湖南愛爾醫療投資有限公司 孫 瑩
內部控制系統對于企業來說，就象人體的免疫系統一樣。近年來發生的三鹿集團奶粉事件、中航油的金融衍生工具投機事件、南方航空的委托理財事件、國儲局的銅期貨投機事件，直至最近發生的光大證券烏龍事件等都是內部控制缺失的表現。引發了公眾對國家危機應對體制、社會道德和企業責任等問題的討論和反思。
上述企業都是大型國有控股企業，都有相對完善的管理制度，但是為什么還會出現管理失控的問題？結合內部控制評價方法，從控制環境、風險評估、控制活動、信息與溝通、監督等五個方面對這些失敗案例進行系統分析和總結。
一、內部環境。內部環境是企業實施內部控制的重要基礎，包括治理結構、機構設置及權責分配、內部審計、人力資源政策、企業文化、誠信與道德觀等多方面內容。一個組織的內部環境對企業內部控制的執行和效果有著顯著而關鍵的基礎性影響。
上述大型集團公司不是沒有相應的控制系統，而是由于存在內部控制環境中的缺陷導致會計控制系統和管理控制系統失效。這些問題主要是：一是相關領導層職業道德和誠信缺失；二是授權不當，權力集中在少數人手中；三是舉報機制不健全，難以向集團總部反映問題；四是監督機制和責任追究制度不健全，作弊者沒有壓力。
由此可見，內部控制系統設計的重中之重是要彌補當前控制環境中存在的缺陷。沃頓商學院的威廉·勞弗認為“在所有導致企業犯罪的因素中，沒有任何因素能比最高管理層縱容、甚至是促成一種允許它存在的文化更為嚴重的了”。有正確道德價值觀和高度社會責任感的高管層必然會帶來整個組織正確的發展方向。我們要將職業道德修養和專業勝任能力作為聘用員工的重要標準，設置科學合理的公司治理結構，充分發揮內部審計和監督的作用，必然會為整個組織打下一個良好的內部控制基礎。
二、風險評估。是指要求企業及時識別、系統分析經營活動中與實現內部控制目標相關的風險，并合理確定風險應對策略，這是企業實施內部控制的重要環節。內部控制基本規范中第二十條至第二十七條分別從風險識別、風險分析和風險應對這三個步驟來說明如何實現對風險的有效控制。要求我們采用一些科學的方法和工具從定性和定量的角度來識別風險，并且綜合運用風險規避、風險降低、風險分擔和風險承受等風險應對策略，從企業總體層面上把握分散于企業各層次及各部門的風險，對相關的風險進行識別并采取措施使企業所承擔的風險在風險偏好的范圍內。
三、控制活動。是指企業根據風險評估結果，采取相應的控制措施來將風險控制在可接受的程度之內，這是企業實施內部控制的重要手段。控制活動類的九個應用指引在主要業務與事項的原則上提出了控制的目標和具體要求，是建立健全企業具體業務活動內部控制所提供的指引。控制活動執行的好壞，直接影響控制系統的效果和效率。在中航油出事之前曾被評為2004年新加坡最具透明度的上市公司，中航油成立有風險委員會，還曾聘請安永會計師事務所編制了公司的《風險管理手冊》和《財務管理手冊》。雖然有一系列的控制制度，但是在實際操作中并未執行，造成后來出現巨額期貨虧損。2013年8月光大證券發生的“烏龍事件”，證監會新聞發言人說，“光大證券烏龍交易事件暴露了光大證券在內部控制、風險管理、合規經營等方面存在很大問題。烏龍指事件發生后，光大證券及其事件相關人員在考慮對沖風險、調劑頭寸，降低可能產生的結算風險時，采取了錯誤的處理方案，構成內幕交易、信息誤導、違反證券公司內控管理規定等多項違法違規行為”。
內控制度設計和執行上的一個小缺陷有可能導致企業出現重大風險損失，尤其對于特別風險業務，需要有這個組織內所有相關業務流程的審批程序，不能只聽從最高領導人的指示，使制訂的管理制度流于形式。我們一定要有這個意識，不能為了追求工作效率，而一味簡化工作流程，雖然業務流程增長，會影響到組織的工作效率，但是，為了防范有可能出現的重大風險，有時犧牲工作效率是必須的。
四、信息與溝通。從某種程度上這可以看作是內部控制的神經系統，它要求企業及時、準確地收集、傳遞與內部控制相關的信息，確保信息在企業內部、企業與外部之間進行有效溝通。正確的信息與溝通，一是可以提供充分準確的信息資料，用于公司正確決策；二是整個組織統一思想、行動一致的工具；三是可以在組織成員之間建立良好的內部人際關系。要達到好的溝通效果，必須要有發送、傳遞、接收和反饋四個閉環管理，如果只有發送和傳遞，沒有接收或反饋，那么即使有問題也不會再有人反映，久而久之，積少成多，終將釀成大錯。
五、內部監督。是指企業應對內部控制建立與實施情況進行監督檢查，評價內部控制的有效性，發現內部控制缺陷，應當及時加以改進，這是企業實施內的重要保證。內部監督分為日常監督和專項監督。日常監督是指企業對建立與實施內部控制的情況進行常規、持續的監督檢查。專項監督是指在企業發展戰略、組織結構、經營活動、業務流程，關鍵崗位員工等發生較大調整或變化的情況下，對內部控制的某些方面進行有針對性的監督檢查。中航油事件最為重要的一個原因是內部監督未到位，集團總部派出的兩任財務經理被隨意更換，其從事場外期權交易沒有在財務報告上披露，也未向集團公司報告，而集團公司長期未對其進行審計，任其作為。南航集團幾十億的委托理財業務集中于公司2-3個人的運作，企業決策層、黨委、內部審計監管沒有跟上，雖然不能肯定存在管理層縱容，但是可以肯定地說是對重大投資監控不到位。這些慘痛的教訓，無一不說明了對于整個企業來說，有一個完善的制度不等于有了好的執行效果，目前執行較好也并不等于未來會執行到位，因此，監督是管理過程持續最長的一種功能，用來確保公司內部控制制度持續有效執行。
內部控制知易行難，從人的本性來說，誰都不愿被牽制和管控，因此，內部控制管理的壓力是來自于外部而非組織內部，內部控制的實施遠比想象中的復雜和困難。如何將內部控制的要素、理念、框架、結構與企業的實際經營活動結合起來，將內控的設計、評價、改進真正落實，是一項長期而艱巨的任務。引用前高盛CEO亨利·保爾森的用人與制度制約之哲學：“你不能僅靠規則，最重要的是要擁有誠實的、有能力的商業領袖。但要把他們置于一個系統，有足夠的檢查和平衡，就可以得到最佳結果”。
