淺談如何管理和解決內(nèi)控薄弱點

龐媛

摘要：隨著內(nèi)控制度的建立和不斷完善，越來越多的公司不再滿足于初始的內(nèi)控框架體系及指引，而是更加致力于內(nèi)控制度的健全，建立并完善內(nèi)控管理體系，確保公司的整體運營下內(nèi)控的有效性和可持續(xù)性。完整的內(nèi)控管理系統(tǒng)有一個很重要的作用，就是避免內(nèi)控薄弱點的擴散。文章通過分析內(nèi)控管理中難以實現(xiàn)有效操作的根本原因，結(jié)合實際工作經(jīng)驗，論述如何有效地管理和解決內(nèi)控薄弱點。

關鍵詞：內(nèi)控薄弱點;缺陷;關閉;內(nèi)控完整性體系

隨著治理結(jié)構(gòu)和內(nèi)控制度的建立和健全，越來越多的公司繼續(xù)致力于建立一個內(nèi)控完整性管理體系，以確保在公司的日常運營中保持內(nèi)控的完整性，避免內(nèi)控薄弱點擴散，能持久到達并維持一個具有成本效益的內(nèi)控環(huán)境，同時也應對內(nèi)外部披露和監(jiān)管的要求，提升風險管理水平。而有效地管理和解決內(nèi)控薄弱點及違規(guī)情況，并向管理層報告，從而及時充分地解決問題，是內(nèi)控完整性體系中一個關鍵的要素。

有效的管理是解決內(nèi)控薄弱點的關鍵，真正體現(xiàn)了企業(yè)的內(nèi)控管理水平。對內(nèi)控薄弱點的界定各有不同，一般包括對內(nèi)外部審計、自我評估、體系評價以及相關違規(guī)違紀中發(fā)現(xiàn)的缺陷、教訓或事件，對薄弱點的管理，包括報告、分析、措施跟蹤及經(jīng)驗教訓分享等。

一、解決內(nèi)控薄弱點時存在的普遍問題及根本原因

（一）當在內(nèi)外部審計、評估或評價中發(fā)現(xiàn)了內(nèi)控薄弱點，沒有完整的程序來跟進和解決、記錄和分享，成為完整性鏈條上的缺失。或制定了關閉措施，但關閉措施是分散在不同的業(yè)務流程中的，而不同的業(yè)務流程沒有在相同的平臺進行整合與優(yōu)化，導致措施難以有效執(zhí)行或沒有特定或配套的工作指引、模板。

（二）內(nèi)控理念沒有深入人心，甚至領導對內(nèi)控的認識不足，部分管理層對生產(chǎn)、安全、采購、銷售重視，但是內(nèi)控措施的制定和落實缺乏敏感度，導致整個部門的內(nèi)控措施沒有很好的落實，而僅僅是為了完成任務或者應付審計、評估，同時，也極大影響到內(nèi)控理念在員工層面的推廣。應自上而下地加強對內(nèi)控職責的認識和執(zhí)行，提升內(nèi)控培訓的系統(tǒng)性和覆蓋面。

（三）組織架構(gòu)的設置的影響：不少內(nèi)控部門設在財務、內(nèi)審部門，而財務或?qū)徲嫴块T對其他部門的內(nèi)控工作卻無權進行考核，以至于其他部門認為內(nèi)控是財務或者審計的職責范圍。通常，內(nèi)控措施執(zhí)行的好的公司，其組織架構(gòu)合理，考核有效。另外，個部門內(nèi)控代表常常都是兼職，沒有激勵，而內(nèi)控經(jīng)理無權跨部門對其進行績效考核。

（四）考核、指標、內(nèi)控評價缺失或不完整：指標不夠量化，沒有作為部門、公司的KPI考核指標定期跟進;對薄弱點的關閉工作沒有實質(zhì)性考核或者是考核難以執(zhí)行到位;很多公司也沒有對自身體系的有效性評估。

（五）缺乏有效的內(nèi)控信息系統(tǒng)平臺，依賴個人經(jīng)驗、責任心和影響力：很多公司還沒有缺陷管理流程軟件，是通過登記、更新臺賬進行追蹤和跟進。由于內(nèi)控文檔覆蓋范圍大，涵蓋了企業(yè)幾乎所有的業(yè)務流程，文檔的更新與維護復雜，信息多而雜亂，并且容易丟失，同時受內(nèi)控人員素質(zhì)、責任心影響大。有時，在面對審計或評估的時候，相關人員仍然有敵對的心理，不愿意承認自己的失誤或者錯誤，對內(nèi)控的薄弱點極力辯解，沒有以積極的心態(tài)去采取補救和預防措施。

（六）部分薄弱點的解決只是為關閉而關閉，沒有根本地修復薄弱點，造成重復性審計問題出現(xiàn)或者類似、同類的缺陷出現(xiàn)，不能夠舉一反三，推動完整性體系的不斷完整、可持續(xù)改進。缺乏有效關閉的驗證程序，也沒有實施對完整性體系的評估，以至于內(nèi)控環(huán)境不能達到最佳運作效果。

二、管理和解決內(nèi)控薄弱點的策略與方法

（一）是否有完整的、可操作的程序來跟進和解決、記錄和分享，成為完整性鏈條上重要的一環(huán)，反映企業(yè)的內(nèi)控管理水平。

1.應對內(nèi)控薄弱點進行分類，分別制定程序進行跟進和解決，使解決過程中運用的工具與模板具有透明度和可操作性。可以按薄弱點的性質(zhì)或嚴重性來劃分：

各類審計/評估發(fā)現(xiàn)的缺陷：程序關鍵是對內(nèi)控缺陷進行管理，如果沒有內(nèi)控信息系統(tǒng)（軟件系統(tǒng)），則需要建立“監(jiān)控缺陷臺賬”進行管理。臺賬的內(nèi)容應至少包括：問題描述、主導部門、關閉責任人、根本原因、計劃關閉措施、計劃關閉時間等關鍵信息。對于跨部門或重大缺陷，還可以指定一名更高一級的領導作為引導人。程序應明確關閉責任人等職責、確立缺陷關閉應符合的原則等，如：怎么才算是有效關閉、逾期關閉的認定、關閉確認單的審批等。

違規(guī)違紀的（事件）：對于涉及違規(guī)違紀的內(nèi)控事件，需要相應部門進行事件調(diào)查，按照違規(guī)違紀的程序進行處理并按規(guī)定通報處理意見。

內(nèi)控教訓/不足：一般指還沒有暴露出來的內(nèi)控不足，但是為了避免它的消極影響，也避免類似問題的發(fā)生，應鼓勵所有員工按照既定的程序/渠道報告內(nèi)控教訓的情況，內(nèi)控部門對其進行篩選和認定，并酌情進行分享，避免再次發(fā)生時為公司帶來損失。

特別要注意程序制定的可操作性，沒有具體的操作辦法，或者對一些工具、模板沒有配套的操作指引，只是將內(nèi)控檢驗點羅列起來，那這個程序就是失敗的。要讓實際工作能夠按照這個程序執(zhí)行，而不是用來裝飾墻面，要讓操作人員沒有理解上的偏差，不同的人在跟進同樣的薄弱點時，都能得到同樣的結(jié)果。

2.確立缺陷跟進的溝通匯報機制。內(nèi)控會議分部門、跨部門、內(nèi)控最高機構(gòu)（如內(nèi)控委員會），按照內(nèi)控歸屬的責任部門，定期在相關的會議上匯報跟進情況，推動缺陷關閉，在跨部門、重大、逾期等缺陷跟進上尋求相關方支持，并按照缺陷分享標準在相應的范圍內(nèi)進行分享。

溝通匯報機制的建立依賴于公司各個層面的溝通和支持，并需要將溝通匯報的形式和結(jié)果形成文件記錄并執(zhí)行。在此之中，管理層需要積極地參與，為缺陷的跟進和關閉提供必要、合適的資源和行動，通過日常的溝通，審閱和推動關閉進展，并為此承擔個人責任，這就是管理層的領導力和責任。工作層要根據(jù)制定的計劃和目標有序地推進缺陷的關閉，并及時在工作層和向管理層溝通與反饋。在各個層面的溝通與匯報中，各部門分別指定內(nèi)控協(xié)調(diào)員（或者叫內(nèi)控代表）是一個有效的形式。內(nèi)控協(xié)調(diào)員負責組織部門、跨部門的溝通匯報會議，匯總跟進本部門的缺陷關閉進展，為部門缺陷關閉提供建議與支持。同時，內(nèi)控協(xié)調(diào)員需保存適當、及時的文件記錄，以供匯報、分享、和協(xié)助分析、回顧、審計及評價的需要。

3.需要關注如何在發(fā)現(xiàn)內(nèi)控缺陷的基礎上對流程進行改進，因為內(nèi)控管理是依賴于業(yè)務流程的，不能僅限于流程中檢驗點的設定，要對流程進行統(tǒng)一的規(guī)劃與管理，來滿足流程優(yōu)化的需要。

大部分的企業(yè)采用的內(nèi)控模式都是以業(yè)務流程管理為基礎，以關鍵檢驗點為載體的流程業(yè)主負責制的在線內(nèi)控模式。隨著業(yè)務的開展、變更和新增而暴露出的內(nèi)控缺陷，為業(yè)務流程的改進和優(yōu)化提供了輸入與支持。但是，各個業(yè)務流程不是單獨而存在的，在同一個公司內(nèi)，業(yè)務流程有交叉或互相指引，這就要求流程的改進者和優(yōu)化者，必須完全理解與工作相關的程序的目標和運作要求，甚至是對于跨部門、跨流程的理解和融會貫通。不能僅僅局限在本流程的需要和便利，而需要有“全流程”的管理意識，從本流程區(qū)域的管理到整體流程相關的改進和優(yōu)化，才能實現(xiàn)企業(yè)整體效率最大化。

4.當然，如果能通過軟件系統(tǒng)搭建內(nèi)控信息系統(tǒng)平臺，對內(nèi)控管理進行全面支持，對缺陷管理能夠更準確地分析、追蹤和落實，將原先需要手工處理和內(nèi)控人員跟進的大量、碎片的信息、記錄、整改、報告、披露、歸檔等借助于信息平臺的使用進行管理、反饋和考核，才能真正提升企業(yè)的內(nèi)控管理水平，把缺陷的管理由部門被動遵從內(nèi)控人員的推動轉(zhuǎn)變?yōu)橹鲃庸芾怼２簧倏鐕疽呀?jīng)很好實踐了內(nèi)控信息系統(tǒng)，創(chuàng)立了個性化的缺陷管理流程，提升了內(nèi)控管理核心競爭力。

（二）更多的企業(yè)開始重視關閉缺陷的驗證與監(jiān)督，以確保有效關閉。如何強化驗證可以有多種措施，多個環(huán)節(jié)。例如關閉的當下可以指定一名驗證人進行現(xiàn)場查驗和確認，后續(xù)在自我評估時抽樣，驗證關閉措施和行動是否適當、有效;或者在體系評估時，評估人員對內(nèi)控缺陷管理的有效性進行驗證并做出評價。在體系評估中發(fā)現(xiàn)的問題，分為要素和部門兩個部分進行跟進：對于要素存在不合理、不完善的內(nèi)容，由要素管理員負責整改并關閉;部門存在要素執(zhí)行問題，責任部門需按照要素要求采取措施并關閉。也可以有內(nèi)審部門針對已關閉的缺陷進行專項驗證等等。

加強對已關閉缺陷的驗證旨在確保各部門在缺陷的發(fā)現(xiàn)和關閉中吸取經(jīng)驗和教訓，避免同類或類似缺陷的重復出現(xiàn)。重復性審計缺陷的出現(xiàn)，表明缺陷關閉是失敗的，內(nèi)控的有效性仍未落實到業(yè)務流程范圍內(nèi)。那么，相關的人員，不管是員工還是管理層，在自身的職責范圍內(nèi)對監(jiān)控有效性是要承擔全部責任的。

（三）定期向管理層匯報：分別在部門和公司層面設定關鍵績效指標，定期（月度/季度/年度）向各自的管理層匯報薄弱點的進展狀態(tài)以及內(nèi)控計劃/工作的進展情況。這樣所有的員工和管理層都在其職責范圍內(nèi)對內(nèi)控的有效期負全責，才能保證公司維持一個具有成本效益、與風險匹配的內(nèi)控環(huán)境。

（四）制定關鍵績效指標（KPI），這是管理層用來評價內(nèi)控措施持續(xù)有效的工具和方法。主要的關鍵績效指標包括：未關閉的內(nèi)控缺陷數(shù)量、逾期未關閉的內(nèi)控缺陷數(shù)量、重復的審計問題、相關內(nèi)控事件/內(nèi)控教訓的數(shù)量等。流程業(yè)主需要定期回顧和審閱，以確保其持續(xù)有效。

三、結(jié)語

內(nèi)控工作不是一項依葫蘆畫瓢的簡單重復，需要在不斷的工作中積累豐富的經(jīng)驗，才能敏銳地捕捉到高風險點和內(nèi)控工作的漏洞。不僅僅關注薄弱點本身，更要建立處理類似問題的流程、預防潛在風險的機制，確立并發(fā)揮管理層的領導力，為實施內(nèi)控工作提供良好的內(nèi)控環(huán)境、制度、工具、遵循的程序、手冊、模板等，形成一套良性循環(huán)的內(nèi)控完整性體系。而內(nèi)控薄弱點的管理和解決，又為完整性體系的其他要素提供信息和改進。只有在一個良好的內(nèi)控環(huán)境下，內(nèi)控工作才能有效地進行，從而支持企業(yè)的可持續(xù)發(fā)展。

參考文獻：

[1]杜敏.事業(yè)單位財務內(nèi)控管理的薄弱環(huán)節(jié)及改進[J].財會學習，2019（01）：173+175.

[2]陳輝.會計信息質(zhì)量對內(nèi)控評價的反作用實證研究[J].中國注冊會計師，2019（09）：55-59.

[3]李峻.從審計的角度看內(nèi)控的重要性[J].財務與會計，2019（01）：80-81.

[4]胡玄能.企業(yè)內(nèi)部控制規(guī)范解讀[M].新華出版社，2010.