毛欣慧
（上海大隅实业发展有限公司 200336）
【摘要】通过对我国内部控制体系文件建设的现状和表现形式认知，以及关联性分析，阐述企业应该如何来建设体系文件，达到内部控制规范的目的。
【关键词】内部控制体系文件现状 表现形式 建设意见
自2008 年五部委出台《企业内部控制基本规范》和配套指引之后，尤其是在证监会出台IPO 公司的相对规定和2011 年开始实施的上市公司内部控制的自我评价和内部控制审计试点后，企业内部控制体系文件建设在中国的大地上激起了千层浪，目前大多数企业对内部控制理解不同，导致企业内部控制体系文件的形式和内容也就呈现出多样化，可谓百花齐放。
一、我国目前内部控制体系文件建设的误区
企业对于内部控制体系文件建设的目的和理解不同，导致内部控制体系文件在建设和执行过程中存在一些偏差和错误的作法，未能达到内部控制体系文件建设的真正目的，反而本末倒置，浪费了财力、物力和人力。
（一）政出多门，制度缺乏权威性，影响业务执行的效果和效率
这主要表现为企业在制定内部控制体系文件时，由企业各部门根据需要自行制定和下发，往往各部门对同一业务的管理方向和要求不一致，各自为政，各执行各的，员工在处理业务时相互扯皮和推诿，导致内部控制体系文件的权威性不高，员工不重视。
（二）数量繁多，缺乏系统、全局、长远的发展思考
在笔者进行咨询时，发现很多企业的内部控制体系文件的数量可谓众多，往往一家企业所有的内部控制体系文件累加起来能达到百份。产生这样的情况，主要在于企业出现一些问题时，发现没有内部控制体系文件进行约束和规定，内部控制体系文件成为“查缺补漏”的重要武器，临时性进行制定，这种情况往往只针对出现的个别问题，导致整体内部控制体系文件缺乏系统性、长远、全局性的思考，整套体系之间衔接不强，往往存在自相矛盾，或者因为临时性制定，考虑不周到，内部控制体系文件内容本身就存在一定的漏洞，在执行一段时间后，发现存在问题，又重新进行修改或增加，周而复始导致数量过于庞大。
（三）只为监管部门需要，重形式不重实质
目前我国对于上市公司、准备IPO 的公司、国资委管理的企业，都有明确的规定要求企业建立健全内部控制体系，因此，存在许多企业为了满足监管的要求，让某一部门或请外部中介机构制定了内控制度，但往往存在只是在形式上满足了需求，但实质内容可能存在并不符合企业的发展和管理的需要，或者内部控制体系文件的内容与业务存在脱节，不能达到内部控制的真正目的，成为一纸空文。
（四）忽视对内部控制体系文件的培训和落实的跟踪检查，导致执行性不高
内控体系文件的制定，是为了落实和执行，达到控制的目的。首先，很多企业内控体系文件只完成下发这一任务，忽视了对体系文件的培训和宣讲，而培训则是体系文件建设的基石，是让执行者明白企业管理层的要求和目的，以及应该如何做和怎么做，而宣讲的过程，也就是传达企业文化和发展战略，提高员工的积极性和认知。其次，内部控制体系文件执行的效果需要进行跟踪检查：一是为了检验企业编制的内控体系文件是否满足管理的需求，是否存在漏洞，帮助企业管理层作进一步的修正和完善；二是通过对执行结果的检查，对企业在执行过程存在的问题，及时发现和进行整改，规避风险的发生，达到查缺补漏、防微杜渐的目的。而众多企业往往忽视培训和跟踪检查这两项重要的任务，员工执行力不强，使内控体系文件流于形式。
二、我国企业内部控制体系文件建设的主要表现形式
（一）以企业管理制度形式表现
管理制度，是最主要的表现形式，使用最广，被多数企业认可，一般在企业的章程中有明确规定制度的审批权限，通常为企业的厂规。
（二）以内部控制手册形式表现
内部控制手册，这几年通过外部中介机构的介入，以及一些海外上市公司多年的使用，目前被广泛的认知、认可、接受。相对于制度的表现形式，使用流程图、表格替代繁冗的文字，内部控制手册的设计相对便捷，对于使用者，能很快地检索到所需的信息，规避了制度长篇累牍的缺点。
（三）以流程文件形式表现
流程文件纯粹就是按企业的业务内容进行分类，形成业务流程，如销售、生产、采购、融资等，用文字形式从业务的发生到业务结束，描述每个部门、每个岗位每一个节点要做什么，相对于制度，少了一些原则的、笼统的、定义性的文字，多数用于制度尚未建立，或成立初期的企业。
（四）以ISO 质量管理体系认证文件形式替代
ISO 质量管理认证体系文件，在20 世纪末21 世纪初，被广泛应用，很多中介机构帮助企业建立质量管理认证体系，加之需要进行年度检验，所以很多企业ISO质量管理认证体系文件还是很规范和齐全的，并被企业当作管理制度使用。在《企业内部控制基本规范》出台后，一些企业就以ISO 质量管理认证体系文件当作内部控制体系文件使用。
三、企业管理制度和内部控制手册的关联
笔者在咨询公司工作期间，曾经有许多管理当局对内部控制手册和企业管理制度有什么区别产生疑惑。企业管理制度和内部控制手册，是内部控制体系文件的两种表现形式，对于企业采用哪种方式，并没有明文的规定，而且《企业内部控制基本规范》的出台，也没有强制要求企业一定编制内部控制手册。
对于两种表现形式的关联，主要在以下几个方面。1. 国有国法，家有家规，企业管理制度更多的是从原则性、规范性的角度去规定企业的各项管理、业务行为，并且因为企业管理制度的严肃性、权威性，往往不能朝令夕改；而内部控制手册，更多的是在企业管理制度的规范性、原则性基础上，以业务流程的形式，细致地描述每一个节点的操作要求，而且可以根据业务情况的变化，在不违背企业管理制度原则性要求的基础上，进行适当的修正。两者之间的关系，类似于国家制定的各项法律法规和实施细则。
2. 根据公司法的规定，公司的章程中都会规定管理制度的审批权限，一般为公司的董事会或总裁室等治理层面，因此也决定管理制度的权威性，也正是因为如此，管理制度往往被“束之高阁”，基层员工一般很难接触到，更别提知晓管理的要求；内部控制手册，更多的是操作指引、操作细则，审批权限可以下放到管理层，可以深入到基层。
3. 企业管理制度一般都采用文字的形式，而内部控制手册的表现形式会更加灵活，使用表格、流程图等形式，对于使用者更加方便。尤其对于生产型企业，许多业务操作层面的员工，并没有较高的知识，通篇的文字，对于他们理解可能存在一定的难度，采用内部控制手册的形式，流程图的操作指引，相对清晰和明了，并且可以通过表格形式，将流程内容进行展现，操作层面的员工只需关注其业务范围那一部分就可以了。当然，目前有许多企业将管理制度和内部控制手册合一，也不失为一种解决策略。
四、企业内部控制文件和ISO 体系文件的关联
对于企业内部控制文件和ISO 体系文件两者之间的关联包括如下几个方面。
1.ISO 体系文件要求企业按照国际标准化的品质体系进行品质管理，提高工作效率和产品合格率；内部控制体系文件的建立目的是企业经营管理的合法合规、资产安全、财务报告及相关信息真实完整、提高经营效率和效果、促进企业实现发展战略。两者在本质上有明显的区别。2.ISO 体系文件，只是针对企业质量管理这一方面，企业内部控制体系文件涵盖的内容更加广泛，企业质量管理只是其中一个方面。企业在编写内部控制体系文件时，质量管理这一方面可以借鉴ISO 体系文件的内容，并且对于ISO 体系文件中涉及业务流程通用部分，内部控制体系文件是可以引用的，并不代表两个体系文件，有两套业务流程说明，而且是大相径庭。
五、我国内部控制体系文件建设的建议
内部控制体系文件是企业建设内部控制的一个载体，企业是通过这个载体来传达企业的发展战略和管理要求。不同的内部控制体系文件有些特殊性和适应性，不同类型的企业、不同发展阶段、外部监管需求不同，企业可以有针对性选择，方能达到内部控制体系文件建设和实施的目的。
1. 不同类型企业内部控制体系文件采用方式。生产型企业，主要考虑基层员工的知识水平和理解能力，内部控制手册或流程文件更具适用性；而对于知识密集型企业，内部控制体系文件采用何种方式相对灵活，在于管理层倾向于哪一种。
2. 不同发展阶段内部控制体系文件采用方式。企业处于创业期，业务模型还是探索期间，采用业务流程文件，相对简单、简捷，可以依据业务的发展，进行逐步的完善和修正；企业进入到成长期，发展战略和业务模式已经达到一定的雏形，规划已经清晰，可以制定管理制度，用规章制度进行规范和约束，使之管理和业务行之有规则；企业到成熟期，业务规范已经壮大，涉及面广，采用内部控制手册，将各个管理层面和业务层面都更加细致地描述，便于管理层的管理和考核。
3. 外部监管要求内部控制体系文件采用方式。上市公司、国资委管理的公司，因为涉及外部监管的要求，企业管理制度的审批权限往往都在于董事会，而且上市公司的重要制度需要对外披露，因此可采用企业管理制度和内部控制手册两种方式，企业管理制度用于规定原则性、规范性要求，内部控制手册进行细节性描述，管理制度的权威性加上内部控制手册的全面性，两者相辅相承，达到企业内部控制建设的目的。
对于准备IPO 的公司，我国主板、创业板、中小板都有明确规定，要求企业建立健全内部控制，因为企业的内部控制体系文件的建设并不是一朝一夕的事情，对于准备IPO 的公司，考虑准备时间的因素，此时企业可以根据法律法规的规定，进行企业管理制度的建设或在原有的基础上进行修正，满足外部政府部门的要求，在此基础上逐步进行内部控制体系文件的建设和完善。
当然，采用何种方式，只要能达到企业内部控制体系建设的目的才是最为重要的。内部控制体系文件形式和方法是灵活多样的，没有原则性规定，建立一套具有适用性的内部控制体系文件，可以达到事半功倍的目的。
（作者为高级会计师，稽核经理）