淺談ISO9000族標準在企業內部控制質量評價中的應用

劉美辰

摘要：企業內部控制是由董事會、管理層和全體員工共同實施的旨在合理保證控制目標實現的過程。健全有效的內部控制是現代企業制度的必然需求。財政部等五部委在2010年分別出臺了《企業內部控制評價指引》與《企業內部控制審計指引》，積極推進企業內部控制的建立和完善，但卻缺少一套完整的質量評價體系來判定其建立和實施的情況。本文擬基于ISO9000族標準的相關理論，結合ISO9000族標準的八大原則，構建企業內部控制質量評價體系，豐富內部控制質量評價標準。

關鍵詞：ISO9000族標準;企業內部控制;質量管理

中圖分類號： 文獻識別碼：A 文章編號：

2096-3157（2019）06-0032-04

一、引言

2008年5月22日，財政部、證監會、審計署、銀監會、保監會聯合出臺發布了《企業內部控制基本規范》。2010年，五部委又分別出臺了《企業內部控制評價指引》與《企業內部控制審計指引》。標志著中國企業內部控制達到了正式化、規范化階段。內部控制在企業建立和完善自我約束機制、提高經濟效益等諸多方面發揮著舉足輕重的作用。越來越多的企業認識到建立和完善內部控制的重要性，并通過一系列的措施來評定內部控制質量，以提高維持自身的持續經營與健康發展能力。

企業內部控制的質量管理是通過對企業內部控制的質量進行管理從而指揮和控制整個企業內部相互協調有效運作的活動。其質量管理又分為質量保證和質量控制兩個方面的內容，質量控制是為了達到目標質量要求而進行的一系列活動，質量保證則是提供客觀證據證明標的已經達到目標質量要求，其中質量評定尤為重要。

ISO9000族標準正是一系列關于產品質量管理和質量保證的國際標準族，是現代質量管理和質量保證理論的結晶。我國早在1978年就已經正式成為國際標準化組織的一員，自2001年加入世界貿易組織（WTO）后，各行各業更是掀起了廣泛采用ISO9000族標準的熱潮。自我國1989年開始等效采用該族標準，到1992年正式等同采用，再到2000年的ISO9000族標準中文版發布，該族標準在我國的運用越來越廣泛。將企業內部控制整體看作企業的一種“產品”，利用ISO9000族標準對其質量進行評定，可以說是突破該族標準原有使用范圍的限定，將其以顧客為中心的產品質量優化理念拓展到整體企業質量優化的理念，是具有相當程度的意義的。

二、內部控制的發展

1.內部控制總體發展歷程

內部控制是指企業為了實現其各項目標，而在企業內部采取的自我調整、約束、規劃、評價和控制的一系列方法、手段與措施的總稱。其發展大體經歷了以下五個階段：內部牽制階段、內部控制系統階段、內部控制結構階段、內部控制整合框架階段、企業風險管理整合框架階段。內部控制是組織經營與管理發展到一定程度的產物，是科學管理的必然需求，在社會經濟進步與發展的過程中，其理論也隨之發展與進化，從最初的無意識的自發性的活動逐漸的演變成系統的、科學的一門學科。其具有我們無法忽略的重要性。

2.我國企業內部控制發展歷程

我國內部控制的建設并非一蹴而就，而是經歷了漫長的過程，主要經歷了以下三個階段：

（1）引入階段。我國于20世紀80年代將內部牽引相關概念進入國內，但當時正值改革開放初期，政府和企業在“放權讓利”為重點的改革中追求企業的自主與自由發展，并未對內部控制做出嚴格規定，直到1985年《會計法》我國才首次在法律文件上對內部牽制提出了明確要求。

（2）發展階段。2008年5月，我國財政部、證監會、審計署、銀監會、保監會五部委聯合出臺發布了《企業內部控制基本規范》。這基本規范融合了國內外長期的相關于內部控制的經驗，并結合了我國企業的實際情況，是我國內部控制建設歷程上的一個里程碑。

（3）基本建成階段。2010年4月，財政部等五部委出臺了《企業內部控制應用指引第1號——組織架構》等18項應用指引、《企業內部控制評價指引》與《企業內部控制審計指引》。在企業內部控制發展過程中，諸多問題暴露出來，國家也在不斷完善我國企業內部控制。這幾份指引不僅包括了實務指南，更包括了諸多的操作指南，涵蓋了企業各個方面的內部控制，標志著我國內部控制規范體系的基本建成。

三、ISO9000族標準

1.ISO9000族標準的產生與發展

（1）ISO9000族標準的產生。ISO9000族標準是國際標準化組織（ISO）下設的品質保證技術委員會（TC176）于1987年制定并頒布的用于規范質量管理的族標準。這一標準族包括ISO9000《質量管理和質量保證標準——選擇和使用指南》、ISO9001《質量體系——設計開發、生產、安裝和服務的質量保證模式》、ISO9004《質量管理和質量體系要素——指南》等幾項標準。ISO9000族標準規范了企業從原材料采購到產成品交付的所有過程，涉及到企業內部的全體員工，還適用于不同的行業。該標準是當前國際、國內貿易往來及合作中，被作為相互認可的技術基礎和確認質量保證能力的依據。擁有這份認證，可以在短時間內提升企業形象，獲取顧客的信任，從長遠看來，可以降低成本，形成優良的企業文化，并與國際接軌，促進企業良性、長期發展。ISO9000族標準自頒布以來經歷過多次改進：1987年版本、1994年版本、2000年版本和2008年版本。我國國家質量監督檢驗檢疫總局最早在1992年正式等同采用ISO9000族標準為中國的國家標準，并于2000年12月28日發布2000版ISO9001的中文版。目前我國國內廣泛使用的為2008年的頒布新改進版本，其國際版編號為：GB/T19001-2008。

2.ISO9000族標準的優點

ISO9000族標準作為國際性的一組標準，具有以下幾點特征：

（1）國際公認程度較高。ISO9000族標準是一個國際標準，其制定組織品質保證技術委員會（TC176）是目前世界上最大、最具權威的標準化專門機構國際標準化組織（ISO）中的第176個技術委員會，其制定發布的標準均具有較高的權威性。

（2）通用性程度較好。全世界已經有150多個國家等同采用了ISO9000族標準，全球通用。同時，ISO9000族標準應用范圍共有39大類，包括農業、出版業、教育等，適用范圍廣泛，基本沒有使用壁壘。

（3）具有較強的實用性。經過多年的、全球一百多個國家的不斷實踐和對經驗的積累，使ISO9000族標準足以應對各種情況下的質量管理與保證。同時可以減少社會重復檢查費用，節約支出，帶來較高的經濟效益。

（4）規范程度較好。ISO9000族標準實行時間長，經過長久的實踐與多次改進，具有較強的規范性。

（5）有較強的靈活性。2000版ISO9000族標準取消了1994版本中的ISO9001、ISO9002以及ISO9003這三項標準，形成了一個統一的標準，各組織在運用該族標準時，可以根據組織的具體實際情況進行刪減，避免了對標準進行死板與機械的單純套用。

四、企業內部控制評價體系的構建

1.基于ISO9000族標準的企業內部控制評定標準

ISO9000族標準2008年版一共明確了八項原則，分別是：領導作用、全員參與、基于事實的決策方法、過程方法、管理的系統方法、以顧客為關注焦點、持續改進，以及與供方互利的關系。企業內控制度作為企業的特殊“產品”，其質量決定著其實行的效果，可以用ISO9000族標準八大原則作為管理理論的指導思想與方法，可作為標準對企業內部控制的質量進行評定。

（1）領導作用原則。領導者在組織管理活動中起著關鍵的作用，是落實企業內部控制質量管理的基礎。本文將領導者界定為在企業運行過程中具有戰略決策、組織管理以及保證計劃有效實施的權力人員，包括高層領導和中層領導。具體而言，高層領導者負責戰略的制定，中層領導者負責計劃的實施與調整。對于企業內部控制的領導層方面應當著重考察以下幾個方面：①企業高層領導者（董事會）確立的企業的宗旨和目標是否適應企業本身的特點和需求。企業內部控制的目標與宗旨決定了內控制度實行的目標與方向，該目標或宗旨必須符合市場發展自然規律并適應行業發展大環境。②企業高層領導者引導的企業文化是否益于企業持續發展。企業文化滲透在組織內部每一個角落，其包括企業精神、道德水平、行為準則、歷史傳統等內容。好的企業文化可以為企業帶來事半功倍的效果，有助于企業在外建立良好的形象。企業精神是否積極，行為準則是否規范，歷史傳統是否優良，都應列入考查范圍。③企業中層領導者（內部審計部）對內部控制的組織落實、監督檢查、評價處置、改進創新是否到位。中層領導者處在一個上傳下達的重要位置上，不僅是企業制度實施的主要操刀手，也是對企業制度進行改良的先鋒軍。中層領導者應定期不定期的對企業內控制度的實行情況進行檢查與評價，及時意識到內部控制的不足之處并進行反饋，及時做出調整與改進，做到防微杜漸。④企業領導層是否為員工提供所需資源和培訓。恰當的提高員工素質，才能確保企業內控制度的實行可以暢通無阻，并在合適的地方適當賦予員工自主權，以免員工成為單純的“執行機器”，并可以避免人才埋沒。

（2）全員參與原則。企業全體人員的充分參與是企業內部控制運行達到良好效果的重要條件。企業的內部控制質量管理不僅需要高層管理者的正確領導，還有賴于基層員工的參與。企業每一個員工的參與都決定著內控制度相關規定以及要求的落實情況。從企業的董事會、各層管理者到企業的基層員工是否全員參與到企業的內控制度當中去，是評定企業內部控制質量的一項重要標準。

（3）基于事實的決策方法原則。正確的決策對于企業的日常運營與未來發展來說至關重要，在制定與企業內部控制相關的各種決策時所依據和使用的各種信息以及數據的真實可靠性，是企業內部控制質量的根本保證。只有以事實為依據做決策，才可以防止決策失誤。因此，在企業處理那些反饋出來的信息與數據時，應在下幾個方面進行重點考察：①所需信息和數據的取得途徑是否有效。取得的信息和數據是來自于執行者還是設計者，應有所辨別。使用的數據是內部數據還是外部數據，也應加以區分。區分的途徑是單一途徑還是多重途徑，是否摻入人員主觀判斷，更加要引起重視。②相關信息和數據的輸入過程是否準確無誤。類似于鍵盤輸入錯誤、人為傳達錯誤等非系統錯誤，應當杜絕，避免錯誤數據和信息干擾決策。③相關信息和數據的分析過程是否科學。對數據和信息采用的分析方法、分析依據以及結論表示方法都是否有理可據，環環相扣。④管理人員決策態度是否端正。管理人員應當公正客觀，不以公謀私，只論事不論人。⑤企業內部控制的行動方案的選擇是否恰當。企業應選擇符合本企業自身情況的方案，不隨波逐流，也不盲目從眾，一味的借鑒其他企業成功經驗。同時，管理人員應確保決策符合邏輯，在對事實進行了充分的分析之后，在兼顧經驗與直覺的基礎上做出決策，并采取措施。只有依據的數據和信息真實可靠并進行科學理智的決策，才能確保企業內部控制的質量。

（4）過程方法原則。管理的本質就是管理過程。作為管理的一部分，內部控制并不只是簡單的結果控制，其本身是一個過程控制。所謂的過程就是任何使用資源，將輸入轉化為輸出的活動。通常，一個過程的輸出將直接成為下一個過程的輸入，過程之間相互關聯、相互作用，使組織有效運行。因此，對企業內控制度質量進行評定，必須要看企業是否將內部控制作為一個過程來對待。若把企業內控制度的實施作為過程來管理，就可以識別和確定每一個過程的輸入輸出活動，并對其各部分的質量進行測量與控制。同時可以明確一個過程與其他過程之間的關系、作用和接口，方便相關人員進行調整，使各個過程之間更加協調與兼容，提高企業內控制度的運行效率和效果。

（5）管理的系統方法原則。企業應將相互關聯的各個內控過程作為一個系統加以識別、理解和管理，這樣有助于企業提高實現內部控制目標的效率和效果。因此，應該判斷企業內部控制單獨的各個過程是否作為企業內部控制的有機組成部分，彼此間相互協調、促進和輔助，共同促進企業內部控制的有效實施，達到總體作用大于各分系統作用之和的效果。其實企業內部各個部門之間本身就存在著緊密的聯系，企業本身就是一個有機體，任何一個部門都不可能獨立存在，其職能權利相互制約相互促進。所以適應企業的內部控制制度應該像一張錯落有致的網，下有制度，上有監管，與企業各項業務運作完美契合。因此，企業內部控制是否以過程為基礎建立統一的系統，使內部控制過程作為有機體存在于企業內部控制制度當中，是企業內部控制質量評定的關鍵。

（6）以“顧客”為關注焦點原則。所謂的顧客既指產品的使用者，因此企業內部控制的“顧客”就是企業以及企業的利益相關者。企業的存續完全取決于社會對企業產品與服務的滿意程度和對企業本身的信任程度，因此高質量的內部控制也應該令企業及其利益相關者滿意并取得他們的信任。企業應當定期或不定期對企業以及社會大眾進行匿名調查，以了解基層人員、小股東以及潛在股東對企業內部控制管理制度的看法，并及時做出調整與回應。

（7）持續改進原則。企業所面對的經濟環境、政策環境、市場環境等外部環境以及上游的供應商、下游的顧客、同行業競爭對手等內部環境，都在不斷發生變化，企業的經營方向與決策目標也會隨之改變，倘若故步自封，只能自取滅亡。如此一來，企業的內部控制也必須因時而變，保證自己能夠繼續確保企業整體的有效運行，不斷增強企業的市場競爭力。永久有效的內控制度是不存在的，持續改進才可以保證企業內控制度的質量隨時新鮮，持續改進才是企業內控制度永不枯竭的生命源泉。因此，企業是否將企業內部控制的持續改進作為企業內每個成員的目標，相關測量和跟蹤的方法是否制定，改進成果是否及時確認和通報，均是評定企業內部控制質量的重要標準。

（8）與供方互利的關系原則。供方既指原材料供給方。組織與供方的互利關系可以提高雙方創造價值的能力，企業能否處理好與供方的關系，影響到企業能否持續穩定的為顧客提供滿意的產品與服務。若將企業內部控制制度視為企業的“產品”，企業的供方就指那些制定企業內部控制的人員（企業董事會成員）。董事會制定的內部控制是否有益于企業整體發展，又是否能為公司股東帶來穩定收益，是需要在企業內部控制評價過程中需要注意的問題。

2.基于ISO9000族標準的企業內部控制評價體系的構建

企業內部控制的質量評定可以形成一個完整的體系，上文提到的八項質量評定標準之間具有以下的關系：首先，應先考察企業人員對企業內部控制的關注程度、參與程度，評定企業領導作用是否有效合理，同時，判斷在企業領導層的指揮下，企業董事會、高層管理者以及企業基層員工是否全員積極地參與到企業的內控制度建設當中;其次，應關注內部控制具體內容，第一步考察內部控制相關決策是否基于可靠的事實，第二步考察企業內部各個過程是否連貫，最后考察企業內部控制是否可以形成有機的統一的整體，達到部分之和大于整體的效果;再次，應該考察企業內部控制質量是否滿足了企業及其利益相關者的需求，同時考察企業董事會制定的內部控制是否與企業股東與企業整體達成了互利共贏關系;最后，應對企業內部控制存在缺陷的地方進行持續改進，避免因小失大，做到防患于未然。具體如下方圖1所示：

圖1 八大內控評定標準之間的層次關系

在持續改進過程中，企業可以選用“質量環”模型（即PDCA循環方法）進行內控制度的質量進行改進，在計劃、執行、檢查、糾正這四個步驟的不斷循環往復的過程中，使企業內控制度質量螺旋式上升，被打磨成最優狀態。如下方圖2所示：

圖2 以過程為基礎的企業內控質量管理體系模式圖

建立和實施質量管理體系的具體步驟有以下幾步：首先，確定企業和企業利益相關者的需求和期望，據以確認企業內部控制的質量方針與質量目標，以及實現質量目標的過程和各方職責;其次，確定所需的資源并對其進行資源管理;然后，構建企業內部控制;最后，應用測量方法得到相關信息與數據，分析企業內部控制的有效性和效率，并對其缺陷之處進行改進。

五、局限與建議

1.研究局限

利用ISO9000族標準這一國際標準對企業內控制度質量進行評定具有一定的現實意義。但下列問題必須注意：

（1）在風險預估上具有局限性。ISO9000族標準對企業內部控制制度質量的評定局限在過去的實施過程和現在的實施效果上，而沒有對其未來的或有風險進行預測。企業內控制度很可能存在一些會誘發風險的潛在因素，對這些因素進行挖掘和判定，并視情況進行排除也是非常重要的。若缺少對潛在風險的認識，很可能會忽略企業內部控制存在的巨大隱患而輕視部分內控缺陷，最終造成無法挽回的損失。

（2）無法滿足定量的質量評定。ISO9000族標準可以提供的僅是定性的質量判斷，但對于利潤至上的企業來說，鮮明的數字數據往往要比各種文字概念更容易引起企業人員的注意。而且，定性的判斷難免會受到一些評定人員的主觀因素的影響，難以做到數據計算得出的結果那么客觀，也無法做出非常精確的結論。

2.對策及建議

對于上述的兩點局限之處，可以選擇用其他的方法進行確認與衡量。例如，可以利用事件樹分析法（ETA）與故障樹分析法（FTA）的結合，對一個事實的可能原因和可能結果進行判斷，識別企業內部控制存在的潛在風險。對于將企業內控量化的方法，可以采用杜邦分析法，從企業的權益凈利率（企業凈利潤與平均凈資產的比率，反映所有者權益所獲報酬的水平，也稱資產凈收益率）出發，層層分解分析，直至企業最基本生產要素的使用，成本費用的構成，以便觀察和確定企業內部控制的效果。

六、結論

將ISO9000族標準運用到企業內部控制質量評定中，是一種對ISO9000族標準運用方式的創新。這種評價體系可以實現從基層到高層、從微觀到宏觀、從點到面的評價，也可以將企業內部控制抽絲剝繭的分析，準確的將企業內部控制質量不過關的地方辨別出來，方便有針對性的提高相應的應對措施。該評價方法還需在實踐中不斷探索和改進。

參考文獻：

[1]王海英，史文新.運用ISO9000標準構建企業集團財務公司內部控制體系[J].金融經濟，2010，（18）：141～142.

[2]吳竟勤.談ISO9000質量管理體系在外貿企業內部控制評價中的運用[J].國際商務財會，2009，（4）：41～42.

[3]劉義雄編著.ISO9000質量標準與質量體系審核簡明教程[M].北京：中國經濟出版社，2003.

[4]駱良彬，王河流.基于AHP的上市公司內部控制質量模糊評價[J].審計研究，2008，（6）：84～90+96.

[5]劉立芹.淺談企業內部控制有效性及評定方法[J].中外企業家，2014，（4）：89+103.

[6]方紅星，池國華，樊子君.內部控制[M].大連：東北財經大學出版社，2014.