李荆 北京鼎固房地产开发有限公司
2010年4月26日，财政部会同证监会、审计署、国资委、银监会、保监会等部门联合发布了《企业内部控制配套指引》，与2008年5月发布的《企业内部控制基本规范》共同构建了中国企业内部控制规范体系。从企业视角探讨内控制度建立的步骤和过程，对于构建内部控制制度具有重要的意义。
一、内控制度的基本概念
内部控制制度是现代企业对经济活动进行科学管理而普遍采用的一种管理控制机制，贯穿于企业经营活动的各个方面。内部控制体系包含企业层面和业务层面控制。企业层面控制包括组织架构控制、发展战略控制、人力资源控制、社会责任控制和企业文化控制。业务层面控制包括资金活动控制、采购业务控制、资产管理控制、销售业务控制、研究与开发控制、工程项目控制、担保业务控制、业务外包控制、财务报告控制、合同管理控制、内部信息传递控制和信息系统控制。
建立和完善企业内部控制，对提高企业经营管理水平和风险防范内力、促进企业可持续发展、维护市场经济秩序和社会公众利益具有重大意义。2002年美国系列财务信用危机案促使对企业深远的《沙宾氏法案》诞生。日本也因04、05年财务报告事件于2006年通过《沙宾法案》．2008年全面实施，要求上市公司每年要公布经会计师审核的评估报告。我国《企业内部控制基本规范》和《企业内部控制配套指引》，被国际誉为中国版的《沙宾法案》。内部控制制度要求企业在遵循国家法律法规的情况下提高企业资产的安全性、信息报告的质量、经营的效率和效果并促进企业实现战略发展，不但提高了企业的经营管理水平，实现了企业价值的最大化，也保护了投资者和社会公众的利益。
二、内控制度的适用对象
不管日美还是中国，对上市公司都要求建立和实施内部控制制度，而非上市企业对内部控制制度是有选择性的，企业需要根据成本效益原则、结合自身的经营模式和所处的阶段来具体分析判定。
内控制度主要适用于采用职能式和事业部制等组织结构模式的大中型企业。企业发展和扩张到一定的程度在管理上都会遇到瓶颈，而内控制度的建立正是解决管理瓶颈的最好选择，采用职能式和事业部制组织结构等模式管理的企业需要通过内部控制体系和相应的内部控制制度进行流程的规范和权责的分工控制，以避免由于距离和层级造成的管理上的疏忽和懈怠，从而控制企业的风险，提高经营效益。
目前，内控制度还不适用于创业型的中小型企业。任何一项管理都是需要成本，中小型企业一般都是初创或成长期的直线型企业，相对简单的管理控制可能是初创阶段最为合适的选择。创业型中小企业一般规模较小，出资人即直接的管理者，决策管理简单快捷，风险较小；而对于成长期的企业，其运营成本较高，资金需求量较大，不需要为建立内控体系支付额外人力物力成本，符合成本效益原则。
三、企业内控制度的建立
内部控制制度在形式上表现为一整套相互监督、相互制约、彼此连接的控制方法、措施和程序。内部控制制度的建立需要对企业治理结构和业务流程进行梳理和规范，需要企业对治理结构及循环流程等方面做出严谨的设计。从而形成一套全面、制衡符合重要性、适应性和成本效益原则的内控流程和内控制度。
1．建立独立的内部审计部门
内部审计部门负责组织内控制度的制定、实施及日常工作。内部审计部门应直接对董事会下属的审计委员会负责，对于发现重大缺失或高级管理人员的舞弊行为，可直接向其审计委员会或监事会报告。
审计委员会负责审查企业内部控制，监督内部控制的有效实施和内部控制自我评价情况，协调内部控制审计及其他相关事宜等。
审计委员会负责人应当具备相应的独立性、良好的职业操守和专业胜任能力。
2．制作企业治理架构图和业务流程图
根据企业章程及相关文件和人事管理部门的资料，确定并绘出企业的法人治理架构图；梳理现有的业务作业流程，制作流程图。
以工薪循环的人力资源规划作业为例，首先内控制度制定人员应和人力资源部沟通，了解其人力资源规划作业所涉及的各个环节，以及每一个环节的执行状况，包括由总经理办公室提出年度总目标、用人单位提出人员需求、人事部根据年度目标检查组织架构，确定是否修订，在确定的组织架构的基础上，根据用人单位提出的人员需求和现有在编人数确定增编人员数、制作年度人员需求汇总表、根据审核后的年度人员需求汇总表编制年度人力资源规划报告。其流程图可描绘如下：
从流程图可明确的看出这一作业的执行流程及可控制点。为下一步控制点和控制文件的设置奠定了基础。
3．初步规范现行的管理模式
按内控原则和要求梳理现行的治理结构和业务流程，重点分析权力机构、决策机构、执行机构和监督机构是否相互独立，职责分工是否明确，是否存在合理的制衡和监督机制，是否建立独立的审计监督机构，；协调相关业务作业部门，沟通讨论不符合内控要求的节点的处理和修正；在修正业务流程的过程中，既要符合制衡原则，检查不相容职务是否分离，是否充分考虑了审批权限及相关程序，又必须考虑成本效益原则，以避免流程设计过于复杂，实际运行成本过高，相互扯皮，效力低下，或和实际业务不符，内控制度流于形式。
4．设定各流程内部控制点
在企业架构和业务流程图的基础上设定各大流程的内部控制点时应坚持以下原则：
(1)全面性原则。内部控制应当贯彻决策、执行和监督全过程，覆盖企业及其所属单位的各种业务和事项、全员控制，不存在盲点。
(2)重要性原则。内部控制应当在全面控制的基础上，关注重要业务和高风险领域，并采取更为严格的控制措施，确保不存在重大缺陷。
(3)制衡原则。内部控制应当在治理结构、机构设置及权责分配、业务流程等方面形成相互制约、相互监督，同时兼顾运营效率。
(4)适应性原则。内部控制应当与企业经营规模、业务范围、竞争状况和风险水平等相适应，并随着情况的变化及时加以调整。
(51成本效益原则。内部控制[来自wwW.lw5U.com]应当权衡实施成本与预期效益，以适当的成本实现有效控制。
5．规范各项管理制度
收集整理企业现行的管理制度，分析是否符合现行治理结构和业务流程各控制点的要求，根据内部控制点的需求修正各项管理制度。
一般企业的管理制度包含会计制度，现金管理制度、票据管理制度、印章管理制度、资产管理制度、劳动人事制度，资金借贷制度、非财务信息管理制度、背书保证制度、代理人制度、承诺及或有事项管理办法、内部重大信息管理办法、子公司监理办法、合约管理等及核决权限表。
内部控制制度的繁简应根据企业的实际业务和内部控制需要制定，一般应根据风险的大小和企业对风险控制的要求，合理的调整需要控制的业务节点。例如，对合约的签订，可设定签约条件，我国内部控制文件要求非及时清结的业务要签订合约，企业可根据业务的性质和金额规定对于及时清结的大额交易也可规定签订合约；对于重大合约的会审，可通过金额的设定来判定是否重大等。
6．设定个控制点应保留的内控管理文件
内控管理文件是内部控制审计据以出具内控审计报告的基础，更是对于风险的防控，和权责的归属的有力证据，是企业内部控制制度是否充分贯彻实施的证明。
内部控制文件应保留相应核决权限主管的签核，并通过设计连续的表单编号进行控制。[来自wWw.LW5U.com]
在流程图中明确每个业务节点应保留的内部控制文件，以方便各业务环节的执行人员钝一目了然的掌握自己应保留的文件或应承担的审核责任。例如固定资产作业流程图的请款环节，必须有经过相应核决签署的请款单、合法的发票、请采购单、固定资产验收单、固定资产移交单等，会计和财务人员必需审核相关审核是否签核完毕，单据是否齐全，规格型号及金额手否一致，使用人及实物资产管理部门是否签字，资产是否编号管理等。
7．制定内部控制文件
编纂内部控制制度文件，内部控制文件的格式不一，一般应包含企业名称、文号、目录、摘要及批准发布实施日期、效力、制定单位及后续修订等；每个业务作业循环一般应包括制定的目的、范围、流程图、作业程序及这一业务作业存在的内部控制重点等。作业程序的描述应包含相应环节应执行的管理制度及核决权限。
内控制度文件定稿后应上报董事会批准实施。
四、企业内控制度的实施
制定适当、完善的内控制度，是内部控制制度实施的基础，内部控制制度有效的实施和运行则是企业执行内部控制的关键。
董事会负责内部控制的建立健全和有效实施。监事会对董事会建立与实施内部控制进行监督。经理层负责组织领导企业内部控制的日常运行。在内控制度实施过程中应注意以下几点：
1．内控文件的颁布
内控制度批准实施后，内部审计部门应该尽快把内部控制文件下发各业务部门。下发文件时按每个部门作业所涉及的内控文件发送相应部门，并保留相应的签收记录；
2．加强内控制度的宣讲和培训
加强内控制度的宣讲和培训是内部控制的理念对每一个员工渗透过程，它涉及企业的方方面面和管理的每个环节。
培训一般由内控审计部门主导，企业及其各部门负责人必须支持并参与，可层层下达，但必须保证每一个员工都知道自己岗位的工作流程和工作职责及应该存档保留的内控文件。控制文件包括作业程序所涉及的所有表单，所有表单应该记录完整，签署完整。
目前，部分企业高管不参与内控培训学习，直接影响员工的积极性，并且在实际决策过程中，不能正确严谨执行审批权限而程序，从而式内部控制制度的执行流于形式，不能真正的提供企业经营管理水平，更达不到风险控制的目标。
3．保持内部审计部门的独立性
内部审计部门依内部控制审计准则定期或不定期实施内部稽核审计，并出具内部审计报告。确保内部稽核人员的独立性及对其豁免权是保证内部审计报告真实性，有效性和公正性的基础。
内部审计部门的豁免权是指在发现企业董事等高级管理人员存在重大失误和舞弊行为，有权越级上报，可直接上报监事会或股东大会。
4．建立缺失追踪机制
对稽核过程中发现的问题，应及时与相应的负责人进行沟通，分析原因，及时修正执行或制度方面的缺失，改进内控流程，严格相关制度。对于重大缺失应对其完善和修正建立追踪机制，制定负责人对日后的改进措施及其效果进行后续跟踪报告。
内部控制制度的实施是企业的“全民运动”，是在作业过程中贯彻执行的，切忌在实际运行过程中形成内部审计部或财务部的事情，日后补表单签字，使内控流于形式。
企业的内部控制制度在其实施和运行的过程中日臻成熟与完善的，企业的内部制度不仅是为了维护公众利益和投资者利益的需要，也是加强企业管理，参与国际竞争的需要，在市场国际化的今天，只有建立完善的内部控制体系，才能提高企业的管理和效益，才能增强国际竞争力，才能更好防范在国际贸易中的风险。2008年日本曾被成为是亚洲信息最安全的区域，所以企业只有更好的执行内部控制制度，才能在国际上赢得信誉，才能打开国际市场，赢得消费者和投资者的信任。