X能源公司是深圳市一家集油、气、电三块业务为一体的国有控股上市公司，总资产达20亿元，拥有多家全资子公司，是珠江三角洲地区石油、液化石油气等能源产品的主要经销商。作为深圳市上市公司内部控制规范试点单位，X能源公司自2011年开始实行内部控制改革，探索建立了一套科学化、规范化的内部控制体系。2013年5月，COSO发布了新修订的《内部控制整合框架》（以下简称COSO新框架），提出了基于公司治理与管理活动的内部控制观，并发布了内部控制的17项原则。考虑到制度的前瞻性和与国际接轨的需要，X能源公司决定以COSO新框架为依据，将公司治理理念融入公司的内部控制，对刚刚建立的内部控制体系进行了修改和完善。

一、X能源公司内部控制建设的基本理念与思路

根据COSO新框架的指导思想，结合公司自身的业务特点，X能源公司对内部控制建设的基本理念和思路进行了调整。

（一）以风险评估为导向

COSO新框架提出了风险评估的4项原则，要求组织对与其目标相关的风险进行识别、评估与分析，在风险评估过程中考虑潜在的舞弊行为。这是COSO首次把评估舞弊风险作为内部控制的基本原则之一。随着经营范围的拓展，X能源公司越来越多地涉足石油之外的经济领域，业务的复杂性和经营的多元性使得公司面临的经营风险越来越大。同时，随着管理层级的递增，公司内部存在的潜在舞弊风险也不断增加。内外压力都迫使X能源公司在内部控制制度设计上必须坚持风险导向原则，将风险评估作为公司内部控制的重要环节。为此，X能源公司通过内部培训、宣传等手段，将风险管理的理念传达给每一位员工，同时在制度设计上强化风险导向，通过信息技术手段将风险控制点嵌入公司的业务流程，将风险控制措施嵌入公司的管理流程，使风险处于可预见、可防范、可控制状态。

（二）将内部控制嵌入公司治理结构

COSO新框架强化了公司治理理念，强调董事会在推进公司内部控制中的监督控制作用。X能源公司在内部控制框架设计上也体现了公司治理的理念，将内部控制部门纳入公司治理结构，由董事会直接领导并接受审计委员会和监事会的监督。在制度设计上，X能源公司力求保证内部控制部门的独立性和权威性，将其直接置于董事会领导下，直接向董事会汇报工作，体现了基于公司治理理念的内部控制模式。

（三）将内部控制融入公司的管理活动

与以往沿用的基于独立审计的内部控制观不同，COSO新框架采用了基于管理活动的内部控制观，强调将内部控制与企业管理活动相结合，要求企业逐渐弱化内部控制与管理活动之间的界限，并适时以合适的方式将内部控制融入企业的日常管理流程。X能源公司在会计师事务所的协助下对公司管理流程进行了认真梳理，通过系统分析与问卷调查，将员工普遍认为“冗余”和“低效”的管理流程予以删除，同时增加重要的管理流程。通过管理流程优化和重组，将关键控制点和控制措施嵌入公司的管理流程，使内部控制活动与公司的管理活动真正融合，实现管理协同效应。

（四）利益相关者共同治理

COSO新框架扩大了内部控制的对象，将外部利益相关者纳入企业的内部控制系统，具体体现在两方面：一是在报告目标的对象和范围上，要求组织向外部利益相关者提供可持续发展报告，传达了一种组织应对外部利益相关者负责的社会责任理念；二是在不同商业模式和组织结构对内部控制有效性的影响上，建议管理层关注包括供应商和分销商在内的价值链管理，并就影响公司内部控制发挥作用的事宜与外部利益相关方沟通。基于COSO新框架传达的利益相关者共同治理理念，X能源公司在内部控制建设中开始重视外部利益相关者，将重要的外部利益相关者纳入公司内部控制系统，建立利益相关者沟通机制。在制度设计上，将外部利益相关者风险评估纳入公司内部控制程序，将社会责任作为一种企业文化融入公司的业务活动和内部控制系统，在内部控制监督中引入外部监督机制，从而实现利益相关者协同治理。

二、X能源公司内部控制建设的具体做法

基于COSO新框架的目标和原则，X能源公司以组织层面的控制为基础、以流程层面的控制为核心、以监督层面的控制为手段、以制度层面的控制为保障，建立了系统、科学的内部控制体系。

（一）以组织层面控制为基础

组织层面的控制是企业内部控制的基础，可以保障内部控制系统的高效、安全运行。X能源公司的高层领导对内部控制建设工作高度重视，成立了内部控制委员会，负责全面领导与推进公司内部控制工作。为了保证内部控制委员会的独立性和权威性，X能源公司对公司的组织结构进行了调整，将内部控制委员会嵌入公司的治理结构。

X能源公司的内部控制委员会独立于其他任何部门，直接接受董事会领导并向董事会报告工作。内部控制委员会下设具体的职能部门，全面负责公司内部控制的建立与实施。经理层负责组织领导内部控制的日常运行，保证内部控制目标的实现。审计委员会负责对内部控制的运行状况进行日常监督检查与持续评价，对公司内部控制存在的缺陷提出整改建议，并有权就内部控制的重大问题直接向董事会和监事会汇报。监事会负责对内部控制的有效性进行监督。

（二）以流程层面控制为核心

流程层面控制是公司内部控制的核心。X能源公司在会计师事务所的协助下，对公司的业务流程和管理流程进行了认真梳理，将风险管理贯穿于企业业务活动与管理活动的全过程，并借助信息化手段对公司的业务流程和管理流程进行了重组与优化。一方面，强化风险管理理念，在公司内部控制委员会下设置专门的风险管理机构，对公司潜在的各类风险进行识别与分析，对风险发生的概率及重要性等级进行科学评估，并通过业务流程再造将风险控制点嵌入公司业务流程的各个环节，通过信息化手段进行实时监控与风险预警。另一方面，通过管理流程优化，将内部控制嵌入公司的日常管理活动，以流程为主线，深化过程管理，对公司管理流程中的风险事件进行识别与评估，确定责任主体与管控重点，并将管控措施嵌入公司的管理流程，通过标准化流程管理来实现公司内部控制的目标。

COSO新框架要求管理层关注包括供应商和分销商在内的价值链管理，考虑可能导致内部控制失效的外部环境因素。因此，X能源公司对采购管理、销售管理、生产管理、环境管理等重要业务流程进行了梳理，筛选出其中可能涉及的重要外部利益相关者。运用利益相关者管理的方法，分析不同类型利益相关者的特征，评估其对公司内部控制的影响及潜在的风险等级，制定相应的利益相关者管理策略。通过利益相关者管理，将公司内部控制的范围延伸到价值链上各个风险主体，防止供应商、分销商等外部利益相关者将自身风险通过价值链传导到公司内部。

（三）以监督层面控制为手段

一方面，X能源公司在其公司治理结构中明确了董事会、监事会和审计委员会在公司内部控制监督中的地位和作用。董事会负责对公司内部控制工作进行全面领导与监督，并对公司内部控制工作负首要责任；监事会和审计委员会的职能除了上文所提内容之外，当公司内外部环境发生重大变化、关键业务流程或管理岗位发生重大变动时，审计委员会还应增加对内部控制的检查与评价次数，以确保公司内部控制的有效运行。

另一方面，为保证监督的客观性和有效性，X能源公司引入了外部监督机制，聘请注册会计师对公司内部控制设计与执行的有效性进行定期检查，并发表独立的评价意见。与以公司治理层为主体的内部监督不同，注册会计师对公司内部控制的监督属于独立的第三方评价，其评价意见对公司不具有强制执行力，但可作为公司对各相关部门、人员进行业绩考核的依据。

作为推动公司内部控制持续改进的一种手段，内部监督一般不定期进行，主要对公司内部控制的执行情况进行日常检查与持续评价；外部监督一般定期开展，检查频率因公司管理层需求的不同而不同，出具的内部控制评价报告具有较强的客观性和独立性。X能源公司将内部监督与外部监督相结合，体现了利益相关者协同治理的内部控制理念，保证了对公司内部控制的持续、有效监督。

（四）以制度层面控制为保障

X能源公司根据COSO新框架的原则与标准，同时参考财政部发布的《企业内部控制基本规范》与《企业内部控制评价指引》，结合公司实际情况，制定了《内部控制工作手册》和《内部控制评价手册》，作为公司内部控制执行与评价的基本制度。前者是X能源公司内部控制实施的纲领性文件，体现X能源公司内部控制的基本理念、思路与方法，内容涵盖内部控制目标、控制环境、风险评估、控制活动、信息与沟通等，可帮助公司员工理解公司内部控制的基本流程，掌握公司内部控制方法，从而正确实施内部控制。后者是X能源公司对内部控制的有效性进行评价的指导性文件，是公司审计委员会对内部控制工作进行监督评价的依据，涵盖公司内部控制评价的内容、目标、方法、标准以及流程样本，体现了公司内部控制的所有重要流程。

考虑到公司内外部环境的多变性和管理问题的多样性，X能源公司对《内部控制工作手册》和《内部控制评价手册》进行动态管理，每年根据内外部环境的变化和新出现的问题对手册进行持续修订和完善，以确保制度的先进性和完整性。■

责任编辑 李卓