作者：杨小舟  张南海

　　引言

　　我国股市目前尚不是国民经济的晴雨表，主要表现在两个方面：一是股票市值占GDP的比重偏低。截至2004年12月31日，中国境内上市公司（含A股、B股）1377家，市值总计3.7万亿；同期国内生产总值（GDP）达13万多亿元，市值占GDP的比例不到30%（即使考虑到非流通股的因素，这一比例仍然偏低，美国的股票总市值占GDP的比例超过150%）。二是股票指数与国民经济增长之间的巨大落差。近几年中国GDP的年均增长率约在8%—9%，而股票指数则由前两年的1700点左右下降至目前的1000点附近。

　　但我国上市公司在公司治理、内控制度建设与财务信息质量方面却具有一定的代表性。上市公司的经营受到社会公众和利益相关者的密切关注与监督，信息披露也相对规范，其公司治理与内控的发展轨迹也在一定程度上预示着非上市公司（包括一些国有大中型企业）的未来走向。所以，本文所列举的案例基本上是上市公司。

　　从1996—1998年的琼民源，到2001年的郑百文、银广厦，再到2004年的新疆啤酒花、托普软件、新疆屯河、伊利股份、江苏琼花，我国上市公司的财务造假、卷款潜逃、担保黑洞等违规事件似乎愈演愈烈。进入2005年，山东巨力、东北高速、东方创业、开开实业三毛派神、利嘉股份、ST达曼、星马汽车等公司相继出事，今年的第一个月，就有11家公司的12名高管落马或失踪。

　　这么多上市公司违规，甚至是明目张胆地违法，说明我们近几年在公司治理、内部控制制度建设，以及外部监管方面还存在一些问题，尚未引起监管部门和社会各界的足够重视。本文仅就企业内部控制制度建设结合美国的内控经验进行一些探讨，提出关于我国企业内控制度建设的几点建议。

　　将中国的内控制度与美国的内控制度进行比较研究，也许有人会提出以下质疑：1.中国企业与美国企业存在多方面的差异，包括治理结构、经济体制、资本市场的发育程度、经济发展的不同阶段等，特别是企业管理体制的不同，使两者之间缺乏可比性；2.美国上市公司的财务丑闻也很多，不足以让我们去学习与借鉴。2002年，安然、施乐、世界通讯等财务丑闻家喻户晓，全球著名的会计公司安达信毁于一旦。2003年，美国南方保健公司财务造假事件败露，成为2002年7月Sarbanes﹣Oxley Act（以下简称SOX 法案）颁布后的第一例。3.政策制定主体不同，美国企业的内控制度研究主要由私人机构承担，而我国内部控制制度的相关指导原则、指引或规范则由政府机构发布。

　　我们认为美国企业在公司治理与内控设计方面的经验非常值得我们研究与借鉴，理由有四：1.美国上市公司有近万家，而有财务丑闻者屈指可数，所占比例很低。中国上市公司1000多家，出事者众，占上市公司的比例较高。并且，自SOX法案颁布实施以来，美国企业的公司治理指数迅速上升，已列全球首位。2.美国政府在公司治理与反对财务造假方面所采取的措施值得我们研究。安然事件后，美国政府高度重视，采取了一系列有力措施：修改并颁布相关法律；要求CEO、CFO就定期报告进行宣誓，保证公司内控的有效和财务报告的可靠，要求外部审计师对上市公司的内控制度进行审计及评价，加强管理者与外部审计者的责任。3.美国的内控研究与实践有悠久历史。从内部控制、内部会计控制与管理控制、内部控制结构到内部控制整体框架，再到企业风险管理，每一次的演进，都有很多的经验与教训。4.制定并实施内控的根本目的是为了控制风险，实现企业的战略与运营目标。美国企业是世界上最具竞争力和创新精神的企业。研究美国企业的内控，有助于我们汲取美国企业运营与管理方面的经验，提高国内企业核心竞争能力。

　　中美内部控制比较

　　由于中国人民银行、中国证监会等仅发布了有关内部控制的指导原则或指引，并无具体的内控制度设计规范，且仅针对特定行业或特定企业；上海证券交易所的指引也只是一个征求意见稿。已经试行或实施的只是财政部的内部会计控制规范和中注协的独立审计准则第9号《内部控制与审计风险》，因此，本文主要对财政部的内部会计控制规范（以下简称“规范”）、中注协的独立审计准则（以下简称“准则”）与COSO的相关内控报告进行比较。

　　我们所说的COSO的相关内控报告指IC-IF和ERM。ERM并非替代IC-IF，而是包容了IC-IF，在内控的有关概念上，两者都保持了一致和连贯。

　　中美目前在内控制定主体、内控环境、内控目标、内控要素及内控制度的适用者上均有所差异。

　　制定主体

　　上世纪90年代以前，美国关于内控制度的研究分散于不同的组织机构，如AICPA、内部审计师协会、财务经理人协会等，大不正式文告中的内控定义、内控目标以及内控要素也大不相同。从1991年开始，美国关于内部控制的研究主要由COSO承担，COSO研究的权威性来自于它的发起者，包括美国注册会计师协会、美国会计学会、美国管理会计师协会、美国财务经理人协会，以及美国内部审计协会。COSO自成立后，即提出了自己的研究计划，其研究报告在征求各方意见后发布。截至目前，COSO已发布的研究报告如下：

　　1987TREADWAY REPORT

　　1992《内部控制——整体框架》IC-IF

　　1996金融衍生工具使用的内部控制问题研究

　　1999虚假财务报告研究（1987-1997）

　　2001年12月COSO启动《企业风险管理》项目，2004年9月发布。

　　以一个独立的机构来对内部控制进行专门的研究，无疑提高了研究的系统性与深度。COSO1992年提出的内部控制框架不仅在美国有极大的权威性，在国际上也享有声誉。

　　我国有关内部控制制度的指导原则、指引、规范则出自不同的政府部门，这是由于企业的管理体制造成的。国资委管国有大中型企业；证监会管上市公司的信息披露；财政部管全国所有企业的财务与会计工作，并负责会计准则与制度的制定。

　　然而，内控指导原则、指引或规范由各政府部门分别制定，弊病多多：

　　首先，各部门各自研究与颁布内部控制的相关指导原则或指引，不利于内控制度的统一与协调。财政部正在陆续制定并发布的是内部会计控制规范，截至目前已经发布了十多个。而其他政府部门则仅制定了内部控制的指导原则、指引或对企业各项业务内部控制流程的设计与制定缺乏具体的指导。

　　其次，关于内部控制的定义、范围、目标等不相一致，内控要素、内控内容，以及内控方法的解释也不一致。

　　第三，缺乏统一的推进机构，不利于企业内部控制制度的贯彻与实施。各部门颁布的内控指导原则、指导意见或指引在实务中并未得到有效的贯彻执行。上市公司、银行、证券公司、未上市国有企业的频繁出事便是佐证。

内控环境

　　内控环境指建立、加强或削弱特定政策和程序效率发生影响的各种因素，是企业能否建立和实施有效的内部控制制度的基础，对中国而言尤其如此。而我们在各种内控指导原则、意见或指引中对内控环境这一要素缺乏详细的规范。

　　内控环境中最重要的内容就是管理者的正直与道德观，这正是我国不少上市公司管理者们所欠缺的。近年来，国内不少上市公司的董事长卷款潜逃或神秘失踪，或因行贿受贿或挪用公款而落马；还有不少上市公司的老总们泯灭了产业理想，热衷于以上市、增发、配股等手段圈钱。在这样的企业里，是不可能设计并实施有效的内部控制制度的。

　　例如四川长虹（600839），上市10年来每年年报均为盈利，但2004年突然巨额亏损36.8亿。亏损主要是由于资产减值的计提造成，而这些资产的减值迹象实际上在以往年度就存在，只不过是公司未严格按照会计制度的要求及时计提减值准备而已。

　　另一家前些年因大股东挪用资金而在资本市场上名声远扬的上市公司三九医药（000999），2004年前三季度的季报累计净利润为7000多万，但最后一季度公司突然预告巨额亏损近3亿，后又修正年报预告，亏损额增至7.2亿。我们且不说四川长虹以往年度提供的财务报告以及三九医药2004年提供的前三季度的季报是否可以视作虚假的财务报告，这两家公司未按照国家相关财务规定及时计提减值准备是肯定的。为何不及时计提资产的减值准备？为何不向投资者和其他利益相关者及时提供能够真实公允地反映企业经营业绩和财务状况的财务报告？这涉及到一个正直与道德观的问题。

　　所以，在安然事件后，美国《时代》周刊、《国际先驱论坛报》指出：我们的问题不是会计问题，而是道德问题。索罗斯指出：立法不是全部答案。在改变法律的同时，必须改革基本的态度。人们必须充分意识到公众利益而不是自我利益。没有这个精神的转变，新的管制和新的立法只会产生更多的规避行为。

　　内控环境还包括公司的治理结构与组织结构，中国企业与美国企业这方面的差异也是明显的。比如说，中国在引进独立董事制度后，形成独立董事与监事会并存的格局，两者在职责上有相当大的重叠，如财务检查、对关联交易进行审查并发表意见等。证券监管部门比较强调独立董事的作用，实际上企业的监事会也形而虚设。纵观历年来上市公司年度报告中的监事会工作报告，几无一例对公司存在违规事件进行揭示的。有的上市公司监事长办公室都没有；有的上市公司的监事甚至看不到公司的月度财务报表与分析报告。再比如，按照上市公司治理准则的要求，上市公司的董事会下应设立审计委员会，并由独立董事负责。但不少企业至今未成立审计委员会或者说审计委员会根本未发挥作用。内部审计部向谁负责？内部审计工作归谁领导，总裁、独立董事、董事会，还是监事会？内部审计审什么？由谁提议、组织？向谁汇报？公司的治理结构与相应的组织结构不完善，不仅影响到企业内控的设计与实施，也不利于企业进一步提升管理水平。

　　内控目标

　　财政部《内部会计控制规范——基本规范》（试行）第六条指出，内部会计控制应当达到以下基本目标：

　　1． 规范单位会计行为，保证会计资料真实、完整。

　　2． 堵塞漏洞、消除隐患，防止并及时发现、纠正错误及舞弊行为，保护单位资产的安全完整。

　　3． 确保国家有关法律法规和单位内部规章制度的贯彻执行。

　　中注协《独立审计具体准则第9号——内部控制与审计风险》第二条指出，本准则所称内部控制，是指被审计单位为了保证业务活动的有效进行，保证资产的安全和完整，防止、发现、纠正错误与舞弊，保证会计资料的真实、合法、完整而制定和实施的政策与程序。其内控目标的定义与“规范”基本相同。

　　美国内控经过多年来的发展，内控的目标逐渐多元。从企业的经营方面看，内控目标分为战略与运营两个方面，战略目标属高层目标，主要是为了统一与支持实现企业的使命与愿景。运营目标指企业资源使用的效果与效率。报告方面的目标是指企业报告的可靠性，包括内部与外部报告，涉及财务与非财务信息。最后一个目标是合法性，即公司对法律法规的遵循。

　　比较中美两国内部控制的目标，差异主要有以下几个方面：

　　首先，在我国不论是“规范”还是“准则”均未提及经营的效率与效果问题。而美国内控的首要目标就是追求企业经营的效果与效率。缺失这一目标，将对我们内部控制制度的设计思路上产生重大影响。比如企业办公用品的购置，不论是存货项下还是固定资产项下，如果我们仅仅从资产的安全与完整，防止、发现、纠正错误与舞弊，保证会计资料的真实、合法、完整角度来设计内部控制制度，则仅需要满足内部牵制的要求就可以实现该内部控制的目标。控制的重点只是资产的购置、使用与处置是否符合程序。但若将资产运营的效率与效果作为首要目标，则内控制度的设计思路就大相径庭。比如企业办公用电脑的采购，谁提出采购？谁有权审批采购？是否可以在公司范围内调配？采购何种配置和价格的电脑？向谁采购，是否货比三家，是否对办公用品的供应商进行评估（采购效率）？使用者的使用情况如何？是否对资产进行妥善的保管和合理的使用，是否能够满足使用者的工作需要，是否存在闲置（使用效果）？因电脑的更新很快（不少公司计提的折旧与减值都与其实际的贬值程度不符），如果有闲置资产，是否能够及时处理，是否有一种制度或机制来保证资产处置的效率？资产的闲置以及由此而引起的资产贬值并不违反内部控制制度中关于资产安全与完整的要求，但这是企业管理的基础工作，不应该成为企业内部控制制度的目标而加以强调。并且，实物形态上资产的安全与完整，并不能保证资产价值形态上不受损失。因此，资产管理的内控目标应该强调的是资产采购、使用，以及资产处置的效率与效果。

　　再比如在《内部会计控制规范——货币资金》中，货币资金管理的目标是保证货币资金的安全。这一目标比较容易达到，只是一个内部牵制制度的设计和加强基础管理工作的问题。但如果货币资金的管理以使用效果与效率为主要目标时，内控的设计与实施就需要相当的管理能力。对一个集团企业而言，货币资金的管理需要考虑以下因素：

　　1． 是集团集中管理还是非集中管理？如采用集中管理方式，还需要在以下几种方案中进行选择：统收统支、拨付准备金，还是设立结算中心？

　　2． 现金预算如何才能做到准确与及时？如何与应收、应付、预收、预付结合起来？

　　3． 如何在货币资金的持有成本与短缺成本之间进行权衡？

　　如果资金有余，如何高效益地加以运用？比如还贷，国债回购，信托投资，申购新股，二级市场上股票、企业债、可转债的投资，委托理财，提早支付供应商款项以获取现金折扣，扩大赊销，等等。因此，为了提高货币资金使用效果与效率，在货币资金内部控制制度的设计中，就应考虑谁是分析部门，谁是调度部门，落实责任人或责任部门；如何分析、如何调度，形成管理政策与程序。

　　其次，在我们的“规范”和“准则”中都提出，内控目标之一是保证会计资料真实、合法、完整。是不是以“财务报告的可靠性”为目标更为合适？这里涉及到一个概念体系问题。另外，作为内控的目标之一，仅强调财务信息的可靠是不够的，影响投资者、信贷者及其他利益相关者决策的不仅仅是财务信息，还应包括非财务信息。

　　再次，“规范”中内控的第三个目标是确保国家有关法律法规和单位内部规章制度的贯彻执行。是不是应该提“企业经营的合法性”？因为既然是企业的内控，就应从企业角度看问题，国家有关的法律法规可能不明确或不具体，对企业而言法无禁止均可以经营。至于企业内部规章是否贯彻执行，不应是内控的目标。

　　其他内控要素与内容

　　COSO经过几年的研究，在内控整体框架的基础上，提出了企业风险管理（ERM）报告。ERM的内控要素由IC-IF中的五个增加到八个。在IC-IF中作为外在前提的目标设定调整为内控要素；风险评估要素分解为事件确定、风险评估和风险响应等三个要素。每个内控要素都有具体的内容。

　　财政部《内部会计控制——基本规范》中虽然未明确内控要素，但提出了内部会计控制的具体内容，包括：货币资金、实物资产、对外投资、工程项目、采购与付款、筹资、销售与收款、成本费用、担保等经济业务的会计控制。

　　COSO报告中的控制活动指为确保有效做出风险反应而制定的政策和程序，包括核准、授权、验证、职责分工、绩效比较等。在财政部的“规范”中是作为控制方法来论述的，“规范”第十八条指出：内部会计控制的方法主要包括：不相容职务相互分离控制、授权批准控制、会计系统控制、预算控制、财产保全控制、风险控制、内部报告控制、电子信息技术控制等。