对内部控制问题的关注是进入新世纪以来国内学界和实务界的新变化或新现象。不过，尽管国内外有关内部控制的研究文献丰硕，很多企业已经以外包方式或自行设计方式强化了内部控制体系的建设，但人们对内部控制的误解以及操作上的错误还是很多。笔者没有逐一罗列的意图，但如下八大难题也许更应该引起学界和实务界的共同关注。

难题1.被缩小的内控范围

内控的边界何在？其内部结构又是怎样的？学界的研究似乎忽略了这个在设计企业内控体系时不得不重视的问题。与实务界的广泛交流使笔者感觉到在这个问题上存在两种明显的误解：其一，把内部控制等同于财务控制或会计控制。一说到内控，人们总是与财务会计部门、人员及职能挂钩，似乎内控就是会计或财务的事。其二，把内控的边界等同于18项《企业内部控制应用指引》或20项《企业内部控制配套指引》的范围，似乎这就是内控体系的完整内容。

客观地说，内控的边界和范围不仅不限于18项应用指引的范围，而且超出了财务或会计控制的边界。18项应用指引的价值或意义重大且深远，但在内容上还有缺失：一是没能与内控要素相对应。通常认为，内控包括内部环境、风险评估、控制活动、信息与沟通、内部监督五大要素，而18项应用指引及评价和审计指引仅涉及内控的四大要素，风险评估要素在配套指引中还处于缺位状态。二是未能容纳企业全部的活动和功能。内控具有全面性，在内容上应覆盖企业所有业务、活动、功能和人员，而18项应用指引显然还没有做到这一点，一些重要的和通用的功能活动，比如技术及商业秘密管理、法律事务、数据管理、制度管理、财务分析、绩效评价、母子公司控制等，仍处于缺位状态。另有一些与行业或企业有关的特殊业务或活动也没被纳入应用指引的规范体系。

设计一套完整的内控体系，首先要做的就是对企业的活动或功能进行分析，梳理出涵盖企业的全部活动或功能模块。企业的活动或功能很多，大致可划分为经营活动、财务活动和管理活动三大类。其中，财务活动除涉及教科书中所介绍的投融资活动外，还涉及财务报表上的项目，诸如资产、负债、所有者权益、收益及其分配、现金流转等；经营活动是与企业业务运营内容、程序和方式有关的活动，包括研发、技术、供应、制造、营销、环保等；管理活动是对财务与经营进行管理所需要的各种职能或工具活动，包括组织、战略、预算、控制、信息、数据、分析、绩效评价、文化、制度、流程及其再造、法律事务等。此外，有些活动如业务外包、招投标、母子公司或总分公司管控、人力资源等是横跨三类活动的，但也可以进一步细化后归入上述三类活动。因此，与企业内部活动的框架结构相对应，一套完整的内控体系也应覆盖财务控制体系、经营控制体系和管理工具体系三个子系统。

难题2.被断裂的财务与业务

迄今为止，笔者还没有看到哪篇文献关注和阐述过财务与业务的关系问题，然而，财务与业务的关系问题却是内部控制制度建设乃至会计与财务工作中都无法回避的问题。对这一问题的关注甚至会让我们重新思考和理解会计与财务的历史发展乃至职能作用及其实现问题。

改革开放初期，学界和实务界就曾呼吁会计与财务从核算型向管理型转型。如今30年过去了，多数企业的财务部门和财务人员依然还是扮演核算员和出纳员的角色，财务的管理职能尤其是管理的综合性特征，仍缺乏应有的展现。问题究竟出在哪里？就出在会计与财务自身。

会计，说到底就是“算账”的，用西方通常的语言表达就是以“计量”（其实就是前苏联时期的“算账”）为核心的信息系统。问题是，我国多数企业的会计人员习惯于、满足于算死账（财务会计账）和算小账（开支账），疏于、轻于算活账（经营管理账）和大账（战略账、资源账等）。我国企业会计的第一次革命发生在20世纪90年代以来的财务会计领域，规范化、国际化和信息化使财务会计领域取得了长足进展。如今，企业会计领域正需要二次革命，就是将会计算账的范围扩展、延伸到经营管理领域和战略管理领域。实际上，企业经营管理的几乎全部职能都需要算账，如研发投入产出的账、技术设计经济性的账、质量经济性的账、制造成本的账、客户经济性的账、战略成本和利益的账、可供利用财务资源的账、业务及管理流程及其优化的账，等等。只有会计算账向经营、财务和管理领域延伸，会计的所谓“管理性”和“综合性”特征才能体现出来。

同样财务的功能定位限定了财务的角色。按照财务管理教科书的表述，公司财务的对象是“金融市场与公司经营之间的现金流转”，基本问题是解决投融资问题。这样的功能定位使财务成为脱离业务或经营的封闭的循环。对实务工作的观察不难发现，财务与业务在多数企业仍处在脱节、割裂状态之中，甚至在许多情况下，财务的管理性职能被业务部门和人员所分担，留给财务部门和人员的只是款项的收付，也就是出纳员的角色。

关于财务与业务的关系，可以用两句话展开描述：一是既相异又关联；二是既相容又不相容。其相异性和不相容性决定了业务与财务、事权与财权应分离，以实现有效的内部牵制，这也是内部牵制机制的一个重要方面；其关联性和相容性决定了财务与业务应建立合作机制，特别是财务介入业务的运作机制，这是进行财务管理和业务管理都必须要建立的机制。科学的内部控制制度以及制定业务管理或财务管理制度，都需要对财务与业务的关系进行科学界定，并在操作上明确财务与业务相关联或融合的活动节点、关联或融合时的角色定位、关联或融合时各自所承担的责任或义务等问题。否则，业务与财务的整合还是一句空话。以采购活动为例，因为采购业务与财务相异和不相容，所以应通过设置独立的采购部门和财务部门分而治之并相互牵制；因为关联和相容性，应在分而治之的基础上设计一种关联或融合的机制。对多数企业来说，采购活动的基本流程是：“采购预算—采购申请—采购招标—签订合同—采购实施—采购付款”。设计一种关联机制，就是要明确在采购流程的哪些节点上采购与财务相结合、各自以何种身份相结合（主办还是协办）、结合中各自所承担的职责等。这些问题在采购制度和财务制度中都需要明确规定，否则就难以真正实现财务与业务的有效结合。当下，企业管理信息化的运用为业务与财务的融合搭建了有效的运作平台。

难题3.被冷落的内部牵制

查阅国内外的研究文献，有关内控的研究几乎都是围绕整体框架及其构成要素来展开的，而那些能够指导并推动实务变革的具体控制方法的探讨却被忽视了，甚至是被认为是登不上学术殿堂的话题，内部牵制制度的研究就是一例。学界对内部牵制的冷落，直接的后果是实务界对内部牵制的系统化的理论知识的缺失和对内部牵制机制应用的偏误，并且一些流行的偏误还被坚定地认为是正确的或适当的做法。如营销管理，最通行的做法是“销售一揽子承包”，即营销部门和营销人员既负责销售又负责收款，销售与货款回笼一并纳入对营销部门和营销人员的考核体系。又如制度管理，我们所能看到的做法常常是分散管理，采购制度由采购部门负责制定与执行，营销制度由营销部门负责制定与执行，财务制度由财务部门负责制定与执行，等等。这些做法早已习以为常，很少有人质疑其合理性。然而事实上，这些做法是否真的就符合内部牵制的要求，还是很值得怀疑的。但至少是到现在为止，笔者还没有听到反对或批评的声音，也很少有人去研究更有效的制度管理机制。

说到内部牵制，在可以检索到的文献中，甚至是在官方公布的内控规范性文件中，通常都是与“不相容职务分离”或“职责分工”挂钩的，甚至是将二者划上了等号。这显然也是一个误解。实际上，完整的内部牵制包括分离式牵制与合作式牵制两种类型。两种牵制机制的侧重点不同：分离式牵制侧重于不同的人干不同的事，合作式牵制侧重于不同的人做同一件事。对实践有意义的话题是，如何进行更有效的牵制式分离或合作。

分离式牵制的基础正是人们常说的“不相容职务”，而何谓不相容职务，还需要我们结合实际做更具体化的分析。不相容职务的基本形态有权能不相容与性态不相容两种类型。在公司治理层面，不相容的权能是指决策、执行与监督，是通过董事会、经理班子和监事会机构分设来实现的；在业务管理层面上，不相容的权能是指对业务的管理、操作和监督，主要是通过部门或岗位分设的办法来实现。很显然，不同的业务其权能分离的具体内容也不同，如采购业务的具体内容是采购管理、采购运作和物资保管三分离，也就是人们常说的“采、管、保”分离；制度管理业务的具体内容是制定、执行与监督三分离。在内部控制研究中，性态可以定义为内控对象的属性或形态，包括物流（或业务流）、资金流、信息流等。物流（或业务流）与资金流分离的原理已经普及，问题是对资金流的理解尚有异议。笔者认为，对资金流的理解不能仅仅局限于“钱”的收付上，更重要的是收款与付款的权责安排。假如财务部门只是扮演出纳员和记录员的角色，而实际的收款权力与责任还是在业务部门，这种做法也属物流与资金流合二为一运作的情形。

分离式牵制需要注意三点问题：一是并非所有的不相容活动都要分离。牵制是有成本的，需要在成本与收益的条件约束下进行。需要的分离应该是关键的或重要的不相容活动，次要的不相容活动未必就一定分离。为此就需要企业在设计内部牵制制度时对不相容活动的重要性进行分析识别。二是牵制机制的文化适应性问题。文化（包括社会文化和组织文化）是内控的背景或基础，设计内部牵制和内部控制时需要充分考虑其文化适应性。以销售一揽子承包为例，它并不符合内部牵制原理，却有很多国内企业采用，其中的奥秘就在于它具有中华文化的适应性。如同社会学大师费孝通所言，中国是有限信任的社会结构，在这种社会结构中，关系是影响收款效果的重要因素。也就是说将收款权责安排在与客户缺乏接触的财务部门，其效果不如安排在与客户直接接触的营销部门，这也许就是众多企业明知销售一揽子承包有悖内部牵制却又坚定地奉行的主要原因。三是防范分离后的合谋问题，尤其是通过部门内岗位分设的办法来实现牵制的合谋问题。为此就需要根据实际情况，设计并采取合理的岗位轮换制度。为便于设计和操作分离式牵制机制，笔者总结出八句话：财务与业务两分离；管、办两分离；运动员与裁判员两分离；决策、执行与监督三分离；钱、账、物三分离；采、管、包三分离；规则制定、执行与监督三分离；授权批准、业务经办、会计记录、财产保管、稽核检查等分离。

合作式牵制具体的运作方式有共同决策（审批）、会审、会议、会签、协办、共同行动等。从实践看，这些牵制方式的具体运作还有许多问题值得研究，比如合作的事项范围、合作的人员范围、合作的运作程序、合作牵制中的责任分担，等等。这些问题都需要在设计内控体系时认真分析，否则就会影响控制效果。以合同会签为例，普遍的现象是效率低下，主要原因是合同会签的范围过大，有些合同会签涉及6至8个部门或人员，甚至将合同会签与预算调整捆绑到一起。而实际上，有些合同管理是值得研究和改进的。比如，经过招投标程序的标准合同是否还需要走会签程序？笔者认为，招投标过程实际上就是合同的签订过程，经过这个过程的标准合同完全可以在签订程序上进行简化。

难题4.被误读的风险态度

内控说到底是控制风险的，因此风险识别、风险评估和风险应对是内控体系的重要组成部分。在风险应对上，一些说法或做法的正确性是值得怀疑的。一种说法或做法是“风险管理就是有风险就管理”。而实际上，对于许多明显的风险，管理层也需要采取放任的态度。所谓风险应对中的“接受或承担”就是这个意思。另一种说法或做法是“通过内控将风险降到最小限度”，也就是“风险最小化”的风险态度。内控的出发点或风险态度是“风险最小化”还是“可接受的风险水平”，是需要学界认真研究、需要管理层认真选择的。

1992年美国COSO报告的选择是“风险最小化”。这个选择无疑是有缺陷的：一方面，风险最小化的选择与风险报酬原理相悖。当我们努力把风险降低到最小限度的同时，实际上也把收益的机会降低到了最小限度；另一方面，试图将风险降到最低限度，操作中就需要将重要的与次要的风险、重要的与次要的措施一视同仁，结果自然就会导致程序繁琐复杂。2004年美国COSO报告的一个重大变化就是引入了风险容量和风险容限的概念。风险容量是一个主体在追求其使命、愿景的过程中所愿意承受的广泛意义的风险的数量，它在战略制定和相关目标的选择中起到指向标的作用。风险容限是相对于目标的实现而言所能接受的偏离程度。这意味着2004年的COSO报告彻底变革了内控设计的出发点，实现了从“风险最小化”到“可接受的风险水平”的转型。这一转型对于简化和优化内控程序具有十分重要的意义。

将内控的出发点或风险态度确定为“可接受的风险水平”而不是“风险最小化”，对企业来说是最适当的选择。面对不确定性和风险，企业的态度显然不应当是力求最小化，正视风险、容忍风险、接受风险、承担风险在许多情况下比将风险降到最低限度更有实际意义。因为相对于风险的降低，捕捉机会更加重要。企业应当在风险与机会之间、降低风险与创造价值之间作出有效的权衡。为此，在内控设计时要善于应用“重要性原则”，善于把握重要的控制点。笔者认为，重要的控制点至少应该包括五大方面：一是重要领域。诸如与外界相关的领域、与资金相关的领域、与数据相关的领域等。二是重要业务。诸如采购、营销、工程、外包、投资、融资、资产重组、合同、预算等。三是重要项目。以资产为例，应收款、存货和投资三大高风险资产项目，就是资产控制的重点项目。四是重要风险，指那些发生可能性大、对目标实现影响程度大的风险。五是重要措施。同一风险往往有多项控制措施，重要性原则需要我们区分出重要的和次要的措施，并关注重要的措施，这样才能简化繁琐的控制程序。（未完待续）■

责任编辑 陈利花