國外內部控制常見實務做法分析

（安徽工商職業學院 安徽合肥 340100）

國內外財務舞弊事件的頻繁發生，使內部控制成為全球性的熱點問題。作為完善現代公司制度的有效方式之一，內部控制在提升上市公司運作管理水平、規避風險方面發揮著重要作用。1992年，COSO發布了《內部控制——整合框架》，該報告提出內部控制的三個目標和五個要素，受到國際內部控制理論界和實務界的廣泛關注，已經被世界上許多公司運用，也被各國內部控制標準制定機構借鑒或采用。2002年，美國國會通過的《薩班斯—奧克斯利法案》，嚴格要求公司加強對財務制度和內部控制的完善和披露，已經得到全球范圍內認可和應用。2004年，COSO發布了《公司風險管理——整合框架》，該框架不僅涵蓋了原有內部控制的合理內容，而且強化了公司風險管理理念。風險管理的興起對內部控制產生了重大的影響。2008年，我國財政部、審計署、證監會、銀監會、保監會等五部門聯合發布了 《公司內部控制基本規范》，2010年財政部又發布了《公司內部控制配套指引》，這標志著我國公司內部控制規范體系基本建立起來。在此背景下，探討國外內部控制最佳實務，有助于我國公司經營管理實踐的提升。

一、展開培訓，培養管理層內部控制觀念

管理層對內部控制的重視，將有助于內部控制的有效執行，并減少特定控制被忽視或規避的可能。衡量管理層對內部控制重視程度的重要標準，是管理層收到有關內部控制缺陷及違規事件的報告時，是否做出適當反應。管理層及時地下達糾弊措施，表明他們對內部控制的重視，也有利于加強公司內部控制意識。控制理念反映在管理層制定的政策、程序及所采取的措施中，而不是反映在形式上。為了培養公司的內部控制和風險管理觀念，公司應該給予管理層適當的培訓，使管理層正確認知內部控制、理解其目標、職能及范圍。這樣一方面有助于公司遵守內部控制的監管規定，同時也能為達到內部控制目標提供更大的保證。培訓課程可以由公司自行開發，也可以外包給在此方面具有專長的公司。

二、董事會持續有效監控

持續有效監控是完善內部控制的要素。然而，董事會不應被動，并且不應只依據公司內嵌入的監控程序以履行其職責。董事會應定期收取、審閱內部控制報告。負有內部監控的管理層或審計部門等職能部門，應不時向董事會或董事會委員會提交工作報告，匯報公司最新的監控情況。建議公司在審計委員會下設立審計部，除了配備專職的審計人員之外，如有需要，審計部可以根據具體審計項目的需要，臨時申請抽調公司經營層面相關專業人員來配合、協助、支持，保證審計工作的有效進行。審計部開展工作不受其他部門或者個人的干涉，直接向審計委員會報告工作，最大程度保證審計部對內部經營管理活動的監控職能，審計部的日常行政管理歸屬于董事會辦公室。

三、建立審計委員會

審計委員會作為董事會里的一個主要由非執行董事組成的專業委員會，是公司治理結構中的一項重要的制度安排，其目的是監督公司的會計、財務報告以及公司會計報表的審計。審計委員會的職權范圍應包括與監管上市公司財務制度及內部控制有關的職責：（1）檢討公司的財務監控、內部控制及風險管理制度；（2）與管理層討論內部控制系統，確保管理層已履行職責，建立有效的內部控制；（3）主動或應董事會的委派，就有關內部控制的重要調查結果及管理層對該結果的回應進行研究；（4）如公司設有內部審計部門，須確保內部和外部審計師的工作得到協調；（5）確保內部審計在公司內部有足夠資源，且有獨立的地位；（6）檢查內部審計功能是否有效；（7）檢討集團的財務及會計政策及實務；（8）對外部審計師就會計記錄、財務賬目或監控系統向管理層提出的任何重大疑問做出回應。綜合以上可以看出，如果審計委員會能夠運行有效，能夠給公司經營管理帶來顯著的效益。

四、設置內部審計部門

內部審計是公司內部監控系統的組成部分，有助于確保監控系統的有效性。內部審計可以通過以下程序對公司做出積極和有價值的貢獻：（1）對風險管理，特別是在內部監控系統的設計、執行及運作方面提供建議；（2）識別監控中潛在的機會，降低運作上有關的損失，從而加強風險管理和監控管理的效率及效果；（3）提升公司內的風險管理及內部控制觀念。內部審計功能可以提供各方面的收益。如果有適當資源，內部審計應該可以：（1）就公司的風險管理與內部監控是否足夠及有效，向董事會及管理層提供客觀保證；（2）幫助管理層改善用以識別、管理風險的程序；（3）協助董事會履行其加強、改善風險管理和內部監控架構的職責。

五、把內部控制、風險管理嵌入到公司業務流程中

公司的營運環境持續變化，導致公司所面對的風險也不斷改變。完善的內部控制系統需要對公司所承擔風險的性質、程度進行全面、定期評估。內部控制系統要有足夠的靈活性，以便在環境、公司組織和目標有所變更時，能做出相應改變及調整。內部控制系統應該嵌入公司的運營中，并構成公司文化的一部分；能夠對由公司內在因素所產生的業務風險及經營環境的變化做出迅速應對，包括向適當的管理層及時匯報任何重大監控失誤或缺陷，所采取行動的細節。

內部控制系統必須嵌入公司的業務程序中，與其發展另一套風險報告系統，不如把內部控制納入現有的管理信息系統內。過分繁復的風險管理程序會使其偏離重點，而這個重點就是通過把監控系統結合于現存的流程內，使公司內各職能部門及人員能更加專注于達成業務目標，并管理好與各部門工作有關的重大風險。

通過把風險管理嵌入于公司業務程序中，公司有機會消除重復或不必要的監控及創造一個環境，在完善的風險管理實務規范下，賦予公司內各人更大的權力，以滿足顧客的需要。

六、建立內部控制自我評價系統

COSO認為，確定公司內部控制是否“有效”，是在對八個構成要素是否存在和有效運行的評估的基礎之上所做出的判斷。因此，構成要素同時也是有效的公司內部控制的判斷標準。如果這些構成要素存在且正常運行，那么就可能沒有重大缺陷，而風險可能已經被控制在主體的風險容量以內。同時，如果確定公司風險管理在所有四類目標上都是有效的，那么就意味著董事會和管理當局對實現內部控制具有合理保證。

七、編制內部控制手冊

按照COSO報告、結合公司具體情況，編制內部控制手冊，對完善公司內部控制制度，進一步加強公司內部控制規范體系建設工作，持續提升公司經營管理水平和風險防范能力，保證公司經營管理合法合規、資產安全、財務報告及相關信息真實完整，促進公司戰略目標的實現和可持續發展具有很強的現實價值。

內部控制手冊，不是新的構想、也不是新創造的體系，而是在公司現有的內部控制和管理制度基礎上，借鑒COSO報告最新研究成果，將各部門、各崗位內部控制過程集合成較為系統的書面式文檔，它涵蓋了內部控制的五個方面，即內部環境、風險評估、控制活動、信息與溝通、持續監控，體現了公司內部控制的標準、原則和要求。在日常的生產經營活動中，應當隨著公司內外部環境的不斷變化，不斷更新和補充手冊內容，制定詳細的業務操作層面細則，提高手冊的可操作性與指導性，以期日漸完善。

通過編制《內部控制手冊》，建立一套科學、系統的內部控制的方法和規范，為公司內部控制建設、運行和維護提供指引，并作為建立、運行及評價內部控制的依據，從而確保公司上下從思想上、行動上對內部控制體系保持高度統一。

八、考慮成本效益原則

在整體系統的設計及在風險識別、評估和確定風險的優先次序方面，必須考慮成本效益的因素。

內部控制是公司為實現既定目標而在內部建立和實施的各種控制方法、措施和程序等所形成的控制機制。這些方法、措施和程序的建立與實施需要付出一定的成本，如設計控制環節、設置崗位、配備人員，確保各控制環節的運行等都必須付出的代價。而內部控制的效益則是內部控制的方法、措施和程序在公司得到良好運行所應達到的各種目標，即：保證財務報告的真實可靠，防止舞弊行為的發生；保證公司資產的安全完整，避免因浪費、盜竊或不當經營決策而產生的損失；改善公司經營管理，提高經營效率，規避經營風險；遵守現行的法律、法規和公司內部的管理制度。內部控制所應遵循的成本效益原則指的是只要公司建立和實施內部控制的效果大于其成本，就是經濟合理的，就應當設置和運行該項控制；反之，則不應當采用該項控制。

內部控制的成本是現時的，并在一定條件下是可以估量的；而控制產生的效益是建立和實施內部控制所達到的目標，是避免或減少風險和損失的可能性，很顯然這種效益是未來的、具有很大的不確定性。在體現價值最大化的經營管理理念的環境中，公司不得不考慮內部控制的成本與效益問題，在建立和實施內部控制時，在可能獲得的收益與不設置相應控制可能產生的損失之間做出理性的判斷，進行權衡和取舍。