网站首页 中心简介 前沿动态
专题研究
咨询与培训
联系我们
咨询与培训
咨询与培训
当前位置:首页 > 咨询与培训 > 咨询与培训
加强内部控制与风险管理,are you ready?
发布时间:2012-5-26 已被浏览 2684

张宜霞

企业内部控制,既是一个古老的话题,又是一个新的问题,尤其是对于我国这样一个刚刚开始内部控制建设的国家来说,一方面经济蓬勃发展,企业不断创新扩张,另一方面,不断变幻的国内、国际经济环境使我们面对诸多风险和困难,面对风险,除了建立健全内部控制,我们别无选择。关于内部控制,你也许有诸多疑惑,希望你能通过以下内容得到一些启示,找到些许答案。

一、全球背景下的内部控制建设

加强企业内部控制与风险管理,并不是我国首创的,是世界各国近年来都在努力做的一个事情,是国际经济和企业发展的趋势和方向。

20027月,美国国会通过和颁布SOX法案,要求上市公司定期评价、审计和报告内部控制,要求CEOCFO签字确认。

20036月,美国SEC发布了评价内部控制的“最终规则”。

20043月,PCAOB发布了关于内部控制审计的第2号准则。

20076月,SEC发布了上市公司评价财务报告内部控制的评价指引;PCAOB发布了审计内部控制的第5号审计准则。

2005年,英国重新评估和修改了关于内部控制评价与报告的Turnbull指南。

2007年,日本发布了《财务报告内部控制评价与审计准则》。

在美国上市的国内大中型企业从2002年开始准备遵守SOX法案,历时5年,最终按照美国SOX法案的要求定期评价、审计和报告财务报告内部控制。

二、中国的内部控制建设

我国的内部控制建设源于10年前,但真正形成完整的法规和标准体系却是在2010年。类似美国2002年实施SOX法案的情形,随着相关法律法规的完善,我国也必将开始一轮加强企业内部控制与风险管理的风暴。

2001年,财政部会计司陆续制定和发布《内部会计控制规范》。

20067月,财政部主导建立企业内部控制标准委员会。

20065年,上海证券交易所发布《上海证券交易所上市公司内部控制指引》,要求上市公司定期评价和报告内部控制,并经过事务所的审计。

20069年,深圳证券交易所发布《深圳证券交易所上市公司内部控制指引》,要求上市公司定期评价和报告内部控制,并经过事务所的审计。

20085月,财政部、证监会、审计署、银监会、保监会联合发布《企业内部控制基本规范》,要求上市公司在200971开始实施。

2010426,财政部、证监会、审计署、银监会、保监会联合发布了《企业内部控制配套指引》。该配套指引包括18项《企业内部控制应用指引》、《企业内部控制评价指引》和《企业内部控制审计指引》。为确保企业内控规范体系平稳顺利实施,财政部、证监会、审计署、银监会、保监会制定了实施时间表:自201111起首先在境内外同时上市的公司施行,自201211起扩大到在深沪证券交易所主板上市的公司施行;在此基础上,择机在中小板和创业板上市公司施行;同时,鼓励非上市大中型企业提前执行。

执行企业内控规范体系的企业,必须对本企业内部控制的有效性进行自我评价,披露年度自我评价报告,同时聘请具有证券期货业务资格的会计师事务所对其财务报告内部控制的有效性进行审计,出具审计报告。

“对于内控的建设,宜早不宜迟,哪个企业先执行,哪个企业先受益,这是毫无疑问的。”财政部会计司司长、中国会计学会秘书长刘玉廷如是说。随着相关法律法规体系的完善,我国企业内部控制建设一方面开始有法可依,有标准可参照,另一方面,对内部控制评价与审计的要求越来越明确,由自愿性选择变成了强制性要求,以往企业对内控制的那种随意、应付、无所谓的态度日益受到了挑战。无论是政府监管部门的强制性要求,还是金融危机、市场环境等给企业造成的日益严峻的风险,都要求企业正视内部控制,建立健全内部控制体系,以确保企业目标的实现,控制相关风险,遵守监管要求。

三、内部控制是什么?

内部控制的官方定义虽然有些理论和苦涩,但揭示了内部控制的本质和内在价值,它告诉了我们内部控制是什么,通常包括哪些内容。

(一)内部控制是什么?

关于内部控制,美国著名的内部控制研究机构COSO、中国企业内部控制标准委员会都给出了明确的定义。

内部控制是由董事会、管理当局和其他职员设计和实施的一个过程,旨在为下列各类目标的实现提供合理保证:经营效果和效率;财务报告的可靠性;遵循适用的法律和法规。

                             ——美国COSO1992

企业风险管理是一个过程,它由一个主体的董事会、管理当局和其他人员实现(effect)的,应用于战略制定并贯穿于企业之中,旨在识别可能会影响主体的潜在事项,管理风险以使其在该主体的风险容量之内,为主体目标的实现提供合理保证。内部控制是企业风险管理的一部分,企业风险管理包括内部控制。

——美国COSO2004

内部控制,是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整,提高经营效率和效果,促进企业实现发展战略。

——中国《企业内部控制基本规范》,2008

    很明显,内部控制并不想我们想象的那么简单,也不是我们想象的那么复杂,它服务于企业整体的目标,通过一套完整的程序、制度、手段、方法等体系识别和控制风险,服务于企业的经营和战略管理,为企业目标的实现提供合理的保证。企业内部控制不针对任何人,不针对任何行为,只针对风险,无论是何种风险,只要可能影响企业目标的实现,就是内部控制要应对的风险,通过有效的风险控制,使企业减少损失,降低成本,增加收入,实现收益,提高经营效率和经济效益,服务于企业的股东、管理层、员工、债权人等利益相关者。

(二)内部控制包括哪些内容?

内部控制从总体上可以包括五个构成部分,每一部分都对应着企业多个具体制度,企业的每个制度都要体现内部控制的这些要求。

1.控制环境(control environment)。所有业务活动的核心都是人员(他们的个人特性,包括诚信、道德价值观和胜任能力)以及他们开展经营所处的环境。他们是推动企业发展的引擎,也是所有事情赖以存在的基础。

2.风险评估(risk assessment)。企业必须了解和应对它所面临的风险。它必须设定目标,整合销售、生产、营销、财务和其他活动,以便使组织协调一致地运行。它还必须建立识别、分析和管理相关风险的机制。

3.控制活动(control activities)。必须确立和执行控制政策和程序,以帮助确保那些管理层确定的处置风险以实现企业目标的必要活动得以有效地实施。

4.信息与沟通(information and communication)。围绕在这些活动周围的是信息与沟通系统。它们使企业的员工能够获得和交换那些执行、管理和控制其经营活动所需的信息。

5.监控(monitoring)。必须对整个过程进行监控,并在必要时做出修改。这样,该体系才能做出动态反应,随着情况的需要而变化。

 

 

 

 

 

 

 

内部控制是企业风险管理的一部分,企业风险管理不但包括了内部控制的内容,更在此基础上强化了目标设定和事项识别的重要性,将内部控制由被动的控制风险提升到主动的识别风险,从经营管理层面提升到了战略管理的层面,更适合于企业全面的风险管理。企业风险管理通常包括八个构成要素:

1.内部环境。内部环境包含组织的基调,它为主体内的人员如何认识和对待风险设定了基础,包括风险管理理念和风险容量、诚信和道德价值观,以及他们所处的经营环境。

2.目标设定。必须先有目标,管理层才能识别影响目标实现的潜在事项。企业风险管理确保管理层采取适当的程序去设定目标,确保所选定的目标支持和切合该主体的使命,并且与它的风险容量相符。

3.事项识别。必须识别影响主体目标实现的内部和外部事项,区分风险和机会。机会被反馈到管理层的战略或目标制定过程。

4.风险评估。通过考虑风险的可能性和影响来对其加以分析,并以此作为决定如何进行管理的依据。风险评估应立足于固有风险和剩余风险。

5.风险应对。管理层选择风险应对策略,回避、承受、降低或者分担风险,采取一系列行动以便把风险控制在主体的风险容限(risk tolerance)和风险容量以内。

6.控制活动。为了确保风险应对得以有效实施而制定和执行的政策和程序。

7.信息与沟通。相关的信息以确保员工履行其职责的方式和时机予以识别、获取和沟通。有效沟通的含义比较广泛,包括信息在主体中的向下、平行和向上流动。

8.监控。对企业风险管理进行全面监控,必要时加以修正。监控可以通过持续的管理活动、个别评价或者两者结合来完成。

四、企业为什么要建立健全内部控制?

内部控制可以用来有效的识别和控制风险,为企业带来多个方面的收益。

1.合规风险方面。通过设计和实施有效的内部控制来识别和控制相关合规风险,确保遵守相关的法律法规,如税法、环保法、劳动法、产品质量标准、消费者权益保护法等,避免因为违法造成的重大损失。

2.财务报告风险方面。通过设计和实施有效的内部控制来识别和控制财务报告失真的风险,确保编制可靠的对内对外报告,一方面对内提供可靠的生产经营数据,确保做出正确的决策,另一方面,向投资者以及其他利益相关人提供准确的财务数据,遵守相关的信息披露法规,维护良好的投资者关系,获取低成本的营运资金。

3.经营风险方面。通过设计和实施有效的内部控制来识别和控制采购、生产、销售、投资、融资等经营过程中的风险,确保企业按照既定的经营决策和经营管理制度运行,降低成本费用,减少意外损失,增加销售收入,提高经营效率,增加经济效益。

4.战略风险方面。通过设计和实施有效的内部控制来识别和控制企业战略制定和实施过程中的各种风险,实现收益与企业风险容量的协调统一,避免企业出现重大的战略失误和损失,使企业的战略规划与经营管理紧密结合在一起,从整体上控制企业的风险,使之处于合理的限度之内,从而确保企业目标的实现。

五、企业如何建立健全内部控制?

无论从监管部门的强制性要求来看,还是从企业的长远发展来看,企业都应当建立健全内部控制与风险管理体系。企业建立健全内部控制与风险管理体系,应当做好以下工作。

1.正确认识内部控制,抛弃错误观念。

建立健全内部控制,前提是要正确的认识内部控制。首先,内部控制不是为了约束企业,不是为了约束某一个人,而是为企业的目标、为企业的管理、为企业各层级的人员服务的,是为了控制和管理风险。其次,内部控制不仅仅是一堆堆的手册、各种文件和制度,不仅仅是一个或多个要求和标准,更是一个完整的实施机制,需要告“诉人们应该做什么”的规则和“告诉人们如何做”的实施机制有机结合在一起才能有效的发挥作用;不仅仅需要文字的表述,更需要提供非常具体和量化的标准作为控制的依据。第三,每一个企业都或多或少有一些自己的内部控制制度,但线头不是布,需要对其进行整体的评估、改进和整合才能形成有效的内部控制系统,而且,这种评估、改进是随着企业经营环境的变化不断进行的。第四,企业内部控制对企业的发展是有益的,它可以使管理更有效,提高企业的经营效率和经济效益,与企业的生产经营过程紧密结合在一起,只要设计得当,不但不会降低企业的运营效率,增加企业的额外成本,反而会提高企业的经营效率,降低企业的运行成本,减少各项不必要的成本费用。

2.要有风险意识,避免讳疾忌医,有勇气直面企业存在的问题。

塞翁失马,焉知非福,每个企业的经营,无论是处于困境,还是处于顺境,都会面临诸多不确定的事项,都会面临各种风险,企业的经营和战略目标都会受到这些风险的威胁和影响,没有哪一个企业可以没有任何风险的经营下去。处于困境的企业,正在面临着诸多问题,如成本费用偏高、销售不畅、产品质量问题、资金紧张、员工工作积极性不高、生产效率低下、投资造成重大损失、财务信息失真、经营决策失误、各种错误和舞弊频发等等,很多企业在面临这些问题的时候或者惊慌失措,或者病急乱投医,片面的改革某一方面,其实,这些问题都是企业内部控制长期失效造成的必然后果,企业摆脱困境的唯一途径就是建立健全内部控制与风险管理体系,从整体上加强管理,提高管理效率。处于顺境的企业,采购、生产、销售等经营活动似乎一切都顺风顺水,没有什么问题,尤其是在市场销售情况较好、能够获得超额利润的时候,企业往往很难及时识别和面对自己存在的问题和风险。如果内部控制与风险管理体系没有建立健全和有效发挥作用,企业往往在不断的积累和承受过多的风险,这种表面繁荣背后日益潜伏和隐藏着诸多风险,而在温水煮青蛙的效应下企业自身又难以及时察觉和做出应对,日积月累,最终引发较大的损失,致使企业陷于困境,实现了从顺境到困境的缓慢演化。因此,企业要有明确的长远发展目标,要有风险意识,要有直面问题的勇气,避免讳疾忌医,积极的识别和应对风险。

3.从企业实际情况出发,从实际需要出发。

企业建立健全内部控制要从实际情况出发,从企业的实际需要出发,切忌简单模仿,照搬照用。每一个企业都具有其特定的情况,即使是相同行业、相同规模的两个企业所处的经营环境也是不同的,所面临的风险和不确定事项也是不同的,因为不存在完全相同的两个企业,他们的目标、文化、价值观、员工素质、生产经营模式、社会关系等等诸多方面都可能是不同的。同一个事项,对一个公司来说可能是风险,对另一个公司来说可能就是机会,因此,两个企业几乎不可能存在完全相同的风险,也就不可能存在完全相同的内部控制与风险管理体系。所以,无论你的企业规模大小,无论你的企业处于什么行业,内部控制与风险管理体系的建立健全必须从企业自身的实际情况出发,从企业实际的需要出发,系统、全面的审视企业自己的战略和经营目标,梳理生产经营流程,评估外部经营环境和企业内部环境,识别和评估企业实际存在的风险和问题,有针对性的设计和实施自己的内部控制与风险管理体系。通常来讲,满足外部法规的强制性要求,是必须做的,尽管可能对企业自身经营益处不大,比如合规风险的控制与管理、财务报告风险的控制与管理等,这是企业建立健全内部控制的基本动力。针对企业战略和经营管理中的问题和风险,设计和实施内部控制与风险管理体系是直接为企业的经营管理服务的,这是企业建立健全内部控制的核心动力。每一个企业都在有风险的环境中经营,都面临着各种不同的风险,无论当前是处于困境,还是处于顺境;每一个企业都需要通过内部控制对风险进行有效的识别和控制,无论你是亏损,还是盈利。如果企业想基业长青,就必须从实际情况出发,建立健全自己的内部控制与风险管理体系。

4.立足内脑,借助外脑。

企业建立健全内部控制,需要立足自身的脑力资源,同时需要充分借鉴和利用外部脑力资源。世界500强企业很多都常年聘请管理咨询公司为其提供各种管理咨询服务,没有哪一个企业可以完全解决自己存在的问题,无论你对自己的企业有多熟悉。内部控制与风险管理的各种制度、政策和程序的日常运行、评估与改进的大部分工作是要由企业自己的人员来实施的,所以,内部控制的建立健全工作必须由企业相关人员的充分参与,完全由咨询公司包干的做法并不可取,尽管在很多人看来应该这样。企业的相关人员必须结合企业的实际情况和实际需要,充分了解和熟悉整个内部控制制度、政策和程序的设计理念和运行方式,能够在日后进行相对独立的运行、评估和改进,才能确保企业内部控制的长期有效运行。当然,这并不排除在运行、评估和改进工作中充分听取和吸收外部专家和咨询人员的建议。

企业的内部控制在没有步入正轨之前,应当充分借助外脑的作用。内部控制制度、实施机制的设计和运行有其专业性和特殊性,在企业内部控制建立健全的初期,企业应当充分利用外部专家、咨询公司等的经营和专业技能来评估、改进、整合和完善企业现有的内部控制体系,培训企业的相关人员。切不可闭门造车,耗时耗力,又不能取得好的结果。利用外部专家学者,可以有三个方面的好处:一是可以充分利用他们的专业技能和最新研究成果;二是通过他们充分借鉴其他企业的经验和教训;三是可以充分利用他们在设计内部控制制度时的客观性和独立性,避免内部人的利益影响。

5.不断改进,不断完善。

企业内部控制建设不是一个一蹴而就的工作,要想确保内部控制的持续有效运行就必须根据企业经营环境和风险的变化不断对其进行改进和完善。通过借助外脑和内脑,企业通常可以建立起一个相对有效的内部控制体系,以应对当时的各种风险,然而,企业的外部经营环境和内部经营环境时刻是在变化的,顾客的需求、相关法律法规、原材料的价格、业务流程、人力成本、外汇汇率、产品价格等因素都不是一成不变的。加之,内部控制的政策和程序自身也随着时间的推移,为员工所熟悉,而导致有效的规避,从而使原先设计良好的内部控制失效。因此,为了应对日益变化的风险,以及保持内部控制政策与程序的有效性,企业必须不断的改进和完善内部控制,以确保内部控制始终都能为企业目标的实现提供合理的保证。

只要企业还没有倒闭,无论出于多么严重的困境,何时建立内部控制都不算晚,都有机会使企业起死回生,东山再起。在生产经营过程中,无论在生产经营的哪些环节识别出什么样的问题和风险,只要没有得到及时有效的控制,都要在这些方面改进和完善内部控制。

六、当前企业对内部控制的认识误区

由于种种原因,很多人对内部控制不甚了解,甚至还存在诸多的误解,这些都导致我们不能建立健全有效的内部控制与风险管理体系。下面列出的就是一些常见的认识误区。

1.内部控制就是一堆堆的制度手册,就是一条条的制度。

2.内部控制是管人的,约束人的,只会让我们不舒服。

3.内部控制会造成很高的成本费用。

4.内部控制会使经营过程更加繁琐,降低企业经营效率。

5.我的企业经营的很好,没有什么风险,不需要搞内部控制。

6.我的企业经营管理已经做的很好了,内部控制也是很好了,不需要改进。

7.内部控制是大企业要做的事情,小企业不用做。

8.内部控制很简单,自己搞搞就好了。

9.内部控制太麻烦了,完全交给咨询公司或者事务所做就好了。

10.内部控制对企业没有什么好处,是政府部门要求的。

11.内部控制是应付监管部门的,随便搞搞就好了。

12.内部控制是上市公司要做的,我们不上市不用做。

13.国家对内部控制的要求不严格,随便搞搞,应付一下就好了。

14.让咨询公司做完内部控制的制度条文就可以了,企业自己不用做什么的。

15.内部控制是管理层的事情,和我们一般员工没有什么关系。

16.内部控制是控制一般员工的,不能约束企业管理层。

17.内部控制就是多盖几个章,多签几个字,多走几道手续。

18.内部控制是花里胡哨的东西,没有什么实际用途。

七、企业内部控制失效的迹象

无论企业是处于快速成长的发展期,还是处于日益稳定的成熟期;无论是处于频临破产的困境,还是出于赢利颇丰的顺境,如果企业的内部控制与风险管理失效,在企业的生产经营过程中总会有一些迹象表现出这些问题。

1.企业没有明确的目标和方向,忙于应付接踵而至的各种问题和麻烦。

2.企业投资的项目赢利较少或者亏损严重。

3.企业研发的产品得不到市场的认可,没有销路。

4.企业新进入的行业或新设立的公司赢利较少或者亏损严重。

5.在行业赢利的情况下,企业出现亏损。

6.企业赢利较少,且利润呈下降趋势。

7.企业的生产、销售成本和费用居高不下,看起来又合情合理,找不到明显的问题。

8.原材料与物品采购价格与费用明显偏高,存在吃回扣等问题。

9.企业员工工作效率较低,与行业平均值相比没有竞争优势。

10.企业员工能力不能满足自身工作的需要。

11.企业的产品经常出现质量问题,残次品较多。

12.产品销售增长缓慢,达不到预期目标。

13.生产安排不当,出现怠工和生产设备闲置,

14.原材料供应不足,导致生产停工。

15.企业员工短缺,导致生产停工。

16.不能按期交货,导致违反合同。

17.成本费用数据失真,导致决策失误。

18.存货等实物资产管理不善,导致丢失、损坏、贬值。

19.固定资产使用不当,导致损坏和使用年限降低。

20.员工工作积极性不高,满腹牢骚,没有主动性和动力。

21.企业业务流程繁琐、重叠,业务运行效率较低。

22.企业各部门职责不清,权责不明,相互推诿。

23.企业不能及时获取准确的成本、费用等数据。

24.企业频频遭受意外损失,没有部门和员工对此负责。

25.企业员工对薪酬严重不满,劳资关系紧张。

26.企业的生产经营达不到预期目标,相关决策和制度得不到执行和遵守。

27.企业高级管理层不能及时获知企业生产经营活动的相关信息和数据。

28.企业不能及时获知外部市场的各种数据和信息。

29.企业高级管理层忙于应付企业经营中的各种具体问题和事项。

30.企业负责人对企业的生产、销售和可能获取的利润没有把握。

Copyright ©2011-2013中国民营企业内部控制研究中心 版权所有
地址:浙江省杭州下沙高教园区学正街18号 邮编:310018 联系电话:0571-28000000 网站管理