专家解读企业内部控制规范应用的十个一

　　2008年财政部审计署银监会证监会保监会联合发布了中国的《企业内控基本规范》以下简称内控，2010年4月26号又联合发布了20项配套指引包括一项审计指引和一项评价指引从2011年1月1号开始，首先在境内外同时上市的61家上市公司执行，1、2月扩大到主板执行，择机扩大到中小板执行，这就说明实施内控不仅仅是自身的需求，同时也是外部的监管要求。

　　随着内控20项配套指引的发布，企业对于内控的部署与应用越来越重视，有些企业已经开始部署实施内控，但由于目前内控处于刚应用的阶段，许多的企业容易犯急功近利的错误，导致了企业的风险更加大。

　　基于此， 在2010年中国企业管理高峰论坛，风险管理与内控分论坛上， 来自财政部会计司注册会计师处处长 王宏，就企业内控的应用以及相关的部署提出了内控建设的十个“一”注意事项。

　　随着上市公司的年报不仅仅是以前财务报表的报告和审计报告，而且会增加一份报告，一份是管理层的报告，另外一份是注册会计师，会计师事务所的内控审计报告，因此宣传、培训内控体系，成为当前企业界一个重点和热点。在内控风险管理的战壕里面共同战斗了相当一段时间，提出很多地方加快推进，在国务院国资委的领导之下加快推进风险管理体系，事实上目前为止已经有将近20个省区市，包括五部委和国资委一起提出了要求做出了部署。

　　第一、树立一种理念。为什么现在内控这么热？原因国际、国内的动因等等一系列的财务、审计失败，部署内控本质上来讲是帮助企业又好又快发展的需要、防范风险舞弊的需要，把它概括为一句话，如果英语是国际通用的公共语，那么，内控就是国际通用的管理语言，所以，我们和国外企业家现在讲风险管理，内控很快就有共同语言、共同的基础，本质上讲是科学化，精细化，规范化管理。

　　第二、抓住关键。“单位好不好，关键看领导，班子行不行，首先前两名”，下一步内控的贯彻实施，这两句话同样适用，而且非常关键，也非常重要。尽管内控体系是由财政部签署相关部门配合，包括国资委自始至终全程参与及大力支持，但是绝不仅仅是财会工作的事情，而是贯穿企业经营管理的方方面面，因此需要单位负责人董事长、总经理亲自抓，财政部和证监会联合举办61家上市公司内控实施的培训班，这从某种程度上也再次证明内控体系关键单位主要负责人的重视支持。

　　第三、培养一支队伍。要推动某项事情，要大力发展一定有资源的投入、人力投入、机构投入，因此十几家上市的中央企业和其他上市公司，在推内控的过程当中无一例外都加强了投入比如中石油建立了专门的内控部，很多中央企业、地方企业要么设立专门机构，要么放在审计部或者设立专门的岗位，有一支专门的力量推动协调组织这个事情。

　　第四、围绕一条主线。内控体系的实施围绕的风险就是风险控制，风险管理也好、内部控制也好、风险控制分析也好，为什么要控制风险？因为企业处在一个不确定性的经营环境里面、市场环境里面、竞争环境里面。

　　数据显示世界500强企业平均寿命42岁，一般性跨国公司平均寿命12岁，中国企业平均寿命9岁，中国民营企业的平均寿命2.9岁，每一个企业可能建立之初都有做百年老店的梦想，但是为什么看到的数据和理想反差较大，其中很重要的原因就是风险的影响，风险的制约。围绕风险的管控、内控规范体系，从内部环境的优化、从风险评估的强化、从控制活动的严密、从信息与沟通的，正式发布了20项配套指引，其中18项围绕各类企业提出了一系列的有针对性的管控措施。

　　第五、夯实一项工作。这项工作就是梳理流程、评估风险、分解职能、落实责任、职能再造。比如我们的预算管理为什么抓不好？资金管理为什么抓不好？不在于财务部没有努力，资产管理没有努力，很多时候在制度设计从源头上有缺陷、需要改进。

　　您的企业管理制度是能够叫做企业制度还是部门制度？是一个企业的制度还是某一个部门的制度？有一部分企业的制度设计在源头上有问题，看上去是企业制度，核心是部门制度，这种做法在现代全面贯彻风险管理内控的情况下，值得去研究。上市公司内控部干什么？很重要的一个任务是梳理风险、再造流程，彻底打通以前以部门为界限的设计工作。

　　站在企业角度看打通企业制度，再把风险、控制职能分解到相关部门从而完成了一项工作的全流程控制，站在企业前面的整体，这对制度的再造非常有帮助。中石油在这两年能够做到资金集中管控，为什么能够做到七级核算变一级核算，这都跟优化流程有直接关系。

　　第六、健全一套机制。这个机制就是内控体系的考评机制，奖惩机制。中国企业从来不缺制度，由于研究风险管理和内控的原因，据了解四大商业银行平均管理有多少？1500项到200项，不可谓制度不多，但是为什么某种程度上仍然值关注？很大程度上来讲是制度的执行力还存在一定问题。现在推内控是让内控可考核、可评价，否则又可能陷入形式主义，那么，怎么样考核评价？真正把内控的实施纳入企业的绩效考评体系，这是我们应当重视的工作。

　　第七、借助一个手段。下一步内控的实施需要和信息化的建设密切结合。通过信息化手段把内控的方法技术嵌入管理流程，提升内控的效率和效果。

　　第八、澄清一个误区。风险管理和内控这两者什么关系？风险管理和内控一体化，千万不要搞成两张皮。

　　1、风险管理与内部控制没有实质性区别；

　　2、风险管理与内部控制正在融合。两者之间是相互影响，相互促进，共同提高的关系。所以，在内控规范体系的研究制订和下一步的贯彻实施过程当中，国资委必将给予关心支持和帮助。对企业来讲一定要有一体化的观念推进风险管理和内控，千万不要搞成两张皮，不要浪费自己的资源。

　　第九、应对挑战。从明年1月1号开始，境内外上市公司，主板上市公司马上进入内控的实施阶段，需要在企业年报里面加两张报告，接受监管部门，接受投资者的检阅。会计的报表、会计的审计报告，由于有相当的复杂性，专业性，很多投资者可能看不明白，但是有责任有义务报告，如果是内控的评价报告和审计报告，我相信只要不是文盲都能够读懂，为什么？这个报告里面揭示上市公司里面管理里面、内控的重大缺陷、究竟有什么重大问题？审计和内审的无效，财务报表的虚假陈述，风险管理不到位等等都要揭示出来，要接受审计司的审计，投资者的检验。

　　美国的经验表明，上市公司内控的评价报告，审计报告对上市公司的市场影响和股价走势有一定影响，有积极的、也有消极的。内控的实施时间表一定会实同一个规律，正像会计准则一样一旦分子公司实施了会计准则，母公司实施会计准则迟早的事情，因此现在相当一批中央企业，省属企业紧锣密鼓在宣传贯彻推进内控，比如石油石化第一步都是股份公司袘的，现在都反过来推动集团公司加速推进这项工作，因此内控的审计是下一步的一个严峻的挑战。

　　第十、放平一种心态。现在很多企业、上市公司有时候比较着急，觉得时间表是个倒计时，重视是对的，积极推进也是对的，但是内控的事情绝对不是一蹴而就，绝对不是一锤子买卖。

　　内控分三个阶段：

　　1、合规内控；

　　2、管理内控；

　　3、价值内控。合规内控就是通过实施内控做到你这个企业不要出伤筋动骨的重大风险，风险管理也好，内部控制也罢，企图消除企业的风险那是不可能的，但是能够做到最大限度的防范与减少，你不要出大问题，跨国公司的实践表明，就一个合规内控没有5到8年左右的时间很难真正做到位，很难真正做规范。在这个基础上进一步深化管理，真正和ISO9000系统，真正和信息化系统等等有机结合起来。第二个真正内化到管理当中去，第三个阶段我们不仅仅要防控不利风险，防控负面风险，而且积极地利用，掌控有利的风险，真正使内控成为我们价值再造的一个不能，我想到那个阶段，到那个境界，应该是个更高的境界。

　　无论是国资委制订发布的全面风险管理指引，还是财政部会同五部位发布的基本规范和配套指引都是一种产品，要使这些产品真正贯彻落实，真正为企业的改革发展做出贡献，监管部门的推动是必要的，但是最重要的，最基础的，最核心，最直接的是我们的企业，是上市公司的共同努力，所以说在内控规范体系的贯彻落实当中，共同努力，推动内部规范体系，提升企业的核心竞争力做出积极贡献。