内控连载21：我国企业内部控制建设若干问题思考

笔者在此针对我国企业内部控制建设当中的几个典型问题，谈谈一些浅见和思考，以期能抛砖引玉，促进我国企业内部控制建设。

 

一．内部控制对效率的影响：降低效率还是提高效率？

在建立和完善企业内部控制体系过程中，企业往往有这样的担心，即加强内部控制会影响企业的业务开展、降低企业经营效率，尤其对一些大企业来说，一项业务流程常常会需要多个部门审核批准。

一家在美上市的我国大型集团公司内审人员和笔者讨论时，谈到一个现象，他所在的集团上市公司前几年为了满足美国萨班斯法案要求，集团上至总部、下至各级分支机构轰轰烈烈地开展全面推进内部控制体系建设运动，结果被集团作为内控先进典型宣传的几家分公司当年经营业绩并不好，经营目标完成和业绩考核方面都不理想；相反，那些经营业绩取得大幅增长的分公司在内控方面评价却都不高。据他分析，造成这个现象的原因可能是那些严格执行集团内控规范的公司，由于考虑到合规性和风险程度，业务拓展受到较多制约，最后导致业务增长缓慢甚至下降，经营利润随之受到很大影响。在实务中，类似这家上市公司的现象亦可能并非个例。

在推进内部控制建设时，我们经常听到这样一种声音，就是抱怨企业搞内部控制会导致控制环节增加，束缚了业务活动开展、导致营业收入和利润下降、效益滑坡，因此认为企业应当优先考虑业务开展，而不应过多地设置内部控制，尤其是业务部门，持有这种观点更为明显。不少企业高层领导也往往有这样的顾虑，从而不愿或不敢切实推行内部控制建设。这些观念上的认识，会使得企业建立和完善内部控制过程当中，企业员工抱有不理解和抵触的情绪，既可能影响到内控设计，也可能导致企业内部控制执行受阻，内部控制不能被真正有效执行。此外，在理论界，谈及内部控制局限性时，也经常会提到“内部控制可能一定程度地会影响到企业经营效率”。

有鉴于此，企业在进行内部控制建设时，非常有必要首先在观念层面上，厘清内部控制和经营效率之间关系的认识。提高经营效率和效果本来就是内部控制的重要目标之一，几乎所有内部控标准或规范，无论是COSO内部控制整体框架（1992）提出的三目标，还是我国的《内部控制基本规范》提出的五目标，抑或其他内部控制标准，都将经营效率和效果列为内部控制重要目标。可见，内部控制与经营效率并不存在必然的矛盾，对内部控制与经营效率的关系需要辩证地看待。

从我国企业内部控制建设的实践来看，笔者认为内部控制至少从以下几方面有助于提高企业经营效率。

其一，通过组织结构的设计调整、岗位权责的清晰界定以及业务流程梳理、优化，有利于保证经营中每个环节功能的实现，促进各岗位之间有效的沟通与协调，使各项工作流程顺利进行，明确权、责、利，避免不必要的推诿，可以让所有员工都能一目了然地知道办事程序、涉及的部门、人员和规章制度，知道每件事谁去做？如何做？即使是新来的员工也可以快速上手工作。无疑会大大提高经营效率。而目前我国很多企业内部，恰恰存在组织结构和岗位职责不清楚、缺乏清晰的岗位描述和业务流程图等现象，影响了企业经营效率与效果，通过加强内部控制建设，恰恰可以在提高经营效率方面收到很好效果。

大家可以看看《红楼梦》“王熙凤协理宁国府”这一回，在王熙凤接手管理之前，宁国府内部管理混乱，存在人口混杂、遗失东西；事无专执, 临期推诿；需用过费, 滥支冒领；任无大小, 苦乐不均；家人豪纵……等诸多乱象，“着实不成体统”，无奈之下，贾珍请出“内控高手”王熙凤，而凤姐上任之后，在不增加的人手情况下，通过合理分工、定岗定责、建章立制、奖惩结合等控制手段，很快便将宁府事务处理得井井有条、调度有序，宁府的工作效率可谓前后迥异。

其二，合理的内部控制并非意味着控制越多越好，而是在风险评估基础上，按照重要性原则和成本效益原则，找出关键控制点予以重点控制，而对非关键控制或不必要控制点则可以去掉，也会提高经营效率。在一些企业当中，由于缺乏系统的风险识别和评估，在控制风险时不分主次，没有区分关键控制点和非关键控制点，眉毛胡子一把抓，缺乏适当的授权审批机制，甚至连一些小额费用开支，都要层层报批并要单位负责人签字方能报销，导致程序繁琐、效率低下。通过建立健全科学、系统的内部控制体系，可以起到优化流程、提高经营效率的作用。

其三，搞好内部控制，可以将风险控制在合理水平之内，企业发生舞弊或违规、违法等事项的概率将大大降低，企业需要处理应急性危机事件也就少很多，从整体角度来说，也是提高了经营效率。反之，如果内控较差，各种风险事件频频发生，企业疲于应付，这样的话又谈何效率呢？

当然，勿庸讳言，企业控制活动增加在一定程度上的确会影响效率，譬如，按照内部控制原则，需要将不相容职务进行分离。以采购为例，如果将采购申请、询价、执行采购甚至验收，都交给一个人办理，也不需履行相关审批手续，在效率上可能很高，但由此可能导致采购成本上升或错弊风险大大增加。企业经营目标是实现股东价值最大化，因此，企业经营时不能只考虑效率，还必须考虑风险防范和可持续发展等，内部控制需要平衡风险与效率的关系，企业效率高低会影响企业发展的快慢，但风险控制则是涉及到企业的存亡问题，尤其是一些重大风险往往会给企业带来毁灭性灾难，牺牲一定程度的效率则是控制风险所必须付出的成本。

以中航油为例，“打工皇帝”陈久霖用六年多时间，将一家亏损公司变身为新加坡上市的明星公司，净资产由1997年的16.8万美元猛增至2003年的1.28亿美元，但由于风险控制的薄弱，在陈久霖一手掌控下，中航油参与的石油衍生产品交易，2004年巨亏高达5.5亿美元才事发，导致中航油陷入破产境地。据事后调查，中航油在经营过程中，几乎所有决定都是由陈久霖一个人说了算，风险控制体系形同虚设，这种公司即使效率很高，但“辛辛苦苦几十年，一夜回到解放前”，效率又有什么意义呢？

在进行企业内部控制建设时，既要和员工讲清内部控制具有理顺工作流程、提高经营效率的作用，取得员工支持，减少内控建设和执行过程中的阻力；同时，对新增的一些可能影响效率的控制措施，要讲清其对风险防范的作用和意义，促使员工能够理解并严格按内部控制的规定去执行。

 

二．内部控制建设过程：速决战还是持久战？

企业进行大规模内部控制体系建设或变革，往往不外乎两类原因，第一是外部原因：为满足监管机构的法规要求或上级主管公司的要求；第二是内部原因，即出于企业经营的内在自发性要求，有时是两类原因兼而有之。这种大规模内部控制体系建设或变革，往往是“运动式”，在整个公司（或集团）内，广泛动员，深入宣传，并由某一部门牵头，几乎所有部门都会参与，通常还请专业咨询公司一起来做这件事。在企业发展的某个阶段，采用“运动式”手段来推进内部控制建设本身并无大的不妥，但有些企业的高层领导对内部控制了解不够，往往有毕其功于一役的想法，寄希望通过内控建设，企业能在短时间内即拥有非常完善的内部控制体系。需知罗马不是一日建成的，企业领导这种追求内部控制一步到位的想法，是不太可能实现的，也不利于企业内部控制建设。

冰冻三尺非一日之寒，一个企业已有的企业文化、工作习惯及利益格局都是长期发展过程中逐步形成的，企业内部控制建设势必会涉及到很多变革，而公司管理层及一般员工的思想观念、工作习惯的改变需要有个过程，加上变革时不可避免涉及到职权、职责和利益格局的调整，因此，在推动公司内部控制，难免会遇到阻力和困难。此外，内部控制本身就是一个持续的过程，内部控制建设是一项持久战，企业不应抱有速战速决的思想。

 对于企业内部控制诊断出的各类问题，不能期望一次性全部解决，为此，企业应当分清主次，考虑内控问题的重要性和解决难易程度，对内部控制中存在的问题进行排序，采取逐步推进的方式，先致力于解决重要的、相对容易的问题，再解决那些重要性程度相对较低的问题，这样的话实施起来也更具可操作性。这就好比治疗一个身患多种疾病的病人，如心血管病、糖尿病、皮肤病等，医生如果想一次把病治好，所有药物给患者一次服下，多种治疗措施齐上，患者身体可能根本经不起这样折腾，马上一命呜呼了，而好的医生则会首先着重治疗那些危及生命的重大疾病，然后在此基础上，根据患者恢复情况和体质，逐步治疗其他一些小的疾病，从而帮助患者恢复健康。

因此，企业在进行内部控制建设时，要摒弃那种一步到位、求大求全、华而不实的想法，而要脚踏实地、循序渐进，结合企业自身实际情况，稳步推进内控建设，做好打持久战的准备。

 

三、内部控制执行：内容重要还是形式重要？

在法学界，常常有实体正义与程序正义之争，关于程序正义的重要性，英国著名大法官丹宁勋爵有句名言，“正义不仅要实现，而且要以看得见的方式实现”，借用这句话，我们可以说，“内部控制不仅要实现，而且要有确凿的证据证明它已实现”。这种证据，一般是事后可审查的书面证据，包括以纸质或电子形式保存的文档资料、交易系统中留下的控制痕迹等，例如书面制规定度、审批流转单、会议记录等等。

现实中，很多企业在内控制度设计和执行过程中，往往重内容、轻形式，忽视控制过程中的书面记录重要性，认为只要实施了控制活动就可以了，而不太关注控制过程是否留有证据。这种现象在企业非常普遍，例如，某一重大事项是经高层领导或各部门开会讨论通过，但却没有相关会议记录，或虽有记录，但对涉及到重要决策事项，没有相关人员签字；支付一笔款项，需要领导审批，由于时间比较紧急，在电话请示同意后，财务人员予以支付，事后也无补签手续；会计凭证或某些表格需要复核，复核人在复核后不在上面签字或盖章，以证明已复核过。

控制过程当中没有留下可审查的痕迹、证据，会导致几个方面问题：

一是很难保证内部控制真正执行到位，由于无法验证，控制活动是否执行只有当事人自己清楚，在企业中，经常会碰到凭证或表单需要复核的而无复核签章的现象，复核的人往往辩称确实已执行过复核控制，但试想一下，如果复核人连举手之劳的签字或加盖印章都做不到，又怎么能让别人相信他能认真地履行过复核这个控制程序呢？

其次，不利于内部控制的监督和评价，对控制活动的监督和评价，所能依据的只能是客观证据，而不是控制执行人员的口头描述，如果没有证据支持，从内控监督人员或审计人员角度来说，就只能认定该项控制缺失；

第三，不利于信息传递和沟通，如果没有留下书面记录，其他非直接当事人往往难以了解相关情况，比如没有详细的会议纪录，非参会人员就难以了解会议议题、讨论情况和决策过程；

第四，不利于责任清晰界定，甚至会带来很大的法律风险。这种责任界定不清，既可能涉及到企业内部不同部门、不同员工的责任界定，也可能涉及到本企业与其他单位之间的责任界定，例如，业务部门申请支付一笔大额款项，本来需要总经理签字，因总经理出差，财务总监电话请示总经理同意后，批准财务人员支付了这笔款项，但事后也没有要求总经理补签，结果后来审计时查出这笔款项支出有问题，总经理却称他并不知情，财务总监虽辩称是总经理同意的，但却没有任何书面证据来支持，只能口说无凭了。另外，在与外单位的来往中，企业也应当在控制过程中注意书面证据的使用和保管，譬如通过运输公司发货，企业应当保留清晰的书面发货单据，否则，一旦货物丢失或毁损，则很难说清到底是谁的责任。再比如，最近有一起建筑质量事故，案发后调查表明，施工方的施工过程存在严重过失，而这期间，施工监理已发现施工方问题，并多次与施工方沟通，要求施工方尽快改正，但施工方并未改正，以致最终酿成重大事故发生。在事故调查时，施工监理方虽然称其已尽到监理责任，但却拿不出相应有力的书面证据来证明其说法，只能承担监理缺失之责。

此外，使用书面凭证形式不规范的现象也在很多企业广泛存在，无固定格式的表单（如对同一类事项的付款申请，使用的报告或表单五花八门）、表单无编号、表单上签字不规范（如以画圈代签名、不签日期）等等，这些都会削弱内部控制活动的效果。

虽然司法追求的目标是实体正义，但实体正义本身并不可见，人们所能看到是司法过程是否遵循了正当程序，所以司法界有“没有程序正义，就没有司法公正”的说法，而对内部控制来说，也可以说“没有证据，就没有控制（no  evidence, no control）”，对我国企业来说，应当改变重内容、轻形式的观念，在设计内控制度时，注意相关控制表单的设计和运用；在内部控制执行过程中，加强培训和监督，促使控制活动过程留下“痕迹”，以保证内部控制得到真正有效执行。

 

四．授权审批控制：注重结果还是注重过程？

授权审批控制是企业一项非常重要的控制措施，在实务中，无论是企业管理人员还是审计人员，抑或从事内控咨询的咨询顾问，往往存在这样一种倾向，那就是非常关注企业某项业务活动是否经过授权范围内的审批程序，如果是，便认为万事大吉，认定该项操作是符合公司制度规定的，并已得到足够的控制。笔者认为，这种过于关注授权审批形式合法性、忽视审批过程合理性的做法，是不太妥当的。

任何一项审批，都是一个审核、决策的过程，如何保证这项决策相对科学、合理非常重要，一方面需要企业设计合理的流程，主要看该项活动有哪些部门参与审批？审批顺序是否合理？另一方面要使决策主体（审批人）得到相对充分的信息，以支撑他的决策相对科学、合理，而不是“盲人骑瞎马、夜半临深池”。内部控制不仅有合规性目标，经营效率与效果也是一项很重要目标。试想一下，如果一项重大采购支出报总经理审批，经办人仅仅提供采购事项简要说明和采购发票，对该项采购的必要性、该产品的优缺点、同类产品质量和市场价格比较等决策必需信息都没有提供，那么，即使该项采购在控制程序上经过各级领导审批，这种审批也只会流于形式，起不到真正的控制效果，最后可能导致采购不合理或成本偏高。

现实中，很多企业从审批过程来看，重要业务活动确实经过多个部门、从小到上的层层审批，但由于审批人缺乏审批事项的信息支撑，审批流于形式，反而会出现龙多乃旱，“人人有责”变成“人人都没有真正负责”的现象。因此，内部控制建设在考虑授权审批控制时，不仅要关注“是否”有审批，更要关注审批的合理性，是否从制度上保证审批决策人得到相对充分的支撑信息，例如，在采购审批时，经办人应提供采购必要性分析、采购询价情况、拟采购产品的同类产品比较分析等，供审批人作为决策参考依据，只有这样才能发挥授权审批的真正控制作用。

 无论是为满足监管法规要求，还是企业经营的内在需求，当前我国很多企业都有建立和完善企业内部控制的迫切需要。如何搞好企业内部控制，则是个仁者见仁、智者见智的话题，以上关于内部控制的若干思考，正确与否，尚需要在实践中加以检验和完善，希望能对企业内部控制建设有所借鉴和启示。