近年來，我國上市公司根據國家財政部、證監會等五部委的《企業內部控制基本規范》要求如火如荼地開展內部控制建設。其實，許多國家和地區對上市公司內部控制都有相關的規定和要求，我國企業內部控制規范體系在充分借鑒國際上現金經驗和做法的同時，更多地適應了我國國情，尤其是充分考慮了我國目前法律體系、公司治理結構、企業管理體制、風險管控實務等具體情況，提出了內部控制的目標、原則、要素等，且不局限于財務報告內部控制，更多突出全面內部控制的要求。因此，上市公司應當對照我國企業內部控制規范體系，特別是應當圍繞《企業內部控制基本規范》提出的內部控制五個目標，對相關控制措施進行適當的調整或補充完善。筆者將從以下幾個方面論述如何建設、實施好內部控制工作。
一、全面認識企業內部內控實施背景
2001年，“銀廣廈”事件和“安然”事件發生后，財政部提出了在新形勢下加強單位內部會計監督的要求，逐步發布了一系列的《內部會計控制規范》，由此開始了我國企業內控建設的大發展，其后數年間，國資委、人民銀行、證監會、銀監會、中注協、證券交易所等單位紛紛出臺與內部控制有關的文件。
2006年7月，財政部發起成立企業內部控制標準委員會，主持內部控制規范起草。2008年6月，財政部、證監會、審計署、銀監會、保監會五部委聯合發布了《企業內部控制基本規范》，以及《企業內部控制評價指引》、《企業內部控制應用指引》和中注協主持起草的《企業內部控制鑒證指引》等配套規范的征求意見稿。
2010年4月，財政部、證監會、審計署、銀監會、保監會五部委聯合發布了《企業內部控制應用指引》、《企業內部控制評價指引》、《企業內部控制審計指引》，與之前發布的《企業內部控制基本規范》一同構成了中國企業內部控制規范體系，對國內企業內部控制建設起到了指導性作用。
現行內部控制規范體系是財政部等五部委在吸收COSO內部控制整體框架的基礎上，制定出了符合中國企業經營管理狀況的內控規范體系。按照現行規范，內控是通過在企業內部貫徹內部環境、風險評估、控制活動、信息溝通、內部監督五要素實現合理保證企業經營管理合法合規、資產安全、財務報告及相關信息真實完整、提高經營效率和效果、促進企業實現發展戰略五大目標。
五部委在構建完成前述內部控制規范體系時也公布了實施時間表：2011年1月，首先在境內外同時上市的公司實施；2012年1月，擴展到在上海證券交易所和深圳證券交易所主板上市的公司實施；擇機在中小企業板和創業板實施；鼓勵非上市大中型企業提前執行。
2012年5月，國資委發布《關于加快構建中央企業內部控制體系有關事項的通知》，要求中央企業用兩年時間，按照《企業內部控制基本規范》和配套指引的要求，建立規范、完善的內部控制體系。
二、如何建設上市公司內部控制
上市公司應該充分認識到加強內部控制對提升管理水平有重要意義，也是未來一段時間的上市公司監管重點，上市公司實施內部控制具有很強的緊迫性。
鑒于多數上市公司對內控理論體系不夠全面了解及缺乏實務操作經驗，建議聘請專業咨詢機構作為內控建設工作的顧問。對中介機構的選擇要多家比較，最好讓中介機構到現場為公司中、高級管理人員及關鍵崗位員工進行培訓，傳遞關于內部控制的知識。通過培訓，使公司員工對內部控制有了初步的認識，公司也對各咨詢機構有了進一步的了解，這有利于選擇合適的中介機構。
為保障內部控制體系建設工作的順利實施，上市公司應成立內控建設領導小組和內控建設工作小組。內控建設領導小組由公司董事長任組長，總經理和一名副總經理任副組長，成員要包括公司全體高級管理人員和各職能部門、分子公司負責人。內控領導小組要負責公司內部控制體系建設工作目標和方針制定、相關資源的組織協調及公司員工思想工作。內控建設工作小組是具體辦事機構，負責內部控制體系建設的具體工作及內控體系檢查落實工作，建議由上述的副總經理擔任組長，由對口職能部門負責人任副組長，成員要包括各分子公司和職能部門骨干，要指派若干專職人員協助咨詢機構開展工作。
上市公司建設內控體系的第一步是識別風險及現有管控措施，根據基本規范及配套指引要求逐一對標，識別是否存在相應風險。內控建設項目組對相關部門負責人及相關崗位人員進行問卷調查和訪談，按風險庫逐項識別風險是否適用，記錄適用風險的現有內控措施。第二步是評估管控能力。上市公司應從響應速度、控制與整改、監測與報告、過往錯誤、員工能力和外部資源、流程與制度、信息系統七個方面評估現有管控措施應對具體風險的能力。第三步是評估剩余風險。上市公司應從財務影響、聲譽影響、法律規章、客戶影響、員工影響、運營影響、發作速度七個方面評價風險影響力，對風險發生的可能性做出評估。第四步是整改。上市公司內控項目組根據現有管控能力和剩余風險評估情況，參考《企業內部控制應用指引》并結合公司實際情況，針對剩余風險評估值較大的管控措施提出整改建議，公司管理層確認后予以實施。第五步是編寫內控手冊。上市公司通過將現有內部控制與《企業內部控制應用指引》要求對標，識別內控制度缺失，健全內控制度體系，并在此基礎上匯總編制內部控制手冊。除匯總內控制度外，內控手冊還明確記錄了審批權限、不相容職務和內控測試程序。在內控手冊中，針對高固有風險采取更為嚴格、頻繁的預防性、檢查性、糾正性和補償性控制措施。
三、上市公司如何應用內部控制
為營造適宜內部控制的內部環境，上市公司應明確董事會負責領導內部控制體系的建立健全和有效實施，對內部控制的重大事項做出決策，督促管理層建立和實施內部控制。董事會審計委員會負責審查企業內部控制，監督內部控制的有效實施和自我評價情況，協調內部控制審計及其他相關事宜。經理層負責公司內部控制體系的建立健全和有效運行。監事會對公司內部控制情況進行監督檢查。
為加強內部監督，上市公司還應對組織結構進行了調整，要明確對口管理的職能部門由董事會審計委員會直接領導，負責對內控有效性進行監督檢查。
此外，為實現內控工作常態化，保障內控體系不斷完善、內控工作持續推進，上市公司需要成立常設的內控管理委員會作為公司內控工作的領導、協調機構，建議公司董事長任主任委員，副主任委員由副總經理職務以上人員擔任，成員要包括公司高級管理人員和各職能部門、分子公司負責人。
上市公司要通過采取各種控制措施，調整管理結構，健全內控制度，有效地建立健全并落實各種控制活動。具體而言，公司通過授權等有效實施審批、核準控制；通過盤點、編制調節表等方式落實日常檢查、核對控制；通過設置績效指標并與薪酬掛鉤，實施業績考評控制；通過實物接觸特別授權控制、門禁等落實物理控制；通過明確定義職責并將不相容職責分離，貫徹不相容職責分離控制；通過系統權限設置等實施信息系統控制；通過召開經營例會總結分析經營現狀等實施運營分析控制；通過規范的建賬、記賬、對賬等措施實施會計系統控制。
四、上市公司持續完善內部控制
為完善內部控制，及時識別并處理內控缺陷，建議上市公司針對自身的組織架構和經營特性，組織公司員工深入學習內部控制實施細則，進一步增強內部控制及風險防范意識。在此基礎上，每年由公司分管職能部門，抽調相關部門人員組成內審小組，通過穿行測試、訪談等方式對內部控制體系實施有效性測試，有效識別內控缺陷，通過對內控體系有效性測試中發現問題的整改，推進公司內部控制體系持續建設，保障公司內控體系有序、有效運行。
五、對上市公司內部控制建設的體會和幾點建議
理論結合實際是內部控制體系的前提，上市公司在內控實施過程中要充分結合自身行業特點、企業規模、管理能力等實際，本著“以點帶面、點面結合”的原則，建立適合自己需求的內控體系。不是將企業原有管理體系推倒重建，而是結合企業內外部環境與經營業務，對現有內控運行體系開展查缺補漏、持續完善，在實現風險管控與運營效率的目標中選擇平衡點。
內控建設還應強調一個重視——高層重視。公司高層要把內控擺在與生產經營、盈利創收相同的地位。內控是一種防御性的防損、止損策略，雖然不能直接創造利潤，但能夠防范、減輕不必要的損失，對公司長遠發展有重要意義。公司高層應投入足夠的精力充分參與到內控建設中來，保持對局面的掌控。
在公司高層重視的前提下，還應實現五個結合。一是與相關方利益結合，將監管機構規范經營的要求、投資者公開透明的訴求和員工保障就業的需要等融入公司內控建設中來。二是與公司制度結合，做到內控文件與公司制度的統一，實現內控與制度的相互完善。三是與其他管理體系結合，逐步推進內控體系與ISO9000、ISO14000、OHSAS18000等管理體系的融合。四是與業務流程結合，通過內控的建設和不斷完善理順業務流程，服務一線。五是要實現與信息系統的結合，將ERP、會計電算化系統、OA、銀企直聯等信息系統要素融入到內控中，充分運用信息化手段提升內控水平。
除以上所述外，良好的公司治理結構是內部控制體系運行的保障。上市公司要按照相關法律法規及規范性文件的要求，規范治理結構，制定股東大會、董事會、監事會的議事規則，公司重大事項的經營決策均按照各項議事規則由經理層、董事會、監事會、股東大會討論決定，與控股股東之間在業務、人員、資產、機構、財務等方面做到“五分開”。公司董事會要規范設立戰略發展委員會、審計委員會、薪酬與考核委員會、提名委員會，在促進公司治理的規范運行的同時，強化公司的戰略決策和風險管控能力。嚴格履行《公司法》和《公司章程》所賦予的權利的義務，持續保持規范運作，是上市公司持續健康發展的基礎。
參考文獻：
[1]劉玉廷.企業內部控制規范論[M].上海：立信會計出版社，2012.
[2]秦榮生.公司治理與內外部審計[M].北京：化學工業出版社，2013.
[3]胡為民.內部控制與企業風險管理[M].北京：電子工業出版社，2013.
[4]張明安.公司法上的利益平衡[J].北京：北京大學出版社，2003.
作者：章超 單位：中鋼集團安徽天源科技股份有限公司
