爱华网系列专题：《国有企业内部控制框架》
3.完善政策流程 政策、程序与流程是内部控制的内核，是承载内部控制思想与内部控制导向的载体，以及内部控制实施最显现的部分。这部分内容由政策、制度、程序与流程构成，其中，政策与制度确立公司的经营导向和管理导向，流程则将导向落实在具体的操作层面。 程序与流程围绕关键风险点设计，与控制环境相联系，融入信息沟通要求，也是监督评价标准的设计基础。政策与程序的概念较原有的COSO控制活动概念更为具体。首先，围绕前述评估的关键风险制定相关的政策，将评估结果纳入控制活动设计之中。其次，政策与流程的设计，强调相关流程涉及的组织职责边界清晰，审批事项授权明确，这些都与控制环境的完善程度相联系。再有，政策与流程的设计，融入必要的控制文档，并明确规定文档的填写内容、填报责任人、填报时间与路径，实质是将信息沟通要求融入其中。最后，政策与流程还是监督评价标准的设计基础。 综上所述，政策与流程是内部控制实施五项保障措施的核心，也是内部控制机制构建与运行的实操内核，它以控制活动为表现形式，将内部控制的各项要素串联起来。 4.促进信息沟通 企业的信息包括内部运营信息和外部的环境与市场信息，企业应当通过各种可行的、合规的渠道获取信息，合理筛选、加工、整合信息，并合理地在企业各部门和相关利益人之间传递，以支持企业的经营决策。 信息是内部控制的血脉，应当保持畅通，防止堵塞，以免影响内部控制效率的发挥。保持信息畅通关键手段包括两个层面的设置：一个是技术层面的设置，包括清晰部门边界和部门搭接点，明确业务单元/单位/部门之间信息流动的内容频率，规范核算基础、业务统计基础，统一核算口径、业务统计口径、各种表单的口径、管理报告口径、报告频率，以及系统软件的设置与应用；一个是管理层面的设置，涉及信息流动的意愿，包括一系列的与信息流动相关的政策、制度、流程、培训等。 企业在内部控制建设的过程中应该界定关键的信息，对信息流动、信息的质量标准和流动频率提出明确的要求，同时，有条件的企业应该进行企业的信息化建设，利用信息技术促进信息的集成与共享，充分发挥信息技术在信息沟通中的作用，使信息的加工、流动、使用更加有效。 5.提高监督能力
监督是内部控制机制实现效率与风险防范平衡的重要管理手段，对于大型国有企业集团尤甚。传统的内部控制监督手段往往集中于审计。在实务中发现，企业集团的审计受时间与空间的约束，监督的频率与覆盖面受到局限，一些风险隐患往往待事发方暴露。此外，考核缺失也是内部控制执行不到位的重要原因。为此，我们将内部控制监督丰富为四个重要手段，做到过程预警与事后审计相结合，监督检查以考核评价为保障，在实际操作中体现“高授权，大监督”的内部控制管理思路。 （1）风险预警。风险预警系统，是指针对企业的业务循环与关键风险点，定制一系列预警指标，并设定临界值与正常区间，定期编制并上报风险预警分析报告。 风险预警系统是实现过程监督的重要工具，可以帮助企业从浩如烟海的财务、运营指标中，提炼出从不同方位反映企业财务经营状况的关键指标，通过与临界值的对比分析，捕捉管理层容易忽略的关键信息，或是下级管理者人为隐瞒的关键数据。 风险预警的作用有以下两点： 1）弥补审计的时间与空间局限性，预警报告的要求可以覆盖到企业集团所有成员单位，按月上报则提高了风险报告的及时性。 2）风险预警分析报告可以指示内部审计的方向，是确定内部审计目标和审计重点的重要依据。 对于大部分国有企业而言，初次建立预警系统，需要关注两个方面的适用性设计：①预警指标的选择应少而精，且易于从财务及业务系统中获取数据。②因管理的历史数据积累不足，一些企业的临界值确定存在难度，初期可先定指标，明确波动趋势的经济含义，将临界值作为分析的参考值，逐步积累完善临界数据。
