整車制造企業內控評價中的數據使用方法開發

李月嬌 一汽-大眾汽車有限公司

引言

近年來，以整車制造為代表的傳統制造業面臨著劇烈多變的外部環境，這其中不僅有宏觀經濟環境和競爭環境變化帶來的外部市場挑戰，更有新信息技術手段的滲透和引入帶來的內部業務模式變革，前者的影響更多地表現在企業短期經營情況和市場表現的變化及長期戰略的調整，后者則“潤物細無聲”地將觸角伸及企業內部管理的方方面面，一項新信息技術的應用甚至可以顛覆原來某一項傳統業務開展的模式，對于業務人員來說，需要快速適應新的模式、利用新的技術手段和因此產生的信息數據開展傳統業務，對于現代制造企業的流程內部控制管理部門來說，更是一項考驗創新力、適應力和執行力的挑戰。本文基于筆者所處的國內頭部整車制造企業業務背景，對傳統內控評價方式進行分析和優化，形成了包含“兩段式”內控評價方法、“三流”業務內控流程圖法、數據選擇“四象限法”在內的信息數據應用內控評價工具，及其在實際業務當中的應用過程及成果。

一、傳統內控評價方式及其在整車制造企業的應用現狀

（一）傳統內控評價方式概述

《企業內部控制基本規范》中描述內部控制為“由企業董事會、監事會、管理層和全體員工實施的、旨在實現控制目標的過程”，其目標是“合理保證企業經營管理合法合規、資產安全、財務報告及相關信息真實完整，提高經營效率和效果，促進企業實現發展戰略。”一般企業內部控制管理的組織架構通常以管理層和治理層要求出發，以專門設立的內部控制管理部門作為業務風險內控管理的第二道防線，通過組織公司業務風險內控管理第一道防線的各級業務部門開展業務內控體系搭建、向其進行理論培訓及理念宣貫、組織其開展內部控制自我評價等工作，識別業務流程高風險領域，優化流程控制手段，實現內部控制管理目標。

內部控制概念產生之初來自COSO內部控制框架及美國薩班斯法案中對于在美國資本市場上市的公司內部控制工作的要求。2008年發布的《企業內部控制基本規范》及其配套指引，擴大了在中國適用企業類型的范圍，同時明確了企業建立和實施有效的內部控制應包含內部環境、風險評估、控制活動、信息與溝通和內部監督五個要素，其中內部環境是最基本的一項，而風險評估和控制活動則是最重要的兩項，在對實際業務流程開展內控測試時，往往是針對這兩項要素開展。

傳統的內控評價方法主要包含業務流程梳理、業務訪談、實地查驗、穿行測試、抽樣測試等。即通過業務訪談繪制出待評價業務的流程圖，根據實際情況選擇不同的測試方法、不同的測試樣本進行內控評價測試，進而對該項業務的內控有效性情況給出判定結論。

（二）傳統內控評價方式在整車制造企業的應用現狀

筆者所在的企業為整車制造企業，在內控工作初期推進的階段，內部控制管理部門更多的采取了傳統的業務流程梳理、訪談和測試方法，完成了流程內控體系的搭建。但近幾年，對公司內控工作效率效果產生直接影響的公司流程環境發生了較大的變化，隨著公司業務數字化趨勢愈加明顯，大量業務數據開始存儲和流轉于新搭建的業務信息系統當中，其關鍵業務領域的特點包括研發體系需通過系統平臺與國外協同、供應鏈信息流長且復雜、經銷體系充分依賴廠商的平臺搭建等，因此內控評價的成果輸出對業務信息系統及其數據運用的依賴性越來越強，按照傳統方式開展的弊端則逐漸顯現：如缺乏對業務信息系統數據的有效應用，僅對流程文件及財務數據評價，導致評價范圍受限；再如缺乏數據處理分析方法的應用，難以全面掌握業務流程現狀及風險，導致評價效率較低等。

二、信息數據應用內控評價工具的開發過程論述

利用PDCA循環思路，對內控評價項目執行流程進行標準化，明確各環節輸出、工具、經驗方法，用以提高專項內控評價項目效率，提升項目交付質量。在下方圖1展示的“內控評價項目標準執行流程圖”中，著重闡述“三流”業務內控流程圖法、數據選擇“四象限法”和“兩段式”內控評價方法。

圖1 內控評價項目標準執行流程圖

（一）“三流”業務內控流程圖法

在傳統的內控評價業務流程梳理中，通常采用的是流程制度文件分析與業務訪談相結合的方式，通過控制矩陣的形式對待評價業務流程進行描述，其中包含每個關鍵環節的業務風險描述和等級，以及與其相對應的控制活動描述，第一道防線業務部門或者是第二道防線內控管理部門基于此矩陣進行后續的內控評價或自評工作，并按年度滾動更新。但在數字化趨勢下，這種方式的短板也逐漸凸顯：如無法如實還原業務路徑，導致缺陷判定的誤差；如時效性差，流程制度文件更新頻率通常在一年及以上，但當下為適應內外部環境變化的業務基于信息系統的變更和迭代往往是快速而高頻的，基于傳統方法的評價往往是滯后的。因此只有包含業務系統信息流及數據流的內控流程圖才能準確地反映業務流程中的關鍵控制點，對于這些控制點的測試工作，內控管理人員才能夠明確可以進行數據分析的數據源。圖2所展示的是筆者所在整車制造企業的商品車生產及銷售物流流程圖，在商品車的銷量預測訂單、生產排產及制造、下線質量檢測及合格證程序、車輛入庫及庫存管理、終端經銷商資源分配及銷售倉儲物流等環節，均明確了各環節的業務操作信息系統信息及該環節生成的系統數據源和傳遞形式。

圖2 帶信息流、數據流的業務流程泳道圖

（二）數據選擇“四象限法”

通過上述“三流”合一的業務流程圖，可以獲知某一業務環節數據存儲和流轉的系統平臺及數據形式，現實情況是某一業務環節的數據可能存在多于一個的系統中，那么需要對于不同的系統數據進行選擇或者組合使用，即便僅存在于一個系統中，該系統數據對于內控評價工作的可用性也需要進行進一步的判斷。對于系統和數據的科學篩選，直接關系到內控評價結果輸出的高效性和準確性。圖3是對于某一業務環節，判定了其業務環節風險和系統數據可獲得性及數據質量之后，可以參考的數據選擇優先級策略。業務風險低、數據可獲得性好或數據質量高，則應利用兩段式數據分析內控評價方法；業務風險高、數據可獲得性差或數據質量低，則應利用傳統方法進行替代性測試；業務風險低、數據可獲得性好或數據質量高，則可以選擇性測試；業務風險低、數據可獲得性差或數據質量低，則可以選擇性放棄。

圖3 信息系統數據選擇優先級策略象限

（三）“兩段式”內控評價方法

在完成了流程圖繪制，明確了數據情況并確定了合適的內控評價方法后，就可以開始利用“兩段式”數據分析方法開展實際的業務流程內控測試工作。即第一步基于業務特性，建立假設并梳理風險點清單，搭建數據驗證邏輯模型，通過數據分析軟件和技術進行數據篩選；第二步基于第一步的結果進行訪談和抽樣以驗證假設。

對于數據分析軟件的選擇，傳統的Excel分析局限性較大，對于超過100萬行的數據，會存在運行速度明顯降低、數據運行不完整的情況，對于筆者所在的整車制造企業，資產數量遠高于這個標準，則可以結合SQL或Tableau等數據分析軟件進行數據建模和交叉驗證工作。

結語

在面臨汽車行業新的經營形勢下，如何利用企業的數據資產，通過新的內控評價方法，為業務開展提示風險、提高效率、創造價值，已經成為行業內共識。相信筆者所處的企業環境不是個例，也希望筆者所闡述的依賴信息系統及數據的內控評價方法也能夠在整車制造企業之外的其他制造類企業加以應用和推廣。