時間：2022-05-12 15:34:03
開篇：寫作不僅是一種記錄，更是一種創造，它讓我們能夠捕捉那些稍縱即逝的靈感，將它們永久地定格在紙上。下面是小編精心整理的12篇內部控制基本規范，希望這些內容能成為您創作過程中的良師益友，陪伴您不斷探索和進步。
2008年6月28日,財政部、證監會、審計署、銀監會、保監會在北京聯合召開企業內部控制基本規范會,會議了《企業內部控制基本規范》(以下簡稱《基本規范》),自2009年7月1日起先在上市公司范圍內施行,鼓勵非上市的其他大中型企業執行。
《基本規范》在企業內控體系中處于最高層次,起統馭作用,描繪了企業建立與實施內控體系必須建立的框架結構,規定了內部控制的定義、目標、原則、要素等基本要求,是制定應用指引、評價指引、鑒證指引和企業內部控制制度的基本依據。《基本規范》的頒布實施,必將對我國企業及資本市場的發展產生深遠影響。
內控是為了企業的生存發展而存在的,是促成企業目標實現的一種重要方法和手段,內部控制的目的是在合理的范圍內保證企業基本目標的實現。盈利是企業生存和發展的基礎,如果不能盈利,就連自身的生存都難保證,其他目標更無從談起。企業要想實現盈利,就必須控制風險,必須建立有效的內控體系。企業要改善現有的管理水平,就必須借助于內控體系,完善的內控體系是促進管理落實的手段,可以促進企業實現發展目標。
同時,健全有效的內部控制,有利于提高財務信息質量,提升財務報告的有效性,這對于保證投資者對高質量財務信息的需求,體現資本市場“公開、公平、公正”的原則,保護投資者合法權益具有至關重要的意義;有利于上市公司遵守國家法律、法規、規章及其他相關規定,堵塞管理漏洞,保障公司資產的安全,有效提高公司風險防范能力,減少乃至避免舞弊事件的發生;有利于提高經營效率和效益,提升企業經營管理水平、盈利能力和持續發展能力,增強公司競爭力,從而提高上市公司質量,最大限度地回報股東和社會。
面對國際市場日趨激烈的經濟競爭環境,我國企業要“走出去”,進入國際產業和資本市場投資,必須苦練內功、強化內控、防范風險,這樣才能立于不敗之地。可以說,企業內控體系的建立與實施,為我國企業“走出去”提供了“安全網”和“防火墻”。
實施《基本規范》對企業提出了諸多要求。
在以人為本的現代化企業管理中,員工的地位日趨重要,員工也越來越看重工作的環境,特別是軟環境,比如:企業文化、管理理念、管理層是否關注員工的工作和日常生活以及員工的職業生涯發展等。另一方面,制度再周全也不可能凡事都規范到位,制度可以規定員工出工,但無法規定員工出力。因此,企業管理控制的核心是企業中的人及活動,只有提高了人的主觀能動性,才能加強內部控制實施效果。
企業文化作為一種無形的精神力量與源泉,影響著企業員工的思維方式和行為活動。優秀的企業文化可以促進企業發展,防止企業衰敗;不良的企業文化也可能阻礙企業發展,甚至導致企業倒閉。因此,企業必須培養自身的優良文化,將企業文化與內控制度的建立有機的結合起來,從而更好地推動企業發展。
職業道德屬于非法律性質的道德范疇,不履行職業道德并不一定違法,但是職業人如不履行職業道德,必將遭到淘汰。公司應提供職業道德方面的指導,使所有員工在日常或特定的環境下能保持正常的判斷;制定公司的行為準則,并傳達給全體員工,將員工不誠實和不講道德標準的動機與機會降到最低。職業道德有許多范疇,不同崗位的人員職業道德不一定相同,《國際會計職業道德準則》中對會計從業人員提出8條準則,內容包括:廉正、客觀、獨立、保密、技術標準、業務能力、工作勝任、道德自律。我國《會計法》第39條也規定會計人員應當遵守職業道德,提高業務素質。提高員工的職業道德特別是財務人員的職業道德將有助于企業內控制度的建立與實施。
企業內部控制體系的構建是一項重大而復雜的系統工程,在這個過程中我們要牢牢把握住正確的發展方向,實施過程中應注意以下幾方面。
1.立足國情、符合實際
內部控制構建的基本前提是要從我國實際國情出發,符合我國法制意識、制度基礎、風險理念、經營風格等方面特點,扎根于我國經濟、社會、法律、文化環境和企業實踐。我國在建立完善社會主義市場經濟體制過程中,形成了有別于資本主義市場經濟的成熟經驗和做法。因此,我國的內部控制體系的建設應當更多地消化總結自身的成功經驗,與國家有關法律法規相協調,與國家經濟發展戰略相協調,與企業經營管理實踐相協調。只有做到立足國情,符合實際才能具有強大的生命力,才能發揮應有的積極作用。
2.把握方向、注意動態
從內部控制的發展歷程來看,內部控制的發展趨勢是從簡單、零散的低層次階段向完整、系統的高層階段發展,包括的內容、涉及的范圍和層面越來越多,內容越來越豐富。目前,內部控制發展的思想不再是簡單的機構、業務流程上的監督、制衡,而是注重風險管理。在實務方面,推行財務報告內部控制必然是今后國際發展大勢所趨。內部控制不是靜止不變的,而是一個動態變化的系統。
關鍵詞：企業內部控制 局限性 實施
2010年4月國家財政部等五部委聯合的《企業內部控制配套指引》，將于2011年1月1日起首先在境內外同時上市的公司施行。該配套指引連同此前的《企業內部控制基本規范》，標志著適應我國企業實際情況、融合國際先進經驗的中國企業內部控制規范體系基本建成。如何保證內部控制制度有效執行的問題，擺在了實務界和理論界面前。
一、目前內部控制存在的局限性
完善的內部控制制度，能有效地防止錯誤與舞弊的發生，提高效率和效益。而我國企業內部控制規范體系雖是一套比較完善和嚴格的管理程序與制度，但卻仍存在著以下局限性。
(一)不相容職務分離控制薄弱。許多企業受企業規模和所有制形式的限制，企業管理人員更多的是憑借經驗工作，沒有周密措施對員工進行科學管理和監督，更沒有考慮不相容職務分離控制管理。有些企業雖然有較好的職務設置，但執行效果不好，企業的會計人員工作責任心不強，使不相容職務控制流于形式。另外，在實際工作中，如不相容職務上的有關人員相互串通勾結，則失去了不同職務相互制約的基本前提。
(二)高層管理人員的違規操作。企業內部控制制度作為管理工具，最終都是靠人來執行的，如果高層管理人員違規操作，那么再嚴密的內部控制，也不可能產生應有的效果。尤其是企業高管人員的決策更是起決定作用的。決策出了問題，貫徹決策人意圖的內部控制也就失去了應有的控制效能。
(三)受成本因素的制約。內部控制并不能直接創造利潤，它的最大效益是保持企業的持續經營能力，而這種作用短期之內很難凸顯。如果內部控制的執行導致企業管理成本過高，就會削弱內部控制效能的充分發揮。健全的內部控制涉及的控制環節多，也會影響企業生產經營活動的效率。因此，在設計和實施內部控制時，企業必然要考慮控制成本與控制效果之比。
二、保證規范實施效果的措施
(一)改善法人治理結構。企業應從完善法人治理結構人手，充分發揮股東會、董事會、監事會的職能；改善股權結構，解決我國企業股權過度集中帶來的問題，完善企業內部制衡機制和內部激勵機制，增強內部審計部門的獨立性，充分發揮其監督評價職能。
(二)建立有效的工作團隊。從企業內部控制的實踐來看，內部控制是否有效，主要取決于員工隊伍的綜合素質和道德水平的高低。因此，應加強對企業高管人員的培訓，使企業管理層樹立正確的經營理念和較強的風險管理意識等一系列措施，確保公司經營目標和員工個人發展的實現，為公司的可持續發展奠定基礎。
(三)完善不相容職務的設置和管理。不相容職務相互分離控制：建立崗位責任制度，通過權力、職責的劃分，防止差錯及舞弊行為的發生；按照合理設置分工、科學劃分職責權限、貫徹不相容職務相分離及每個人的工作能自動檢查另一個人或更多人工作的原則，形成相互制衡機制。
【關鍵詞】薩班斯；企業內部控制基本規范；思考
一、薩班斯法案的主要內容
美國布什政府出臺的《2002年公眾會計改革和投資者保護法案》，簡稱《薩班斯法案》，它的主要內容涉及加強上市公司董事及高層管理人員的責任、要求上市公司設立審計委員會、強化上市公司財務信息披露義務、加大對違法行為處罰的力度等。法案第302款要求公司首席執行官和財務總監對財務報告“完全符合證券交易法，以及在所有重大方面公允地反映了財務狀況和經營成果”予以簽字保證。法案第404款要求公眾公司年度報告中應包含內部控制報告，強調公司管理層有責任建立和維護內部控制系統并保證相應控制程序的充分有效以及對最近財政年度末的內部控制體系和控制程序有效性做出評價，并要求獨立審計師對公司高管層做出的內部控制評價出具鑒證報告。
二、我國內部控制的現狀和問題
我國政府從20世紀90年代后期才開始重視企業內部控制。1996年12月財政部《獨立審計具體準則第9號――內部控制和審計風險》（于1997年1月1日施行）。1997年5月，中國人民銀行頒布第一個關于內部控制的行政規定《加強金融機構內部控制的指導原則》。1999年10月修改后的《會計法》提出各單位應當建立、健全本單位內部會計監督制度。證監會2000年底要求商業銀行應建立健全內部控制制度，并就其內部控制制度的完整性、合理性和有效性做出說明，還應聘請會計師事務所進行評價，以內部控制評價報告的形式做出報告。財政部2001年6月頒布了《內部會計控制規范――基本規范（試行）》和《內部會計控制規范――貨幣資金（試行）》。證監會2001年要求公司監事會在監事會對公司依法運作情況發表獨立意見時，應包含公司是否建立完善的內部控制等內容。上交所2006年度的《上市公司內部控制指引》指出，公司在內部控制檢查中如發現內部控制存在重大缺陷或存在重大風險，公司董事會應向本所報告該事項，經認定，公司董事會應及時公告。公司董事會應披露年度內部控制自我評估報告，并披露會計師事務所對內部控制自我評估報告的核實評價意見。深交所2006年9月28日《上市公司內部控制指引》，要求深市主板上市公司自2006年9月28日至2007年6月30日期間建立起完備的內部控制制度，并從2007年年報開始，按照要求披露內控制度制定和實施情況。2006年7月15日，財政部發起成立企業內部控制標準委員會，研究推進企業內部控制規范體系建設問題。2008年6月28日，財政部、證監會、審計署、銀監會、保監會聯合了《企業內部控制基本規范》，標志著企業內部控制規范體系建設取得重大突破?；疽幏对瓉碛媱澃才旁?009年7月1日起先在上市公司范圍內施行，鼓勵非上市的其他大中型企業執行。但是由于上市公司目前的內部現狀使得執行起來難度比較大，被迫推遲到2010年1月1日，出具內控自我評價報告則可以推遲2010年年底。
目前，我國關于內部控制的法律法規如《會計法》、《內部會計控制規范》等已經頒布，但是這些法規在實踐中由于缺乏相應的監督機制，內部控制的規定如同一紙空文，企業并沒有將其付諸到實踐中，造成許多單位的內部控制形同虛設，無助于提高企業財務報表的可靠性。從而，我國企業的內部控制相對于一些跨國公司而言，顯得有的薄弱，很多公司的內部控制完全是按照管理層的決定，從而導致我國企業內部控制存在一系列問題，主要問題如下：
（一）控制環境管理混亂
我國企業普遍缺乏標準的內部控制環境，大多數企業盡管建立了內部控制機制，但缺乏規范和完整的內控標準，從而導致內控環境管理存在很多混亂之處。
（二）風險管理意識淡薄
我國企業最近幾年屢屢在資本市場上折臂，從而導致了巨額的虧損，而這些企業問題的出現或多或少的與企業缺乏必要的內部控制有關，公司的經營失敗主要原因是無視制度的存在，不按制度行事，沒有對資本市場上的風險有充分的認識。
（三）內部審計薄弱
內部審計作為公司內部控制重要的一環，扮演著非常重要的作用，然而我國企業的內部審計部門勢單力薄，內部審計從業人員的獨立性也遭到質疑，很多企業的內部審計人員工作并不是向審計委員會直接匯報，而是向管理層匯報，從而使得企業內部審計的職能并沒有得到應有的發揮。
由此可見，我國內部控制信息披露的現狀是流于形式，還沒有能夠真正揭示出上市公司的內部控制缺陷，難以起到提高財務報告質量、提升公司治理水平、保護中小投資者等作用。
三、薩班斯法案對我國執行《企業內部控制基本規范》影響的思考
企業內部控制規范體系的實施給不少企業帶來脫胎換骨的影響，意味著中國企業內控規范體系建設正在向國際標準靠攏。通過對美國上市公司執行薩班斯法案的成功實踐進行研究后發現，《薩班斯-奧克斯利法案》中最難操作、最復雜、耗費成本最高的條款是404條款，即管理層對內部控制評價。統計資料顯示，大型美國公司僅在“404合規工作”第一年建立內部控制系統的平均成本就高達430萬美元，成本包括：內部人員35000工時的投入、130萬美元的外部顧問和軟件費用，以及150萬美元的額外審計費用。這是許多企業對建立內部控制體系望而生畏的重要原因之一。因此，我國上市公司在內部控制基本規范的執行中可從以下方面入手：
（一）盡早啟動內部控制建設的計劃。根據經驗，1年半的時間對一個企業實施有效的內部控制相當緊迫，越早啟動，意味著越少的成本投入。
（二）建立內部控制建設的工作團隊。按照基本規范的要求，明確董事會、監事會以及各級管理層在內部控制中的責任，規范審計委員會以及內部審計職能的獨立性。同時建立以高級管理層為領導的基本工作團隊，確保內部控制的設計、監督、實施相互分離，相互牽制。
（三）開展內部培訓，培養和建立自己的內部控制專業人才隊伍，解決本企業內部控制體系設計與執行，建立流程管理信息系統和開展內部控制有效性自我評估價與外部審計的人才需求。
（四）企業內控建設團隊應從重要性、風險發生的可能性等指標出發，從企業（集團）整體的角度，全面梳理企業風險領域，確定對企業整體而言的高風險領域。從重點領域著手，再推廣到整體的范圍。
（五）關注內部控制基本規范指引的建設與更新。企業一方面要關注現有政策內的明確要求（如證券交易所內控指引中提出的關注領域）一方面需要時刻關注指引內容的變化與要求。在某種情況下，對政策要求的誤判，可能會直接造成企業成本的增加，甚至浪費。
參考文獻：
[1]胡向麗,鐘亮.薩班斯法案對我國內部控制建設的啟示[J].華東科技大學學報,2007(2).
[2]李芳.薩班斯法案404條款的執行與啟示[J].中國注冊會計師,2006(7).
[3]閻達五,楊有紅.內部控制框架的構建[J].會計研究,2001(2).
[4]劉華.薩班斯法案對我國的啟示[J].法制與社會,2006(9).
根據財政部等五部委的要求，《企業內部控制基本規范》（財會［2008］7號）及其配套指引已于2011年1月1日起在境內外同時上市的69家公司實施。同時，財政部、證監會又選擇了200多家在境內主板上市的公司進行試點。實施一年總體進展順利，但也存在一定問題。為推動《企業內部控制基本規范》及其配套指引的順利實施，現對有關問題解釋如下：
1.如何把握企業內部控制規范體系的強制性與指導性的關系？
答：在實施試點中，一些企業反映，《企業內部控制基本規范》及其配套指引的規定是否需要逐條執行。
《企業內部控制基本規范》是內部控制建設與實施應該遵循的基本原則和總體要求，具有強制性，納入實施范圍的企業應當遵照執行。《企業內部控制配套指引》（財會［2010］11號，包括18個應用指引、1個評價指引和1個審計指引）是對《企業內部控制基本規范》相關規定的進一步補充和說明，具有指導性和示范性，納入實施范圍的企業可以結合所在行業要求和企業自身特點，參照配套指引的規定開展內部控制建設與實施工作。
2.已經完全按照境外監管機構要求建設與實施內部控制的境內外同時上市的公司，是否需要執行我國的企業內部控制規范體系？
答：目前，許多國家和地區對公眾公司內部控制都有相關的規定和要求。我國企業內部控制規范體系在充分借鑒國際上先進經驗和做法的同時，更多地適應了我國國情，尤其是充分考慮了我國目前法律法規體系、公司治理結構、企業管理體制、風險管控實務等具體情況，提出了內部控制的目標、原則、要素等，且不局限于財務報告內部控制，更多突出全面內部控制的要求。因此，境內外同時上市的公司應當在滿足境外監管機構要求的基礎上，對照我國企業內部控制規范體系，特別是應當圍繞《企業內部控制基本規范》提出的內部控制五目標，對相關控制措施進行適當調整或補充完善。
3.企業按照企業內部控制規范體系建設與實施內部控制，是否還需要遵守我國行業主管部門和市場監管部門對內部控制的有關要求？
答：《企業內部控制基本規范》及其配套指引是對不同行業、各類企業提出的一般性要求，具有普適性。行業主管或監管部門對所轄企業的內部控制管理規定，是不同行業內部控制的特殊要求，也是《企業內部控制基本規范》的重要補充。企業應當按照《企業內部控制基本規范》及其配套指引規定和行業管理、市場監管的要求，建設與實施內部控制。
4.如何協調好內部控制與風險管理的關系？
答：《企業內部控制基本規范》及其配套指引，充分吸收了全面風險管理的理念和方法，強調了內部控制與風險管理的統一。內部控制的目標就是防范和控制風險，促進企業實現發展戰略，風險管理的目標也是促進企業實現發展戰略，二者都要求將風險控制在可承受范圍之內。因此，內部控制與風險管理二者不是對立的，而是協調統一的整體。
在實際工作中，一些企業的內部控制和風險管理工作由不同機構負責。對此，企業可以對有關機構和業務進行整合，從工作內容、目標、要求以及具體工作執行的方法、程序等方面，將內部控制建設和風險管理工作有機結合起來，避免職能交叉、資源浪費、重復勞動，降低企業管理成本，提高工作效率和效果。
5.對于《企業內部控制配套指引》尚未規范的領域，應如何處理？
答：由于企業所面臨的客觀環境和自身的經營管理活動比較復雜，目前的《企業內部控制配套指引》僅對企業常見的、一般性生產經營過程的主要方面和環節進行了規范。在建設與實施內部控制的過程中，對于《企業內部控制配套指引》尚未規范的業務領域，企業應當遵循《企業內部控制基本規范》的原則和要求，按照內部控制建設與實施的基本原理和一般方法，從企業經營目標出發，識別和評估相關風險，梳理關鍵業務流程，根據風險評估的結果，制定和執行相應控制措施。
6.如何權衡內部控制的實施成本與預期效益？
答：企業按照《企業內部控制基本規范》及其配套指引的要求建設與實施內部控制，必然需要支付一定的成本，可能會發生內部控制制度和流程的設計與實施費用、聘請專業機構提供咨詢服務費用、建立融入內部控制要求的信息系統費用、聘請會計師事務所開展內部控制審計費用，等等。建設與實施內部控制應當從提高企業長期效益出發，從促進企業可持續發展出發，將內部控制作為一項常規性工作，貫穿于企業管理之中，加大投入。同時，應當按照重要性原則，關注重要業務事項和高風險領域，抓住關鍵風險控制點。集團性企業可以采取分類試點、逐步推廣的方式，選擇下屬不同類型的企業試點，形成范本，減少重復建設。
聘請會計師事務所開展內部控制審計是建設與實施內部控制的重要環節，是檢驗內部控制有效性的重要手段和有力保證。內部控制審計費用是企業實施內部控制規范體系應當承擔的成本，企業應安排相應經費確保審計工作的及時、有效開展。內部控制審計是一項區別于財務報告審計的獨立業務，企業應就該項業務與會計師事務所簽訂單獨的業務約定書。同時，企業也應權衡審計成本與審計效益，在業務約定書中明確有關費用標準，并對會計師事務所審計資源的投入和審計質量提出明確要求。
7.如何協調好內部控制與其他管理體系的關系？
答：內部控制貫穿于整個企業管理，與其他管理體系相輔相成、密不可分，是企業管理的重要組成部分。企業現有管理體系的設計、運行以及審核認證需要遵循已經的國家標準或行業標準。這些標準與企業內部控制規范體系的原則和要求并不矛盾。在實際工作中，個別企業的內部控制體系建設與管理體系運行發生沖突，原因可能是企業采用的方式方法出現了偏差，如簡單照搬內部控制應用指引的規定，沒有考慮企業的實際情況，為控制而控制，導致控制設計不合理，出現控制過度或控制冗余；也可能是企業經營管理部門對內部控制的重要性認識不足，不愿意受到更多的牽制和監督，從而以影響經營效率和目標為借口，拒絕必要的內部控制；等等。對此，企業應當立足管理現狀，全面梳理各項管理制度和管理體系，從管理體制、機制以及落實各級權利責任等方面，將內部控制的要求融入各項管理體系中，形成內部控制的長效機制，使內部控制真正為經營管理服務；應當從總體目標出發，通過培訓教育提高企業經營管理人員對內部控制的理解和認識，將內部控制的要求納入績效考核體系以加強執行；可以利用信息技術固化業務流程，提高業務處理效率和信息共享水平，從而盡可能減少內部控制與其他經營管理體系的沖突。
8.企業如何確定內部控制缺陷的認定標準？
答：查找并糾正企業內部控制設計和運行中的缺陷，是開展企業內部控制評價的一項重要工作，是不斷完善企業內部控制的重要手段。由于企業所處行業、經營規模、發展階段、風險偏好等存在差異，《企業內部控制基本規范》及其配套指引沒有對內部控制缺陷的認定標準進行統一規定。企業可以根據《企業內部基本規范》及其配套指引，結合企業規模、行業特征、風險水平等因素，研究確定適合本企業的內部控制重大缺陷、重要缺陷和一般缺陷的具體認定標準。企業確定的內部控制缺陷標準應當從定性和定量的角度綜合考慮，并保持相對穩定。通過不斷的實踐，總結經驗，形成一套行之有效的內部控制缺陷認定方法。
企業在開展內部控制監督檢查中，對發現的內部控制缺陷，應當及時分析缺陷性質和產生原因，并提出整改方案，采取適當形式向董事會、監事會或者管理層報告。對于重大缺陷，企業應當在內部控制評價報告中進行披露。
財政部將會同證監會、審計署、銀監會、保監會等有關部門，根據首次執行和試點情況，分行業、分類型總結企業的內部控制缺陷認定標準，供參考。
9.實施《企業內部控制基本規范》及其配套指引的企業，是否需要設置專門的內部控制機構？
答：根據《企業內部控制基本規范》的規定，企業董事會負責內部控制的建立健全和有效實施。為便于董事會履行好企業內部控制規范體系的設計、建立、運行與改進方面的職責，董事會應當指定專門委員會負責指導內部控制建設與實施工作。一般情況下企業應當成立專門機構負責組織協調內部控制的建立實施及日常工作。
對于少數企業受制于崗位編制、專業人員等條件限制，目前尚不具備成立專門的內部控制管理機構的，可暫將內部控制管理職能劃歸現有機構。隨著企業內部控制建設的持續深入和相關條件的不斷成熟，企業應考慮成立專門機構，保證有足夠的資源支持和協調內部控制工作的開展，確保內部控制工作的相對獨立性。
10.如何編制和披露企業內部控制評價報告？
企業內部控制評價是企業董事會對內部控制有效性進行全面評價、形成評價結論、出具評價報告的過程。開展內部控制評價，可以及時發現和糾正企業內部控制建設與實施中存在的問題，并持續自我完善。企業可以獨立開展內部控制評價工作，也可以委托不承擔本企業內部控制審計的中介機構協助開展內部控制評價工作。
目前，我國上市公司內部控制信息披露狀況不容樂觀，從滬、深兩市上市公司2012年年報來看，仍有少數公司對其內部控制信息沒有做任何形式的披露；雖然大多數公司隨年報披露了內部控制信息，但披露內容、評價標準及報告格式不統一。鑒于此，筆者從上交所的《上海證券交易所上市公司內部控制指引》（本文簡稱“滬指引”）、深交所的《深圳證券交易所上市公司內部控制指引》（以下簡稱“深指引”）、以及財政部聯合證監會、審計署、銀監會與保監會等所共同的《企業內部控制基本規范》（本文簡稱“基本規范”）及其由《企業內部控制評價指引》、《企業內部控制審計指引》與《企業內部控制應用指引》組成的《企業內部控制配套指引》（本文簡稱“配套指引”）著手，對以上不同規范從內部控制內涵及責任人、內部控制自我評價規范、內部控制信息披露三方面進行對比研究，從而為我國上市公司內部控制制度的設計與執行提供依據，也為財政部、證監會等政府監管部門進一步完善內部控制法律法規、提高對上市公司監管的效率與效果提供一定的參考。
二、上市公司內部控制內涵及責任人對比研究
（一）內部控制內涵 對關于內部控制的內涵，“滬指引”有如下規定：“內部控制是一種制度安排，上市公司進行該種制度安排的最終目的是為保證公司戰略目標的實現，而對涉及到公司整體戰略層面上與具體經營層面上已經存在的與潛在的風險予以管理與防范，該項制度安排參與的主體囊括了上市公司高層管理者、董事會及其全體員工?！薄吧钪敢睂炔靠刂频膬群睦斫馐牵骸皟炔靠刂剖且粋€為實現一系列目標（合法合規目標、提高效益目標、資產安全目標、披露真實目標）而提供合理保證的過程，參與這一過程的主體包括上市公司高層管理者、董事會、監事會及其他有關人員?！薄盎疽幏丁碧岢觯骸皟炔靠刂剖且豁棇崿F合理保證企業控制目標（經營管理合法合規、提高經營效率與效果、保障資產安全、促進企業實現發展戰略、財務報告及相關信息真實完整）的過程，參與主體為企業高層管理者、董事會、監事會及其全體員工?！睂Ρ取皽敢?、“深指引”與“基本規范”關于內部控制的內涵可以總結出以下不同：首先，根本區別是性質不同。“深指引”與“基本規范”認為內部控制是一個過程，而“滬指引”則認為內部控是一種制度安排；其次，目的不一致?！吧钪敢迸c“基本規范”認為內部控制是為實現一系列目標而提供的合理保證，但通過對比可以發現兩者為內部控制所限定的一系列目標仍存在一些差異，“深指引”是為了實現合法合規目標、提高效益目標、資產安全目標、披露真實目標，而“基本規范”是為了實現經營管理合法合規、提高經營效率與效果、保障資產安全、促進企業實現發展戰略、財務報告及相關信息真實完整目標，相比之下，“滬指引”是從“最終”目的層面站在更高的角度上對內部控制目標進行了闡釋，表達也較為概括與簡捷，即：“保證公司戰略目標的實現”；最后，參與主體的不同，“深指引”認為內部控制的參與主體僅涉及到上市公司高層管理者、董事會、監事會及其他有關人員，而“滬指引”與“基本規范”則認為參與的主體是上市公司全體人員，范圍明顯較廣。
（二）內部控制責任人 “滬指引”和“深指引”都明確指出內部控制的責任人為公司董事會規定“上市公司董事會應對公司內部控制制度的設計與執行負責”，“滬指引”更是強調“保證內部控制相關信息披露內容的真實、準確、完整是董事會及其全體成員的責任”。應當注意的是，雖然“基本規范”沒有從字面上指明內部控制的具體責任人，一直只稱“企業”，但在“配套指引”中的《企業內部控制評價指引》提到“內部控制評價報告的真實性應當由企業董事會負責”，《企業內部控制審計指引》也規定“企業董事會應當對內部控制的建立健全與有效實施，評價內部控制的有效性負責”。
三、上市公司內部控制自我評價規范對比研究
（一）內部控制自我評價涉及的基本因素 COSO（Committee of Sponsoring Organization）委員會于1992年9月了《內部控制整合框架》（COSO-IC），即著名的COSO報告，該報告可謂是集內部控制理論研究與實踐應用于一體，內容豐富、體系完善，在其后得到了廣泛的傳播，被世界眾多國家的專家學者所接受并被應用到內部控制制定與實施中，在業內倍受推崇，已然成為最具有權威性的現代內部控制體系框架?！皽敢痹趯OSO-IC的內部控制8要素框架進行借鑒的基礎上進行了一定的改造，如將COSO-IC中的“事項識別與風險應對”改為“風險確認與風險管理策略選擇”。而“深指引”則是對COSO-IC的全面風險管理8要素框架進行了完全的借鑒?！皽敢迸c“深指引”只是說明了要素的涵義，卻沒有對每項要素所包含的內容進行闡釋。“基本規范”在形式雖然上與COSO-IC的5要素框架相類似，但在實質上體現的卻是全面風險管理8要素框架思想?！盎疽幏丁睂OSO-IC的5要素框架中的“控制環境”改造為“內部環境”，它在實質上囊括了8要素框架中的“內部環境”與“目標設定”兩要素，“風險評估”相當于8要素框架中的“風險識別”、“風險評估”、“風險應對”。同時，“基本規范”不僅說明了5項要素的涵義，還對每項要素所包含的內容進行了詳細的闡釋。
（二）內部控制自我評價所需的控制手段 企業在實施內部控制過程中，必須采用一定的措施與方法，以完成制定的控制目標，這些措施與方法的總和即為控制手段。內部控制的控制手段包括企業整體層面與具體業務層面：企業整體層面的控制手段包括信息系統、內部信息傳遞、合同管理、全面預算等，而具體業務層面的控制手段包括預算控制、會計系統控制、授權審批控制、財產保護控制、績效考評控制、運營分析控制與不相容職務分離控制等?！盎疽幏丁币跃唧w業務層面的控制手段為主，“配套指引”從企業整體控制措施的適用條件、范圍、目的、實施過程中各環節可能面臨的風險及其相應的抵御措施進行了詳細的規范?！皽敢标P于控制手段的內容主要體現在“專項風險的內部控制”部分，但僅對具體業務層面的控制手段進行了說明。“深指引”不僅在“重點控制活動”部分對具體業務層面的控制手段進行了介紹，還對企業整體層面的控制手段提出了明確的要求：“上市公司應在設立完善的控制框架基礎上對各層級之間的控制程序進行規劃與制定，從而為董事會及高級管理人員下達的指令能夠被高效的執行提供保證?！?/p>
（三）內部控制自我評價中的風險管理思想 “滬指引”對風險管理的介紹較為簡略，對很多類型的風險只是略述，僅對金融衍生品交易與控股子公司的風險在“專項風險的內部控制”部分作了較為詳細的闡釋。“深指引”與“滬指引”相似，它只在整體上進行了籠統的說明：“上市公司為持續監督、及時發現、準確評估、合理控制公司所面臨的包括市場風險、財務風險、經營風險、道德風險、政策法規風險等在內的各種風險，應建立一套完整的風險評價系統?！薄盎疽幏丁辈粌H對企業所面臨的各項內部與外部風險的識別、分析與規避從整體進行了提綱挈領式的說明，而且9項具體的指引將風險管理的思想嵌入到每個控制點之中，更符合企業內部控制的實際，深刻體現了全面風險管理的思想。
（四）內部控制自我評價對檢查監督的說明 內部控制的一項基本要素即為檢查監督，企業可以通過檢查監督自行監測內部控制的運行狀況。但是，對于檢查監督的主體、目的、方法等方面“滬指引”、“深指引”與“基本規范”卻有不同的說明。首先，關于檢查監督的主體，“滬指引”認為應是公司的董事會，“深指引”認為應是董事會專門設定的內部審計部門，如審計委員會等，“基本規范”認為董事會或其下屬的審計委員會均可。其次，關于檢查監督的目的，“滬指引”為監測、發現與糾正內部控制制度所存在的缺陷與問題，“深指引”為發現內部控制的異常事項與所存在的缺陷，評估內部控制執行的效果與效率，在此基礎上提出相應的改進建議；“基本規范”對檢查監督的目的從日常監督與專項監督兩方面進行了說明。最后，關于檢查監督的方法，“滬指引”認為的檢查監督的方法包括了程序與方法兩方面的內容，“深指引”未對檢查監督的方法進行規定，雖然“基本規范”也未對檢查監督的方法進行規定，但“配套指引”對內部控制檢查監督的方法進行了明確的說明，指出內部控制評價程序包括：建立評價小組、制定評價方案、現場測試、發現控制缺陷、匯總評價結果、編制評價報告等環節，在對被評價實施具體的現場測試時，可以運用詢問、觀察、檢查、穿行測試等方法。
四、上市公司內部控制信息披露對比研究
（一）不定期內部控制信息披露 “滬指引”要求：“上市公司一旦發現本公司的內部控制存在潛在風險或重大缺陷，董事會應在第一時間向上交所報告，經上交所認定，董事會應及時針對內部控制重大缺陷的表現、后果、責任的承擔以及補救措施對外公告?！薄吧钪敢币幎ǎ骸吧鲜泄緝炔繉徲嫴块T負責對內部控制的執行情況進行檢查監督，一旦發現存在重大異常，應及時向董事會與監事會報告。董事會應就公司內部控制存在的重大缺陷與相應的應對方法及時對外披露?！薄盎疽幏丁奔捌洹芭涮字敢本鶝]有對不定期內部控制信息披露的主體與內容進行規定。
（二）定期內部控制信息披露 定期內部控制信息披露是指與上市公司年報同時披露的內部控制評價報告?！皽敢睕]有涉及內部控制評價報告的格式與時間，只是對其應披露的內容作出了如下規定：“上市公司與年度報告一同披露的內部控制評價報告至少應包括內部控制的制定與執行情況、內部控制的檢查監督狀況、內部控制所存在的重大缺陷以及相應的應對策略、本年度內部控制計劃的完成情況；下一年度關于內部控制制度的相關完善措施等”，“滬指引”還要求上市公司應隨年報一起披露注冊會計師對內部控制評價報告的審核意見?！吧钪敢币矝]有對內部控制評價報告的格式進行規定，關于內容的要求是：“上市公司在會計年度結束后四個月內的內部控制評價報告應包括：內部控制的制定和執行情況、內部控制是否存在缺陷、內部控制活動的自查與監督狀況、內部控制缺陷的應對措施、本年度對上一年度的內部控制的改進等?！薄吧钪敢迸c“滬指引”一樣，也要求上市公司應隨年報一起披露注冊會計師對內部控制評價報告的審核意見，并規定了四個月（在會計年度結束后）的期限，即對內部控制評價報告及其注冊會計師審核報告披露的期限作出了規定。“基本規范”認為內部控制評價報告的內容應囊括到以下要素：內部環境、控制活動、信息與溝通、風險評估、內部監督，同時還應披露對內部控制檢查監督的過程、所發現的重大缺陷、重大缺陷的應對措施等。“基本規范”也對披露的時間作出了規定：“企業內部控制評價報告、企業的內部控制審計報告應以12月31日作為基準日，在此之后的四個月內同時披露”，這在時間上與“深指引”的要求是相同的。特別需要指出的是，在“配套指引”的參考格式中，對內部控制評價報告的格式作出了說明，即應包括標題、管理層聲明、報告受眾、評價標準、披露內容、結論、報告編制單位及簽名、報告日期等因素。
五、結論
本文通過對比分析，發現上交所、深交所與財政部關于內部控制所的規范在整體上是一致的，但是諸多細節上略有差異。筆者認為，其原因主要有：一是我國上市公司內部控制制度起步較晚，在內部控制的本質、原因、起點、程序等問題上學術界尚未達成統一的共識；二是隨著我國經濟的發展與資本市場的不斷完善，廣大投資者對上市公司風險控制的制度設計與信息披露的要求越來越高，不同部門的規范時間不同，規范的對象也不同，內容難免會不同；三是以上部門在政策制定與執行過程中缺乏交流與溝通。上述三個政策執行后，我國上市公司內部控制的制度制定與信息披露實踐并不樂觀，三個部門的法規內容相互聯系但又不完全相同，造成同一個上市公司可能要同時受多個內部控制規范的限定，無法在對公司內部控制進行評價時確定統一的評價依據，對上市公司內部控制制度的制定、執行的效率與效果會產生嚴重的不良影響。
【摘 要】 合理劃分《企業內部控制應用指引》的層次，有助于分層次研究各項應用指引與內部控制要素的關系，厘清各項應用指引在風險控制中所發揮的不同作用。本文從應用指引與內部控制要素的關系以及應用指引與各類風險的關系兩個維度，將應用指引劃分為三個層次，直觀地揭示了各層次應用指引與《企業內部控制基本規范》所界定的內部控制要素的關聯，刻畫了各層次應用指引應重點關注的風險類型。
【關鍵詞】 內部控制； 應用指引； 層次劃分
為了貫徹實施《企業內部控制基本規范》，財政部起草了《企業內部控制應用指引（征求意見稿）》（以下簡稱應用指引），從而形成了包括《企業內部控制基本規范》、《應用指引》、《企業內部控制評價指引》和《企業內部控制鑒證指引》在內的較完整的企業內部控制規范體系。應用指引的層次劃分，旨在研究企業內部控制規范體系的層次結構，理順該體系內部各部分之間的內在邏輯和相互關系；明確各應用指引與《企業內部控制基本規范》所界定的內部控制要素的內在聯系；厘清各項應用指引在內部控制中的功能作用、控制范圍和控制重點，最大限度地減少《企業內部控制基本規范》的應用盲區；有助于企業在貫徹實施《企業內部控制基本規范》時，更好地界定各部門的職責權限；結合不同層次應用指引的執行情況，便于有針對性地開展企業落實內部控制規范情況的內部評價和外部檢查，并采取針對性更強的優化措施。
《企業內部控制基本規范》明確了內部控制的五要素，即：控制環境、風險評估、控制活動、信息與溝通、內部監督。從控制功能上看，內部控制又以風險防范為核心，而風險可以劃分為企業層面的風險、業務層面的風險和報告層面的風險，與此相對應的風險類別可以分別表述為系統風險、經營風險和報告風險。因此，應用指引的層次劃分可考慮兩個維度的因素：一個維度是各應用指引與控制要素的關聯程度；另一個維度是各應用指引的控制功能與三種風險類別的關聯程度。按這兩個維度進行交叉分類，可將應用指引劃分為三個層次：第一個層次，是企業層次的應用指引，主要包括組織架構及權責分配（總分公司）、母子公司、社會責任和人力資源管理等。這一層次，主要與控制環境、風險評估和控制活動三要素相對應，其控制重點是企業層面的風險，注重企業內、外部環境的適應性和協調性。第二個層次，是業務層次的應用指引，包括除第一層次和第三層次以外的所有應用指引項目，對應的控制要素主要包括風險評估、控制活動、信息與溝通三要素。這一層次的控制與業務流程和控制過程相結合，重點控制企業業務層面的經營風險。第三個層次，是報告層次的應用指引，主要包括內部報告與信息系統、對外報告、內部審計和業績考核等應用指引項目。這一層次對應的主要控制要素包括控制活動、信息與溝通、內部監督三要素，重點關注企業報告層面的風險。具體劃分情況見立方圖1。
圖2中的各項應用指引所對應的內部控制要素，以深色區域表示某項應用指引與對應的內部控制要素關聯程度較高，以淺色區域表示該項應用指引與對應的內部控制要素有一定的關聯度。這種劃分反映了各項應用指引與各內部控制要素均有一定聯系，但關聯程度有所不同。深色部分是相關應用指引所涉及的內部控制要素的核心部分，突出相關應用指引的控制重心，厘清應用指引與控制要素的關系，界定了各應用指引的控制范圍，表明不同應用指引之間相互聯系的邊界，揭示了不同應用指引之間相互銜接的縫隙，形成應用指引之間的自然耦合和分工協同關系。這樣的劃分，不但沒有割裂相關應用指引的關聯關系，而且使應用指引與《企業內部控制基本規范》的銜接更加連貫、順暢，也使應用指引各組成部分的相互關系更加清晰、明了，防范風險的側重點更具針對性。
【主要參考文獻】
[1] 企業內部控制基本規范.
[2] 企業內部控制應用指引（征求意見稿）.
[3] 企業內部控制應用指引項目討論稿.
內部控制是一種持續的管理活動，貫徹于決策、執行和監督的全過程，覆蓋企業及其所屬單位的各種業務和事項，實現全過程、全員性控制。為了檢查監督內部控制的建立和有效運行，強化企業監督、防范企業風險，僅僅進行內部控制評價和注冊會計師內部控制審計遠遠不能滿足企業管理的現實需求，企業自身還要動態、不定期、有針對性和突擊性地開展內部控制審計，以便向最高管理當局及時提供內部控制建立、運行的實際狀況，查找內部控制缺陷和風險隱患，發現管理的薄弱環節，提出整改建議，促進企業持續、穩定、健康發展。
但是，《企業內部控制基本規范》及配套指引只是從外部監管的角度規范企業內部控制評價和注冊會計師內部控制審計，對企業自身開展的內部控制審計并沒有作具體規范，企業究竟是遵守《企業內部控制基本規范》及配套指引還是遵守《企業內部審計準則》，目前沒有一個明確的說法。因此，企業自身到底如何開展內部控制審計，筆者認為可以從以下方面著手。
1 企業要根據《企業內部審計準則》的要求開展內部控制審計
企業自身開展的內部控制審計，是指由企業內部審計部門對企業內部控制設計和運行的有效性進行審計，是內部審計的一種業務類型，也是一種持續的過程審計，具有前瞻性、時效性、預防性和突擊性的特點，是對內部控制的再控制。因此，既然是內部審計，就應該遵守《企業內部審計準則》，并根據《企業內部審計準則》的規定來計劃和實施審計工作，出具審計報告。
2 企業要從深入業務的角度開展內部控制審計
業務活動是企業規章制度的有效載體，沒有業務活動的支撐，任何規章制度都只是無本之木，都是一紙空文，《企業內部控制基本規范》及配套指引的有效實施，也應該深深扎根于企業的業務活動。而企業自身開展內部控制審計，是出于企業內部管理的需要，是為加強動態監管和管理層決策服務的，監管和決策的效果最終是通過業務活動來體現，因此，企業開展內部控制審計必須深入到業務，通過對業務活動的審查來評價內部控制設計和運行的有效性，用業務數據來說明內部控制運行情況，是一種非常有說服力的審計證據。
3 企業開展內部控制審計應該和內部控制評價有機結合
雖然企業內部控制審計和內部控制評價目的不同、責任和實施主體以及報送要求均不同，但是兩者在許多方面還是有許多共同點，企業內部控制審計應該在以下方面和內部控制評價有機結合起來：
1)企業內部控制審計應該和內部控制評價一樣關注企業層面和業務層面的內部控制，企業層面和業務層面是企業的兩個方面，是企業的有機結合，無論是企業對內部控制審計還是進行內部控制評價，缺少其中任何一方面的內容其結果都是不完整的，都是不合要求和充滿風險的。
2)企業應該結合運用審核、觀察、詢問、函證及分析性復核等內部審計方法和個別訪談、調查問卷、專題討論、穿行測試、實地查驗、抽樣及比較分析等內部控制評價方法，來獲取充分、相關、可靠的審計證據，以支持審計結論和建議。
3)企業內部控制審計應該使用和內部控制自我評價相一致的缺陷認定標準。
4 企業內部控制審計可借鑒的程序和方法
一、《指引》、《基本規范》、COSO新舊報告主要內容比較
《指引》、《基本規范》、COSO新舊報告的主要內容見表1所示。
第一，定義上的比較分析。從定義上看，四者都強調了內部控制或風險管理是一個過程，而且是一個持續改進的過程，是實現目的的手段而非目的本身；都是為企業目標的實現提供“合理而非絕對”的保證。參與主體方面，《基本規范》與COSO兩報告都要求 “企業董事會、管理層以及其他人員共同實施”，這既明確了參與主體，也強調了“全員控制”。而《指引》在全面風險管理定義中雖未直接指明主體，但《指引》第四十二條指出：企業應建立健全風險管理組織體系，主要包括規范的公司法人治理結構、風險管理職能部門、內部審計部門和法律事務部門以及其他有關職能部門、業務單位的組織領導機構及其職責。可以看出，《指引》中的全面風險管理也是“全員性”的，董事會、管理高層、各職能部門、企業員工均要全員參與。
第二，目標上的比較分析?！吨敢分形瓷婕捌髽I目標，但提出了風險管理的五個總體目標：確保將風險控制在與總體目標相適應并可承受的范圍內；確保內外部，尤其是企業與股東之間實現真實、可靠的信息溝通，包括編制和提供真實、可靠的財務報告；確保企業遵守有關法律法規；確保企業有關規章制度和為實現經營目標而采取重大措施的貫徹執行，保障經營管理的有效性，提高經營活動的效率和效果，降低實現經營目標的不確定性；確保企業建立針對各項重大風險發生后的危機處理計劃，保護企業不因災害性風險或人為失誤而遭受重大損失。
《基本規范》提出了由五個目標構成的完整目標體系，其中戰略目標是內部控制最終的目的和最根本的目標。COSO新報告在原來三目標的基礎上增加了戰略目標，這意味著風險管理不僅僅應用于實現企業其他三類目標的過程中，也應用于企業的戰略制定階段。另外，COSO新報告還將報告拓展到“內部的和外部的”“財務的和非財務的報告”，該目標涵蓋了企業的所有報告。
第三，要素上的比較分析?！吨敢窙]有直接引入要素概念，僅從全面風險管理內容看，包括風險管理策略、風險理財措施、風險管理的組織職能體系、風險管理信息系統和內部控制系統五個方面?！痘疽幏丁返奈逡厥墙梃bCOSO舊報告的五要素，并根據我國實際情況作了一些調整。如《基本規范》將控制環境和監督要素限定為內部環境和內部監督，突出了內部控制的“內部”特征；在風險評估引入了風險承受度，明確了風險識別、風險分析、風險應對策略；把控制活動界定為控制措施，并提出了具體的控制措施，更具可操作性；在信息與溝通要素中加入了反舞弊機制。當然，我國《基本規范》中存在著要素劃分不夠清晰的問題，如將內部審計作為內部環境的構成部分，而又規定內部審計在內部監督中的職責權限，同一個內容出現在了兩個不同的要素之中。與此類似，機構設置、治理結構、權責分配和人力資源政策也同時具有內部環境和控制活動的特征。COSO新報告在原有舊報告的基礎上新增了三個風險管理要素――目標設定、事項識別和風險應對。另外，COSO新報告對相關要素的內涵進行了擴展。
第四，風險管理理念上的比較分析。在風險管理理念上，COSO舊報告中的內部控制強調的是對單個風險或業務單元的風險進行管理，而《指引》和《基本規范》都有風險組合觀的思想，其中，《指引》還明確界定了風險偏好的概念，并定義了風險承受度。
COSO 新報告明確提出了風險組合觀，要求企業管理者以風險組合的觀點看待風險、從企業整體層面上總體把握風險。針對企業目標實現過程中所面臨的風險，COSO新報告對企業風險管理提出了風險偏好和風險容忍度兩個概念。
可見，我國《基本規范》科學地界定了內部控制的內涵，準確定位了內部控制的目標，統籌構建了內部控制的要素，同時也吸收了COSO新報告的精神實質，在一定程度上強調了內部控制與風險管理的統一，在所有重大方面基本與美國COSO報告保持一致，同時在某些地方也體現了中國特色。從內部控制與風險管理整合的角度看，《基本規范》與《指引》有很強的關聯性，而相關概念和規范內容又不盡相同，兩者未進行有效的統一協調，因此勢必會增加國有企業實施《指引》和《基本規范》的難度和成本，影響企業實施效果。而美國COSO成功地將內部控制融入到企業風險管理之中，新報告基本涵蓋了舊報告的所有合理內容。
二、我國內部控制體系建設建議
第一，積極借鑒外部經驗。歐美國家，特別是美國，無論是在內部控制理論上，還是在內部控制規范化建設方面，都比我國起步要早，已經研究和制定出了一系列的規范。因此，學習和借鑒國外先進的內部控制規范是我國內控建設過程中的一個必要階段。但我國企業在法治意識、制度基礎、風險理念、經營風格等方面與歐美企業存在較大差異，因此照抄照搬的內控規范可能不適合我國國情。我國的內部控制規范比較接近于美國模式，即采用的是規則導向型的內部控制。但是，美國模式有一個前提，即：如果通過內部控制的評價和報告暴露出管理層不能履行對內部控制的責任，那么管理層會受到董事會、市場和監管部門的懲罰。但是，我國對管理層的責任追究機制遠沒有美國有效，因此這個前提在我國目前的情況下還沒法成立，如果直接效仿美國模式，將很難看到基本規范實施的效果。所以，我國的內部控制規范可以適當采取原則導向和規則導向相結合的方式，以原則為基礎，以規則為指導。
第二，加快內部控制規范創新。《基本規范》及其配套指引只規定了中國企業建立內控制度的基本原則、目標、框架及主要控制環節和相應核心控制點，提供的僅僅是個原則性的框架，這就造成我國企業在具體實施的過程中面臨難題――企業應當如何結合自身情況實施內部控制？所以，我國應進一步制定保護基本規范順利實施的細則，包括企業如何有效地執行規范、如何準確評價本企業內部控制狀況、中介機構如何客觀評價內部控制的有效性并出具審計報告等。另外，對于《基本規范》中存在的某些問題，如：要素劃分不夠清晰，對內部控制整體的關注不夠等，應進一步得到規范。
第三，對內部控制和風險管理進行整合。雖然新頒布的《基本規范》與《指引》有很強的關聯性，但兩者未進行有效的統一協調，這一問題有待迫切解決。正是因為有風險才需要控制，控制的最終目的是為了降低風險，所以，應盡快將內部控制與風險管理進行有效整合，以減少企業實施成本和監管成本。
財政部于2011年9月9日印發了《會計改革與發展“十二五”規劃綱要》（以下簡稱規劃綱要），其中，第六項第7條明確“全面推進事業單位會計改革。根據推進事業單位改革、促進事業單位健康發展的需要，借鑒國際經驗，結合醫院、高校會計改革成果，全面修訂事業單位會計準則和事業單位會計制度，整合事業單位行業會計制度”；第七項第11條明確“構建行政事業單位內部控制規范體系”。作為規劃綱要上述兩項的前行之舉，高校新會計制度方面，財政部以滿足預算管理、資產管理、財務管理、績效評價等方面會計信息需求為目的，于2009年8月印發了《高等學校會計制度》（征求意見稿），經向社會廣泛征求意見后，擬于2012年1月1日實施；內部控制方面，財政部等五部委分別于2008年5月和2010年4月先后了《企業內部控制基本規范》和《企業內部控制配套指引》，從而共同構建了中國企業內部控制規范體系。在以上兩方面基礎上，作為內部控制規范體系在全社會范圍內的推進，構建高校新會計制度實施環境下基于高校運行管理特點的事業單位內部控制規范體系已成為當前緊迫的任務之一。就具體如何構建的問題，本文試圖通過當前高校資金運行狀況并結合內外部基礎條件變化進行分析。
二、高校會計制度的主要改革點
由于最新的高等學校會計制度尚未正式頒布，目前僅從《高等學校會計制度》（征求意見稿）與現制度比較，發現改革點主要包括以下內容：
（一）會計核算基礎 由現行的除經營業務外一般采用收付實現制，改為采用修正的權責發生制?！靶拚钡暮x，是指原則上采用權責發生制，對于某些特定業務如政府撥款、捐贈收入、獎勵支出、贊助支出等仍偏向于采用收付實現制。即可理解為，除特定的業務外，一般采用權責發生制。
（二）會計核算主體 主要表現為將現行獨立于高校事業核算之外的基建會計統一納入高校會計主體大賬中。
（三）固定資產核算 由現行的只反映原值，不計提折舊，改為設置累計折舊賬戶用來計提固定資產折舊，反映其凈值。相似地，無形資產核算，由現行的僅反映無形資產原價扣除攤銷后的凈額，但不設置累計攤銷賬戶，改為同時設置累計攤銷賬戶，以反映其凈值。
（四）增加與公共財政相關的會計核算內容 即新增了與國庫集中支付、政府收支分類、部門預算等公共財政改革相關的會計核算內容。
（五）預算管理方面 由現行設置專用于預算管理的科目，改為平行設置財務會計科目與預算會計科目。
（六）會計科目設置 由現行一般不可減少或合并會計科目，改為可根據實際情況自行增設、減少或合并某些會計科目。
（七）調整、擴大了財務報表的相關項目與范圍 即由現行的包括資產負債表、收入支出表、附表及收支情況說明書，改為包括資產負債表、收入費用表、預算收支表、基建投資表以及報表附注，同時對年度和中期財務報表作了規定。
（八）會計要素 由現行五要素“資產、負債、凈資產、收入、支出”，改為“資產、負債、凈資產、收入、費用”。即將其中要素之一“支出”變為了“費用”，其含義的變遷也體現了高校新財務制度由“收付實現制”向“權責發生制（修正的）”的本質改變。
由以上各方面可看出，新的高校會計制度（征求意見稿）從總體上看，與企業會計制度具有趨同性，即使包含預算管理及公共財政因素，也只是將其在修正的權責發生制基礎之外作為特定的業務進行處理。因此，針對高校會計制度往權責發生制方向發展的新基礎，其對高校內部管理的適應性方面也提出了新要求，具體表現就是構建高校內部控制規范體系。
三、高校內部控制規范體系構建的基礎條件
對高校內部控制規范體系構建起支撐作用的基礎條件體現在多方面，本文僅對高校當前形勢下新出現的幾個方面，做出分析和闡述：
（一）規劃綱要明確 在規劃綱要中，明確提出構建行政事業單位內部控制規范體系。目前，從內部控制規范體系在全社會相關領域推進步驟看，第一階段是《企業內部控制基本規范》和《企業內部控制配套指引》先后出臺并首先在主板上市公司實施，其后擇機在中小板和創業板上市公司施行并鼓勵非上市大中型企業提前執行；第二階段是擬構建行政事業單位內部控制規范體系，這在規劃綱要第11條得到明確；第三階段即是規劃綱要第13條所指出的，不斷完善企業內部控制規范體系，會同相關部門研究擬訂金融、保險、證券行業的內部控制規范體系。以上各階段從設計層面分析，對事業性各領域的細分，雖未在規劃綱要中明確提出，但高校作為國家事業體制的重要組成部分，有其顯著的運行特點，因此在事業單位內部控制規范體系構建成熟的基礎上，針對高校特定類型做出規范細分或指引也是必然的。
（二）高校運行客觀要求 高校運行的資金面主要有兩種：事業經費和科研經費，前者來源于財政資金和政策收費，后者來源于縱向課題和橫向課題。此外還有部分以自籌為主的經營性資金在運行。所有資金的運行隨著高校新會計制度的實施，都將使其使用中的責任與風險更明確、具體，并且面臨著績效考評的要求。而高?，F實的運行環境中，普遍存在著與內控內在要求及財務管理不相適應的地方。對于這些問題如何解決，其實在現已推出并實施的《企業內部控制基本規范》中有關“會計系統控制”、“財產保護控制”、“授權審批控制”、“績效考評控制”、“預算控制”等控制活動中能找到答案，或者對其根據高校事業性特點、管理及資金運行特征變通性借鑒。
（三）最新資源支持 當前關于加強非營利組織包括高校內部控制的呼吁有很多，闡述實施高校內控必要性及采取有關措施的學術文章及見解也不少，但總體來看，所反映內容基本上顯得較為寬泛、松散，難以找出針對性較強的主線脈絡。其中即使有些思路較為清晰完整的，也能從其面貌看出是以財政部2001年的《內部會計控制規范——基本規范（試行）》作為藍本以高校名義做出的闡述。當然，這也有一定的合理性。一方面，該版內控規范具有通用性，適用對象為國家機關、團體、企事業單位；另一方面，從新近財政部等六部委推出的2008版《企業內部控制基本規范》和2010版《企業內部控制配套指引》觀察，其關于內部控制原則和控制活動的闡述，本質上也汲取了2001版通用規范中的精華，同時根據現時期企業經營管理目標和環境的變化等方面作了有針對地、系統性地擴充和規劃。
不過，在當前條件下，再以2001版“內控試行規范”作為高校內控體系構建的基本依據有其局限性，首先，該版內控規范著眼于會計控制，而在組織結構控制和具體業務控制方面顯得欠缺或空泛；其次，即使著眼于會計控制，由于高校面臨基于修正的權責發生制下的新會計制度的推出，其總體會計環境將發生重大變化，如果不面對高校做出會計控制方面的新的針對性強的規范或指引，將會使高校內控規范體系構建不實、不穩。因此，本文認為目前構建高校內部控制規范體系最可資借鑒的藍本或重要參照，正是2008版《企業內部控制基本規范》和2010版《企業內部控制配套指引》，盡管其名義是“企業”性的。
四、高校內部控制規范體系構建
關于高校內部控制規范體系的構建，從程序上推測，應當是在“規劃綱要”第11條所指出的“行政事業單位內部控制規范體系”構建之后，以其為基礎，制定以事業單位分領域（高校領域）內控規范體系的形式出現，或以其“配套指引”之一的形式，或直接以高校領域的內控實施方案的形式出現。無論何種方式，高校內部控制規范體系的構建均應從以下方面進行考量：
（一）以《企業內部控制基本規范》及其配套指引為核心參考
以新近推出的2008版《企業內部控制基本規范》及2010版《企業內部控制配套指引》作為高校內部控制規范體系構建的核心參考，雖然新規范及其指引最先在上市公司推行，是企業性的指導，但值得重視的是，在對《企業內部控制基本規范》及《企業內部控制配套指引》的掌握上，財政主管部門對高校等事業單位的高層財務人員與對企業高層財務人員的要求是一致的，因此，掌握了《企業內部控制基本規范》及其配套指引的精神，也就基本上掌握了內部控制規范體系在高校等事業單位構建的脈路。
（二）高校內控規范體系內容設定 基于上述理由，以參照最新企業內部控制規范體系框架內容為總出發點，從立足高校社會職責，綜合其事業性、經營性兼顧的運營管理特點，并以修正的權責發生制下的高校會計制度的會計控制要求重要考量，進行修正、取舍，按現行企業內控基本規范構架，大致可從如下幾方面進行設定：
（1）內部控制目標。將現行企業內控中關于內部控制五目標的描述的內容實質予以保留，只是個別目標在措辭及所指對象上進行完善，即將“合理保證企業經營管理合法合規”改為“合理保證高校事業運營管理合法合規及方針政策”，將“提高經營效率和效果”改為“提高事業運營效率和效果”，將“促進企業實現發展戰略”改為“促進高校實現事業發展，滿足社會需要”。此外，特別考量到高校財政資金的國家主體性，其內控目標增加一條為“有效預防違法違紀腐敗行為的發生”。
（2）內部控制原則?？紤]到高校雖然在資金上主要具有國家財政資金的特性，但在運營管理上具有相當程度的企業化傾向（以能夠適用修正的權責發生制為證），并且實際也有一定范圍的企業化經營部分，因此可將現行企業內控中關于內部控制的五項原則，即“全面性原則、重要性原則、制衡性原則、適應性原則、成本效益原則”的設定及描述予以全部采用，并暫時不作是否增加其他新的內控原則的考慮。
（3）內部控制要素。一是內部環境。高校內控規范可根據高教自身特點，主要設定為“組織結構、事業發展、教育資源、高校文化、社會責任”等方面，其中“組織結構”因受高校為國家事業組織性質影響較大，內控發揮程度有限，因此在當前或許只適合做一種組織原則的界定，而其他幾個方面則應充分發揮內控規范的調節作用。此外，為營造高校良好的內部控制環境，針對高校特性，可從組織維度、部門維度、作業維度做立體設計與規劃。二是風險評估。現行企業內控規范中關于風險評估的內容有：目標設定、風險識別、風險分析、風險應對。因其理念及技術操作策略較為成熟，可移植于高校內控規范體系構建關于內部控制要素的考慮中，只是具體內容須針對高校運行定的風險及對象做出相同于或不同于企業風險對象的認識與控制。三是控制活動。在高校采用修正的權責發生制會計制度下，其所體現的會計系統控制、財產保護控制、預算控制的內容與企業內控已經具有一定的趨同性，同時運營分析控制、績效考評控制也能較好地契合各類資金、經費運行下相關主管部門、資金提供方對高校運行目標的考察和評價。此外，有關“重大風險預警機制”和“突發事件應急處理機制”的提出，對當前愈來愈社會化運行的高校而言，是使其面對嚴峻、復雜的公共環境局面，從內部控制活動角度進行突破的一種良好方式。關于高校內控具體的業務層面的控制，在對現有支出類科目按收付實現制、權責發生制標識、劃分，并進行相應會計處理的改進與調整的基礎上，可按資金活動控制、采購業務控制、資產管理控制、業務收入控制、科研與成果轉化控制、工程項目控制、擔保業務控制、業務外包控制、財務報告控制等方面不同的經費性質及運行情況，以關鍵點控制法為基礎進行設定。
（4）信息與溝通?，F行企業內控規范中關于信息與溝通的內容有：信息質量、溝通制度、信息系統、反舞弊機制等方面，同時在相應的配套指引——應用指引中，以“全面預算、合同管理、內部信息傳遞和信息系統”等四項內容作了具體描述。以上這些完整的管控設定及描述，對高校內控規范體系的信息與溝通方面也有同樣的要求，并基本適用于高校。同時高校應當繼續完善的是，有關“全面預算”的管控措施還應當考慮到高校資金體系中資金來源的多樣性和資金使用的差異性；有關“反舞弊機制”方面應結合前述高校內部控制目標之一的“有效預防違法違紀腐敗行為的發生”的總要求設定相應的管控措施。
（5）內部監督。現行企業內部控制規范體系中按日常監督和專項監督進行了業務性的劃分，并同時以相應的配套指引――評價指引方式對其內容作了詳盡的描述。高校在這方面可適當借鑒。同時考慮到高校事業性較強的特性，在內部控制規范體系全面實施前，其內部控制工作機制相對較弱，而內部審計機構設置及工作機制一般已有穩定的基礎，因此，在具體的內部監督及內控自我評價方面應進行有針對性設定，即以前文所述各項內控規范設定為基礎，對高校內部控制評價的內容、組織、缺陷認定、評價報告及披露與報送等制定具體措施方案，以為高校內部控制規范體系的全面設計與運行提供監督保障。
一、我國上市公司的內部控制存在的主要問題
21世紀是一個經濟全球化的時代，身處國際市場的中國也深受國際大環境的影響。隨著中國入世后過渡期的結束，中國將兌現入世承諾，取消“保護”措施。沒有了“保護”，我國的上市公司將面臨更加激烈的競爭。相比國外企業，我國企業在內控制度上還存在著很多問題。主要表現在以下兩個方面：
一是對內部控制認識不足。目前我國一些企業的領導對內部控制認識不足, 認為內部控制束縛了自己的手腳，不重視內部控制制度的建設。
二是公司治理結構不規范、監督機制不健全。很多公司內部董事長、總經理由一人擔任，這樣，董事會難以發揮監督經理人員的作用，監事會形同虛設，難以有效發揮其監督職能。很多企業監督評審主要依靠內審部門來實現，而有些企業的內審部門隸屬于財務部門，與財務部同屬一人領導，內部審計在形式上就缺乏應有的獨立性，內部控制制度不能有效運行。
雖然逐步進入國際市場是我國上市公司發展的大趨勢，但就目前而言，國內政策的變化仍然是影響我國上市公司內部控制制度變化的主要方面。從政府方面分析，上市公司的治理目前仍以政府為主導，通過政府頒布的法規規范公司內部控制。從上市公司自身方面，在我國上市公司模式運營的若干年里，由于內部控制的缺失，出現了很多上市公司的財務欺詐事件。這些事件無論從數量上還是嚴重程度上都不比美國企業所出現的問題輕，嚴重損害了我國企業的國際形象。
二、中美內部控制理論的對比分析
（一）形成機制上的比較
西方發達國家的主要做法是廣泛吸收社會各界參與制定準則，在程序上提高透明度,貫徹民主化決策原則。例如，美國COSO報告就是由多個專業團體發起組織的COSO委員會提出的。與發達國家相比，我國的內部控制規范在形成機制上則極具“中國特色”，主要表現在：政府有關經濟管理職能部門參與制定過程；專家和教授的影響較大；最終定稿采取的是征求意見而非民主投票的方式。
（二）性質上的比較
美國內部控制規范是非官方的職業自律組織負責制定和的，其性質相當于職業界的自我管理和自我規范，是一種自律性的標準。我國內部會計控制規范的主要制定者為財政部會計司、證監會和中注協等，是一種兼有自律和他律雙重性質的標準。
從形成機制及性質的比較可以看出：政治環境決定會計服務的對象。政治環境的差異，使得美國政府并不直接制定相關控制規范，而是交給民間機構或組織來完成；而我國的內部控制規范則由政府制定頒布。另外，我國處于內部控制規范建設的快速發展時期，只能先借鑒國外先進成果制定出具有指導性的規定，然后再根據外部環境的變化、企業業務職能的調整和管理要求的提高，進行修訂和完善。
（三）目標的比較
2000年，我國財政部的《內部會計控制規范――基本規范(試行)》（以下稱基本規范）所設定的內部會計控制應達到的基本目標為：規范單位會計行為，保證會計資料真實、完整；堵塞漏洞、消除隱患，防止并及時發現、糾正錯誤及舞弊行為，保護單位資產的安全、完整；確保國家有關法律法規和單位內部規章制度的貫徹執行。這與美國早期以審計為背景的內部控制目標極為接近，而與COSO企業風險管理框架、加拿大COCO報告、MBNQA以及IIA 內控準則的目標都相差甚遠。以審計為背景的內部控制目標，其實質是為解除審計責任服務的。強大的機構投資者們對公司施加的壓力日漸增長，使得內部控制對公司目標以及公司治理的其他方面的關注比對財務報告舞弊的關注更為重要。因此，與社會經濟的發展要求相比，我國內部控制目標層次相對還比較低，對上市公司的規范及約束力相對較弱。
1992年的COSO報告提出內控制度的首要目標是為了合理確保經營的效果和效率以及保證財務報告的可靠性和遵循相應的法律法規這兩個傳統的內控目標。相對于早期的內控制度只強調財務報告的可靠性和合規性兩個目標而言，有了進一步的拓展。2004年的COSO報告即企業風險管理（ERM）框架中細化了內部控制的定義和相關目標。在內部控制的定義中明確指出內部控制可以實現各類目標，各類目標不僅包括以前所提到的3個目標，而且還應當實現企業的戰略目標。戰略目標是企業最高層次的目標，指導和制約戰術目標。企業所有的活動應該圍繞戰略目標的實現而進行，內部控制的建立和實施也不例外。如果企業在戰略制定方面出現了真空，企業的戰術就會迷失方向，企業的損失會更大。
（四）基本構成形式和設置方式的比較
基本規范中第3章第8條中確認我國內部會計控制的9項內容主要包括：貨幣資金、實物資產、對外投資、工程項目、采購與付款、籌資、銷售與收款、成本費用、擔保等經濟業務的會計控制。
COSO認為內部控制是風險管理的一部分，因此該委員會又在《內部控制――整體框架》的基礎上出臺了《企業風險管理（ERM）框架》，指出內部會計控制的8個組成要素是：內部環境、目標制定、事項識別、風險評估、風險反應、控制活動、信息與溝通、監督，為企業風險管理和概念體系方面提供了應用指南。
按照COSO風險管理框架，內部控制由8大基本要素構成，各要素貫穿在企業整個管理過程之中。2004年出臺的COSO風險管理框架最大的變化，就是將企業內部控制更名為企業風險管理。風險管理框架建議更加透徹地看待風險管理，即從固有風險和殘存風險的角度來分析風險。另外，COSO風險管理框架要求董事會與管理層將精力主要放在可能產生重大風險的環節上，而不是所有細小的環節上。將風險管理作為內部控制的最重要內容，這是一個革命性的變化。
我國的內部會計控制基本規范并沒有明確內部控制的構成要素，而是直接按照業務項目列出了內部會計控制的9項內容，強調企業的內部會計控制，明確提出了企業應該如何對9項內容進行有效的控制。相對于COSO風險管理框架而言，我國的內部控制規范更加側重于企業內部會計控制的實施細節，兩者的差異十分明顯。
三、新形勢下我國上市公司實施內部控制的建議
（一）建立聯合委員會，制定內部控制規范
我國上市公司的發展還不成熟，存在的問題和不足遠多于美國等西方國家的上市公司，所以需要通過政府加以規范的地方還很多。因此，從我國現實出發，可考慮高層次的強制執行的具有法律效力的內控規范體系，或是將內部控制規范嵌入相關法律體系，把它作為有關法律的基礎或標準?？梢越梃b美國COSO委員會由多部門聯合制定的經驗，由財政部牽頭，會同證監會等部門共同組成專門小組，制定一個有權威性的、理論嚴謹、內容廣泛，兼有可操作性的公司內部控制規范。在條件成熟時，還可以由國務院《公司內部控制條例》，將內控規范嵌入法律體系。制定上可參考美國COSO報告和2004年新修訂的《企業風險管理框架》，主要對企業可能存在的運作和財務風險建立原則性的管理控制規范。
（二）完善公司內部董事會構建機制,將監事會做實
在以董事會為核心的內部控制框架中，董事會下包括審計委員會在內的專業委員會以及經理層下屬的審計部，在對內部控制制度運行過程的監督和效果評價方面的作用越來越明顯。但是，監事會對處于內部控制核心地位的董事會的監督卻長期弱化。這一問題的解決有賴于監事會監督功能的強化，切實執行監事會對董事會及高級管理人員的監督職能。
總結近幾年公司控制結構變遷的特點, 針對大股東一股獨大或公司最終控制人試圖通過一致行動、差額投票權、多重塔式持股、交叉持股等手段控制公司而可能出現侵犯中小股東權益、損害公司長遠利益的現象，應優化董事提名機制、董事會形成機制以及董事責任追究與問責機制，使董事會成員獨立于經理層，為董事會成為內部控制框架的制定者、監督者和最高執行者，發揮董事會在內部控制中的核心作用提供權責劃分的保證。
（三）按業務循環來規范內部會計控制的內容
目前按9個項目來界定內部會計控制的內容，是從簡單的形式上來界定的，應改為企業經營流程控制。COSO的經驗值得借鑒：先分為進貨、營運、出貨、營銷及銷售、售后服務等5個基本價值鏈作業；再將價值鏈作業分為管理、人力資源、研究開發、采購4個基礎作業；管理細分為企業治理管理、外部關系管理、行政管理服務、信息技術管理、風險管理、法律事務管理、企劃、財務管理等子作業；進而將財務管理劃分為貨幣資金、應收賬款處理等多個控制作業點，各作業點再制定相應的控制子目標、合適的風險控制。把各層次可操作的控制作業面組成環環相扣的有耦合作用的控制體系，較好地避免了按項目制定造成重復的麻煩。
（四）在實踐中總結發展內部控制理論，建立具有中國特色的內部控制理論
隨著社會主義市場經濟的建立和逐步完善，市場競爭的日趨激烈，為了增強企業在改革浪潮中的競爭實力，提高企業的經濟效益，要求企業必須強化企業的內部控制。1999年修訂的《會計法》十分強調企業內部控制制度的建設問題，但其操作性較差，財政部制定的基本規范、《內部會計控制規范――貨幣資金（試行）》等5個規范，應在實踐中逐步完善并進一步系統化。
值得一提的是，財政部于2007年3月下發了關于印發《企業內部控制規范――基本規范》和17項具體規范（征求意見稿）的通知。征求意見稿在借鑒了以美國COSO報告為代表的國外內部控制框架的基礎上，根據我國國情進行了較大調整和改進。如果這些規范能夠得以順利實施的話，將會使我國上市公司內部控制制度的發展得到一次質的飛躍。
(一)內部控制與會計信息規范
內部控制是由內部的牽制發展而來的。最早提及內部控制的職業文獻是1929年美國會計師協會和聯邦儲備委員會(FRB)修訂的《會計報表的驗證》(Verification of Financial Statements)。最早定義內部控制的是1936年在上述基礎上再次修訂的《獨立公共會計師對會計報表的審查》(Examination of Financial Statements by Independent Public Accountants)。它將內部控制定義為,“為了保護公司現金和其他資產的安全、檢查賬簿記錄準確性而在公司內部采用的各種手段和方法”。具有權威的COSO委員會這樣描述內部控制:內部控制是由企業董事會、經理階層和其他員工實施的,為運營的效率效果、財務報告的可靠性、相關法令的遵循性等目標的達成而提供合理保證的過程。由此可見,保證資產安全和會計信息真實是內部控制發展的主線。
長期以來,我們所提及的會計信息,大多是指財務會計信息,也即會計準則所規范的企業對外會計信息,更簡化而直接的說,就是指資產負債表、損益表、現金流量表以及相關法律規定的會計報表(如稅法規定的應交稅金明細表等),充其量包含到對這3張報表形成過程進行評判的審計報告。在一定的情況下,對這3張報表的分析報告也屬這一范疇。從我們對會計信息真實公允進行判定的結果來看,我們關注的是會計核算的結果,且把會計信息局限在對外提供的3張報表之中,忽視了會計信息形成的源頭。而真正的、可怕的失真就是來自會計信息源頭——經濟業務或活動的虛擬和偽造。內部控制的提出,使我們開始關注到會計信息范圍和源頭。注冊會計師為了解除審計責任,減少審計風險,逐步深入地注意到在企業一般“作業”層面上的信息及其產生過程?？梢?企業經營管理中的“作業”也是注冊會計師審計風險產生的源頭。如此,注冊會計師要完成審計責任,降低審計成本,減少審計風險,必須將一部分自己無法履行的信息真實性的責任分解給企業管理當局即董事會及經理層。從而在社會公眾、小股東和政府的幫助下構筑了“內部控制”,并使董事會成為內部控制的核心。
其實,董事會成為內部控制的核心是理所當然。因為,內部控制的主要目標就是驗證財務報告的可靠性和保護資產安全,這也是作為股東代表和企業管理當局的董事會的責任。同時,實施內部控制,提升企業素質,提高股東收益,也正是董事會所企望的利益所在。
回顧內部控制的歷史可以看出,內部控制是由內部的牽制發展而來的,內部牽制思想產生于古埃及的國庫管理。再看現在,對內部控制的關注不僅是注冊會計師、企業管理當局,更有政府監管部門。在我國,1997年了《加強金融機構內部控制的指導原則》,2001年了《證券公司內部控制指引》,財政部2001年頒布了《內部會計控制基本規范》等,無不表明,內部控制已成為政府有關部門進行企業經濟監管的一項重要措施。
根據上述分析,筆者認為,保證資產安全和會計信息真實是內部控制的主要目標,而對會計信息的真實性,我們一直依靠會計核算及會計信息內部的勾稽關系或邏輯關系來維系的。我們通過制定會計準則來規范對外會計信息,且把會計信息真實的責任局限在會計師及注冊會計師范圍內。事實證明,這樣做很難保證會計信息中的掩蓋與欺詐?，F在,提出內部控制強調的是從會計信息源頭(即經濟業務、會計事項)的真實性和責任性的控制,讓企業管理當局、企業的所有者和經營者與會計師(注冊會計師)一起承擔會計信息真實性的責任,這樣的控制將會是有效的。同樣,對會計信息真實的保證措施必然是制定相關規范。目前,對外信息的規范已經趨于成熟和完善。雖然出現了這樣那樣的失真與欺詐現象(不可否認世界各國的這方面的準則是合適的),但究此原因,人們已清楚地認識到,企業管理當局在會計信息方面責任不清及誠信缺失是主要的原因。因此,通過對“內部”(其實是指未規范的會計信息,詳見下文的解釋)會計信息的規范,從而達到對會計信息全面規范,迫使企業管理當局對會計信息真實的責任“回歸”,是必要和緊迫的。美國“安然事件”之后,布什總統提出了10點計劃,緊緊圍繞:(1)為投資者提供更好的信息;(2)使公司官員負有更大的責任;(3)發展一個更強有力的和更獨立的審計系統三大核心原則,其關鍵就是在使公司官員對會計信息的真實負有更大的責任,因為,只有公司管理當局對此具有責任,才能從“根本”上保證會計信息的真實。
(二)會計信息的全面規范
長期以來,會計界一直沿襲“會計是財務會計和管理會計兩大部分組成的”之觀點,并認為財務會計提供對外(或外部)會計信息;管理會計提供對內《或內部》會計信息,即專為企業管理者服務的信息。然而,我們對企業會計工作現狀稍作考察,不難發現財務會計與管理會計在程序上、方法上乃至理論上是難以準確而清晰界定的,更別說會計信息上的如此武斷的劃分。有誰能肯定對內信息僅由管理會計提供的?比如說前述的企業成本、費用這個對內信息就是財務會計核算的方法、程序及觀點而提供的;再比如,會計的憑證、賬簿資料一般不對外提供,但它們所記載的信息都是由財務會計的理論、方法和程序所決定的。更不容否認的是,對外會計信息都能對外了,自然也就對內了,已為企業內部所用了,你還能說它是對外信息嗎?因此,我們認為,對會計信息這樣的劃分和認識是不正確的,是一種想象,是一種誤解。借用習慣的“對內會計信息”說法,我們覺得對內或內部會計信息涵蓋了企業會計系統所提供的所有會計信息。會計信息首先是對內的,然后才是有選擇的(按照會計準則的要求)對外的。也就是說,如果堅持采用“對外”和“對內”的傳統名詞,對外會計信息只是內部會計信息的一部分而已。據此可以看出,內部會計信息的質量決定著對外會計信息的質量。我們認為,會計信息可以根據規范狀況,將其分為已規范的會計信息和未規范的會計信息。同時我們也強調,對外會計信息出現了“失真”等現象,主要是因為會計信息沒有被全面規范。那部分未被規范的(很多人認為無需規范的)“內部”會計信息,是指那些無需對外陳述或無需詳細對外陳述的會計信息。這類會計信息因為都不對外,最易于被掩蓋和造假。因此,我們認為有必要對企業會計信息實施全面規范,將那些至今尚未規范的會計信息全都加以規范。只有將所謂的“內部”會計信息規范嚴格,才能保證對外會計信息真實和充分。據此,我們可以說,會計信息只有“對外會計信息”的說法,而無“對內(內部)會計信息”的說法,因為從某種意義上說傳統的“內部”會計信息就是所有會計信息。
所謂會計信息全面規范,就是對企業所有會計信息形成的全員(全體企業人員)、全過程(從源頭到結果)、全方位(業務、職責乃至程序、方法)進行的規范。筆者認為,現在所謂對內部會計信息的規范就是實現對企業會計信息的全面規范,將那些至今尚未規范的會計信息全都加以規范。只有這樣,才能保證對外會計信息真實和充分。
對未規范的會計信息的規范是內部控制的政策和基礎,也是內部控制的有效保障,當然這部分會計信息規范必須符合內部控制的規律和要求,相對于對外會計信息規范在目標、程序乃至要求等方面有很大的不同,具有一定的“內部”特征:(1)在目標上,這類規范必須以內部控制目標為基本的目標和標準;(2)在制定程序上,這類規范的基本規范應由財政部或相關機構制定,而具體規范和制度應由企業依據基本規范自行制定;(3)在要求上,主要的標準是“有”還是“沒有”制度或條例,“符合”還是“不符合”《會計準則》和《會計制度》,具體規范“遵循”還是“不遵循”基本規范;(4)注冊會計師對內部控制制度的審計結論,主要是定性的陳述而非定量的說明,以表達企業規范是否達到內部控制的目標和要求。
我們認為,這部分會計信息在原有會計核算的基礎上,將更加注重會計監督。會計控制程序和制度方面,除了具備真實性、相關性、一致性、明晰性、可比性、重要性和謹慎性等會計信息一般原則要求以外,還有一些特殊的原則:(1)內外一致原則,即對外那部分會計信息必須與原有會計信息相一致,不得粉飾與調整;(2)與控制環境相協調的原則,即這部分會計信息的生成、報告等程序和方法要根據企業自身的條件及管理水平相協調,并使之達到有效控制的目標;(3)保密性原則,即這部分會計信息由于揭示企業內部管理動態,涉及大量的商業秘密,必須依照相關法規進行不同等級的保密;(4)授權控制原則,即這部分會計信息因散布在企業的不同部門、不同環節上,會計信息必須為各部門各層次組織所提供和控制;(5)職位不相容原則,即在信息生成、報告及控制(監督)過程中,分設崗位及人員互相牽制完成職責,以免權利過于集中而出現失真;(6)針對性原則,這部分會計信息可以通過“再加工”,針對企業管理或內部控制中的局部問題和典型問題,提供專題信息報告(含分析報告)。據此,我們結合內部控制的要求,提出關于未規范的(即不對外的)會計信息規范的粗略框架。
關于內部控制及內部會計控制的研究表明:內部會計信息規范已將會計規范是從僅對會計行為的規范拓展到對企業管理行為的規范。會計的歷史告訴我們,會計源于管理,又為管理所用,會計是企業管理活動的一個重要組成部分。在我們研究內部控制相關問題時更深切地感到,會計與企業管理的這種“血緣”關系難以分割。據此,筆者覺得,在研究企業內部控制以及內部會計信息規范時,還需要從以下幾點著手:
(1)企業目標是企業經營管理的最高目標,它統領著內部控制目標以及內部會計信息規范(內部會計控制)的目標。相應的,內部控制(內部會計控制)目標服從于企業的目標。在研究中不容忽視。
(2)內部控制的第一要素是控制環境,而控制環境的認識和分析,必然運用現代經濟學和管理學的最新理論。因此,我們必須將經濟學、管理學的理論和方法運用于內部控制研究,才能使內部控制更有效。我們不僅要重視內部控制研究前提的客觀性(指符合中國國情),更要重視引用理論的實用性(即可行性)。
一、我國企業內部控制規范的制定原則
企業內部控制規范的制定是一項社會性、專業性很強的工作，其制定主要依據以下幾個原則。
．從實際出發，結合企業實情
內部控制是一種系統的制度安排，制定的時候充分考慮了我國的政治、經濟、文化和社會環境，根據我國企業的實際情況，在對以往制度進行改革的同時參考國際相關制度，形成了企業內部控制規范的模本。整體看來，《內部控制基本規范》與我國企業所處的具體環境相適應，與我國的法律法規相協調，力求最大限度地弘揚我國企業經營管理的實踐經驗。
．突出重點，注重實效
企業的內部控制制度涉及經營管理的各個環節、各個方面，涵蓋了企業日常經營的各項業務。因此，內控基本規范在保證企業財務報告完整真實及企業資產安全的基礎上，著重對那些影響財務報告真實性、完整性，影響資產安全性的事項和業務進行了規范，引導企業建立健全以財務報告內部控制為核心的內控機制，并對企業建立全面控制體系提出了要求。
．對企業具有引導性
內控基本規范的制定是為企業的業務活動提供一個規范準則，如準則要求企業的記賬人員與會計事項的經辦人、審批人的職權應當明確，相互分離、相互制約；重大對外投資、資金調度、資產處理和其他重要經濟業務事項的決策和執行應設立相互監督、相互制約的機制等，這些準則是企業建立健全內部控制制度的參照標準，其對企業具有引導性，在考慮企業的個性、實際情況和可接受水平，通過一系列可供選擇的方案，引導和鼓勵企業加強相應的控制。
二、企業內部控制規范的主要內容
．內部控制的目標
內部控制在基本規范中的定義為：“由企業董事會、監事會、經理層和全體員工實施的，旨在實現控制目標的過程”。其目標涵蓋五個方面：第一，合理保證企業經營管理合法合規；第二，合理保證企業會計信息的真實完整和企業財務報告的真實可靠；第三，合理保證企業資產安全；第四，提高企業的經營效率和效果；第五，促進企業實現發展戰略。
．內部控制的實施體系和要素
建立健全內部控制制度應遵循全面性、重要性、制衡性、適應性和成本效益性等五項基本原則。內部控制的實施體系主要包括三個方面的要求：第一，以法制為推動；第二，以企業實施為主體，規范地落實有關法律法規，制定本企業內部控制制度并組織實施；第三，以政府監管和社會評價為保障。政府有關部門應對企業內部控制的情況進行監督檢查，會計師事務所應對企業內控的有效性進行審計，并出具內控審計報告。
基本規范提出了內部控制的五大要素，即內部環境、風險評估、控制活動、信息與溝通、內部監督。該五大要素要求企業設立專門的機構負責內部控制的實施，并結合企業的實際情況，及時地進行風險評估。同時，建立內控自我評價制度和內控記錄制度對內控的實施情況進行監督。
三、內部控制規范的制度解析
基本規范自2009年7月1日起先在上市公司范圍內施行，并鼓勵非上市的其他大中型企業執行。這個被稱為“中國版SOX”的規范，被無數人寄予了期望，未來5年內，基本規范的實施將對中國的上市公司和大型企業的規范化運作帶來實質性推動。這是我國繼實施與國際接軌的企業會計準則和審計準則之后，在會計審計領域推出的又一與國際接軌的重大改革。這部規范的推出，意味著中國企業內部控制規范體系建設正在向國際標準靠攏。
這套適用于中國企業的內部控制體系，其基本規范借鑒了COSO報告五要素框架和風險管理八要素框架；具體規范以財務報告內部控制為主線，對與企業財務報表項目相關的、可能會對財務報告真實可靠性產生較大影響的經濟業務事項以及與財務報表編報相關的業務活動提出具體的控制規范，并對為實現有效的財務報告內部控制的事前、事中和事后制度支持提出控制要求。企業的內部控制應該貫穿于企業經營活動的決策、執行和監督的始終，涵蓋企業各種業務和事項。企業每一項經營活動，從工作的效率性及風險的控制性來講，都應強調過程控制，包括宏觀上公司治理結構的確立、機構設置及權責分配、人力資源政策、企業文化等，也包括微觀上企業股東會和董事會的決策程序，經理層及員工的執行程序和要求，監事會、內部審計委員會的監督程序，員工獎勵計劃，以及違反公司內部控制體系的罰則等等。
四、完善企業內部控制規范的建議
按照內控理論，并且結合我國當前企業內部控制中存在的主要問題，完善現代企業內部控制體系可以從以下五個方面入手。
．完善企業的控制環境
任何企業的控制活動都依賴于一定的控制環境中，控制環境的好壞，直接影響到企業內部控制的執行與企業經營目標的實現?？刂骗h境的要素有價值觀、控制目標、組織機構、員工能力、激勵與誘導機制、人事政策和規章制度等。
企業可以從以下三個方面著手改善內部控制環境：（1）明確內部控制主體和控制目標。實施內部控制的主體是企業，控制目標是為了保證企業財務報表的真實，減少企業資產的流失，只有明確了企業的控制主體及其控制目標，才能實施有效控制。（2）加快現代企業產權制度改革。建立產權明晰、權責清楚、管理科學、政企分開的現代企業制度。（3）引進先進的管理控制方法。例如，制定企業各項管理制度、編制各項計劃、業績與計劃考評、調查與糾正偏離期望值的差異等，這些方法對于不同復雜程度和不同規模的企業十分重要。（4）實施積極的人事政策。要培養和引進一批具有高素質的人才隊伍，培養全體員工良好的價值觀、道德觀和控制意識，從而形成一個特定的企業文化氛圍。
．進行全面的風險評估
隨著高新技術的發展和世界經濟一體化的趨勢，企業的生存壓力越來越大，兼并收購、破產重組、關聯方交易時有發生，電子商務、金融衍生產品等使人應接不暇。企業競爭環境的變化使經營風險增大，企業必須設立全面的風險管理機制，以識別企業的風險因素，如資產風險、內外環境風險、經營活動風險、信息系統風險等，并確定各風險因素的重要程度，評估各風險因素得分，防范因風險過大而導致的破產。
．設立良好的控制活動
企業的控制活動應貫穿于企業的各個階層和各個部門，只有全員參與，才能使內部控制的目標有效落實。內部控制活動涵蓋了經營活動的復查、業務活動的批準和授權、保證對資產記錄的接觸和使用的安全、獨立稽核等。企業在制定控制活動時，需要抓住關鍵控制點。例如，企業的采購循環活動應注意請購單、采購單、訂購單等的授權與審批，要注意對采購的單價、數量、質量等的審核。
．加強信息流動和溝通
信息交流和溝通是指向企業內部各級主管部門、企業外的有關部門人員以及其他相關人員要及時提供信息，通過信息交流與溝通，使企業內部員工能夠清楚地了解到當前企業的內部控制制度實施情況，明確各部門、各人員所承擔的責任，并及時交換員工在執行控制過程中出現的問題及企業經營活動中所需要的信息，以減少由于信息不對稱導致的企業經營成本和社會監督成本的提高。
