爱华网郑晓军 吴韬
自上世纪90年代开始，国内外发生了一系列由于内控缺失而导致的企业危机事件，国外的例如巴林银行、安然公司、世通公司的倒闭，国内的例如德隆帝国垮台、格林柯尔系崩塌和中航油巨额亏损案等。为防止此类事件发生，维护广大投资者利益，美国在2002年颁布了《萨班斯－奥克斯利法案》。我国在 2006年推出了《上市公司内部控制指引》。而近日由财政部、证监会、审计署、银监会、保监会联合发布，将于明年7月1日起在上市公司实施的《企业内部控制基本规范》，确立了以企业为主体、以政府监管为促进、以中介机构审计为重要组成部分的实施机制，被称为“中国版萨奥法案”，这将意味着中国内部控制制度建设取得了重大突破，并将对公司、证券以及国有资产管理等相关制度产生深远影响。 客观地说，目前很多企业，包括很多上市公司的内部经营管理水平还是很低的，当真有一部上升到法律层面的规范来严格约束企业的运营管理，大部分企业是否能够顺利过关还真是个问题。《企业内部控制基本规范》（以下简称“基本规范”）的制定，参照了美国COSO（美国反虚假财务报告委员会）制定的《内部控制统一框架》。分别从内控五要素的“控制环境”、“风险评估”、“控制活动”、“信息与沟通”和“内部监督”进行了描述。
控制环境 控制环境是内部控制体系的基础，是有效实现内部控制的保障，直接影响着公司内部控制的贯彻执行、公司经营目标及整体战略目标的实现。控制环境通常包括职业道德、员工的胜任能力、管理理念和经营风格、治理结构、组织架构、人力资源政策与措施以及董事会与审计委员等方面。 现在许多上市公司的治理结构不规范，.例如“三会”（股东会、董事会、监事会）职能难以发挥，内部人员控制问题突出，一股独大所带来的股东制衡机制缺失，国有股委托人和代理人（企业家）的缺失等等。这些问题是老生常谈，虽然目前有一些现象也正在改变，例如一些央企已经采用公开招聘高管而不再是委任制，但是治理结构问题仍然是上市内部控制体系建立的一个重点和难点。 基本规范第十三条指出，审计委员会负责审查企业内部控制，监督内部控制的有效实施和内部控制自我评价情况，协调内部控制审计及其他相关事宜等。从此可以看出，审计委员会运行的有效性直接关系到内部控制体系运行的有效性。但是马上在上市公司培养形成一批具有此资质，且被股东信任，能够委此重任的符合要求的人才是有一定困难的。基本规范第十七条指出，企业应当将职业道德修养和专业胜任能力作为选拔和聘用员工的重要标准，切实加强员工培训和继续教育，不断提升员工素质。这涉及到人力资源管理的一个高端模块，叫做员工能力素质模型体系，这项技术在世界500强企业已经被广泛运用，然而我国的很多企业对它的认识还十分有限。 风险评估 在风险评估体系中，主要有三个步骤：风险识别、风险分析和风险应对，其中风险识别是起点也是难点，基本规范第二十二条和二十三条分别提出企业在进行风险识别时，应该关注的内外部因素，然而风险识别能力的形成却不是一蹴而就的。在风险分析方面是有一些成熟、科学的方法和工具可供参考运用的，并且如第二十四条所提示，需要定性与定量结合；而在风险应对方面，第二十六条也提出了要综合运用风险规避、风险降低、风险分担和风险承受等风险应对策略，实现对风险的有效控制。 美国COSO委员2004年发布了一部 《企业风险管理框架》 （Enterprise Risk Management，ERM），其中有一个观念值得我们企业认真思考，这就是风险组合观和整体风险管理观念。企业风险管理要求管理者从企业总体层面上把握分散于企业各层次及各部门的风险，对相关的风险进行识别并采取措施使企业所承担的风险在风险偏好的范围内。也就是说，我们应该从企业总体的风险组合的观念来看待风险。 控制活动 控制活动是确保管理层的指令得到贯彻执行的必要措施，是内部控制在具体层面的反映，存在于整个机构内所有级别和职能部门。包括批准、授权、查证、核对、经营业绩评价、资产保全措施和职责分工等活动。在运用这些控制措施的时候，企业要注意把握控制成本与收益的平衡，以适当的成本实现有效控制。 此外，我们在进行咨询工作的时候，发现企业容易进入一种误区，就是偏向于某一两种控制手段，认为可以解决所有问题，例如有的企业会花巨资邀请咨询公司做一个全面预算管理的项目，或者专门要求咨询公司制定一个细致入微的权限指引手册等等。 实际上以上各种控制手段都有侧重的关键控制，也有控制盲点，所以应该注意不同控制手段的交叉运用，实现理想的控制效果。 信息与沟通 基本规范第三十九条明确的指出了企业相关的内外部信息的获取渠道，第四十一条也指出企业应当利用信息技术促进信息的集成与共享，充分发挥信息技术在信息与沟通中的作用。信息与沟通体系的建立其实分两个层面，一个是硬件体系的建立，另一个是软件体系的建立。第三十九条、第四十条所提到的都是硬件体系的层面，也就是具体的信息管理制度以及信息技术的运用，我国大多数企业都处在这个层面，也就是信息管理的硬件体系都还没有很好建立起来。 例如目前国内企业的信息化水平普遍都还不高，即使上了ERP，但是运用程度也大打折扣，其次企业的信息管理机制非常不健全，我们看到一些面临市场快速变化的快速消费品企业，在信息管理机制方面都很落后。而宝洁却能够做到快速应对，由于奥运会要加强航空安全管理的需要，规定乘客随身携带的液体物品不能超过 100ml，宝洁在很短的时间就推出了95ml的包装系列产品。像宝洁这样大规模的企业能够做到如此快速反应，其内部必定有强大的信息管理机制作为支撑。除了硬件体系，信息与沟通的软件体系是企业更要关注的，因为信息管理机制和信息技术都是死的，也不可能尽善尽美，唯有人的主观能动性、恰当的信息处理动作和良好的沟通习惯，才能使得信息与沟通体系能够更好的运转，而这有赖于一种开放式的文化氛围的塑造。 内部监督 内部监督是对内部控制体系有效性进行评估的持续过程，包括日常监督和专项监督。日常监督是指企业对建立与实施内部控制的情况进行常规、持续的监督检查；专项监督是指在企业发展战略、组织结构、经营活动、业务流程、关键岗位员工等发生较大调整或变化的情况下，对内部控制的某一或者某些方面进行有针对性的监督检查。 在内部监督的两种评估方式中，日常监督显得更加重要，因为它是内部控制在日常能够保持在应有的运行水平上的重要保证。此外，我们企业在进行内部监督体系的建立时，可能首先需要在思想意识上认识到内部监督的重要性，因为内部监督在内部控制体系中是处在不同于另外四个要素的一个层面，是对其他四个体系能够有效运转的一个检视，是控制背后的控制，认识到这一点，对内部监督体系的建设很重要。 当年中国加入WTO的时候，很多人担心狼来了，我们的一些企业会撑不住，但是事实表明，有相当一部分企业成长起来，并且学会在WTO的规则下争取到更多的主动，所以和人一样，企业也需要有外部的压力促使其快速提升。“中国版萨奥法案”也是一个外部压力，相信在这一压力下，我们的上市公司会快速的学会运用内部控制这样一个好的管理工具，使企业的运营水平达到一个新的境界。 （作者：郑晓军博士，德国洪堡学者，北大纵横管理咨询集团投资中心执行总经理；吴韬，北大纵横管理咨询集团投资中心咨询顾问）
