企业内部控制的功能和机制

企业内部控制的功能和机制

企业内部控制的作用

经过多年的经济发展，期间出现过很多企业的倒闭，又有很多朝气蓬勃的新企业的诞生。作为企业的经营者，就要经常思考一个问题，就是如何让企业生存得更久一些，做得更强大一些。如果这样想的话就需要知道内部控制对于企业的重要性，知道它在企业里发挥着无可替代的功能。

1.企业内部控制的功能

企业内部控制的功能主要体现在两个方面，一个是提高企业的运行效率，另一个是防范作弊。企业通常会毁于内部的作弊行为，因此更要重视内部控制制度的建设。

提高企业运营的效率

人们一般认为制度越多，效率就越低，会影响企业的运转速度。但这是很片面很肤浅的一种理解。讲到整合各种资源，就需要提到制度经济学中的交易成本，例如双方就某些问题进行谈判，如果在谈判的时候遇到问题没有可遵循的标准和规则，就会产生人力、财务等方面的成本。而有了标准之后，就能够极大地减少这种谈判和交易的成本，提高整合资源的效率。

防范作弊

作弊的防范是企业生存的底线，企业在赚钱和盈利之前，先要保证不出血，不流血，这是第一步，要止血，这就是防范作弊。作弊的防范是企业的底线，在设计作弊的防范机制之前，首先要知道作弊是怎么发生的。

舞弊之所以会发生有三个原因：第一个是压力，第二个是机会，第三个是接口。企业需要针对这三大要素制定作弊的防范机制。

错弊的三角和防范机制

人如果无法承受身上的压力，就会在工作中做出违背规定的错误行为来；或者是企业的制度不完善，给人们作弊犯错留下了机会；还有就是在企业经营过程中出现了各环节的接口断裂，给舞弊行为的发生创造了条件。不管是哪种原因，企业都需要有针对性地建立正确的防范机制。

进行职业道德教育

进行职业道德教育的目的是提高大家的认识和个人修养，摈弃造假这样的可耻行为，从而减少干部违法行为的可能性。这个对人员进行道德教育的过程就是一个接口减少的过程。

例如刚从学校进入职场的会计人员，都会经过一个岗前培训，第一次接触会计工作的时候，就要让他有一种意识，明白这个行业意味着什么，所面对的风险有多大，需要多高的职业道德修养来完成工作任务。职业道德教育就是要培养人很好的心态，会计必须具备一种视钱财如粪土的心态，所有别人拿回去的全部都是纸，只有你拿回去的几百块钱工资才叫钱，搞清楚哪些钱是自己的，哪些钱不是自己的。

企业中财务部跟业务部门经常发生矛盾，因为销售总大笔的往外拿钱吃喝，采购部门总大笔地往外付款，财务部的人心里就不高兴了，为什么别人都有拿钱的资本，而自己是个过路财神？心里不舒服之后就可能在会计报表上做小动作，改动一些数字。这种会计就是没有良好心态的会计。所以，企业要加强职业道德教育，如果会计的心态好了，职业道德水准提高了，就不会干这事了。所以说职业道德教育是企业内部控制和会计管理中很重要的基础。

那么，职业道德教育是不是教育好了之后，就不会出问题了呢？

法律法规

职业道德属于社会劝解性，可以不遵从，而法律法规是必须遵从的准则。20世纪90年代末，我国的股市一直处于低迷徘徊的状态，一个原因就是跟许多企业做假账有关，没有真实反映企业的经营状况，市场不健康，股市才会萧条。这就需要法律法规来规范企业的会计制度操作。

20世纪80年代中后期开始到90年代，中国整个市场发生巨变，特别是证券市场出现一些惊天大案，大家才知道会计的重要性。当时整个社会就形成三大中心任务，第一是扫黄，第二是打非，第三个就是抓会计。

对当时的案件进行深入分析之后，我们发现造假不只是会计的愿望和能力，更多的是在企业领导和当地政府官员的支持下集体造假，参与的人员有的是为了自己能得到那点回扣，有的官员是为了当地的经济发展。不管怎样，这是整个社会目标的推动导致了造假，已经不单单是会计问题，如此专门针对会计或依靠职业道德也不能完全解决问题。因此需要用另外的手段，采取强制性的经济手段和法律惩罚手段来共同来解决这个问题。

但是有了法律法规还是不能解决所有的问题，还要有可靠的执行制度。企业制度是必须的，但不是万能的，还需要有另外的约束控制机制，那就是内部控制。

内部控制

企业对财务舞弊的控制，和各位学员上课中手机管理的道理是一样的。上课的时候手机要关机或静音，否则其结果就会对课堂气氛和别人带来不好的影响。

 内部控制的要素

内部控制的演变过程

内部控制作为一个完整的理论体系，从它的出现到后来的广泛应用，都体现了它作为企业内部控制机制的重要性。内部控制主要发源于西方企业制度之中。

（一）西方社会内部控制理论的发展

任何事物都是在一定条件下根据某种需求产生的，内部控制理论也是在经济社会不断发展的情况下出现并获得发展的。内部控制的发展历程大致如下：

1.内部牵制阶段

在二十世纪初，对企业内部控制的认识，仅限于按照审计学和内部审计的一般原理，所谓的内部控制仅停留在内部牵制的思想上。最通行的就是分工协作理论，把一件事情划分为多个阶段，多个层次，让多个人去共同完成。在分工协作的过程中大家可以相互检查，互相监督，减少前一阶段舞弊的发生概率，或者对其造成一种威慑作用，前一道工序的质量就可以得到提升。通过这种分工协作提高专业化的操作流程。后来人们把这种社会化大生产的思想运用到企业的财务和会计当中，就形成了最初的相互牵制体系。

2.内部控制制度阶段

经过六七十年的发展，到了20世纪70年代，随着企业发展和企业管理理论体系的丰富和完善，内部牵制体系逐步演变成内部控制制度，并且被划分为管理控制和会计控制。通过会计的发展和财务管理理念的变革，企业逐渐意识到，要提高业务活动的效率，就需要用计量对企业经营活动进行核算，这就是会计控制，再通过会计信息反馈出经营成果，这两个活动相互牵制和印证，就形成了管理控制。

3.内部控制结构阶段

在20世纪70年代至80年代这10年的变化过程中，美国的学术界和实务界认识到，在企业的管理控制过程中，对人的管理尤其重要。要对人的思想、品行和道德价值观有正确的认识，才能采取相关的管理行动。这样对人的管理构成了控制的环境之一，由此形成了对程序、环境和会计进行控制，这三大要素构成了内部控制结构理论。

控制结构理论形成之后，人们发现一个问题，如果在控制之前没有充分思想准备和理论准备，没有对风险形成非常准确和科学全面的认识，那么内部控制肯定没有效率和效果。所以进行内部控制之前，要对风险评估有个充分的认识。

在控制活动过程当中，影响效率和效果主要取决于两个方面，一个是部门的配合，另一个是它的有效性，从而进一步构成了内部控制的五大要素，即控制环境、风险评估、控制活动、信息沟通和监控。

4.内部控制结构整体框架阶段

21世纪初，在美国COSO报告总结上世纪90年代的内部控制整体框架的时候，各管理部门、经营部门、生产体系和会计界的专家把各种思想体系进行融合之后发现一个新的问题，那就是企业在进行内部控制的时候，需要在更高层次、更远角度上结合实际情况来展开这项工作，于是总结出包含四大目标、八大要素在内的风险管理框架。

四大目标就是在控制目标当中，除了营运目标，合法目标，报告目标之外，还要有企业更高层次的战略目标，也即总体目标。八大要素是指在以前控制环境、控制活动、信息沟通、监督和风险评估五大要素的基础上，对风险评估这项要素进行了细化，进一步划分为目标设定、事项识别、风险评估和风险对策四个要素，共同构成了目前的八大要素。 

现在国内的学术界里，运用的仍然是上世纪90年代美国COSO报告里面关于内部控制体系框架所列出的三大目标和五大要素，这里把内部控制分为四大目标和八大要素，是在以前内容的基础上进行的完善，不管使用的是哪一种，目的都是一样，是为了建立完善的内部控制体系，从这个层面上来说两者是殊途同归。

四大目标和三大目标，八大要素和五大要素之间有必然的联系，它们之间不是否定关系，而是对前面内容的传承和深入，是更为全面和深层次的过程。

可能有很多专家和实务工作者认为四大目标和八大要素弄得很虚，不如会计制度的效果实在。事实上这两者之间是不矛盾的，我们做企业搞内控需要学习一切先进的知识和理念，做到洋为中用，古为今用。我们吸收和转化美国的内部控制机制和体系，再融合到中国的管理实际中，做出适合于自己企业的内部控制体系来。

（二）中国内部控制的发展

改革开放后，我国建立了社会主义市场经济体系，很多企业快速成长起来。经过几十年的发展，这些企业已经成为我国经济社会的重要力量。我国企业的内部控制的发展历程主要体现在政府管理部门出台的相关政策和法规上，企业必须按照这些法规去建立相应的内部控制制度。历年来有关内部控制的法规如下：

1986年财政部颁发《会计基础工作规范》，其中对企业（单位）内部控制制度作了明确规定；

1997年1月中国注册会计师协会实施《独立审计具体准则第9号——企业内部控制与审计风险》，以便于会计师事务所评估审计风险，提高审计效率，保证执业质量；

1999年3月全国人民代表大会通过新《会计法》，将企业（单位）内部控制制度当作保障会计信息“真实和完整”的基本手段之一；

2000年1月国家审计署实施《中华人民共和国国家审计基本准则》，其中对企业（单位）内部控制制度的测试当作“作业准则”予以明确；

2000年11月中国证监会发布《公开发行证券公司信息披露编报规则》，要求公开发行证券的商业银行、保险公司、证券公司应建立健全企业内部控制制度；

2001年6月财政部发布《内部会计控制—基本规范(试行)》和《内部会计控制基本规范——货币资金(试行)》

2002年6月13日中国注册会计师协会制定发布了《企业内部控制审核指导意见》；

2002年9月7日中国人民银行发布《商业银行企业内部控制指引》，指出企业内部控制是商业银行为实现经营目标，通过制定和实施一系列制度、程序和方法，对风险进行事前防范、事中控制、事后监督和纠正的动态过程和机制；

2002年12月19日中国证监会发布《证券投资基金管理公司企业内部制度指导意见》，首次系统地提出基金公司企业内部控制的目标和要求。

2002年12月财政部发布《内部会计控制规范——采购与付款（试行）》和《内部会计控制规范——销售与收款（试行）》

2003年10月财政部发布《内部会计控制规范——工程项目（试行）》

2004年8月20日中国银行业监督管理委员会通过《商业银行内部控制评价试行办法》，自2005年2月1日起施行。

2006年6月5日上海证券交易所发布《上海证券交易所上市公司内部控制指引》，内部控制是指上市公司（以下简称公司）为了保证公司战略目标的实现而对公司战略制定和经营活动中存在的风险予以管理的相关制度安排。它是由公司董事会、管理层及全体员工共同参与的一项活动。公司内部控制通常应涵盖经营活动中所有业务环节、经营活动各环节之中的各项管理制度、信息管理、专项风险等。

2006年6月6日国资委出台《中央企业全面风险管理指引》，本指引所称全面风险管理，指企业围绕总体经营目标，通过在企业管理的各个环节和经营过程中执行风险管理的基本流程，培育良好的风险管理文化，建立健全全面风险管理体系，包括风险管理策略、风险理财措施、风险管理的组织职能体系、风险管理信息系统和内部控制系统，从而为实现风险管理的总体目标提供合理保证的过程和方法。

2006年7月15日，我国企业内部控制标准委员会成立大会暨第一次全体会议在北京举行。企业内部控制标准委员会成员由财政部、证监会、国资委等来自监管部门以及实务界、理论界的专家学者组成。

加强内部控制和内部审计，已经成为各大国有企业和其他企业进行管理的主题和业务的重点之一，开始大力加强企业内部控制标准体系的建设。

内部控制的定义

在COSO报告里面，内部控制是指由企业董事会（决策、治理机构）、管理层和全体员工共同实施的、旨在合理保证企业战略实施、经营的效率和效果、财务报告及管理信息的真实、可靠和完整、资产的安全完整、遵循国家法律法规和有关监管要求的一系列控制活动。我们可以从四个层面对这个定义进行理解：

内部控制的主体

内部控制的主体不是财务部或审计部这样的单个营运部门，而是企业部门的集合。主体是从上而下，既是决策层、执行层，又是管理层的问题，而不单是一个层面的问题；也不是单指一个员工操作的层面，而是内部整体的共同层面的问题。所以，它的主体是由企业所有人员从各个层次上参与进来的。

内部控制的目标和边界

内部控制的目标是比较大的系统战略，涉及企业整体发展方向和思路。而边界的划定就涉及到各部门、各层次的协调活动。例如企业要提高效率，使内部血液更新循环，一是需要开源，二是需要节流。开源是外延型，从扩大企业自身的市场道路，增强实力方面进行管理控制，例如销售部门去开拓市场，努力增加企业收入等；节流是内涵型，需要对内部现有的运行模式进行调整改进，使各部门工作更有效率，更节约企业成本。在这种情况下各部门要进行各层次的相互协调，把不同的思想融合在一起。

内部控制的风险性

内部控制基于风险管理，风险管理就是对风险要有所认识，同时做好两手准备，一是达到企业的目标并实现盈利，二是防范潜在的威胁转变成现实的威胁，给企业造成重大损失。作为财务人员尤其要对这两点要有充分的认识。

在财务人员的观念里面，要么黑，要么白，要么亏，要么赢，没有既黑又白、又亏又赢两者兼有的状态。这就是财务人员黑白分明的法则，但是这个法则受到了极大挑战。

要不要做一项业务，要不要收购一个企业，在财务人员来看就一种答案，行或者不行，事实上单有这种想法是不够的。经营企业就要站在整体的高度，从多个角度去思考问题，例如海信收购科龙，联想收购IBM业务，都不仅是财务层面能解决的，更多的是涉及到战略、市场和营销的问题。

所以，在面对风险和威胁的时候，利益得失之间要进行权衡，从而做出正确的判断。这个判断依靠两点：一是偏好，二是忍受程度。偏好的意思是企业适合干什么，例如有的企业愿意通过兼并收购拓展市场地盘，以最快的速度扩张；而有的企业担心兼并收购带来的烂摊子不好收拾，有可能对内部组织的效率产生不良的影响，更倾向于自我慢慢的良性发展。这就是两种不同思路对于风险的态度所呈现出来的不一样的局面。前面一种属于风险偏好，后面一种属于风险厌恶。

第二个是容忍度的问题，企业可以去收购，前提是要对收购对象的资产总量、净资产和它的信用度等有充分的了解和掌握，收购之后会出现多大的危机，有哪些困难是企业无法承受的，这些都要弄清楚。如果进行了资产收购，本公司的资产负债率也不会超过70%，那么在可接受的范围之内就可以进行收购。如果收购之后，通过各种资金杠杆的运用，资产负债率达到80%到90%，企业认为这种情况是无法接受的，就要放弃收购行为。

所谓内部控制，就是要对风险进行科学的认识，既要对企业的偏好进行科学的认识，同时又要对企业的容忍度进行科学的衡量。所以，财务人员要在更高的层次上理解风险，以及财务对于公司经营的重要意义。

内部控制是一个过程

内部控制是一个过程，意思是它不是一个点，也不是一个面，而是一条线，由多个点串连而成。就像一条珍珠项链，串在一起这条珍珠项链的价值才会更高，而把这个过程串连起来的主线就是内部控制。

企业所面临的风险不是静止不动的，而是随着企业的发展和内外部环境的变化呈现动态特征。因此，企业在做内部控制的时候需要明确的一点就是，从一个动态管理的过程对内部控制进行全局性把握，把控制的各个因素要点进行系统性链接，这样才能应对不断变化的风险。

如果把内部控制做个形象的描述，就好比一座大厦，它的边界分成四个面，这就是内部控制的四大目标，第一个是战略目标，第二是报告目标，第三个是营运目标，第四个是合法目标。这四大目标是内部控制设计的四个层面，也就是边界，它的实现从八个层次来展开，这就是内部控制的八大要素。

这八大要素分别是控制环境、目标制定、风险识别、风险评估、风险反应、控制活动、信息与沟通和监控。风险管理的内部控制框架就是由上述四大目标和八大要素共同组成。

内部控制环境的含义

企业的内部环境是其他所有风险管理要素的基础，为其他要素提供规则和结构。企业的内部环境不仅影响企业战略目标的制定、业务活动的组织运行和对风险的识别、评估和反应，它还影响企业控制活动、信息和沟通系统以及监控活动的设计和执行。

在做生意的过程中，我们会跟很多地方的人打交道，经验多了就会总结出自己的一些特点，是愿意跟东北人打交道，还是愿意跟广东人打交道，或者是湖北人、北京人、上海人？

之所以分出这些区域是因为我们知道区域不同，人的性格会有明显的特征差异。比如东北人比较豪爽，湖北人很聪明，同时也很狡猾等。

其实人各有秉性，没有真正的好坏之分，只是性格不同导致亲和度不一样。做企业的内部控制也是一样，先要关注问题的秉性和本身特征，才会产生效果。

例如公司的采购工作，财务部会认为采购的价格很重要，而采购部门认为产品质量最重要。如果采购部和财务部在产品价格上争执不下，闹到老总那里，这就给老总出了难题。

这位老总面临的问题就是对公司进行内部控制所碰到的难题，这个时候需要采取一点管理控制的技巧来化解矛盾，理解下面部门人员的工作，均衡各部门之间的关系。

很多专家学者在研究风险管理和内部控制的过程中，对内部环境进行归纳推理和沿用，最后形成了一套较为完整理论。这个理论把内部控制环境分为七个方面，分别是诚信原则和道德价值观、员工能力、法人治理、管理哲学、组织结构、权责分派和人力资源政策。如果企业在这七个方面没有做好，后面的内部控制就没有办法进行下去，只有把这个七个方面的问题都解决了，统一大家的认识，才能做好内部控制。

内部控制环境的价值观要素

内控环境是基础，基础不牢，地动山摇。以下就从这七个方面具体展开来看怎样做好内部环境的控制。

1.诚信的原则和道德价值观

在现代所有权和经营权相分离的产权格局之下，企业目标、管理者目标和生产者的目标不尽相同以及信息不对称等限制，企业高层管理者和员工都会存在“不道德”和逆向选择的风险。另外，在企业运营过程中，经常由于受到某种压力或诱惑导致舞弊和贪污等，轻者带来企业效率低下、声誉受损；重者给企业带来重大损失、埋下隐患。

所以企业应加强职业道德、诚信道德的教育和氛围培育，同时采取必要的措施减少错弊发生的机会和可能性。加强企业的内部审核制度和发挥董事会的职能，使其客观地监督企业的高级管理层，使所有雇员形成正确而持续的道德观和价值观，在一般和特定环境下能够保持正确的判断。

美国人和中国人对待这个问题表现出了不同态度，中国人是开始同意，后来在背后大家都使板子；而美国人则是在公开的会议上把问题说明白，把决定做清楚。这就是诚信的原则和道德价值观的不同。做内部控制就要培养这种言必行、行必果的价值观，只要大家同意了就必须干。

所以对很多企业来说，在做内部控制之前应该先搞培训，把员工的诚信观念和良好的道德价值观树立起来，做起事情来才有效果。作为一个财务工作者，要明白自己的价值是什么，所做的事情是什么，而不是自己做的财务报表别人看不懂，于是就在上面改数字，做文章，违反规章制度，最后落得黯然的下场。

现在企业的财务工作要趋向信息化，用方案、用方法、用技术、用手段、用高科技来完成基础的核算工作，把更多的时间用在考虑企业发展战略的问题上，做领导的有力助手。

例如公司的员工到单位财务部去报帐，很多人一到财务部心里就不舒服。因为很少说去一次就能办成事情，跑三五次是很正常的。有的财务部会说我们周二、四、六才报账，你改天来吧。问题是财务部是给其他部门提供服务的，既然其他部门对报销日期不满，就要进行改进调整，制度的制定要满足大家的要求才算是合理。最好的办法就是把各个业务员叫到一起，大家讨论后才发现周一和周二是最重要的时间，对报账的工作最为有利，大家也能够接受。所以我们应该看到，自己的工作是跟他人相关联的，在内部控制的时候要改变你固有的却有不符合实际的原则和价值观，不要以自己为中心，而要以服务对象为中心，才能很好地解决问题。