相適應的企業內部控制管理理念；制定並推行高級管理人員職業道德規範；制定並推行員工職業道德規範和行為準則；建立暢通無阻的向上資訊溝通管道；通過績效管理等方法，鼓勵正確的行為和態度；加強內控建設的培訓和溝通。

　　有了內控文化的牽引，有了內控組織的保障，企業在推進內部控制體系建設的道路上才能事半功倍。

　　如果說我最想對企業家說的一句話是什麼？那就是：“中國企業推進內部控制體系建設是一場“中長跑”，一定不能取巧！要明確內控體系是保障公司整體運行績效的重要環節，也是基本手段。企業推進內控建設，要求真務實，扎扎實實一步一步往前走”。