财务研究 | 杨雄胜：探讨内部控制的科学定义—

中国财政杂志社官方网站

回到首页

官方微博

中国财政杂志社

官方微博

官方微信

中国财政

微信公众号

财务与会计

微信公众号

信息动态

财经期刊

用户服务

当前位置：首页 > 期刊内容推荐 > 正文

财务研究 | 杨雄胜：探讨内部控制的科学定义——论通用的内部控制理论

时间：2026-08-04

作者： 杨雄胜

来源：《财务研究》2026年第4期

引用本文请复制此条目：杨雄胜.探讨内部控制的科学定义——论通用的内部控制理论 [J]. 财务研究，2026，（4）：3-12.

探讨内部控制的科学定义——论通用的内部控制理论

杨雄胜

摘要：内部控制在整个控制体系中扮演着保障性功能角色。对于目前内部控制理论与实务，在范围与内容方面该如何把握？本文认为，内部控制作为保障性控制，明确区别于业务控制、组织控制、管理控制与信息控制，具有“制动性”与“嵌入性”两大基本特征，通过建立行为“边界”与“尺度”标准，规范并系统约束人类行为；在具体实务中，与业务、组织、管理与信息控制相融合，以可定义、可观察、可计量、可知道、可控制、可验证的“禁止事项”与“风险容忍度”为基本抓手，为业务、组织、管理、信息控制实现目标提供合理保证。

关键词：内部控制；概念定义；角色定位；禁止事项；风险容忍度

作者简介

杨雄胜，1960年2月出生，东北财经大学会计学博士，江苏启东人。南京大学会计与财务研究院院长、南京师范大学特聘教授、博士生导师。财政部首批会计名家。

主要研究领域：内部控制、会计基本理论、财务管理、管理会计。已在《会计研究》《财政研究》《管理世界》《经济科学》《经济学动态》《经济理论与经济管理》《中国经济问题》《财务研究》等杂志发表学术论文二百余篇。出版专著、主编教材十余部。

兼任：⑴中国会计学会常务理事、内部控制专业委员会主任；财政部内部控制标准委员会委员。⑵河海大学、南京理工大学、安徽财经大学、安徽工业大学、浙江财经学院等高校兼职教授。⑶宁沪高速、航天晨光、国电南瑞等几家上市公司独立董事。

直接参与财政部“内部控制基本规范”与“货币资金内控规范”两个全国性文件的起草；直接主持了财政部“内部控制”三个文件工程项目、采购与付款、销售与收款的起草工作，以上五个文件已在全国范围内发布实施。1994年以来，先后八次获中国会计学学术成果最高奖、中国会计学会年度优秀论文奖。2008年，财政部全国先进会计工作者。

文章结构框架

（点击可看大图）

内部控制历来是会计与审计领域的热门议题。中国会计学会提出的构建中国自主会计知识体系目标框架中，内部控制是五大核心内容之一。加大内部控制的理论研究与实践探索力度，是当前中国会计业界的当务之急。但立足会计与审计视角研讨内部控制问题，始终面临着对内部控制难以作出明确概念定义之困境，这一不足成为中国自主的内部控制知识体系问题研究起步时首先需要突破的瓶颈。事实上，我们至今无法定论，内部控制作为一种成熟的社会性制度，首先出现在西方还是东方？即使局限于中国历史，它究竟出现在哪个朝代？作为一个理论概念，内部控制在政治、经济、法律、社会、管理学等诸学科中应归属于哪一个学科？为此，会计视角研究内部控制，面临着理论与现实背景难以明确的双重困境。

一、内部控制究竟是什么？

目前的状态是，内部控制大家都知道但谁也无法说清楚。从理论上看，会计与审计领域已有了一个国际公认的有关内部控制的COSO定义：内部控制是一个由主体的董事会、管理层和其他员工实施的，旨在为实现运营、报告和合规管理目标提供合理保证的过程。这个定义似乎也赢得了社会各界的普遍认同。但从学术研究角度看，COSO内控定义既没有为内部控制确定明确的对象，也未能非常清楚地揭示内部控制的内涵与外延，因此，不仅难以规范社会各界对内部控制的基本认识，反而造成了学界与实务界对内部控制理解各执一词、莫衷一是的局面。汇总近几年已发布的有关内部控制各种文件，也很难对内部控制的基本内涵以及内容与边界形成相对确定的认识。而且，各类咨询公司、会计师事务所以及众多的企事业单位的内部控制实务，呈现出“百花齐放，万木争春”的场景。这些都表明，中国内部控制研究面临巨大挑战，加快相关研究显得尤为迫切。

深化内部控制问题研究，首先需要解决观察内部控制问题的基本视角问题。因为内部控制问题的基本视角不同，其内涵与外延的概括必然产生完全不一样的说法。如何思考内部控制问题，学术界已经客观地形成了两种截然不同的视角。

（一）望文生义的内部控制概念

所谓望文生义，就是把内部控制定义为相对于外部控制的概念。如此定义的背景，是理论界简单地把系统、职能、制度意义上的控制甚至人类全部意义上的控制，都视作为包括内部控制与外部控制两个基本组成部分。这样的观点，在政治学与社会学中比较普遍。

美国特里·L.库珀在《行政伦理学》（张秀琴译，中国人民大学出版社2010年出版）第6章“维持公共组织中的负责任行为：两种方法”，明确地把“内部控制”作为与“外部控制”相对应概念而放在一起讨论。他把需负责任情形分为两种基本场景：有事生非与无事生非。解决这两个基本问题，就相应产生了外部控制与内部控制。由此，外部控制具有“强制性”特性，内部控制更多体现了“自律性”。“有事生非产生外部控制，无事生非产生内部控制”的说法，分别以人性是“集体建构”还是“自我建构”这两种完全不同假设为理论前提。专家们认为，在实践中，外部控制与内部控制各有存在基础，必须有机结合才有可能取得预期的控制效果。当务之急是力保内部控制和外部控制之间的平衡，并使二者达成和解。也就是说，必须施加充足的外部控制以防止个人沉溺于私利，还要有充足的内部控制来鼓励更多的社会性建构、理想主义、利他主义以及以成功为导向的创新精神。这一平衡对于公共行政人员的负责任行为来说是必不可少的，然而，也有必要让内部控制和外部控制彼此互相补充以增强控制力。它们必须支持同一种行为，而不能发出互相冲突的信号指示。（事实上）我们在组织中制定的政策、行为标准、规章和监督程序常常与公开拥护的公务员运用其进行决策的价值观相左。如何解决书中提出的这一难题，库珀建立了负责任行为“四要素”模型，即通过“优化个人道德品质、严格组织制度、营造组织文化、满足社会期望”这四个途径，实现外部控制与内部控制的功能整合。

无独有偶，在社会学中，也习惯于把内部控制作为一个与外部控制相对应的概念。例如美国詹姆斯·克里斯在《社会控制》（纳雪沙译，电子工业出版社2012年出版)一书中认为人类控制有两个子类别:内部控制与外部控制。人类内部控制相当于自我控制，以“自我”为控制目标。外部控制是内部控制以外的所有控制，以“他人”为控制目标，包括近距离控制、顺序控制、社会控制。社会控制又分为五类：参照控制、申述控制、替代控制、调节控制与前奏控制。

（二）功能角色的内部控制概念

所谓功能角色，是指从内部控制在整个控制系统或机制中所定位的功能角色，来定义内部控制概念。如此阐述内部控制，自然涉及对整个控制系统或机制的基本理解。按通行理解，控制系统一般由目标、实施、纠偏三个环节或要素构成。从控制角度看，“目标环节”是为了确保系统不偏离自己的使命担当。这个环节，健全严格的治理结构是基础。“实施环节”是为了确保系统行为不偏离实现目标的轨道。这个环节，灵敏、及时、准确的信息系统至为关键。“纠偏环节”是为了对实际过程出现的各种有可能影响系统目标顺利实现的各种行为与问题，作出未雨绸缪或及时纠正处置。这个环节，刚性制度与确保执行到位的措施是前提。由此，形成了决策或方向性控制、行动实施或行为性控制、偏差或保障性控制三大基本控制制度。其中，方向性控制形成了法人治理制度；行为性控制形成了业务控制、组织控制、管理控制、信息控制四大基本控制制度；保障性控制形成了内部控制制度。按通行说法，内部控制制度的概念定义，是由控制系统或机制中保障性功能角色决定的。这是在目前经济、管理与法律领域占主导地位的内部控制观点。会计与审计业界占主导地位的COSO内部控制概念，也是功能角色观的体现。功能角色观的内部控制虽然在概念上比较一致，但在具体制度与实务乃至教科书以及学术研究层面，内部控制却成了一个“什么都是又什么都不全是”的存在。如果我们把中国一些央企“标配”的《内部控制手册》（体系框架结构、控制环境、风险评估、控制活动、检查监督、信息沟通），与央企现有成文的各项管理制度放在一起，作个认真的比较，两者究竟是何关系？答案恐怕让我们很难对内部控制概念所明确的保障性功能角色产生比较清晰的认识。放眼世界，即使是COSO报告本身，也没有给内部控制学术研究带来多少确定性的认识。1992年COSO报告首次面世，为全球内部控制的理论与实践提供了一个目标、要素与组织层次方面相对固定的框架结构。但在学界，这样的内部控制定义，除了“合理保证”这个让人难以捉摸的词眼相对显示着内部控制的特殊性质以外，其余文字大都缺乏表现内部控制特有内涵的基本能力。即使2013年COSO内部控制改进版本报告的发布，也没有在提高整个社会正确认识内部控制问题方面产生多少实际效果。我们以一份对2013年COSO报告相对权威的专家解释性文献为例，说明COSO报告并未给内部控制学界带来多少知识进步意义上的贡献。为适应2013版COSO新内部控制框架，美国著名的风险管理专家罗伯特·R.穆勒先生在第一时间推出了个人专著《2013版COSO内部控制实施指南》（秦荣生等译，电子工业出版社2015年出版)。在该书中，作者结合多年的内部控制与风险管理理论研究与实践经验，对2013版COSO内部控制框架进行了深入解读，细化了新修订后的内部控制框架的具体内容，使读者更清楚地了解新框架的变化及其具体应用策略。作为资深专家，在该书开篇，基于COSO报告以及他个人的理解，在“企业内部控制的重要性”标题下给出了一个直观图（如图1所示）。

这样的图示，既没有准确地表明内部控制与通常企业管理的关系，因为内部控制是嵌入管理但不包括在具体管理流程与职能内的工作，图示表达的基本意思是把内部控制视作管理的一个组成部分；又没有准确地描述内部控制与风险管理的关系。如果承认风险管理属于企业管理的一个组成部分，那么，内部控制对应的是整个企业管理口径，是对企业管理实现目标提供合理保障的过程，显然内部控制工作的口径包括风险管理（对象是不确定性）但又超出了风险管理范围（对象还包括确定性）。但图1却非常清楚地表明，内部控制只是作为风险管理的一部分内容而存在，这显然严重曲解了内部控制，人为缩小了内部控制功能作用的应有范围。穆勒这本兼顾内部控制理论、制度与实务的手册，可以作为我们了解评估COSO报告背景下西方对内部控制认识整体状态的缩影。国内外内部控制业界以上现状足以说明，功能角色意义上的内部控制概念，不仅未能满足内部控制理论研究、制度建设和实践探索的现实需要，反而带来了这些层面的乱象。

二、担责当位的内部控制

会计与审计业界的内部控制，采用了功能角色视角的内部控制观。但这种视角的内部控制观，至今未能对内部控制作出恰当的概念定义，从而使内部控制理论与实践的发展，从方向选择到框架结构规范化，乃至功能作用正确定位与实践效果科学评价诸多方面，均出现了众说纷纭、难以形成共识的困局。看来，从内部控制功能角色出发，对内部控制作出科学定义，已成为当前中国内部控制事业发展亟需解决的理论问题，也是中国自主内部控制知识体系建设研发工作迈出卓有成效步伐的基本前提。这也是本文接下来所试图探讨的主题。

为明确内部控制的内涵与外延，从而作出科学定义，我们循着前述业界已有共识的基点，即“内部控制在整个控制系统中属于保障性控制”，它以决策性即方向性控制与行为性控制的功能存在并发挥作用为基本前提，继续讨论以下问题，主要集中在两大方面：其一，保障性控制的基本内涵是什么？与前置的方向性与行为性两大控制的基本差别表现在哪些点上？其二，保障性控制与行为性控制（具体包括业务控制、组织控制、管理控制）三大控制职能，存在着什么样的关系？

（一）保障性控制的本质性特征

作为控制系统的保障性控制，与方向性控制与行为性控制对控制对象作用的功能角色不同。我们遵循控制常识解答这个问题。

图2是控制系统过程的一般框架。其中， SP为初始值;控制器1为主控制器，控制器2为副控制器。冯毅萍等（2013）在《过程控制工程实验》一书中提到，一般来说，主控制器的给定值是由工艺给定的，是一个定值，因此，主环是一个定值控制系统。而副控制器的给定值是由主控制器的输出提供的，它随主控制器输出变化而变化，因此，副回路是一个随动系统。一般来讲主变量是反映生产质量或生产过程运行情况的主要工艺变量，控制系统设置的目的就在于稳定这一变量，使之等于工艺规定的给定值。综合以上，可以对一个完整的控制职能实现过程所拥有的基本环节、要素与功能作出如下具体描述：首先，任何控制系统由控制对象、测量器、执行器、控制或调节器四个单元组成。其次，以初始值为对控制对象施加影响的起点，即初始值是控制的起点。再次，任何控制过程以测量器、控制器与执行器为主体部件，以控制器为核心部件，核心部件功能通过主控与副控两个基本环节有机融合统筹作用而实现。其中，主控是对控制对象具体行为的直接控制，依据统一的标准数值进行；副控是基于主控提供的数值，对控制对象的行为当否以及行为分寸通过“阀”功能作出规制，从而决定行为应否发生以及能否继续。又次，控制器作用是整个控制系统的核心功能。控制器借助于一系列指标而发挥功能作用。测量器是控制器发挥功能作用的基础，提供控制器需要的所有指标数值。执行器是控制器对控制对象施加影响的通道与手段，确保控制器发出的所有指令及时、正确、全面地落地为控制对象行为。不难看出，整个控制系统大体上可分为对象—>测量—>控制指令—>执行四个环节或四个要素。控制指令，包括对控制对象行为“偏差的校正”即主控器作用与“应否发生、能否继续”即副控制器作用两大内容，是整个控制系统的核心功能。这样的控制指令基本结构，为我们把整个控制系统划分为“控制对象实现目标系统与为控制对象实现目标系统提供合理保障系统”这两个子系统提供了充分的理论根据。

在实践中，测量器是整个控制器发挥作用的基础，以“可靠性”为目标。“控制对象实现目标”这一控制子系统，包括了三个层面控制：业务过程即实现控制对象使命担当或存在目的的过程控制，简称业务控制；管理职能即为控制对象行为确定目标以及完成目标的技术方法手段的过程控制，简称管理控制；组织行为即为控制对象完成任务实施管理配置与使用各种人、财、物、信息资源的过程控制，简称组织控制。“实现目标系统”以业务为基础，对管理与组织产生决定作用；管理必须立足业务自身内外因素才能对目标与技术方法手段作出选择；组织对各种资源的配置整合利用必然以业务与管理要求为主要依据。由此，业务控制解决做什么的问题，以“有效性”为目标；管理控制解决做成什么以及如何做成的问题，以“战略性”为目标；组织控制为业务与管理实现目标提供充分资源与能力方面保障，以“合规性”为目标。由此，形成了任何单位所要实现目标的基本框架结构：可靠性、有效性、战略性、合规性。从而使实现目标保障系统的具体对象有了确定的内容，即为业务控制、管理控制、组织控制以及信息控制全面实现有效性、战略性、合规性、可靠性目标，提供合理保证。这种对实现目标提供合理保证的过程，就是我们所要定义的内部控制。

那么，为业务、管理、组织、信息功能实现目标提供保障的职能，即内部控制，与业务控制、管理控制、组织控制、信息控制相比，具有哪些基本特性？首先是“制动性”。业务、管理、组织、信息控制本身就是其主体行为的组成部分，即内在主体行为中，对控制对象行为具有“直接性”即“行动性”特征，而内部控制本身不属于主体实现目标行为，相对控制对象行为具有“间接性”，但对主体实现目标行为却具有应否行为与能否继续行为的决定作用，对实现目标行为具有规制作用，就形成了内部控制的“制动性”特征。其次是“嵌入性”。内部控制因“制动性”特征，而与具有“行动性”特点的业务、管理、组织、信息这几类在行使工作职能过程中具有相对“独立性”的控制相比，具有明显的“嵌入性”特征，即内部控制为了真正地实现为实现目标过程提供“合理保证”的目标，必须有机嵌入到业务、管理、组织、信息全部活动中，从而形成了“嵌入性”的基本特征，表现出了对业务、管理、组织、信息控制行为的高度依附性，与内在于控制主体自身行为之中的业务、管理、组织、信息控制明显不同。如此，内部控制不属于即不能包含于业务、管理、组织、信息控制中，但又不能独立存在于这些控制活动之外，必须有机融合于业务、管理、组织、信息控制流程中，并且在空间与时间上与业务控制、管理控制、组织控制、信息控制高度融合才能发挥作用，体现并实现了保障性控制功能角色。

（二）“合理保证”可理解、可观察、可计量的内涵

到目前为止，内部控制的合理保证功能已得到业界普遍认可，但这种合理保证功能的具体含义是什么，尚无可落地行动的解释。

在现实生活中，人们往往把业务、管理、组织、信息控制与内部控制混为一谈。一如上述，理论上似乎已经有了一个国际公认的内部控制定义，但在学术研究与实践中，这样的内部控制定义根本没有产生应有的作用。面对当今内部控制学术研究与实践现实，我们很难说清楚，内部控制到底是什么？

实际上，现在学术研究与实务中所说的内部控制，相当一部分内容应该归属于业务、管理、组织、信息控制，内部控制对实现目标提供合理保障的身份角色已严重错位甚至扭曲。那么，内部控制所内含的“合理保证”具体所指的确定内容是什么呢？

概言之，内部控制所因应的合理保证：首先，它有确定的保障指向，是对控制主体或对象的业务、管理、组织、信息这几个领域实现目标过程与结果提供保障。其次，它有明确的保障标准，不是笼统意义上无边无际、泛泛而论的保障，是合理保障，这个“理”，非常确定地是指能使业务、管理、组织、信息之存在有价值与必要的基础，具体包括两个层面：一个层面，对人类社会有价值与必要，即不能危害人类社会的生存发展，这样的行为要求，要通过内部控制制度的建立而得到具体而有效的体现并实现；另一个层面，对控制主体即自身的生存与发展有价值与必要，即不能危害控制主体自身的生存与发展，通过建立专门的内部控制并发挥作用而有效解决这一问题。在现实生活中，前者通过为业务、管理、组织、信息活动整个过程建立“能做”或“不能做”的标准清单，为控制主体各项行为提供实务意义上可否发生的判断标准，从而为控制主体的存在与行为不危害人类社会利益提供了“合理保证”；后者通过借助一系列指标水平为业务、管理、组织、信息各具体行为建立“能否继续做”的标准，为控制主体所有行为不危害自身整体利益提供了“合理保证”。这样在具体实务与基本制度建设两个方面，形成了内部控制实现自己合理保证两个基本抓手：禁止事项与风险容忍度。由此，内部控制在具体实施过程就形成了非常具体而确定的工作内容或实务特征：通过为业务、管理、组织、信息各环节、岗位所有活动建立系统的禁止事项与风险容忍度，形成一个单位完整的控制体系，为控制主体确定每一个行为“能否发生”以及“可否继续”明确标准，从而为控制主体顺利实现预期目标提供了“合理保证”。

（三）内部控制的科学定义

基于上述分析，科学定义内部控制，首先需要我们把所有控制主体行为分为业务、管理、组织、信息这四个要素构成基本层面，这一基本层面各项控制实现目标的过程即各项控制功能作用，与为各项控制实现各自目标过程提供保障即内部控制功能作用，构成整个控制体系的两个基本环节。其中，业务、管理、组织、信息为控制主体行为提供了需要直接实现的目标，构成控制系统实现目标的基本功能；内部控制是为业务、管理、组织、信息行为实现目标过程提供合理保证，从而构成了控制系统实现目标的合理保障系统，成为控制系统实现目标的辅助职能。在具体实务中，以上控制主体行为的构成要素与层次，业务无疑是主线（构成所有控制的主要与最终对象)，是控制主体赖以生存的根本原因。管理是主体行为的章法与套路。组织是主体行为的要素资源与能力即动力。信息是主体行为的神经脉络，解决控制主体行为内外有效沟通与协调问题。内部控制是整个控制系统的开关与刹车装置。具体而言，业务，主要解决做什么具体的工作、产品与服务问题，具有明确的使用价值属性，表现为提供服务或满足人类生存发展需要的功能、用途与质量。由技术参数与工艺流程决定，以有效性为基本目标。管理，主要解决业务与组织过程的各种目标设定以及实现目标完成业务、组织任务的具体战略、策略与技术方法选择问题，具有明确的价值属性，表现为业务与组织的战略规划、具体实施以及激励与约束，以目标选择与目标实现作为主要功能，以战略性为基本目标。组织，主要解决业务与管理所需的各种资源以及有效配置与运用问题，具有强烈的岗位与权力属性即政治与社会文化属性，表现为完成业务所需资源即人、财、物、信息的筹措以及有效融合运用，由岗位职能作用、权力责任体系组成基本的框架结构为核心内容，以合规性为基本目标。信息，主要为控制主体构建顺利实现目标的神经系统。这样的神经系统在现实中就是会计工作，包括会计制度与会计信息。会计的主要使命，就是让业务控制、管理控制、组织控制以及内部控制的目标设定具有规范化的定义和框架，产生了会计制度；使这些行为过程与结果具有可观察、可计量、可评价的特征，从而为业务控制、管理控制、组织控制、内部控制顺利实现目标提供基础性保障，提供会计信息发挥了实际功效。为此，会计制度与提供信息的可靠性，就成为信息控制的基本目标。内部控制，主要解决为业务、组织、管理、信息实现目标过程提供合理保证问题，具有明显的嵌入性特征，表现为为业务、组织、管理、信息设定边界与尺度，以为业务、组织、管理、信息建立禁止事项与风险容忍度体系为主要内容或抓手，使业务、组织、管理、信息之有效性、合规性、战略性、可靠性诸目标实现，也具有合理保证，在具体功能与手段上，集中表现在成为业务、组织、管理、信息全过程的开关装置与刹车系统。如此，整个控制系统实现目标就具有充分的可能。

总而言之，我们认为，内部控制是一门关于为人类行为建立并有效规范“边界”与“尺度”的科学，是人类为实现目标建立有效保障功能的基本制度。当我们把人类行为具体化为单位活动时，便形成了单位层面的内部控制。这是目前通行的内部控制定义口径。单位作为“法人”，本质上由自然人构成，因此人类行为的基本规范同样适用于单位。任何单位利益都是一群人利益的组合，其行为在追求自身利益的过程中，既可能因外部性而对更广群体（如国家、社会）造成损害，也可能因短期导向（放弃或损害长期利益）而产生自我损害。为避免损己与损他，有必要对单位行为进行规范。这种规范主要体现为两种形态：一是明确绝对不可为之事（底线），二是界定可为之事的行为限度（极限）。二者共同构成单位行为的“边界”与“尺度”，从质与量两个角度确定并守护这一“边界”与“尺度”，正是单位内部控制所要解决或完成的基本任务。这种存在于任何单位，对其行为建立“边界”与“尺度”并督促其切实执行的内在要求，在具体实践中，客观效果就集中表现在业务、管理、组织、信息目标的实现过程得到了“合理保证”。这种“合理保证”，构成了内部控制所要达成的基本目标，为所有业务、管理、组织、信息行为建立“禁止事项”（边界）与“风险容忍度”（尺度）从而形成控制体系并成为内部控制主要手段，使内部控制在获得自己独特的控制对象的同时，在方法手段上也拥有了与其他所有控制制度截然不同的特征。

基于以上分析，我们对内部控制做出以下定义：内部控制是通过“禁止事项”与“风险容忍度”管控单位行为“边界”与“尺度”，从而支撑业务、管理、组织、信息目标实现的保障系统。也可以简单表述为:以把单位行为严格控制在“边界”与“尺度”内为基本目标，以建立“禁止事项”和“风险容忍度”体系为基本方法手段，以建立健全底线与极限管理标准系统并确保其有效实现预期效果为主要职能。内部控制定义如图3所示。

三、关于内部控制与相关控制定义的讨论

（一）讨论的基本理论前提

为了在理论上为统一内部控制定义认识建立充分的认知基础，我们认为，有必要在现有理论基础上，把内部控制与业务、管理、组织、信息控制置于一个理论框架内，作简要比较研究。

在现有文献中，甚至在一些高校教科书中，有关业务、管理、组织、信息及其控制的概念定义以及它们之间的关系，事实上是众说不一。若把内部控制加入其中一并讨论，则更加混乱。

（二）业务，还是管理与组织？

在业务问题研究领域，有人认为包括“所有服务与支持生产”活动（美国H.詹姆斯·哈林顿《业务流程改进》，于增彪等译，中国财政经济出版社2002年出版），也有人认为包括“研究与开发、生产、营销与销售”三大领域（美国吉尔里·A·拉姆勒等《流程圣经》，王翔等译，东方出版社2014年出版）。业务的主要特征可能就在于“实体或主体对象性”、“技术性”和“流程性”。实体性，是指业务总是代表行为所需要达成的主要甚至是根本目的，即代表满足社会与市场需要的具体产品与服务。技术性是指业务总是依据某种科学的原理与方法而进行，这些科学原理与方法包括或源自各种自然与社会科学知识。流程性是指所有业务皆有可定义、可观察、可计量、可操作的一般过程与环节、节点。某种程度上，业务是控制主体之所以存在与所有行为能进行的根本决定因素与全部原因所在。一个单位业务说不清楚，或不明确，则这个单位就失去了存在价值，而且极有可能隐藏着巨大的欺诈动机。但业务在实务中如何认识，上述《流程圣经》又提供了如下分析视角，业务的基本目标是“绩效”，而绩效又可从组织、流程、岗位三个层面，分目标、设计、管理三个环节，搭建绩效9变量分析模型（如表1所示）。

如此看，作者把“组织与管理”要素或层面视作“业务”的一个层面或环节，业务作为一个理论范畴，不经意间被泛化而变得在内涵与外延上具有了高度的不确定，导致众多的业务领域研究成果在学术对话中难以顺畅沟通，直接影响了业务研究领域学术成果成效，以至于热门话题高潮迭起，但每个话题都昙花一现。例如业务改进、业务重组、业务再造，这些概念讨论曾经何其时髦而热烈，但现在几乎都已成明日黄花。

（三）组织，还是业务或管理？

在组织研究领域，从诺贝尔经济学奖得主肯尼斯·阿罗的《组织的极限》以及詹姆斯·马奇与赫伯特·西蒙合著的《组织》，都把业务、管理、信息作为组织中的一种行为来看待，即业务、管理、信息都包括在组织概念中，从而组织控制也拥有了几乎涵盖一切控制的特征。权力与治理结构、岗位与职责体系、激励与问责制度，这些本属于组织控制的领域，反而被业务与管理以及信息控制的内容稀释，这些组织控制擅长的职能，又为业务、管理、信息控制残酷肢解，既使组织控制研究裹足不前，又使业务、管理、信息控制研究丧失了必要的主体性。英国剑桥大学约翰·查尔德教授在《组织：当代理论与实践》（刘勃译，华夏出版社2009年出版）一书中，专设了“控制”一章，具体介绍了组织控制的主要通道或工具手段方法路径（权力、权威、专业技能、奖励）、组织控制基本层面（控制范围、控制焦点、控制机制）、控制战略（个人集中控制、官僚控制、产出控制、电子控制、人力资源控制、文化控制）、组织控制的不确定性。组织控制的无所不在、无所不能特征，由此可见。

（四）管理，还是业务与组织？

在管理控制领域，一如业务控制与组织控制领域，也是包罗万象。以美国哈佛大学教授罗伯特·西蒙斯与罗伯特·安东尼“战略绩效与管理控制系统”为代表，管理控制俨然以无处不在、无所不包、无时不用的身份，矗立于当代学界。这方面典型代表，莫过于德国学者于尔根·韦贝尔等著《管理控制引论》（王煦逸等译，上海人民出版社2011年出版）一书，管理控制理论似乎到了登峰造极的地步。该书开宗明义，“管理控制理念在相关德语文献中有着诸多不同的理解。一种对管理控制统一的理解，也就是说‘普遍接受的管理控制原则’是根本不存在的。……大量的理念受到指责，因为它们并不规范，经不起推敲，为什么管理控制要这样定义而不是那样定义。这种情况下，我们可以理解，为什么随着时间的流逝，对这种‘混乱的理念和定义’进行分类尝试也变得越来越多。因此，很长时间以来，几乎没有一本博士论文不把众多页数用于管理控制理念的阐述”。该书把管理控制的范围定义为四个方面：信息供给职能、盈利目标导向型操控职能、协调职能、领导理性保障职能。尤需指出，该书还专门介绍了“管理控制相关会计理论”，对制度经济学中会计理论与行为经济学中行为会计管理控制理论以及非主流会计理论（阐述性会计理论、组织机构会计理论、激进会计理论、后现代会计理论）作出了简评。虽然不清楚作者这样做的目的，到底是为了说明会计是管理控制重要基础，还是为了说明管理控制是会计制度与工作的基础，但可以大大增强作为一个会计学者去研究有关管理控制特别是内部控制问题的自信心。该书对管理控制的具体论述，无意暴露了作者在为管理控制立论时，可能认为除管理控制概念外，根本不存在业务控制、组织控制、信息控制与内部控制这些概念，或者说，即使存在这些概念，也已经完全包括于管理控制概念之中。这客观上使管理控制研究与实务陷于无限扩张、难以把握边界更无法精准表述内涵的困境。对于内部控制研究而言，该书还有一个值得我们予以格外关注的学术亮点，

第2章对“管理控制作为领导的理性保障”作出了较为细化的论述，使我们在研究内部控制合理保障之确定内涵问题时，有了一份内容相对可靠的参考文献。从内部控制学术研究角度看，书中有关“管理控制领导理性保障”论述部分，无疑可以成为理解内部控制合理保障具体含义时的一份弥足珍贵的理论文献。作者认为，理性包括结果理性即实质理性、过程理性或程序理性、投入理性三个层次，所谓理性保障是指“以理性的可操作性和特殊理性保障措施的可分离性为前提的，否则就不存在独立的论述对象”。该书为理性保障构建了基本的理论模型（如图4所示）。

书中还讨论了理性保障与道德的关系，非常中肯地提醒人们：“企业道德和管理控制之间的关系是多方面的。一方面，目的理性的想法和管理控制会受到企业道德的限制，在确定上级目标和选择适当工具时，都必须满足价值理性要求。另一方面，当道德行为无法带来利益时，管理控制可以（而且必须）在给定的框架下限制道德导向的行为。而当道德行为会对企业利润有积极帮助时，或是当相应的道德原则属于企业最高目标时，即不考虑经济利润贡献，道德导向的行为仍会帮助企业实现最高目标时，管理控制应该主动支持并激励这些道德行为。”从而深刻地揭示了所有控制包括内部控制最终都是为了提高人类的德行，对于充满挑战的21世纪，如何在人类社会实践包括企业经济活动中，守住并不断提升人类的德行，已经成为决定人类发展生死攸关的关键要素。上述说法，大大增强了内部控制研究在当代的紧迫感与使命感，对推进内部控制理论研究无疑具有巨大而明显的鼓舞作用。

（五）信息，成为业务、管理、组织与内控核心驱动因素

信息控制，更是一个正处于日益泛化的领域。信息化背景下，人类的意愿与欲望，大都通过信息这一基本载体表达并实现。在现代，我们每一个人都毫无例外地生活在“信息茧房”中，世界是什么样子，已不取决于客观事实，而是完全取决于自己想象成什么样子和人们告诉我什么样子。信息化、数字化、智能化以后，人们日常行为的发生与改变乃至选择，都可能只建立在信息基础上，甚至于只是信息作用的结果。毋庸赘言，信息控制在当代无疑已赢得了无处不在、无所不能、无人不从的身份与地位。如此，在信息控制面前，业务、管理、组织控制与内部控制，虽不能说纯属多余，但确已可有可无，而从成本效益角度看，这些控制已失去了存在的必要价值。

四、结论与启示

本文认为，内部控制作为保障性控制，明确区别于业务控制、组织控制、管理控制与信息控制，具有“制动性”与“嵌入性”两大基本特征，通过建立行为“边界”与“尺度”标准，规范并系统约束人类行为；在具体实务中，与业务、组织、管理与信息控制相融合，以可定义、可观察、可计量、可知道、可控制、可验证的“禁止事项”与“风险容忍度”为基本抓手，为业务、组织、管理、信息控制实现目标提供合理保证。

总结全文，我们不难发现，现有各控制理论包括内部控制理论与实务，在控制范围与功能作用层面均表现出明显的无限扩张倾向，以至于都陷入了控制边界不清、尺度模糊之困境。摆脱这样的困境，是深化中国内部控制研究的当务之急。实现这样的目标，必须回归人类建立内部控制制度初衷，找回内控初心，从而根据时代发展的新要求与科技进步的新背景，构建符合中国现代社会经济发展战略要求的内部控制制度。

分享到：

【打印】

信息动态

财经期刊

用户服务

财务研究 | 杨雄胜 ：探讨内部控制的科学定义——论通用的内部控制理论

财务研究 | 杨雄胜：探讨内部控制的科学定义——论通用的内部控制理论