強化內部控制是提升上市公司治理水平的當務之急

我國的上市公司整體上存在較為嚴重的內控問題，急需加強內控以提升公司治理水平

近來連續爆出的銀行內部人員大肆挪用信貸資金的驚人犯罪案件，再次引起人們對我國公司內部控制現狀的關注，也引起學者、監管當局和公司管理者對如何提升我國公司治理質量的思考。

公司內部控制的特點

內部控制是公司治理和企業管理的重要組成部分。美國ＣＯＳＯ委員會將公司內部控制定義為“由企業董事會、經理階層和其他員工實施的，為營運的效率效果、財務報告的可靠性、相關法令的遵循性等目標的達成而提供合理保證的過程。它主要包括:控制環境、風險評估、控制活動、信息和溝通、監督等幾個要素”。2006年6月5日上海證券交易所發布的《上市公司內部控制指引》的第二條指出:“內部控制是指上市公司為了保證公司戰略目標的實現，而對公司戰略制定和經營活動中存在的風險予以管理的相關制度安排。它是由公司董事會、管理層及全體員工共同參與的一項活動。”從這些定義中可以看出，公司的內部控制強調了以下幾點:

一.內部控制要與企業經營目標相一致。受不斷變化的內外環境的影響，為了達到企業預期的經營目標，企業必須對貫穿于經營的各個環節、方面進行適時監控，及時糾正偏離目標的任何行為。因此，內部控制是與公司治理、企業經營活動動態地結合在一起。

二.內部控制是對“內部人控制”的控制。兩權分離的公司制使管理層成為實際控制人，公司的“內部人”總有侵占所有者利益的動機。因此，所有公司的內部控制都是針對“人”而設立并實施的。處于轉軌過程中的中國公司，“內部人控制”問題十分嚴重，更該強調內部控制對“內部人”的控制。

三.內部控制是一個網狀體系。內部控制的動源來自股東，但控制的責任則是逐級分攤的，并通過企業各層經營管理人員共同執行。理論上講，企業中每一個員工既是控制的主體又是控制的客體，既對其所負責的作業實施控制，又受到他人的控制和監督。內部控制各要素之間存在著相互聯系和相互制約的雙邊關系。

四.內部控制強調針對風險的控制。企業是在一個不確定的世界中運作的，規避風險是企業存在的前提和主要職責。內部控制就是針對企業的各種內外風險而實施的制度和政策安排。

中國上市公司內部控制的現狀及其原因

安然事件暴露了美國公司內部控制的問題，震驚了整個世界。然而，中國公司的內部控制問題顯然比美國更嚴重。德勤中國8月30日發布的“中國上市公司內部控制現狀的調查報告”顯示，74%的受訪上市公司清楚了解監管機構對內部控制的要求，但只有20%的上市公司認為自身現有的內部控制體系能夠完全滿足監管要求;另有55%的企業認為內部控制體系設計不能完全滿足監管要求。因此，盡管中國監管機構對企業內部控制和風險管理等方面的要求與國外成熟資本市場的要求接軌，但中國上市公司內部控制水平仍然較低。他們的調查還發現，對建立風險管理體系方面，76%的受訪上市公司表示不了解或不確定如何有效地進行風險管理工作。有約72%的受訪上市公司不完全同意企業本身有持續監控內部控制有效性的機制。

中國許多公司內部控制失效，丑聞頻發，不僅周期在縮短，而且涉及金額有愈來愈大之勢。我們以9月6日一審結束的中信銀行(601998.SH，0998.HK)浦東支行一名普通信貸科長輕松地轉移億元資金為案例，窺視一下我國上市公司內部控制的現狀。

43歲的蔡羽案發前擔任上海泛洋城市度假村有限責任公司等多家公司的董事長和公司負責人，由于經營不善等原因，蔡羽的公司2005年左右相繼陷入債務危機。為還債，蔡羽找到了中信銀行浦東分行信貸科科長韓巍。2005年七八月間，韓巍與蔡羽合謀，由他通過銀行內外的關系，找一些到中信銀行浦東分行進行定期大額存款的單位，然后再利用他的職務之便，通過虛假的金融憑證，將錢“倒”出來。從2005年10月到2006年2月，短短半年間，先后將四家公司在該銀行的1.399億定期存款，轉到蔡羽的私人賬戶里。

按照銀行的業務流程，針對巨額存入或劃出，銀行一般都由“接柜-記賬-復核-總賬”四個流程。“驗印”一般在“記賬”階段，如果“驗印”不出問題，后面的流程就基本沒有問題。可見，銀行的“驗印”是一個關鍵的高風險環節。然而，根據中信上海浦東分行的案例，如果銀行的“內部人”與負責“驗印”環節的會計部人員熟悉，是較容易地蓋上驗印通過的章的。這樣，看起來先將大量資金“存入”銀行，再由銀行“貸出”，銀行賬目上很難發現異常情況。

銀行本身是一個高風險的行業，既然銀行的內部控制都如此無效，其他企業的狀況就可想而知了。那么，中國公司的內部控制為什么如此無力？主要原因有三:

第一，股東職責“缺位”。中國的公司多數由國企改制而來，以前人們常說“所有者缺位”、“股東缺位”，實際上，每個公司都有明確的股東，而真正缺失的是股東的責任。國有股東并不是真正意義上的股東，他們并不會像自然人股東那樣在乎其出資以及因出資帶來的收益。正因如此，國有大股東沒有任何激勵去關注公司運作中的各種風險，公司針對風險的各種控制制度和措施自然就會流于形式。

第二，缺乏風險控制意識、規章制度和專業人才。正是由于股東職責缺失，內部人并不懼怕經營失敗，防范風險的意識自然就淡漠，甚至會故意把決策建立在高風險項目上，以從中渾水摸魚。此外，目前我國公司因為長期忽視風險控制，不重視引進和培養風險管理方面的人才，以至于風險管理的組織架構和風險管理人才普遍缺乏。

第三，大多數公司缺乏完善的內部控制體系。股東職責缺位是公司內控失靈的深層原因，一些公司沒有建立起完善的內控體系同樣是一個因素。德勤中國的調查說明，我國許多上市公司更多地將內部控制建設視作只是為滿足監管要求而做的一次性工作，并未將內控看作公司日常經營管理的重要組成部分。因此，多數公司并不重視構建包括內部控制在內的常效管理機構、匯報機制和日常監控手段等。結果是公司內部的透明度很低，一些員工很容易掩蓋自己的違法行為記錄。

公司治理意義下的內部控制構建與實施

強化股東的職責以從源頭加強和完善企業內部控制或許是個長期漸變的過程。就現況而言，為提升我國上市公司的治理水平，可采取如下對策:

首先，要針對公司的具體情況，建立健全各種內部控制的規章制度，以及相應的實施細則。建議公司建立風險控制的應急機制;要明確界定組織機構及其對應的管理權責，為實施控制和監督活動提供基本的制度框架和工作流程。

其次，要轉變董事會的職能。目前我國公司的董事會把主要精力用在企業的經營方面，多數人不懂或不愿意承認董事會并不主要是運營企業，而是負責選拔經理人員，并監督其運營的績效。因此，轉變董事會職能，強化其監督功能是提高公司內部控制水平的重要方面。比如在上市公司董事會中一定要設置審計委員會，其成員由董事長、非執行董事、總審計師和獨立董事等組成，其中獨立董事一定要占到多數比例;

再次，要針對關鍵環節、關鍵部門設置特別的風險控制機制。企業中的人不可能像機器一樣按規則運轉，人的行為的任何偏差都構成風險，但我們總能分出大小風險。針對風險大的環節和部門設置多層防范機制、責任追究機制以及激勵機制，對于增強公司內部控制能力是十分必要的。比如強化企業的會計、審計控制系統，要突出會計核算和會計監督這一環節，從會計和審計環節入手，并向其他管理環節延伸，逐步形成企業內部控制網絡。

作者為中國社會科學院經濟研究所研究員