《財會信報》 苗 野
長期以來，我國的內部控制研究主要側重于會計和審計領域，研究成果主要服務于審計程序與方法的應用、審計成本的節(jié)約、審計效率的提高和審計風險的控制。受西方內部控制研究關注點轉移以及近幾年來公司丑聞的啟發(fā)，進入新千年后，我國在內部控制理論研究方面，無論是內控研究的切入點、研究的視野，還是研究成果的運用，都取得了令人矚目的成就。
多年來，楊有紅教授專注于內部控制領域的研究，他提出的觀點對社會各界都起到了指導意義。現如今，他提倡將內部控制的研究應該從服務于審計的研究轉變成以公司治理與公司管理為切入點的研究。為此，本報特邀楊有紅教授暢談公司治理中的內部控制系統(tǒng)。
楊教授認為，內部控制是由企業(yè)董事會、經理階層和全體員工共同實施的一系列程序和政策。從古埃及金庫管理的內部牽制發(fā)展到今天由控制環(huán)境、風險評估、控制措施、監(jiān)督與糾偏、信息溝通與反饋五大要素交織而成的內部控制整體框架經歷了漫長的歷史，但內部控制思想的核心仍然是不相容職務的分離。內部控制從過去的查錯糾弊理念轉為防錯糾弊以后，勢必要以風險評估和防范為導向，也就是說，在風險評估的基礎上設置控制關鍵點并建立控制程序；為了使內部控制既能起到防錯糾弊的作用又有助于企業(yè)運行效率的提高，必須由管理哲學與理念、企業(yè)文化、組織機構為其提供環(huán)境基礎，并以信息溝通與反饋為其提供保障；為保證建立在不相容職務分離基礎上的控制程序與措施得到切實的貫徹實施，必須有科學的監(jiān)督機制。
一、環(huán)境評估
環(huán)境是一個企業(yè)文化特征、組織結構特征、行為方式的綜合。它包括高層領導的管理哲學與經營理念、員工的誠實和職業(yè)道德、員工的勝任能力、人力資源的政策與實務、董事會及監(jiān)事會的參與、企業(yè)的組織結構、權責分派體系等。
很多時候，人們將內部控制理解為是人和人之間缺乏信任不得已而為之的措施，實際上內部控制的一個很重要的思想就是對事不對人，對崗位不對人。要想使內部控制制度更有效地實施，員工的心態(tài)是至關重要的。
企業(yè)組織機構的完善也很重要，如何通過組織機構的設立保證做到不相容職務相分離、分級授權和監(jiān)督是值得研究的。
內部控制表面上看是限制人的權利，實際上是保護人的措施，使人遠離犯罪。內部控制制度真正實施的阻力相當大。任何一個企業(yè)，如果人心理不順，再好的制度也達不到有力的效果。
公司治理結構的好壞應包括在這一要素當中。公司治理是促使內部控制有效運行的基石，是內部控制實施的制度環(huán)境，而內部控制在公司治理中擔當的就是內部管理監(jiān)控的角色，是為公司治理服務的。
二、目標的確立
每個企業(yè)都有明確的目標。在這里為企業(yè)總結四個目標：
一是戰(zhàn)略目標，企業(yè)的戰(zhàn)略制定要科學。
二是保證財務報告的真實可靠。
三是保證企業(yè)的管理制度、政策法規(guī)不折不扣地貫徹實施。
最后則是公司營運的效率和效果。
“如果企業(yè)實現了這些目標，相信企業(yè)已經達到了最高境界。但是中國的企業(yè)很難達到這四個目標，對于這方面的研究，還有很長的路要走?！睏钣屑t說。
企業(yè)在建立系統(tǒng)初期，到底以哪幾個目標為指導，需要企業(yè)做出自身判斷，哪一階段適合哪種目標，完全可以做選擇。
公司內部控制的目標實現需要以完善的公司治理結構為基礎、為前提。同樣，公司治理結構效能的發(fā)揮又取決于公司內部控制的好壞，需要以內部控制為手段。
三、風險確認與風險分析
通常說建立內部控制的目的是為了查錯糾弊，但是查錯糾弊又從某種程度上降低了內部控制的價值。查錯，有錯才會查；糾弊，有弊才會糾。
內部控制只能為避免錯誤和舞弊提供“合理”的保證，而不能提供“有效”的保證，不僅僅因為非故意原因導致錯誤陳述或遺漏，還由于錯誤和舞弊不僅僅是內控原因造成的，還可能是由于公司治理的問題產生的。
所以，為了避免犯錯誤而不是發(fā)生錯誤之后再去查，內部控制就應該做到事前控制。按照這個思想建立內部控制，就應該引入風險管理導向，事前評估管理流程，企業(yè)哪些地方容易出問題，找出風險關鍵點，把每個風險關鍵點作為主要控制點，然后設計出內部控制的流程。只有這樣做，這項制度才能事前有效地規(guī)避風險，而不是說等風險變成了現實再去查。
四、建立控制措施
真正的內部控制，要做到和公司治理相對接，就不僅是一套執(zhí)行系統(tǒng)，而是要延伸到戰(zhàn)略，因為公司治理就是從戰(zhàn)略開始的。
對于企業(yè)而言，戰(zhàn)略制定過程中也需要有監(jiān)控措施。就是說必須要有事前的調研機制，方案設計、方案評估、問卷機制，通過這套機制保證戰(zhàn)略制定是科學的。從風險整合觀看待整個企業(yè)設計一套控制制度，這樣才是做到了和公司治理的完美結合。
對所確認的風險采取必要措施，以保證單位目標實現的政策和程序。它包括業(yè)績評價、信息處理控制、實物控制、職務分離等。
內部控制系統(tǒng)局限性的克服不僅依靠系統(tǒng)本身的完善，還信賴于公司治理與內部控制兩者間的無縫對接。公司治理與內部控制都產生于委托代理問題，但兩者委托代理的層次是不同的。兩者思想上同源性與產生背景的差異性是對接的基礎，公司治理規(guī)范的創(chuàng)新是實施對接的途徑。公司治理規(guī)范的創(chuàng)新主要包括以下內容：公司治理規(guī)范必須對內部控制機制的構建提出基本要求；從公司治理機制構建的角度為董事會在內控中的核心地位提供保證；將監(jiān)事會做實，為內部控制制度的實施保駕護航；建立反向制衡機制。
五、信息溝通與反潰
內部控制制度要求做到不相容職務相分離，要求分級授權控制，而對于保證公司營運的效率與效果、財務報告的真實可靠、相關法令和規(guī)章的貫徹實行這三大目標而言，內部控制只能提供“合理的保證”而非“有效的保證”，如果企業(yè)內部控制制度設計不夠完善，就很容易出現“扯皮”的現象，因此要保證信息溝通。
在COSO報告的信息與溝通部分和監(jiān)督部分，要求各內控執(zhí)行主體在經營中要相互監(jiān)督，有權拒絕明顯違法的事項并通過信息溝通反映經營管理中的不適當行為。在解決了董事會成員和經理層得高度重合、董事長與總經理交叉任職的基礎上，在治理機制設計上啟用反向制衡程序對杜絕大股東侵占中小股東合法利益、實際控制人通過犧牲公司利益來實現個人利益顯得十分必要。
六、監(jiān)督
無論是風險導向的控制還是內部控制，監(jiān)督都是必不可少的，只是二者的監(jiān)督方式不同。如果從風險導向的角度，那么就從風險規(guī)劃去監(jiān)督。如果內部控制很難實施，那么監(jiān)督體系也起不到監(jiān)督的作用。
中國的公司有監(jiān)事會、董事會、審計委員會、審計部，看起來很全，一級監(jiān)督一級，天衣無縫，實際上卻是“紙老虎”。
監(jiān)事會是代表股東大會監(jiān)督董事會，審計委員會代表董事會監(jiān)督總經理，審計部是站在總經理的角度監(jiān)督員工。實際上中國的監(jiān)督機制效率很差，監(jiān)事會既沒有監(jiān)督的權利又沒有監(jiān)督的能力，審計委員會有監(jiān)督的能力和權利沒有時間，審計部有能力有時間但沒有權利、權威。
理順監(jiān)督體系，還有很多問題值得研究。
按照COSO委員會的報告，內部控制框架由控制環(huán)境、風險評估、控制活動、信息溝通、監(jiān)督五部分構成。上述框架是內部控制的理想框架。就我國目前企業(yè)管理的現狀看，建立和完善內部控制中一步到位地完全達到這一框架的要求是不太可能的。因此，我們應該抓住關健因素，有步驟、分重點地構建內部控制體系。
最后，楊教授談到，之所以研究站在公司治理和公司管理的角度去看待內部控制，是受到了美國的影響。美國COSO《內部控制———總體框架》向《企業(yè)風險管理———整體框架》演進體現了將原來的執(zhí)行風險控制轉化為戰(zhàn)略制定風險控制和執(zhí)行風險控制的相結合，但是它始終沒有脫離為會計、審計服務的烙印，將內部控制作為一個相對獨立的閉環(huán)系統(tǒng)的框框。
“當然，美國COSO風險管理框架的某些思想是值得我們學習和借鑒的。在那里就提到，做任何事情首先要定目標，目標定下來以后，才知道怎么去做。目標是你的期望，期望不同，你的管理方法可能就不一樣。在管理學上，風險就是目標執(zhí)行過程中的不確定因素。這是對我的第一點啟發(fā)。”楊教授如是說。
第二點啟發(fā)就是它提到風險組合觀。風險組合觀在企業(yè)當中的作用是很重要的。如果將內部控制推廣到公司治理和公司管理中，它要是能被廣泛使用，必須要有一種觀念，那就是風險組合觀。盡管每個人考慮專業(yè)風險的角度不同，但是每個人都要在公司目標的角度去看待風險，將這些風險綜合起來，有的風險可以相互抵消，有的風險可以疊加，最終確定這種風險到底是什么樣的風險。風險組合觀對于建立風險導向的內部控制很有借鑒意義。
“假如說風險導向控制是科學的，是不是這套制度一經實施，所有的企業(yè)都會成功呢？”楊教授提出了疑問。
