[內容摘要]全球性會計丑聞，中國新會計法的實施及內部控制一系列規(guī)范的出臺，引起了人們對內部控制問題的廣泛關注。本文從企業(yè)內部控制體系的層次殘缺、要素殘缺、風險觀念殘缺入手，借鑒新的COSO報告，結合有關的典型案例分析了我國企業(yè)內部控制制度不能發(fā)揮預期作用的原因，提出將公司內部治理結構納入內部控制體系之中，修補其層次殘缺；健全內部控制體系要素，修補其要素殘缺；建設企業(yè)風險文化，修補其風險觀念殘缺。
[關鍵詞]內部控制體系；層次殘缺；要素殘缺；風險觀念殘缺
一、問題的提出
2004年12月，內蒙古自治區(qū)檢察院對內蒙古伊利實業(yè)股份有限公司董事長鄭俊懷等5名高管人員的經(jīng)濟問題正式進行立案調查，其主要原因是鄭俊懷等人在2000年和2001年間未經(jīng)董事會同意，先后挪用1591萬元和1400萬元，分別給了呼和浩特華世商貿(mào)有限公司和啟元有限公司用于經(jīng)營，事后得知：華世商貿(mào)公司是伊利公司的第五大股東，是由鄭俊懷等人以親屬名義注冊的私人企業(yè)；而啟元公司企業(yè)法人就是董事長鄭俊懷。幾乎與此同時，中國航油集團唯一的海外公司—中國航油（新加坡）股份有限公司因石油衍生產(chǎn)品交易，總計虧損5.54億美元，凈資產(chǎn)不過1.45億美元的中航油（新加坡）因之嚴重資不抵債不得不向新加坡最高法院申請破產(chǎn)保護。還有家電巨頭四川長虹在其合作伙伴美國APEX家電進口公司拖欠國內多家公司的巨額欠款情況下，還與其簽訂了巨額賒銷合同，結果因其拖欠4.6億美元巨款而遭受巨大壞賬損失。[1]這些重大事件給我們以強烈震撼：從董事會到經(jīng)理層、業(yè)務層，各個層次都不同程度地出現(xiàn)了重大問題，給企業(yè)造成重大損失，甚至導致了企業(yè)的崩潰。我們不禁要問：我們的企業(yè)到底出了什么問題？對此問題，不同的人有不同的解答：有人認為這主要與公司治理機制不完善有關，也有人認為這主要與企業(yè)的內部控制制度未得到有效執(zhí)行有關。隨著新的COSO報告的公布和我國新《公司法》的實施，我們對此問題在前人的基礎上有了一些新的見解。我們認為這些重大事件的發(fā)生與企業(yè)內部控制體系殘缺或不完善密切相關，為避免此類事件的再度發(fā)生，修補企業(yè)內部控制殘缺已經(jīng)成為當務之急。
二、新COSO報告和我國內部控制體系的殘缺
內部控制對企業(yè)目標的實現(xiàn)具有重大影響，正日益受到各國政府的重視。在世界范圍內有關企業(yè)內部控制的規(guī)范已經(jīng)陸續(xù)頒布和實施。
在國外，1992年COSO委員會公布了COSO報告，并在1994年進行了修改。2004年年底，該委員會針對國際企業(yè)界頻繁發(fā)生的高層管理人員舞弊現(xiàn)象，結合美國2002年頒布的《薩班斯—奧克斯利法案》的相關要求廢除了沿用很久的傳統(tǒng)企業(yè)內部控制報告，頒布了一個概念全新的報告，即《企業(yè)風險管理—總體框架》（Enterprise Risk Management，ERM）。該報告明確提出了企業(yè)的終極目標是增加利益相關者價值，并在內部控制的內涵、目標、要素等方面有了顯著的變化。該報告在對內部控制的定義中明確了以下內容：（1）是一個過程；（2）被人影響；（3）應用于戰(zhàn)略制定；（4）貫穿整個企業(yè)的所有層級和單位；（5）旨在識別影響組織的事件并在組織的風險偏好范圍內管理風險；（6）合理保證；（7）為了實現(xiàn)各類目標。內部控制要實現(xiàn)的目標主要有四類：戰(zhàn)略目標，經(jīng)營目標，報告目標和遵循性目標，其中報告目標不再僅局限于對外公布的財務報告，而擴展為企業(yè)的所有對內和對外的報告（包括財務報告和非財務報告）。另外新報告還新增了目標制定、事項識別、風險反應三個要素，修改了控制環(huán)境要素，將內部控制要素由5個發(fā)展為8個即內部環(huán)境、目標制定、事項識別、風險評估、風險反應、控制活動、信息與溝通、監(jiān)控。[2]由此我們可以看出，新的COSO報告以風險為導向，以增加利益相關者價值為終極目標，以戰(zhàn)略目標為重點發(fā)展了內部控制理論，是內控發(fā)展史上的一次飛躍，在許多方面值得我國借鑒。
在國內，證監(jiān)會于2000年11月發(fā)布了《公開發(fā)行證券公司信息披露編報規(guī)則》，要求公開發(fā)行證券的商業(yè)銀行、保險公司、證券公司建立健全內部控制制度，其招股說明書正文應專設一部分說明內部控制制度的完整性、合理性和有效性；財政部從2001年6月開始陸續(xù)頒布實施內部會計控制規(guī)范，以指導企業(yè)制定適合自身業(yè)務特點和管理要求的內部控制制度。但是，實際控制效果到底如何呢？我們認為并不樂觀。頻繁發(fā)生的財務丑聞事件證明目前的內部控制制度連最基本的目標即會計信息真實性都沒有實現(xiàn)；我國最早統(tǒng)一實行內部控制制度的銀行成為攜款外逃的重災區(qū)；一些上市公司雖然規(guī)模較大，內部控制制度相對健全，但是同樣也存在著制造虛假會計信息，侵吞企業(yè)資產(chǎn)，損害中小股東利益等行為。上述這些現(xiàn)象的存在和頻繁發(fā)生，與內部控制的目標顯然是背道相弛的。[3]我們不得不反思我們現(xiàn)有的內部控制制度出了什么問題，為什么其基本的目標都不能實現(xiàn)？在對新COSO報告基本精神探究的基礎上，我們認為內部控制體系的殘缺或不完善是其癥結所在。如果企業(yè)內部控制體系殘缺或不完善，管理者的權力受不到有力的約束，他們將有可能以法律和契約預想不到的方式不正當?shù)匦惺狗珊推跫s以正當目的賦予給他們的權力，使公司成為違背公平和正義的工具，那么前文所述種種情況的出現(xiàn)，也就在所難免。
2006年1月1日，新修訂的《公司法》開始實施。新《公司法》著眼于協(xié)調好公司、股東、董事、監(jiān)事、經(jīng)理等利益主體以及職工、供應商、債權人、消費者、社區(qū)等諸多利益相關者之間的關系，在許多方面取得了突破，受到了各界的廣泛贊譽，開啟了我國公司自治的時代。首先，新《公司法》強調公司應兼顧股東權利和社會責任。公司不能僅以實現(xiàn)股東權益最大化為唯一目標，還應適度考慮股東利益之外的其他各種社會利益（具體包括職工利益，供應商利益，債權人利益，消費者利益，社區(qū)利益等），承擔社會責任。盡管股東權益的提高與社會責任的承擔是否存在關聯(lián)性還有待于進一步研究，但從各國的情況看，“股東至上”理論已經(jīng)逐步被拋棄，各國已經(jīng)逐步認同“利益相關者”理論，開始趨向于強調企業(yè)的社會責任，以實現(xiàn)利益相關者價值最大化，我國當然也不例外。在這一點上，新《公司法》與新COSO報告達成了共識。其次，新《公司法》減少了國家對公司組織和活動的干預，賦予公司更多的“契約自由”，順應了市場經(jīng)濟的發(fā)展趨勢。再次，新《公司法》還對公司治理結構進行了完善，強化了內部制約機制，強化了股東（尤其是中小股東）權利的保障機制，確立了濫用股東權利責任追究與法人人格否定機制，強化了監(jiān)事制度，提出了上市公司設立獨立董事的要求。[4]新《公司法》與新COSO報告制定理念上的一致性以及公司自治性的增強，使得公司可以借助新COSO報告提供的《企業(yè)風險管理框架—總體框架》在法律法規(guī)許可的范圍內合理、有效地行使自治權利，實現(xiàn)相關利益者價值最大化的目標。并且新《公司法》規(guī)定的內部治理結構也可以統(tǒng)一在這個框架之內，成為企業(yè)內部控制體系的有機組成部分。但是如果內部控制體系不完善或者出現(xiàn)殘缺，則會影響企業(yè)預期目標的實現(xiàn)，甚至給企業(yè)造成重大損失，因為這時企業(yè)可能由于出現(xiàn)資金、人員失控現(xiàn)象，早已不能把風險控制在可以承受的范圍之內，已經(jīng)喪失了對風險事件的預防和反應能力，甚至早已異化為管理層謀取個人私利的工具。
這里有個問題必須明確即公司治理與內部控制體系究竟是什么關系？雖然人們對該問題有著諸多不同的看法，但都不約同地認為兩者存在密切聯(lián)系，相輔相成，不可分割。我們對此有不同的看法，我們認為：公司的內部治理包含于內部控制體系之中，而公司的外部治理構成了內部控制體系的環(huán)境。首先，公司內部治理主體依靠契約結合在一起組成了各方的利益共同體—企業(yè)，隨著所有權和經(jīng)營權的分離，為了求得企業(yè)的生存和發(fā)展，公司內部各治理主體產(chǎn)生了建立有效的內部治理結構的需求，而這實際上是公司內部治理主體對權利進行合理配置，實現(xiàn)企業(yè)價值最大化的需求。而內部控制體系正是通過適當?shù)臋嗬渲茫纬蓹嗬黧w間的互相監(jiān)督和約束，為實現(xiàn)企業(yè)價值最大化的目標服務。我們所定義的內部控制體系所作用的權利主體更加廣泛，不再局限于公司的內部治理主體，而是擴展到了公司的利益相關者。因此，公司內部治理結構自然統(tǒng)一在企業(yè)的內部控制體系之中。其次，公司的外部治理主要由資本市場、經(jīng)理人市場、產(chǎn)品和服務市場等組成，這些市場獨立于企業(yè)之外，是企業(yè)運作的環(huán)境基礎，當然就獨立于企業(yè)內部控制體系之外，成為其發(fā)揮作用的環(huán)境因素。
簡言之，上述重大事件的發(fā)生與企業(yè)內部控制體系殘缺密切相關。這些企業(yè)將本應是多層次的內部控制體系簡化為僅僅服務于經(jīng)營目標的內部控制制度，將建立“法治企業(yè)”的目標，降低為建立“法制企業(yè)”的目標，淡化了對管理者權力的監(jiān)督和約束，使得內部控制體系出現(xiàn)了一系列的殘缺點，為風險事項的發(fā)生埋下了隱患。對照新的COSO報告，我國目前的企業(yè)內部控制體系主要存在著層次殘缺，要素殘缺，風險觀念殘缺等三個方面的殘缺。首先，公司內部治理結構未被納入內部控制體系之中，存在著層次殘缺。伊利股份有限公司高級管理人員的問題凸顯了企業(yè)內部控制體系的這一方面的殘缺，集中表現(xiàn)為企業(yè)內部治理結構不完善和不合理。董事會、獨立董事、監(jiān)事會成為擺設，連“查錯防弊”的功能都沒有發(fā)揮，更不要說“興利”、“增值”和實現(xiàn)利益相關者價值最大化了。其次，內部控制體系要素不健全，存在著要素殘缺。中航油巨虧事件中，集團公司對經(jīng)理層監(jiān)督不力，對經(jīng)理層偏離戰(zhàn)略目標的行為絲毫沒有察覺，結果播下了中航油巨虧的種子。該事件集中體現(xiàn)了企業(yè)內部控制體系的要素殘缺，新COSO報告規(guī)定的信息與溝通和監(jiān)控兩大要素蹤跡難覓，集團公司與經(jīng)理層之間形成嚴重的信息不對稱，監(jiān)控控活動根本無從談起。再次，忽視企業(yè)風險文化建設，存在著風險觀念殘缺。長虹巨虧事件從對經(jīng)營風險防范不力的角度暴露出我國企業(yè)內部控制體系的先天不足：不以風險為導向，對重大經(jīng)營風險事項控制失效，存在著風險觀念殘缺。
更一般地說，企業(yè)內部控制體系的殘缺影響了內部控制體系的有效性，妨礙了內部控制體系功能的發(fā)揮，對企業(yè)目標的實現(xiàn)產(chǎn)生了重大的不利影響。對內部控制體系的殘缺進行修補已經(jīng)成為當務之急。這不僅是實現(xiàn)利益相關者價值最大化的內在要求，也是《公司法》等相關法律法規(guī)的基本要求，更是社會現(xiàn)實的迫切要求。
三、內部控制體系殘缺的修補
（一）將公司內部治理結構納入內部控制體系之中，修補其層次殘缺
內部控制體系是一個多層次的控制體系，任何一個層次的殘缺都會影響其整體功能的發(fā)揮。公司內部治理結構在內部控制體系中處于較高層次，制約著較低層次內部控制制度的建設，是不可或缺的。公司的內部治理結構主要解決股東大會、董事會、監(jiān)事會和經(jīng)理層的控制、監(jiān)督和激勵問題，即所有權、監(jiān)督權和控制權三權分離與制衡問題，其目標是保證公司決策權行使的合理性和有效性，因此我們應從源頭抓起，在內部控制體系的視野中完善公司內部治理結構，建立以公司治理和管理為導向的內部控制體系。如前文所述，我國新《公司法》已經(jīng)從法律層面對這一較高層次的內部控制制度進行了完善，但如何把這一要求落到實處，切實發(fā)揮它應有的作用，避免出現(xiàn)股東大會、董事會、監(jiān)事會空殼化，大股東操縱，總經(jīng)理獨裁等不合理現(xiàn)象，需要企業(yè)根據(jù)自己的實際情況來逐步解決。鑒于這一層次內部控制的重要性，企業(yè)對這一層次內部控制的有關規(guī)定應按照新《公司法》的要求，并結合自身實際情況明確而詳細地寫入公司的章程之中，通過公司這一“根本大法”的權威，有意識地去維護，避免其遭到自然侵犯的威脅。在這方面新的COSO報無疑為我們提供了一個可資借鑒的框架。我們可以通過落實其定義的8個要素，樹立風險觀念，著眼于戰(zhàn)略目標的實現(xiàn)來增強該層次內部控制的可操作性和動態(tài)有效性，并為較低層次內部控制制度發(fā)揮作用奠定基礎。
（二）健全內部控制體系要素，修補其要素殘缺
目前，很多企業(yè)都有比較“漂亮”的內部控制制度，但是這些制度僅僅停留在紙面上，由于其信息與溝通和監(jiān)控要素的欠缺，往往是“好看不好用”，根本形不成一個在現(xiàn)實中發(fā)揮作用、自我持續(xù)調整改善的內部控制體系，中航油公司就是一個典型。因此，我們應從這兩個要素入手，修補內部控制體系的要素殘缺。
第一，加強信息流動與溝通。信息流動與溝通要素是內部控制體系的基礎設施，對內部控制體系功能的發(fā)揮至關重要。有效信息是實現(xiàn)權利優(yōu)化配置的基礎，一個良好的內部控制體系必須解決好信息保障問題。計算機網(wǎng)絡的普及，大大提高了人們的信息溝通能力，企業(yè)為了更好的應對內部及外部情況的變化，紛紛建立起基于信息技術的管理信息系統(tǒng)。盡管這些管理信息系統(tǒng)還有待于進一步完善，但是卻為企業(yè)有關部門的決策提供了必不可少的信息保障，提高了決策的科學性。內部控制體系信息與溝通要素的引入，應學習這方面的先進經(jīng)驗，著眼于建立具有“實時反映”和“信息集成共享”功能的內部控制體系信息系統(tǒng)。這一信息系統(tǒng)與企業(yè)原先的管理信息系統(tǒng)并不是水火不容的關系，而是你中有我、我中有你的關系。除了各自的專用信息之外，兩大信息系統(tǒng)可以并且應當共享信息，以避免企業(yè)信息成本的無效增長。內部控制體系信息系統(tǒng)應具備良好的信息收集、信息加工和處理、信息存儲能力，為企業(yè)內部控制主體權利的互相監(jiān)督與約束及其合理配置提供有效信息，最大限度地緩解信息不對稱問題。
第二，加強全方位的監(jiān)控。信息與溝通要素的引入，促使企業(yè)建立完善的內部控制體系信息系統(tǒng)，為實現(xiàn)全方位的監(jiān)控提供了信息保障，除此之外還應建立相應的監(jiān)控組織，提供實現(xiàn)全方位監(jiān)控的組織保障。目前審計署、內部審計協(xié)會正在積極推進我國內部審計事業(yè)的發(fā)展，其中內部審計機構建設是其重要內容。內部控制體系的監(jiān)控組織建設因此沒有必要另起爐灶，完全可以通過將監(jiān)控職能賦予內部審計機構的辦法，將其納入內部控制體系之中，變?yōu)閮炔靠刂企w系的監(jiān)控組織。另外，內部審計的性質及其功能也為其組織機構融入內部控制體系，發(fā)揮監(jiān)控職能提供了可能。內部審計機構實施有關的審計活動，對公司治理結構的合理性和有效性，風險管理的合理性和有效性，經(jīng)濟政策、措施的執(zhí)行及其效果，經(jīng)濟合同、計劃的合理性及可靠性，企業(yè)經(jīng)營、投資、籌資、財務等方面重要風險存在的可能性及其后果，企業(yè)采購、生產(chǎn)、銷售等各個經(jīng)營環(huán)節(jié)的合理性、有效性以及人事政策實施效果等各個方面進行內部控制審計，并對企業(yè)的內部控制體系進行自我評價，為進一步完善內部控制體系提供指引。由于公司治理結構這一較高層次的內部控制對整個內部控制體系的有效運行起關鍵性作用，企業(yè)通過內審機構自我評價，其獨立性會受到質疑和影響，因此可以考慮將這一任務外包，交給處于超然獨立地位的會計師事務所來完成?？傊?，企業(yè)要通過自我評價和外部評價相結合的方式來實現(xiàn)對內部控制體系的全方位監(jiān)控。
（三）建設企業(yè)的風險文化，修補其風險觀念殘缺
企業(yè)的文化就如同一個人的靈魂，是企業(yè)各項工作的基礎，更是企業(yè)內部控制體系建設的“土壤”。企業(yè)文化可以使集體成員形成共識，促使大家朝共同方向努力，從而增強企業(yè)防御風險的能力。企業(yè)文化的建設已經(jīng)日益受到各方的重視。新的COSO報告也將控制環(huán)境要素改為內部環(huán)境要素，確立了企業(yè)的風險文化。其確定的內部環(huán)境要素主要包括：風險管理哲學和風險偏好；員工誠實性和道德觀以及企業(yè)的經(jīng)營環(huán)境。但是，一個良好的企業(yè)風險文化并不是自發(fā)形成的，它的形成需要管理者的引導和全體成員廣泛參與。企業(yè)的風險文化應得到全體成員的廣泛認同，并深入到各個管理層次。上到董事會、監(jiān)事會、總經(jīng)理，下至車間、班組、普通員工都應受到企業(yè)風險文化的熏陶，在風險文化的指導下進行自律管理，自覺地按風險文化所確立的基本原則做好自己的本職工作。通過這種多層次、全方位的滲透，使企業(yè)的風險文化不僅僅是停留在紙面上，而是真正內化為企業(yè)的自覺行動，增強企業(yè)抵御風險的能力。
（四）推動內部控制體系的持續(xù)改進或優(yōu)化
企業(yè)的外部環(huán)境處在不斷變化之中，顧客需求會不斷變化，新的競爭威脅與機會會不斷出現(xiàn)，資本市場也是瞬息萬變。企業(yè)自身只有隨著外部環(huán)境的變化隨時做出調整，才能立于不敗之地，如果一味僵化、墨守成規(guī)，只能被市場所淘汰。同樣，內部控制體系作為企業(yè)的“免疫系統(tǒng)”[5]，也應針對出現(xiàn)的新情況、新問題，及時做出相應調整，在動態(tài)中實現(xiàn)持續(xù)改進或優(yōu)化，服務于相關利益者價值最大化的目標。為此，我們需要引入競爭機制，通過資本市場、經(jīng)理人市場、產(chǎn)品和服務市場、人才市場等各種市場對各個層次內部控制主體形成一種外部壓力和內部壓力，促使其擯棄僵化的思維方式，習慣于變革和創(chuàng)新，使企業(yè)的內部控制體系實現(xiàn)持續(xù)改進或優(yōu)化，經(jīng)受得住不斷變化的內外部環(huán)境的考驗。當然，良好的信息交流與溝通和有效的監(jiān)控，也會保障這一目標的實現(xiàn)。
綜上所述，我國目前的企業(yè)內部控制體系存在一系列的殘缺點，影響了其正常功能地發(fā)揮。為此，我們應對這些殘缺點進行修補。另外，本文主要從“防弊”的角度對內部控制體系殘缺及其修補進行了探討，限于篇幅和精力，未從“興利”和“增值”的角度對其進行探討，我們下一步在強調內部控制體系“防弊”功能的基礎上更應重視其“興利”和“增值”功能，并加強這一方面內部控制體系建設的研究。
主要參考文獻：
[1]金彧昉，李若山，徐明磊．COSO報告下的內部控制新發(fā)展[J]．會計研究，2005（2）．
[2]陳秧秧．COSO－企業(yè)風險管理綜合框架簡介[J]．財會通訊（綜合），2005（2）．
[3]李連華．公司治理與內部控制的鏈接與互動[J]．會計研究，2005（2）．
[4]李金澤，劉楠．《公司法》修改的十大亮點[J]．中國金融，2006（4）．
[5]楊雄勝，夏俊．打造企業(yè)免疫系統(tǒng)[J]．新理財，2003（8）．
The Thinking about the Incompleteness and Repairing
of the Enterprise Internal Control System
Abstract: The accounting scandals inundation all over the world，the implementation of Chinese new accounting law，and the ordination of sequential internal control criterion have aroused broad concern on internal control．This article starts with the gradation incompleteness，element incompleteness and risk concept incompleteness，using new COSO report，connecting typical cases concerned，analyses the causes that the enterprise internal control of our country cannot succeed．At last，we put forward some proposals perfecting the enterprise internal control system of our country．We should bring internal administering structure of companies into the enterprise internal control system in order to repair its gradation incompleteness，perfect its element to repair its element incompleteness，and construct the risk culture of the enterprise to repair its risk concept incompleteness.
Key words: the Internal Control System；Gradation Incompleteness；Element Incompleteness；Risk Concept Incompleteness
作者：王沖 文章來源：西北農(nóng)林科技大學經(jīng)濟管理學院
