一、內控體系概述
1.內控體系建立的背景與必要性
推行內控體系建設，既是適應國內外資本市場監管的需要，又是企業提升自身經營發展水平的要求。財政部、證監會、審計署、銀監會、保監會繼2008年6月28日發布國內首部《企業內部控制基本規范》之后，于2010年4月26日發布了《企業內部控制配套指引》，該指引自2011年1月1日起首先在境內外同時上市的公司施行。華菱鋼鐵作為湖南省執行該指引的試點企業之一，于2011年強化了內控體系建設和內控執行情況自我評價及外審年度評價體系。
2.內控體系的內容
（1）制定內控戰略
內控戰略規劃作為內控管理的第一站，其重要地位取決于其對以后實施內控系統建設的所有方面的影響。合理的戰略規劃可以使企業的內控管理效率大幅度提高，確保企業的治理水平迅速達到管理層的預期目標。因此內控戰略目標應與企業戰略目標嚴格保持一致；目標實現標志應該明確而具體；目標必須與本企業的實際情況相符合，并清晰明了；內控工作理念應當明確；目標確定過程必須得到最高管理層的批準和確認。
（2）機構設置
內控機構設置的主要工作包括：確定機構名稱、層級、匯報對象、專業人員的具體名稱、工作崗位設置、工作內容確定、人員選拔和素質要求、工作的具體原則等。目前國內大型的國有或上市公司，通常在監督決策層設置監事、獨立董事、董事會下的審計委員會；在運營管理層設置內部審計部或監察部等職能部門。在BP這樣的國際化大公司，設立了專門的內控部，可以雇傭非財務、非審計資格的人員參加內控審計檢查工作。
（3）系統培訓
由于采用現代企業內控管理的具體操作方法將直接影響到企業現有的權力結構，因此，企業內控管理人員必須要對所有相關利益者進行系統的內控培訓，在系統運行之前，把阻力減到最小。實施培訓前要編制培訓資料、確定培訓計劃。培訓資料應盡量使用案例解釋各種概念。內控案例應當以本企業已經發生的事件為主，適當選用社會案例。
（4）作業實施
實施內控作業的項目主要包括：制定企業內控管理程序或者運營管理程序；評估檢查企業的授權管理系統是否科學、清晰合理，是否存在越權和越級的潛在風險；潛在利益沖突調查；依據內控審計指導實施內控審計；組織風險評估；內控問題調查（ICRQ），調查內容應當根據企業管理風險變化情況和以前年度審計發現的普遍弱點進行調整；評價考核內控工作；內控工作報告，報告的內容應當以提供管理咨詢意見和建議為主。
（5）檢查評估
檢查評估主要包括兩方面：一是對企業各個業務操作的日常檢查評估，二是對正在實施的內控系統的檢查評估。評估的方式可以是企業內部自我檢查評估，可以聘請外部審計師進行評估，也可以邀請具有一定資格的獨立第三方對企業進行檢查評估。
二、內控體系有效性的內涵及評價標準
就內控體系有效性的內涵而言，COSO報告（1992）認為，如果公司的董事會和管理層能夠合理地保證經濟實體的經營目標得到實現、財務報表可靠、遵守相關法律和規章制度，則內部控制系統是效的。內部控制的判斷思路如下圖所示(附圖)：
對內控體系有效性的評價是通過對內部控制有效性的評價來實現的。內控有效性的評價指標，華菱鋼鐵采用德勤會計師事務所的評價模板，分為24個流程，其中公司層面8個，操作層面16個，435個控制點，華菱鋼鐵總部、三個鋼廠及財務公司根據各自的業務情況選擇了適用的控制流程，具體列表如下。
三、影響內控體系有效性的因素
1.管理層對風險的態度。一個企業處在市場經濟環境中，面臨著市場風險、運營風險、財務風險等各種各樣的風險，在市場不景氣的情況下，管理層可能會為保生產順行、降低運營風險的同時，采取了賒銷等降庫存手段，從而加大了財務風險。如果不賒銷，財務風險是不存在，但企業可能會陷入限產或停產的經營困境。對財務風險或謹慎或冒險兩種不同的態度，在華菱鋼鐵三個鋼廠的取舍不盡一致，管理層對風險的冒險態度，勢必削弱了內控體系的有效性。
2.對內部控制的認識。有的可能被內控評價等表象所迷惑，把內控當成測試組、審計組等少數人的事情，只要能應付測試和審計就可以了，內控10月份到來，來年2月份就走了，像一陣風，刮刮就無影無蹤了。其實內控有無外部評價，本質上早就存在，如申請、審核、審批流程本身就體現了內控的不相融職務要分離的精神，華菱鋼鐵很多業務也是這么做的。存在并不表示沒有缺陷，華菱鋼鐵應該借內控外評的機會，系統地審視內部控制有哪些不完善的地方，找出差距，防范控制風險。內控也不僅僅是梳理完善管理制度、編寫內控手冊，而是要通過合理授權，明確各級人員職責，增強控制能力，使財務預算、資金結算、項目投資、物資采購和產品銷售等關鍵環節始終處于受控狀態，達到體系可靠、風險可控的目標。
3.內控交叉測試的模板不能一成不變。之所以成為了模板，首先強調的是通用性。我們在引用模板時，應考慮鋼廠的具體情況，有主有次，有輕有重地進行個性化設計，使測試更具有針對性，避免交叉測試流于形式，有助于提高測試效率和效果。2011年在華菱鋼鐵某鋼廠做交叉測試時，華菱鋼鐵高層對測試組沒能深入地揭示關鍵流程的問題提出批評。其實2011年作為測試工作的頭一年，測試組要在規定的時間內完成模板所設置的程序化的工作已經在加班加點的趕進度了，對關鍵流程的重點測試實在無暇顧及。目前華菱鋼鐵已把交叉測試固定為每年進行一次，結合自己的實際情況，考慮管理層的具體要求，華菱鋼鐵在通用模板的基礎上設計具有本單位特色的內控交叉測試工作顯得尤為關鍵。
4.管理層對內控測試及內控審計發現缺陷的重視程度。盡管外部審計師和交叉測試組可能存在人員素質良莠不齊、評價標準不規范等問題，但他們作為受過專業訓練的評價人員，相對獨立的立場，對于他們提出的內控缺陷，無論是交流層面的還是報告披露的，企業管理者應本著“有則改之”的虛心態度和實際行動，整改內控缺陷，強化內控管理。
5.內控體系建設的實用性。由于內控體系建設所聘請的外部專業服務機構多為會計師事務所，其控制活動多從財務報表的角度出發，可能無法與公司戰略、具體業務特點、客戶需求等相結合。同時，會計師事務所評估企業存在的風險時所秉承的謹慎性原則，也可能從根本上造成對風險控制的環節較多、力度過大，一定程度上降低了企業的運營效率，同時可能使執行人員誤認為公司對其信任度降低從而挫傷了其積極性。另外，內控體系建設可能與企業遵循的其他管理體系融合度不足，甚至可能存在較大沖突。特別是運營多年的優秀企業，建立了很多的管理體系，如ISO9000、ISO14000、ERP、績效考核體系、質量健康安全環境體系等，內控體系建設必須與這些管理體系相融合，才能充分發揮其服務企業戰略目標的職能。
四、實現內控體系有效性的努力方向
1.管理層對風險應持合理的謹慎態度。盡管高風險的領域報酬也高，一旦風險失控，損失也大。因此在各種風險不可同時兼顧而控制的情況下，首先將各類風險按影響的大小、性質排序，然后對主要風險、關鍵風險采取措施加以控制，切勿盲目地顧此失彼，像華菱鋼鐵某鋼廠表面上避免了限產之類的運營風險，卻陷入了庫存積壓或壞賬之類的更嚴重的財務風險。
2.加大內控體系的宣傳與培訓力度，強化員工內控體系建設觀念。
為使內控意識在廣大員工的腦海中扎根，要采取靈活多樣的方式，繼續加強內控體系建設的宣傳培訓工作，要充分利用有線電視、網頁、工作簡報等媒體加大宣傳力度。同時，要經常通過舉辦內控專業知識培訓，特別對主要管理人員進行培訓，使內控氛圍更加濃厚。其中華菱鋼鐵某鋼廠適當地將一些新手加入到內控測試組，采取以老帶新、邊測試邊培訓，起到了較好的培訓效果。
3.加強內控交叉測試工作的組織與管理。特別是對測試底稿等模板的優化，使測試工作在考慮本單位工作實際情況和管理層的具體要求情況下更具有針對性，一方面可以充分發揮測試組熟悉經營管理業務的優勢，另一方面可以集中力量深入揭露關鍵流程的控制問題，提高工作效率，促進內控工作有效性的加強。
4.管理層應深入分析內控缺陷的產生原因及影響程度，采取切實有效的措施加以整改，降低控制風險。有些內控缺陷，確實不是某一部門、某一中層管理人員所能整改的，最高管理層應牽頭加以整改，不能讓缺陷一個個堆積起來，使內控工作面臨的阻力加大，影響內控有效性。
湘潭鋼鐵公司/李巧云
