时下，内部控制与风险管理在政府、学界和企业界倍受推崇，尤其是2008年6月28日财政部等五部委联合发布《企业内部控制基本规范》（简称《基本规范》）后，内部控制热度进一步升温。《基本规范》第六条规定，企业应当根据有关法律法规、本规范及其配套办法，制定本企业的内部控制制度并组织实施。事实上，企业或多或少地都制定有自己的内部控制制度，只是多数企业没有冠以“内部控制制度”这个名称，而是以管理“制度”、“规则”、“规定”、“办法”、“实施细则”和“流程”等形式来体现。不过，现实地看，目前企业内部控制制度的设计还存在许多问题，这些问题即使是在那些由国际著名的管理咨询公司所设计的内部控制制度中也是存在的。

一、内部控制的制度结构

实际上，很多企业的内部控制制度在结构上还很不完整《基本规范》的“应用指引”着眼于“财务报告内部控制”，提出了资金、采购、存货、销售等22项控制内容，但从“经营活动内部控制”的视角看，这22项内容显然是不完整的。比如，现代企业的经营是战略导向的，战略风险应是企业经营的最大风险，近年来许多知名企业的落败也主要是由战略越位、错位或不到位所致，所以战略控制应是内部控制的重要组成部分，但“应用指引”并没有反映；再如，不同行业的经营范围和结构有别，而“应用指引”显然并不能体现这些经营差别。内部控制制度在体系上残缺不全的主要原因是设计者在设计企业内部控制制度体系时，忽视了企业功能分析这个重要的前提性工作，即使是那些著名的国际咨询公司也没有对企业功能分析给予应有的关注。

不同行业或企业的活动或功能是有差别的，而所有企业的功能或活动不外乎三大类：一是经营活动或经营功能。基于行业和经营方式的差别，企业的运营活动在结构上是不同的，如高速公路公司的运营活动包括营运、收费、道路养护、路政管理和服务区管理等；采取不同销售方式下的商业企业的经营活动也是有差别的；采取总分公司或母子公司体制运作的企业应包括其分支机构的经营活动。二是财务活动或财务功能。财务活动主要是围绕资金展开的，包括资金流量活动和存量活动，具体包括融资、投资、资金往来、账户、资产、信用、工程项目、票据、成本费用、担保、收益分配、对分支机构的财务活动等。三是管理活动或管理功能。对财务与经营活动的管理需要借助众多的管理工具，这些管理工具事实上也是内部控制制度体系的组成部分，包括组织设置与管理、战略、风险评估与管理、全面预算、外包管理、招投标管理、法律事务管理、环境管理、合同管理等。所有这些活动实际上都是存在风险的，理应纳入内部控制的制度体系中。与此相对应，完整的企业内部控制制度体系也就包括经营控制制度、财务控制制度和管理控制制度三个子体系。

对企业的活动和功能分析可以显示内部控制制度体系“应有”的范围和状态，对照企业内部控制制度体系的“实有”范围和状态，不难发现企业内部控制在制度制定上实际存在两种状态：“缺位”和“不到位”。如信息管理、制度管理、战略管理等功能在制度上是缺位的；运营分析、外包管理等在制度上是不到位的。

二、内部控制制度的表现形式

现实地看，很多企业的制度缺乏有效执行力的原因与制度的表达形式有关。一方面，制度总是过于零散，缺乏应用的层次性且名称混乱；另一方面，与国家的法律法规一样，总是乐于选择“条文”的表达方式，以致于制度冗长，篇幅较大。这些是困扰企业的一大问题，只是许多人没有意识到而已。

1.内控制度的层次结构。成系统、成体系的制度都是分层次的，如会计准则有基本准则和具体准则两个层次。就单个企业而言，内控制度体系应有三个层次，即内控大纲、内控基本制度和操作手册。其中，内控大纲是对企业内部控制制度框架性和原则性的规定，在整个内控制度体系中所起的作用类似于公司章程，应结合企业章程、组织架构、经营特点和管理要求等制订。内控基本制度是按功能结构展开设计的，比如对应融资活动有融资的控制制度、对应营销活动有营销的控制制度。操作手册是对基本制度的具体化或实施细则。不同层次的内控制度在名称上是有差别的，而同一层次的内控制度在名称上最好统一，如第二层次的基本制度可统一以“管理办法”命名，第三层次可统一以“操作手册”或“实施细则”命名。无论如何，企业都应改变目前制度名称混乱、层次不清的局面。

2.内控制度的表达方式。内控制度的表达方式有条文、流程图和控制表三种。实际工作中企业往往乐于选择条文的形式，但实际上这是最不清晰、最不容易被制度执行者所理解的方式，企业完全可以选择更灵活、更清晰、更容易理解和接受的表达方式。具体到内控制度的三个层次，其表达方式可以而且应该有别，内控大纲自然是条文形式，基本制度可以采取条文与流程图相结合的形式，操作手册可以选择控制表形式。条文和流程图形式已在实践中被广泛接受，控制表形式还鲜见采用。表1提供了业务流程或流程节点的控制表参考格式，该表格既涵盖了内部控制的五大基本要素，又涵盖了条文形式表达的内控制度的基本内容。

3.内控制度的行文结构。在多年的内控设计实践中，笔者发现内控制度的行为结构千差万别。企业内部控制规范的“应用指引”采取的是“流程式”行文结构，以《销售》为例，四章内容分别为总则、职责分工与授权批准、销售与发货控制、收款控制。流程式行文结构虽可清晰地展示出业务流程环节及不同节点的控制内容和控制措施，但该业务流程的风险点、风险重要性等级、风险应对策略等控制要素却很难直接、清晰地显现出来。实践中，有的企业选择“风险式”，也就是在描述业务风险点的基础上，按风险点设置章节和设计控制措施等，其优缺点与流程式正好相反。笔者认为，企业在设计内部控制制度时，最好将流程式与风险式结合起来，这种结合的格式可取名为“流程风险式”，其行文结构的一般格式是：目的和术语、职责分工与授权批准、业务流程与节点内容、分节点的控制要素设计等。其中，“业务流程”的最佳表达形式是流程图，“分节点的控制要素”的内容要完整、清晰地描述各个流程节点的风险点、风险重要性等级、风险应对策略等。流程风险式将流程图与条文相结合，同时又能清晰地描述业务流程的风险点，并有针对性地提出风险控制措施，应该说是一种灵活、清晰、完整的行文方式。

三、内部控制制度管理中的牵制制度

内部牵制是内部控制的核心。不仅内部控制需要内部牵制，而且内部控制制度本身的管理也需要内部牵制。内部牵制包括分离式牵制和合作式牵制两种，其中分离式牵制又包括权能分离与性态分离、岗位分设与部门分置等具体方法，合作式牵制包括会议、会审、会签、协助等多种机制。迄今为止，人们对内部牵制的关注多集中于分离式牵制且集中于业务与财务管理领域的分离式牵制，却很少在制度管理中构筑内部牵制，以至于制度管理中缺乏牵制的情形到处可见。如采购制度由采购部门负责制定并执行，销售制度由销售部门负责制定并执行，财务制度由财务部门负责制定并执行等，同时制度文档通常也是分属于制定部门管理，很难通过一个部门来全面掌握企业的所有制度文件。因此，若要在制度管理中体现内部牵制的思想，就需要对目前流行的制度管理作一些改进。

1.集中归口管理。制度管理需要从分散管理向集中管理转型，这要求企业必须明确制度的归口管理部门，由其集中负责管理企业的全部制度。《基本规范》第十二条规定：“企业应当成立专门机构或者指定适当的机构具体负责组织协调内部控制的建立实施及日常工作。”这实际上也体现了内控制度集中归口管理的思想。实践中，企业可以专设部门负责制度管理，也可以将制度集中管理的责任落实到一个部门（如办公室或企业管理部等）。不过，在安排归口部门时，要注意将内控制度与非内控制度结合；在经过ISO9000认证的企业，要将认证制度与内控制度结合。也就是说，负责内控制度管理的部门同时还应负责管理其他制度，以使制度管理能够集中统一。

2.权能分离牵制。在制度管理中实现权能分离牵制，需要将制度的制定、执行与监督评价三种权能在组织设计中分离，也就是分属三个部门或岗位来管理。一般情况下，制度的制定权根据《公司法》和公司章程的安排应配置给公司董事会或经理班子，制度的监督评价工作由制度归口管理部门集中负责，其他部门或岗位均属于制度的执行主体。问题的关键是制度由谁来起草。通常的做法是由制度执行部门起草，这样安排是出于对业务或财务的熟悉程度的考虑，但起草部门的本位利益以及对规则的初始定位往往会对制度的后续审议产生重大影响，最终可能会影响制度的公正性。解决这个问题的最佳方式也许就是引入合作和透明机制。

3.合作与透明机制。制度管理中的合作与透明机制最主要的是在制定环节。至少有三种合作与透明机制：一是内控制度的制定由制度归口部门集中组织，执行部门在区分主办部门与协办部门的基础上合作起草制度；二是外包，即将制度的起草工作委托给外部专家，执行部门协助；三是在公司治理和管理的各个层面广泛讨论和征求意见的机制。

四、内部控制制度的制定方式

尽管内控制度的设计有自供和外包两种，但许多公司因缺乏自行设计内控制度的能力而乐于采取外包方式，更有一些知名的大公司热衷于将内控制度设计外包给国际知名的管理咨询公司。不可否认的是，专业的咨询公司特别是国际性咨询公司拥有更多管理咨询和制度设计的知识和经验，但其提供的内控制度也并不是没有问题。根据笔者对一些国际咨询案例的研究发现，整个咨询过程至少忽视了四个决定内控体系有效运行的关键性因素：①忽视企业的活动或功能结构分析，以致于整个内控制度体系在结构上残缺不全，未能涵盖全部引起风险的活动和功能；②忽视风险重要性分析，对大小风险一视同仁，以致于内控流程繁琐复杂；③忽视信息分析与规划，缺乏对部门和岗位的信息需求、信息供给、信息缺口及信息传递问题的分析，以致于内控所需要的信息及其传递依然不畅；④忽视内控的文化适应性分析，以致于一些国际通行的经验和所谓的标准做法在实践中难以通行。因此，对于采取外包方式设计内控制度的企业，自身也应具备一些制度设计的知识，以便对外包后的风险进行有效的管理控制。

在内控制度外包上，另一个值得研究的问题是外包的范围和方式。有两种方案可供选择，即整体外包与局部外包。整体外包是从调研诊断到制度起草等制度制定的全过程都实行外包，企业内部人员仅在其中扮演协助或辅助者的角色。尽管很多企业选择了整体外包，但笔者并不认为这是最佳选择。首先，不管承包方对内控制度设计多么专业与精通，但要想在短时间内充分了解整个企业是十分困难的。其次，整体外包不利于企业内部相关人员研究问题和熟悉制度，从而也就不利于提升制度的执行力。因此，对一些员工素质还不是较差的企业来说，笔者倾向于采取局部外包的模式，也就是将制度设计的全过程分解为调研诊断、制度框架设计、制度起草和修改定稿四个阶段，其中，调研诊断和制度框架设计要外包；制度起草在承包方的专家指导下由公司内部相关人员负责完成；制度的修改定稿由双方合作完成。

五、内部控制制度的制定程序

对于内控制度的制定程序，人们所关注的往往是“立项——起草——征求意见——修订——审批签发”整个过程中每项工作“由谁来做”，而忽视了“应该怎么做”，结果制度的制定几乎在每个环节上都出现了这样或那样的问题。

1.立项。各项活动与功能往往是既定的和可预知的，所以企业完全可以事前就通盘考虑和规划应有的制度，问题是要以对企业活动或功能结构的科学分析为前提。根据笔者的经验，企业的活动和功能模块大体有30项左右，对应每个功能模块，就应该有一项基本控制制度和若干具体操作手册。

2.起草。首先，制度的起草要以充分的调研诊断为前提，也就是以系统的流程再造思路的提出为前提，这样才能做到制度起草与流程再造的有机结合，以使制度体现“应该怎么做”的规范要求；其次，制度起草过程中必须对企业整体风险和业务流程风险进行识别和分析，区别重要风险和次要风险，在此基础上确立“可接受的风险水平”，从“可接受的风险水平”而不是“风险最小化”的立场设计控制措施，以免内控被人为繁琐复杂化而流于形式；再次，制度的起草要与企业战略和文化对接，防止出现内控制度与战略及文化相脱节的状况。

3.征求意见。企业应借助现代网络技术，在适当的范围内向企业内部相关员工征求意见，使制度的制定过程更加公开、透明，提升制度的公信力、理解力和执行力。

4.审批。实践中很多企业并不清楚哪些制度应由董事会审批、哪些制度应由总经理或总经理办公会议审批，尤其是相关法规没有明确具体审批机构的制度项目。比如《公司法》规定公司董事会“制定公司的基本管理制度”，总经理“拟订公司的基本管理制度、制定公司的具体规章”，但操作中不同公司对“基本管理制度”和“具体规章”的理解各异。就内控制度而言，笔者认为上述三个层次的制度结构中，内控大纲和基本控制制度应由董事会或其授权人员负责审批，处于第三层次的操作手册应属“具体规章”的范畴，可由总经理或其授权人员负责审批。

责任编辑 陈利花