浅谈集团企业内控检查评价方法论

毛晓菲

一、国家监管相关要求

建立健全合规有效的内部控制体系越来越成为政府、企业、中介机构关注的话题，实施内控检查评价是评估内控体系有效性的重要方式。2012年，财政部、证监会发布《关于2012年度主板上市公司分类分批实施企业内部控制规范体系的通知》（财办会[2012]30号）文件，要求主板上市公司自2014年起必须全部实施企业内部控制规范体系。2019年10月国资委发布《关于加强中央企业内部控制体系建设与监督工作的实施意见》（国资发监管规[2019]101号），明确指出要推进内控、风险和合规管理的监督检查评价工作，对内控体系有效性进行全面自评，促进内控体系持续优化。

二、检查评价常见问题

经过多年的内控检查评价专项工作，各企业均形成了常态化、固定化工作模式，对内控体系的建设与完善起到了一定作用。但就近年内控检查评价上报报告及数据来看，普遍存在以下问题：

一是风险分类分级评分标准不明确，定性和定量指标缺失或有歧义。内控评价涵盖企业经营管理方方面面，缺陷标准制定尤为关键。如果某方面缺失定性或定量指标，发现此类问题时出于主观考虑，一般会选择忽视或归为一般缺陷;缺陷认定有歧义，也会影响内控评价的公正公允，自我判断大概率会降低缺陷认定级别。

二是内控检查评价工作方法未能保持一贯性，数据结论无法纵向可比。检查评价范围不一致、覆盖领域有所偏差、评价人员的培训认知差异，造成检查评价结果大相径庭。个别机构之前年度将质量健康安全环保体系中，人员受伤事故列为重要缺陷，但在某年由于重视程度提升，将一次作业漏签字事件即列为重要缺陷，导致年度缺陷数量和评价差异过大，且此项差异很难用内控管理实际效果解释。

三是所属单位针对下级公司提报的内控缺陷，多进行简单加总，而未进行整体层面分析整理。出于成本效益原則，集团公司大多对所属单位内控检查评价实施逐级管理，各级子公司在汇总下属单位内控缺陷时都进行简单加总，而不是合并同类项进行分析，这样既会大幅增加缺陷数量，又不利于客观判定全集团内控有效性。

四是报送的数据仅仅为数据罗列，结论归纳及成因分析不足。内控检查评价数据量庞大且繁杂，仅仅列示数据并没有意义，而需要深入挖掘数据背后的结论和成因。比如某个微小缺陷多次发生或在多个网点出现，是否可以判断出公司至少在这个方面监管不严格，事前措施不到位，进而追溯监管部门的职责落实不到位，是制度设计问题还是执行问题，如何改进或杜绝再次发生等等。

三、优化解决方案

提升内控工作整体水平，优化内控检查评价工作，笔者认为应重点关注评价依据、评价层级、评价层面、评价方法、评价体系完整性、缺陷认定标准、报告质量和外部机构鉴证等方面，形成一揽子内控检查评价方案（见下表）。

（一）抽样方法

在实质性测试过程中，无论是内部测试还是外部测试，样本选取对于评价结论准确性都至关重要，既然抽样固有风险无法避免，就应该在测试过程中应选择适当的样本数量，将抽样风险降至最低。抽样风险一般随着内部控制活动的频率增加而增加，即某项内部控制活动越频繁抽样风险就越高。

在执行内部控制测试时，要依据内部控制活动发生的频率来确定选取样本的数量。确定某一特定关键控制点的测试样本量，应关注控制执行频率，区分每天执行多次/一次，按每周/月/季/半年/年/不定期加以划分，并根据不同情况确定样本量;如果控制频繁执行，但执行间隔不固定，此时统计在测试期间发生的次数，计算预期全年发生次数，推算发生频率。

（二）缺陷认定标准

制定合理、实用、不断修正完善的缺陷判定指标，让实际判定缺陷时能有据可依。结合公司实际情况，从财务报告/非财务报告、定量指标/定性指标两个维度来规范，以财务报告的定量指标、非财务报告的定量指标、财务报告的定性指标、非财务报告的定性指标加以区分和细化。

（三）缺陷汇总与分析

我国《企业内部控制指引》和《企业内部控制审计指引》将内控缺陷分为重大缺陷、重要缺陷和一般缺陷。重大缺陷是指“可能导致企业严重偏离目标的缺陷”，重要缺陷是指“严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标”，一般缺陷是指“除了重大缺陷、重要缺陷以外的其他缺陷”。此定义具有一定模糊性特征，企业执行空间较大，错将重大/重要缺陷划分为一般缺陷。此外，很多企业频繁出现某种一般缺陷事件，没有综合考虑多次发生的根源是否在于管理层疏漏或内控环境缺失，此亦不妥。

各企业形成内控自评价报告时，当年的评价依据、评价方法和判定标准与以前年度应当保持一贯性，以便数据纵向可比。可以从各职能领域、制度体系、设计/执行类、重大/重要/一般缺陷的绝对值和相对值加以分析，得出缺陷总数和分布趋势，进而得出当年内控是否有效的结论。当判定标准有变化时，应追溯剔除该变化对以前年度的影响，从而得出更加准确的结论。

四、健全完善内控体系及监督检查机制

（一）完善内部控制的控制环境

企业内部控制环境是内部控制存在和发展的基础，控制环境的质量决定着内部控制其他要素发挥的作用性。一要强化战略分析，明确战略目标，明确资源发挥优势，强化自身核心竞争力;二要不断提高企业风险的识别评估与判断应对，将与业务系统相关的风险暴露按类型和职能进行分类;三是优化股权结构，强化派出董监事的履职作用，推动公司治理层面发挥更大的作用。

（二）制定切合实际的缺陷认定标准

在内部控制缺陷的识别和认定环节，企业主观性相对较大。研究发现某些行业相同体量类似的公司，在内控评价中将同样缺陷划分为不同等级;或是相同的一般缺陷数次发生，也未全盘考虑升级为重要缺陷或重大缺陷。对企业内部控制缺陷的识别和认定，需要符合企业自身实际情况，有利于内控问题发现和管理提升。在国家部委各指引约束下，经过企业内外部专家讨论商议后，把相关标准明确化、制度化。实际中根据企业经营情况偏离程度，适时修订完善内控缺陷的识别认定标准，达到持续优化的效果。

（三）完善内部控制审计鉴证机制

目前我国上市公司内控披露要求不同，但可以肯定的是，企业和监管机构对内控规范性愈加强烈。建议监管机构尽快统一披露标准，从内控评价报告披露形式、披露时间、频率、鉴证标准等加以规范。同时企业应加强内部审计机构建设，保证内部审计工作的独立性，加强对内部审计工作的管理，强化“三道防线”各自责任，在内控科学管理的道路上稳健前进。（作者单位：中国海洋石油集团有限公司）