企业内控“大有可为”

【关键词】企业内部控制；体系

1.内控体系建设目标―合规为基础，提升为根本

内部控制体系建设应以保障和促进业务发展的效果和效率为目标，以提升可持续发展的企业竞争力为根本，实现从合规经营到提升效率的优化升级。所谓“合规”，就是保证企业经营管理合法合规，确保企业资产安全，保证财务报告及相关信息真实完整。“提升”即在实现“合规”的基础上，提高企业经营效率和效果、促进企业实现发展战略。

在内部控制体系建设完善的过程中，企业将逐步实现内控的合规性、可操作性及标准化。“合规性”为第一阶段目标，即构建符合《企业内部控制基本规范》和监管机构要求的内部控制体系；“可操作性”为第二阶段目标，即构建与业务、产品、流程、系统变化想适应的、具备可操作性的内部控制体系；“标准化”为第三阶段目标，即统一定义内部控制体系的语言和标准，实现关键业务条线的标准化运行，提升内控水平。

2.内控体系建设过程―分阶段、分层级”

内部控制体系建设是一个长期过程，并非“一蹴而就”，需要公司分阶段、分层级的开展。

首先，内部控制体系建设不应停留在针对现状进行查漏补缺的阶段，还应结合公司未来业务的发展趋势、同行业领先实践、国际国内的监管要求，具有前瞻性地建立一套完善、适应公司持续发展、灵活且可落地执行的内部控制规范体系以及运行保障机制，以切实满足公司未来的业务发展需要。

其次，内部控制规范只有得到切实落实，才能实现公司的“长治久安”。必须切实将内部控制规范通过制度规范融入流程和操作、通过业务系统的升级和建设将内部控制嵌入系统，最终将内控执行落到实处，以真正实现内部控制与风险管理手段、工具的建设与提升。

第三，内部控制体系建设需保持常态化、持续化，不是一朝一夕就能完成的。企业必须结合未来业务发展步伐，循序渐进地建设内部控制体系，最终形成动态监控、持续完善、持续改进的长效机制。通过持续的内部控制体系建设、完善与提升工作，促进企业发展战略目标的实现，实现股东回报。

3.全方位构建内部控制体系―“全面、全员、全过程”

以全面风险管理为导向的内部控制体系应实现“三全控制”―“全面、全员、全过程”。

全面控制。

企业的内部控制应涉及企业的方方面面，涵盖企业经营的各个环节、各个流程、各个岗位。

首先，应制定覆盖全业务面的内部控制规范与流程。

全面控制建设应围绕内部控制五要素开展，确保每项工作都有制可依、有据可循。涉及的规范和流程应涵盖公司组织架构、发展战略、人力资源、社会责任、企业文化、资金活动、采购业务、资产管理、销售业务、研究与开发、工程项目、担保业务、业务外包、财务报告、全面预算、合同管理、内部信息传递、信息系统。在建立内部控制规范时，还应考虑到公司未来发展规划与国内外内控制度的要求，在设计制度与流程时坚持严谨性与灵活性相统一。

其次，建立以风险类别为主线，以关键业务和管理领域为维度的风险库。

企业的风险成因可分为外部风险和内部风险，外部风险通常来自经济、法律、政治、社会、同业竞争和科学技术等；内部风险包括基础设施、人力资源、业务流程、技术能力、管理基础和风险事件等。企业在实施内部控制，进行风险管理时，首先应识别公司经营中的各项风险点，记录风险信息，根据风险的来源，分析风险发生的可能性以及对公司造成的负面影响和可能发生的后果确定固有风险等级，并提出相应的风险应对措施，形成覆盖公司各项经营业务的风险数据库。

此外，还应建立内部控制监控预警体系，对各项风险进行持续监控、分析、预警、报告。定期对风险数据库进行维护和更新，以适应新的业务领域，并对业务流程的关键控制点进行不断建设与改进。

4.全员控制

深入完善的内部控制体系离不开公司管理层高度重视和支持、内部审计部门充分发挥职能和作用，更离不开公司全体员工的积极参与、多方配合。

首先要培养员工的全局观念和风险管理意识。

通过持续的内控制度及标准宣导，树立规范的职业道德操守，确保所有员工能够正确理解和执行相关制度，切实履行岗位职责。通过长期教育提高全员防风险、防隐患、堵漏洞的工作意识，能够将在工作中遇到的问题与内部控制和风险管理相联系，主动防范风险并提出可操作的改进建议，将静态的制度和流程用活用到位，避免内部控制成为摆设，从而真正建立起完善有效的内部控制体系。

其次要明确界定岗位职责权限。

内部控制是一套制度、一班人马以及一系列相应行为的动态组合。如何将这一整套的活动细化到流程，责任到岗位是内部控制体系建设过程中一门不可小觑的技巧和艺术。在实际操作中，必须首先将每个业务流程按部门责任分工，再在部门内将各个流程和控制点细化到岗位，并界定明确的岗位职责。部门内部应指定内控管理员，通常以部门主管或业务骨干为主力，形成上下联动、责任到人、齐抓共管的良好局面。此外，还应规范审批权限和流程，切实有效地执行不相容岗位分离制度。

三是建立内控考核机制，调动全员积极性。

考核有两个方面，一个是激励，一个是惩罚。内外兼修，压力与动力并存，才能真正为内控落地“保驾护航”。一方面，企业可通过常规性和非常规性的审计、内控检查等，对内控标准的执行、内控的评估、缺陷的整改进行考核评价，推动执行工作的落实到位，并通过问责、通报、警示函等方式促进内部控制持续改进。另一方面，企业可建立有效的内部控制激励机制，对于严格执行内部控制制度的，可给予精神鼓励和物质奖励，还可与职务升降挂钩。

5.全过程控制

对企业来说，内部控制不应是静态的控制，而是动态管理。内部控制仅做到全面、全员还不够，还必须做到全过程控制，不能只是单一的事后检查控制，还要实行事前、事中的动态控制，为企业构筑起三道防线。

一是事前控制。事前控制主要由业务部门执行，由此构成企业安全运营的第一道防线。各岗位工作人员按照事先公司制定好的业务制度与流程进行运营，保证业务活动沿着既定的方向进行。执行期间，业务部门要时刻把控风险，通过了解情况、收集整理资料、掌控规律、预测趋势、正确预测出未来可能发生的问题，提前采取措施防患于未然，将隐患扼杀在萌芽中。

二是事中控制。事中控制主要由内控部门及合规部门执行，由此构成企业安全运营的第二道防线。内控及合规人员应在日常工作中积极配合业务部门，共同管理风险，监测业务流程中的控制点、监控内部控制的有效性并定期审视内部控制设计有效性，在经营活动过程中做到及时指导、及时检查、及时监督，发现问题时及时更正，确保经营活动顺利进行。

三是事后控制。事后控制主要由内部审计部门执行，由此构成企业安全运营的第三道防线。内部审计部门需坚持年度经济综合审计和平时专项审计相结合，以经济效益审计为中心，对公司进行全面审计，及时发现问题，提出整改措施，切实抓好整改。此外，还应抓好内部控制制度的评审，审查总结内部控制各环节、各方面的有效性和存在问题，为不断强化内部控制，提高整体效益及时提出建议。

综上所述，企业在经营管理中，应多方面、多渠道发挥内部控制效能，建立起“全面”、“全员”、“全过程”的内部控制体系，从而最大限度的避免和减少经营管理活动中出现的无效和错误行为。