摘要：企业内部控制制度是否完善，直接决定着企业现代管理体制的建设能否成功。美国COSO委员会将内部控制结构划分为控制环境、风险评估、控制活动、信息沟通以及监督五个要素，我国也逐步采纳了这一先进的管理理念，但我国企业的内部控制制度同国外企业相比还是存在较为落后。本文主要从内部控制制度要素五个方面，对我国企业内部控制制度存在的问题以及完善措施进行了探讨。
关键词：内部控制制度 控制环境 风险评估 控制活动
内部控制制度是指企业为了实现经营目标，保证业务活动的有效进行，维护资产的安全和完整，防止、发现、纠正错误和舞弊，保证财务收支和会计资料的真实、合法、完整而制定和实施的政策和制度。美国的COSO委员会将内部控制分为五个要素，分别是控制环境、风险评估、控制活动、信息沟通以及监督。2006年我国新颁布的《注册会计师执业准则第1211号――了解被审计单位及其环境并评估重大错报风险》，采用了COSO的五要素框架对我国企业内部控制的内涵和要素重新进行了界定，这意味着我国注册会计师在今后评估企业内部控制制度是否完善时，将从以上五个方面着手，这种改变对企业的内部控制制度建设将产生深远的影响。2008年5月2日财政部会同证监会、审计署、银监会、保监会制定了《企业内部控制基本规范》，自2009年7月1日起在上市公司范围内施行，鼓励非上市的大中型企业执行。《企业内部控制基本规范》的实施意味着我国企业内部控制制度建设同国际惯例的接轨，同新《企业准则》和新《审计准则》一起构建起了我国符合资本市场要求和现代企业特征的管理体系。但相比于西方发达国家，我国企业内部控制制度建设起步晚，发展慢，内部控制制度在很多方面都不完善，如果企业能以此次审计准则和内控规范的改革为契机，大力改进企业内部控制制度建设，将会使企业受益深远。
一、企业内部控制环境建设存在的问题分析
内部控制环境（Control Environment）是指企业的一种基础氛围，该氛围会对企业内部控制的贯彻和执行效率产生深远的影响。控制环境内嵌在企业文化之中，通过影响企业内部人员实施控制的自觉性，决定其他控制要素能否发挥作用以及作用发挥的大小。控制环境特别强调企业员工特别是企业高管的诚信、道德观以及胜任能力，它要求在企业中建立包括董事会监事会在内的可以对权力和责任加以充分制衡的组织机构。控制环境重视人的因素，是因为归根结底任何控制最终都要人来实施，设置在严密的内部控制也可能因为执行人的疏忽或舞弊而功亏一篑。
在控制环境的建设方面，我国企业存在的问题主要包括：1.企业法人治理结构不完善。在我国的部分国有企业中，领导干部“一言堂”的问题还十分严重，高层管理人员所享有的权利远远大于所承担的义务。企业董事会、监事会、经理层的职责分工模糊，内部监控机构往往被虚挂，起不到对高管层的监控作用。虽然按照《内部控制基本规范》的规定，企业的重大决策、重大事项、重要人事任免及大额资金支付业务等（即通常所说的“三重一大”），应当按照规定的权限和程序实行集体决策审批或者联签制度，任何个人不得单独进行决策或者擅自改变集体决策意见。但在具体执行过程中，何谓“重大”，何谓“大额”并没有细化的标准，而且即使是企业制定了具体标准，在对企业高管缺乏监督和制衡的情况下，高管也很容易逾越或规避制度上的规定。2.员工整体素质较低。完善的内部控制制度归根到底还是要通过“人”的实施才能执行，设计相同的内部控制制度由不同的“人”来实施，最终的执行效果可能完全不一样。我国的国有企业，尤其是在制造性行业的国有企业中企业员工对企业文化、企业战略、职业道德、法律规范以及建立在它们之上的内部控制制度往往缺乏深刻的理解，将内部控制仅仅看作为一种制约和限制，没有主动执行内部控制的积极性。如果员工能将内部控制制度理解为企业对员工自身发展及长远利益的一种特殊保护形式，那么内控的执行效率和效果都会有质的改进。
要解决企业控制环境方面存在的问题，就要建立合理的企业治理结构、理顺内部机构设置及权责分配、发挥内部审计的作用、加强人力资源管理及加强企业文化建设，培育员工积极向上的价值观和社会责任感，倡导员工诚实守信、爱岗敬业、开拓创新和团队协作精神，树立现代管理理念，强化风险意识。
二、企业风险评估存在的问题分析
按照COSO的定义，风险评估（Risk Assessment）是指企业为实现其目标而确认的分析相关风险，以构成进行风险管理的基础。企业在严酷的市场经济运行过程中，不可避免的会面临各种各样的不确定因素，这些不确定因素可能给企业带来灭顶之灾，从而构成企业的经营风险。一般来讲，企业面临的经营风险主要来自于企业的经营环境、组织结构、人员构成，生产技术等方面的变化。企业只有在风险发生之前，对可能面临的各项风险进进行合理的评估，才能在风险实际来临时充分的应对，以避免企业破产的可能。
企业风险评估的主要流程可以设计为：1.识别企业可能面临的各项风险，这要求企业对国家甚至世界经济政策、经济形势的变化要有深刻的理解。2.在识别风险的基础上，评估风险发生的可能性，以及会给企业带来的危害，从而确定企业对该风险的承受能力。企业面临的风险可能不止一项，也不会仅来源于一个方面，这一步骤要求企业对在未来所可能承担的风险按照紧急程度进行分级处理。3.确定企业对主要风险的应对措施。例如企业生产的产品主要依赖于出口，假设企业预期国家的汇率或者出口政策将要发生大的变化，那么企业就要考虑清楚，当这些变化真的发生时，应该如何进行应对。恰当、适时的风险评估对企业的生存和发展至关重要，但风险评估工作所涉及的知识领域极为宽广，要求从业人员具有较高的综合素质。
三、企业控制活动存在的问题分析
控制活动（Control Activities）是指确保管理层的指令被企业员工正确实施的政策和程序。控制活动是企业内部控制的主体要素，也是内部控制要素中最具体、最详细的部分。企业的控制活动应当按照经济业务种类，例如，货币资金业务、销售循环业务，采购循环业务等具体设计。而每一项经济业务的控制活动可分拆为业绩评价、信息处理控制、实物控制和职务分离四个环节。
其中，业绩评价要求企业建立系统的业绩评价体系，定期将企业的实际业绩与预算、同期进行对比，从而找出影响目标业绩实现的因素。国有企业在设计控制活动的业绩评价环节时要注意三个环节：（1）评价指标体系的设计。企业在选择评价指标时应注意财务指标与非财务指标以及不同指标量化权数之间的均衡关系，对于这一点可以引进管理会计中的平衡计分卡理论加以解决。（2）目标业绩的确定。对目标业绩的确定不仅要考虑企业的预算数，还要考虑企业的历史数据以及同行数据。目标业绩要适中，太低对员工没有激励效应，太高，则会增加员工的压力，而刺激他们违规舞弊的动机。（3）对业绩数据的使用。管理层对实际业绩和目标业绩之间的差异应进行系统分析，对其中的异常差异应及时找出原因以采取必要的纠正措施。
信息处理过程可以分为人工控制和自动化控制两类。企业信息处理的大部分工作主要集中在财务信息的采集、记录和汇报上。企业应当区分人工控制和自动化控制对信息处理过程分别制定相应的规范。 人工控制和自动化控制各有优劣，但自动化控制更能适应信息化管理活动的要求，而且能在最大程度上避免人为因素的干扰，因此我国的大型国有企业中一般都已经建立了自动化控制体系。企业在运用自动化控制时需要着重关注的是系统本身的安全性。如果系统存在安全漏洞，那么很容易会受到非法攻击，给企业造成无法估量的损失。
实物控制要求企业对资产的保管、记录、接触权限作出规范。实物资产中的货币资金以及价值较高且易于移动的存货是实物控制的重点，企业应当按照财政部制定的《企业内部控制规范》对其进行严格的监管，定期进行清查，防止保管人员监守自盗。
职务分离又称为岗位牵制制度，它要求企业的不相容岗位，例如授权、记录、资产的保管等要交由不同的人负责，使得独立个人的工作必须与其他人的工作相一致或相联系，并受其监督和制约。职务分离是控制活动的关键部分，即使是在其他内控措施都失效的情况下，仅靠恰当的职务分离就可以有效的避免企业内部员工的多数舞弊。企业应当在内部控制规范中明确每个岗位、每个员工的职责和权限，也可以设置定期轮岗制结合职务分离制度来解决员工的内部舞弊问题。如果企业采用的是自动化控制系统，应严格实施不同员工进入系统的授权控制、口令控制。
四、信息与沟通
信息与沟通（Information and Communication）是指企业对内外部与决策相关的信息的识别、获取，并将这些信息在企业内部各层次员工之间进行合理的分享。信息与沟通可以分解为相互关联的信息与沟通两个方面。信息方面主要是指企业对经济业务记录、反映的方法和流程。沟通则是指信息在企业不同层次、不同部门之间的传递，以保障企业员工能够顺利履行其职责。
我国国有企业在信息与沟通方面存在的主要问题是信息失真，沟通不畅。就信息中的财务信息而言，企业应当严格按照我国《企业会计准则》或相关《企业会计制度》的规定进行处理，对有效交易的识别、确认、计量、列报各个环节加以规范，形成从会计记账、复核到会计主管、财务总监，董事长的分级负责体制，以保证会计信息的合法、合理。对于非财务性质的管理信息，企业应当指定专门机构和负责人获取包括市场状况、竞争对手、法律法规在内的外部信息以及明确包括企业战略，管理层职责在内的内部信息。
如果企业的信息沟通不流畅，那么即使是详尽相关的决策信息对企业来说也是毫无用处。及时的信息沟通也可以使企业员工明确自己在单个工作事件中的职责和相互之间的关系，从而在最短的时间内对事件作出应对，大大减少企业的管理成本。沟通可以采用员工手册、员工会议、电子邮件，设置问题备忘录等形式进行，企业也可以通过设立信息沟通平台或者信息集中处理中心对信息进行集中的收集、加工和传递。在沟通中需要注意的重点是对新职工的信息沟通，一般可以采用入职培训的形式向新员工提供有关其岗位职责的信息，促使员工明确自己的岗位所要达到的目标，以及实现目标的方式。其次在沟通中还要注意信息的保密问题，要防止企业的商业机密泄露。企业可以通过设置信息接触的权限，来防止保密信息的扩散。
五、监督
监督（Monitoring）是指管理层对企业内部控制制度的设立、执行、效果等各个方面的评价以及监督。企业任何一个制度的执行都离不开一定的监督，内部控制制度也不例外，有效的监控不仅可以保证企业内部控制制度贯彻的有效性，还可以对内部控制制度在执行过程中出现的问题及时进行处理，从而对内部控制制度进行持续的改进。
企业对内部控制制度的监督系统主要包括内部审计、内部监察系统以及与外部审计机构的交流。在对监督的具体设置中，值得注意的是，在我国国有企业中，虽然内部审计、内部监察系统是监督的执行主体，但由于内部审计、监察系统存在的固有缺陷，使它们往往不能很好的发挥作用。为解决这一弊端，首先，国有企业应当增加内部审计、内部监察机构的独立性，加大它们的执行权限，提高它们在企业管理体制中的地位。有效的办法是，可以让内部审计机构直接向企业的董事会或监事会报告，而不是向企业的总经理报告。另外，应该给内部审计机构配备足够的人员，赋予他们充分接触企业各类信息的权限。在我国不少的国有企业中，内部审计机构的人员数量和企业的整体规模比例严重失调，对内部审计人员的活动范围也多有限制。这样的内审机构只可能是一种形式，发挥不了应有的作用。最后，对内部审计人员的工作评价应以他们反馈的企业内部控制制度存在的缺陷或违规、舞弊为标准，而不应以财务业绩为评价指标。只有这样，才能使内部审计人员不受制于其他部门，保持较强的权威性。
我国国有企业广泛存在着企业治理结构失衡、管理人员素质低下等问题，并且严重受到我国人情文化的不良影响，使企业的内部控制制度一直处于比较落后的地位，这也制约了我国企业现代管理制度的建立。在国际经济一体化的今天，企业竞争力更多的体现在管理水平等软实力方面，尽快吸纳、运用国外的先进管理理念，完善企业的内部控制制度是众多企业亟需解决的课题。
参考文献：
[1]朱荣恩，审计学，高等教育出版社.2000年第1版
[2]徐双林 孙美茹.从控制环境看企业内控制度建设，经济论坛，2003年第8期
[3]COSO委员会，内部控制报告.美国1994年
[4]黄丽华.何晓民.关于完善我国企业内部控制制度的探讨，企业经济，2007年第11期
[5]财政部，《企业内部控制基本规范》.2008年5月
[6]刘玉廷，全面提升企业经营管理水平的重要举措.2009年4月