有效的内部控制体系可以合理保证企业的正常运行，在一定程度上防范企业潜在风险，保证经营效益。张川、沈红波等研究表明，内部控制体系的持续有效运行有助于提升企业绩效[1]。近年来，国内外由于内部控制失效而给企业造成巨大损失乃至破产的事件屡见不鲜。为此，2002年美国国会颁布了萨班斯法案，其中103、302、404条款对确保内部控制体系的有效性做出了明确要求，但过高的执行成本，使其颇受争议。最高审计机关国际组织认为有效的内部控制有三大标准，即适时适量、明确授权以及成本效益原则。2008年我国五部委联合发布的《企业内部控制基本规范》中第四条也明确规定：企业建立与实施内部控制，应当遵循成本效益原则，内部控制应当权衡实施成本与预期收益，以适当的成本实现有效控制[2]。可见，企业内部控制的成本效益问题是企业内部控制能否有效实施的一个重要问题，其关键在于如何准确衡量企业内部控制的成本效益。此外，有效的内部控制，应该能够防范潜在风险，保证经营效益，控制管理成本。因此，本文认为有必要对内部控制效益、内部控制成本和企业风险之间进行经济合理性分析。
从现有的关于内部控制研究来看，大部分学者对内部控制的有效性进行了广泛深入的研究。与以往研究不同，本文构建了一个考虑内部控制效益、内部控制成本、企业潜在风险与企业风险承受度在内的内部控制强度选择模型，从整体上对企业内部控制经济合理性进行分析，并提出保证企业内部控制经济合理性的建议。
一、相关概念
内部控制效益是指内部控制的方法、措施和程序在企业内得到良好运行所应达到的控制目标之一，主要表现为企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略等[10]。内部控制成本是指在建设、运行以及维护内部控制过程中所发生的各项费用和失去的资源，例如内部控制制度和流程的设计与实施费用、聘请专业机构提供咨询服务费用、建立融入内部控制要求的信息系统费用、聘请会计师事务所开展内部控制审计费用等；企业潜在风险是指一种可以识别的不确定性，这种不确定性能够对企业经济利益或其他利益造成不利影响；企业风险承受度指的是企业能够承担的风险限度，包括整体风险承受能力和业务层面的可接受风险水平[8]。
内部控制强度①是指企业建立与实施内部控制的执行强度[11]。内部控制的执行行为主要涉及两个方面：一是建立和完善内部控制体系运行时所需的制度安排；二是执行内部控制制度的实践行为。内部控制强度就是用来度量一个企业执行内部控制制度的程度，是对以上两类行为的抽象综合度量。企业建立的内部控制制度越完善、越科学，内部控制制度执行越严格，内部控制强度就越强。企业内部控制效益、成本、潜在风险及内部控制强度的主要因素说明如表1所示。
二、企业内部控制效益与成本习性
(一)内部控制效益与内部控制强度的关系
假定建立与实施内部控制给企业带来的收益为E，企业建立与实施内部控制的强度为X，那么内部控制收益E与内部控制强度X之间的关系可以分为以下四个阶段：第一，低于一定水平的内部控制强度的内部控制收益几乎为零；第二，随着内部控制强度的增加，内部控制收益将逐步显现，且在一定范围内，连续增加的内部控制强度所带来的内部控制收益的增量是递增的；第三，随着内部控制强度的进一步增加，内部控制收益继续增加，但连续增加的内部控制强度所带来的内部控制收益的增量是递减的；第四，当内部控制强度达到一定水平时，进一步增加内部控制强度，内部控制收益不发生改变。现假设内部控制收益是内部控制强度的函数：E＝g(x)，那么该函数应该存在如下特性：(1)当X∈(0，a)时，E＝0；(2)当X∈(a，b)时，dE/dx＞0，E/d＞0；(3)当X∈(b，c)时，dE/dx＞0，E/d＜0；(4)当X∈(c，＋∞)时，dE/dx＝0。内部控制效益与强度关系的具体图形表示见图1。
图1 内部控制效益与内部控制强度的关系图
(二)内部控制成本与内部控制强度的关系
假定企业建立和实施内部控制所耗费的成本为C，内部控制成本C与内部控制强度X的关系，我们可以利用模型进行说明。这里将内部控制强度X看成是施行内部控制的企业生产的特殊产品。在短期内，内部控制所需使用的办公设备、管理费用和少数管理人员及其薪金(统称为固定投入资本)等要素固定不变，将人力投入等可变要素的投入量合计为L。根据边际报酬递减规律，当两种或两种以上要素结合生产一种产品时，若一种要素可以变动，其他要素固定不变，则随着可变要素增加，可变要素的边际产量一般经过两个阶段：(1)当内部控制强度小于某一特定值时，增加该要素投入所带来的边际产量是递增的，即dX/dl＞0和X/＞0；(2)当内部控制强度大于某一特定值时，增加该要素投入所带来的边际产量是递减的，即dX/dl＞0和X/＞0。
根据上述对内部控制强度函数的界定可知，内部控制成本与内部控制强度之间存在一定函数关系。内部控制成本C由投入量可变要素L的成本及固定投入资本的成本组成，假定要素市场上要素L的价格是给定的，并
记要素L的价格为w，w×L(x)为可变投入成本，为固定投入成本，则内部控制成本C与内部控制强度X的函数表达式为：C＝w*L(x)＋。其中：C为内部控制成本；x为内部控制强度；w为可变要素的价格；为固定投入资本；L(x)为可变投入要素的数量，是内部控制强度X的函数。该函数具有如下特性：(1)当内部控制强度小于某一特定值时，dC/dx＞0，C/d＜0；(2)当内部控制强度大于某一特定值时，dC/dx＞0，C/d＞0，具体图形表示见图2。
图2 内部控制成本与内部控制强度的关系图
三、企业潜在风险与风险承受度习性
(一)企业潜在风险与内部控制强度的关系
在一定范围内企业内部控制强度和风险之间存在负相关关系，内部控制的关注点是执行，一个有着高执行力的企业其风险往往较一个有着低执行力的企业要小。当然，这也并非绝对，当企业战略失误时，一个有着高执行力的企业面临的风险可能更大，但本文为了简化讨论，仍然使用本段前一假定。随着企业内部控制强度的进一步增加，企业风险并不是降至零，而是趋近于某一个值，这一部分风险即为在其他条件不变的情况下，企业无法通过内部控制的完善来减少的风险。企业风险中能通过内部控制的完善来减少的那部分风险包括信息风险、部分战略风险、部分经营风险、部分财务风险等，而不能通过内部控制的完善来减少的那部分风险包括环境与法律风险、灾害风险、部分战略风险、部分经营风险、部分财务风险等。假定企业面临的潜在风险为R，那么企业风险R与内部控制强度X的关系可以用函数表示如下：
(二)企业风险承受度与内部控制强度的关系
企业风险管理的关注点是约束，这种约束就是允许企业承担的最大风险(R*)，即企业风险承受度。企业风险承受度的多少，一部分来自企业自身的要求(R_in*)、一部分来自于社会的要求(R_out*)，且我们把来自企业自身的那部分约束，分解为不受企业内部控制或风险管理水平变动影响的部分(R_in_fix*)与受企业内部控制或风险管理水平变动影响的部分(R_in_chg*)。假定R_out*与R_in_fix*在一定时期内是不会发生改变的，即作为模型的外生变量，合计为R_fix*，则：
通过C与X，E与X关系的函数可以分析内部控制的经济性。为方便分析，本文画出内部控制成本与效益分析图(见图6)。可知，使内部控制经济(内部控制效益大于成本)所需投入的内部控制强度区间为g至i，X＝g与X＝i所对应的点我们称之为经济补偿点，此时的内部控制效益等于内部控制成本。根据边际原理，使内部控制最经济的点应该是内部控制边际效益等于边际成本的点，即内部控制效益与内部控制成本的差最大时所需投入的内部控制强度h。
图6 内部控制成本、效益分析图
通过分析R*与X，R与X的函数可以得出企业风险管理最基本目标实现所应投入的最小内部控制强度。为方便分析，本文画出潜在风险及风险承受度分析图(见图7)。当X＜m时，企业面临的风险R超过了企业及社会允许企业承担的最大风险R*，这说明没有达到风险管理最基本的目标；当X＞m时，企业面临的风险R未超过企业及社会允许企业承担的最大风险R*，这说明达到风险管理最基本的目标。
图7 潜在风险、风险承受度分析图
结合图6和图7，我们可以判断：①当m＜h时，企业可以选择的内部控制强度为h，此时企业既把风险控制在了风险承受度内，又能使企业的内部控制达到最经济。②当m＞h时，h点已超过了企业风险承受度，企业应当选择的内部控制强度为m，此时企业内部控制不可能达到最经济状态，甚至有可能是不经济的，但即使是这样，企业还是应当选择这个内部控制强度m。因为当m＜i时，以m为内部控制强度，企业内部控制仍然是经济的；只有当m＞i时，以m为内部控制强度，企业内部控制才是不经济的。
五、提高风险管理水平对内部控制经济合理性的影响
(一)对内部控制成本与内部控制强度关系的影响
内部控制成本中有一部分是企业进行风险管理产生的。例如，在风险管理中有一个程序是检查和评价，这个程序的执行不可避免地要依托内部控制。因此，风险管理水平的提高，有助于压缩由企业进行风险管理产生的那部分内部控制成本。故相同内部控制强度下，风险管理水平的提高，能够使得内部控制成本得到缩减，缩减的这部分主要是企业进行风险管理产生的内部控制的成本。同时，我们假定在一定范围内，随着内部控制强度的增大，缩减的这部分内部控制成本也增大；但随着内部控制强度的进一步增大，缩减的这部分内部控制成本将维持在一定水平，这是由于企业进行风险管理产生的内部控制成本是一定的，随着风险管理水平的提高，能够压缩的这部分内部控制成本也是一定的，即内部控制成本由下降到，具体图形表示见图8。
(二)对企业风险与内部控制强度关系的影响
在一定范围内企业内部控制强度和风险之间存在负相关关系，但随着企业内部控制强度的进一步增加，企业风险趋近于某一个值，这一部分风险在其他条件不变的情况下，企业无法通过内部控制的完善来减少，只有随着企业风险管理水平的提高，这一部分风险才将会不断减少。此外，在相同的内部控制强度下，随着风险管理水平的提高，企业可以通过内部控制的完善来减少的那部分风险将随着风险管理水平的提高，由下降到，具体图形表示见图9。
(三)对企业风险承受度与内部控制强度关系的影响
企业风险管理水平对企业风险承受度与内部控制强度之间的关系有着重大影响，相同的风险对不同的风险管理水平企业的影响显然是不同的，它表现为风险管理水平较高的企业能够更好地识别潜在风险、更好地应对风险。因此，一方面，在相同的内部控制强度下，风险管理水平的提高能够使得企业的R_in_chg*增大；另一方面，企业风险承受度达到最大值时所需的最小内部控制强度将减小，即提高风险管理水平，企业风险承受度由上升到，具体图形表示见图9。
(四)对内部控制经济合理性的影响
企业风险的管理水平通过风险管理影响内部控制成本与内部控制强度之间关系，从而达到对影响内部控制经济合理性的目的，具体图形表示见图8。这样内部控制经济即内部控制效果大于成本所需投入的内部控制强度区间由原来的增大为。这说明随着风险管理水平的增强，同一控制强度对应的内部控制效果与内部控制强度之间的差额将增大。
企业风险管理水平通过风险管理影响企业风险与内部控制强度以及企业风险承受度与
内部控制强度之间的关系，达到影响实现风险管理最基本目标所应投入的最小内部控制强度水平，具体图形表示见图9。这样达到企业风险管理最基本的目标所应投入的最小内部控制强度由减少至。
对于＜的企业，随着风险管理水平的提高，企业的内部控制效果与内部控制强度的差额将增大，即内部控制更经济；对于＞的企业，随着风险管理水平的提高，可能可以实现由原来的内部控制不经济向内部控制经济的转变。
所以，风险管理水平的提高对内部控制有着重要影响，这种影响直接体现在对内部控制成本与内部控制强度关系的影响、企业风险与内部控制强度关系的影响、企业风险承受度与内部控制强度关系的影响上，它表现为能够使得内部控制更经济，或使实现内部控制不经济转为内部控制经济。
六、结论
从经济学角度来看，任何一个理性的企业如果要建立和实施内部控制，必定会考虑其成本效益，只有建立和实施内部控制产生的效益大于其成本，企业才可能建立并实施内部控制。因此，如何平衡好内部控制体系建立和实施过程中的成本效益问题，是企业内部控制建设过程中需要关注的重要问题。根据上文对企业内部控制经济合理性的分析，企业在建立和实施内部控制时应该注意以下问题。
(一)确定合理的内部控制强度
内部控制制度的设计和建立固然重要，但内部控制执行强度首先取决于内控制度本身，因此完整、合理、有效的制度设计是将其付诸实施的前提条件度。因为当内部控制强度较弱时，内部控制成本可能等同于浪费，此时企业的潜在风险可能对企业造成巨大损失，内部控制效益便无从谈起，企业内部控制投入得不偿失；当内部控制强度过强时，企业的内部控制成本将会急剧增加，有可能使所增加的内部控制成本无法获得补偿，造成企业内部控制不经济；只有选择合理的内部控制强度，既把风险控制在风险承受度内，又能保证企业内部控制经济合理性，这样才能实现企业内部控制的目标。
(二)提高企业风险管理水平
企业制度的发展演进与风险相关，在实际的经营过程中，风险管理与内部控制是密不可分的[17]。风险管理水平的提高对内部控制有着重要影响，这种影响直接体现在对内部控制成本与内部控制强度关系的影响、企业风险与内部控制强度关系的影响、企业风险承受度与内部控制强度关系的影响上，表现为能够使得内部控制更经济，或实现内部控制不经济到内部控制经济的转变。企业内部控制的建立和完善过程中应坚持风险导向原则，提高企业风险管理水平。因为相同的风险对风险管理水平不同的企业影响是不同的，风险管理水平较高的企业能够更好地识别潜在风险、更好地应对风险，从而提升内部控制的效果和效率，使内部控制更经济合理。
