在美国次贷危机的影响下，全球经济进入了百年的寒冬，一批批企业的倒闭暴露出企业管理的种种问题。虽然这些企业的倒闭原因不尽一致，但最根本的原因都一样：风险意识淡薄，内部控制形同虚设。此时，如不思考如何建立和规范企业的风险管理体系，加强企业的内部控制，那么，将有更多的企业倒下。上海市组织部、国资委也于本月向社会征集外部董事、外派监事，为市管国企完善公司治理结构，强化内部控制打下良好基础。本文在回顾内部控制理论沿革及其内涵，分析现阶段我国企业内部控制的现状及存在的主要问题的基础上，借鉴国际先进的内部控制理论及经验，结合我国的国情，从智力支持、法规建设、制度安排和监督机制等四个方面提出内部控制在我国运用的12点建议。

一、内部控制的理论沿革及内涵

内部控制作为一项管理技术，是随着经济社会的发展而发展的，其内涵也是随着社会的发展的不断演化。回顾内部控制发展史，主要有内部牵制、内部会计控制和管理控制、内部控制结构、内部控制――整体框架和风险管理――总体框架等五个阶段。

1、内部牵制阶段

作为内部控制的最初形式，早在古罗马时期就有了“双人记账制”等内部牵制思想。但正式提出内部牵制概念的是l.r.dicksee于1905年提出的。1930年george e.bennett在此基础上对内部牵制概念作了进一步发展，认为内部牵制是账户和程序组成的协作系统，这一系统使员工在从事本身工作时独立地对其他员工工作进行连续性检查以确定其舞弊的可能性。

2、内部会计控制和管理控制阶段

1934年美国《证券交易法》，首先提出了内部会计控制( internal accounting control system)概念。wWW.11665.coM1949年，美国会计师协会（aicpa）下属的审计程序委员会（cap）在《内部控制：一种协调制度要素及其对管理当局和独立注册会计师的重要性》的报告中，对内部控制作了权威性定义。1958 年10月该委员会发布的《审计程序公告第 29号》对内部控制定义重新进行表述，将内部控制划分为会计控制和管理控制。1972 年，aicpa下属美国审计准则委员会（asb）发布其第1号公告（sas no . l），对管理控制和会计控制提出了今天广为人知的定义：一、内部会计控制是由组织计划以及与保护资产和保证财务资料可靠性有关的程序和记录构成。会计控制旨在保证：经济业务得到适当的授权；经济业务的记录遵循适当的标准；接触资产受到适当的限制；资产得到适当的盘查；二、内部管理控制包括但不限于组织计划以及与管理部门授权办理经济业务的决策过程有关的程序及其记录。这种授权活动是管理部门的职责，它直接与管理部门执行该组织的经营目标有关，是对经济业务进行会计控制的起点。

3、内部控制结构阶段

1988年4月，aicpa发布《审计准则公告第55号》（sas no.55），规定从1990年1月起以该公告取代sas no.1。该公告首次以“内部控制结构（internal control structure）”的提法替代了“内部控制”的提法，正式将内部控制环境纳入内部控制范畴，并不再区分会计控制和管理控制。该公告可视为内部控制理论研究的一个突破性成果。公告中内部控制结构是指为了对实现特定公司目标提供合理保证而建立的一系列政策和程序构成的有机总体，包括控制环境、会计系统、控制程序三个要素。

4、内部控制――整体框架阶段
1992年，美国反对虚假财务报告委员会所属的内部控制专门研究委员会发起机构委员会（coso）发布报告，即《内部控制———整体框架》（internal control — integrated framework），也称coso报告。不久aicpa全面接受了coso报告的内容，于1995年据以发布了《审计准则公告第78号》（sas no.78），并自1997年1月起取代了sas no.55。coso报告中把内部控制定义为：“内部控制是由企业董事会、管理当局和其他员工实施的，为保证财务报告的可靠性、经营的效率效果以及现行法规的遵循等目标达成而提供合理保证的过程”。coso 报告指出：内部控制是一个过程，受企业董事会、管理当局和其他员工影响，旨在保证财务报告的可靠性、经营的效果和效率以及现行法规的遵循。报告认为内部控制整体架构主要由控制环境、风险评估、控制活动、信息与沟通、监督五项要素构成。

5、风险管理―总体框架

2004 年9 月coso颁布了《 企业风险管理―总体框架》 ( enterprise risk management - integrated framework）新报告，提出了内部环境、目标制定、事项识别、风险评估、风险反应、控制活动、信息、与沟通、监控八个相互联系的内部控制要素。新报告标志着内部控制进入风险管理―总体框架阶段，强调企业全体员工共同参与的全面内部控制，旨在对企业内部风险实施管理和战略制定而建立的事前风险管理内部控制制度。

从内部控制理论的发展历程可以看出：内部控制目标的多重化发展。由最初的防弊纠错、保护资财发展到能使公司提高经营效率和效果，由单纯遵循管理政策发展到对相关法律法规及公司规章的遵守。随公司规模的扩大，董事会与经理层不可能做到事必躬亲，公司经营的有效性须有良好的内部控制做保证。同时与公司有关的各种法规也日趋完善，公司的顺利运行必须在守法经营的前提下才能实现。由最初的只重视会计控制发展到会计控制及管理控制并重，进而形成了内部控制的整体框架，更突出了对风险的重视。公司的内部控制应辐射所有重要的方面，是一种全方位、宽领域的控制。内部控制应合理保证提供的财务、管理及其他信息的准确及时性，各种信息又有助于对现有控制的分析评价，内部控制不是一个僵化的模型，而是要通过不断的评价、沟通等逐渐完善。

二、我国内部控制现状及存在的问题：

（一）现状

从理论研究及相关法规看：虽然我国早在西周就有了实施了分权控制方法和交互考核制度等内部控制的思想，但由于封建主义的长期统治，内部控制一直没有得到发展，直到1997年5月中国人民银行颁布了《加强金融机构内部控制的指导原则》开始，内部控制才得以在我国发展。之后，财政部、证监会、国资委、中注协、上海证券交易所、深圳证券交易所等部门相继出台了内部控制规范。2006年7月15日，经国务院批准，由财政部牵头发起，证监会、审计署、银监会、保监会等五部门共同参与组成的“企业内部控制标准委员会”在北京正式成立。2007年3月，该委员会发布了内部控制基本规范和17个具体规范的征求意见稿，并于2008年5月发布了正式的基本规范，目前还没有具体规范。2008年6月，该委员会发布《企业内部控制评价指引》《企业内部控制应用指引》和《企业内部控制鉴证指引》三项指引的征求意见稿。

从实务应用看：在我国，对内部控制要求较多的是上市公司，但从实际情况看，上市公司的内部控制也不容乐观。据《沪市上市公司2007年内部控制报告分析》显示，沪市共有146家上市公司出具了公司内部控制报告，占沪市披露2007年年度报告上市公司总数的17%，上市公司披露内部控制报告及其审核意见的数量较少。

（二）存在的主要问题

从上面分析，我们可以看出，我国内部控制研究起步比较晚，虽然已加大研究力度，内部控制体系建设已取得一定的成果。但由于长期的封建思想影响，人们对内部控制、公司治理等理论认识不够，加上内部控制体系尚未完善，缺乏相关的内部控制人才，所以内部控制在我国的发展应用还存在不少问题：

1、管理和控制理念淡薄

长期以来，由于受计划经济和传统管理思想、方法、手段的影响，内部监督流于形式，对于几乎属于“引进”而来的内部控制的理论缺乏认识，尤其对于中小企业来讲几乎处于陌生状态｡究其原因，主要有三个方面：一是大多数企业经营管理者对内部控制制度的理论知识学习不够，知识掌握不多，认识跟不上这项制度的发展要求。二是大多数企业对内控制度的建立和实施重视不足，即便制订了一些相关制度但基本上为会计管理或财务管理的部门性制度，甚至与业务脱离，属于内部会计控制概念；另外，内控制度在内容上存在片面性、零散性，不具科学性和系统性。三是缺少内部控制专业人才，在内部控制理论研究较晚，控制思想淡薄的中国，没有形成一批了解内部控制的专业人才。因此企业要真正发挥内部控制的作用，也很难找到合适的内部控制专业人才，从而影响了内部控制在我国的发展。

2、理论研究相对滞后

我国目前对内部控制理论的研究大多停留在介绍和借鉴消化西方比较先进的内部控制理论阶段。虽然财政部、人民银行、证监会等有关管理部门都对不同行业进行了内部控制有关问题的规范，企业内部控制委员会也在着力研究开发一套实用的内部控制标准体系。但总的看来，既融合国际先进经验、又体现自主创新、适合我国企业经营特点和管理要求的理论研究和实践成果较少。

3、内部控制法规政出多门

目前，我国内部控制法规的一个特点是政出多门，财政部、证监会、中注协、国资委、人民银行、上交所、深交所等部门都出台了自己的内部控制相关文件，各管各的，没有一个统一的标准。而且往往一个企业要遵守两个或两个以上的文件，从而造成企业无所适从，无法制定出适合企业情况的有执行力的内部控制制度。目前我国内部控制相关的文件如下：

序号 时　间 发布部门 文件名 备注

1 1997年5月 中国人民银行 《关于加强金融机构内部控制的指导原则》 这是我国第一个关于内部控制的行政规定。
2 1999年6月 证监会 《关于上市公司做好各项资产减值准备等有关事项的通知》 要求上市公司建立内部控制
3 2000年11月 证监会 《公开发行证券公司信息披露编报规则》 要求商业银行、保险公司、证券公司必须建立健全内部控制，并对内部控制的完整性、合理性和有效性做出说明。
4 2000年7月 全国人大 《会计法》 首次以法律的形式对企业的内部控制做出相应的规定，将其纳入企业内部会计监督制度。
5 2001年2月 证监会 《证券公司内部控制指引》 要求证券公司健全内部控制机制，完善内部控制，以规范公司经营行为;要求证券公司应当按照指引的要求，建立运行高效，制定科学合理、切实有效的内部控制。
6 2001年6月――2004年7月 财政部 《内部会计控制规范一基本规范(试行)》和《内部会计控制规范一货币资金(试行)》等11个具体规范 内部会计控制概念
7 2002年2月 中注协 《内部控制审核指导意见》 第一个关于内控审核的文件
8 2005年10月 证监会、国务院 《关于提高上市公司质量意见》 由证监会发布，并由国务院首次就上市公司工作批转发布该文件。
9 2006年5月 深交所 《上市公司内部控制指引(征求意见稿)》 揭开了中国上市公司内部控制体系制度建设的序幕。
10 2006年5月 证监会 《首次公开发行股票并上市管理办法》 第29条规定，发行人要cpa出具无保留的内部控制报告，证监会首次对上市公司内部控制提出具体要求。
11 2006年6月 上交所 《上海证券交易所上市公司内部控制指引》 强制要求上市公司在年度报告发布的同时披露年度内部控制自我评估报告，开始前所未有地关注公司治理，强调内部审计的重要性。
12 2006年6月 国资委 《中央企业全面风险管理指引》 　
13 2006年9月 深交所 《上市公司内部控制指引》 规定2007年6月30日前，深市主板上市公司均要按要求披露内部控制制度的制定和实施情况。
14 2007年3月 内控委员会 《企业内部控制基本规范(征求意见稿)》及17项具体规范的征求意见稿 迈出了内部控制体系建设的第一步
15 2008年5月 财政部等五部门 《企业内部控制基本规范》 自2009年7月1日起在上市公司范围内施行，鼓励非上市的大中型企业执行。
16 2008年6月 内控委员会、中注协 《企业内部控制评价指引(征求意见稿)》、《企业内部控制应用指引(征求意见稿)》和《企业内部控制鉴证指引(征求意见稿)》 　

虽然今年五部门共同出台了内部控制基本规范，在内部控制体系建设上迈开了一大步，但该基本规范未对是否取消之前的相关文件作出说明。所以，只能是给本来就政出多门的内部控制增加了一个规范文件，内部控制更不具可操作性。如工商银行等国有上市银行，要同时遵守上述近10个文件。而且，这些文件涉及的是金融业等特殊行业、上市公司。对在我国国民经济中占很大比重的中小企业等非上市公司并未涉及。

4、企业的控制环境不理想

在我国，目前作为控制环境重要环节的公司法人治理和企业文化建设都存在不尽人意之处。首先，公司法人治理结构不完善，我国刚从计划经济向市场经济转轨，在对企业的改制过程中，运作不太规范，公司治理结构被扭曲。国有股一股独大，股东大会流于形式，监事会的权力虚置，董事会发挥不了应有的作用，导致内部控制效用难以得到有效的发挥。其次，企业文化的培育忽视了管理控制。很多企业虽然越来越重视对企业文化的培育，但往往过多地关注企业的形象设计、品牌设计、公司口号、产品推广等，从而忽视了企业的管理和控制理念。

5、企业内部控制机制不健全

我国一些企业的管理层内部控制意识淡薄，相关制度残缺不全；有的企业虽有内控制度，却有章不循，只是将已订立的企业内部控制制度印成手册、文件，以应付有关部门的检查和监督，遇到具体问题随意性很强，使内部控制制度流于形式。很多企业想当然地认为，制定出一套有关部门或主管单位所要求具备的制度规范以应付检察工作就是建立了企业的内部控制制度；认为内部控制制度只是防止错误和舞弊的书面规矩，分工体系和审批授权就是内部控制制度。

6、缺乏有效的监督和自评估机制。

内部控制的监督有内部监督和外部监督。首先，内部监督得不到执行。目前我国承担企业内部监督职能的是内部审计机构。但我国企业存在内部审计机构不健全、审计范围受限，以及审计机构缺乏权威性和独立性等问题，这些问题都很大程序影响了内部控制在我国的发展。机构不健全表现在很多企业没有设立内部审计机构，在设立内部审计机构的企业中，其地位也得不到保证，如部分股份制公司董事会下面未设立审计委员会，内审机构直接对总经理负责，缺乏独立性和权威性。审计范围有限主要表现在大多数企业的内审机构所从事的审计业务是财务审计，而对管理审计涉及很少。其次，外部监督乏力。外部监督有政府监督和社会监督。目前，各政府职能部门之间的监督功能交叉，再加上缺乏横向信息沟通，难以形成有效的监督合力。有的职能部门对企业睁一只眼，闭一只眼，监管流于形式。甚至有些政府监督机构基于地方利益考虑，怕暴露问题，影响企业发展。有的执法部门不能坚持原则和依法办事，甚至掺杂一些部门利益，该查处的不查处，该罚的不罚，结果导致了监督的弱化。另外，我国的社会审计制度不完善，没有形成公平竞争的机制，审计服务市场处理买方市场，部分社会审计机构即便是查出问题了，也往往避重就轻，甚至出具虚假的审计报告，至于涉及企业内部控制制度的问题，更是轻描淡写，不了了之。

我国企业普遍缺少对内部控制的自评估机构。作为内部控制制度的重要组成部分，自我评估是保证内部控制持续有效的重要机制、是组织监督和评估内部控制系统的主要工具，它将运行和维持内部控制的主要责任赋予公司管理层，同时使员工和内部审计与管理层一道承担对内部控制评估的责任。这使以往由内部审计对控制的充分性及有效性进行独立验证发展到全新的阶段，即通过设计、规划和运行内部控制自我评估程序，由组织整体对管理控制和治理负责。

三、对我国内部控制的建议

1、 加强研究、宣传和教育，为内部控制提供智力支持

首先，加强对内部控制的理论研究，为内部控制提供理论基础。

由于我国目前对内部控制理论的研究大多停留在介绍和借鉴消化西方比较先进的内部控制理论阶段，而我国的企业与西方千差万别，借鉴的东西往往缺乏操作性。因此，我们只有加大理论研究力度，在借鉴的基础上开发出适合我国国情的内部控制理论和评价标准体系，才能为内部控制提供有力的理论基础，更好地指导企业内部控制实务，发挥内部控制在企业管理中的作用。

其次，加强内部控制的理论教育，为内部控制提供专业人才

纵观我国的高等教育系统，从大专、本科到研究生教育，都没有把内部控制作为一门课程来设置；注册会计师教育也没有足够重视内部控制，在注册会计师考试指定教材中只是简单介绍了内部控制的理论，并在审计实务方面穿插了一些内部控制符合性测试的内容，这些远远不能满足注册会计师对企业内部控制鉴证并发表意见的要求。因此要在我国企业中推行内部控制建设，首先要从加强内部控制方面的理论教育人手。笔者建议在高等教育中，有条件的院校可以设置“内部控制”课程，内容复盖到理论、实务两方面，为内部控制提供一支理论功底强、有一定操作力的专业人才。同时，在注册会计师教育中也应注重内部控制的相关内容，为提高社会审计机构对内部控制的监督能力。

再次，加强宣传教育，为内部控制营造良好的舆论氛围和社会环境

内部控制作为一项在公司内部运行的管理制度，其建立和执行不但需要公司董事及管理层的重视，更需要全公司所有员工的重视。只有强化风险意识，在全社会形成全方位、宽领域的控制观念，使全社会理解内部控制的相关知识，优化内部控制的环境，才能使内部控制得到更好的执行。财政部副部长、企业内部审计标准委员会主席王军同志在《企业内部控制基本规范》的发布会上强调，基本规范发布后，下阶段要重点抓好六方面的工作，其中第二方面就是“着力加强宣传培训，为贯彻实施基本规范营造良好的舆论氛围和社会环境”。

最后，加强从业人员的后续培训，为内部控制提供持续动力

内部控制环境、控制手段是随着社会的发展而发展，只有不断加强内部控制人员的后续培训教育，才能保证内部控制从业人员保持足够的专业胜任能力，提高内部控制的执行力，揭示企业在财务及管理方面存在的问题。同时，组建培训团队，对公司员工进行讲解程序、条理和法则的培训等，为实施内部控制体系的推广打下基础。

2、 完善、统一法规体系，为内部控制提供法律基础

建立完善内部控制法规体系，为内部控制提供法规保证

鉴于目前我国内部控制法规体系存在的政出多门，没有一个统一的体系的问题，建议有关部门加快协调，加快建立统一的内部控制法规体系，提高内部控制的可操作性，为内部控制提供法规保证。五部门已出台的《企业内部控制规范――基本规范》规定，该规范在2009年7月1日起在上市公司执行，但目前具体的规范还在往求意见过程中。假如现在出台所有的具体规范，留给企业的时间也只有半年，难度比较大。所以应加快具体规范的出台，为企业制定一个完整、有效、可执行的内部控制争取宝贵的时间。同时，应加快研究国度，出台适用中小非上市企业的内部控制规范，从而在全社会推行内部控制。

建立内部控制评价标准体系，为内部控制提供操作指南

尽管我国在逐步完善内部控制体系，但缺乏相应的内部控制评价标准体系，实务过程中难以操作。建立内部控制标准体系已经成为一项国际惯例，最具影响力的当属美国coso委员会于2004年提出的风险管理――总体框架公告。美国注册会计师协会认为该报告的提出，具有划时代的意义，其作用如同早期的公认会计原则，其未来在管理界的地位也如今日的公认会计原则一样。正如美国注册会计师协会所预想的，coso报告很快受到了广泛的认可，很多国家及各专业团体仿效coso对内部控制进行了重新研究，并采纳其最新理念，发布了自己的文告，形成了自己的内部控制评价标准体系。我们也应该加大对coso报告的研究，结合我国企业情况，形成适合我国企业的内部控制评价标准体系，为企业建立内部控制制度、对内部控制进行自我评估和改进其内部控制提供依据，为各方人士的沟通与理解提供统一的基础，从而提高内部控制的可操作性。

3、 优化制度安排，为内部控制提供制度保证

首先，完善内部公司治理，为内部控制提供了制度基础和保障。

科学的公司治理结构是内部控制的制度基础，公司治理结构的好坏已成为影响内部控制制度是否发挥作用的一大因素。我们要着力研究目前我国公司治理中存在的国有股一股独大，股东大会流于形式，监事会的权力虚置，董事会发挥不了应有的作用等问题，从而为内部控制提供良好的制度保证。我们很高兴地发现，在改善公司治理中，我国已取得了一定的成果，如企业股份制改制、引入独立董事制度、独立董事人才库等。上海市组织部、国资委为了完善国有企业的公司治理，还在近日向社会公开征聘市管国有企业外部董事、外派监事的工作，建立外部董事、外派监事人才库。

其次，建立内部控制自评估制度，保证内部控制持续有效

企业不定期或定期地对自己的内部控制系统进行有效性及实施效率效果进行评估，以期能更好地达成内部控制的目标。控制自我评估可由管理部门和职员共同进行，用结构化的方法开展评估活动，密切关注业务的过程和控制的成效，了解缺陷的位置以及可能引致的后果，然后自我采取行动改进，确保内部控制持续有效。

最后，建立良好的信息沟通系统，为内部控制执行提供沟通渠道

信息系统承担着向企业内部管理层、各级部门主管、其他相关人员，以及企业外部有关部门和人员提供信息的重任。信息系统已成为现代企业管理不可或缺的部分，随着it技术的发展和应用，其作用越来越重要。通过建立一个统一、高效、开放的信息沟通系统，可以使员工清楚地理解企业的内部控制制度，明确其所承担的职责和任务；同时可以使企业及时收集到相关的外部和内部信息，并通过分类、整理，及时提供给有关部门及人员，使信息在有关部门和人员之间有效地沟通，以提高企业内部控制效率和效果。

4、 加强监督力度，为内部控制提供约束机制和外在动力

加强政府的监督，督促企业不断完善内部控制制度

在我国目前的情况下，政府监督对促进企业不断完善内部控制制度具有很强的约束力，我们要强化监督，推动内部控制制度的建立和完善。主要有如下：一是财政、税务、审计等部门要合理分工，注意加强彼此间的信息交流，形成有效监督合力。二是加大和完善监管系统。按照《会计法》等有关法律和相应的内部控制法规为法律尺度，监督企业内部控制的建立和执行情况。同时，还要加大立法、执法力度，对于不按规定建立并执行内部控制制度的，规定相应的法律责任，并严格按规定对不按规定建立和执行内部控制制度的企业负责人给行政或其它形式的处罚。

强化内部审计地位，为内部控制提供自我约束机制

要从地位上保证内部审计的独立性，保障其充分独立性，以更好的对内部控制进行评价。目前内部审计的领导体制主要有以下几种：隶属于董事会；隶属于总经理；隶属于财务负责人；隶属于监事会。理论上讲，内部审计隶属于最高权利机构其独立性最能得到保证，但股东大会是非常设机构，所以合理的选择是隶属于董事会，受董事会的直接领导，与公司经理层相对独立，涉及到经理层的审计事项直接汇报给董事会。由于董事会是决策机构，对内部审计所反映的问题和提出的建议能及时采取措施。

加强社会监督力度，为内部控制提供外在动力

社会监督主要有社会审计中介的监督和新闻媒体的监督。首先建议有关部门应加强对会计师事务所的管理，抓好对注册会计师执业质量的监管，使得注册会计师更为谨慎执业，保持其执业的规范性和独立性，使注册会计师的社会监督职责到位。其次，充分发挥新闻媒体作用，监督企业行为。对企业在内部控制制度的建立和执行上出现的问题予以曝光，从而强化新闻媒体的监督作用。

参考文献：
1、 吴水澎  陈汉文  邵贤弟。企业内部控制理论的发展与启示[j].会计研究，2000（5）
2、 张笠.美国内部控制准则最新发展与启示［ｊ］.审计月刊.2007，(5)
3、 coso 官方网站：executive summary of internal control—integrated framework(1992) （executive summary）
4、 coso官方网站：  enterprise  risk  management——integrated framework（2004）（executive summary）
5、 财政部网站
6、 企业内部控制委员会网站
7、 上海证券报：沪市上市公司2007年内部控制报告分析 2008年12月01日