关于企业内部控制制度的研究
作者： 刘大勇 李翠霞 文章来源： 《商业研究》 2008年第05期
摘要:现代企业管理制度的核心是完善公司治理结构,良好的公司治理结构是提高企业经营管理效率的基本要素。而科学、有效的内部控制制度,则是现代企业实现其经营管理目标的有力保证。内部控制作为由管理当局为履行管理目标而建立的一系列规则、政策和程序,与公司治理及公司管理密不可分。
关键词:现代企业;内部控制;制度研究
中图分类号:F224.32 文献标识码:A
Enterprises Inside Controlling System
1.School of Humantities and social,Northeast Agricultural University,Harbin 150030,China;
2.School of Economics and Management,Northeast Agricultural University,Harbin 150030,China)
Abstract:
The core of the modern enterprise management system is to perfect the frame of company management, as an excellent company management frame is the essence to improve the efficiency of the enterprise management. A scientific and efficient inside controlling system is a forceful assurance for the modern enterprise to implement its management object. The inside controlling system involves a series of regulations, polices and procedures made by the management authorities to carry out their management aims, which are closely connected with the company controlling and management.
内部控制制度是社会经济发展到一定阶段的产物,是现代企业管理的重要手段。笔者就有关企业内部控制制度演进和我国的内部控制制度进行必要的研究。
一、内部控制制度概念的演进过程
第一阶段:产生阶段。内部控制的最初形式是内部牵制,即为维护企业财产物资的安全性、完整性,保证会计资料及其他有关资料的正确性,确保各项财务收支的合理性、合法性而建立起来的业务分管责任制。随着社会经济的发展和现代科学管理方法的产生和运用,内部牵制范围得到扩大,逐步发展到经营决策目标的建立和贯彻,经济效益的实现和评价等诸多领域。
第二阶段:20世纪50年代至20世纪80年代发展阶段。1949年,美国审计程序委员会发表了《内部控制一调整组织的各种要素及其对管理当局和独立审立的重要性》的研究报告,第一次正式提出了内部控制的定义,即“内部控制包括企业内部采用的机构计划和所有有关的调整方法和措施,旨在保护企业资产,检查会计数据的准确性和可靠性,提高经济效益促使有关人员遵循既定的管理方针。”这里对内部控制的定义就已不限于会计与财会部门的有关功能。
第三阶段:20世纪80年代至今,完善阶段。1988年,美国审计准则委员会发布了第55号准则《财务报表审计中的内部控制结构的考虑》,改变了用内部控制目标来定义内部控制的方法,采取按照内部控制组成成分的方法来进行。这个公告不再区别会计控制与管理控制,也不再是站在企业的角度来定义,而是站在审计人员财务报表审计的立场来定义内部控制,提出了内部控制结构的概念,即为现实企业既定目标提供合理保证而建立的各种政策和程序,它包括控制环境、会计制度、控制政策与程序三个组成要素。这是内部控制概念的一次重大发展,既适应了当时企业经营管理的要求,也促进了审计的进步。
1993年,美国审计准则委员会提出并通过的COSO报告中将内部控制分成为五个部分,即:控制环境;管理当局的风险评价;会计信息与交流系统;控制活动和监督。这是在1988年定义上的沿袭和发展,这也是现代内部控制概念。1996年,美国第78号审计准则也采用了这一定义,即“内部控制是受本单位董事会、高级管理阶层、政府管理 门和其他有关人员影响,旨在为取得经营效果和效率、财务报告的可靠性、遵循适当的法规等目标而提供合理保证的一种过程。”这是迄今为止对内部控制概念最完善的定义。
综上所述,内部控制制度是指企业行政领导和各个管理部门的有关人员,在处理生产经营业务活动时相互联系,相互制约的一种管理体系,包括为保证企业正常经营所采取的一系列必要的管理措施,内部控制制度的重点是严格会计管理,设计合理的、有效的组织机构和职务分工,实施岗位责任分明的标准化业务处理程序。
按其作用范围大体可以分为以下两个方面:(1)内部会计控制。其范围直接涉及会计事项各方面的业务,主要是指财会部门为了防止侵吞财物和其他违法行为的发生,以及保护企业财产的安全所制定的各种会计处理程序和控制措施。(2)内部管理控制。范围涉及企业生产、技术、经营、管理的各部门、各层次、各环节。其目的是为了提高企业管理水平,确保企业经营目标和有关方针、政策的贯彻执行。
二、我国内部控制制度现状
自20世纪90年代起,我国政府开始加大对企业内部控制的规范力度,制定和颁发了一系列有关法律法规、规范,具体见表1。
然而,对我国来讲全面认识内部控制还刚刚开始,会计信息失真、经营失败及不守法经营等在很大程度上都归结为企业内部控制的失灵。
总体来将,我国企业普遍认识到内部控制的重要性,但对内部控制认识不够;侧重于企业外部环境的梳理,而忽视了内部各环节、各岗位的牵制;侧重于经营环节的程序控制,而忽视了企业整体的协调;侧重于内部控制制度的学习,而忽视了执行制度的人的素质提高;侧重于对货币、实物的控制,而忽视了企业文化环境的建设等。主要问题可以概括为两个方面:
(一)控制环境基础薄弱
控制环境是内部控制的基础,直接关系到企业内部控制的执行和贯彻。它涵盖对建立、加强或削弱特定政策程序及其效率产生影响的各种因素,包括企业管理人员的品行、操守、价值观、素质和能力,管理人员的管理哲学、经营观念,企业各种规章制度、信息沟通体系、业绩评价机制等。我国企业在这方面的问题非常严重,主要表现在:
1.企业管理层内部控制意识薄弱。大多企业未制订完善的、成文的内控制度,这一事实反映出至少有相当一部分企业尚未认识到内部控制的意义。即使已经制订出相应内控制度的企业大多也只是停留在“写在纸上、贴在墙上-给人看”的表面文章上,制度的落实方面问题很多。
2.组织机构设置不合理。不少企业仍然沿袭着计划经济体制下的机构设置,企业普遍存在机构臃肿、管理层次多、工作效率低下的问题。另外,企业在组织机构设置中,比较重视纵向间的权利与义务关系,而对横向间的协调缺乏足够的重视,导致同级各部门间缺乏必要的交流,信息沟通不灵敏,协调性差。
3.企业制度不健全。 一是企业缺乏相应的激励与约束机制。例如厂长(经理)缴纳的风险数额只是象征性的,对他们无法构成压力。多数企业领导人还不能负起自主经营、自负盈亏的责任来,一旦出了问题仍由国家来承担损失。企业经营者可能基于利己动机而利用职权侵吞资产或大肆挥霍。为满足这种欲望,有些经营者不会重视内控的建设,甚至有意忽略或阻挠,反过来又加重了企业制度的不健全,形成恶性循环。二是人事政策和实务不完善。雇佣人员没有经过严格的考核,有许多是凭关系挤入企业;对职工未形成一套关于训练、待遇、业绩考评及晋升的制度;未根据不同情况对职工进行适当的道德教育。企业职工的胜任能力和正直性值得环疑,即使有良好的内控也会因执行者的能力不强或道德败坏而达不到应有的效果。 三是企业制度不全面,没有针对企业经营的各个环节、各个部门制订出相应的规章制度,顾此失彼现象严重。
4.管理者素质较低。许多企业的管理者素质较低,普遍未受过正规的专业教育,企业亦未对这些管理者进行管理培训。这样低素质的管理者即使有全心全意为企业服务的素质,也因他们的能力所限而无法真正地管理好企业。
5.企业文化建设没有引起足够的重视。企业文化是企业的经营理念、经营制度依存于企业而存在的共同价值观念的组合。企业内部控制制度的贯彻执行有赖于企业文化建设的支持和维护。因为企业文化是培养诚信,忠于职守、乐于助人、刻苦钻研、勤勉尽责的一种制度约束。企业文化是将员工的思想观念、思维方式、行为方式进行统一和融合,使员工自身价值的体现和企业发展目标的实现达到有机的结合,企业文化是一个企业的中枢神经,它所支配的是人们的思维方式、行为方式。在良好的企业文化基础上所建立的内部控制制度,必然会成为人们行为规范,从而才能很好地解决因制度失灵而产生的种种问题。
(二)企业内控部门责权不对称,内部控制和监督不力
企业内部控制包括内部管理控制和内部会计控制,而我国的内部控制主要是指内部会计控制。作为承担内部控制主要部门的财会、审计部门存在严重的责权不对称现象。
1.内审部门形同虚设。内部审计作为内部控制的重要组成部分,是企业改善经营管理、提高经济效益的自我需要。但是,在我国,企业的内部审计并没能真正履行其应有的职能,其存在问题主要有:
(1)组建的非自愿性。众所周知,我国现行的内部审计主要是在行政干预的基础上发展起来的,带有很浓厚的行政命令色彩,而这种过多依靠行政干预建立起来的内部审计机构很难受到企业重视。被调查企业的内部审计人员大多是从财会部门转来的或由财会部门兼任或是从其他部门调来,有的未经过专门培训,缺乏审计专业知识,内审部门成为企业安置干部的一个部门,这种情况下组建起来的内部审计很难发挥其应有作用。
(2)独立性不够。内部审计作为内部控制的再控制,本身就应从第三者的立场上客观公正地对企业的经济监督进行再监督,它的地位应当是超然独立的。而目前对内审部门是界定在“在本单位主要负责人直接领导下,独立行使内部审计监督权,对本单位领导负责并报告工作”。这说明我国内部审计只是服务于企业负责人。这就造成内部审计既不能监督上司,也不能监督同级,因为企业内部各职能部门都是在企业负责人的直接领导下开展工作的,其各项经营行为尤其是重大行为大多是在厂长经理的授权下进行的,是厂长经理意志的直接体现。在这种情况下内部审计又如何开展工作呢?基于以上两点,内部审计无法在地位上实现超然独立,其工作范围大大受限,也很难赢得威信。
(3)重审计监督,轻服务建设。内部审计是适应企业的内在需要设立的,其生存和发展的关键在于它能为企业加强内部管理,提高经济效益服务。而实际中内部审计却忽视了防错防弊这一职能,过分强调查错纠弊,在各种正式的文件规定中,强调“监督”的多,提倡“服务”的少;强调“事后监督”的多,提倡“事前、事中监督”的少。这种过分强调事后监督的指导思想是我国审计认识上的一大误区,也是阻碍内部审计发挥作用的重要思想因素。
(4)对内部审计工作的性质和作用不甚理解。企业管理人员经常将“内审监督”,与“会计监督”混淆不清,使人们产生“企业内部审计没什么意义”的想法。由于指导思想上的误区,多数审计人员未能摆正自己的位置。有些人将自己等同于厂长经理的行为工具,处处依厂长经理的旨意行事,有些则由于工作不好开展而心灰意冷或充当好人,使内部审计形同虚设。
2.责权不对等。权利、义务与责任对等是内部控制的基本原则之一。而目前有关法规中明确内部控制机构既代表国家执行行政监督职责,又要为企业领导加强经营管理、提高经济效益提供服务。这种理论上的双向服务机制将内部控制机构经济责任和义务确定得大于其实际的功能和拥有的权力,只能把内部控制机构置于一个两难的境地。
三、强化我国内部控制制度的思考
企业内部控制是一个系统工程,涉及企业的方方面面,作为一项制度建设,其客观的成份越多,科学性就越强。内部控制建设也应当坚持理论与实际紧密结合的原则,制定出能针对企业自身特点的内控制度来,而不可能千篇一律。
(一)规范法人治理结构,形成有法必依、执法必严、违法必究的法治机制
实施内部控制,首先需要规范法人治理结构。从所有者的立场出发,不但要把企业经营管理者行使权力的过程纳入内部控制的监控范围,而且要将其作为内部控制的重点监控对象,明确股东会、董事会、监事会和经理层的职责,使决策系统、管理系统和监督系统各司其职、各负其责、协调运转、有效制衡。
1.实行财务总监委派制是完善内部控制的重要手段。财务总监首先通过对单位会计部门和会计人员的领导和控制,掌握会计系统的运行,对于单位重大的交易、资产变动等拥有审批权;其次通过主持定期及非定期的单位内部审计,及时发现企业经营和会计方面已经发生的或潜在的问题并采取相应措施。尽管实际工作中因个别经理素质差异和财务总监素质不一,不乏有受经理个人意志指使者,但只要明确控制责任,且有相制衡的代表不同利益集团的控制主体存在,是会收到很好成效的。
2.构筑严密的企业内控体系。企业内部控制体系,具体应包括三个相对独立的控制层次:第一个层次是在企业一线“供、产、销”,全过程中融入相互牵制、相互制约的制度,建立以防为主的监控防线。有关人员在从事业务时,必须明确业务处理权限和应承担的责任,对一般业务或直接接触客户的业务,均要经过复核,重要业务最好实行双签制,禁止一个人独立处理业务的全过程。第二个层次是设立事后监督,即在会计部门常规性的会计核算的基础上,对其各个岗位、各项业务进行日常性和周期性的核查,建立以“堵”为主的监控防线。事后监督可以在会计部门内设立一个具有相应职务的专业岗位,配备责任心强、工作能力全面的人担任此职,并纳入程序化、规范化管理,将监督的过程和结果定期直接反馈给财务部门的负责人。第三个层次是以现有的稽核、审计、纪律检查部门为基础,成立一个直接归董事会管理并独立于被审计部门的审计委员会。审计委员会通过内部常规稽核、离任审计、落实举报、监督审查企业的会计报表等手段,对会计部门实施内部控制,建立有效的以“查”为主的监督防线。
以上三个层次构筑的内部控制体系对企业发生的经济业务和会计部门进行“防、堵、查”递进式的监督控制,对于及时发现问题,防范和化解企业经营风险和会计风险,将具有重要的作用。
3.加强对内部控制行为主体“人”的控制,把内部控制工作落到实处。企业内部控制失效,经营风险、会计风险产生,行为主体全是“人”。只有上下一致,及时沟通,随时把握相关人员的思想、动机和行为,才能把内部控制工作做好。具体讲,除领导本身应以身作则起表率作用外,还应做好以下几点工作:
第一,要及时掌握企业内部控制人员思想行为状况。内部业务人员、会计人员违法违纪,必然有其动机,因此企业领导及部门负责人要定期对重点岗位人员的思想和行为进行分析,着重了解他们是否有赌博、炒股、经商、与社会劣迹人员往来和追求超常消费等情况,掌握可能使有关人员犯罪的外因,以便采取措施加以防范和控制。
第二,对内部控制人员进行职业道德教育和业务培训。职业道德教育要从正反两方面加强对内部控制行为主体“人”的法纪政纪、反腐倡廉等方面的教育,增强自我约束能力,自觉执行各项法律法规,遵守财经纪律,做到奉公守法、廉洁自律;加强继续教育,要特别重视对那些业务能力差的人员的基础业务知识的培训,以提高其工作能力,减少业务处理的技术错误。
(二)以“协调”作为双元控制主体下企业内部控制的基本目标,以“约束+激励”作为引导经营者行为的主要方法
1.在存在双元控制主体的现代企业中,最为突出的矛盾是双方“利益不一致”和“信息不对称”。企业所有者希望通过经营获利使资产增值,实现企业价值最大化,却不能直接进行管理和经营,只能通过会计信息“间接”控制;经营者“直接”控制企业经营的过程和会计信息的生成和报告方式。因此,决定了在双元控制主体构架下的企业内部控制首要的也是基本的目标应该是协调双方的利益和矛盾,只有通过切实有效的协调,找到所有者和经营者共处的均衡点,才能实现现代企业内部控制的以上两个基本目的
2.“约束+激励”是引导经营者行为的主要方法,是实现现代企业双元控制主体“协调”的内部控制目标的有效办法。财政、税务、银行、审计等社会监督机构,在工作中各行其是,未能形成综合监督的合力,对企业的威慑力不够。
3.对审计的独立监督、公正职能未予以充分重视,审计未形成规范化、法制化和经常化。对查出问题的处罚,往往就事不就人,重人情而轻规定,执法的刚性被扭曲。
当前，国际金融危机远未结束，而我国跨国公司在风险管理方面存在着各种问题，须提升其风险管理水平以应对此次危机。本文首先对中国跨国公司面临的风险进行了分类分析，然后将风险管理与内部控制这两个密切关联的范畴进行了逻辑的统一，并借鉴国内外相关论述对中国跨国公司风险管理内部问题进行了探讨。最后本文针对性地提出了一些对策和建议。
关键词 中国跨国公司 风险管理 内部问题
一、引言
对全世界而言，跨国公司是国际经济的行为主体和世界经济增长的引擎。根据目前联合国跨国公司中心的统计，跨国公司年生产总值占整个世界生产总值的50%，它们控制了世界生产的40%，国际贸易的60—70%，国际技术贸易的60—70%，对外直接投资的90%;对一个国家而言，跨国公司是一个国家国民经济的支柱，是国家综合实力的重要标志之一。培育和发展中国跨国公司是我国政府提出的“走出去”战略的重要组成部分，对促使我国从经济大国向经济强国的转变和增强我国的综合国力具有极其重要的作用。据联合国贸易与发展会议(UNCTAD)的数据统计，中国大陆已有2000家跨国公司母公司，海外分支机构有21.5万家。
当前，国际金融危机虽然没有继续蔓延加剧，但也远远没有结束，这导致世界经济剧烈的变动，跨国公司的经营环境不断恶化。多数发达国家跨国公司的风险管理已经步入全面风险管理阶段，《财富》世界500强企业中已有40%实施了全面风险管理，有30%实施了部分风险管理。虽然中国跨国公司的发展速度非常快，和发达国家跨国公司相比而言，其风险管理仍处于风险管理的策划实施阶段向部分风险管理阶段的过渡过程之中。“企业风险管理现状调查”则从另一个侧面，说明了包括各类跨国公司的我国企业还处于风险管理建设的初级阶段：有71%的企业只是建立了一定的风险管理流程，但流程缺乏相互的约束机制;有15.79%的企业“已建立完整的风险管理体系，但体系尚未全面开始运作”;另外还有5.26%的企业“没有建立风险管理方法和制度，风险的防范只依赖于员工的责任心和个人行为”。面对此次危机的冲击，世界企业500强类跨国公司尚且力不从心;我国的跨国公司须减少其风险管理过程中不利因素的影响，进一步提升其风险管理能力，以应对此次危机。
二、中国跨国公司的风险分析
分析和识别风险的范围和类别，是跨国公司实施风险管理的基本前提。我国跨国公司从事跨国经营活动，所面临的是与国内完全不同的、更为复杂的、全球化的不确定性约束。从不同角度出发，按照不同的标准，对我国跨国公司面临的风险可以采取不同的分类法分析。本文以目前学术界普遍采用的风险分类法并结合Miller风险一体化管理的研究框架来进行分类分析：即按照风险的可控程度，将我国跨国公司面临的风险分为跨国公司自身几乎无法控制的一般环境风险(宏观环境风险);跨国公司自身虽然不能控制但可以施加影响以改变风险影响程度的行业环境风险(中观环境风险);跨国公司自身可以控制的企业变量风险(微观环境风险)。
(一)宏观环境风险(一般环境风险)
宏观环境风险或一般环境风险是指那些影响各行业跨国经营环境的因素，包括一是政治风险，即指政治不稳定性与政治制度的主要因素变化相联系，其中的因素包括政治稳定性、意识形态等内容。二是政府政策风险，指影响商业环境的政府政策的不稳定性，其中包括无法预期的财政和货币改革、政府规章制度的变化以及收入汇出限制等。三是宏观经济风险，指包括经济活动水平、价格水平、汇率和利率水平的不确定性波动;四是社会风险，指当人们面对与他们自身价值观不相符的信仰和价值观时，可能会产生社会危机。社会风险可能是政治风险的前身，当然两种风险分属于两个不同的利益相关者集团——社会和政府。五是自然条件风险，是指影响经济产出的自然现象。如地理位置因素对跨国公司国际化区位因素选择的影响。六是文化风险，学者何曼青认为，不同的文化背景决定了供应者、竞争者、顾客与跨国公司发生业务往来的方式和偏好，以及与跨国公司进行竞争的战略、策略和技巧，同时还到跨国公司的其国际经济合作2009年第8期他环境因素如政治、法律、经济等发生作用。
(二)中观环境风险(行业环境风险)
中观环境风险或行业环境风险是指各行业内影响跨国经营的因素。一是投入物市场风险，指围绕着获取充足数量和质量的投入物，并投入到生产过程中的行业不确定性，主要包括技术、原材料品质、数量和价格等。二是产品市场风险，是指对行业产出需求无法预料的变化。这种改变可能因为消费者品味的变化，因替代品的可获取性的变化，因互补品供应的变化，或者因国内外政府政策对进口货物的不可预知性需求变化而变化。三是竞争风险，指由于无法预测产品市场中可获取的产品数量和类型，企业可能遭受来自同行业厂商的竞争压力，主要包括竞争者的价格、经营战略、其选择的市场的不稳定性，以及对本国和外国新进入者的威胁。四是技术风险，Miller认为技术创新影响着一个行业的产品或生产过程，同时也对这个行业构成了威胁，因为它可能会使行业内已经建立起的竞争和协作模式产生混乱。学者许晖认为技术风险还应包括由于跨国公司在行业个某些方面的技术领先性，导致专有技术有可能遭到窃取和非法占有的可能性。
(二)微观环境风险(企业变量风险)
微观环境风险或企业变量风险是指企业自身可以控制的，影响跨国经营的因素。一是生产风险，指跨国公司生产运营的不确定性，包括劳动力不确定性、公司投入物供应的不确定性以及生产不确定性。二是责任风险，指跨国公司在生产、销售过程中因担负产品质量、环境污染、人身安全等责任而面临的风险。三是研发风险，Miller称研发行为的不确定性结果就是对当公司投资于研发过程中出现的完成项目及项目产出特性的时间框架的不确定。四是信用风险，指企业面临的应收账款回收等涉及资金回收的问题。五是行为风险，指公司管理者或员工的本位主义行为，Miller在研究中认为，公司层面风险中的行为风险与公司内的代理关系有关。六是人力资源风险，或称劳动力不确定性，指员工生产率的变化、训练员工的有效性、员工和工会问题等风险。七是交易风险，指汇率风险对特定的、可识别的外币交易的现金流所产生的影响。八是投资风险，即跨国公司投资于东道国面临的经济状况、政治条件和政府政策的持续不确定性的集中体现。九是财务风险，指在跨国公司各项财务活动中，由于内外部各种不确定性因素的作用，使财务系统运行偏离预期目标而形成的经济损失的机会性或可能性。
三、中国跨国公司风险管理的内部问题
根据统计资料显示：有50%的企业风险来源于企业各级管理层，有30%的企业风险来源于自企业员工，只有20%的企业风险来源于企业外部。因此，分析企业风险管理的问题必须从企业风险管理的内部问题入手。与我国跨国公司的微观环境风险(企业变量风险)不同的是，风险管理的内部问题应该是微观环境——企业变量的核心因素，这同时也是与《内部控制——整体框架》(Inter， nal Control Integrated Frame—work，ICIF)框架和《企业风险管理——整体框架》(Enterprise Risk
Management-Integrated Framework，ERM)框架的内部问题都密切关联的核心因素——“内部环境”。
继美国发起机构委员会(Committee of Sponsoring Orga-nization)COSO于1992年发表《内部控制——整体框架》报告之后，又于2004年9月发表了《企业风险管理——整体框架》。与ICIF相比，由于ERM是ICIF某种程度上的拓展和延伸，这暗示着现代企业管理的风险管理与内部控制有密切的相关性。学术界对于风险管理与内部控制这二者的关系持两类意见：第一种观点认为风险管理包含在内部控制中，理由是ICIF中将风险评估作为企业内部控制的一个组成要素;第二种观点认为内部控制是风险管理的一部分，理由是ERM在借鉴ICIF的基础上发展起来，并在框架中明确指出风险管理包含内部控制。鉴于风险管理与内部控制二者的特殊关系，以及我国学者还没有将“内部控制”与“风险管理”进行逻辑统一并运用于跨国公司这一特殊企业组织。因此，可以将ERM框架与内部控制框架进行逻辑统一，然后再来分析我国跨国公司风险管理的内部问题。
从COSO的ERM框架来看，企业风险管理包括内部环境、目标设定、事项识别、风险评估、风险应对、控制活动、信息与沟通、监控等八个相互关联的构成要素。由于“内部环境”影响着企业风险管理战略和目标的制定、风险的识别和控制活动、信息与沟通体系以及监控措施的设计与运行，因此根据ERM框架，可以确定“内部环境”就是企业风险管理的核心因素，它是所有其他构成要素的基础;从国内外权威机构发布的内部控制框架的时间顺序来看，在1988年美国注册会计师协会发布《会计准则公告第55号》(SASNO，55)公告中，提出了内部控制结构由三部分组成，它们是控制环境、会计系统、控制程序。该公告首次将控制环境正式纳入内部控制范畴，凸显对环境控制的重要性认识。1992年美国COSO发表的《内部控制——整体框架》(ICIF)在内部控制理论的发展史上占有非常重要的地位，其提出的内部控制系统由五部分组成：控制环境、风险评估、控制活动、信息与沟通和监督。2007年我国企业内部控制标准委员会发布的《企业内部控制规范——基本规范》中提出，内部环境是影响、制约企业内部控制建立与执行的各种内部因素的总称，是实施内部控制的基础。美国的SASNO，55和ICIF都始终把“控制环境”放在首位，说明其居于整个内部控制的核心地位;结合我国的基本规范可以看出，内部控制中强调的“控制环境”主要是指对企业内部环境的控制上，强调的是内部环境问题，这与ERM框架中强调的“内部环境是企业风险管理的核心”实质上是一致的。因此对我国跨国公司风险管理的内部问题分析就应该从我国跨国公司“内部环境”的内容要素人手。ERM框架、SASNO，55、ICIF和基本规范关于内部环境的内容要素的提法各有差别但是基本上一脉相承的，概括起来，内部环境的内容要素主要包括企业文化、治理结构、内部监督和管理方法等四个方面。这四个方面的不利因素构成了其风险管理内部问题的主要原因：
(一)从企业文化角度来看：我国跨国公司缺乏科学的、统一的风险管理价值观。
一方面，风险管理理念是风险管理价值观的核心要素，而我国跨国公司管理者和员工的风险管理理念都存在非科学性。COSO报告曾明确指出，企业里的每个人对企业风险管理都有责任。但是，我国多数跨国公司的管理者的风险管理理念落后，导致其行为常常凌驾于风险管理规则之上，甚至有一些管理者还存在道德风险问题。这些跨国公司的员工工作时只凭领导意识办事，对风险管理的准则和制度也是一种选择性遵守。另一方面，我国跨国公司整体缺乏统一的风险管理价值观。近年来我国跨国公司的风险管理意识得到了一定的增强，但仍缺乏将风险管理意识上升为统一的风险管理价值观。这集中体现在，我国跨国公司母、子公司风险管理价值观的不统一。母公司的管理人员往往认为整个跨国公司的风险管理就是各个子公司各项制度、规章的统一和各方面资料、数据的汇总，忽视了研究子公司的业务营运风险及其与跨国公司整体风险的相关性;同时，子公司的管理人员也仅仅认为只要遵照母公司的规章制度即可，忽视了应与母公司形成互动式的风险管理。这种不统一的、非互动式的风险管理导致跨国公司整体风险管理能力长期低于应有的水平。这反过来又会加深子公司对母公司风险管理能力的怀疑，从而形成恶性循环。
(二)从公司治理结构角度来看：我国跨国公司的治理结构不规范。
企业风险管理的建设及有效运行，有赖于企业良好的公司治理结构。然而，我国跨国公司虽然形式上也建立了法人治理结构，具有了现代企业的形式，但远未达到内部权力相互制衡的效果，这是导致企业“一把手”的行为凌驾于风险管理制度之上的根本原因。问题最为突出的方面表现在：股东大会流于形式、董事会作用严重弱化、监事会的权力虚置。
首先，我国大多数跨国公司在历史发展过程中最大的一个特点，就是其大多由国有企业股份化、集团化改造而成，政府在公司形成过程中扮演了很重要的角色，股权过于集中，国有股“一股独大”，使股东大会流于形式。这使得我国跨国公司占比重最大的国有跨国公司风险管理设计与实施的依据不明，不能充分代表全部产权人的利益，造成终极所有国际经济合作2009年第8期者缺位，“内部人控制”现象严重。其次，我国国有跨国公司股东会(国资委)和董事会的公司法地位很高，但实际上高级管理人员的推荐、任免权，均由上级组织人事部门代为行使，这使董事会对经理人员的监管作用难以发挥。股东会和董事会在公司治理结构上被悬空，在地位上被下置，充其量只有具体经营事项的部分决策价值和应付外部监管的形式价值。这使得公司管理当局长期处于一些政府官员的直接干预之下，董事会不可能对政府的不当干预进行法律上的阻隔。因此，外部行政风险在这种董事会的构架下无法防范，从风险成因上来讲，这种权力缺陷是我国国有跨国公司各类风险事件发生的主要诱因。再次，我国跨国公司监事会的作用被严重弱化。2006年版《公司法》规定：董事会对股东会负责，但《公司法》却只规定了监事会的职权规定，却并没有明确它到底对谁负责，监事会地位尚不明确。在实践中，由于监事对董事会的依附性较强和缺乏监督手段，其主要职责限于事后的检查，基本不具备实时监控的职能，“监事会不监事”的现象比比皆是。 (三)从内部监督角度来看：我国跨国公司的内部审计不到位。
风险管理过程必须被施以恰当的监督。通常，企业的专项监督职能由内部审计来完成，内部审计是风险管理内部监督的主要内容，其作用发挥的好坏直接影响到风险管理的效果。而我国跨国公司的内部审计大多是应国家审计的需要而建立起来的，国家对公司内部审计机构实行双重领导体制，在行政上由企业主要负责人直接领导，在业务上接受国家审计机关的指导。由于这种审计制度的建立带有明显的外部政府压力的倾向，会导致以下问题：监事会内部审计模式的低效，内部审计局限于财务职能，内审人员缺乏风险管理的专业知识。
首先，我国跨国公司一般采取的是以监事会为中心的内部审计模式，而监事会往往只有监督权和建议权，对董事和经理并没有直接的制裁权，一般要通过股东大会才能执行，从而在客观上削弱了监督效率。有实证研究表明，监事会领导的内部审计模式的公司规模最大，但公司业绩最差。其次，我国跨国公司的内部审计仅是作为一个财务领域的职能部门，重点集中在检查会计报表等财务数据的真实性上面，很少触及经营管理的其他领域，没有发挥出世界500强公司的风险导向型内部审计对风险管理做出整体的分析、评价以及建议。据调查，现阶段我国企业有18.29%的被调查单位的内部审计机构在风险管理中不发挥任何作用;再次，世界500强公司实施的风险导向型内部审计，对具体实施人员有着很高的要求，要求他们精通于常规的审计程序的基础上，还应该具备风险管理的专业知识和经验。当前，我国跨国公司的内部审计人员大都是财会人员出身，其中少有接受过风险导向型内部审计的专业训练，缺乏相关的知识与经验，因此难以充分发挥内部审计在风险管理中的重要作用。
(四)从管理方法角度来看：我国跨国公司风险管理方法较为落后。
据ERM所述，企业风险管理各环节都需要一定的方法来支持。首先，跨国公司是一个多分支的组织系统，母公司与子公司之间的信息常常是不对称的，这可能会产生子公司提供不完全信息、虚假信息和延缓信息的提供等行为，而信息的真实性、及时性直接影响到风险管理的准确性和及时性。由于我国多数跨国公司内部在风险管理信息系统建设方面的滞后，导致其母公司与子公司之间不能形成有效的风险管理信息共享与互换，甚至有的子公司的下属部门即便发现了风险也没有相应的渠道向母公司汇报。其次，与发达国家跨国公司大量运用数理统计模型等先进计量方法进行风险管理相比，由于风险管理信息上的不完全等各种现实原因，我国多数跨国公司还仍是采用定性分析等较为落后的方法进行风险管理。这直接导致我国跨国公司不能准确地预测风险、识别风险和评估风险，进而影响我国跨国公司风险管理目标的顺利实现。
四、中国跨国公司风险管理内部问题的对策
(一)培育风险管理的企业文化环境。
从本质上讲，企业风险管理是培育在一种文化背景下具有统一认知和行为的模式。因此，我国跨国公司应将风险管理作为企业文化的重要内容并贯穿企业文化建设始终，以培养和加强管理层及普通员工科学的、统一的风险管理价值观，并自觉地落实风险管理的各种准则和制度到日常各项工作中;要通过企业风险管理文化的培育，将风险管理自然渗透到母公司和子公司以及跨国公司的各个业务单元、各个岗位和各个工作环节，使每个岗位和每个人在开展每项业务时都要考量上、下游风险及其相关性因素，以形成防范风险的互动式风险管理。在营造企业风险管理文化环境方面，我国跨国公司可以依靠书面形式的行为准则和规章制度来规范员工的行为，可以举办针对全体员工的风险管理培训，还可以在企业内部组织包括普通员工在内的风险管理工作内部评价，形成一个开放的风险管理文化环境，以发现更多的隐患。
(二)改进公司治理结构。
有研究表明，只有建立以科学的现代治理结构为基础的权力产生和运行机制，才可以理顺企业内部的各种权力结构，提升企业的风险管理能力。首先，在股东大会建设方面，要使股东大会真正成为代表全体股东利益的机构就要完善征集股票表决权办法和分类表决制，并通过一定切实可行的措施保障中小股东在股东大会上行使权力。其次，在董事会建设方面，一是完善独立董事制度，发挥其在决策中监督，在管理中监督的作用，并使独立董事的收入不与所任职的企业直接相关，防止独立董事作用异化，最终达到防止大股东操纵董事会。二是在董事会内部设立专门委员会——风险管理委员会，使董事会通过风险管理委员会的指导与推动作用，来实现企业的风险管理战略。三是针对我国国有跨国公司股东会和董事会在公司治理结构上被悬空的问题，在现有组织人事管理体制不发生重大变化的前提下，国有跨国公司应在治理结构上要利用权力整合与制衡原则，将政府组织人事部门和国资委“设定”为两家不同的“股东”。组织人事部门以人事权力为基础享有“股东会”的部分权利，包括董事长(兼党委书记)和董事会高管资格审查委员会主任(兼主管组织工作的副书记)的两名董事高管间接任命权(依公司法应通过国资委履行董事任命，因为国资委是法律上的唯一股东)：国资委以资产管理权为基础，经组织人事部门的授权，享有部分人事任免权利，包括任命董事总经理和董事常务副总经理。这样就可以在董事会层面产生了权力的制衡效果，同时没有回避实际治理过程中的干部管理权问题。最后，在监事会建设方面，必须保证监事会责权利的完整性，应从相关法规和制度上规定监事会履行职责的人员编制、资金来源，确保监事会责权利的落实。同时，强化监事会权力和责任，并通过相关的实施细则或条例、办法对监事会的职责予以细化，明确监事会失察的法律责任，使风险控制真正落到实处。如果能建立起监事会领导下的风险管理制度，通过事前介入、事中参与和事后监督也能在很大程度上降低企业风险。
(三)强化内部审计。
鉴于我国跨国公司还处于建立风险管理流程的阶段，其内部监督的主要内容——内部审计并没能在风险管理中真正发挥出作用。因此，现阶段我国跨国公司的内部审计在企业风险管理中应定位于建议者、协调者和监督者的角色，主要通过管理咨询和建议、管理协调和管理监督途径来参与风险管理。首先，对于内部审计模式，由于监事会的非有效监督，以监事会主导的内部审计有职能缺陷。审计模式可以调整监事会领导内部审计为以董事会领导内部审计。实践证明，董事会领导内部审计，在发现问题及时性、信息传递速度方面的效率较高，对提高风险管理决策科学性和风险管理效率非常重要;其次，对于内部审计职能，由于我国会计标准的变化，现代企业的财务资料操作会越来越规范，企业所有者真正关心的是如何实现企业价值最大化，如何有效防范风险。这就要求内部审计工作重点必须从传统财务领域的“查错防弊”扩展到企业内部的管理、决策及效益服务等企业经济管理和业务活动的各个层面、各个方面，内部审计的职能也应从审查的监督向评价、咨询、建议和协调等方面拓展;最后，对于内审人员的素质，内审部门要努力按照国际内部注册审计师协会审计准则的要求建立内部审计质量控制制度，强化审计的风险管理意识，提高内审人员的业务素质。其途径的选择，包括多专业地选拔内审人员，优化内审人员的知识结构，注重对其综合能力(审计、风险管理等)的培养和考核，加强对内审人员的后续教育和岗位培训，必要时可成立有关业务方面的专家小组，参与内审工作等等。
第四，建设先进有效的风险管理系统。
为了能降低我国跨国公司的母公司与子公司等各级信息的不对称程度，以达到防范风险的目的。首先，从信息流动方向来看，我国跨国公司应确保自上而下和自下而上两个相反方向的信息流动均畅通;其次，从信息沟通渠道来看，风险管理信息系统中需要沟通的信息必须以一个有效设计的风险管理组织结构作为沟通渠道来传递这些信息。各级风险管理部门负责收集和传递各个风险信息，整个跨国公司最高的风险管理委员会作为沟通渠道中关键性的角色应将这些信息汇总并处理;最后，从风险管理系统的有效性来看，真正有效的风险管理系统在准确地对风险值做出计算的同时，还能够实现事前与事后相结合，对已经避免的风险进行追踪，对正在发生的风险进行预测等。具体来讲，母公司必须在整个跨国公司内部建立一套有效的风险管理系统：一是建立覆盖整个跨国公司经营全过程的风险管理信息系统，通过固定化业务流程等，实现企业运营业务信息向风险信息的自动转换。二是建立涵盖整个跨国公司风险管理各个流程的风险预警分析系统，即采用现代风险管理技术——模型计量等风险管理方法，量化风险指标、收集风险预警重要信息，预测企业发生各种风险的可能性及其大小。
1 研究背景
1.1 内部控制对企业治理的意义
1.2 监管对内部控制的要求
2 内部控制
2.1 内部控制简介
2.2 内部控制发展轨迹
2.2.1 国际
2.2.2 国内
2.3 内部控制理论框架
2.3.1 国际
2.3.2 国内
3 信息系统内部控制
3.1 信息系统及相关控制的重要性
3.2 信息系统内部控制的理论体系
3.2.1 国际
3.2.2 国内
3.3 信息技术内部控制分类
3.3.1 公司层面控制
3.3.2 信息系统一般控制
3.3.3 应用系统控制
3.4 信息技术内部控制评价方法
3.4.1 控制设计有效性评价
3.4.2 控制执行有效性评价
3.4.3 控制缺陷的评估与整改
4 萨班斯法案项目实践
4.1 萨班斯法案404章节合规项目背景
4.2 项目实施面临的挑战
4.3 项目主要阶段与工作内容
4.4 项目主要工作成果
5 总结
5.1 信息系统内部控制对企业的价值
5.2 信息技术工作的进一步拓展
5.2.1 信息技术治理
5.2.2 信息资产安全管理
5.2.3 信息技术服务管理与优化
悲风徽行轨迹
