2008年6月28日,財政部、證監(jiān)會等聯(lián)合發(fā)布了《企業(yè)內部控制基本規(guī)范》(以下簡稱基本規(guī)范)?；疽?guī)范自2009年7月1日起率先在上市公司范圍內施行。在施行基本規(guī)范過程中,應明確三個問題。
一、明確內部控制的主體和控制目標
《企業(yè)內部控制基本規(guī)范》明確指出,企業(yè)內部控制是由企業(yè)董事會、監(jiān)事會、經理層和全體員工實施的,旨在實現(xiàn)控制目標的過程。
傳統(tǒng)的理論認為,內部控制屬于公司管理層面的控制,內部控制的主體是董事會、監(jiān)事會、審計委員會、審計部門層面的管理和監(jiān)督人員。新執(zhí)行的基本規(guī)范明確界定了控制主體的范圍,上到董事會、監(jiān)事會,下至全體員工都是內部控制的主體。董事會對公司內部控制的建立和執(zhí)行進行指導;監(jiān)事會對公司內部控制的具體實施進行監(jiān)督,相關經理直接負責組織領導公司內部控制的日常運行;員工參與并監(jiān)督內部控制過程。把全體員工列為控制主體是基本規(guī)范的一大特色。內部控制既包括會計控制,也包括管理控制。我國一直重視員工參與企業(yè)管理,職工代表大會制度和國有獨資及國有控股公司職工代表參加董事會和監(jiān)事會制度是一項民主管理制度,也是加強企業(yè)管理、促進企業(yè)健康發(fā)展的一項基本制度。
全體員工參與企業(yè)內部控制是指,在一定程度上讓員工參加企業(yè)的決策過程和管理監(jiān)督工作,員工與企業(yè)的管理者處于平等的地位,研究和討論企業(yè)的內部控制問題,這是對員工的一種精神激勵,有利于發(fā)揮員工的主人翁精神,為實現(xiàn)企業(yè)控制目標奠定了群眾基礎。
員工參與內部控制應當采取一定的形式,可以采取分享決策權、代表參與、員工股份所有制和質量圈等形式。質量圈是由一組員工和管理者組成的共同承擔責任的一個工作群體。采取一定的形式,讓員工參與內部控制是全面實施內部控制基本規(guī)范的重要保障。
內部控制的目標是合理保證企業(yè)經營管理合法合規(guī)、資產安全、財務報告及相關信息真實完整,提高經營效率和效果,促進企業(yè)實現(xiàn)發(fā)展戰(zhàn)略。保證企業(yè)經營管理合法合規(guī)、資產安全是企業(yè)內部控制的基本要求。保證財務報告及相關信息的真實完整是信息可靠性基本特征的具體體現(xiàn),也是滿足財務報告及相關信息使用者的起碼要求。提高經營效率和效果是日常內部控制的基本目標,促進企業(yè)實現(xiàn)發(fā)展戰(zhàn)略是內部控制的最終目標。
日常內部控制是一項經常性的工作,“提高經營效率和效果”中所講的效率是指投入與產出的關系。效率注重的是目標執(zhí)行的過程。效果注重的是結果。對于給定的投入,如果能獲得更多的產出,就說明效率提高。然而,僅僅有效率是不夠的,內部控制還必須使控制活動實現(xiàn)預定的目標,即追求活動的效果。當控制主體實現(xiàn)了企業(yè)的控制目標,控制就是有效的。
二、明確內部控制原則
實施內部控制應當明確理解和貫徹以下原則。
1.全面性原則。內部控制應當貫穿決策、執(zhí)行和監(jiān)督全過程,覆蓋企業(yè)及其所屬單位的各種業(yè)務和事項。全面性原則一方面要求企業(yè)根據(jù)生產經營的需要,對設置的所有內部控制點進行全面關注;另一方面也要求對企業(yè)經營活動的全過程進行自始至終的控制。如果內部控制的全面性達不到,則內部控制的有效性就無從談起。內部控制必須滲透到企業(yè)經營管理的各項業(yè)務過程和各個操作環(huán)節(jié),涵蓋所有的部門和崗位。
2.重要性原則。內部控制應當在全面控制的基礎上,關注重要業(yè)務事項和高風險領域。內部控制人員應恰當判斷重要性程度和業(yè)務事項及風險的性質。重要性的判斷離不開特定的環(huán)境。在不同企業(yè)、不同時期,重要性程度的判斷標準不同。判斷重要性程度與開展內部控制的工作效率有密切聯(lián)系,確定恰當?shù)闹匾猿潭扔欣诮档蛢炔靠刂瞥杀竞吞岣吖ぷ餍?。判斷業(yè)務事項和風險性質可以從關聯(lián)人的動機和主客觀條件、業(yè)務事項的金額大小和期限的長短上進行判斷。涉及到舞弊、違法與違規(guī)的行為事項,即使涉及的金額再小,也屬于重要事項和高風險事項。對于舞弊者存在主觀動機,運用主客觀條件違法、違規(guī)的業(yè)務事項,屬于舞弊者為達到某種目的的故意行為,因此具有重要性,應值得重點關注。如果不是由于舞弊產生的業(yè)務事項,一般根據(jù)金額大小和期限長短來判定重要程度。金額大的業(yè)務事項要比金額小的重要。在業(yè)務事項金額基本相同的情況下,期限長的事項比期限短的事項重要。如長期投資事項比短期采購事項重要,因為前者對企業(yè)未來發(fā)展影響更大。
3.制衡性原則。內部控制應當在治理結構、機構設置及權責分配、業(yè)務流程等方面相互制約、相互監(jiān)督,同時兼顧運營效率。企業(yè)不同部門、崗位設置和權責落實應當科學合理,確保不同部門、崗位之間權責明確和有利于相互制約、相互監(jiān)督。制衡性原則要求企業(yè)每項業(yè)務的過程都要經過授權、批準、執(zhí)行、記錄和檢查步驟。在相互制衡的控制下,為實現(xiàn)有效控制的目的,企業(yè)任何部門或個人不能獨攬業(yè)務處理的全過程,應由不同的部門或人員去完成。具體要求是:授權進行某項經濟業(yè)務的職務與執(zhí)行該項業(yè)務的職務分離,執(zhí)行某項經濟業(yè)務的職務與批準該項業(yè)務的職務分離,執(zhí)行某項經濟業(yè)務的職務與記錄該項業(yè)務的職務分離,保管某項財產的職務與記錄該項財產的職務分離,保管與記錄某項資產的職務與賬實核對的職務分離。
4.適應性原則。內部控制應當與企業(yè)經營規(guī)模、業(yè)務范圍、競爭狀況和風險水平等相適應,并隨著情況的變化及時加以調整。企業(yè)內部控制制度和方法應隨著外部情況、企業(yè)部門的調整和管理要求的改變而改變。遵循適應性主要從三個方面考慮:其一,要適應國家法律政策、財政與金融政策、產業(yè)政策和市場競爭程度的變化;其二,要適應企業(yè)戰(zhàn)略發(fā)展規(guī)劃的調整、內部資源現(xiàn)狀和管理政策的變化;其三,內部控制模式及其相應的制度與方法不是千篇一律、一成不變的,要適應企業(yè)的治理結構、產權關系和企業(yè)規(guī)模。上市公司與非上市公司、中小企業(yè)與大型企業(yè)的內部控制的模式應該有一定的差異,應遵循適應性和成本效益原則來設計考慮。
5.成本效益原則。內部控制應當權衡實施成本與預期效益,以適當?shù)某杀緦崿F(xiàn)有效控制。成本效益原則是經濟學中一個最基本的原則,經濟學中所講的理性經濟人總是以較小的成本去獲得較大的經濟效益。內部控制是企業(yè)為實現(xiàn)既定的經營目標,而在內部建立和實施的各種控制方法、措施和程序等所形成的控制機制。建立和運用控制機制需要付出一定的成本,如設計控制環(huán)節(jié)、設置崗位、配備人員,確保各控制環(huán)節(jié)的運行等都必須付出一定的代價。但如果不建立和實施控制機制,會發(fā)生由于控制缺失出現(xiàn)的損失。只要企業(yè)建立和實施內部控制的效果大于其成本,就是經濟合理,就應當設置和運行該項控制;反之,則不應當采用該項控制。在當今追求價值最大化的經營管理理念的環(huán)境中,企業(yè)建立和實施內部控制時,應考慮內部控制的成本與效益問題,在可能獲得的收益與可能產生的損失之間做出理性的判斷。
三、明確內部控制要素
實施內部控制應當明確理解運用以下控制要素。
1.內部環(huán)境。內部環(huán)境是企業(yè)實施內部控制的基礎,一般包括治理結構、機構設置及權責分配、內部審計、人力資源政策、企業(yè)文化等。
企業(yè)應當根據(jù)國家有關法律法規(guī)和企業(yè)章程,建立規(guī)范的公司治理結構和議事規(guī)則。公司股東大會享有法律法規(guī)和企業(yè)章程規(guī)定的合法權利,并依法享有對企業(yè)經營方針、財務政策等重大事項的表決權。董事會對股東大會負責,依法行使企業(yè)的經營決策權。企業(yè)在董事會下設審計委員會,審計委員會負責審查企業(yè)內部控制,監(jiān)督內部控制的有效實施和內部控制的自我評價情況,協(xié)調內部控制審計及其他相關事宜等。監(jiān)事會對股東大會負責,監(jiān)督董事、經理和其他高級管理人員依法履行職責,并對董事會建立與實施內部控制進行監(jiān)督。經理層負責組織實施股東大會、董事會決議事項,主持企業(yè)經營管理工作。企業(yè)應當通過編制內部管理手冊,使全體員工掌握內部機構設置、崗位職責、業(yè)務流程等情況,明確權責分配,正確行使職權。
企業(yè)應當加強內部審計工作,保證內部審計機構設置、人員配備和工作的獨立性。內部審計機構應當結合內部審計監(jiān)督,對內部控制的有效性進行監(jiān)督檢查。內部審計機構對監(jiān)督檢查中發(fā)現(xiàn)的內部控制缺陷,應當按照企業(yè)內部審計工作程序進行報告。
2.風險評估。風險評估是企業(yè)及時識別、系統(tǒng)分析經營活動中與實現(xiàn)內部控制目標相關的風險,合理確定風險應對策略。
企業(yè)應當根據(jù)設定的控制目標,全面、系統(tǒng)、持續(xù)地收集相關信息,結合實際情況,及時進行風險評估。企業(yè)開展風險評估,應當準確識別與實現(xiàn)控制目標相關的內部風險和外部風險,確定相應的風險承受度,包括整體風險承受能力和業(yè)務層面的可接受風險水平。
風險分析人員采用一定的分析方法,按照風險發(fā)生的可能性及其影響程度等,對識別的風險進行分析和排序,確定關注重點和優(yōu)先控制的風險,按照嚴格規(guī)范的程序開展風險分析評估工作,確保風險分析結果的準確性。
企業(yè)應當綜合運用風險規(guī)避、風險降低、風險分擔和風險承受等風險應對策略,實現(xiàn)對風險的有效控制。風險規(guī)避是企業(yè)對超出風險承受度的風險,通過放棄或者停止與該風險相關的業(yè)務活動,以避免和減輕損失的策略。風險降低是企業(yè)在權衡成本效益之后,準備采取適當?shù)目刂拼胧?降低風險或者減輕損失,將風險控制在風險承受度之內的策略。風險分擔是企業(yè)準備借助他人力量,采取業(yè)務分包、購買保險等方式和適當?shù)目刂拼胧?將風險控制在風險承受度之內的策略。風險承受是企業(yè)對風險承受度之內的風險,在權衡成本效益之后,不準備采取控制措施降低風險或者減輕損失的策略。
3.控制活動?？刂苹顒邮瞧髽I(yè)根據(jù)風險評估結果,采用相應的控制措施,將風險控制在可承受度之內。
企業(yè)應當結合風險評估結果,通過手工控制與自動控制、預防性控制與發(fā)現(xiàn)性控制相結合的方法,運用相應的控制措施,將風險控制在可承受度之內?？刂拼胧┮话惆?不相容職務分離控制、授權審批控制、會計系統(tǒng)控制、財產保護控制、預算控制、運營分析控制和績效考評控制等。
不相容職務分離控制要求企業(yè)全面系統(tǒng)地分析、梳理業(yè)務流程中所涉及的不相容職務,實施相應的分離措施,形成各司其職、各負其責、相互制約的工作機制。授權審批控制要求企業(yè)根據(jù)常規(guī)授權和特別授權的規(guī)定,明確各崗位辦理業(yè)務和事項的權限范圍、審批程序和相應責任。會計系統(tǒng)控制要求企業(yè)嚴格執(zhí)行統(tǒng)一的會計準則和會計制度,加強會計基礎工作,明確會計處理程序,保證會計資料真實完整。財產保護控制要求企業(yè)建立財產日常管理制度和定期清查制度,采取財產記錄、實物保管、定期盤點、賬實核對等措施,確保財產安全。預算控制要求企業(yè)實施全面預算管理制度,明確各責任單位在預算管理中的職責權限,規(guī)范預算的編制、審定、下達和執(zhí)行程序,強化預算約束。運營分析控制要求企業(yè)建立運營情況分析制度,經理層應當綜合運用經營、投資、籌資、財務等方面的信息,定期開展運營情況分析,發(fā)現(xiàn)存在的問題,及時查明原因并加以改進?？冃Э荚u控制要求企業(yè)建立和實施績效考評制度,科學設置考核指標體系,對企業(yè)內部各責任單位和全體員工的業(yè)績進行定期考核和客觀評價,將考評結果與員工的利益結合。
4.信息與溝通。信息與溝通是企業(yè)及時、準確地收集、傳遞與內部控制相關的信息,確保信息在企業(yè)內部、企業(yè)與外部之間進行有效溝通。企業(yè)應當建立信息與溝通制度,明確內部控制相關信息的收集、處理和傳遞程序,確保信息及時溝通,促進內部控制有效運行。企業(yè)應當對收集的各種內部信息和外部信息進行合理篩選、核對、整合,提高信息的有用性。
企業(yè)可以通過各種信息源獲取內部信息和外部信息,應當將內部控制相關信息在企業(yè)內部各管理級次、責任單位、業(yè)務環(huán)節(jié)之間,以及企業(yè)與外部投資者、債權人等有關方面之間進行溝通和反饋。企業(yè)應當加強對信息系統(tǒng)開發(fā)與維護、訪問與變更、數(shù)據(jù)輸入與輸出、文件儲存與保管、網絡安全等方面的控制,保證信息系統(tǒng)安全穩(wěn)定地運行。
5.內部監(jiān)督。企業(yè)應當制定內部控制監(jiān)督制度,明確內部審計機構(或經授權的其他監(jiān)督機構)和其他內部機構在內部監(jiān)督中的職責權限,規(guī)范內部監(jiān)督的程序、方法和要求。
內部監(jiān)督分為日常監(jiān)督和專項監(jiān)督。日常監(jiān)督是指企業(yè)對建立與實施內部控制的情況進行常規(guī)、持續(xù)的監(jiān)督檢查。專項監(jiān)督是指在企業(yè)發(fā)展戰(zhàn)略、組織結構、經營活動、業(yè)務流程、關鍵崗位員工等發(fā)生較大調整或變化的情況下,對內部控制的某些方面進行有針對性的監(jiān)督檢查。專項監(jiān)督的范圍和頻率應當根據(jù)風險評估結果以及日常監(jiān)督的有效性等予以確定。企業(yè)應當制定內部控制缺陷認定標準,對監(jiān)督過程中發(fā)現(xiàn)的內部控制設計缺陷和運行缺陷,并進行跟蹤、整改。
企業(yè)應當結合內部監(jiān)督情況,定期對內部控制的有效性進行自我評價,出具內部控制自我評價報告。內部控制自我評價的方式、范圍、程序和頻率應根據(jù)經營業(yè)務調整、經營環(huán)境變化、業(yè)務發(fā)展狀況、實際風險水平等確定。
四、結束語
企業(yè)在實施《企業(yè)內部控制基本規(guī)范》過程中,只有明確理解上述問題,并正確運用內部控制相關理論與方法,才能建立和完善內部控制制度,從而有效地對企業(yè)會計活動和其他管理活動進行管控。
【參考文獻】
[1] 財政部等.企業(yè)內部控制基本規(guī)范[S].2008.
[2] 李鳳鳴.審計學原理[M].復旦大學出版社,2008.
[3] 程新生.企業(yè)內部控制[M].高等教育出版社,2008.
