1、经济转型条件下的企业内部控制新问题-兼论内控新三大软肋上海会计学会讲座,复旦大学管理学院会计系李若山,转型经济条件下的企业环境:好极了,我国当前的经济形势好不好？我们正处一个最好的时期。全世界最大的消费市场:十三亿人口。近三十年国内生产总值年均9.2%。人民币储蓄金额高达28万亿。资本市场总额22万亿,世界第三。2000多家上市公司,持续增长。不断有新的经济增长点:传统制造、出口、房地产、高科技、高端服务业等。但是否真的好到了极点：其实还存在相当风险，因为，我们的环境还有另外一面。,转型经济条件下的企业环境:风险越来越大了。,投资者与监管者越来越强调了问责制。网络化使社会透明度越来越高，任何的
2、经营失误，会被放大并追究责任。市场交易越来越法制化。国际贸易环境对我们越来越不利。人口红利越来越弱。ERP流程正在逐渐成为主要的管理手段。主流管理层熟悉的传统管理手段越来越不适应。企业所面临的各种诈骗手段越来越高明。过度竞争使得企业利润率越来越低。,转型经济条件下：企业风险管理与内部控制从形式到神式,1997,2001,2002,2003,12月30日，中国人民银行印发加强金融机构内部控制的指导原则,财政部在2001年起提出了在新形势下加强单位内部会计监督的要求，逐步发展了一系列的内部会计控制规范,中国注册会计师协会呼应财政部的工作，为规范注册会计师执行内部控制审核业务，明确工作要求，保证执业
3、质量，在2月9日发布了内部控制审核指导意见,9月27日，中国人民银行发布商业银行内部控制指引,12月29日，中国证券监督委员会出台证券公司内部控制指引,1月8日，中国银行业监督委员会出台商业银行内部控制评价试行办法,2004,企业风险管理与内部控制从被要求至主动要求,2005,2006,为推动上海证券交易所上市公司建立健全内部控制制度，提升公司风险管理水平，保护投资者的合法权益，上海证券交易所于4月1日制定了上海证券交易所上市公司内部控制制度指引（征求意见稿）,证监会10月出台关于提高上市公司质量意见，国务院10月19日就进行了批转【国发（2005）34号】，这是国务院首次就上市公司工作批转发
4、文,2006年5月17日，中国证券监督管理委员会令第32号首次公开发行股票并上市管理办法，其中第29条规定“发行人的内部控制在所有重大方面是有效的，并有注册会计师出具了无保留结论的内部控制鉴证报告”,6月5日，上海证券交易所出台上海证券交易所上市公司内部控制指引,6月6日，国务院国有资产监督管理委员会“关于印发中央企业全面风险管理指引的通知”,9月28日，深圳证券交易所出台关于发布上市公司内部控制指引的通知,7月15日，财政部发起成立企业内部控制标准委员会；中国注册会计师协会发起成立会计师事务所内部治理指导委员会,企业内部控制与风险管理成为企业耳熟能详的概念与制度流程,2007,2009,20
5、10,6月28日，财政部、证监会、审计署、银监会、保监会联合召开企业内部控制基本规范发布会、发布了企业内部控制基本规范以及配套规范的征求意见稿,6月5日，中共中央办公厅、国务院办公厅印发了关于进一步推进国有企业贯彻落实“三重一大”决策制度的意见,4月26日，财政部、证监会、审计署、银监会、保监会联合发布了企业内部控制配套指引。该配套指引包括18项企业内部控制应用指引、企业内部控制评价指引和企业内部控制审计指引，标志着我国企业内部控制规范体系基本建成,3月3日，财政部发布关于印发企业内部控制规范基本规范和17项具体规范（征求意见稿）的通知,2008,2009年1月，陆续发布了企业内部控制应用指引
6、的数个更新稿,五部委内控体系的整体框架,企业内部控制基本规范,企业内部控制应用指引,组织架构发展战略人力资源社会责任企业文化,资金活动采购业务资产管理销售业务研究与开发工程项目担保业务业务外包财务报告,全面预算合同管理内部信息传递信息系统,企业内部控制评价指引,企业内部控制审计指引,内部环境类,控制活动类,控制手段类,国资委全面风险管理,全面风险管理指引对全面风险管理的定义：“第四条本指引所称全面风险管理，指企业围绕总体经营目标，通过在企业管理的各个环节和经营过程中执行风险管理的基本流程，培育良好的风险管理文化，建立健全全面风险管理体系，包括风险管理策略、风险理财措施、风险管理的组织职能体系、
7、风险管理信息系统和内部控制系统，从而为实现风险管理的总体目标提供合理保证的过程和方法。”COSO-ERM企业风险管理框架对企业风险管理的定义：,风险管理及内控的其他框架：三重一大制度,包括企业贯彻执行党和国家的路线方针政策、法律法规和上级重要决定的重大措施，企业发展战略、破产、改制、兼并重组、资产调整、产权转让、对外投资、利益调配、机构调整等方面的重大决策，企业党的建设和安全稳定的重大决策，以及其他重大决策事项。,包括企业中层以上经营管理人员和下属企业、单位领导班子成员的任免、聘用、解除聘用和后备人选的确定，向控股和参股企业委派股东代表，推荐董事会、监事会成员和经理、财务负责人，以及其他重要人
8、事任免事项。,对企业资产规模、资本结构、盈利能力以及生产装备、技术状况等产生重要影响的项目的设立和安排。如年度投资计划，融资、担保项目，期权、期货等金融衍生业务，重要设备和技术引进，采购大宗物资和购买服务，重大工程建设项目，以及其他重大项目安排事项。,超过由企业或者履行国有资产出资人职责的机构所规定的企业领导人员有权调动、使用的资金限额的资金调动和使用。如年度预算内大额度资金调动和使用，超预算的资金调动和使用，对外大额捐赠、赞助，以及其他大额度资金运作事项。,2010年6月，中共中央办公厅、国务院办公厅印发了关于进一步推进国有企业贯彻落实“三重一大”决策制度的意见。,重大决策,重要人事任免,重
9、大项目安排,大额度资金运作,决策前应当进行调查和研究论证 决策必须由领导班子集体作出决定 决策过程及参与人意见应完整、详细记录并存档备查 建立回避、考核评价、后评估、纠错机制和责任追究等制度,五部委及国资委风险管理法规介绍,国资委中央企业全面风险管理指引,五部委内部控制规范体系,颁布背景,要求,预期目标,国际、国内企业风险频发(安然、世通、中航油、三鹿奶粉等）；世界各国通过推动国家立法推动了全面风险管理的开展；国外内控框架在中国“水土不服”.,风险管理基本流程、风险管理组织体系、风险管理文化、风险管理信息系统,在内部环境、风险评估、控制活动、信息沟通、内部监督五个方面建立和实施有效的内部控制。
10、,增强企业竞争力，提高投资回报，促进企业持续、健康、稳定发展,合理保证经营管理的合法合规、保证资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。,目的一致手段趋同,五部委内控体系基本思路：五要素框架,日常监督专项监督 定期对内部控制的有效性进行自我评价出具内部控制自我评价报告,确定企业的风险情况识别企业内外部风险分析企业风险制定企业风险应对策略,不相容职务分离控制授权审批控制会计系统控制财产保护控制预算控制运营分析控制绩效考评控制,加强企业内外部交流沟通加强信息技术的开发、维护和利用 建立反舞弊机制 举报投诉制度和举报人保护制度,内部环境,信息与沟通,控制活动,风
11、险评估,内部监督,治理结构机构设置权责分配内部审计人力资源政策企业文化,传统会计功能的弱化，更强调了内部控制与风险管理,现代经营环境对传统会计信息的表达提出了许多质疑.为什么一个披露了正常财务报表的上市公司会突然被休克，如德隆、三九等。时代的变化，会计功能将会变得越来越弱化。二次计量适合了潜在投资者的需求,但弱化了传统信托责任.监管者从重视结果到重视过程：风险管理与内部控制重视的必然化,风险管理与内部控制的目的-让企业更象企业,传统国营企业更象机关只关注上级传统民营企业更象家庭只关注血缘最大弊端企业资源没有沉淀在企业，只沉淀个人身上。对人的信任重于对制度与流程的信任。但内部控制形式上的建立，不
12、一定能有效发挥其应有的作用：三大软肋的体现。,当前企业内部控制的三大软肋-软肋之一：串通舞弊,一、企业内外勾结与串通舞弊成为打破传统有效内部控制的重要作案手法：使得不相容职务形同虚设。二、从现有重大案例来看，无不与此有关：齐鲁银行、北京农商行以及肖时庆、王益案：原因：舞弊三要素中：我们只强调对流程的制约，而忽视了对人的制约。三、强化人力资源内部控制应成为重要防范手段：职务轮换及背景调查等,软肋之二：ERP舞弊,ERP流程解决了信息传递有效性、经济性与及时性。但成为传统内部控制的盲区：1，盲区之一：抓大放小。(三重一大就是体现) ERP能用非常简单的方式，积少成多。2，盲区之二：信息传递的快速且
13、无形，失去了传统内控流程的可视性。3，网络化的多元进出端口，掩盖了流失方向及结果。防治：在设计ERP过程中，引入COBIT的制约流程。,软肋之三：创新业务成为内部控制的新盲区,内控一般针对经常重复发生的业务，一旦设置就具有相对稳定性。不经常发生或未预计到的业务，原有控制可能不适用，特殊控制(如实行专门的审批程序)又可能不及时。创新业务成为内部控制新盲区；企业管理人员为寻找内部控制弱点，将传统业务变身为形式上的创新业务，而规避内部控制的制约，从而徇私舞弊-复杂的衍生金融产品、创新的组织架构等。创新业务的风险评估成为业务创新的必要前提。,对内部控制认识的几个误区,一、内部控制不是专门的制度与流程，
14、只不过是从五个角度来分析企业的业务流程。这就是内部控制五要素：控制环境、风险评估、信息传递、控制活动以及监督。其中，控制环境是基础。二、企业不是因为五部委的要求，才重新来考虑设计内部控制，企业本身就存在许多非常好的内部控制流程，现在只不过对业务重新予以梳理、整合。,内部控制实施的难点,一，不可能有一个统一模式来适应所有企业，每个企业的内控模式与要求均不一致。是因为内控本身就是对业务流程的重新梳理。二、企业内部控制的完善，是现有利益格局的调整，是现有习惯的改变。可借用中介。三、内部控制实施的时机比较难以选择，并不一定任何时候实施内部控制都是可行的。,实施内部控制最佳时机之我见,创业期 转型期内部
15、舞弊案发生之前 内部舞弊案发生之后创业老总交班之前 创业老总交班之后兼并收购之前 兼并收购之后盈利迅速增长时期 利润大幅度下降之时,内部控制实施的动力比较难于解决，仅仅依靠法规上的要求，是难以推动企业自觉实施内部控制，问责制是推动内部控制的主要动力,而不仅仅是对财务人员规定。否则，是个“样子工程”企业实施内部控制，从什么部门首先切入较难，“屁股决定脑袋”。谁都想革其他人的命。,内部控制制度的设计，太原则，缺乏可操作性，太仔细，可能是繁琐哲学。可用FMEA原则。,5，FMEA-1,RPN=严重度*发生频度*检出难度,结论:,当企业从创业进入转型期后,重视风险应对,加强内部控制是必经之路。转型企业不要再象创业企业那样，将公司资源集中在个人身上。既无心，亦无力。内部控制与风险管理的完善不是一个短暂的工程，需要时间及利益的调整来不断的完善与健全。特别是三大软肋问题。效益与控制是一对矛盾，只重视效益，不强化控制，不是一个健康企业。,欢迎批评指正。复旦大学管理学院会计系021-李若山老师,
