中国企业内控事件：中国内部控制规范渐行渐近

　　观点：满足SOX404不是内部控制最根本的目标

　　制度：中国内部控制规范渐行渐近

　　探讨：企业集团内部控制的成功逻辑

　　案例：煤气化内控报告“掩耳盗铃”

         巨人集团都是盖楼惹的祸？

　　     海尔集团内控经验 山西票号内控分析

　　很多人认为包括德隆在内的企业“死于”“短贷长投”，所以人们也把“短贷长投”列为企业投融资的“高压线”。

图为德隆上海总部。

　　中国人民银行、中国证监会等先后发布过有关内部控制的行政规定。图为银装素裹的中国人民银行总行。

　　在炒股炒楼暴利的掩盖下，投资者可能会误判上市公司真实的盈利能力和发展前景。图为2007年5月8日，北京一证券交易营业部中的股民。

　　实践证明，如果企业集团对上述实施内部控制存在的障碍处理不当，将会导致内部控制体系失效，给企业集团带来严重损失。我们熟悉的“中航油事件”就是企业集团内部控制失效的一个典型例子。图为中航油的加油车为东航飞机加油。

　　2007年5月23日，久旱的北京终于迎来一场酣畅淋漓的大雨。时紧时疏的雨中，伞成为行人必备之物。在企业管理中，内部控制也好似雨伞，风和日丽时，人们感觉不到它的不可或缺，而一旦电闪雷鸣，首先想到的却一定是雨伞。由是观之，未雨绸缪，在公司经营与管理中时刻践行并不断完善内部控制制度，是保证企业免受损害之必备。

　　立志国际趋同的新会计准则体系制定与实施之后，在会计师事务所做大做强的声声号角中，财政部会同有关部门发起成立企业内部控制标准委员会，并取得诸如发布18项内控规范征求意见稿等阶段性成果，无疑体现了从会计到审计再到企业内部控制管理的自然逻辑；在中国资本市场牛气冲天、企业为上市而摩拳擦掌的氛围中，也更显沉静。

　　在中国内部控制规范渐行渐近中，梳理诸多内控事件，有着极为重要的意义。

　　首先，能够使我们归正对内控的认识，避免言必谈《SOX法案》302条款和404条款的俗套，而是懂得上市公司满足了证券监管机构的要求，只不过是建立内部控制机制的一部分，而不是全部。

　　其次，是理清企业实施内控的逻辑顺序，如对企业集团，要在掌握其特点的基础上，明确其内部控制要素的具体内容，分析构建完善内控体系的主要障碍，进而着眼于关键内部控制点来排除这些障碍。

　　第三，从过往的内控案例中汲取营养，如分清煤气化案例中的内控层次性，与治理控制的重要性；吸取巨人集团内控之教训；学习海尔集团与山西票号的管理经验。

　　其实，历史也好，未来也罢，都是由一连串事件组成的。梳理中国内控事件，为的是在回顾历史的基础上，更好地掌控未来。

　　海尔集团内部控制系统除了诸多可借鉴之外，也存在财务控制和会计控制如何再上新台阶的问题。海尔集团的成功经验并不一定适合所有企业，管理者需要根据自身企业的具体情况进行具体分析，不照搬照抄。

　　海尔集团：电器王国的内控经验

　　陈艳红 王棣华 /文

　　海尔集团创立于1984年。23年来持续稳定发展，己成为在海内外享有较高美誉度的大型国际化企业集团，产品从1984年的单一冰箱发展到家居、通讯、软件、金融等各个领域。

　　海尔集团的发展经过了四个阶段（图1）。正是得益于健全的内部控制系统，海尔集团在短短的几年间成为国内家电行业的旗舰，成为较早走出国门并在国外享有很高知名度的中国企业。目前，海尔集团旗下拥有240多家法人单位，在全球30多个国家建立本土化的设计中心、制造基地和贸易公司，并已建立具有国际竞争力的全球设计网络、制造网络、营销与服务网络，全球营业额超过1000亿元。

　　海尔集团发展四阶段

　　名牌战略阶段-多元化战略发展阶段-国际化战略阶段-全球化品牌战略阶段

　　1984-1991 1992－1998 1999－2005 　2006－

　　组织结构

　　企业组织结构属于COSO内部控制框架中的控制环境范畴，它直接影响到企业内部控制的贯彻与执行。企业经营规模扩大或实施多元化经营战略时，出于效率经营的需要，调整组织结构，从而促进内部控制变革。从某种程度上说，企业组织结构的变迁推动了内部控制的健全与发展。

　　在海尔发展的23年中，为了营造使企业不断创新的机制，保持企业的高效运作和对市场的快速反应能力，其组织结构经过了一系列动态的调整。

　　海尔集团组织结构变迁

　　直线职能制-事业部制-事业本部制-业务流程再造

　　起初，海尔实行直线职能制。随着海尔销售额的日益扩大，这种职能型组织结构使得公司高层领导者工作繁杂，无暇深入研究和妥善解决生产经营中的战略性问题。

　　从1994年开始，海尔开始采用事业部制的组织结构。然而，对于各个事业部来说，事业部制组织结构仍是集权式，不利于事业部的长远发展。

　　于是，海尔再次对事业部制进行了调整，建立了事业本部制组织结构，即在事业部的基础上成立了两级利润中心，一级成本中心。集团总部下设集团本部一级利润中心，本部下设事业部二级利润中心，工厂为成本中心。在两级利润中心，集团本部是很重要的协调部门，重要的利润职能在二级利润中心。

　　随着企业外部环境由卖方市场向买方市场转变，海尔再次调整组织结构即业务流程再造，将事业部下面的职能部门合并。增设海外推进事业总部、海外销售事业总部等；由集团总部配送财务人员管理各本部财务。

　　经过业务流程再造后，海尔的每一个本部都是利润中心，部门与部门之间、上下流程之间、上下公司之间都是市场关系，把海尔的外部市场压力转化为内部市场压力，解决了海尔集团规模扩大后如何继续保持创新能力的矛盾，并为每个员工提供了个性化创新空间，以满足客户个性化需要。

　　三方面框架　授权和责任

　　海尔集团非常重视经济业务的授权审批权限。在集团内部，一般授权与特定授权有严格的界限和责任，每类经济业务的完成都需要经过一系列相应的授权批准程序。同时，集团内部还设有与授权审批权限相匹配的检查制度，以保证授权后所处理的经济业务的工作质量。除了在授权上的严格限制外，海尔还设立了一套层次分明、内容完整、责任明确的目标计划体系。每年12月，集团公司都会根据市场变化情况和本年度目标完成情况，制定下一年度的总目标，然后将总目标分解到各个部门，由各个部门再分解为月度目标和计划，依此类推，直至将总目标分解到每个岗位、每个员工每天的工作项目和责任。在海尔内部，每名员工既是责任者又是管理者，从而将传统的企业管理是少数人的事转变为全体员工的事。这种全方位的管理使管理的各要素全部处于控制之下，使各项管理工作都确定了主管人、责任者、配合者、审核者、复审者、工作程序等，使企业成为责权明确的组织管理系统，通过自控、互控和专控形成了严密的控制系统。

　　财务控制体系

　　海尔采用了SAP公司提供的ERP系统。实施ERP后，顾客订单不但1天内完成“客户——商流——工厂计划——仓库——采购——供应商”的过程，而且准确率极高。对于每笔收货，扫描系统能够自动检验采购订单，防止暗箱收货，而财务在收货的同时自动生成入库凭证，使财务人员从繁重的记账工作中解放出来，进行真正的财务管理与财务监督，效率与准确性比以前有了很大提高。

　　质量控制

　　企业管理的最大挑战，就是在事情出现不好的苗头时是否能够采取果断措施转变员工的思想观念。在海尔的经营理念中，次品就是废品。建厂之初，面对76台质量有问题的冰箱，张瑞敏(张瑞敏博客,张瑞敏新闻,)毅然做出了有悖“常理”的决定，把所有不合格冰箱当众全部砸掉。伴随着大锤的阵阵巨响，海尔人的质量意识真正地觉醒了，依法治厂的观念渗透到了每一位职工的心中。

　　市场需求使海尔确定了提高产量的目标，但是要在产量增加的情况下确保质量，必须在质保体系外强化对过程的控制。于是，海尔正式提出并形成“日事日毕、日清日高”管理控制系统。它是海尔冰箱公司在管理实践中不断创新、逐步提炼总结形成的一种有效的企业内部经营管理体系。

　　经验总结

　　海尔集团内部控制的实践经验，可以总结为以下几方面。

　　一是非常重视组织结构的调整。

　　从职能型结构调整到事业部制组织结构，又发展到事业本部制组织结构直至现在实施的企业流程再造，海尔的组织结构总是随着企业发展的需要处于动态变化之中，从根本上解决了企业创新的内部动力机制问题。

　　二是有严格的授权和责任控制系统。

　　授权可以使企业的整体工作分解成若干个部分，每个部分各行其职，使每个个体既是权力行使者，同时又是责任承担者。在海尔集团内部，每类经济业务都有严格的授权批准程序和相应的检查制度，以保证授权后所处理的经济业务的工作质量。此外，海尔集团的组织架构清晰合理，公司中的每一个部门分工明确，责任清楚，这从根本上保证了公司日常业务的正常运转，有利于不同部门之间的合作，对公司整体业务有促进作用。

　　三是以ERP财务控制体系作为内部控制的核心。

　　财务控制作为公司整体内部控制的核心，对公司其他部门起着监督和控制的作用。ERP软件的合理运用可以帮助企业内部业务操作合理化，同时运用功能丰富的协作/合作技术可以帮助企业在跨合作企业群体和贸易伙伴之间提高管理水平，扩展企业竞争空间和提高综合能力，将广阔的网络商机和传统信息系统中的企业资源信息有效地结合起来。实施ERP财务控制系统后，企业、客户、供应商、交易商和企业员工以前所未有的方式透过网络结合在了一起。

　　四是具有严格的质量控制措施。

　　质量是企业的生命，任何企业要走品牌战略的发展道路，质量就永远是生存之本。

　　五是拥有完善的人力资源控制体系。

　　完善健全的内部控制制度仅是企业成功的保障，企业成功的关键在于人的执行与否以及人执行的效率和效果。有制度而不执行等于没有制度，执行的效率很低也等同于没有制度。因此，具有完善内部控制制度的企业要想提升竞争力，就必须提高员工素质，加强人员培训，提升劳动者技能水平，增加人力资本存量，从而提高智力资本要素对企业发展的贡献率。企业中流传一句话：“短期看产品，中期看项目，长期看人才”，这足以显示出人力资源的重要性。

　　六是企业文化建设，使每个员工都能自觉自愿地去执行各项规章制度。

　　海尔文化以观念创新为先导、以战略创新为方向、以组织创新为保障、以技术创新为手段、以市场创新为目标，创新伴随着海尔从无到有、从小到大、从大到强、从中国走向世界，海尔文化本身也在不断创新、发展。员工的普遍认同、主动参与是海尔文化的最大特色。当前，海尔的目标是创中国的世界名牌，为民族争光。这个目标把海尔的发展与海尔员工个人的价值追求完美地结合在一起，每一位海尔员工将在实现海尔世界名牌大目标的过程中，充分实现个人的价值与追求。

　　（陈艳红系东北财经大学2006级财务管理专业研究生，王棣华系东北财经大学内部控制与风险管理研究中心教授。）

    巨人集团：都是盖楼惹的祸？

　　巨人大厦仅是巨人集团破产危机的导火索，而在巨人集团沉浮起落的背后，有一种内控分析的视角。如果时间能够倒流，巨人集团当初能够从战略风险开始实施内部控制，情况或许就大不一样了

　　李晓慧 /文

　　考察现代企业会发现，内部控制制度的建立并没有阻挡一些企业连续亏损，甚至破产。究其原因，除了内部控制的固有局限之外，还有过分强调细节或流程的控制，内部控制硬化、不近人情，花很大力气设计的内部控制无法在实际工作中得到执行等因素。为此，目前的内部控制框架要求企业从重视细节和流程控制，转向重视企业战略风险控制，在设计、实施以及评价内部控制时，均从战略风险的角度考虑内部控制以及控制的效率。

　　内部控制转向从战略风险实施控制，并非仅仅是一个口号、一个理念，而需要公司治理层和管理层指导思想和行为上的转变，需要公司治理机制的保障，需要企业明确战略目标，并能够组合所有支持战略目标实现的资源（人、财、物、市场与技术）。这些条件和基础在不同的企业表现不同，不可能设定一个统一的模式，但其风险的关注点却基本相同。我们结合巨人集团的案例，来探讨从战略风险实施控制中应当关注的问题。

　　“巨人”沉浮

　　成立于1989年8月的巨人集团至1993年12月就已经发展到290人，在全国各地成立了38家全资子公司，推出中文手写电脑、中文笔记本电脑、巨人传真卡、巨人中文电子收款机、巨人钻石财务软件、巨人防病毒卡、巨人加密卡等产品，实现年销售额300亿元，年利税4600万元，成为中国极具实力的计算机企业。

　　1994年2月，巨人大厦动土，计划3年完工，史玉柱(史玉柱博客,史玉柱新闻,史玉柱说吧)当选中国十大改革风云人物。

　　1994年8月，史玉柱(史玉柱博客,史玉柱新闻,史玉柱说吧)突然召开员工大会，提出了“巨人集团第二次创业的总体构想”，总目标是：跳出电脑产业，走向产业多元化的扩张之路，以发展寻求解决矛盾的出路。

　　1995年，巨人集团在全国以集中轰炸的方式，一次性推出电脑、保健品、药品三大系列30个产品，投放广告1个亿，子公司从38个发展到228个，人员也从290人发展到2000人。史玉柱被《福布斯》列为大陆富豪第8位。

　　1995年，史玉柱在提出第二次创业的一年后，不得不再次宣布进行整顿，在集团内部进行了一次干部大换血。集团向各大销售区派驻财务和监察审计总监，财务总监和监察审计总监直接对总部负责，同时，两者又各自独立，相互监控。同年，巨人的发展形势急转直下，出现财务危机，步入低潮。

　　1996年初，史玉柱为挽回局面，将公司重点转向减肥食品“巨不肥”。3月，“巨不肥”营销计划顺利展开，销售大幅上升，公司情况有所好转，但公司旧的制度弊端、管理缺陷并没有得到解决。相反，“巨不肥”带来的利润还被一些人私分了。

　　同时，集团公司内各种违规违纪、挪用贪污事件层出不穷；其下属全资子公司康元公司财务管理混乱，集团公司也未派出财务总监对其进行监督，导致公司浪费严重，债台高筑。至1996年底，康元公司累计债务已达1亿元，且大量债务存在水分，相当一部分是由公司内部人员侵吞造成的，公司资产流失严重。

　　这时，巨人大厦资金告急，史玉柱决定将保健品方面的全部资金调往巨人大厦，保健品业务因资金“抽血”过量，再加上管理不善，迅速盛极而衰，巨人集团危机四伏。

　　按原合同，巨人大厦施工三年盖到20层，1996年底完工，但由于施工不顺利而没有完工。大厦动工时，卖楼花所签订的楼花买卖协议规定，三年大楼一期工程（盖20层）完工后履约，如未能如期完工，应退还定金并给予经济补偿。当1996年底大楼一期工程未能完成时，国内购楼花者天天上门要求退款。媒体“地毯式”报道巨人财务危机。1997年初，只建至地面三层的巨人大厦停工。巨人集团终因财务状况不良而陷入了破产危机之中。

　　基于内部控制的原因

　　研究巨人集团衰败案例的角度有多种，我们则着眼于企业内部控制和风险管理方面。具体而言，巨人集团衰败的原因有以下四方面。

　　一是企业发展战略目标错位。

　　“成也目标，败也目标”。史玉柱软件科学管理系硕士的优势资源支持了其在电脑行业的创业，奠定了巨人集团的发展；然而，由于史玉柱的目标转型——向保健品和房地产行业多元化发展，使巨人集团走向衰败。巨人集团向保健品和房地产行业多元化发展的目标，与巨人集团的管理能力、资金能力和技术能力产生错位，企业管理、资金、人员素质不能与设定的目标相匹配，企业战略风险增大。

　　二是缺乏科学的组织结构和决策体系。

　　巨人集团的每一次重大决策，都是史玉柱苦思冥想出来的。尽管点子多、思路好，但个人的主观性不可避免地造成史玉柱决策失误多，执行难度大、风险大。巨人集团曾试图通过不断重造组织结构，构建内部控制，来改变史玉柱一人决策的局面；但是，当现实无法符合设想时，史玉柱又被动地改变设想，从而不可避免地形成一人决策的局面。

　　例如，1994年初，史玉柱突然宣布聘请北大方正集团总裁楼滨龙出任巨人集团总裁，公司实行总裁负责制，而他自己将从管理的第一线退下来，担任集团董事长。然而，1994年8月，史玉柱突然又召开员工大会，提出“巨人集团第二次创业的总体构想”，并解除了原集团所有干部的职务，全部重新委任。这种组织结构和决策体系的随意变动，给企业的战略发展带来更大风险。

　　三是企业内部控制混乱。

　　企业战略调整的风险需要有系统完善的内部控制来化解，而在巨人集团激进的发展过程中，其内部控制以及员工素质没能跟上企业战略的变化。巨人集团从几个人发展到上千人，人员素质、组织结构以及企业文化都在不断磨合；由于缺乏规范的基础性内部控制，各类违规、违纪、违法案件，诸如截留、坐支、挪用公款、搞虚假广告等问题屡见不鲜；几万、十几万、几十万甚至上百万资产在阳光照不到的地方流失了，甚至在危急时刻，“巨不肥”带来的利润还被一些人私分。于是，外部的巨变加上内部的混乱，导致企业经营管理的风险剧增，并且难于驾驭。

　　四是缺乏科学的风险管理理念和策略。

　　企业积极管理和应对风险的关键，在于评估风险、量化风险，针对风险根源和计量采取不同的风险管理策略。巨人集团每一次遇到危机时，都没有对企业面临的内外风险进行评估，没有看清楚纯粹风险损失有多大，如何把握机会风险，而仅仅是跟进社会上的热点行业，以求多元化发展。

　　从战略风险实施控制的注意事项

　　通过对巨人集团兴衰过程中的内部控制教训的考查，在从战略风险实施控制的过程中，需要注意以下三方面。

　　一是目标设定和战略实施的协调是内部控制的关键。

　　巨人集团的案例告诉我们，企业发展缺乏明确的战略目标是不行的，但如果战略目标缺乏相应的组织结构、管理能力、资金技术等条件支持，战略目标不仅不能够实现，还会使企业陷入更大的危机。为此，需要严格控制企业目标设计和战略实施的风险。也就是说，企业目标的设定首先要适应市场的变化，在跟进市场热点的同时，要培养起与战略目标相匹配的能够支持目标实现的技术、人才、资金与市场；否则，目标将无法实现，反而招致更大的风险。

　　二是科学抉择风险管理策略有助于提高控制力。

　　企业在发展中随时会遇到各种各样的风险。风险可能会带来损失，也会带来机会，关键在于如何管理风险。史玉柱面对风险时，也积极应对了，但由于没有对风险进行全面了解和评价，没有专业的人员对风险进行评估并提出切实可行的应对措施，管理风险的策略错了，风险没有被控制反而更大了。在决策风险管理方针和政策时要慎重，既要勇于突破，又要防止冒进，其遵循的一般原则如下：（1）权衡轻重、考虑周详。对风险的性质、风险可能性、发生频率要做出合理评估，结合企业管理、人力、财务等综合能力，制定风险管理方针和策略。（2）避免超额负载。企业管理当局应当牢记，一些风险是不可避免，企业管理者必须事先明确哪种风险必须承担，坚决不能承担超过承担能力的风险；同时，董事会对企业当局的风险管理能力要具有质疑能力，避免不稳健的经营策略。（3）成本效益原则。对风险管理的成本及其收益进行比较，合理择用。

　　三是企业的战略发展需要完善的内部控制予以配套。

　　企业在筹划战略发展中，可能会考虑到兼并重组其他企业，开拓新市场、新产品或新技术，重新构建企业流程或组织结构等，这些变化在现代市场经济中已经成为企业谋求更快发展的必然选择。但这些变化可能会给企业带来组织、人员、资金、技术等方面的风险，如果这些风险不能有效地加于控制，就可能会把企业导向与战略目标相反的结果。为此，在战略发展中，管理者不能仅仅计较规模和利润，关键在于要把握其管理控制是否能够应对发展所带来的战略风险、组织风险、财务风险、控制风险、运营风险等。也就是说，任何企业的战略发展，如果仅仅考虑到资金、市场或技术等，而缺乏完善的内部控制跟进，就无法整合拓展的资金、技术、市场等优势，势必增大风险。但如果企业在战略发展中充分运用规范的内部控制和风险管理措施来整合各种资源，有效地控制战略发展带来的各种风险，内部控制和风险管理所形成的较强的控制力，必定会促使战略发展为企业寻找到增加价值的发展空间。

　　（作者系中央财经大学会计学院副院长，教授）

    满足SOX404不是内部控制最根本的目标

　　上市公司满足了证券监管机构的要求，只不过是建立内部控制机制的一部分，而不是全部。实现透明可靠的财务报告，只是内部控制的第一级基本目标；更为重要的内部控制目标，在于保护企业财产安全、实现有效率和有效益的经营以及循规守法。

　　王立彦 /文

　　时下讨论公司内部控制，几乎言必谈《SOX法案》302条款和404条款。其实，这是远远不够的。上市公司满足了证券监管机构的要求，只不过是建立内部控制机制的一部分，而不是全部。换句话说，实现透明可靠的财务报告，只是内部控制的第一级基本目标。而更为重要的内部控制目标，在于保护企业财产安全、实现有效率和有效益的经营以及循规守法。同时，应该强调的是，上市公司就数量而言只不过是全部企业中的很小一部分，众多的非上市及中小企业同样需要内部控制。

　　UT斯达康的挫折

　　《SOX法案》全称《公众公司会计改革和投资者保护法案》（也简称“萨班斯法案”），系美国总统布什2002年7月30日签署，自公布之日起30天内对美国公司生效，对美国以外的公司则从2005年7月15日（后推延到2006年7月15日）之后结束的会计年度开始执行。

　　由于我国实行自然会计年度，上市公司年度报告在每年4月底之前公布，而对内部控制有效性的评估报告是与年度审计报告同时发布，所以，从某种意义上讲，中国公司在2007年春季发布2006年年度报告之前，多出了半年左右的‘缓刑’时间。事实上，已经有多家中国公司提前步入了《SOX法案》轨道，其中包括搜狐网、新浪网、亚信控股、UT斯达康等公司。

　　翻开亚信控股公司2005年年报，第49页是德勤会计师事务所于 2006年3月15日签署的独立注册公众会计师事务所报告，其中，针对亚信公司与财务报告有关的内部控制有效性，出具的是一份典型的、具有肯定含义的标准意见。

　　翻开UT斯达康公司2006年6月26日发布的2005年年报，在普华永道会计师行长长的审计师报告中，开头是一段声明，大意是：“我们对UT斯达康公司2004、2005年的合并财务报表、以及2005年的内部控制实施了审计，我们的审计是遵循美国公众公司会计监管委员会制定的标准）”；审计师报告末尾则是一段带负面含义的综合评价，大意是：“我们认为，UT斯达康公司管理者关于对2005年底公司财务报告未能达到有效内部控制的评价，在所有重要方面是公允表达的。我们还认为，由于存在对实现控制标准的重要缺陷，UT斯达康公司没有能够达到基于COSO内部控制整合框架的有效内部控制”。

　　解读普华永道会计师行的审计声明和审计意见，我们至少结识了这样几个关键概念：有关财务报告的内部控制、公众公司会计监管委员会（PCAOB）、管理者自己对内部控制的评价、COSO内部控制整合框架、内部控制重要缺陷、等等。

　　怎样理解这些概念？从UT斯达康的审计意见能够得到何种启示呢？

　　从404条款、COSO框架到PCAOB

　　《SOX法案》的目标是加强公司治理、重建投资者的信心和化解诚信危机。其中，针对内部控制的内容主要是404条款。该条款引用COSO内部控制框架，作为对公司内部控制有效性进行审核的专业标准。404条款提出的内部控制评审要求，目的在于通过加强内部控制来改进公司治理状况，最终加强公司的责任。

　　COSO内部控制框架的内容涵盖企业运营的各个领域，要求管理层必须记录、检查内部控制系统的有效性、提供足够的证据并对内部控制的有效性公开发表声明。其中，对内部控制的定义是：由董事会、管理当局和其他员工实施的、为保证财务报告的可靠性、经营的有效性、以及遵循现行法规的等目标，达成所设定企业目标而提供合理保证的政策和实施程序。在这个定义中，既界定了内部控制的实施主体，也明确了内部控制的三个主要目标：透明可靠的财务报告；有效率和效益的经营；循规守法和保护企业财产安全。

　　COSO 报告将内部控制的整体架构表达为五要素，分别是控制环境、风险评估、控制活动、信息与沟通与监督。

　　说到COSO内部控制框架，就不能不提及1985年成立的反对舞弊虚假财务报告委员会，该委员会的重点任务是研究舞弊性财务报告产生的原因及对策。根据该委员会1987年工作报告的建议，又组成一个专门研究内部控制问题的委员会，这就是COSO。1992年，COSO提交的《内部控制——整体框架》，就是著名的COSO报告。经过两年的修改，1994年，COSO委员会提出了报告修改版，扩大了内部控制涵盖的范围，增加了与保障资产安全有关的控制，得到美国审计总署（GAO）的正式认可。与此同时，美国注册会计师协会AICPA全面接受COSO内部控制框架。

　　COSO内部控制框架提出了强化内部控制的体系结构，具有重要的历史意义和现实意义。不过，尽管其重要性早已得到专业界的普遍认可，但在实际应用方面一直比较滞后，直到《SOX法案》404条款明确将其作为建立内部控制的依据，局面才有所改观。自此，COSO内部控制框架在建立、审核和评价公司内部控制机制方面具有了法理依据地位。

　　2004年3月，依照《SOX法案》成立的公众公司会计监管委员会（PCAOB）发布第2号审计准则《与财务报告审计协同进行的对内部控制的审计》，并于2004年6月得到美国证监会（SEC）的批准，成为内部控制审计的法理依据。该准则要求审计师明确发表两项意见，一是针对管理层自己的流程评估，评价其结论是否在合理的基础上得出，是否令人心服；二是独立测试内部控制的有效性，以确认管理层的评估是否正确，并得到公允表达。

　　对公司的内部控制进行评估，就是要确认公司管理层是否有效地进行了以下工作：确认评估对象、范畴；评估控制的失效风险；评估主要发现是否与评估结果相一致；评估缺陷的严重性；就主要发现与有关方面进行沟通，等等。评估报告中所说的重要缺陷（material weakness），是一个或多个控制弱点（control deficiency）的组合，重要缺陷会对公司财务数据流程（授权、处理、报告）造成负面影响，导致不能防范或发现财务信息的错报。审计人员将测试发现的问题进行汇总并评估，确认这些问题是否构成重要缺陷，从而形成审计意见。当财务报告的内部控制存在一个或一个以上重要缺陷，审计师必须发表否定意见。

　　于是，我们在UT斯达康公司和亚信公司的2005年度报告中，读到了针对公司内部控制的审计意见。其中，普华永道在为UT斯达康公司2005年度报告出具的审计师报告中，指出了UT斯达康公司在控制环境、所属单位监控、关联方交易、财务人员胜任能力等多个方面存在的十多项重要缺陷。

　　内控机制的真正目的

　　设计企业内部控制机制，是否只是为了应对外部压力、满足形式上的需要，如应付监管机构、向股东交代、给社会各界看；强化内部控制是否是企业经营管理的需要？答案似乎显而易见：内部控制当然既要保证满足外部要求，也要保证企业正常运营。然而，现实社会中的情况远非如此简单与理想化。

　　我们知道，《SOX法案》404条款要求的内部控制建设及有效性审计，是针对财务报告的。从UT斯达康公司和亚信公司的年度报告中读到的针对内部控制的审计意见，无论肯定含义还是否定含义，都只是针对财务报告的编制和公布。换句话说，都只是针对生产经营结果的财务表述和信息披露，而不是针对生产经营和管理本身。然而，在COSO内部控制框架文件中，透明可靠的财务报告只是企业内部控制系统的三大主要目标之一。

　　可以这样说，作为着眼于保护社会公众利益的证券监管机构，不论是美国的SEC还是中国的证监会，最关注的当然是与证券市场正常运转密切相关的公司财务信息披露质量，因为财务信息披露影响到投资人（包括现实投资人和潜在投资人）、其他利益相关者的决策行为和后果；而对于公司的现实投资人、经营决策者、管理层以及员工来讲，实现透明可靠的财务报告只是内部控制的第一级基本目标。

　　一句话，满足《SOX法案》404条款的要求，只不过是建立内部控制机制的一部分，而不是全部。更何况，上市公司以至公众公司，只是全社会中所有企业中的一小部分。对于更多的非上市、非公众企业来说，内部控制的目标当然就更不仅仅限于透明可靠的财务信息了。

　　如是观之，既使得到了外部审核和评价的肯定意见，并不意味着公司内部控制机制就一定是令人满意的！更为重要的内部控制目标，在于有效率和有效益的经营、循规守法和保护企业财产安全。

　　这样，对公司至少提出了两点要求。

　　首先，设置必要的内部控制部门，给予适当的职位和必要的职权，特别要注意内部控制部门‘空化’问题，不要让内部控制部门成为摆设品。

　　其次，人员配置和制度设计要匹配，绝对避免身兼具有角色冲突性的多个职务；同时要注意，在人员配置时应避免关系密切人员或者利益密切人员进行相互监督；应最大可能地预先控制经理人道德风险漏洞。

　　自我评价与内部审计

　　其实，我国企业内部控制已经不是最新命题，目前至少已经具备了包含“内部控制”字样的诸种规范文件和实践：2001年起财政部颁布《内部会计控制规范》系列，2002年中央银行颁布《商业银行内部控制指引》，2002年证监会颁布《证券公司内部控制指引》，2004年银监会颁布《商业银行内部控制评价试行办法》，等等；我国商业银行、证券公司等金融机构的年度报告中，已经实施并包含了注册会计师针对会计报表和财务信息的内部控制审核评价报告。

　　只是，由于强化公司内部控制并非一朝一夕之事，加之专业性强，所以没有成为大众媒体紧紧追逐的热点，只有专业人士才会仔细跟踪观察。由于《SOX法案》涉及所有中国在美上市的公司，让国内媒体和民众对内部控制问题特别关心起来。

　　必须指出，从形式上建立起完整的企业内部控制制度，并不等于为企业实现正常运营加上了保险锁。内部控制制度的‘控制’功能决不会自动发挥。任何内部管理制度，无论其理论基础如何雄厚、实施方案如何详尽，在其实施过程中能不能发生作用，能不能落到实处，能不能达到效果，关键因素还是在于‘人’。制度不是自动化机器，不会自动运转，制度要依靠全体员工来落实。作为制度的制订者和监督者，董事会和高管层首先要率己，带头遵守，才能上行下效，保证制度真正落实和贯彻。

　　控制自我评价（CSA）就是一种使内部控制融入组织程序的自我审查机制，它强调经理层的控制意识和控制的责任，由公司全体员工共同对风险控制进行持续评价、持续监控或关键监控。控制自我评价有自身理论模型和一整套措施，但具体由谁来负责日常执行呢？

　　于是，内部审计制度闪亮登场。

　　历史上，内部审计制度就是作为组织机构的控制职能而产生的，服务于组织的督察、考核、评价等控制职能。传统的内部审计偏重在财务方面，现代内部审计则跳出了财务圈子。尽管内部审计本身就是控制的一个类型，但还有更大范围的其他多种控制。内部审计的具体角色就是帮助考核、评价其他的多种控制。在组织机构建立计划并根据运营着手计划执行时，一定会监控运营状况，确保实现组织机构的既定目标，我们可以将这些深层次的努力看作是控制。基于控制目的，内部审计人员会检查和评价组织的所有活动，从而为组织提供保障服务。内部审计人员通过评价现有的控制，就能帮助有关的责任人更有效的实现结果，并为协助改进有关控制提供依据。当然，现在的内部审计行业，不仅仅关注内控，它还关注风险管理、治理过程的有效性。

　　毫无疑问，《SOX法案》404条款使内部审计人员的角色和职责再一次发生变化。在组织机构整体的内部控制框架中，内部审计的重要性较以往增加了许多。为了使内部控制框架有效，审计人员必定要很好的理解内部控制，每一位涉及《SOX法案》404条款评审的内部审计人员，都应当了解公认会计原则（GAAP）及其相应的财务控制。《SOX法案》的条款不仅对美国上市公司的内部审计人员产生了重要的影响，还引发了当代内部审计的新规则。现在的内部审计，在同审计委员会、高层管理者（特别是财务高管）以及外部审计师打交道时，必须扮演稍微不同的角色。

　　可以说，随着《SOX法案》在全球影响的扩展，内部审计发挥作用的范围及其所扮演的角色都在不断扩大，而组织机构对于内部审计职能的期望也在不断增加。如何构建战略性的内部审计职能以便为组织机构增值，如何培养具有胜任能力的内部审计人员服务于组织机构，不仅是高层管理当局考虑的问题，也成为困惑当前内部审计行业人员的关键问题。

　　固有局限

　　必须指出，无论内部控制制度被设计得多么完美，运行得多么符合设计者的预期，都不是万能的，因为其自身存在着固有的内生性局限，具体表现在以下几个方面。

　　首先，人为疏忽、分心、疲惫、误解指令、判断失误等，可能使健全有效的内部控制失灵；

　　其次，内部控制一般是为经常发生的经济业务而设计的，因此一旦发生异常或未预计到的业务，就会有失控或原有控制不适用的可能性；

　　第三，管理阶层为美化企业财务业绩或遵循法令状况等目的，不遵守已经明确制定的政策或程序（美国Treadway委员会曾指出，至少有66％的欺诈性财务报告诉讼案，与最高管理当局逾越内部控制有关）；

　　最后，控制成本与效益都是难以确切计量的，因此需要运用主观判断做出决策。

　　并且，在出现以下几种情况时，内部控制将很有可能失效：

　　一是串通舞弊谋取个人私利：不兼容职务分离是为了达到相互监督的效果，但若负有不同职责的员工串通舞弊，或本企业员工通过外部关系规避控制，协同作弊，将会导致内部控制失效；

　　二是滥用权力：如果公司管理层故意舞弊，不受法规、制度的约束，将会导致内部控制失效；

　　三是如果执行内部控制制度的人员素质较差，不具备胜任能力，难以履行其控制职责, 内部控制制度也难以发挥作用。

　　在我国的银行业，内部控制的固有局限性体现得最为明显。一般而言，金融业尤其是银行业的内部控制制度建设，在我国企业界是走在前面的。但最近几年，银行业不断出现违规违法案件，并造成一定的经济损失和行业信誉损失。这不仅告诉我们内部控制制度建设的重要性，而且也充分说明建设制度固然重要，有效地实施制度更为重要。

　　（作者系北京大学光华管理学院教授，博士生导师）

   煤气化：内控报告“掩耳盗铃”

　　尽管煤气化公司自愿披露内部控制报告，并经过独立会计师审计后出具了无保留意见的内部控制审核报告，尽管该公司在内部控制报告中阐明了公司的内部治理结构和详细的管理控制规定，但实际上，其内部治理控制在设计的完善性和执行的有效性上却存在严重的缺陷，以致其它任何控制手段都显得苍白无力。

　　杜美杰 /文

　　从本质上讲，现代公司治理机制就是解决企业代理问题的一种综合机制。代理与控制是相伴而生的，企业作为一组特殊契约关系的扭结，构成了一个层层代理、层层控制的体系。

　　长期以来，委托代理理论都将关注点置于股东和经理之间的代理问题，既有规范性地分析什么样的制度或契约安排才能帮助股东实现利益最大化，也有实证分析股东和经理代理问题的形成原因及后果。

　　但是，目前很多国家的公司产权结构和治理问题，已经同股权高度分散化的情况很不相同了。公司中的控制性投资者（例如股份公司的大股东等）凭借其实际控制的股票数量和由此形成的控制性地位，这时，代理问题主要不是产生于投资者和经营者之间，而是产生于控制性投资者与外部分散的投资者之间。

　　很多实证研究都充分表明，控制性股东是普遍存在的，控制性股东利用实际控制权将利润从现金流权比较低的企业“转移到”比较高的企业从而侵犯分散性股东利益的现象也是普遍存在的。

　　所以，代理问题的这种实质性变化对于解决该问题的公司治理机制有着根本性的影响，因为适用于解决投资者－经营者型代理问题（代理型公司治理问题）的公司治理机制并不一定适用于解决大股东－小股东型代理问题（剥夺型公司治理问题）

　　治理控制，即公司内部治理，是指产权明晰的资源所有者为了确立剩余分配规则、保护自己权益而进行的讨价还价的过程。从一定意义上讲，内部控制系统构成了企业向投资者所做出的一项承诺装置，它的功能在于向外部投资者揭示，一个企业存在对企业各种风险行为进行约束的制度上的保障，从而鼓励外部投资者进行投资。

　　内部控制系统如同外部控制系统一样，同样可以成为解决代理问题的重要途径，尽管二者的作用机理存在显著的区别。为了使内部控制系统更有效地监督企业的风险行为，我们需要依靠成熟的外部控制系统的有效运作；在强调加强内部控制制度建设的同时，我们不应忽视政府监管等外部控制系统的建立和健全。

　　外部控制系统和内部控制系统合力发挥作用，比较典型的例子是2002年7月美国国会通过的《SOX法案》。

　　其实，早在2000年，Hermanson就以问卷调查的方式，考察了美国银行家、证券经纪人、公司董事、公司主管、分析师、机构投资者、个人投资者、注册会计师、内部审计师等9 类财务报表使用者对内部控制报告的需求。其调查结论为：（1）内部控制对企业管理和减少错弊有明显作用；（2）审计师对内控报告的验证可进一步强化这一作用；（3）自愿披露和强制披露均有助于完善公司的内部控制，但自愿披露比强制披露在决策方面作用更大。

　　煤气化：掩耳盗铃

　　煤气化公司（000968）本不属于要求强制披露内部控制信息的上市公司范畴，但该公司却在2007年3月的年报中主动、自愿披露相关的内部控制报告，并由北京立信会计师事务所出具了标准无保留意见的内部控制审核报告。

　　按照上文Hermanson的调查结论，该公司不仅自愿披露内部控制，而且还经过了独立会计师的审核，甚至我们也可以假设其具有良好的管理控制体系。但是，更加详尽的分析却表明，煤气化的治理控制体系存在着较为严重的问题，致整个公司治理机制未能有效发挥控制作用。

　　例如，2004年，煤气化与集团公司（大股东）签署了气源厂资产租赁协议，由该公司向集团公司租赁气源厂的54.41%的资产，租赁费用为每年7860.21万元，期限从2004年10月1日起至2006年9月30日止。据煤气化公告称，之所以由上市公司租赁集团公司的气源厂资产，是因为2004年国内焦炭市场形式较好，公司为增加新的利润增长点，给投资者以较高的回报而做出了租赁经营气源厂的决定。然而，事实却是，2005年气源厂发生亏损，而且亏损一直延续（但气源厂究竟亏了多少钱，煤气化一直未予披露）。在此不难看出，通过租赁的安排，本应由大股东承担的气源厂亏损全部落在了上市公司的身上。

　　2006年10月25日，在该公司预测2007年焦炭的售价为每吨850元，低于2005年时的每吨865.28元的水平（气源厂2005年的亏损是在焦炭的售价为每吨865.28元的情况下发生的）的情况下，竟再次与大股东签署了气源厂资产租赁协议。此次协议的签署，公司居然绕过了股东大会，因为其内部控制报告中的公司治理结构明确指出：“股东大会是公司最高权力机构，通过董事会对公司进行管理和监督。董事会是公司的常设决策机构，向股东大会负责，对公司经营活动中的重大决策问题进行审议并做出决定，或提交股东大会审议。”这也就意味着董事会对重大决议有直接决定权，未必需要股东大会审议通过。这种制度设计，实际上是为大股东侵犯小股东铺平了道路；但事实上，这种制度安排却是对《公司法》中有关股东会职权等规定的公然违背。

　　这种现象之所以会出现，是因为该公司股权结构呈明显的“一股独大”格局，大股东与经营者利益实际上合二为一，该公司的投资者－经营者型代理问题被大股东－小股东型代理问题取代。在这种情况下，大股东成为代理人，小股东成为委托人，该公司的代理问题仍是典型的内部人控制问题。在这种情况下，尽管该公司自愿披露内部控制报告，并经过独立会计师审计后出具了无保留意见的内部控制审核报告，尽管该公司在内部控制报告中阐明了公司的内部治理结构和详细的管理控制规定，但实际上，其内部治理控制在设计的完善性和执行的有效性上却存在严重的缺陷，以致其它任何控制手段都显得苍白无力。

　　由此可见，治理控制（管理层动机）就像数个零前面的一，决定着管理控制（控制技术）存在的意义。这也是为什么内部控制常常被称为“一把手工程”的原因所在。

　　对于这类内部人控制凌驾内部控制的做法，或者说治理控制一票否决管理控制的做法，涉及控制的外生性问题。而外部控制系统的建设通常超出一个企业资源规划的范围，需要市场或政府在建立和健全外部控制系统的问题上扮演重要角色。通过完善相关的法律法规、建立公司控制权市场等机制，从外力上迫使公司合理设计并有效执行内部治理控制，并进而落实各项内部管理控制，是较为有效的解决办法。在此，内部治理控制是关键，发挥着决定外因（外部控制系统）能否成功转化成内因（内部控制系统）的桥梁性传导作用。

　　（作者系北京语言大学国际商学院会计系主任）

　　企业集团内部控制的成功逻辑

    我国企业集团在组建和运行中，内部控制不完善的问题突出。在梳理企业集团特点的基础上，明确企业集团内部控制要素的具体内容，分析构建完善内部控制体系中的主要障碍，并着眼于关键内部控制点来排除这些障碍，是我国企业集团成功实施内部控制的不二逻辑。　　

　　史艳晓 /文

　　随着资产重组、行业联合、跨行业兼并等扩张行为的实现，我国近年来涌现出众多企业集团。然而，在迅猛发展的同时，我国企业集团在组建和运行中还存在诸多问题。其中，内部控制不完善的问题突出，出现集团总部与核心企业对成员企业控制不足，集团管理混乱，成员企业之间缺乏结合力、“集而不团”等情况。于是，探讨企业集团内部控制，分析其实施内部控制过程中的主要障碍，就变得极为紧迫与必要。

　　特点

　　企业集团是企业联合的高级形态，和单个企业相比，具有以下特点。

　　首先，企业规模大型化，产权结构复杂化。在规模经济的引导和市场垄断需求的牵引下，企业集团以核心企业为中心，通过参股、控股、资金等多种纽带把众多企业联合在一起，形成一个多层次的内部组织结构，无论是资产、收入还是生产规模等都比较大。而且，不同类型的企业集团采取不同的持股方式，既有垂直持股，也有环状的相互持股，还有混合持股，导致企业集团内部的产权关系十分复杂。

　　第二，经营多元化，市场国际化。企业集团凭借其雄厚的财力，普遍采用多元化投资经营战略，注重产品系列化和产业的多元化，实行经营层次和经营产品的多元化，通过进入市场经济的多种领域，增强其竞争发展能力，提高其抵御不同市场风险的能力，从而可以加速整个集团的资本扩张与资产增值速度。同时，现代市场是一个开放的、跨越地域限制的市场，多元化经营的大型企业集团通常积极参与国际竞争，在海外投资，实行跨国经营，在全球范围内寻找最有利的生产、销售、原料基地以及发展机会。

　　第三，主体多元化，布局分散化。企业集团的一个重要特点，是母公司与被控股的子公司之间在法律上彼此法人人格独立，以资本结合为基础产生控制与被控制机制。企业集团中的各个子公司作为独立法人，都是利润管理中心或者投资管理中心，是较为彻底的分权化单位，具有独立的经营管理机构并独自负有利润责任，拥有独立筹资能力，所以企业集团本身就意味着多个财务主体。在地域上，市场国际化与主体多元化，使得企业集团的组成超出地区限制，整个企业布局呈异地分散状态。

　　最后，财务决策多层次化，关联交易经常化。在企业集团中，母公司作为核心企业，与其下属各级子公司分别处于不同的管理层次，各自财务决策权力、内容大小不尽相同，导致企业集团内部财务决策多层次化。通常，企业集团内部的母子公司之间，同时被母公司控制的子公司、合营企业、联营企业之间会或多或少地出现关联交易，而现今的企业集团中，这种关联交易变得相当频繁和普遍。

　　要素

　　1992年，美国COSO委员会发布了具有革命性的研究报告《内部控制——整体框架》，该报告将内部控制分为控制环境、风险评估、控制活动、信息与沟通和监控等五个要素。下面我们就对企业集团的五个内部控制要素进行说明。

　　在企业集团中，内部环境除了包括企业文化、组织结构、员工的素质、管理者营运风格、管理哲学、风险理念、风险偏好、控制意识、人力资源政策等之外，还包括集团企业的产权关系、历史渊源、董事会、监事会等管理机构、管理体制以及母子公司职权的分配等企业集团所特有的因素。因而，和单个企业相比，企业集团的控制环境内容更加丰富，也更加复杂。

　　企业集团作为多法人联合体，规模大，往往跨地区、跨行业经营，因而其风险也增大，而且母公司、各子公司所面临的风险不尽相同，各自的风险控制也不完全一致。与单个法人企业相比，集团企业的风险更加复杂，影响更大，控制起来难度也更大。此外，集团公司可以利用资本权威将某一子公司的部分风险损失转移给另一子公司，进行集团内的风险组合，规避风险，所以我们应关注集团的整体风险，并将它控制在可接受的范围内。

　　就企业集团来说，总部对其成员企业的内部控制核心是资本控制，关键点主要包括重大决策（投资、融资、重大资产处置、重要人事决策）的控制、全面预算控制、资金的管理控制等。

　　信息在企业集团内部的各个经济层级是不对称分布的，因而与单个法人企业相比，企业集团中存在着更严重的信息阻塞和信息不足现象。信息控制在企业集团内部控制中的作用更加重要。

　　企业集团的制度运行有两个显著特征：复杂性和多层次性。由此建立起来的内部控制的制度契约也就不可能是完全契约。契约的不完全性很可能导致机会主义行为或制度陷阱。如果在初始均衡状态下就设置一套监控制度用以对控制系统进行持续评估或个别评估，就很可能降低机会主义行为倾向，减少制度陷阱的威胁。此外，从控制原理看，设置有反馈功能的监控也是必要的。因此，在企业集团中，监督的重要作用更加突现。

　　障碍

　　如前所述，由于与单个企业相比，企业集团经营更加多元化，产权结构更加复杂化，地域也更加分散化，所以实施企业集团的内部控制也变得更加重要、复杂。许多企业集团在构建完善的内部控制体系过程中经常会碰到如下四方面障碍。

　　一是公司治理结构方面的障碍。

　　由于企业集团具有产权结构复杂化、股权多样化的特点，集团公司职能管理模式下的控制方式已不能适应现代企业的发展要求。为加强内部控制，企业集团应该完善公司治理机制，通过派驻董事、监事参与下属成员企业的决策与监督。而如何强化董事会的决策职能和监事会的监督职能，完善与现代企业制度要求相一致的投资管理模式，是大多数企业集团，特别是国有企业集团在内部控制方面面临的难题。

　　另外，部分企业集团基于比较松散的生产协作基础、行政划转或行政干预、行政性部门翻牌等原因而组建，只存在形式上的简单资本关联，内部连接纽带脆弱。企业之间基于战略协同或者资源共享以获取企业集团的整体优势还未能成为集团组建的根本性指导原则。加之体制、人事、文化等方面的障碍，往往导致“联而不合”、“集而不团”。这种情况下，实施企业集团内部控制变得更加困难。

　　二是风险评估及控制手段方面的障碍。

　　由于经营规模大，经营产品和主体多元，企业集团很难形成统一的控制模式或控制手段，也不可能建立统一的风险预警机制，这给企业集团实施内部控制、加强风险控制带来了诸多困难。

　　三是信息与沟通方面的障碍。

　　如前所述，由于存在布局分散化、决策多层化的特点，与单个法人企业相比，企业集团中存在着更严重的信息阻塞和信息不对称现象，给企业集团实施内部控制带来更大挑战。虽然个别企业集团引用先进的信息控制系统以消除信息障碍，但大部分企业集团仍存在信息系统不统一、信息化水平参差不齐的现象，给实施内部控制带来不少障碍。

　　四是内部监督方面的障碍。

　　企业集团的内部监督往往通过设立内部审计机构、执行内部监控制度来实现。由于企业集团的复杂性和多层次性，许多公司的内部监控制度未能形成体系，公司领导层对内部审计机构的重要性认识不一，导致有些内部审计机构未具有高度的独立性，对公司管理者的内部监督作用较小，削弱了企业集团的内部控制能力。

　　实践证明，如果企业集团对上述实施内部控制存在的障碍处理不当，将会导致内部控制体系失效，给企业集团带来严重损失。我们熟悉的“中航油事件”就是企业集团内部控制失效的一个典型例子。

　　关键

　　针对企业集团内部控制存在的主要障碍，应重点关注如下内部控制点：

　　一是组织结构及权责分配。

　　2006年2月颁布的新审计准则，增加了《了解被审计单位及其环境并评估重大错报风险》具体准则，强调以了解被审计单位及其环境为审计工作起点，更突出了控制环境在内部控制中的重要性。

　　企业应根据自己集团的形成方式、构成情况、自身特点，建立合理的集团组织结构模式；应建立以股东大会、董事会、监事会、高级管理层等为主体的公司治理组织架构，保证各机构规范运作，分权制衡；同时，企业集团应尽量控制资本层次的纵向扩展，限制子公司之间的相互投资。子公司层次过多或是产权结构的复杂化，会加重企业集团内部控制的难度和力度，可能给集团公司带来消极影响。

　　企业集团组织设立的另一项重要任务就是权责分派。一般说来，作为母公司至少应该把握住的权力包括：集团战略发展方向、股权控制结构与公司政策(包括经营领域、经营方式、质量标准、财务标准等)及其制度保障体系的制定、解释与调整权，其中包括集团管理体制的选择与调整变更权；对集团战略发展方向与股权控制结构产生直接或潜在重大影响事宜的决策管理权以及非常例外事项的处置权等。

　　二是重大决策控制。

　　重大决策控制主要是指母公司针对子公司经营活动中重大决策行为进行的权限控制，规定了子公司享有何种权限，在多大程度和范围内可以做什么，经过什么程序去做。企业集团的重大决策，关系重大，应设立科学、合理、严格的权限和审批程序。

　　集团公司中，母公司应控制的权限有：对外投资权，重大资本性支出决策权，重大资产处置权，将引起股权控制结构变更的融投资项目决策权，开设孙公司权，核心产业或主导产品战略性重组调整权，重大合同、担保、重大信用政策决策权，年度预算控制权，重大技术改造和基建决策权，子公司经营者和财务总监等高层管理人员的聘任、委派与解职权等。对这些权限的控制，主要从性质和金额两个方面着手。对于某些性质很重要的权限，如开设孙公司权，母公司可以不论金额大小，严加控制；而对于某些权限，母公司可以实行额度控制，规定在多少额度以下子公司享有这些权限而不需母公司审批，超过此额度则必须报母公司审批。

　　三是全面预算控制。

　　相对于单个企业，企业集团更应该建立预算管理体制。预算管理不仅能对企业集团进行整体规划，更重要的是在预算的编制过程中，可以有效地协调集团内部各个层次的目标指向，有效地消除企业集团内部组织机构松散的现象，实现集团成员的有机整合，达到有效沟通的目的。另外，预算管理还是一种控制和考核业绩的方法，它不仅能对经济活动的发生和执行进行控制，还可以作为事后评价考核的重要指标。

　　预算管理的关键是要建立合理的预算，这就要求：首先，企业集团的预算必须围绕集团战略要求和发展规划确定预算目标，子公司必须服从企业集团总目标，其预算必须经过母公司批准；第二，编制过程要科学合理，必须经过确定目标、分解任务、初步编制分部门（企业）预算、汇总预算、再次编制分部门（企业）预算、再次汇总的过程；第三，公司预算要尽量细致，并有客观依据的支持，防止出现“拍脑袋”预算；第四，预算执行中，母公司要注意对子公司的预算执行情况进行控制、分析和调整，防止出现偏差；第五，对子公司及其管理层的业绩评价要以预算执行情况的考核为主，并作为集团内部人力资源管理的参考。

　　四是资金控制。

　　资金控制是指集团母公司对子公司的资金存量和流量的控制。资金是企业的“血液”，资金控制实际上是影响子公司生存与发展最直接、最关键的财务控制手段。在实践中资金控制有多种具体形式，如结算中心制、财务公司和“资金池”管理方式等。企业集团应根据自己的情况，选择适合自己的资金控制方式。

　　五是内部审计。

　　对于企业集团而言，由于集团成员企业众多，管理层级多，更容易发生舞弊和效率低下行为，因而内部审计显得更为重要。内部审计作为企业集团最高管理层管理控制企业集团的工具，对集团和成员企业各种财务资料的可靠性和完整性、企业资产运用的经济有效性等进行审核，并评价企业集团及其成员企业的内部控制是否有效，可以帮助集团最高管理层评价子公司管理当局的管理业绩，监督子公司和其他成员企业管理当局的行为，减少舞弊行为。

　　（作者系中国北方工业公司副总会计师）

　　山西票号的内部控制分析

   山西票号在中国存续了一百多年，在中国金融发展史上留下了浓墨重彩的一笔，其中，票号的经营管理制度和理念无不体现了现代企业的内部控制思想　　

　　林瑞焰 田朋 /文

　　票号，系经营汇票得名，由山西人创办并经营，故称为“山西票号”。山西票号始办于道光三年（1823）年，首家票号为日升昌。当时，平遥、京师间货款靠起镖运现，既费时费力，又担风险。于是，票号大掌柜学习京师商号和商人兼营汇票的经验，萌生了在京晋山西商人间用拨兑法代替运现的想法，并付诸实践。山西票号在中国历史上存续了一百多年，后因战乱趋于衰落。作为一种新的行业，票号能够存续这么久，必然有其独特的优势，即操作系统，也就是我们现在所说的企业内部控制。

　　知古鉴今，以COSO委员会所制定的内部控制框架来研究山西票号，对于分析和规避财务舞弊，完善内部控制研究和健全企业内部控制制度，具有重大的借鉴意义。

　　控制环境

　　山西票号由东家或者财东（指出资者，相当于公司的股东）出资，聘任大掌柜（票号的经营管理者，相当于公司的总经理）进行经营。财东聘任大掌柜之前，对其进行严格的考核，大掌柜必须“德才兼备、多谋善断、能守能攻”。山西票号一直延续着尊重儒学的传统，在商业活动中引入儒家的“克己、忠义、仁爱、诚信”，使其在经营中能够做到舍利取义、舍小利取大利、舍眼前利益而得长远利益。同时，山西票号非常重视员工的道德教育，要求员工“重信义、除虚伪、节情欲、敦品行、贵忠诚、鄙利己、奉博爱、薄嫉恨、幸辛苦、戒奢华”；身处金钱货利场所，却不见利忘义，坚持“仁中取利、义中求财”。

　　就管理哲学而言，山西票号的一切业务管理、职业待遇、经营纪律都由规章制度来进行规范，总结为16个字“经商之道，首在得人，振兴各庄，端赖铺章”。“铺章”就是号规。财东聘任大掌柜负责全面的日常经营，财东对大掌柜给予充分的信任，“用人不疑，疑人不用”，大掌柜在票号内有无上的权力，实行高度的集权制度。

　　风险评估

　　对作业层级风险的控制

　　首先，从总号到每个分号，都有专人用毛笔书写汇票，并将书写人的字体报给总号及各个分号，预留备案。这样，所有在号人员都能够根据预留的备案识别真假。如果需要更换书写人员，更换后必须立即将字体报告给总号及各个分号，并预留备案。

　　其次，汇票写完后，需要加盖印鉴，印鉴正中有人物像，周边刻有小字，以防假冒。同时，汇票的金额、时间均设有暗号。只有票号的人才能识别，持票人不知道，这就是所谓的“认票不认人”。山西票号在经营汇兑的过程中，还创造了以汉字作为汇票签发日期和银两数目代码的暗号，机密度极高。汇票的印刷用麻纸，内加水印，每家票号的用纸、款式、水印都不同，只有各家票号的人才能识别，这样，汇票就很难被伪造。

　　最后，山西票号还制定了“见票三五日兑付”和兑付后“汇票即焚”制度。这个制度的意思是票号在见票之后，要无偿占用顾客款项3到5天，一方面使票号在见票后有时间准备款项，另一方面也是为了安全保险。对于持有汇票的人，见票即付当然好，但是若是汇票被盗窃或者遗失，来不及挂失就会被取走。而“见票三五日兑付”为持票人挂失腾出了时间，同时“汇票即焚”又做到了票号的绝对保密，维护了票号的信誉。

　　这样一套系统、行之有效的风险控制措施保证了票号与客户双方的利益，在山西票号存在的一百多年的时间里，很少发生汇票骗领事件。

　　对资金风险的控制

　　山西票号分号很多，但是由于各个地区经济状况不同，各个票号的现金盈亏、行市好坏亦不相同。有的票号现金盈余，款项放不出去，资金闲置；有的票号现金短缺，利率上升却无款可放。于是，山西票号运用“酌盈济虚、抽疲转快”的方法有效地解决了这一矛盾。分号之间资金余缺调剂、灵活调拨，一方面保证存、放、汇的顺利进行，同时又做到了资金的充分利用。

　　对经营风险的控制

　　山西票号根据经营成本的变化对存贷款利率和汇水（票号运作的收入为汇费，也就是汇水）水平进行适时的升降。例如，逢镖过节利息上升，汇兑存放要谨慎，不宜大额贪做；分号开设时一般只做汇兑，等熟悉市面后再做存放；根据时局对规模和网点进行调整。八国联军侵华时，日升昌的大掌柜适时撤销了成都、重庆、广州、汉口、张家口、开封等地的分号并且辞退员工，避免了因战乱导致的更大损失。

　　控制活动

　　山西票号实行一体化的经营管理准则，总号要求各个分号必须通盘考虑、密切配合。如果为了赚钱使其他分号遭受损害，要受到总号的处罚。由于山西票号实行的是“总号大掌柜独裁制”，必须得到总号的指示，分号才能运营。

　　总的来说，山西票号实行三级上下负责的权力结构：大掌柜对财东负责，受财东监督和管理；票号员工对大掌柜负责，受大掌柜的全权监督和管理。财东与大掌柜、大掌柜与员工的责、权、利划分具体如下。

　　财东对大掌柜“用人莫疑、疑人莫用”。大掌柜在票号内有无上的权利，实行高度集权制度，人事和业务都由大掌柜一人定夺，财东不干涉票号的日常经营管理；大掌柜每年年终向财东汇报盈亏决算，财东根据业绩对大掌柜进行奖惩，如果成绩显著，则加股加薪，如果不称职则减股减薪甚至辞退。

　　财东负责裁定票号的“业务扩充、赏罚同仁、处置红利”，财东对票号负无限责任。如果票号倒闭，全部负债由财东负责偿还。

　　山西票号的员工聘任及分工都是由大掌柜定夺。在大掌柜的精心策划下，总号和分号的机构都非常精干，员工各司其职，各付其责，根本没有多余的人员或者因人设事的现象。

　　信息沟通机制

　　山西票号非常注重信息沟通。在交通不发达的情况下，总号与分号之间、分号与分号之间通过书信往来；电报业务开通后，分号对于总号，时有信件，报告营业状况及当地行市，平时用信件，急时用专信，电报通了用电报；同时并将营业情况及行市向各分号互报，以互通消息，互相救济。

　　监督

　　山西票号实行严密的监督管理制度。设有对人员监督的一系列详尽的记事账薄，记录伙友情况，作为考核奖惩的依据。例如设有承包账（承保亲友、商号名称）、进号账（工作人员进号日期）、衣资账（记载工作人员供职与休假时间）等。此外，还设立了与之配套的人员监管制度，如休假制度、财产考核制度、财务制度等。

　　山西票号的人员，无论老少，每逢下班，总要先到祁铺，如果要给其他人捎带物件，必须先送本号留底转寄。

　　（林瑞焰供职于厦门福信集团有限公司，田朋系厦门大学管理学院会计系硕士研究生）

　　中国内部控制规范渐行渐近

    一方面，新会计准则体系的贯彻实施要以坚固的内部控制制度为基础；另一方面，我国企业要走出国门，必须先练好“内部控制健全”的功夫。于是，中国内部控制规范的制定也开始大幅提速。　　

　　王纪平 /文

　　2007年3月初，财政部就《企业内部控制规范――基本规范》和17项具体规范公开征求意见，于是，中国内部控制规范制定大提速的阶段性成果掀起盖头。

　　前传

　　由政府推动企业内部控制工作是一项国际惯例。我国政府有关部门从上世纪90年代起便开始推动企业内部控制建设。

　　中国人民银行、中国证监会等先后发布过有关内部控制的行政规定；1999年新修订的《会计法》从法律角度对内部控制作出规定；2001年6月22日，财政部以财会[2001]41号文件发布了《内部会计控制规范—一基本规范（试行）》和《内部会计控制规范——货币资金（试行）》。

　　作为《会计法》的配套措施，这两个规范针对当时一些单位内部管理松弛、控制弱化的问题，要求加强内部会计及与会计相关的控制，形成完善的内部牵制和监督制约机制，以堵塞漏洞，消除隐患，保护财产安全，防止舞弊行为，促进经济活动健康发展。

　　内部会计控制是企业内部控制的重要组成部分，是财务管理的重要内容，是建立内部控制框架以及考核、评价内部控制的指导性参照物，其重要性不言而喻。但是，内部控制是一项系统工程，如果仅仅是对会计工作进行规定，而对业务流程不加以控制的话，内部控制的效果就会大打折扣。

　　同时，由于内部控制多为政府主导，在国有企业中推行，这导致企业虽是内部控制制度的逻辑需求者，但对内部控制制度却是被动接受。在早期内部控制规范制定过程中，存在缺乏对企业内部控制环境的研究，一味地奉行“拿来主义”等问题，导致制度推行不力；并且，早期出台的内部控制规范或称“原则”，或是“指引”，抑或“规范”，政出多门，对细节的规定标准不一，实施范围交叉，制度制定的多元化导致制度解释各自为战，造成企业无所适从。

　　于是，为了适应新形势下经济发展和企业管理的需要，迫切需要制定一部具有统一性、权威性、和国际接轨的内部控制制度。一方面，企业会计准则体系的贯彻实施要以坚固的内部控制制度为基础，两者配合呼应，相辅相成；另一方面，我国企业要走出国门，必须先练好“内部控制健全”的功夫。

　　于是，中国内部控制规范制定工作开始了新阶段的提速之旅。

　　现状

　　2006年7月15日，财政部会同有关部门发起成立企业内部控制标准委员会。

　　2007年3月2日，财政部就《企业内部控制规范――基本规范》和17项具体规范公开征求意见；同时，为了更好地完善这套规范，财政部随文编发了《企业内部控制规范起草说明》（以下简称《说明》）。《说明》从企业内部控制规范的必要性、基本框架、结构、发布解释权限、起草原则和工作概况等６个方面全面介绍了企业内控规范起草过程。

　　目前，企业内部控制标准委员会已经初步拟定26项内部控制规范，其中，17项已起草完成并对外公开征求意见；正在加紧进行关联交易、资产减值、公允价值、企业合并与分立、服务外包、衍生工具、无形资产、内部审计、中介机构聘用等一系列具体规范和有关评价标准、实施办法的研究、起草工作。

　　纵观这17项起草完成的内部控制规范，系由一项基本规范和16项具体规范组成。这些具体规范可以概括分为三类。（具体规范的内容结构及项目具体构成见图1）

　　第一类是对与企业财务报表项目相关的、可能会对财务报告真实可靠性产生较大影响的经济业务事项提出具体要求的控制规范。

　　第二类是与财务报表编报相关的控制规范，包括财务报告编制、公允价值、关联交易、信息披露等。

　　第三类是为实现有效的财务报告内部控制所必需的事前、事中和事后制度支持的控制规范，包括预算控制、人力资源控制、计算机信息系统控制、审计监督控制等。

　　2007年4月，财政部副部长王军指出，推进企业内部控制制度建设，是健全企业会计准则体系之后的又一项重大系统工程。在这个过程中要牢牢把握“五项四十字”基本原则：顺应趋势，符合实际、总体设计，局部突破、立足重点，规划方向、细化操作，提炼精简、试行过渡，不宜强制。

　　未来

　　现有的内部控制规范可以分为两个层级，一是基本规范，二是具体规范。基本规范规定内部控制的基本目标、基本要素、基本原则和总体要求，是制定具体规范和应用指南的基本依据，在内控标准体系中起统驭作用；具体规范是根据基本规范，对企业办理具体业务与事项从内部控制角度做出的具体规定。

　　不过，笔者认为，基本规范所指出的多个目标恐怕无法仅依靠内部控制来确保完成，原因有三。

　　首先，基本规范和具体规范由于所指向的目标、思维方式不一致，二者不属于同一理论高度的文件，存在协调的先天缺陷。其次，具体规范的编写明显违反了基本规范中管理8要素的思维方式，仅仅将一些控制的最后经验与结论总结了出来，而没有将为何要如此控制和制度安排来作为叙述重点。这些规范来自于国际国内一些企业成功的内部控制实践经验，而这些经验的普遍实用性如何，尚需探讨。第三，内部控制是管理活动的内核而非全部，内部控制又仅是管理的一部分，其强调的是管理中防范和保守的一面。

　　下面主要探讨内部审计、关联方交易与公允价值三项内部控制规范的要求与相关问题，而这些将成为下一步内部控制规范制定提速的主要关注点。

　　内部审计

　　无论是从内部审计实践还是从内部审计发展方向来看，内部审计正向企业内部控制领域渗透与转型。现代企业制度下的内部审计，已经将企业内部控制与审计融为一体。国际内部审计师协会（IIA）在最新的内部审计定义中指出：“内部审计是一种独立客观的确认和咨询活动，旨在增加价值和改进组织的运营。它通过应用系统的、规范的方法，评价并改善风险管理、控制和治理过程的效果，帮助组织实现其目标。”

　　《基本规范》中，专门就内部审计机制问题进行了论述，包括要求健全内部审计机构、明确审计委员会在企业内部控制建立和实施中承担的职责、专门的内部审计机构等；同时，在个别具体规范中还加进了关于内部审计的工作等内容。

　　然而，内部审计是一个复杂的工程，需要从组织机构、内部审计人员，内部审计授权等各个方面进行综合协调安排。目前这种在具体规范中个别规定的情况不能适应企业内部审计的需要。因此，内部审计内部控制规范应加快制定的步伐。

　　关联方交易

　　关联方交易是近年来企业内部比较常见的现象，其形成有着深刻的历史背景，甚至慢慢成为证券市场中一些上市公司与其关联方，特别是母公司之间转移利益的工具。尽管近年来国务院相关部门对上市公司违规担保、关联方占用上市公司资金的现象下大力气进行了治理，但从制度规范入手会取得更明显的治理效果。

　　关联方交易内部控制规范主要应从以下几点入手。

　　首先，是关联方认定控制。关联方的认定是关联方交易内部控制的首要问题，只有划清了关联方的范围，才有关联方交易的问题。

　　其次，是关联方交易的职责分工和授权控制。要明确划分经常性关联方交易和偶然性关联方交易的审判权限和决策程序。对于一定数额以上的关联方交易，应该履行一定的审批程序，特别是对关联方之间资金占用这类的交易。如规定：“企业与关联人发生的交易金额在3000万元以上，且占企业最近一期经审计净资产绝对值5%以上的关联交易，除应当及时披露外，应聘请中介机构对交易标的进行审计或者评估,并将该交易提交股东大会审议。”

　　第三，是关联方交易的披露控制。关联方交易会对企业财务状况和经营成果造成一定的影响。在实践中出现了很多账外的关联方担保情况，导致企业财务风险加大。因此，对于符合标准的关联交易，要单独及时披露，对于大批量、多批次的经常性关联方交易也要定期披露。比如规定：“企业与关联自然人发生的交易金额在30万元以上的关联交易，应当及时披露。企业与关联法人发生的交易金额在300万元以上，且占企业最近一期经审计净资产绝对值0.5%以上的关联交易，应当及时披露”。

　　公允价值

　　公允价值是我国新会计准则体系中的一个亮点，有大量的具体准则不同程度地运用了公允价值计量属性。然而，由于公允价值本身具有层级性，加之我国市场不发达，许多资产和负债没有活跃市场；同时，也难于找到可供参照的市场来估计其公允价值，因此，对于这类资产公允价值的确定就必然成为公允价值内部控制的核心。

　　笔者认为，公允价值内部控制的关键点有两方面：

　　一方面，是公允价值信息获取的职责分工和授权控制。如规定由财务或相关部门负责确定公允价值；如果需要借助中介机构对公允价值进行评估，应授权具体部门和人员负责办理评估机构的遴选、聘请和评估结果的认定工作；应指定专人负责公允价值信息的获取、报告和传递，使公允价值的信息及时准确地传送到会计和财务管理人员手中。

　　另一方面，是公允价值会计政策控制。对于可以选用公允价值计量属性的资产或负债项目，其会计政策的选择应该经过授权批准。

　　（作者供职于北京工商大学会计学院信息披露研究中心）

　　结束语：

　　内部控制是一项系统工程，如果仅仅是对会计工作进行规定，而对业务流程不加以控制的话，内部控制的效果就会大打折扣。

　　目前，企业内部控制标准委员会已经初步拟定26项内部控制规范，其中，17项已起草完成并对外公开征求意见；正在加紧进行关联交易、资产减值、公允价值、企业合并与分立、服务外包、衍生工具、无形资产、内部审计、中介机构聘用等一系列具体规范和有关评价标准、实施办法的研究、起草工作。

　　由于公允价值本身具有层级性，加之我国市场不发达，许多资产和负债没有活跃市场；同时，也难于找到可供参照的市场来估计其公允价值，因此，对于这类资产公允价值的确定就必然成为公允价值内部控制的核心。