“有控則強(qiáng)、失控則弱、無控則亂”。研究企業(yè)的興衰史，人們可以看到，但凡失敗的企業(yè)總能找到內(nèi)部控制缺失的問題。正因如此，以“風(fēng)險控制”為導(dǎo)向的內(nèi)部控制體系建設(shè)在現(xiàn)代企業(yè)可持續(xù)發(fā)展的進(jìn)程中扮演著越來越重要的角色。
然而“工欲善其事，必先利其器”，一個做手工或工藝的人，要想把工作完成，應(yīng)該先把工具準(zhǔn)備好。
那么在我國欲完善企業(yè)內(nèi)控體系，企業(yè)應(yīng)該先準(zhǔn)備好那些保障體系和技術(shù)工具呢？
完善內(nèi)控法律保障體系
企業(yè)內(nèi)部控制體系作為一項可持續(xù)發(fā)展的系統(tǒng)工程需要有完善的法規(guī)體系作保障。而完善的法規(guī)體系框架需要包括四個層面的內(nèi)容：一是國家大法；二是部門規(guī)章；三是行業(yè)協(xié)會的標(biāo)準(zhǔn)與指南；四是可參考借鑒的最佳實務(wù)案例。
有人形象地描述我國的內(nèi)部控制法規(guī)體系建設(shè)現(xiàn)狀是：“站在外國巨人的肩上，上不著天，下不落地”。
其意思是，我國政府監(jiān)管部門充分利用了后發(fā)優(yōu)勢，在吸收借鑒美國《薩班斯-奧克斯利法案》（下稱“SOX法案”）和COSO內(nèi)部控制框架的基礎(chǔ)上，出臺了《企業(yè)內(nèi)部控制基本規(guī)范》及其配套指引，但內(nèi)控方面的國家大法尚未出臺；與此同時，又缺乏能使《企業(yè)內(nèi)部控制基本規(guī)范》落地的行業(yè)標(biāo)準(zhǔn)與操作指南。于是乎，企業(yè)為了節(jié)約成本，直接從第四個層面切入，學(xué)習(xí)借鑒其他企業(yè)的實務(wù)案例，甚至不惜照搬照套，以達(dá)到盡快構(gòu)建本企業(yè)內(nèi)控體系的目的。采用這種方式建成的企業(yè)內(nèi)控 體系具有鮮明的個性，但明顯缺乏系統(tǒng)性和規(guī)范性。
筆者認(rèn)為，構(gòu)建完善的法規(guī)保障體系，有利于增強(qiáng)企業(yè)內(nèi)控建設(shè)的權(quán)威性和強(qiáng)制約束力，也有利于行業(yè)協(xié)會研究、制定和盡快發(fā)布企業(yè)如何實施內(nèi)控的標(biāo)準(zhǔn)、操作指南和技術(shù)方法，增強(qiáng)貫徹落實內(nèi)控法規(guī)的可操作性，促使企業(yè)真刀實槍地開展內(nèi)控體系建設(shè)。
構(gòu)建內(nèi)控信息化管理平臺
眾所周知，SOX法案404條款是實施過程中最難操作、最復(fù)雜、耗費(fèi)成本最高的一個條款。該條款規(guī)定，在美上市企業(yè)建立內(nèi)部控制體系，內(nèi)部控制活動的記錄不僅要細(xì)化到像產(chǎn)品付款時間這樣的細(xì)節(jié)，而且對重大缺陷都要予以披露，要求對內(nèi)控體系進(jìn)程和文檔記錄進(jìn)行有效的信息化管理，以實現(xiàn)自動化、一體化和可持續(xù)的合規(guī)報告。為了滿足SOX法案的嚴(yán)格要求，上市公司必須在信息存檔、披露和安全等方面構(gòu)建新的系統(tǒng)，部署新的軟件和IT治理環(huán)境。這就是當(dāng)年以SOX等為代表的法案，在美國IT業(yè)引發(fā)的狂熱、持久的法規(guī)遵從效應(yīng)，也為美國IT業(yè)帶來了一批全球最有實力的買家定單的原因！我國《企業(yè)內(nèi)部控制配套指引》中的18項應(yīng)用指引分類為：5項內(nèi)部環(huán)境類指引、9項控制活動類指 引和4項控制手段類指引。與國際內(nèi)部控制協(xié)會（InternalControlIn鄄stitute，下稱“ICI”）發(fā)布的內(nèi)部控制指標(biāo)體系相比較，最大的區(qū)別在于，而ICI將控制環(huán)境定義為10大屬性，即：行為守則政策、企業(yè)道德價值觀、首席執(zhí)行官的表率作用、組織架構(gòu)、員工的勝任能力、特別授權(quán)與溝通、一般授權(quán)與責(zé)任制、內(nèi)部審計、資產(chǎn)保護(hù)和既定的工作流程；將控制活動按照企業(yè)運(yùn)營管理業(yè)務(wù)流程分為：支出、收入、生產(chǎn)/轉(zhuǎn)換、融資和對外財務(wù)報告五個業(yè)務(wù)循環(huán)周期；而控制手段則通過信息化管理手段來實現(xiàn)對內(nèi)控流程中各項業(yè)務(wù)活動的控制，最終通過建立信息化管理平臺實現(xiàn)企業(yè)內(nèi)部控制的目標(biāo)。
企業(yè)內(nèi)部控制是一個持續(xù)完善的過程，企業(yè)的信息安全、存檔、共享等也必將是一個永續(xù)的過程。構(gòu)建內(nèi)控信息化管理平臺，需要梳理企業(yè)運(yùn)營管理業(yè)務(wù)流程，將風(fēng)險點(diǎn)和關(guān)鍵控制點(diǎn)及其處理規(guī)則嵌入系統(tǒng)程序。所有這些要求離開內(nèi)控管理軟件和信息數(shù)據(jù)平臺的技術(shù)支持，在手工環(huán)境下是難以實現(xiàn)。不過我國企業(yè)內(nèi)部控制相關(guān)規(guī)范體系雖然也多處提及了“利用計算機(jī)和通信技術(shù)”、“利用信息技術(shù)”、“形成信息化管理平臺”等字眼，但由于缺乏具體落地實施的標(biāo)準(zhǔn)與操作指南，目前還無法讓國內(nèi)的IT業(yè)嗅出實實在在的商機(jī)。
