内控的卓越之路
文章来源：《国企》杂志 文｜本刊记者 陶如军
“面对新时代的来临，我们将不再为内部控制工作的定位而困惑，而是集中思考内部控制如何真正帮助中国企业完善治理结构，提升管理有效性、创新能力和资源配置效率，使内部控制成为一种真正为企业创造价值的持续改进机制。”德勤中国企业风险管理服务华北区主管合伙人谢安告诉《国企》记者。
说起十年前中国企业风险内控的建设状况，有着15年企业内控专业服务经验的谢安直摇头。他说：“为满足萨班斯法案的要求，2004年开始，在美国上市的国有企业纷纷聘请专业咨询机构，开启了内部控制建设与评价的有益探索。在此过程中，虽然所有的企业都逐步认识到了内部控制的必要性，也认识到内部控制是董事会及其管理层的职责，并在企业与内部控制相关的制度规章中明确了此类职责，但是许多企业只是以满足监管要求为目标，内控建设主要是做表面文章，形式化操作，内控建设成果经常被束之高阁，或者内控与管理各行其道。”
中国企业内控困局
6月5日，德勤对外界发布了《中国企业内控十年专题报告》（以下简称《报告》）。《报告》指出，过去十年，中国企业内部控制面临着诸多危机与困境，主要表现为三个方面。从内控目标层面观察，企业需要处理战略定位和组织定位的危机。从内控建设的层面分析，企业需要面对内控手册更新及流程优化和信息整合的困境所带来的挑战。此外，企业也非常容易陷入判断内控有效性以及如何更好发挥其监督作用的困境。
谢安告诉《国企》记者，在中国现行经济体制下，大部分企业内控是政府主导下的内控，并非企业自发行为，缺乏实现战略目标和管理提升的内在诉求和原动力。相当多企业从满足披露需求、上级监管要求、老板的关注领域开展内控建设，没有将内控建设与企业战略有机结合，没有把内部控制与企业变革有机结合。
这使得“内控战略驱动力缺位”，一是无法有效促成战略目标实现，二是变革力度不足。许多企业未按照业务流程内在规律和流程优化要求执行，未推行相应的组织变革，导致内控建设“新瓶装旧酒，换汤不换药”。
同时，内部控制被“人”随意逾越，导致管理问题层出不穷。在中国传统文化影响之下，领导者的“官本位”思想严重，一些领导者利用自己在决策中的核心地位，对内控要求视若无睹，导致企业现有控制失效。同时，一些部门为了追求自身利益，出现了团体串通舞弊的问题，更是让内部控制形同虚设。
目前，企业在内控建设方面的困惑，主要是内控手册更新不及时、流程优化不到位和内外部信息失真的困境。此外，很多企业并没有设立独立内控或风险管理部门，而是把内控工作放到审计部、财务部、企业管理部、法律事务部等不同的部门，归属较乱，同样削弱了内控本身的定位。严重的时候，内控人员甚至对其长远的职业规划产生了质疑。
谢安指出，除了上述问题外，内控评价也面临困境。这种困境主要表现在“无法全面评价企业内控有效性”和“缺乏专精，整改乏力”两方面。
美国的内部控制只针对与财务报告相关的内部控制进行评价，而中国的内部控制涉及财务报告相关内控和非财务报告相关内控，涵盖广，做到面面俱到是非常大的挑战，如何给出客观、公允的评价是未来中国企业内控从规范到卓越值得探讨的问题。
从规范到卓越
冷静思考过去，对于未来十年的发展，德勤认为中国企业需要推动内控从规范走向卓越，走出内控发展的迷茫之地，通过内控变革化解内控危机，承担更加重要和关键的责任。德勤北京企业风险管理服务合伙人赵健认为，中国企业要真正实现风险内控从混乱到规范再到卓越，必须做好以下几个方面的工作。
一是创新推动的责任。内部控制工作本身是一个持续、完善的动态机制，并且可以通过内部控制评价工作看到企业整体运营管理的全景，能够更为全面地识别企业现阶段存在的问题以及未来面临的战略风险、变革风险。
二是推动企业战略目标的实现。随着公司面临的外部环境不断变化，全球性“风险社会的到来”以及业务的飞速发展，正确的战略设定和执行尤为重要。缺乏明确的发展战略或发展战略实施不到位，可能导致企业盲目发展，难以形成竞争优势，丧失发展机遇和动力；发展战略过于激进，脱离企业实际能力或偏离主业，可能导致企业过度扩张，甚至经营失败。未来企业很多问题并不是战略制定的问题，而是战略执行的问题。内控本身的要求以及内部控制所接触业务的全面性，使得内部控制成为保证公司战略执行力的重要手段，而内部控制部门将成为承担推动企业战略目标实现的最为合适的部门。
三是推动企业变革和创新激情。一般企业没有管理创新的部门，内控的定位是全层面、各职能的管理，因此内控部门天然地可以帮助董事会和管理层关注企业的发展，也可以作为推进管理创新的手段。控制活动本身就是企业关键管理手段的概括总结，内部控制评价可以有效评估企业每个关键管理手段的有效性，以内控评价带动企业的自我诊断，结合与行业标杆企业的对标，评估企业的成长潜力，从而找到企业管理创新的着力点。内控通过体检和活力诊断的工作机制，找准企业发展的短板，借鉴先进经验，促进企业的持续创新，实现企业的自我快速提升，点燃企业的发展激情，推动企业的活力迸发。
四是推动内控部门的自我提升。内部控制的本质是控制人。因此，人是企业内部控制最关键的要素。所谓的制度、流程、手册等是做好内控工作的方法论和专业工具，但内控要落地、创造价值，要靠人的作用来推动。一把手、领军人物很重要。企业的一把手是内控第一责任人，是最重要的推动者，领军人物决定了内控能做到的高度。一把手、领军人物的自我评价和外部监督是做好内控的第一要素。
独立的内控（风险）部门和集团管控密不可分，一个集团很难只用一种模式，特别是现在多元化、差异化的集团内部如何管控，管控的出发点应基于内控。如果下级企业内控强，那么集团可以更多地放权；如果下级企业内控弱，那么集团管控就要加强。集团管的是底线、红线，需要把更多的经营权下放给经营单位，让他们敢于决策，贴近市场。
建立系统监督体系
中国企业经历了内控十年的建设，监督体系已经有了长足发展，很多企业的监督体系涵盖了内部审计、纪检监察等职能领域。谢安告诉《国企》记者，为了最大程度地发挥监督作用，企业需要建立起以内控评价为核心的大监督体系、岗到岗的自我监督体系，并向内部控制的专精方向发展，推动运营能力的提升。
谢安认为，大监督体系的核心是考核和追责。绩效考评控制要求企业建立和实施内控的绩效考评制度，对企业内部各责任单位和全体员工的内控工作效果进行定期考核和客观评价，实现精确定位、精准考核。一是清晰业绩清单。按照内控规范，将企业、部门、员工责任细化到指标、量化到数字，建立企业级指标、部门级指标和岗位级指标，并且将这些业绩指标与控制活动相匹配。明确风险控制责任到岗、到人，对风险实行刚性控制。二是按考核结果兑现奖惩，按业绩考核得分分配绩效奖金，建立《员工内控业绩档案》，作为选人用人、岗位晋级的重要依据。同时，对内控效果做出总体评价，对重要风险、重大风险控制情况实行责任追究。美国萨班斯法案对在美上市公司做出严格的法律追责要求。目前，中国只有五部委发布的规范性文件，没有明确的追责条款。政府应以立法形式把企业内部控制的追责条款写入会计法当中，提高企业外部的内控合规法律层级。
中国企业在进行内控建设时多采用自上而下的推动模式，充分体现了内控建设的一把手特性。但对于管控层级多、管理线条长的大型集团性企业，为了实现内部控制与企业的生产、经营的紧密关联，切实规避内控与制度两张皮现象，充分体现内控对企业效益提升的实效性，则需在内控建设发展到一定阶段时实施内部控制的岗位推送，以岗位风险识别和内控建设为出发点，“自下而上”与“自上而下”相结合地进行内控体系建设，实现内控与经营管理的无缝对接。
在经历了十年的内控探索后，中国企业的内部控制建设已经具备一定的规模。谢安认为，为进一步推动内控提高企业效率和效益，内控建设应在企业管理的重点领域做专做精，进一步深化和提升，在全面覆盖的基础上实现重点领域的重点管控。在对内管理方面，紧抓重大决策、重大项目和大额资金管理；在对外控制方面，深化客户管理、供应商管理和渠道管理。
为实现内控的专精发展，做内控的人自身要专业，要综合，不光要知道不对，还要知道为什么不对，企业现有策略是否能满足战略的要求等。内控的专精发展，实际就是从战略、运营、管控、人到基本执行细节的深度展开。
企业内控信息化建设的几点思考
文｜谢茂生
我国近年来频繁发生企业重大危机或损失、失败事件，如三九集团、华源股份、中航油、国储铜、中信泰富、三鹿集团等。整体来看，企业在资金链管理、生产运营、下属公司管控、供应链管理等领域存在较大的经营和财务风险。
因此，提升管理水平、加强风险控制纷纷提上大型国有企业的日程。建立健全内部控制体系已经被很多企业所接受，但内部控制体系成果的使用、固化和持续优化成为很多企业头疼的问题。目前市场上内部控制体系信息化成型软件不多，建立适合企业自身管理需要的内部控制体系信息化系统迫在眉睫。
从多年的实践经验，我认为在企业内部控制体系信息化建设中需注意以下四个方面的问题。
一是企业内部控制体系信息化建设必须是一把手工程。企业内部控制体系信息化建设与使用涉及公司各个部门及下属各个企业，工程浩大，规划长远。没有一把手的大力支持和推动，项目完成的成功率不大。
二是内部控制体系信息化建设应以创新的内部控制体系建设实施方案为基础。内部控制体系信息化只是一个工具，目的主要是为固化内部控制体系建设的成果并将成果进行落地。如果没有优异的内部控制体系建设成果，内部控制体系信息化建设再好，也没有管理的对象。
内部控制体系建设的有效开展需要正确的实施方案指导，只有在正确的方针指导下，才能使内部控制既符合法律法规的要求又贴合并融入公司的管理实践。为此，组建一个独立团队，对公司发展面临的机遇和挑战、内部管理的优势和劣势进行深入分析，并广泛借鉴其他公司内部控制建设的经验，认真研究，做好内部控制体系建设实施方案的顶层设计，才能为内部控制体系信息化建设工作打下坚实基础。
三是内部控制体系信息化建设应分段实施，持续优化。内部控制体系信息化建设工作至少要分两个阶段分步实施：第一阶段解决流程可视化及自动实现风险评估、内部控制评价工作；第二阶段解决自动实现流程与业务系统的关联，实现流程落地。第一阶段是夯实基础，第二阶段是管理提升。内部控制体系信息化建设根据管理需要，持续优化系统功能，必然成为提升企业管理的有效工具。
四是选择有能力而且能够提供良好服务的供应商和开发团队。企业内部控制体系信息化建设是一项艰难而复杂的工作，需要集成企业各方面的信息资源，必须依赖供应商和开发团队，供应商和开发团队不能提供及时、到位的服务，或没有能力提供及时、到位服务，是导致项目失败的重要原因之一。总之，企业内部控制体系信息化是企业管理提效率、保质量、防风险的有效工具，真正能够提升企业管理水平。
