中介机构提供内控服务的思考
来源：岁月联盟
时间：2010-06-25
【关键词】 中介机构；内部控制；鉴证服务
在全球化背景下，越来越多的国家已经意识到，强化企业内部控制系统将有助于防止和管理风险、提高企业运营的效率和效果、确保财务报告的可靠性、提高企业实现战略目标的能力并维护投资者的合法权益。近年来，我国内部控制规范的逐步完善为企业的内控建设提供了制度基础，也为中介机构提供内控鉴证服务提供了依据。而中介机构如何在该制度框架内提供有效的内控服务，如何帮助企业实现价值提升，如何保证鉴证的效力都是值得思考的重要问题。
一、我国内控规范的发展与内控市场的现状
（一）我国内控规范的发展
我国推行企业内部控制制度始于20世纪90年代后期，关于内部控制的定义和内容也几经演变，有关规定见诸于若干法规文件。但是直到2008年6月28日《企业内部控制基本规范》发布以前，一直未提出类似COSO报告那样受到广泛认可的内部控制标准体系。
《独立审计准则第9号——内部控制和审计风险》（1996年12月）最早提出内部控制的定义和内容（即控制环境、系统和控制程序），但它是从财务报告审计的角度看待企业内部控制，对企业内部控制内容的界定仍停留在美国的“内部控制结构”阶段（20世纪80年代末到90年代初）。2000年，全国人大修订通过的《会计法》第一次从法律高度要求各单位都应建立健全本单位的内部会计监督制度，并提出职权分离、相互制约、财产清查、内部审计等方面的要求。但《会计法》毕竟不是专门针对内部控制的法律，它既没提出内部控制概念，也无法指导内部控制实务。
2001年6月，财政部颁布了《内部会计控制规范——基本规范（试行）》，作为《会计法》的配套法规，将内部控制定位于内部会计控制，兼顾与会计相关的控制。该规范有利于企业落实执行，但还需进一步与迅速发展的公司治理和风险导向审计理论与实践相配套。
2006年，我国新的“中国注册会计师审计准则”提出基于COSO框架的评价方法，从被审计单位的控制环境、风险评估过程、信息系统和沟通、控制活动、对控制活动的监督几个方面刻画内部控制系统。该准则的正式发布，在与国际上内部控制接轨方面大大迈进了一步。但该准则只是从审计的角度出发的，无法作为指导企业设计和执行内部控制的直接依据。
近两年，我国在内部控制规范建设过程中不断吸收美国成果，并在适应我国企业现实发展的过程中摸索前进，先后发布了一些内部控制规范：2005年11月，国务院《关于提高上市公司质量的意见》中明确提出建立健全公司内部控制制度；2006年6月，国资委颁布《中央企业全面风险管理指引》；同年，上交所颁布《上海证券交易所上市公司内部控制指引》，深交所颁布《深圳证券交易所上市公司内部控制指引》；2007年12月，财政部颁布内部控制规范（征求意见稿）；2008年6月已推出的《企业内部控制基本规范》，则是“中国政府在正确的时间、正确的方向上，为促进中国经济发展走出的正确一步”。但与美国要求对财务报告的公允表达不同，中国的内部控制规范更强调对资产的保全。因为中国的上市公司、非上市公司都存在着严重的资产流失的状况。
（二）中国企业内控面临的挑战
随着经济的发展和制度的逐步完善，中国企业既面临难得的发展机遇，也面临前所未有的挑战：1.外部法规日趋严格。表现为新《公司法》，新《证券法》，新税法的陆续颁布；2.证券市场日趋规范；3.关系营销日益淡化，《反不正当竞争法》、反商业贿赂使得关系营销越来越行不通了；4.公司内部成本不断提高，表现为新劳动法规定的对劳动者权利的保护、原料价格的上涨、汇率升值导致的出口成本的增加。因此，对中国的企业来说，不可能再像以前一样粗放型管理，一定要强调高效、安全地运作，内控也变成重中之重。
但几年来的实践证明，中国企业的内部控制具有一些共性问题，尚待完善：1.就是所谓的一支笔、一言堂，中国企业没有真正建立与实施有效的授权审批；2.缺乏内部监督，企业内部审计方面做得不好，表现为未能清晰、准确地定位内部审计的目标与职能；3.内控意识薄弱。很多中国企业的管理层和员工都认为不出问题就意味着没有企业风险，企业就是安全的。国有企业的治理层与管理层缺乏内控意识，或者是有制度但执行不力。很多民营企业由于其从小型的家族制企业演变而来，治理层与管理层合为一体，在内控方面没有必要的职责分离，经常是一人身兼多职，且制度残缺，属于出一个窟窿打一个补丁型。民营企业中无论是上市公司、拟上市公司还是非上市公司，其内控体制大都形同虚设，信息披露问题较突出，对内控有错误理解。
完善的内控体系能控制风险、消除弊端、保证信息质量、提高效率，是改进现有管理水平的手段，有助于企业发展目标的实现，最终实现企业的价值创造。因此，无论国企还是民营企业，无论上市公司还是非上市公司，在现阶段的首要任务就是构建完善的内部控制体系。
二、本土中介机构提供内控服务的优势
（一）本土中介服务机构的优势
在为众多企业实施审计的业务中，立信会计师事务所有限公司（下文简称“立信”）接触了很多不同类型的企业，也给他们提供了各种不同的内控服务，在这个过程中，我国本土的中介服务公司更了解中国转型经济下的内控环境，切身经历了中国资本市场发展的全过程，了解市场投资者对企业内控的要求。而且，通过几十年间与客户的相互交流，更了解国有企业从计划安排转为适应市场变化的痛苦转变；了解民营企业由小变大的发展过程；了解上市公司在对企业内部控制重要性认识与实施有效内部控制行为上从不规范到规范的转变路径。在不断拓展业务的同时，我国本土的中介服务公司也正不断感受和亲历内控环境的变化，从早期的学术研究和讨论，到后来各部门机构的内控指引，再到财政部的征求意见稿，以及现在正式出台的内控规范。这一切都说明了中国内控市场的发展和不断完善。而伴随国内企业的转型与成长的经历也决定了我国本土的中介服务公司更为熟悉和了解中国转型经济下的内控环境。
（二）立信的核心竞争力
立信会计师事务所有限公司（以下简称立信）在内控服务业有四方面的核心竞争力：人才高地、理论前沿、实务经验和专利技术。
对于服务行业中的咨询业务来说，最重要的是人力资源。立信非常重视对人才的引进，自2006年始即与复旦大学研究内部控制的专家合作，实践了多项内控方面的咨询业务，并于2008年正式成立了专注于内部控制与风险管理的“立信锐思信息管理有限公司”。该公司整合了立信的高端品牌优势、稳定的客户群、经验丰富的财务审计专家和内控研究的专家团队，其团队具备高层次的专业背景以及市场导向性的快速研发能力，成为一个开放的内部控制与风险管理的平台。
基于立信的强势品牌与专业背景，立信对内控的研究并不停留于实务的层面，更注入了专家的思考和理论指导。通过本所专家咨询委员会的形式充分吸收国内外监管层及专家学者的宝贵意见，以不断提升我们对外部需求的理解。我们针对国有企业资产流失问题、上市公司内部控制特殊问题等进行专题研究，撰写了深度研究报告，为企业的内控实施和监管机构的决策制定提供了良好的支持。
除了专业的专家团队和理论上的不断研究提升之外，我们还拥有自己的核心技术，即复旦的专家团队历时两年、于2006年研发完成的高科技内控测评软件——“复道守护者”［国家重点基金项目］（70632002），［国家科技部认可并资助（2007年度）］。此软件专门用于对公司内控状况的测评。这一系统的作用在于可依据其评估结论确定审计人员需要重点测试的业务循环范围，也可以对诊断的内部控制后提出管理建议书提供相关的依据。
在提供内控服务过程中，我们深知：企业的内控问题千差万别，要提供有效的内控服务，必须将企业的共性问题和个性差异相结合。国有企业强调资产保值、增值，立信可以提供内控评级、风险点测评，并通过培训和研究报告等各种形式着力完善其对内控制度的贯彻执行。民营企业需要建立有效的、适用的内控制度，立信可提供培训，让其理解什么是内控，并提供内控设计、培训、测评方面的服务，帮助民营企业建立完善的内控体系。这不仅有助于降低企业的风险，还有助于将民企老总从许多冗繁的业务、不必要的审批中解放出来，更多地思考公司未来的方向和战略决策。再如，银行业目前存在着严重的信贷风险，经常出现巨额坏账，这不得不归因于银行信贷部往往只考核企业的财务报表和关注企业的风险的做法。但是许多问题和漏洞往往是难以从企业的财务报表中发现的，如安然事件中的定时炸弹SPE（特殊目的实体）就被安然通过各种手段屏蔽于合并财务报表之外，导致外部投资者并不了解安然存在的巨额负债。所以，考核银行的内控和风险更有意义。显然，保险业也是如此。对IPO公司，内控服务的重点是对企业提供能够有所帮助的鉴证报告。而对于事务所，立信在2007年为中注协做了一个事务所内部治理评价体系，包括理论分析和指标设定，这个评价体系得到了中注协的认可。
（三）立信提供内控服务的特色
立信将内控服务定位于企业内控建设的保健医生。鉴于中国企业的内控较薄弱，个别企业连起码的制度也没有，更不要说是内控了，立信不只是向企业提供内控制度，而是提供一系列的内控服务：软件方面，提供企业内控自测软件；咨询方面，查找企业的潜在风险，提供有效解决方案；提供风险管理和内部控制的全面培训；风险测评方面，提供最具权威的风险评估报告；研究报告方面，包括政策解读、案例分析。内控的具体实施则通过测评诊断、制度建立、辅导实施、回访，与客户建立长期的合作关系。
因此，立信为中国企业量身定做的内控方案更为合理。立信为企业所做的内控方案或是大刀阔斧的推倒重来，或是在原有基础上的存精去粕；重视内控建设的循序渐进和持久性；重视内控建设的长期跟踪，不断根据企业最新的状况做出调整，真正有助于中国企业在内控建设方面的成长。
三、各方共同努力推进内控建设
中国的内控事业建设是一个长期的过程，在相关内部控制规范颁布后，仍需要各方的长期努力，需要监管部门的强力监管、管理层自身的高度重视以及中介机构的有效服务。
（一）企业要重视建立有效的内控机制
在立信实施内部控制审核与咨询服务的过程中，许多企业表现出对内部控制重要性与必要性的认识存在不足。笔者认为，企业内部控制体系建设与规范运作是一个长期的过程，不是某一阶段达到一定标准后就一劳永逸了。一方面，企业经营业务的发展、企业组织架构的调整、企业并购等事项经常发生，使内部控制体系需要不断的调整，由此可能产生控制缺失；另一方面，当企业经营业务中发生偶发事件时，管理层与员工可能为了及时处理而跳过必要的控制程序等。要解决这些问题，就需要企业建立有效的内部控制体系；员工（包括管理层）严格执行内部控制制度的主观意识也是需要长期培育的，所以执行新颁布的《企业内部控制基本规范》是一个长期的任务。这与中介机构鉴证业务风险控制密切相关。
在以往国内资本市场中，虽有统一的企业内部控制规范，但其执行情况不容乐观。造成目前国有企业内部控制执行力不够、民营企业的内部控制体系建设不完善的基本原因是：治理层与管理层对 “规则导向”的认识普遍比较薄弱。这种认识在短时期内很难有较大的改观。一些企业的内部控制失效甚至出现了舞弊案件，损害了投资者利益，造成了恶劣的社会影响。
企业内部控制体系的建设与规范运作依赖于企业治理层的主观认识。在所有权与经营权分离的情况下，企业内部控制的建设与规范运作是治理层的首要任务。
只有治理层高度重视内部控制制度的建设与规范运行，才能约束管理层的经营行为，才能降低经营风险、保证投资者投入的资产得到保全与增值。企业管理层应当充分认识其权力边界，即管理层的任何经营行为都必须受到内部控制制度的约束，必须对治理层负责而不是可以自行其是。企业要重视内控，改进企业治理结构，建立有效的内控机制。
（二）监管层要加强监管内控标准的实施
近年来，在境内外上市的中国企业陆续建立并实施了各具特色的内控制度，但由于缺乏规范企业全面风险控制体系或内部控制体系的基本制度，存在内控监管要求政出多门、企业无所适从的状况。
这次发布的《企业内部控制基本规范》具有强制执行力和内控实务的示范作用，既对中国企业建立全面的内控制度提出了强制性要求，又为千差万别的中国企业建立与健全内控制度提供了基本框架；既吸收了内控的国际先进理念，又充分体现了中国内部控制的现实环境要求。这一规范的出台，是中国企业按国际化标准严格自律的宣言书，更是中国企业参与国际竞争，逐步接受并自觉遵循市场游戏规则，不断完善企业制度、细化管理的内在要求。难能可贵的是，“基本规范”中的5要素框架并未照抄照搬国外的框架，而是根据我国的实际情况作了较大调整，使国外提出的较为宏观、抽象的内控理念转变为具有针对性、实用性的内控规定。同时，《企业内部控制基本规范》是中国企业全面提高其内部控制的基础，对今后企业全面的内部控制建设具有重要且深远的影响。要真正落实到企业内部控制的实际需求中，还需要监管层加强监管，促进企业提高内部控制水平。这不仅为中介机构实施内控服务和控制业务风险提供了执业依据，也营造了有利的外部环境。
（三）中介机构要提供合规有效的内控服务
财政部颁布的《企业内部控制基本规范》等制度规定了企业内部控制建设的框架与原则，企业在实施过程中会因企业规模、控制成本等原因，在必要的岗位设置、授权与责任、人员配备等方面与制度规定产生差异，形成控制程序设计不对；也可能存在企业内部控制程序的规定符合要求，但实际未按照内部控制程序执行，可能形成实质上未能做到不相容职务相分离、控制程序形同虚设等情况。中介机构在执行内部控制鉴证业务时，要做出符合《企业内部控制基本规范》的职业判断，必须充分了解企业实际经营业务与管理模式的复杂性，依据企业实际内部控制文件确定的控制程序及实际执行情况是否违反了控制程序而做出正确的职业判断，发表合适的审核意见，对社会负责。
笔者相信，通过企业、监管层和中介机构的三方合力，必能真正提升中国企业的内控水平，从而提高企业的持续经营能力，提升企业的价值；为资本市场的进一步发展提供坚实的基础；有效地保障投资者的利益。●
【主要】
[1] 财政部，证监会，审计署，银监会， 保监会．企业内部控制基本规范．财政部会计准则委员会网站http://www.casc.gov.cn/. 2008-6.
[2] Committee of Sponsoring Organizations （COSO）, Internal Control — Integrated Framework, Issued in 1992, http://www.coso.org/.
