企業內部控制框架搭建實務研究

向 婷

（李錦記（中國）銷售有限公司，上海 200443）

一、引言

內部控制是企業為了實現其經營目標，保護資產安全、完整，保證會計信息資料的正確、可靠，確保經營方針的落實、執行，保證經營活動的經濟性、效率性和效果性而在企業內部采取的自我調整、約束、規劃、評價和控制的一系列方法、手段與措施的總稱。內部控制是由全體員工參與的并共同實施的持續、動態的管理過程。內部控制是否科學、有效，會直接影響企業的經營效益和持續發展能力，進而為企業實現其戰略目標提供保障。建立一套科學、完整、高效的企業內部控制體系，愈發受到企業投資者和管理者的重視。而內部控制框架搭建的完整性則反映了企業現階段內部控制的規范程度，并提供了內控管理是否有效的評價依據。因此，為提高企業內部控制管理和風險防范水平，從搭建內部控制框架為切入點，是非常重要的手段和工具。

二、實務中企業內部控制框架搭建存在的問題

（一）編制階段

1.缺乏專業人才

在搭建內控框架的過程中，企業常常缺乏專業人才，未能將內部控制理念與企業實際管理模式相結合。在實務中，大部分企業將內控框架搭建的工作交給風險管理部門負責，如內控部門。該類人員以財務背景居多，然而缺少業務和實操經驗，導致內控框架在內容上偏向于紙上談兵，不具備應用價值；與之相反，若是以業務部門為主導，又存在著雖精通業務但不能領悟內控框架實質內涵的矛盾，容易導致內控框架淪為業務流水賬，缺少理論知識。

另外，內控框架搭建中涉及風險及關鍵控制活動的識別和判斷依賴較強的主觀性，對編制者的經驗要求和專業程度要求都非常高。主觀判斷上的偏差會導致風險管理的缺陷和內部控制有效性的喪失。因此，缺少專業領域人才成為企業欲搭建內控框架體系的首要難點。

2.缺乏適應性

一般來說，內控框架的搭建主要包括編制內部控制矩陣、繪制流程圖和制定相關制度三大模塊。控制矩陣中對各項業務活動的控制目標、風險描述、關鍵控制措施等幾個因素進行闡述和分析；流程圖為整個業務流程提供指引步驟，而相關制度提供了文字化表述和具體說明事項。

企業在搭建內控框架時，常常生搬硬套內控框架的理論模板，編制了一份看似完整的企業內控框架，卻沒有結合企業實際經營情況進行修改，實則缺乏適應性。由于過度依賴于系統化的理論模板，實務中往往很難入手將模板與企業實際情況相結合。若簡單地將企業內部的崗位名稱、部門職能套用到模板中去，就會使所建立的內控框架與實操流程無法相互關聯，導致內控框架缺乏指導性，其應用價值顯著降低。

3.未能突出重點

《企業內部控制十八項應用指引》文件中包括五項公司層面和十三項業務層面的內部控制。一般情況下，業務層面的控制對企業日常經營中的實務操作影響更大，而公司層面控制則側重于管理層的上層決策方向。若企業搭建內控框架時缺少靈活性，沒有契合企業業務關鍵，盲目地進行，則會缺乏側重點，難免會出現與實務脫鉤的情況。

（二）執行和應用階段

1.缺少跨部門團隊協作

不少企業誤認為內控框架是風險管理部門的事，其他職能部門只是配合整理資料和提供幫助，如此做法極易造成內控框架的內容乏善可陳。客觀來看，各執行部門才是內控框架的主要舵手，他們的想法和提議是最有借鑒性和實質性的。風險管理部門更多地負責內控框架搭建的組織工作，并為其完整性和有效性提供專業的指導。若管理層未將執行部門列入內控框架搭建的參與部門，則無法將實務工作投射到內控框架中去；若執行部門沒有意識到內控框架對于其部門自身的重要性，就不會投入積極的態度到內控框架的建設當中；若缺少跨部門協作，僅依靠風險管理部門全權負責，則必然獨力難支，企業內控框架的搭建也將陷入被動和窘境之中。

2.缺少實質運用

當前，有些企業對內控框架的認識僅停留在監管需要上，而非自發地對內控框架有實質應用上的需求。所以，不少企業雖已建立內控框架，但往往脫離現實，形式化問題嚴重，不能解決實際問題。隨著市場投資者與監管者愈發重視企業內部控制與風險管理，企業應當更多地關注內控框架的實用價值，搭建內控框架只是一個開始，將其在企業經營中應用起來才是大勢所趨。企業應認識到內控框架的建立不應流于形式，而應契合實際，發揮其最大效能，為企業實現發展戰略奠定穩固的基石。

（三）考核階段

1.缺乏績效考核

實務中，部分企業認為內控框架是用于企業管理需要的，而非考核需要。但事實并非如此，內控框架的完成情況也是可以進行績效考核的。有兩個原因導致很少有企業去考核內控框架，一是難以將責任具體分配到部門或崗位；二是缺少經驗和學習途徑。然而，筆者結合工作實踐了解到，工作若是缺少了考核，就減少了一份壓力和動力，各職能部門為了編制而編制，卻感受不到內控框架的搭建工作可以帶給他們的收益。即使內控框架已經建立完成，在企業內部也毫無存在感。因此，缺少績效考核的管理模式導致內控框架在企業管理中黯然失色。

2.缺少回顧和調整

部分企業在建立內控框架后疏于后續的更新和調整。例如，沒有根據內外部風險的變化對控制矩陣中的風險進行增減，也沒有對早已過時的業務流程進行修訂，相關制度文檔還停留在幾年前的版本。這些做法都會造成內控框架與企業實際情況脫節，喪失其應用價值。事實上，企業所處的發展階段不同，所面臨的風險也在發生變化，企業應定期或不定期地對內控框架的適時性進行回顧和調整，確保其內容反映了企業現有的內控管理和風險防范水平。

三、提升企業內部控制框架構建的實務建議

（一）編制階段

1.培養專業人才

企業培養內控人才可通過以下兩個方式：一是為儲備人才提供與之適配的外部培訓，加強其對內部控制基本規范等法律法規的學習及應用，提升專業能力和素質；二是提高企業內部培訓效果，尤其是對風險管理部門中具有財務背景的專業人才，應讓其多了解與公司業務相關的或執行相關的具體活動，倡導業財融合，從而為企業內控框架的基礎建設增加靈活性。

2.提高適應性

內控框架的理論模板并非不能借用，但必須結合企業的現狀進行修改。

第一，對流程圖和現有制度的修改。任何階段的企業無論其是否已建立內控框架，均有其經營管理的現行方式和工作方法。欲要搭建符合企業自身的內控框架，則必先整理歸納現有的流程及制度。將口語化的、實操中的、和文字化的規章均歸集到紙面，刻畫出現行流程的原本面貌，才是搭建內控框架的開端。然后再與理論模板中的內容加以比對，逐步分析和挖掘尚未建立的必要控制點，從而進行完善和優化。

第二，對控制矩陣的修改。各企業由于其經營環境不同，面臨的風險和關鍵控制措施也是天差地別。企業編制控制矩陣時，既要包含企業經營的一般風險，還要考慮到企業特有的風險，并為此擬定恰如其分的關鍵控制措施。通常來說，此類風險和關鍵控制措施往往才是最重要、最有針對性，也是最有價值的。

3.突出重要性

內控框架搭建的重要性體現在兩個方面。

第一，時間的先后。《企業內部控制十八項應用指引》中將內部控制拆分為公司層面和業務層面兩個部分，二者并不具有時間上的先后順序。若企業內控環境薄弱，則應從公司層面控制活動著手，搭好基建才能豎起高樓；而實務中，大部分企業由于經營情況良好，則可選擇從最關鍵或最迫切的某一業務層面控制活動為出發點，這種情況往往是由一項近期發生的風險事件引起的，為了分析、應對從而規避此類風險事件再次發生，從而最先建立與之相關的內部控制框架內容。

第二，內容的重要性。為突出某一內控框架結構的側重點，除了在控制矩陣中增添“風險程度”用以區分和強調，還可在篇幅、內容、形式等方面體現出重要性。例如，對于關鍵業務活動，可增加以往風險事件作為備注、繪制圖文并茂的工作制度和手冊、制度更加細分的職責分工等方式，提供更多信息以豐富其實質，并強調其重要程度。

（二）執行和應用階段

1.加強跨部門團隊協作

建立一支精良、高效的跨部門內控框架搭建團隊在實務中是必不可少的。該團隊應包含風險管理部門及其他職能部門，必要時也可由管理層直接介入與承擔職責。首先，風險管理部門作為內控框架搭建的牽頭者，應將內控框架的重要性傳遞給其他職能部門，在內控完整性和有效性上給予專業指導；其次，企業管理層應調動各職能部門的積極性，主動參與到內控框架搭建的頭腦風暴中，充分地意識到跨部門團隊協作的能力是內控框架搭建成果好壞的試金石。

2.內控框架的主要應用

一是明確權責利。由于內控框架幾乎涵蓋了業務活動中的重點環節，并將權責利明確到崗位職責，在發生損失事件追責時，可第一時間通過內控框架鎖定相關責任人員。二是用于各部門自查自評。企業各有關職能部門和業務單位是風險管理的第一道防線。有效利用內控框架進行自查自評可切實提高第一道防線的管控效力。企業可定期由風險管理部門牽頭，對各有關職能部門和業務單位發起自查，并上報自評報告。風險管理部門可根據自評報告中的重點問題作為切入點，實施內部控制和風險管理工作，對問題加以改進和完善。三是提高公司治理的全局觀。宏觀上看，內控框架涵蓋了企業運營管理的方方面面；微觀上看，所有操作上的細節亦可體現到內控框架中。企業管理層通過善用內控框架可提高其公司治理的全局觀，為提升經營管理效率提供新的思路。四是用于內控評價。這也是企業搭建內控框架的主要目的之一。因為有章可循，才能為評價內控的有效性提供依據。

（三）考核階段

1.制定考核標準

內控框架的考核應區別于內部控制執行單位及風險管理部門。對于執行部門而言，更多地關注于內部控制有效性的評價，主要考核內容可納入風險事件的發生次數及其原因、流程效率的提高或降低、風險應對速度的快慢；對于風險管理部門而言，考核其對市場風險、政策風險、行業風險的管理狀況，是否做出預警及處置預案的可行性；內控框架考核則是以企業內控管理水平為要點，主要考核內容可包括內控框架涵蓋內容的準確性、完整性，協調企業各部門的能力，以及人員組成的專業程度等。

2.及時回顧和調整

內控框架體系的搭建是一個不斷更新和完善的過程，而非一本萬利、點到即止的結果。要最大化發揮內控框架的效用，企業應定期或不定期地對其進行回顧和調整。對于定期而言，管理層可以規定各職能部門每年應至少進行一次的自我回顧，將這期間發生的風險事件和實務中遇到的問題進行上報；再由管理層根據上報的內容和各業務活動實際執行結果判斷是否應調整流程，并更新內控框架。對于不定期而言，當內外部環境發生重大變化時，企業應評估該變化對內控框架的影響水平，并據此及時調整內控框架。此外，當風險管理部門進行業務流程評估時，也會提出有關的內控問題和與之對應的改善措施；若后續確實對業務流程有所改變，則應當同時將優化的措施在原有的內控框架基礎上進行補充。

（四）實施步驟

企業內控框架搭建可拆分為七個步驟：第一步，組建專業的人才團隊；第二步，整理匯總現有制度、工作流程；第三步，分析判斷各業務內容的重要程度，從重要性最高的入手，并確定好內控框架結構的側重點；第四步，根據現有流程和所識別出的風險，編制控制矩陣、重建流程圖、更新完善現有制度；第五步，參考《企業內部控制配套指引》內容，對比分析是否有所遺漏，并逐項增添；第六步，制定內控框架的考核標準；第七步，定期和不定期地回顧和調整。

四、結語

內控框架的搭建有利于企業提高內部控制和風險管理水平，進而提升企業核心競爭力，為實現企業戰略目標提供有力保證。在內控框架的實務工作中，應最大限度地將其內容貼合企業實際經營情況，凸顯經營管理的側重點，鼓勵專業人才發揮其效能，促進跨部門團隊之間的協作，推動內控框架實質應用，并將內控框架融入績效考核中，加上適時地進行回顧和調整，使內控框架不斷優化，內部控制和風險管理水平持續提升，促使企業的發展穩定向好。