企业内控

我们知道“企业内部控制”的概念可用可引用两个权威性文件的解释来回答。即： 1996年，美国注册会计师协会发布《审计准则第78号》新准则说：“内控制度是由一个企业的董事长、管理层与其它人员实现的过程。旨在为下列目标提供保证”。即：1、财务报告的可靠性；2、经营的效果与效率；3、符合适用和法律与法规。”

2008年，中国财政部授权公布的，自2009年7月1日起在上市公司范围内施行的《企业内部控制基本规范》第三条 说：“本规范所称内部控制是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。”

（二）企业内控咨询项目的定位

由于我国从2009年7月1日执行的《财政部 审计署 银监会 关于印发《企业内部控制基本规范》的通知》（以下简称《企业内部控制基本规范》）第六条说：“ 企业应当根据有关法律法规、本规范及其配套办法，制定本企业的内部控制制度并组织实施”。也把它称为“制度”。所以，我们一般把企业的“内部控制”管理活动称为建立、完善或优化“企业内部控制制度”的行为。

严格地讲，内控制度属于企业内控系统的范畴，因为，企业的治理结构、内控组织，内控机制，内控制度与内控流程等内容都属于企业内控系统的范畴。因此，在管理咨询活动的实务中，说到“企业内控”项目，多是指做“企业内部控制体系”的完善或优化。 二、内部控制咨询项目的目标

中国的《企业内部控制基本规范》 第三条规定： 内部控制的目标是：合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。”

美国COSC委员会发的《内部控制风险管理框架》，提出的内部控制四大目标是：1、战略目标达成；2、营运活动的效率与效果；3、《报告》的真实性与准确性；4、企业经营的合法合规性。以上两个文件的目标是基本相

似的。我们在做国内企业的“内控项目”时，我采用《企业内部控制基本规范》的目标描述。

三、企业内控体系的整体框架

从国际化标准这个角度上讲，企业内控咨询项目的整体框架大多数是按美国1996年，美国注册会计师协会发布《审计准则第78号》新准则，即：采用COSO委员会发布的企业风险管理“五要素”框架。由于《企业内部控制基本规范》的五要素基本与COSO委员会发布的企业风险管理“五要素”框架相同，所以，我们在中国做企业内部控制咨询项目时，一般都是按这个“五要素”搭建框架的。其主要内容有：

（一）内部环境。内部环境是企业实施内部控制的基础，一般包括治理结构、机构设置及权责分配、内部审计、人力资源、企业文化等。 （二）风险评估。风险评估是企业及时识别、系统分析经营活动中与实现内部控制目标相关的风险，合理确定风险应对策略。

（三）控制活动。控制活动是企业根据风险评估结果，采用相应的控制措施，将风险控制在可承受度之内。

（四）信息与沟通。信息与沟通是企业及时、准确地收集、传递与内部控制相关的信息，确保信息在企业内部、企业与外部之间进行有效沟通。

（五）内部监督。内部监督是企业对内部控制建立与实施情况进行监督检查，评价内部控制的有效性，发现内部控制缺陷，应当及时加以改进。 四、上市企业内控体系建设流程的五个重要控制环节

（一）内控战略规划制定，（二）机构设置，（三）系统培训，（四）、作业实施，（五）检查评估

五、《企业内控》咨询项目的咨询流程

关于企业内控咨询项目的咨询流程在当今的管理咨询行内有不同的流派与做法。如：正略钧策有”三阶段”的做法；诺亚方舟内控咨询“八个阶段”的做法。也有“十阶段”的习惯。但是，不怎么变化，还是万变不离其宗，他们基本的咨询流程还是大同小异的。如：项目调研，项目诊断，风险评估，内控系统梳理，内控体系完善或优化；《内控手册》编制，内控体系实施方案制订，项目相关培训，实施方案指导（做“保姆式”项目咨询的实施指导

期相对长些，一般是一年以上。），项目后期跟踪服务等程序都是差不多的。 如：诺亚方舟内控咨询“八个阶段”内容就是这样描述的：

诺亚方舟内控咨询流程

第一阶段 现场调研与访谈 第二阶段 内控体系测试 第三阶段 内部控制现状诊断 第四阶段 内控系统梳理 第五阶段 内控评价、内控考核、内控文档 发展战略 组织架构 管理制度 业务流程 内控体系 内控评价 企业文化 符合性测试； 实质性测试； 穿行测试 业务流程 控制环境风险评估 内控活动 内控手段 信息交流 内控评价 内控流程 风险点 风险应对 内控制度 内控证据 信息系统 内控评价 内控考核 内控制度 内控手册 内控凭证 „„ 营运系统 管控系统 体系架枸 业务流程 信息系统 „„ 客户要求 项目效果 第六阶段 内控体系建立与优化 第七阶段 内控体系培训 第八阶段 持续的阶段性的跟进与监督 六、《企业内控》项目的咨询的方法 （一）以“控制活动”要素为落脚点。 （二）梳理、整合企业管理体系。

（三）“活动”控制是内近项目的重点；“流程”完善或优化是核心。 （四）公司层与交易层内控同时并举。

（五）由下到下与由下到上相结合。

（六）从基础层面的内控建设向全面内控建设的层面过渡等等。 七：企业内部风险管理与控制的常用工具 （一）风险坐标图 （二）蒙特卡罗方法 （三）关键风险指标管理 （四）压力测试 „„

八：企业内控咨询项目主要成果： （一）《内部控制诊断报告》。

（二）《内部控制系统整体设计方案》。 （三）《内部控制系统实施计划》。 （四）《企业内控管理手册》。