內部控制環境構成因素研究

摘要：控制環境是內部控制其他要素的基礎，是內部控制有效運行的氛圍。內部控制環境的建設既是內部控制建設的基礎工作，也是企業治理、管理的相關工作。內部控制環境因素的劃分應當符合內部控制環境性質，要涵蓋所有直接影響內部控制的內部因素，要以環境責任主體為標準進行劃分。因此，內部控制環境因素應當包括發展戰略、組織結構與權責分配、治理層的責任、管理層的理念與風格、員工的道德價值觀與勝任能力。

關鍵詞：內部控制；內部環境；環境因素

中圖分類號：F239.45 文獻標識碼：A

Research on the Components of Internal Control Environment

YANG Rui-ping

(School of Accounting， Shanxi University of Finance Economics， Taiyuan 030031， China)

Abstract:Control environment is one of the elements of internal control. It is the basis of other elements and internal control operates effectively in control environment. The building of internal control environment is not only concerned with internal control construction but also concerned with corporate governance and management. The components of internal control environment should be classified according to the nature of internal control environment， the internal factors which affect internal control directly and the responsible body of environment. As a result， the components of internal control environment should include development strategy， organization structure and assignment of authority and responsibility， responsibility of governance， ideas and styles of management and ethical value and competence of employees.

Key words: internal control; internal environment; environmental factors

環境要素構成內容確定的是否充分和合理，直接影響著控制環境的優化，制約著內部控制的有效性。環境要素構成內容如果確定的不充分、重疊或多余，就可能使內部控制其他要素設置不恰當，降低內部控制的有效性；環境要素構成內容如果確定的不合理，就可能無法制定合理的內部控制環境建設規范，不利于內部控制環境建設，甚至對內部控制產生負面效應。因此，充分確定控制環境的內容，合理劃分控制環境要素，對于保證和提高內部控制的有效性具有十分重要的意義。

一、內部環境構成因素的觀點述評

關于內部控制環境要素的構成內容，目前理論界和實務界都還有不同的看法：COSO框架認為內部控制的環境要素包括員工的誠信、道德價值觀，員工的勝任能力，管理層的理念和經營風格，組織結構，權責分配，組織和開發其員工的方式，以及董事會給予的關注和指導；ERM框架認為內部環境因素包括主體的風險管理理念、風險容量、董事會的監督、主體中人員的誠信、道德價值觀和勝任能力、組織結構、以及管理當局權利和責任分配、組織和開發員工的方式。COSO在2006年6月頒布的《財務報告內部控制：較小型公眾公司指南》（以下簡稱“COSO指南”），以COSO框架規定的內部控制環境因素為依據，規定了與內部控制環境有關的7條原則：誠信和道德價值觀、董事會、管理層的理念和經營風格、組織結構、財務報告方面的勝任能力、權利和責任、人力資源。可以看出，美國COSO對控制環境因素的劃分主要是按照控制環境因素的主體不同進行的，除了人力資源、組織和開發員工的方式具有間接性之外，其他環境因素都具有直接性。

法國2007年發布的內部控制框架規定，內部控制環境因素包括：有利于實現公司目標的合適的組織架構、明確界定各組織單位的責任和權力、促使員工擁有知識和技能的人力資源政策、電子信息系統以及運營程序等①。電子信息系統以及運營程序納入控制環境是法國的特點，忽視治理層和管理人員的理念和經營風格對內部控制的影響是其不足。我國2008年頒布的《企業內部控制基本規范》規定，內部控制環境一般包括治理結構、機構設置及權責分配、內部審計、人力資源政策、職業道德修養與勝任能力、企業文化、法制意識等。我國2010年頒布的《企業內部控制配套指引》認為內部控制環境包括組織架構、發展戰略、人力資源、企業文化和社會責任等?？梢钥闯龇▏臀覈贫ǖ膬炔靠刂埔幏?，對控制環境因素的劃分參考美國COSO框架的痕跡較明顯，我國還引用熱點概念如公司治理、發展戰略、社會責任等。兩國的控制環境因素劃分都缺乏充分的理論支撐，沒有充分考慮控制環境的本質規定，而且缺乏明確的分類依據，同一體系下的分類明顯不一致，設定的環境因素顯得不夠嚴密、成熟和權威。

我國學者王世定（2001）認為控制環境包括管理者的經營風格和經營理念，董事會、組織結構與權責分配體系、管理控制方法及人力資源政策與實務等。李明輝（2008）認為控制環境建設應當包括董事會和管理層應當在企業內部積極倡導良好的風氣，減少投資意識；董事會應當合理確定企業目標和策略，以及風險偏好；董事會和管理層應當加強對內部控制的持續監督；提高相關人員的專業勝任能力；建立與企業愿景、戰略和風險偏好相適應的風險管理組織框架；實施明確而嚴格的職責劃分；制定并實施恰當的人力資源政策。李心合（2008）認為內部控制系統內部環境因素可以劃分為管理因素；組織因素、人的因素、新增因素，管理因素包括公司治理、內部監督與內部審計；組織因素包括組織結構、企業文化；人的因素包括人力資源政策、管理者素質；新增因素包括會計信息、流程再造。還有的學者將企業內部控制環境劃分為兩個層次：第一層次是所有者層次，即以公司治理結構為起點，改善所有者對經營者受托責任的監督環境，包括公司治理結構、董事會、內部審計機構設置；第二層次是經營者層次，即以公司經營為起點，改善企業經營者履行經管責任的環境，包括組織結構構建和權責體系的分配、管理者素質與品行、信息系統的構建、員工素質和企業文化建設（李心合，2008）。上述學者們這些控制環境因素的分類，差異主要是因為他們缺乏明確的分類標準和合理的控制環境定義。

二、內部環境構成因素的劃分原則

1.要有充分的理論依據?？刂骗h境構成內容的劃分，即控制環境因素的設定，不但要符合控制環境的定義，還必須要有內部環境因素劃分的理論依據。王德忠提出“組織的內部環境包含哪些因素？迄今尚無統一看法。我們認為，這需要從組織的涵義說起。作為名詞使用的組織，意指組織體，他們都是有兩個或兩個以上的人在一起工作已達到共同目標的協作（共同）勞動的全體。由此可推論出組織內部包含這三個基本因素：使命、資源、文化，它們就是對管理者起約束作用的組織內部環境”（王德忠，2005）。本文贊同確定組織內部環境因素應以組織本質為依據，但是不同意把所有的資源因素和文化因素都作為環境因素，因為有些資源因素如組織擁有的物質資源，有些文化因素如行為規范，對組織來說都不具有先設性，甚至不是必需的。因此，本文認為組織的內部環境因素應當包括這樣三個方面：使命（具體表現為組織的發展戰略）、組織構成（具體表現為組織形式與權責分配）、人員（具體表現為各類人員的角色設定及其責任與素質要求）。

根據控制環境的定義和內部環境因素劃分的理論，有的學者將內部審計、社會責任、人力資源政策與實務、流程再造、管理控制方法、會計信息、信息系統的構建等納入內部控制因素值得商榷。內部審計是內部控制監控的重要方式，它通過財務收支審計、風險管理評價等方式對企業經營管理活動等進行監控，通過實施內部控制評價對內部控制進行監控。但是，把內部審計作為內部控制的環境因素就不夠恰當。因為內部審計是在內部控制實施過程中或內部控制后進行的，不具有作為內部控制其他要素的基礎性、前提性、支持性條件的特征。也有學者將內部審計機構設置和權責配置作為控制環境，本文認為內部審計機構設置和權責分配確實屬于控制環境，其實企業所有機構的設置和權責分配都屬于控制環境，只是內部控制機構設置和權責配置對于保證財務報表真實可靠性這一內部控制目標特別重要，有必要在組織結構和權責分配這一環境因素的規定中予以特別強調。因此，設定了組織結構和權責分配這樣的環境因素后，就沒有必要把內部審計機構設置作為一個獨立的控制環境因素單獨列出。

社會責任是指企業在經營發展過程中應當履行的社會職責和義務②，它主要包括安全生產、產品質量（含服務，下同）、環境保護、資源節約、促進就業、員工權益保護等。這種企業社會責任對內部控制的影響主要是形成管理者風格和經營理念、塑造員工的誠信、道德價值觀，進而影響員工的控制意識。也就是說企業社會責任對內部控制的影響是間接的，或者說它應當包括在經營理念和員工道德價值觀中。因此，它不應當作為控制環境的一個獨立因素。至于個人的社會責任本身就屬于員工道德價值觀，當然是控制環境的重要內容，但不必要單獨列出。

本文不同意把“人力資源政策與實務”作為控制環境因素，主張把它包含在“員工品德與能力”之中。因為“人力資源政策與實務”是通過影響“員工品德與能力”來影響內部控制的，“人力資源政策與實務”對內部控制的影響具有間接性；由于以“員工品德與能力”對應其他控制環境因素，較好地體現了以環境形成的主責任體為標準進行因素劃分的原則，使控制環境因素的設定更加系統化。流程再造的核心是面向顧客滿意度的業務流程改造，而核心思想是要打破企業按職能設置部門的管理方式，代之以業務流程為中心，重新設計企業管理過程，從整體上確認企業的作業流程，追求全局最優，而不是個別最優。所以，流程再造是一個包括組織結構、職權配置在內的含義很廣泛的動態概念，不宜作為一個獨立的環境因素，而且它對內部控制的影響更多的是通過組織結構、權責配置實現的，主要屬于間接影響，所以不宜作為控制環境因素。

管理控制方法通常包括預算控制、生產控制、購銷控制、庫存控制等方面，是內部控制活動的重要組成部分。盡管這些方法具有預備性的特點，但它對于控制活動而言是方法運用而不是影響控制活動，是控制活動內在的東西而不是外在的東西，是選擇性的而不是基礎性。離開了管理控制方法，相關內部控制活動就無法進行。所以，管理控制方法是控制活動必不可少的組成部分，而不是控制環境的一個因素。會計信息是企業通過財務報告等方式向投資者、債權人等利益相關者發布的反映企業財務狀況、經營成果、現金流量等的信息，會計信息的真實可靠性是內部控制要實現的重要目標。對內部控制而言，會計信息沒有基礎性、前提性的特征。會計信息是企業信息收集和溝通的重要內容，是內部控制中信息收集與溝通要素的重要組成部分，信息收集與溝通對于內部控制的風險評估、控制活動、監控要素確實具有支持性的作用。但是信息收集與溝通不限于企業內部，而且這一工作更多的是在控制過程中進行的。因此，有必要將它作為一個有別于控制環境的獨立的要素來設定。如同管理控制方法之于控制活動是組成部分而不是影響因素，信息系統的構建對于信息收集與溝通要素是其組成部分而不是其影響因素，是信息收集與溝通內在的而不是外在的東西，信息系統的改變不改變信息收集與溝通內容和質量要求。所以，管理控制方法不能作為控制環境的一個因素。法制觀念是一種重要的內部控制環境因素，但它的行為主體是員工，它本身也是現代企業員工道德價值觀的重要組成部分。因此，應當合并到員工道德價值觀和勝任能力中去。

2.要涵蓋控制環境的所有內容?？刂骗h境因素的設定應當涵蓋控制環境的所有內容，否則企業內部控制環境的建設和優化就可能不全面，據以設計的內部控制其他要素就有可能出錯，據以設計的內部控制就可能效果不佳。現有規范和觀點中有關控制環境因素的設定，仍存在因素涵蓋范圍過小和短缺一些必要因素的情況。如COSO框架認定的董事會對內部控制的關注與監督這一環境因素，其涵蓋的范圍對我國來說就過小了，不能涵蓋我國公司治理中所具有的監事會對內部控制的關注和監督。因此，以公司治理（即治理層對內部控制的指導和監督）替代董事會作為控制環境因素是必要的、合理的。一些學者把管理者素質作為控制環境因素，也存在涵蓋范圍過小的問題。作為控制環境因素的應當是全體員工的素質而不能僅僅是管理者素質，因為現代內部控制是全員參與的內部控制。

3．要有明確的分類標準和規范的表達。沒有明確的、合理的、統一的分類標準和規范的表達方式，就可能造成規定的控制環境要素表達不規范，出現內容重復、不能涵蓋控制環境的全部內容、表達不當而引起誤解等問題，影響內部控制規范的權威性和有效性，增加內部控制建設和運行的難度，制約內部控制評價和審計的質量等。目前，國內學者和規范制定機構提出的控制環境因素都看不出明確的劃分標準，因而體系不夠嚴密、表達不夠規范。我國現行內部控制基本規范和配套指引在控制環境要素上表達的相互不一致，就是這一問題的集中表現。比如《基本規范》中的公司治理、機構設置與權責分配，到了《配套指引》中成了組織架構。本文比較認同COSO框架對控制環境因素的劃分，以環境的責任主體為標準系統劃分控制環境因素，而且還主張把控制環境因素嚴格限定在對內部控制其他因素有直接影響的因素上，防止控制環境因素的無限膨脹。無限膨脹的控制環境因素，不僅會造成控制環境規范難以制定，而且會造成控制環境難以把握，影響內部控制執行的有效性。

三、內部環境構成因素之我見

基于上述原則，本文認為企業內部控制環境要素應當設定為如下五項：發展戰略、組織結構與權責分配、治理層的責任、管理層的理念與風格、員工的道德價值觀與勝任能力，其中發展戰略、組織結構與權責分配的責任主體是整個企業，治理層的權責和行動的責任主體是企業治理層，管理層的理念與風格的責任主體是企業管理層，員工的道德價值觀與勝任能力的責任主體當然是員工。這里需要特別說明如下幾點：

1．我國《內部控制配套指引》把發展戰略納入控制環境因素是必要的和合理的，因為發展戰略是企業一切活動的總導向，是企業實施包括內部控制在內等一切經營管理和公司治理活動根本依據，對于內部控制來說，它具有作為內部控制其他要素基礎性、前提性、支持性條件的特征。發展戰略直接決定著企業風險的高低，是引發風險的首要因素，是企業風險控制的著眼點，也是內部控制風險評估需要考慮的首要因素，對內部控制風險評估具有重要的影響。發展戰略也決定著要實施哪些控制活動，如何實施這些控制活動。反過來說，控制活動的建設和實施必須以保證發展戰略的有效實施為轉移。發展戰略也是評價內部控制有效性的根本依據和標準，判斷內部控制是否有效，是否存在重大缺陷，其中一個根本的標準就是它能否有效地保證發展戰略的順利實施。因此，將發展戰略作為一個重要的控制環境因素是必要的和適當的。

2．本文把組織結構和權責分配合并在一起，因為它們的責任主體都是企業，理論上應當放在一起。組織結構和權責分配在實際工作中總是結合在一起進行的，組織結構要靠權責分配來落實；權責分配要以組織結構為框架，兩者密不可分。

3．鑒于公司治理是一個含義非常廣泛的概念，其對內部控制的影響主要來自治理層的責任認識和行動。所以，組織結構和權責分配主張用治理層的責任與行動取代公司治理（結構）作為控制環境因素，這樣也便于明確這一環境因素的責任主體——治理層。鑒于我國公司治理層包括董事會和監事會兩個方面的事實，本文認為有必要用治理層的責任取代COSO框架中的董事會，全面反映我國企業治理層對企業內部控制的責任和態度，全面把握治理層對內部控制有效性的影響。

4．本文不贊同用企業文化來概括管理層的理念和經營風格，以及員工的品德。盡管隨著知識經濟社會的到來，對內部控制有直接影響的企業文化因素會越來越多，但是也需要注意目前“文化”一詞有被濫用的現象，一切皆可用文化來概括或表達會影響到“企業文化”的理解和運用。用“企業文化”來概括控制環境過于寬泛，而且不好把握。本文認同COSO的做法，把這方面影響內部控制的環境因素具體劃分為管理層的理念和風格、員工的道德價值觀。這樣做既具體明確、易于制定規范，也便于執行規范，更重要的是這兩個要素與治理層的責任與行動并列對應，分類規范、嚴密、合理。

5．本文把員工的誠信和道德價值觀與員工的勝任能力合并在一起，作為一個獨立因素。因為這兩個方面的責任主體和載體都是員工，按照環境因素形成的責任主體劃分，它們就應當是一個因素。這兩個方面合在一起還可以把人力資源與實務對內部控制的間接影響，集中通過這一因素直接施加到內部控制上。因此，這樣合并也有利于對這一環境因素進行建設和優化。

注釋：

① 財政部會計司考察團．會計研究，2007(9).

② 引自《企業內部控制應用指引——社會責任》，2010.

參考文獻：

［1］ 財政部.企業內部控制基本規范［Z］．2008.

［2］ 財政部.企業內部控制應用指引［Z］．2010.

［3］ 財政部會計司考察團.英國和法國企業內部控制考察報告［J］．會計研究，2007(9).

［4］ 李心合.企業內部控制基本規范導讀［M］．大連：大連出版社，2008.

［5］ 王德中.管理學（第三版）［M］．成都：西南財經大學出版社，2005.

［6］ ［美］COSO.內部控制——整體框架［M］．方紅星，譯.大連：東北財經大學出版社，2008.

［7］ Committee of the Sponsoring Organizations of the Treadway Commission：“Enterprise Risk Management——Integrated Framework（Executive Summary）”2004.

(責任編輯：關立新)