企業(yè)內(nèi)部控制實踐中存在的主要問題及建議

李模軍 大信會計師事務(wù)所(特殊普通合伙)

進入21 世紀以來，全球信息技術(shù)突飛猛進，網(wǎng)絡(luò)經(jīng)濟、大數(shù)據(jù)、云計算、人工智能被廣泛運用，世界經(jīng)濟格局和商業(yè)環(huán)境發(fā)生了翻天覆地的變化。在此背景下，所有企業(yè)的發(fā)展都面臨著前所未有的不確定性。企業(yè)能否駕馭好這種“不確定性”將成為能否在競爭中勝出的關(guān)鍵。而風(fēng)險的本質(zhì)正是“不確定性”。因此企業(yè)管理“不確定性”就是管理風(fēng)險。內(nèi)部控制作為風(fēng)險管理的重要部分也就勢必變得更加舉足輕重。

一、企業(yè)內(nèi)部控制實踐中存在的主要問題

(一)內(nèi)部控制認知有誤區(qū)

1.認知誤區(qū)一：內(nèi)部控制是為“壞人”而設(shè)

內(nèi)部控制是為了防范“壞人”作惡，這是一種普遍存在的認識誤區(qū)。這種認識是基于人性“惡”的推論，從而將企業(yè)所有風(fēng)險事件的成因皆歸于“主觀惡意”。因此，錯誤認為設(shè)計內(nèi)部控制的目的就是為了防止“壞人”作惡。

這一認識的片面之處在于只看到了“主觀惡意”而忽視了“無心之失”。所謂“橘生淮北則為枳”，好制度讓人性升騰的可能性無上限，壞制度讓人性墮落的可能性無下限。因此，內(nèi)部控制不僅僅是防范“壞人”作惡，也要避免“好心辦壞事”。一旦將內(nèi)部控制與“壞人”建立唯一的對應(yīng)關(guān)系，則任何內(nèi)部控制制度的出臺都將被視作互相“不信任”的表現(xiàn)，會導(dǎo)致執(zhí)行者在心里產(chǎn)生天然的反感甚至抵觸，且制度設(shè)計越嚴密這種反感和抵觸就越強烈。

2.認知誤區(qū)二：制度都有，就是執(zhí)行不力

放眼望去，無論是國有企業(yè)還是民營企業(yè)，但凡經(jīng)營了幾年以上的，都可以拿出幾十或上百個甚至更多的制度文件。但是，企業(yè)的風(fēng)險防控能力及管理水平并沒有因為這些制度的發(fā)布而變得更有起色。遺憾的是，當(dāng)我們對各層級人員進行業(yè)務(wù)訪談時，聽到的最多的一句話就是“制度都有，就是執(zhí)行不力”。

誠然，未嚴格執(zhí)行制度是導(dǎo)致內(nèi)部控制失效的重要原因。但是，如果把內(nèi)部控制失效全部歸咎于制度執(zhí)行，會是一個嚴重的錯誤。錯誤的關(guān)鍵在于未分辨制度本身的優(yōu)劣，直接強調(diào)執(zhí)行，構(gòu)成了事實上的本末倒置。

從筆者的經(jīng)驗來看，制度之所以得不到有效執(zhí)行，其最大的原因在于制度設(shè)計本身不科學(xué)、不合理，甚至“不通人性”。企業(yè)制定制度的目的是希望所有員工遵守，以維護“企業(yè)整體利益”。但是，實際上很多制度只強調(diào)“集體利益”，忽視“個人利益”，甚至一味強調(diào)奉獻、付出，而不考慮權(quán)、責(zé)、利的匹配。這樣的制度勢必沒有生命力，難以得到長久、一貫的執(zhí)行，慢慢也就被束之高閣了。

3.認知誤區(qū)三：內(nèi)部控制是財務(wù)部門的事情

當(dāng)前，我國企業(yè)內(nèi)部控制規(guī)范性文件是由財政部牽頭制定，許多企業(yè)特別是國有企業(yè)在收到上級有關(guān)內(nèi)部控制工作布置文件時，一看文件是由財政部門下發(fā)的，領(lǐng)導(dǎo)隨即批示“請財務(wù)部落實”或“請財務(wù)部牽頭落實”。這樣一來，內(nèi)部控制被視作是財務(wù)部門的事情似乎也就順理成章了。

然而，只要深入研究一下內(nèi)部控制的基本原理，就不難看出內(nèi)部控制是一項覆蓋組織內(nèi)部各層級、全業(yè)務(wù)流程、各職能條線的系統(tǒng)性工程。如果沒有高層領(lǐng)導(dǎo)重視、上下協(xié)同、業(yè)財融合，僅靠財務(wù)部門是不可能解決企業(yè)的內(nèi)部控制問題的。

事實上，業(yè)務(wù)端才是風(fēng)險產(chǎn)生的源頭。因此，只有在業(yè)務(wù)端嵌入內(nèi)部控制才能實現(xiàn)我們一貫倡導(dǎo)的“事前控制”，這比財務(wù)端的控制更加靠前、更加重要。

4.認知誤區(qū)四：內(nèi)部控制會降低效率

這種觀點明顯站不住腳，但現(xiàn)實中持這種看法的人不在少數(shù)。這種觀點或者說偏見，就在于將內(nèi)部控制看成是無休無止地增加流程環(huán)節(jié)與操作步驟，同時將辦事速度與“效率”劃等號。組織內(nèi)部如果普遍有了這種看法，內(nèi)部控制呈現(xiàn)出的只能是一副“討厭鬼”模樣。

產(chǎn)生這種錯誤看法的根本原因是對內(nèi)部控制理論缺乏基本的理解。我國發(fā)布的《企業(yè)內(nèi)部控制基本規(guī)范》明確了內(nèi)部控制的五大目標和五項原則。其中內(nèi)部控制目標就包括“提高經(jīng)營效率和效果”，內(nèi)部控制原則包括“成本效益原則”。

從以上目標和原則不難看出，內(nèi)部控制并非越復(fù)雜越好。高明的咨詢顧問或管理者一定是在權(quán)衡風(fēng)險與效益的基礎(chǔ)上去設(shè)計內(nèi)部控制，確?？刂频膹姸?、復(fù)雜程度與其風(fēng)險高度匹配。用最小的成本實現(xiàn)最嚴密的控制才是內(nèi)部控制的真正追求。

(二)內(nèi)部控制設(shè)計不理想

1.重執(zhí)行，輕決策

任何一個事項都可以分為決策、執(zhí)行、監(jiān)督三個環(huán)節(jié)。其中決策要解決的問題是力爭“做正確的事情”，執(zhí)行要解決的問題是“把事情做正確”。因此，決策是綱，執(zhí)行是目，綱舉才能目張。只有做出了正確的決策，執(zhí)行才有意義。如果決策錯誤，執(zhí)行再高效也枉然，甚至執(zhí)行越有力損失越慘重。所以，企業(yè)必須將內(nèi)部控制嵌入決策、執(zhí)行、監(jiān)督的每一個環(huán)節(jié)。

實踐中，許多企業(yè)各類規(guī)章制度、管理辦法、操作手冊、實施細則比較齊全，即執(zhí)行層面內(nèi)部控制相對完備。然而決策層面的內(nèi)部控制卻比較空泛。一些企業(yè)雖制定了“三重一大”管理辦法，以及董事會、監(jiān)事會、總經(jīng)理辦公會等議事規(guī)則，但部分內(nèi)容模糊，可操作性不強。如“三重一大”管理辦法，雖然羅列了許多“三重一大”事項，但仍有不少事項標準不具體，如“大額資金支付”缺乏量化標準，“重要人事任免”缺乏職級和崗位界定等。此外，多數(shù)企業(yè)未建立專家論證機制和專項風(fēng)險評估機制。

不難理解，企業(yè)可以承受十個百個操作層面的失誤，但有時候只需要一個決策上的失誤就已遭受滅頂之災(zāi)。因此，這種重執(zhí)行、輕決策的內(nèi)部控制體系，可謂是舍本逐末，抓了芝麻、丟了西瓜。

2.不以風(fēng)險為導(dǎo)向，為控而控

設(shè)計內(nèi)部控制的初衷是為了防范風(fēng)險，離開風(fēng)險搞內(nèi)部控制是不可想象的。正如前文所述，風(fēng)險的高低、成因決定了內(nèi)部控制的強度和復(fù)雜程度。通常來說，一個事項的風(fēng)險越高、成因越復(fù)雜，企業(yè)所采取的應(yīng)對策略就更慎重，制定的內(nèi)部控制措施也勢必更嚴密，流程鏈條可能更長。相反，如果某事項所涉及的風(fēng)險極低、成因簡單，企業(yè)無須建立復(fù)雜的控制機制。

但現(xiàn)實情況是，許多企業(yè)將內(nèi)部控制與風(fēng)險管控割裂。在設(shè)計內(nèi)部控制時，未將風(fēng)險識別、評估、分析作為前置條件，隨意為之。導(dǎo)致出現(xiàn)兩個危險的極端，一是高風(fēng)險弱控制，二是低風(fēng)險強控制。這兩個極端都將帶來嚴重的不利后果。高風(fēng)險弱控制導(dǎo)致風(fēng)險暴露，出現(xiàn)風(fēng)險事故是早晚的事情。低風(fēng)險強控制導(dǎo)致無謂的內(nèi)耗，芝麻綠豆大點事安排八個人復(fù)核、審批，搞得熱火朝天、煞有介事，既浪費時間和資源，更傷害員工工作熱情。

3.要求不明確，操作性差

在內(nèi)部控制體系建設(shè)過程中，很多企業(yè)都紛紛編制了《內(nèi)部控制手冊》，在手冊中列示了識別的各項風(fēng)險，按照流程環(huán)節(jié)編制了流程圖，并將內(nèi)部控制措施嵌入流程，形成了風(fēng)險與內(nèi)部控制矩陣。這種做法對于明確內(nèi)部控制責(zé)任、細化內(nèi)部控制要求起到了重要的作用。但實踐中操作性不強的問題仍然存在。一是仍有相當(dāng)一部分企業(yè)并未制定《內(nèi)部控制手冊》，未系統(tǒng)識別和評估各業(yè)務(wù)環(huán)節(jié)的風(fēng)險，并建立有針對性的控制措施。二是即便是制定了《內(nèi)部控制手冊》的單位，仍然存在不少盲點、漏點，如有相當(dāng)一部分內(nèi)部控制措施責(zé)任主體不清，完成時間、執(zhí)行標準不明，操作方法不具體，或未提供表單及其他工具模版。

4.信息化水平低，控制手段落后

“管理制度化、制度流程化、流程信息化”，這早已是管理共識。內(nèi)部控制要想具有生命力，同樣需要借助信息系統(tǒng)，減少手工操作比例，不斷提高自動控制水平。

近年來，企業(yè)信息化水平越來越高，完全依賴手工操作的企業(yè)越來越少，部分企業(yè)已經(jīng)走在了“無紙化”的路上。但是，并不代表我國企業(yè)已經(jīng)全面實現(xiàn)了內(nèi)部控制的自動化。恰恰相反，企業(yè)內(nèi)部控制信息化水平整體還有巨大的上升空間。一是很多企業(yè)的信息化程度還不高，受限于企業(yè)規(guī)模和成本投入，業(yè)務(wù)辦理仍以線下操作為主，自然也就談不上將內(nèi)部控制搬入線上。二是那些信息化管理覆蓋面較高的企業(yè)，距離自動控制仍有不小的距離。其主要原因在于現(xiàn)有的業(yè)務(wù)系統(tǒng)側(cè)重于業(yè)務(wù)執(zhí)行，未嵌入足夠的內(nèi)部控制，難以完全滿足自動控制的需要。風(fēng)險控制仍依賴于線下的手工操作。

(三)內(nèi)部控制執(zhí)行不到位

1.控制責(zé)任未下沉

在咨詢工作中，筆者發(fā)現(xiàn)不少企業(yè)內(nèi)部控制責(zé)任沒有合理的落實。突出表現(xiàn)在基層員工未承擔(dān)應(yīng)有的內(nèi)部控制責(zé)任，事無巨細都交由上級裁決、審批。這一做法也許并非發(fā)端于基層員工偷奸耍滑，也不一定是因為上級對下級不信任。但久而久之，其所造成的結(jié)果是基層員工日益喪失責(zé)任感和主動性，凡事找領(lǐng)導(dǎo)簽字、等領(lǐng)導(dǎo)拍板，領(lǐng)導(dǎo)說行就辦。不管對錯，自己只是奉命行事，權(quán)力和責(zé)任都是領(lǐng)導(dǎo)的。如此一來，原本基層員工應(yīng)當(dāng)且能夠獨立承擔(dān)的控制責(zé)任上移，各司其職的責(zé)任體系遭受破壞。上級掌握事情來由的主要依據(jù)是下級的書面或口頭匯報，因此上級不可避免地在未全面、深入了解情況的前提下做出不恰當(dāng)?shù)臎Q策和判斷。這不僅影響了工作效率，形成了上下級之間的“苦樂不均”，也影響了內(nèi)控執(zhí)行的有效性。

2.不執(zhí)行制度，走捷徑成為習(xí)慣

“制度是死的，人是活的?！边@種觀念殘存在不少人的心里。造成的結(jié)果是在執(zhí)行內(nèi)部控制時發(fā)生走樣、變形。慢慢地不按制度規(guī)定執(zhí)行，走捷徑也就成為了習(xí)慣。比如按內(nèi)控制度規(guī)定兩個倉管員在換班時應(yīng)當(dāng)進行工作交接，但實際并未嚴格執(zhí)行，導(dǎo)致出了問題后再相互推諉、扯皮；又比如內(nèi)部控制制度規(guī)定，法人名章、財務(wù)專用章應(yīng)當(dāng)分開保管，但現(xiàn)實中卻經(jīng)常為圖省事，由一人保管。

3.評價監(jiān)督不力，缺乏問責(zé)機制

自我國內(nèi)部控制規(guī)范實施以來，上市公司及許多企業(yè)均定期不定期開展內(nèi)部控制自評價或聘請中介機構(gòu)進行內(nèi)部控制審計，對于發(fā)現(xiàn)企業(yè)存在的內(nèi)部控制缺陷，并及時制定有針對性的改進措施，持續(xù)改進和提升內(nèi)部控制水平發(fā)揮了重要作用。但有一個不容忽視的現(xiàn)實是，至今仍有不少企業(yè)未開展內(nèi)部控制自評價和審計工作，還有一些企業(yè)雖然開展了自評價和審計工作，成效卻未能達到預(yù)期。一是評價與審計流于形式，發(fā)現(xiàn)的問題深度不夠，浮于表面。二是對于發(fā)現(xiàn)的問題，未深入分析產(chǎn)生的原因，并制定有針對性的整改措施，同時也未分清責(zé)任，開展追責(zé)問責(zé)。

內(nèi)部控制監(jiān)督評價流于形式，或評價結(jié)果未能得到充分運用，無法形成事后“冷威懾”。存在的內(nèi)部控制缺陷要么不能被發(fā)現(xiàn)，要么得不到整改，內(nèi)部控制逐漸也就被束之高閣。

二、進一步提高內(nèi)部控制應(yīng)用水平的建議

(一)加大培訓(xùn)宣貫力度，提高認識水平

我國《企業(yè)內(nèi)部控制基本規(guī)范》及配套指引分別于2008 年、2010 年制定發(fā)布。眾所周知，我國內(nèi)部控制規(guī)范體系的理論框架源自美國COSO 1992 年、2004 年相繼發(fā)布的內(nèi)部控制整合框架和企業(yè)風(fēng)險管理整合框架。2013 年、2017 年COSO 分別發(fā)布了修訂版的內(nèi)部控制框架和風(fēng)險管理框架(以下簡稱新框架)。新框架詮釋了全新的內(nèi)部控制與風(fēng)險管理理念。這些新理念在我國尚未得到廣泛的宣貫與普及。

因此，有必要在全國范圍內(nèi)及各企業(yè)內(nèi)部有組織地開展新一輪的內(nèi)部控制與風(fēng)險管理培訓(xùn)，覆蓋各層級、各職能條線，總結(jié)近年來內(nèi)部控制與風(fēng)險管理實踐經(jīng)驗和不足，澄清認識誤區(qū)，傳播新的理論研究成果，進一步提高全員的認知水平。

(二)完善內(nèi)部控制體系設(shè)計

一是更加重視決策層面的內(nèi)部控制設(shè)計，明確“三重一大”事項認定標準，完善議事決策機制，健全專項風(fēng)險評估機制與專家論證制度。二是堅持以風(fēng)險為導(dǎo)向的內(nèi)部控制設(shè)計理念，權(quán)衡風(fēng)險效益，確保內(nèi)部控制既能有效防控風(fēng)險，又能提高經(jīng)營效率。三是按照“5W1H”模型設(shè)計內(nèi)部控制，提高內(nèi)部控制措施的標準化與規(guī)范性水平，確保內(nèi)部控制措施具體、可操作。四是建立與企業(yè)戰(zhàn)略、現(xiàn)有規(guī)模和發(fā)展階段相適應(yīng)的信息系統(tǒng)，持續(xù)提高內(nèi)部控制的自動化水平。

(三)全面提高內(nèi)部控制執(zhí)行有效性

一是建立健全職責(zé)分工體系，明確各層級、各職能條線、各崗位的內(nèi)部控制職責(zé)界面，形成各司其職的良性分工機制。二是加大內(nèi)部控制自評價與審計工作力度，完善內(nèi)部控制自評價與審計工作標準，優(yōu)化內(nèi)部控制評價與審計人員結(jié)構(gòu)，提高內(nèi)部控制自評價與審計工作質(zhì)量。三是充分運用內(nèi)部控制自評價與審計工作成果，針對存在的內(nèi)部控制缺陷，建立有效的整改措施，促進內(nèi)部控制體系的持續(xù)完善。四是建立健全責(zé)任追究機制，對于存在的內(nèi)部控制缺陷，厘清責(zé)任，找出問題形成的原因、并對造成的后果進行追責(zé)，形成事后“冷威懾”。