企业内部控制存在的主要问题及应对措施

郭丽英

(立信会计师事务所(特殊普通合伙)北京分所，北京 100039)

内部控制，可以说是既古老，又年轻。古老是因为早在公元前3000多年以前，内部控制的思想就已经在人们的日常经济生活中得到了运用；年轻是因为经过人类历史的漫长发展，现代内部控制作为一个完整的概念，于20世纪40年代由美国注册会计师协会首次提出。在当今发展的新形势下，只有重视企业的内部控制，才能防范企业经营风险的发生，从而保证企业健康可持续发展。

一、内部控制概述

内部控制是企业安身立命的规矩。任何一个企业的活动都不可能脱离于内部控制之外。

1.内部控制的含义

内部控制是指企业为了实现经营发展战略目标，保证企业资产的安全性和完整性、财务会计信息资料的真实性和可靠性，由企业各层级人员所实施的各种管理措施和手段。通过控制措施和手段，使企业依法合规经营，并逐步提高经营效率和效果。现代企业内部控制的概念最先由美国于1992年提出，我国研究内部控制的起步较晚，在借鉴国际先进经验和结合我国企业内部控制发展的实际情况，财政部等部门于2008年颁布了企业内部控制基本规范，并对内部控制的含义作出了全新的阐释。

2.内部控制的要素

内部控制并不是单一方面的内容，而是由几个部分共同组成，主要包括内部控制环境、风险评估、控制活动、信息与沟通，以及内部监控五个方面。

(1)内部控制环境，是企业内部控制的基础部分，是指企业内部控制的管理哲学和经营风格，是企业从上至下所形成的一种内控管理意识和氛围。内部控制环境包括企业组织架构、人力资源、组织文化等。

(2)风险评估，是实施内部控制的重要一环，是指通过识别、分析等程序，与企业设定的目标进行比较，进而评价偏离目标的程度并采取应对策略的过程。

(3)控制活动，是企业内部控制的核心，贯穿于企业的所有层级和职能部门；是指企业在进行风险评估之后，基于风险评估结果而制定的有关职责分工、授权审批、财产保护、信息系统、绩效考评控制等方面的风险防范措施和程序。

(4)信息与沟通，信息是指员工和计算机能够辨识、衡量、处理和报告的一种资源。信息来源于企业内部或外部，内部信息包括企业的生产经营、财务会计、综合管理信息等；外部信息包括政策法规、经济形势、市场竞争、行业动态等。沟通是指为了一个设定的目标，将信息和思想等在个人或群体间传递，并且达成共同协议的过程。沟通根据信息来源的不同，分为内部沟通和外部沟通。

(5)内部监控，又称内部监督，是指企业通过开展持续性监督检查和专项监督检查，来发现企业内部控制管理过程中的缺陷和漏洞，从而提出优化和改进建议。

3.内部控制的原则

由于企业内部控制是一项庞大而又系统的工程，任何一个企业都不可能不惜一切代价只去做内部控制一件事情。再加上内部控制固有的一些局限性，企业建立与实施内部控制需要遵循如下几项原则。

(1)全面性原则。即内部控制在层次上，涵盖企业治理层、管理层和基层员工；在对象上，覆盖企业各项经济业务活动和综合管理活动；在业务流程上，体现在事前决策、事中执行、事后监督等各个环节。设计内部控制时，遵循全面性原则，可以避免内部控制出现空白和漏洞。

(2)重要性原则。是指在企业内部控制活动中，能够对公司经济业务或事项起决定性影响、并产生重大风险的控制活动。企业在确定重要性标准时，可从定性和定量指标两方面进行考虑。

(3)制衡性原则。是指一项完整的经济业务活动需由互相制约关系的两个或两个以上的职位人员，分别完成，以降低人为错误或串通舞弊的行为发生。

(4)适应性原则。是指内部控制必须符合企业管理者的要求，并对其经营管理有用；企业要根据国家的有关要求，结合自身经营目标、规模大小、人员结构等特点，以及内外部环境的实际情况，因地制宜地设计企业内部控制。同时，要随着环境的变化和经营管理要求等不断改进和完善。

(5)成本效益原则。是指企业为进行内部控制而花费的成本与缺乏控制时所遭受的损失相比，当控制的效益大于成本时，该控制措施是可行的，否则不可行。企业的内部控制要力争以最小的控制成本取得最好的控制效果。

二、企业内部控制的重要性

企业内部控制的重要性，从宏观方面来讲，有助于促进企业战略目标的实现，有助于合理保证企业经营管理合法合规；从微观方面来讲，可以提高公司经营效率和效果，保障公司资产安全完整，以及财务报告信息真实可靠。

1.有助于促进企业战略目标实现

每个企业成立之初，或大或小均会设定一个战略目标。而对于一个拥有良好内部控制的企业，其经营状况平稳运行，财务状况良性增长，经营风险和财务风险可控在控，一切按照公司既定的目标不断发展壮大，从而促使企业战略目标早日实现。而在内部控制不健全的企业中，往往其经营发展不稳定，财务状况时好时坏，经营风险和财务风险忽高忽低，战略目标随着经营状况的变化而不断调整，致使企业战略目标迟迟不能实现。

2.合理保证企业经营管理合法合规

近年来，我国有关政府部门陆续颁布了多项与内部控制相关文件并要求率先在上市公司执行，进而逐步扩大到中央企业执行。从2008年《企业内部控制基本规范》的发布，至2010年《企业内部控制配套指引》的印发，再到2012年《关于加快构建中央企业内部控制体系有关事项的通知》，以及2019年《关于加强中央企业内部控制体系建设与监督工作的实施意见》等一系列要求，足以可见，我国对企业内部控制建设、实施和监督工作的重视程度。因此，只有按照国家规定，结合企业自身实际情况，及时建立全面、制衡、适应的内部控制体系，并有效实施，才能合理保证企业经营管理合法合规，并实现“强内控、防风险、促合规”的管控目标。

3.提高公司经营效率和效果

完善的内部控制体系，是企业提升经营效率、提高经营效果和防范经营风险的重要保障。纵观我国现代企业的发展，从最初的完全手工化控制，发展到现如今的信息化控制，不仅减少了人为操纵因素，而且极大地提高了企业经营管理效率，实现了企业规范、稳健、高效的发展。随着经济全球化的发展，只有不断提高公司经营效率和效果，才能为企业创造出更多财富，才能使企业傲立群雄、经久不衰。

4.保障公司资产安全完整

资产是构成企业生存和发展的物质基础，也是企业经营成果的体现；众多经营管理实践证明，只有建立健全有效的内部控制并付诸实施，才是解决公司资产安全完整问题的根本之道。企业为了实现资产的安全完整，通过实施一系列限制接触、清查盘点、交接记录等财产保护控制活动，来确保资产不被侵占和挪用。亦或同时，为实物资产进行投保，以保障公司资产受损后得到补偿，将资产损失降到最低，从而确保实物资产的安全。

5.保证财务报告信息真实可靠

在企业经营管理过程中，通过设立有效的内部控制环境、建立并严格落实职责分离、授权控制、预算控制、会计系统和信息系统控制等活动，可使企业相关人员和财务工作规范化；有效防范无意的或有意的错误和舞弊，防止出现有意或被迫篡改原始凭证、记账凭证、编制虚假财务报表和报告的现象；有效解决会计信息失真、提高会计信息质量，从而确保财务报告信息的真实性和可靠性。

三、企业内部控制存在的不足之处

2008年至2010年之间，我国财政部等部门先后颁布了《企业内部控制基本规范》及其配套指引，意味着我国企业内部控制规范体系已初步建成。我国率先在上市公司和中央企业相继启动的内部控制建设与实施工作，已经在一些企业中执行得比较到位，并取得了较为显著的效果。但总体而言，我国企业的内部控制还是比较薄弱，存在着一些不足之处，具体表现为如下问题。

1.对内控管理认识不足，缺乏内控管理的企业文化

企业文化又称组织文化，是企业在长期的经营实践中形成的思想价值观、处事方式方法等。具有良好组织文化的企业，上下拧成一股绳，劲儿往一处使，企业内控管理水平蒸蒸日上。而在一些缺乏组织文化的企业中，上至领导，下至员工，均存在对内控管理认识不足的现象，认为建立与实施内控管理是一种束手束脚的行为，无人牵头组织落实；还有的企业认为内部控制只是财务部的会计控制，与企业其他部门无关；严重缺乏内控管理的企业文化。

2.未设立专职的风险管理机构，风险评估工作不到位

在一些国家产业政策扶持的企业中，即使连年亏损，也会享有国家补贴，其认为不会存在风险，无需设立风险管理委员会、风险管理部门，更无需进行风险评估工作；认为开展企业风险评估就是在浪费时间、浪费人力和财力。还有的企业在进行风险评估时由内审部门开展，内审部门结合内部审计发现的问题，抓出几个问题直接列为风险点，就算完成了风险评估，未严格按照风险目标设立、识别、评估、应对的评估流程组织开展工作，风险评估工作极其不到位。

3.未实行信息化管理，内部控制活动人为主观因素较多

随着电子信息技术的发展，企业利用计算机从事经营管理越来越普遍，但是在一些中小型企业中，只是在会计核算方面利用计算机进行一些简单的账务处理并生成报表，在授权审批、预算管理、经济活动分析、绩效考评等方面的内部控制活动均未实行信息化管理。在执行审批过程中，仍由纯手工完成，工作效率不高；尤其是在预算管理、绩效考评方面，预算数据由个别人拍脑门决定，公司内部员工间关系好坏决定着绩效考评分数的高低；内部控制活动人为主观因素决策性较多。

4.激励约束机制不健全，内部控制实施好坏一个样

在已执行《企业内部控制基本规范》及配套指引的企业中，存在未建立内部控制激励约束机制，内部控制制度执行的好与坏、到位与否都是一样的；员工无任何奖励，也无任何处罚。反而是一部分严格按照公司内控制度办事的人，在别人眼中认为是另类的、刻板的、教条主义、不会变通；不仅得罪了其他同事，而且工作多年也未有职级上的晋升。长此以往，员工心理失衡，失去工作积极性，最终内部控制的实施又变成一纸空文。

5.内部监督不足，内部控制自评价与审计流于形式

内部监督在内部控制体系中具有十分重要的地位，是内部控制有效实施的保障。但是，在已经设立内部审计的一些企业中，由于内部审计人员缺少应有的独立性和专业胜任能力，导致企业的内部监督检查力度不够，内部监督流于形式，所开展的内部控制自我评价与内控审计未能发现重大和重要缺陷。直至外部监管机构对企业进行检查时，才东窗事发，事态百出，最终受到应有的处罚。

四、企业内部控制的应对措施

针对上述企业内部控制所存在的不足之处，提出如下应对措施，以增强内控管理水平，促进企业健康、可持续的向前发展。

1.提高思想认识，培养全员参与的企业内控管理文化

要形成企业特有的内控管理文化并不是一朝一夕的事情，需要企业全员参与学内控、讲内控，并通过职业道德规范的宣贯逐步提高思想认识。一是在公司全体员工中，树立良好的诚信与道德价值观，建立高层管理人员和员工职业道德规范，并要求严格执行；若出现有违反职业道德规范的行为时，除依照国家法律法规进行处理外，可根据企业相关文件规定对其进行处分直至解除劳动合同。二是开展全员参与内控管理的培训，要求全体员工积极参加公司内外部组织的有关内控基础知识、内控管理经验等培训讲座，在公司内逐渐形成“人人学内控、人人讲内控、个个受约束”的良好文化氛围。

2.加强风险评估，建立有效的风险评估机制

风险无处不在，只要是企业就会有可能产生风险，风险评估更是实施内部控制的重要环节。因此，企业应结合自身实际情况，适时建立健全风险管理组织体系和评估机制，加强风险评估工作。一是在董事会下设立风险管理委员会，并选取具有风险、法律等综合专业知识和经验的董事作为委员会的成员。二是成立专门的风险管理部门，由专人按照风险评估程序，严格、规范的开展风险评估工作，以准确发现风险点，并提出切实可行的应对策略，将企业内控活动中的风险控制在可承受度之内。

3.建立信息系统，将内部控制流程与信息系统有机结合

企业应当充分利用现代管理手段，建立与企业的经营规模、行业特点相匹配的信息化系统，将内部控制流程与信息系统有机融合，减少和消除人为操纵因素。一是企业可以聘请中介服务机构进行信息系统的开发、运行和维护等工作，并定期对信息系统进行评估，发现异常情况，应当及时报告并加以改进；二是指定公司内部专门机构对信息系统建设实施归口管理，通过梳理公司审批流程及人员权限设置，将内控体系管控措施嵌入各类业务信息系统，确保自动识别和越权等行为，促使企业经营管理决策和执行活动可控可查。

4.健全激励约束机制，将内部控制实施成果纳入绩效考核体系

建立内控激励约束机制，并纳入年度绩效考评，可以促进内部控制的有效实施。一是强化制度执行力的考核，按照各部门、各单位以及具体到每位员工对内控制度的执行情况，均进行强化考核，并根据考核结果形成奖罚分明的激励机制。二是结合企业自身实际业务情况，设计定性与定量相结合的考核指标体系，对内部控制的建立与执行情况进行考核。

5.增强内部监督，切实有效开展内部控制自评价与审计工作

良好、有效的内部监督，可以发现内部控制缺陷，并及时加以改进，从而促进企业内部控制健全、合理。企业增强内部监督，一是设立独立的内审部门并配备专职的、具有工作能力的人员，从日常监督和专项监督两方面，形成合力，充分发挥内审部门的监督作用。二是根据《企业内部控制评价指引》和《企业内部控制审计指引》，结合企业自身情况，切实有效开展内部控制自评价和内部控制审计工作，以便及时发现重大和重要缺陷，并提出整改措施进行整改，从而防止企业产生经营风险。

五、结语

企业内部控制在我国还属于新生事物，由于现代企业的多样性、复杂性和内部控制固有的局限性，企业内部控制的理论研究和实践发展仍然任重而道远。因此，每个企业要不断在实践中创新内控管理并进行经验总结，以切实提高防御经营风险的能力，从而促进企业健康、全面和可持续发展。