内控是企业内部的管理，如果管理层缺乏诚信，企业的内控也就失去了基础，内控的有效性就无从谈起了。

　　离上市公司正式执行《基本规范》还有不到一年的时间，中国企业目前的内控现状如何？如何把握内部控制的精髓并通过内部控制降低风险？企业当前的内部控制建设又有哪些值得注意的短板？这些萦绕在业界的话题让人不得不深思。

　　本报记者日前就这些问题专访了德勤华北区企业风险管理服务主管合伙人赵善强。他一针见血地指出，企业内控现状有其内在原因，而其真正能够贯彻落实的前提是企业管理层的诚信。

　　内部控制源于规模需求

　　《中国会计报》：德勤在2007年和2008年连续两年做过上市公司内控调查，您能否谈一下中国企业目前的内控现状如何？

　　赵善强：大企业和小企业面临的内控问题是不一样的。在中国，大部分大型企业是国企，这类企业突出的特点是内部有比较全面的规章制度，但执行力不足。很多国企已经有了一套庞大的制度体系，但制度之间没有足够的衔接，或者缺乏具体的操作指导，导致这些规章制度无法得到有效的执行。每个企业解决这个问题的方法是不同的，有些企业，例如我们曾经提供过内控服务的中国网通，由于自身的发展或是资本市场的监管要求，会下大力气整顿企业的内部控制，完善现有内控机制，甚至重新建立制度体系，并通过加强监控等手段推动内部控制的有效实施。民营企业的规模比较小，规章制度不如大型企业完整，甚至缺乏规章制度，而且企业缺乏充分的资源来推动内部控制的完善和建设，因此他们内控体系的建立会面临更多的困难并需要更长时间。

　　《中国会计报》：为什么一些国企会出现执行力不足的问题？

　　赵善强：一些国企内控执行不力，其中一个重要的原因就是违规成本太小，没有惩罚机制保证制度的实施，或者即使制定了惩罚措施也没有实际执行。比如，公司规定员工出入要关门，那就应该对违规员工进行相应的处理，不一定是严厉的处罚，但起码的提醒或告诫是必要的。只有这样，员工才有“必须关门”的意识，才能更好地执行制度。

　　对于一些国企来说，还有一个影响执行力的问题。很多企业从计划经济体制转型过来，在面对市场经济时会遇到很多问题，管理者往往必须抓大放小，先解决影响面大的问题，当企业的管理水平发展到一定的台阶后再处理细节。

　　一些国企的管理层提到要精细化管理，管理层可能将指标都制定出来了，但却没有细化执行方法，造成具体执行的方法五花八门，这也是导致执行力不令人满意的原因之一。

　　《中国会计报》：与大型国企相比，民营企业为什么在内控方面有着更大的差距？

　　赵善强：不管是民企还是国企，规模影响着内控制度的建立。当企业发展到一定规模，其所有者个人的财力和能力不足以推动企业前进时，由于市场竞争的机制和企业发展的需要，企业必须引入一些投资者参与投资、分红及管理。机制就是这样慢慢建立起来的。

　　有一点我要说明，内控制度并非理论，而是企业在规模扩张过程中，为了更好地运营企业而想出的一些办法。

　　会计制度唱风险控制主角

　　《中国会计报》：现在我国企业的风险意识如何？从内控的角度看，企业应该如何应对潜在的风险？

　　赵善强：如果油价有可能上涨到200美元／桶，有多少企业会开始为这个可能的趋势做准备？这个例子就很能说明企业的风险意识如何。依赖石油进口的企业应该在这个时候考虑寻找替代品、转移生产基地、进行价格转移或节省成本等，以应对将来的风险，但目前能够在这方面提前思考并付诸行动的企业很少。

　　内部控制的功能是在各个风险点上加入保护设置，但重点是管理层要找出关键的风险点，设定目标，良好地执行保护设置，并在需要时调整方向，这就是真正的风险管理。目前国内外能够做到这种水平的企业不多，德勤称这种企业为“风险智能型企业”（TheRiskIn鄄telligentEnterprise）。除了防范风险外，内部控制的另一个重要功能就是补救。有些企业在遭遇意外灾害后不久即可恢复正常运转，原因就是它有一套灾后重建计划。这也是内控很重要的一部分。

　　《中国会计报》：在企业内部控制中，会计制度对风险控制有很重要的作用，如内部审计和监督对企业的影响，请谈一下您的看法。

　　赵善强：对于国内企业来说，内部审计的常见职责是经济责任审计、工程审计等，内控审计还是一个比较新的概念，但它代表着内部审计发展的方向。随着内控的发展，内审应通过内控审计扮演监控的角色，督促企业更好地执行各项规章制度，控制风险。加强内部审计对内控的监督，也是《基本规范》中明确提出的要求。

　　财务报表是企业经营成果的体现，其信息的可靠性至关重要，这也是上市公司的年度报告一定要经过独立的第三方进行审计的主要原因。从另外一个角度来说，编制财务报表过程中的内控是否有效，在很大程度上决定着报表的可靠性，控制着错报的风险。

　　内控的前提是管理层诚信

　　《中国会计报》：前段时间华夏商品现货交易所有限公司法人代表携款潜逃，以前也发生过类似的事情，从内控的角度如何看待这些事件？

　　赵善强：内控是企业内部的管理，企业管理层的诚信是企业内控的重要基础之一。如果管理层缺乏诚信，企业的内控也就失去了基础，内控的有效性就无从谈起了。另外，内部控制对风险的防范和对目标的保证都不是绝对的，并不是包治百病的灵丹妙药。内控制度由公司管理层制定，并依靠人来执行。内控制度设计得再完善，也不能完全改变执行过程中的人为过错，甚至是故意舞弊。

　　《中国会计报》在内控和管理层存在上述关系的情况下，如何来限制管理层违规的发生？

　　赵善强：要设计合理的内控体系，在设计过程中要落实和体现一些大的理念和原则，如风险导向、权力制衡、权责明晰等等；同时仅仅设计好一套内控制度摆在桌面上是远远不够的，公司应当采取措施保证制度的执行，加强对员工诚信、道德、敬业精神等文化教育和建设，在良好的企业文化氛围的基础上，通过考核奖惩的落实来加强内控的执行力度，这样才可能更大程度地发挥内控的作用。

　　《中国会计报》：有人认为实行规范的内部控制可能会降低企业的效率，比内部控制不规范、管理层说了算的企业效率还低，您如何看待这个问题。

　　赵善强：这是一个很片面的看法。在内控体系建设的初期，企业可能会投入一些力量，如抽调人员并投入资金进行内控的完善和建设，但是初期建设内控体系所需要的人力和物力是有限的，而完善后的内控体系将会一直存在于企业中，并发挥无限的作用。根据国外的实践，良好的内控能够帮助企业提高管理效率，保护企业的资产，增加企业的利润，防范风险导致的损失，从而增加企业的价值，提升企业在投资者中的形象，并获得公众的信赖。

　　从“零零散散”到规范运行

　　——青岛啤酒内控建设成效显著

　　从去年开始对自身的内部控制情况进行了全面的自我评价，并开展了系统的风险辨识评估工作，进一步提升了公司的内部控制和风险管理水平。

　　■本报记者杨雪

　　“《基本规范》的发布对中国企业持续健康稳定发展必将产生深远的影响。”青岛啤酒股份有限公司（以下简称青岛啤酒）副总裁兼总会计师孙玉国对中国内控建设的美好未来颇为期待。

　　1993年，青岛啤酒成为国内第一家海外上市公司，在全国19个省市有50多家销售分公司，是世界十大啤酒公司之一。这样一个有着百年历史的酿酒企业，对于企业内部控制的认识也经历了由浅入深的过程。

　　就事论事零星分散

　　“绝大多数企业在内部控制方面，重视财务控制，轻视业务控制，重视货币控制，轻视投资控制”。孙玉国认为中国企业内部控制目前的状况是，相当一部分企业领导对内部控制没有引起足够的认识，对内部控制的建设和认识仅仅停留在“就事论事、零星分散”的一个状态，不能形成一个完整的管理体系。

　　在过去很长一段时间里，青岛啤酒没有预算，没有年度的经营目标，没有费用的控制。意识到问题的严重性之后，青岛啤酒开始建立经营预算，提出年度目标，进行费用控制。1998年，青岛啤酒的销售收入达到15亿元，但应收账款就达5亿元，给财务造成很大压力。痛定思痛，青岛啤酒出台规定，任何人任何单位都不准对外赊销……

　　“总之就是发生了什么问题就去解决什么问题，没有形成一个体系。”孙玉国坦言，那个时候对于企业内控的意识还有些薄弱，虽然很被动，但是大家都感觉到了它的重要性，一直在陆陆续续地对它进行完善。

　　系统经验制度为王

　　每当提到青岛啤酒的内控，孙玉国总是很谦虚，“从去年开始，青岛啤酒对内控进行了一些梳理，形成了一些系统性的东西，也可说是一些初步的、尝试性、稍微有点系统性的经验。”

　　借鉴美国COSO报告提出的内部控制整合框架，青岛啤酒在内部控制环境方面，首要考虑的是诚信。为了将诚信的企业文化渗透到每个青岛啤酒人的心中，公司除了通过一些内部报刊、杂志、网络进行传播外，还通过制度来促进诚信或者道德观的实施。

　　几年来，青岛啤酒相继建立和完善了200余项内部管理制度，190余项操作流程，各个部门均建立了相应的控制制度和管理流程，内部管理制度涵盖了生产经营的各个方面，较好地保证了控制目标的实现。

　　“但公司仍然缺乏一个系统的框架来梳理、评价和完善这些内控制度。”孙玉国说，从2006年起，青岛啤酒开始认真研究如何进一步完善公司的内控制度和体系问题，并着手于三方面：建立内部控制框架；对公司的内部控制进行系统评估；建立内控合规工作机制，保证内控工作长效运转。孙玉国认为，确立内部控制框架是开展内控工作的前提，青岛啤酒内部控制框架充分考虑了COSO(I)、COSO(II)的要素要求，并涵盖公司治理以及风险管理对企业管理变革的要求，具有一定的扩展性和延展性；对COSO框架内的要素进行提炼和重新分类，使之更为贴近业务流程的实际运行，并可以应用于一般企业的业务流程。

　　成熟的法人治理结构

　　熟悉青岛啤酒的人都知道，青岛啤酒有着非常健全的法人治理结构。

　　2008年初，中国股市由牛转熊，绝大多数上市公司的股票遭到市场的抛弃。在这种情况下，青岛啤酒却决定在4月发行15亿元分离交易可转债。出乎意料的是，这次市场认购非常踊跃，申购金额超过4000亿，中签率仅为0.3%。

　　孙玉国认为，这得益于青岛啤酒依法依规建立的健全的法人治理结构。从1993年上市起，青岛啤酒就依法依规设立股东大会、董事会、监事会和经理层。公司现届董事会由11名董事组成，其中，外部董事有6名，分别由公司第二大股东美国安海斯-布希公司(AB公司)提名的非执行董事和来自内地、香港的法律、金融、财务等领域的专家和学者组成，合理的董事结构保证了公司董事会专业、科学的决策。

　　在人员设置上，青岛啤酒按照欧洲、美国的一些治理结构模型，将董事长、总裁和监事会主席分设，从而实现相互独立、相互制约、权责分明的规范化运作。青岛啤酒原董事长李桂荣有句精辟的名言是，法人治理结构，关键是要理清和解决三个层次间的实质问题：即董事会决定干什么，经营层决定怎么干，监事会决定什么不能干。十几年来，青岛啤酒的治理与发展，恰恰显示出三者协调的力量。

　　加强内控持之以恒

　　2007年，青岛啤酒聘请内部控制专业咨询机构，并开展了系统和全面的风险辨识评估工作，进一步提升了公司的内部控制和风险管理水平。

　　“为确保公司经营管理及内部控制系统的有效性，我们在原有审计部的基础上成立了内控部，并直接向董事会负责。”孙玉国说，不同于以前审计部主要从事财务会计方面的事务，内控部作为风险控制的一个专设部，将从大的风险控制体系以及公司整体运行规则上入手，负责经济责任审计、管理审计和内部控制工作，向董事会负责。

　　“董事会高度重视内部控制工作。”孙玉国告诉记者，青岛啤酒目前已经确立了内部控制持续规范运行的保障机制，今后，他们将把这项工作纳入年度工作计划，持续有力地开展下去。

　　中国石化构建特色“家规家法”

　　■本报记者汪靖中

　　内控制度堪称中国石化的“内部管理法典”。

　　2002年7月，美国颁布了《萨班斯—奥克斯利法案》，对在美国上市的公司内部控制及其披露出台规定。随之，我国财政部、证监会、上海证券交易所、香港联交所对上市公司加强内部控制也有所规范。作为在香港、纽约、伦敦、上海四地上市的股份制企业，中国石油化工股份有限公司（以下简称中国石化）面对上市地内控监管要求和内部管理需要，着力构建了一套独具特色的内控体系。

　　构建两级内控制度体系

　　中国石化高级副总裁兼财务总监戴厚良指出，随着全球化趋势的不断发展，企业正处于改革和发展的关键时期，面临的内外风险因素增多，需要探索改进内部管理的有效途径和方法，保障企业顺利改革和健康发展。公司管理层认为，建立和有效实施内控制度，既是遵循境内外有关监管法律法规、保证披露的财务报告真实性的要求，更是企业自身防范风险、保障资产安全、规范管理行为、完善公司治理的内在需要，无论从内外两方面分析，都必须建立完善内部监控体系。

　　为应对不同的市场环境和法律环境，公司决定借鉴美国COSO报告提出的内部控制整合框架，在对公司经营目标和财务报告等目标有重大影响的关键环节进行全面风险评估的前提下，制定了统一的《内控手册》。各分（子）公司根据内控手册规定的适用流程，结合本单位各项风险评估结果，补充制定相应的《实施细则》。《内控手册》、《实施细则》以及相关的规章制度共同构成了中国石化两级内部控制制度体系。经过测试、培训和一年多的试运行，内控制度于2005年1月1日起在公司正式实施，这比《萨班斯—奥克斯利法案》要求的生效时间提前1年零8个月。此后，通过三年的实施和每年的定期修订，内控范围逐步扩大，《内控手册》不断完善，逐步形成了具有自身特色的、比较完整的“家规家法”。

　　“重拳”推进内控体系建设

　　近些年来，中国石化不断完善自身的内控制度体系，内控工作由认识内控、认同内控到对标内控，稳步深入推进。公司在治散治乱、规范经营管理，落实各级管理责任、改善公司治理，特别是管理理念方面发生了较为深刻的变化。在构建内控制度体系上，主要做法有三点：

　　——持续完善《内控手册》。中国石化的内控建设尽管起源于遵循美国《萨班斯—奥克斯利法案》，但公司赋予内部控制更丰富的内涵，要求对外符合监管要求，对内推行制度化管理。2003年初，公司内控领导小组经过认真研究决定，以公司章程和各项规章制度为基础，借鉴国际通行的COSO内控框架，编制《内控手册》。几年来，内控办公室紧跟外部监管和内部管理变化，结合执行中发现的问题和建议，每年组织总部各部门共同修订手册，甄别关键控制点，充分运用ERP控制，充实内部控制要素内容。

　　——及时更新与丰富《实施细则》。在遵循《内控手册》统一的框架结构和要求下，分（子）公司按照“更严、更细、更具体”的原则，每年更新《实施细则》，以提高内控制度的实用性。例如，胜利油田在《内控手册》规定之外，结合管理需要，增加工农关系费管理、技术服务费管理等多个业务流程；上海高桥分公司结合自身实际，再造内控流程和权限指引，编制《业务审批手册》，并形成以《职责划分手册》、《工作程序、业务流程手册》和《规章制度手册》为主体的内控“三项制度”体系；山东泰山石油股份有限公司根据内控要求，规范了所有经营管理文档，形成《内部控制标准要件》。

　　——搭建以内控制度为核心的制度化管理体系。过去，中国石化一直依靠各管理部门、各企业制定专业管理制度和文件进行管理和协调，难免受到条块分割的困扰。内控制度以保证财务报告为出发点，超越传统的财务工作范畴，打破内部上中下游和专业部门的管理界限，强调全员、全方位和全过程管理，体现企业管理理念的变革，使各项规章制度成为一个有机的整体，以此进一步保障管理制度的落实，进而实现总体经营目标。新的管理体制，体现了内部控制与经营管理目标一致并为其服务的内在本质。为与《内控手册》保持一致，从编制手册之初，总部就组织力量清理股份公司级的各项管理制度161项，修订70项并废止9项。每年更新手册和细则时，总部和企业都梳理、修订或补充相关管理制度，促进了各项管理制度的协调与完善。

　　目前，中国石化正在进行更大范围的规范性文件清理，总部与各企业致力于建立内控制度与内部管理制度的协调机制，赋予专门部门从源头审核把关的职责。2008版《内控手册》已对175项公司级规范性文件、35项国家法规建立索引，各企业《实施细则》也列入相关的内部管理制度和管理标准。有的企业还对照内控制度，对QHSE、ISO、三基、管理一体化、ERP等体系不断进行调整、丰富和完善，探索各类管理体系之间的有机融合。

　　中国石化内控管理处处长方春生认为，《内控手册》、《实施细则》和相关规章制度等构成的内控制度体系，适应了企业新形势下的综合管理需要，在中国石化体制和机制转换过程中，对提高一级法人管理集中度和有效整合各种资源，正在发挥着积极而有效的作用，促进了整体决策、控制能力的提高。他强调，内控制度堪称中国石化的“内部管理法典”，是规范企业管理的“重手拳”，是促进管理层和机构整合的“助推剂”，是防范经营和财务风险的“防险墙”，是企业实现整体经营目标的“保护伞”。

　　中国神华践行风险管控

　　■本报记者汪靖中高红海

　　围绕内控体系建设中发生的9项重大风险，重点在组织改进、防范资金管理风险、构建煤炭本质安全长效机制、建立电力管控体系四个方面做了一些探索。

　　中国神华能源股份有限公司（以下简称中国神华）是目前国内最大、世界第二的煤炭生产商和销售商，也是国内较早建立内控体系的上市公司之一。就内控体系建设问题，记者采访了公司内控审计部总经理李国忠。

　　《中国会计报》：作为香港、上海两地上市公司，中国神华的内控建设方案是怎样形成的？

　　李国忠：中国神华2005年6月在香港上市，2007年10月回归A股。作为两地上市公司，集团党组和公司高管对内控体系建设高度重视，把内控体系建设作为公司管理创新的一项重要任务，使内控体系建设与公司发展战略紧紧联系在一起，对内控体系建设始终给予了大力支持。神华的内控组织架构与整体治理架构一致，为推进内控体系建设，公司将审计部调整为内控审计部，专职内部控制、风险管理和内部审计工作。

　　2005年初，我们组织专门力量深入学习和研究了国际国内最新的内控理论和最佳的实务操作，并与国际国内20多个一流的中介咨询机构进行接触，结合我们的发展和战略，摸清了美国、中国大陆和香港地区在内控监管方面的不同要求，立足于公司所处的基本环境，确定了内控的切入点、基本原则和基本思路，形成了一套内控建设方案。

　　《中国会计报》：中国神华的内控体系中，最大的特色是什么？

　　李国忠：我们在构建内控体系的过程中，坚持以风险管理为导向，以风险辨识和风险评估为切入点，构建具有自己特色的内控体系。中国神华的内部控制建设首先是从现状诊断和风险评估入手的。项目组利用2个多月时间，通过访谈、发放调查问卷、组织研讨、向高管层专题汇报、审阅公司所有重要的管理制度和流程等形式，对内部控制现状进行了系统的评估和诊断。一方面通过采用定性和定量相结合的方法，进行风险排序和初始风险评估，并通过具体分析，初步确定了公司面临的22项主要风险和9项重大风险；另一方面将公司内控各个要素与国际国内最先进的标准进行对照，确定了内控环境、目标设定等内控要素所处的现状以及存在的主要差距。通过对风险点的分析和管控，保障了公司经营目标的实现。

　　近年来，我们围绕在内控体系建设中发生的9项重大风险，重点在组织改进、防范资金管理风险、构建煤炭本质安全长效机制、建立电力管控体系四个方面做了一些探索。在组织改进方面，我们成立了制度化推进办公室，构建了战略性财务管理体系；在防范资金管理风险方面，我们构建了资金集中管理体系；在构建煤炭本质安全长效机制方面，我们建立了涵盖内控各个要素的变化系统，实现了煤炭开采的长中期安全；在构建电力管控体系方面，我们创造性地推行了全员管控和全面管控。

　　《中国会计报》：公司在内控建设方面，还有哪些独具一格的做法？

　　李国忠：在构建内控体系过程中，我们遇到的最大问题是，如何将国际最先进的内控理论和最佳实践与中国国内的监管环境和我们公司的企业实际情况结合起来。简单地套用COSO框架理论容易，但是与公司实际结合起来就很难。作为企业来说，建立一个与企业实际情况相符的、既满足监管要求又符合实际的内控体系，是一个难点。我们参照美国、英国、香港和内地的相关规定，结合自身实际，创造性地构建了自己的内控体系构架。在编制《内部控制手册》过程中，我们基于对中外文化的深入研究，没有简单地照搬COSO框架，而是立足于公司的实际，创造性地构建了以责任为主线、以风险管理为导向的内部控制框架。例如，萨班斯框架的内控要素有八个，我们将其揉合成七个，这便是我们的独创。

　　在规章制度方面，一般公司只有《内部控制手册》，内控自我评价是其中的一个章节。中国神华除了有《内部控制手册》，还编制了《自我评估手册》，初步搭建了有中国神华特色的内部控制基础平台和持续改进机制。如果自我评价不健全，那内控就是空的、虚的，达不到持续改进的目的。只有通过内控自我评价，才能判断其是否达到了应有的效能，并及时发现内控中存在的问题，达到自我完善的目标。

　　《中国会计报》：公司未来在加强内控建设方面，有什么规划？

　　李国忠：公司将内控体系建设划分为基础设施建设、内控促进管理、内控融入管理三个阶段，并确定了各个阶段的主要任务和目标。在内控基础建设阶段的主要目标就是建立内控体系的基本框架，在内控促进管理阶段的主要目标就是提升风险管理能力，在内控融入管理阶段的主要目标就是建立与管理融为一体的能够自我更新的内控体系。通过以上环节，我们初步建立了中国神华内部控制体系的基本框架，其主要内容可以概括为“三个一”，即一个基础、一个平台、一个机制。一个基础是指内控的组织架构基础，一个平台是指内控体系的框架基础平台，一个机制是指自我检查、自我改进的持续改进机制。

　　我们深深地感受到，内控体系建设是一项极其复杂的系统工程，不可能一蹴而就，它需要我们不断深化创新、持续改进。不久前五部委联合发布的《基本规范》，必将对提升公司的管理水平和风险控制能力起到十分重要的推动作用。公司将积极开展培训，大力培育全员内控理念和风险意识，对照基本规范修订完善两个守则，切实将基本规范贯彻到公司的日常管理当中，将基本规范的具体要求纳入到年终内控评价里面，使内控融入管理、促进管理、提升公司价值的作用能够真正落到实处。