摘要:
企业内部控制设计是一项系统工程,合理的设计程序、方法及人员安排至关重要。笔者认为,企业进行内部控制设计,应当在对企业内部控制系统进行分解的基础上,遵循自上而下的设计程序、风险导向的设计方法及相互协调配合的人员安排。
一、分解企业内部控制系统
进行内部控制设计,首先需要对内部控制系统进行分解。企业内部控制系统是一个整合了治理层次、管理层次、作业层次的控制体系,既包括股东、经营者、管理者等不同层次的主体,也包括不同层次的控制目标和活动。《上海证券交易所上市公司内部控制指引》(2006)中指出公司内控制度应力求全面、完整,至少在公司层面、公司下属部门及附属公司层面和公司各业务环节层面作出安排。财政部《企业内部控制规范——基本规范》(征求意见稿2007)中也指出企业内部控制应涵盖企业经营管理的各个层级、各个方面和各项业务环节。笔者认为,企业进行内部控制设计时,可以将内部控制系统划分为公司层次和业务活动层次的内部控制。由于公司下属部门及附属公司层面的内部控制主要体现在公司层面对公司下属部门及附属公司的管理控制制度方面、公司下属部门及附属公司的业务活动环节控制方面,因此,应将公司下属部门及附...
企业内部控制设计是一项系统工程,合理的设计程序、方法及人员安排至关重要。笔者认为,企业进行内部控制设计,应当在对企业内部控制系统进行分解的基础上,遵循自上而下的设计程序、风险导向的设计方法及相互协调配合的人员安排。
一、分解企业内部控制系统
进行内部控制设计,首先需要对内部控制系统进行分解。企业内部控制系统是一个整合了治理层次、管理层次、作业层次的控制体系,既包括股东、经营者、管理者等不同层次的主体,也包括不同层次的控制目标和活动。《上海证券交易所上市公司内部控制指引》(2006)中指出公司内控制度应力求全面、完整,至少在公司层面、公司下属部门及附属公司层面和公司各业务环节层面作出安排。财政部《企业内部控制规范——基本规范》(征求意见稿2007)中也指出企业内部控制应涵盖企业经营管理的各个层级、各个方面和各项业务环节。笔者认为,企业进行内部控制设计时,可以将内部控制系统划分为公司层次和业务活动层次的内部控制。由于公司下属部门及附属公司层面的内部控制主要体现在公司层面对公司下属部门及附属公司的管理控制制度方面、公司下属部门及附属公司的业务活动环节控制方面,因此,应将公司下属部门及附属公司层面的内部控制设计的一部分包含在公司层面的内部控制设计中,另一部分包含在业务活动层面的内部控制设计中。另外,由于计算机技术在企业的广泛使用,企业的日常活动已经与信息系统紧密联系在一起,因此,应当将信息系统控制放在公司层面的内部控制部分。
二、自上而下的风险导向设计流程
企业应当采用自上而下的风险导向设计流程,以保障不同层次内部控制目标间的一致性,并通过对企业风险的分析和控制来实现企业目标。
1、自上而下的设计程序
企业内部控制目标和构成都具有层次性,企业进行内部控制设计时首先应设计公司层次的内部控制,主要包括:公司治理机制:企业组织结构及权责分配;企业预算管理体系;公司下属部门及附属机构的控制:信息系统控制;内部审计。其次是对业务活动层面的内部控制进行设计。对企业的主要经济业务应当设计流程化的内部控制制度,并与企业的信息系统相结合。内部控制设计人员应当对重要经济业务进行流程分析,找出关键控制点,作为日常管理控制的重点。
2、风险导向的设计方法
内部控制的设计应当采取风险导向的设计方法,将风险管理理念注入企业的内部控制系统中。风险导向的内部控制设计方法应当包括:企业风险管理机制的设立、内部牵制制度的实施、业务活动的流程化设计等控制机制。风险导向的内部控制设计方法的具体实施则包括设立并分解企业不同层次的目标、分析目标不能实现的风险因素、设计相应的控制活动、相互整合并形成企业的内部控制系统等程序。
三、相互协调配合的人员安排
一般而言,企业内部控制设计项目中相关人员的构成应当包括以下人员:一是项目负责小组。项目负责小组应当包括企业不同层次的人员,并至少包括一名董事会成员、一名内部控制方面的专家,以保证内部控制小组负责人员能够站在更高的层次来看待整个企业的内部控制,并协调不同层次的内部控制设计人员。二是内部审计人员。内部审计人员可以直接参与内部控制的设计活动,也可以仅对内部控制设计项目的文件记录进行复核和报告、参加重要的会议、审核所建议的内部控制等。三是财务人员。由于企业内部控制体系中非常重要的一部分是关于财务信息的形成和报告的内部控制,因此,财务人员在内部控制设计中具有重要作用。但财务人员有时容易仅仅关注财务信息及财务报告所需要的内部控制,而忽略企业整体的内部控制系统。四是IT人员。由于信息技术在企业的广泛使用,企业的许多业务活动都与信息系统密切联系,因此,内部控制设计人员中应当包括IT人员,以保障IT环境下企业内部控制系统的完整性和有效性。
需要注意的是,企业内部控制设计初步完成后,应当进行内部控制的试运行,从而对内部控制系统的合理性和有效性进行评价,并进行必要的完善,最后内部控制系统才能实际运行。
责任编辑 陈利花