美英内部控制结构框架的比较与借鉴

虽然健全有效的内部控制被视为解决许多潜在问题的有效方法，但由于目的和需求的不同，人们赋予了“内部控制”不同的含义和目标，导致内部控制理论上的混乱和实务上的偏差。欧美等发达国家内部控制经历了从零散到系统、从分散到统一的过程，现在已经比较成熟，有很多方面值得学习和借鉴。但由于各国依据自己实际的需要，在内部控制上所采取的原则不同，所建立的内部控制结构框架也不尽相同。本文通过对美英两国内部控制结构框架的比较研究，并结合我国目前的现状，提出了我国内部控制的思路。
一、美国企业的内部控制结构框架
美国内部控制的结构框架是在规则性导向下建立的，对内部控制提出了非常具体的要求，并且对如何满足这些要求制定了详细的规定。随着内部控制的不断完善和发展，美国COSO（Committee of Sponsoring Organization of the Treadway Commission）在综合考虑了注册师、管理者、监管者等各方面要求的基础上，制定了内部控制整合框架与风险管理整合框架。
（一）内部控制整合框架。1992年，COSO提出了报告《内部控制—整合框架》，认为“内部控制是由董事会、管理当局和其他职员实施的一个过程，旨在为下列各类目标的实现提供合理保证：经营效果和效率；财务报告的可靠性；遵循适用的和法规”。基于这三个目标，COSO整合了各方面内部控制的要求，使内部控制包括五个相互关联的要素，并与管理流程整合在一起。（1）控制环境。控制环境是内部控制其他部分的基础，它构成了一个组织的氛围，决定了一个组织的基调。控制环境因素包括企业文化、道德价值观、管理者的管理和经营风格等。（2）风险评估。风险评估是发现和分析对达到目标有影响的风险的过程，是确定如何控制和防范风险的基础。每个公司都面临着内部和外部风险，风险评估可以帮助管理层识别和分析对经营效率、财务报告、符合性目标有影响的风险因素，并迅速采取行动。（3）控制活动。控制活动是在风险评估的基础上，对所确认的风险采取必要的措施，以保证组织目标得以实现、管理层的指令得以执行。控制活动存在于整个组织的所有职能部门中。（4）信息和沟通。信息必须以某种形式、在某个时段被相关人员识别、获得和沟通。沟通使组织内成员了解自己的职责，明白自己在内部控制系统中所扮演的角色和应当承担的责任。（5）监督。要使整个控制系统充分发挥作用，必须对整个过程进行监督，并在必要时进行修改。
（二）风险管理整合框架。2004年9月，COSO发布了《企业风险管理——整合框架》。按照COSO的观点，内部控制已经包含在企业的风险管理当中，而且是企业风险管理的一个组成部分。与内部控制整合框架相比，企业风险管理整合框架实现了三个方面的突破：（1）扩展了内部控制的范围，更有力、更广泛地关注与企业风险管理这一更加宽泛的领域；（2）将构成要素由五个扩展为八个：内部环境、目标设定、事项识别、风险评估、风险应对、控制活动、信息与沟通、监督。（3）增加了一个控制目标：战略目标。战略目标在风险管理目标体系中处于最高层，经营目标、报告目标、合法合规目标应当与战略目标协调一致，并为其服务。
二、英国内部控制结构框架
英国内部控制结构框架建立在其特定的内部控制法律框架基础上，以原则导向为基础的，给出了一个很宽泛的内部控制范围，并对公司内部控制的要求非常具有原则性，并未就如何实施内部控制给出具体的规定。英国内部控制的法律框架主要包括：《公司法和普通法》、《公司治理的联合规则》、《上市股票登记规则》、《Turnbull指南》。
（一）在《公司法和普通法》下，董事对公司负有受托责任，在作出决策时，会代表公司的最大利益，并考虑到股东的相关利益，把授予他们的权利用于适当的目的。
（二）在内部控制方面，《联合规则》中的一条原则是：董事会应当维持一套健全的内部控制体系，以保护股东的投资和公司的资产。另有一条规定：董事应当至少每年对内部控制体系的有效性进行一次审查，并向股东报告他们已经这样做了。这项审查应当涵盖所有重要的控制，包括财务、经营和遵从控制以及风险管理系统。
（三）《Turnbull指南》是针对《联合规则》有关内部控制的规定制定的。《Turnbull指南》指出，内部控制的目标是促进经营的效率和效果、有助于确保可靠的内部和外部报告、有助于遵守相关的法律和规章制度。基于这样的目标，内部控制系统包括：控制环境、控制活动、信息和沟通和监督。
三、我国内部控制的现状分析
通过对美英两国内部控制结构框架的比较，可以看出两国的内部控制结构框架存在相同之处，但更多的是不同，特别是所采取的原则上。那么对于我国来说，究竟应该采取哪种框架来建立并完善内部控制框架呢？本文先对我国内部控制的现状进行分析，再来回答这一问题。
（一）我国内部控制尚未形成统一的内部控制框架体系。2001年6月，财政部颁布的《内部控制规范——基本规范》指出了内部会计控制的主要内容和方法；2001年1月，证监会发布的《证券公司内部控制指引》指出，公司内部控制包括内部控制机制和内部控制制度两个方面。2002年12月，证监会发布的《证券投资基金管理公司内部控制指导意见》指出，公司内部控制制度由内部控制大纲、基金管理制度、部门业务规章部分组成，各部分又包括了具体的要素。2004年10月，中注协发布的《独立审计具体准则第29号——了解被审计单位及其环境并评估重大错报风险（征求意见稿）指出，内部控制包括控制环境、被审计单位的风险评估过程、与财务报告相关的信息系统和沟通、控制活动、对控制的监督等要素。从这些有关内部控制的政策制度可以看出：（1）我国的内部控制尚未形成统一的控制结构框架。有的直接针对内部控制的实务操作进行规范；有的采用内部控制要素的形式构建内部控制的整体框架体系，类似于COSO；有的把这两种形式相结合，既描述内部控制框架结构，又描述内部控制实务操作。（2）现行法规从不同的角度对内部控制进行规范，有关内部控制的定义、范围、内容和目标等表述不一致。（3）现有制度规范的原则性较强，可操作性不强，注重内部控制制度的设计，忽略了操作执行。
（二）公司治理结构不完善。目前，由于我国公司治理存在缺陷，董事会很大程度上掌握在内部人手中，没有按国际惯例分设专门委员会，对内部控制至关重要的内外部审计、薪酬激励机制、投融资决策没有专门董事监督，内部人或控股股东集控制权、执行权、和监督权于一身，自觉不自觉地凌驾于内部控制之上，内控制度更多地维系在经理层的觉悟上，而不是建立在制度安排基础上，妨碍了内部控制的有效运行。
（三）缺乏风险意识。在市场环境下，面临多种风险，包括不恰当的行动纲领和规划导致的战略风险，不适宜的经营手段导致的经营风险，不合理的债务导致的财务风险，不相关、不真实信息报告导致的信息风险，环境骤变和政策不明朗导致的环境与法律风险，灾害等人为不可抗拒的因素造成的灾害风险。形成风险的因素既有外部原因，也有企业自身原因。由于企业长期以来受到国家保护，风险意识不强，缺乏风险控制手段和措施。
四、我国企业内部控制的发展思路
（一）应以原则导向为基础、以规则导向为指导构建内部控制框架体系。美国是以规则导向建立的内部控制框架体系，法律对公司的内部控制提出了非常严格的要求，为了满足这些要求，公司要付出很高的成本和费用，许多公司都认为成本超出了收益。在英国内部控制结构框架下，法律法规对公司内部控制的要求都是原则性的，《Turnbull指南》是对如何实施这些原则性要求作出的指导。从我国内部控制的现状来看，更接近于美国的内部控制结构框架。但如果完全采用美国这种以规则为导向的内部控制结构框架，会给企业增加成本，可能导致成本超过收益；如果采用英国的以原则为导向的内部控制结构框架，只制定准则，不制定具体制度，会使操作人员无所适从。所以，我国应该将二者结合起来，以原则为基础，以规则为指导，发挥二者的优点，建立和完善企业的内部控制。
（二）建立统一的内部控制框架体系。我国的内部控制法规基本上是行业性的，主要适用于行业内的企业和组织；有的直接针对内部控制的实务操作进行规范；有的采用内部控制要素的形式构建内部控制的整体框架体系；有的就是把这两种形式向结合，既描述框架结构又描述实务操作。这会导致对内部控制的理解不一致，不能进行有效沟通，不利于我国内部控制的进一步发展。所以，我国需要针对企业的管理层、投资者、注册会计师、监督部门等各方的需要，建立一个适应各方需要的通用的内部控制；提供一个内部控制标准，无论企业的规模大小、性质，都可以参照该标准评估他们的内部控制系统，并确定如何改进。
（三）扩大内部控制的范围。无论是美国还是英国，对内部控制的研究已经远远超出了会计控制的范围，我国的内部控制建设也应当更新理念，打破传统的会计控制观，树立企业内部控制系统观和整体观，从企业与市场的关系以及企业目标实现的角度来定位企业内部控制，界定内部控制的范围，确定内部控制的目标，设计内部控制的内容和结构。
（四）确立董事会在内部控制框架中的核心地位。从我国《公司法》规定的董事会、股东大会、总经理之间的权责划分看，董事会在公司管理中居于核心地位，应该对公司内部控制的建立、完善和有效运行负责。我国公司制企业虽然都按《公司法》的要求设立了董事会，但相当一部分企业的董事会并未发挥应有作用，有的甚至形同虚设。而依据英国的内部控制法律框架，董事会对公司负有受托责任，在对公司重大事件作出决策时，会代表公司的最大利益，考虑到股东的相关利益，把权利用于适当的目的。因此，我国政府应该学习、借鉴英国政府的经验，通过制定更为具体的法规，强化董事会在公司治理中的职能；在颁布有关内部控制制度的指导性规范中，强调董事会在内部控制框架中的核心地位，使董事的责任更加重大，更能为公司、为股东着想。