1、基于内部控制流程设计视角的制度解读我国的内部控制实践，可谓历史悠久而又充满活力。所谓历史悠久，源于我国的内部控制实践活动早在周朝时期就已经开始，美国著名会计史学家迈克尔查特菲尔德甚至认为当时我国的内部控制在古代世界几乎没有其他国家可以相比。另一方面，自 1996 年内部控制的定义首次出现在国内相关规章制度中以来，我国企业在社会主义市场经济体制下开展内部控制实践的时间仅有十多个年头，其中相当一部分企业是在 2008年财政部等 5 部委颁布企业内部控制基本规范 （以下简称基本规范）之后才开始着手内部控制建设。从内部控制实践的开展情况看，普遍存在重实践、轻理论的问题，个别企业甚至尚未充分了解内部控制
2、管理的本质和意义，就急于构建内部控制流程体系，学术界亦尚未就内部控制属性、对象以及评价主体等内部控制基础理论问题达成共识。 我们认为，内部控制实践不能脱离理论研究，缺乏理论支撑的内部控制流程是空洞的、静态的，不同程度地带有盲目性，无法与企业的发展保持同步，其指导性和控制机能将大打折扣。鉴于国内内部控制理论发展现状以及基本规范对国内企业内部控制实践所起到的纲领性作用，应从基本规范人手，对内部控制基础理论进行详细梳理，以保证内部控制的实施效率和效果。 一、关于内部控制实施主体的解读 回顾内部控制问题的发展历程，内部牵制被理论界和实务界公认为是内部控制活动的雏形，其主要目的在于查错防弊，并将职务分离
3、和账目核对作为控制手段，以钱、财、物作为关键控制对象，因此企业内部的会计人员责无旁贷的成为内部控制的实施主体；后来为了提高审计工作的效率和质量，合理保证会计资料和数据的真实性，又将注册会计师等审计人员纳入内部控制的实施主体，从这个角度分析，早期的内部控制在本质上基本等同于内部会计控制，会计和审计人员成为唯一的内部控制实施主体。随着经济发展和社会进步，企业生产经营规模不断扩大，面对的经营风险日趋复杂，仅凭会计人员和审计人员实施内部会计控制，难以满足企业管理的需要，因此内部控制的目标开始从会计控制逐渐向管理控制发展，内部控制的实施主体也由起初的会计和审计人员逐步扩展到企业经营管理层，时至今日，内部
4、控制已发展成为全员参与、人人有责的管理活动。 基本规范第三条明确：“本规范所称内部控制，是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。 ”可见，与美国 COSO 框架类似， 基本规范已将内部控制的实施主体扩大到企业的董事会、监事会、经理层和全体员工，这说明了我国的企业内部控制实质是会计控制和管理控制并重， 基本规范中关于会计类内部控制目标和管理类内部控制目标的描述也同时印证了这一点。此外，将企业董事会、监事会和经理层一并纳入实施主体，也从制度层面解决了委托代理机制下经理层可能发生“道德风险”和“逆向选择”的情况，从而确保内部控制的实施效果和效率。 二，关于内部控制目标
5、的定位 基本规范将企业内部控制的目标界定为：“合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果、促进企业实现发展战略” 。其中有两点需要企业在实施内部控制时仔细权衡：首先，定义中的“合理保证” ，意味着内部控制活动存在一个风险的可接受范围以及重要性水平。按照混沌理论的观点，即使企业的内部控制从设计到实施已经做到十全十美，也仍有可能出现控制失败的可能性，同时，企业理论告诉我们，减少和降低交易成本才是企业存在和发展的本质目的，因此在开展内部控制实践时，应在实施内部控制所花费的成本和预期取得的控制收益之间进行评估和权衡。 其次，应关注内部控制目标之间的关系属性，
6、我们认为内部控制目标之间呈递进关系，也就是说，如果前一个目标没有实现，那么后续目标已无实现的价值和意义。例如，如果企业的资产存在安全隐患或者产权不清的情况，那么基于企业资产负债情况所编制和对外报送的财务信息基本无真实性可言；如果企业连年亏损、经营效率始终处于低下水平，所谓发展战略的实现也顶多是纸上谈兵、水中望月罢了。因此，在开展内部控制流程设计时，要充分评估企业当前的经营状况，对于资产安全、财务报告信息真实性等会计类控制目标，可设计较为具体和固定的条款对企业的经营活动进行硬性约束；而对于管理类控制目标，可设计具有一定张力和灵活性的措施，对企业的经营活动进行弹性约束。 三、关于内部控制环境的思考
7、 基本规范把内部控制环境界定为内部控制的基础。新华词典中，“基础”一词的含义为事物发展的根本或起点，也就是说， 基本规范将内部环境作为企业内部控制管理活动的出发点，认为在开展内部控制实践之前，应先对企业控制环境进行调整和优化。从静态角度思考，上述观点并无差错，控制环境的良莠差异将直接影响内部控制实践的效果和效率，因此应将优化控制环境作为内部控制实践的实施基础抓好落实；然而，从动态的角度分析，上述观点具有一定的片面性，控制环境对内部控制的影响是全方位的，涉及内部控制设计、实施乃至评价各个环节，同时内部控制对控制环境的依赖也是全过程的，每一个内部控制点的确定和控制措施的设定都需要考虑与控制环境的匹
8、配和适应程度，可见，内部环境与内部控制是一个相互影响和依存的动态融合关系，因此应对控制环境进行如下界定， “控制环境，是内部控制的基础和重要组成部分”。 四，关于风险的认识 基本规范在探讨风险控制问题时，明确了三个相关定义，第一个是风险评估指企业对经营活动中与实现内部控制目标相关的风险进行及时识别、系统分析，并合理确定风险应对策略；第二个是风险承受度企业能够承担的风险限度，包括整体风险承受能力和业务层面的可接受风险水平；第三个是风险应对策略企业应当综合运用风险规避、风险降低、风险分担和风险承受等风险应对策略，实现对风险的有效控制，然而， 基本规范却未对“风险”一词做出明确定义。虽然理论界就风险
9、与不确定性二者之间是否能够完全等同以及能否用“不同后果发生概率的可知性”作为区分二者的根本标准所展开的纷争已经由来已久，至今莫衷一是，没有定论，但我们可以尝试从基本规范关于风险评估的定义进行合理推断：如果事件（后果）发生的概率不可知，评估活动就无法开展，而且对发生概率不可知的事件（后果）实施内部控制，明显有悖于成本效益原则，从这个角度说，笔者认为基本规范中所提及的风险，是指发生概率已知或者可以合理推断的可能性和后果的组合。然而从内部控制的实施目标角度展开研究，涉及企业战略目标层次的风险，往往很难判断其发生概率和影响程度，而这些风险对于企业的影响，往往又是致命性的。在设计企业内部控制流程时，应针
10、对不同性质的风险，有的放矢，确保风险控制在合理水平的同时，符合成本效益原则的要求。 一是适度降低业务层面的可接受风险水平，确保整体风险承受能力处于可接受风险水平之内。多数情况下，企业面临的总体风险水平大于多个单项业务风险的简单加总，单项业务风险水平与整体风险水平之间的关系呈“1+1+11”的关系，其中不等式左边的“1+1+1”是指将单项业务风险水平进行简单加总，不等式右边的“1”是指将所有业务整合后企业面临的总体风险水平，因此企业应全面梳理各项业务活动流程，客观评估各风险点的重要性水平，在保证内部控制质量和效果的前提下，适度降低部分业务层面的可接受风险水平。 二是合理选择风险应对策略。对于会计
11、控制类的业务活动，如针对资产安全、财务与信息真实有效性一类的业务活动，可考虑采用风险降低、风险分担甚至风险承受等策略开展内部控制流程设计，但对于管理控制类的业务活动，如涉及企业经营效率，特别是关系企业发展战略的业务活动，应当采用风险规避导向开展内部控制流程的设计。 五，关于信息沟通与内部控制评价的看法 从国内企业内部控制实施情况看，许多企业对内部控制实践活动存在这样一个误解：“业务部门出错，财会部门挨批” ，即“内控执行到位是业务部门的功劳内部控制出现问题是财会部门的失误” 。笔者认为这个误解之所以产生，是有着深层次的背景和原因的：一是企业生产经营业务的开展由相关业务部门具体负责，但经营成果却
12、在财务报表中直接体现；二是虽然内部控制理论要求开展内部控制评价时，要做到控制过程评价与控制结果评价并重，但鉴于控制结果评价更为简单且易于量化，故在内部控制实务操作中，控制结果的好坏对内部控制评价最终结论的影响程度远远大于控制过程好坏所产生的影响；三是虽然内部控制评价采用定性指标评价与定量指标评价相结合的方式展开，但鉴于定量指标较定性指标更具客观性和比较性，内部控制评价人员更倾向于使用财务数据等定量指标进行内部控制评价，或者加大定量指标考评结果在内部控制评价中所占的权重，四是从企业控制论的角度分析，业务部门的相关工作基本上属于事前和事中控制，而财会工作则多属于事后控制，当内部会计控制发现问题并发出警告时，为时已晚。 要有效解决上述问题，在开展内部控制流程设计时，应着重做好两方面工作，一是充分发挥信息沟通与传输在内部控制实践中的重要作用，确保信息及时沟通，全员全程参与内部控制管理；二是加大过程控制评价力度，通过设计代表性和操作性强的定性评价指标、加大定性评价指标在内部控制评价中的权重等方式，将过程控制评价更好地融入内部控制评价体系当中。
