【律师视点】合规与风控专栏 | 陶光辉：内部控制体系的建设框架——落实五要素

陶光辉

德衡律师集团高级合伙人

完整的企业内部控制，包括设计、实施与评价三大环节。内控体系建设属于设计环节，相当于新建一套内部控制体系。很显然，内部控制体系的建设，犹如合规管理体系的建设，是一个过程。在这个过程中，需要把内部控制体系的五个要素一一落实。因此，内部控制体系的建设框架应当与如何将内部控制五要素体现出来密切相关。之所以称之为“建设框架”，而非“建设流程”，是因内部控制体系建设步骤与合规管理体系建设步骤稍有不同的是，前者若干个建设步骤可能是并行的，也有串行的；后者的若干个步骤则基本是串行的。即除非完成前一步骤，否则后一步骤的展开会受影响。基于此，本文把内部控制体系的建设步骤称为“建设框架”。

一、内部控制现状分析

任何一家企业的内部控制体系建设，基本上不会完全从零开始。所有企业，特别是大型企业内，都或多或少地已有“内部控制”了，只是可能还没有上升到主动进行“体系性管理”的地步。或者，还不具备内部控制规范所规定的五要素，但一定的内控措施或控制活动是有的，控制环境也是存在的。因此，绝大多数内部控制体系建设工作的初始，是从分析企业内部控制的现状开始。

对于内部控制的现状，也是对照内控五要素进行分析的。分析的前提是获取和研读大量的企业相关历史资料和信息，方法包括访谈法、调研法、问卷法、讨论会法等。首先，观察现有的控制环境。包括现有的公司治理结构情况、内部机构设置情况、部门职责分配情况、内部审计实施情况、人力资源政策、企业文化与道德规范宣传情况等。这是通过分析公司的发展战略规划、年度工作总结、各部门工作总结、制度汇编以及外部的一些行业研究报告、统计资料等而得出的。然后，了解公司目前的风险管控工作的现状。是否有专门的风险管控组织，如内控部、风控部；是否有专门的风险评估活动；是否有较为完整的风险信息库；是否有合适的风控管控人才等等。接下来，是关于现有的控制活动的情况。在公司层面的控制是否存在重大缺陷，在业务流程层面的控制是否存在重大缺陷、重要缺陷和一般缺陷。因为只是初步的观察，因此，这里对内部控制活动存在的缺陷的发现也仅是初始的，粗略的。

对于内部控制的现状，进行前期调研分析之后，可形成一个“内控薄弱点分析报告”。这些薄弱点，是对内部控制工作存在的一些突出问题、整体问题进行揭示。为后续的内部控制体系建设奠定思路和改进方向。这些突出问题，不宜过细，也不用太多，但一定要结合企业的真实问题，企业的发展需求等进行归纳、提炼。

值得注意的是，内部控制是一个动态的过程。这个过程需要不断地自我评价、第三方评价等，需要把内控的要素综合起来，把员工的能力，高管的意识，企业的价值观等都融入进来。这就需要对内部控制的现状进行定期的评估分析，问题与缺陷可能在不断变化，会一直存在，无法一劳永逸地揭示出来。

二、健全内控组织体系

企业内部控制是一项专门的工作，除了要专项的组织架构设计以外，还需要专业的内控人才。换句话说，内部控制一定要有人来设计、执行和反馈。内控制度和流程，都只是书面的，必须落实到岗位的职责履行，业务的流程控制上来。内控组织体系，既可作为内部控制环境要素中很重要的一部分，也作为一个独立的内控建设步骤来设计。

具体的内控组织体系，至少应包括四部分。一是完善的法人治理结构，董事会、监事会和经理层各自的权利应清晰，边界明确，权力与责任都要落实到各部门和各岗位。二是设置专门的内控机构。一般可在董事会内设全面风险管理委员会等类似内控管理机构。在风险管理委员会下再设内部控制管理部门或已有部门内设类似的职能，具体负责内控的设计、实施、评价及日常运行。三是在各部门内强化专业岗位。各部门负责人是本部门的内控负责人，有责任负责和监督本部门的内控情况。各部门应配专人或专岗，负责组织开展本部门的内控工作。四是加强内部监督部门的建设。审计部门负责对企业内部控制的建立和运行情况进行监督检查，提出完善建议。

就内控具体要求来说，企业应建立健全分级授权、权责统一、逐级负责的管理体制；企业的重大决策、重大事项、重要人事任免及大额资金支付业务等，应当按照规定的权限和程序实行集体决策审批或联签制度。企业组织机构的编制管理应遵循“科学、精简、高效、透明、制衡”的原则。 

在设计内控的组织体系时，应重点关注以下几个方面：1）关键管理人员的专业性。关键管理人员应具备执行相关内控职责的知识和经验，其技能和素质要满足要求，具备执行其业务必备的知识、经验并接受适当培训。2）汇报机制的适当性。汇报机制应是有效的，能够保证管理人员获得与其责任和权限有关的信息。经营活动的管理人员须有与相关的高级管理人员进行沟通和交流的通畅渠道。3）组织结构的管理方式设置与适应性。组织结构应考虑公司经营业务的性质，按照适当集中或分散的管理方式进行设置。组织结构应有利于信息的上传、下达和信息在各业务活动间的传递，并在某种程度上，可根据环境的变化而变化。4）人数设置。管理人员拥有足够的时间来独立履行职责；管理人员能够将工作分派给其下属，避免出现一人完成本应由多名员工完成的工作带来的权力不当集中的情形。

在提高关键管理人员的内控专业方面，可设计的控制措施包括：在外部人才市场上选聘专业的内控管理人员；对现有的管理者进行针对性的培训；用轮岗交流、挂职锻炼等方式提高管理者的素质等。

在保障汇报机制的适当性方面，可设计的措施包括：通过员工岗位职责描述，对汇报关系进行清晰的定义；注重高层管理人员之间的沟通，建立相应的沟通和交流渠道，如定期召开公司工作会、经营形势分析会，各职能部门负责人有机会参加总裁会等高层会议；为员工向管理层反映问题提供多种渠道，如员工直通信箱、座谈会、接待日等。

在健全组织结构的设置并保持一定的适应性方面，可设计的措施包括：企业应当对各部门的职能进行合理的分解，确定具体岗位的名称、职责和工作要求等，明确各个岗位的权限和相互关系。在确定职权和岗位分工过程中，应当体现不相容职务相互分离的要求。不相容职务包括：可行性研究与决策审批；决策审批与执行；执行与监督检查等。明确内部控制组织体系内部的职责分工，形成包括董事会、审计委员会、管理层、内控委员会、内控管理部门、其他职能部门及各业务单位在内的内部控制管理组织体系。内部控制管理工作应与其他管理工作紧密结合，把内控管理的各项要求融入企业管理和业务流程中。

三、开展风险评估

风险评估是所有风险管理工作的重中之重。内部控制其实就是防范那些与事先拟定的内控目标可能偏离的业务行为发生，即管理内控风险。要管理内控风险，当然要先进行内控风险的评估。风险评估是企业及时识别、系统分析经营管理活动与实现内部控制目标相关的风险，合理确定风险应对策略。风险评估是确定如何管理和控制风险的基础。 

内部控制的风险评估，分为针对公司层面的风险评估、业务层面的风险评估以及信息沟通层面的风险评估等。公司层面的风险评估主要是找出公司在达成内控目标整体存在的风险，大致上包括在组织架构、发展战略、人力资源、社会责任、企业文化、财务报告、全面预算等方面存在的风险。具体如，公司没有建立战略目标、战略规划与战略实施计划，无法通过管理与控制措施，保证公司目标的实现。业务层面的风险评估主要是找到与达成公司的资金活动、采购、资产管理、销售、研发、工程项目、担保、外包、合同等业务控制目标相关的风险，即发现业务环节的主要风险点。信息沟通层面的风险评估包括识别内部信息传递、信息系统建设情况，企业反舞弊机制，举报投诉制度等的风险点。

风险评估工作同样也是一个过程，可分为风险信息收集、风险承受度确定、风险识别、风险分析与排序，风险应对策略确定等步骤。

风险信息包括企业内部风险信息和外部风险信息。内部风险信息又包括公司层面的风险信息和业务层面的风险信息。公司层面的风险信息就是与公司内控环境密切相关的风险信息，如公司发展战略规划、人力资源政策、内部审计相关制度与流程等信息。业务层面的风险信息包括业务活动本身的信息，也包括对业务的控制信息。业务层面的信息收集可以通过梳理业务流程和制度来实现。这是因为企业的各项经营管理活动一般可分为多个业务流程，各个业务流程有控制目标、控制步骤、权限划分等，同时每个流程都设有一个或多个控制点。控制点由不同的实施主体负责，对流程实行审批、执行、监督、检查等活动。这些都可形成业务层面的信息来源。

风险承受度与控制目标密切相关。可以说，只有确定了控制目标，才可确定风险承受度。明确企业各层级的控制目标，甚至是整个风险评估的前提。但实际情况是，包括COSO也承认，当企业及其内部主体认为不存在什么明显的问题或其业绩处于可接受的范围内时，往往不会设立明确的目标。然而，作为风险评估流程一部分，仍需要确定各层级的控制目标，这样才可能确定风险承受度。风险承受度是对于目标实现而言的，是主体所能接受的偏离程度。如企业法律培训的目标是参加培训人员的考试通过率为90%，但可接受的最低通过率为75%，如低于75%，则构成主体认为的一种风险。也就是说，风险是包含主观性的，它是指未来事实与预期目标之间的“差”。风险承受度的确定，跟管理层的认识有关，但涉及合规目标时，应当在已有的法律、法规、规章等合规要求的范围内考虑。

风险识别与分析也是一个不断反复的过程。虽然很多情况下，企业未明确说明其控制目标，但不意味着在这些领域就不存在风险。不管控制目标是明示的，还是未明示的，企业都应考虑相应层次的风险。考虑的因素包括内、外部的。内部的因素又有人力资源方面、管理方面、创新方面、财务方面、安全环保方面等外部的因素有经济、法律、社会、科学技术和自然环境等方面的。风险识别也可分为公司层面和业务层面的风险识别。不管是哪个层面的风险，可能都是由内、外部因素引起的。公司层面的风险识别，一般是重大的，与企业整体相关的风险，应当与公司层面的控制活动关联起来。业务层面的风险识别，如销售、采购、生产等业务流程的风险，往往涉及交易风险，这类风险识别更应与企业对交易的风险承受度密切相关。在公司层面和业务层面的风险被识别后，就可以进行风险分析。很多风险是难以量化的，故风险分析要用多种方法，但基本上要分析风险发生的可能性和估计其影响程度这两方面。

识别与分析风险的目的是为了应对风险。应对和控制风险之前，需要先确定风险应对策略。目前可采取的风险应对策略包括风险规避、风险降低、风险分担和风险承受。策略的选择是基于对风险的假设判断实施，对降低风险等级所需成本进行合理分析，降低风险的难度等考虑的。风险承受是不采取任何措施去干预风险的可能性或影响，这一点对于与合规目标相关的风险，可能是不适用的。大部分的时候，我们采取的是风险降低策略，这涉及所有的业务经营行为。另外，风险的应对策略是需要根据企业发展阶段和业务拓展情况，不断进行回顾，并反复进行修改的。

在风险评估环节，作公司层面及信息沟通方面的风险评估时，还有必要关注舞弊风险。潜在的舞弊行为会影响一切控制目标的实现。舞弊的情形很多，如虚假报告、挪用资产、非法侵占、利益输送、滥用职权、管理层凌驾等。评估舞弊风险主要考虑舞弊的动机和压力、舞弊者接触资产的机会、舞弊者将其行为合理化的态度和理由等三个因素。减少或降低前述三个因素存在的土壤，即可减少舞弊风险的发生。

风险是动态的，永远处于变化之中。因此，对风险评估，还有一个需要关注的工作就是：“评估变化”。内部控制体系涉及的外部环境、监管政策、业务模式和领导层理念，都会发生变化。当这种变化发生时，可能导致原有的内控体系不一定有效。因此，需要建立专项的内控风险评估流程，来保证可以及时识别影响内控有效性的风险。这种变化而产生的风险评估流程，与常规变化而产生的风险评估流程很类似，但单独设置为佳。

四、控制活动设计

针对风险评估结果，管理层应采取有效的行动去落实特定的风险应对措施。对于确定为接受或规避风险的风险策略，一般不需要控制活动；对于那些风险策略为降低或分担的风险，需要采取控制活动。控制活动是指对那些已评估风险的应对措施进行执行的活动。例如管理层发现员工对客户需求了解不足的风险，这个风险会影响到销售目标的实现。为了应对该风险，管理层的应对措施包括建立现有客户的历史购买记录、进行市场调研以提升企业对如何吸引客户的理解。针对这些应对措施，控制活动包括跟踪客户购买情况，采取措施保证获得足够的市场数据等。

控制活动按不同的分类标准可以划分为不同的类型。按控制活动的目标，可分为战略目标控制活动，经营控制活动、财务报告控制活动和合规性控制活动。按控制活动的作用，可分为预防性控制和发现性活动。按控制活动的手段，可分为手工控制和自动控制。最后，按控制活动的层级，分为公司层面的控制和业务活动层面的控制。

公司层面的内部控制，就是确保在整个企业范围内存在恰当的内部控制环境，其实就是对控制环境按理想的效果进行优化，主要在组织架构、发展战略、人力资源、社会责任、企业文化等领域展开。组织架构，就像一个企业的骨架，只要基本结构搭建好了，企业内部控制制度才能得以有效实施。组织架构可从治理结构和内部机构两个方面来理解。治理结构是企业股东、董事、监事、经理层的职责权限、议事规则等进行设计，形成制衡的局面。内部机构是企业内部的部门设置，分为不同的层级和不同的专业团队，履行各自职责。人力资源主要是实现人员控制，对人力资源配置，人员激励约束，人员退出等问题所产生的风险进行掌控。企业履行社会责任的控制内容包括：企业安全生产控制，全面质量管理控制，环境保护控制，员工劳动权益保护控制等。

业务层面的内部控制，范围比公司层面的控制要广得多，包括：采购业务、销售业务、筹资业务、投资业务、担保业务、资产管理、合同管理、业务外包、研究与开发、工程项目等。设计某一类业务的内部控制活动的基本步骤是：了解该业务的基本流程或环节，明确该业务各个环节的控制目标，结合各环节的风险点，运用适当的控制措施来设计关键控制点。  

例如，采购业务。首先，从流程上可分为编制需求机会和采购计划，请购、选择供应商、确定采购价格、订立框架协议或采购合同、管理供应过程、验收、退货、付款、会计控制等环节。每一个环节，其实是一个子流程。该子流程还可以进行细分。其次，每项流程（子流程）是可明确其控制目标的。如采购中的子流程各自控制目标是这样的：采购计划是按规定的权限和程序获得审批的；请购是经过适当授权或审批，且符合企业实际需求的；供应商的选择应有利于公司获取质优价廉的货物或服务等。这些控制目标，有的是明示，有的是非明示的。第三步，确定了控制目标之后，就开始结合风险评估阶段发现的风险点，设计关键控制点。如采购计划的关键控制点包括：生产运营部门应根据实际需求准确、及时编制需求计划。需求部门提出需求计划时，不能指定或变相指定供应商，对特殊需求和特殊产品，应经专业部门研讨后由具备相应审批权限的部门或人员审批后，才可确定独家供应商。企业应根据发展目标实际需要，结合库存和在途情况，科学安排采购计划，防止采购过高或过低。采购计划应纳入采购预算管理，经相关负责人审批后，作为企业刚性指令严格执行。

对于业务层面的一般控制措施，包括不相容职务分离控制、授权审批控制、会计系统控制、财产保护控制、预算控制、运营分析控制和绩效考评控制等。不相容职务分离控制是最基本、最常用，运用最广的控制措施。它要求企业全面系统分析业务流程中涉及的不相容职务，实施相应的分离措施，形成各司其职，各负其责、相互制约的工作机制。授权审批控制要求企业根据常规和特别授权的规定，明确各岗位办理业务和事项的权限范围、审批程序和相应责任。企业可编制常规授权的权限指引，规范特别授权的范围、权限和责任。各级管理人员应在授权范围内行使职权和承担责任。对于重大的业务和事项，应当实行集体决策审批或联签制度。对于其他的控制措施，需要根据业务流程上的风险点，结合风险应对策略，可综合运用，也可单独使用。

五、形成内控管理制度与流程文件

内控管理制度和流程文件，不是独立的内部控制要素。但各个要素的运行，却离不开内控管理制度和流程文件。内控管理制度与流程文件，也可以说是内部控制体系建设的主要产出物，包括公司层面和业务层面的内控管理制度以及控制流程文档。

众所周知，18项内部控制应用指引可分为公司层面的控制指引和业务层面的控制指引，也可分为内部环境类控制指引，控制活动类指引，控制手段类指引。每一项指引，其实最后都体现为是由控制流程和管理制度来具体实施的。因此，前述的内控管理制度和控制流程文档至少应各有18项或篇。

如对于组织架构的控制实施来说，便有组织架构的控制流程和组织架构的管理制度。当然，组织架构的控制流程可进一步细分。如分为重大事项决策流程，组织架构设计流程，组织架构调整流程等。组织架构的管理制度，也包括董事会议事规则、监事会议事规则、子公司业务授权审批办法、组织架构运行管理办法等。对于业务控制活动类指引来说，同样如此。如销售业务，经内控体系建设，最后会形成销售业务控制流程文档和销售业务管理制度。销售业务控制流程又可分为销售业务流程、发货业务流程、收款业务流程、退换货业务流程。对于任一流程，均可制作把业务步骤、责任部门、不相容职责、业务控制点等内容包含在一处的控制流程文档。同时，对于销售业务管理制度，又可进一步制定销售合同管理办法、销售回款奖惩细则、客户信用管理办法等。

最后，把所有的控制流程和所有的内控管理制度都汇编在一起，可形成企业的内部控制流程手册和内部控制规范手册或内部控制制度手册。

六、完善信息与沟通及内部监督机制

作为内部控制体系的设计阶段，必须把五个要素的展开都包含进去。在完成内控目标确定，内控风险评估，以及内部控制活动的措施设计等，得到内部控制的管理制度和控制流程文件之后，需要建立机制以保证及监督前述工作成果能够持续有效，并能得到更新。

信息与沟通要素可为内部控制所有要素发挥作用提供支持。信息对企业内各部门履行内部控制责任以促进其目标实现是非常必要的。这取决于信息的质量以及信息收集的成本效益。企业应就此建立专门的流程或技术系统来获取及生成高质量的信息。企业可通过财务会计资料、经营管理资料、调研报告、专项信息、内部刊物、办公网络等渠道获取内部信息；通过行业协会组织、社会中介机构、业务往来单位、市场调查、来信来访、网络媒体以及有关监管部门等渠道，获取外部信息。

作为内控体系建设的一大要素，企业应建立信息沟通机制，使所有人员理解、履行其内部控制职责。沟通分内部沟通和外部沟通。内部控制沟通是在企业内部沟通传递信息，包括支持员工履行其内控职责的政策和程序；内控的重要性和价值；管理层在内控中的角色等。高层应在沟通中把内控目标清晰地传递给全体员工，使得他们清楚自己的定位。外部控制沟通也是有必要的。首先是企业建立的外部沟通机制应该让企业可以与股东、监管机构、客户、审计师等进行沟通，外部的主体也可向企业管理层提供相关信息。可建立独立的渠道，如举报热线，允许匿名举报，作为一种特别方式的沟通。对于信息沟通过程中发现的问题，应当及时报告并加以解决。重要信息应当及时传递给董事会、监事会和经理层。

内部监督的核心目标是评估内部控制五个要素是否存在并持续允许。企业的内控体系其实一直是处于变动之中的。企业的目标和内部控制各项要素可能随着时间的推移而变化，控制可能变得不再有效或不足以支持新的目标。企业应通过内部监督的方式来确认每项内控要素是否存在并有效。在判断内控体系是否有效，内部监督活动可提供有价值的信息。内部监督也是完成一个PDCA管理循环的必要环节。通过内部监督，内控管理才能日渐精进。

七、编制内控管理手册

如前述，内控管理制度手册和内控管理流程手册是内部控制体系建设的产出物。内控管理手册是内部控制体系建设产出物的汇编成果。一份内控管理手册，往往集中表现了某企业内部控制体系建设的成果。内控管理手册基本上是按企业内部控制的五要素进行编排的。编制内控管理手册，一般是为企业内部控制建设、运行和维护提供指引，并作为建立、运行及评价内部控制的依据，能保证企业上下从思想上、认识上对内部控制体系保持高度统一。

内控管理手册一般由手册说明、关键术语与定义、内部控制概述、内部控制的组织结构、内部控制的五要素、内部控制评价等部分组成。内部控制管理手册是概括阐述内部控制工作的指导原则、目标，要素等内容，是内控工作的准则和索引。前文所述的内控管理制度和控制流程文档，都是内控管理手册的支持性文件。

作为内控体系的建设环节的最后一步，值得注意的是，不管是COSO还是我国的内控基本规范，都没有规定内部控制的最后建设成果是《内部控制管理手册》。之所以大多数企业建立内部控制体系，最后会编制一个内控管理手册，都是希望能够通过手册或类似手册的文本汇编，快速找到内部控制的框架、风险以及关键控制点。内部控制管理手册的主要用户其实是外部审计师，而并不是内部控制人员或其他员工。

本文虽提出这个步骤，但内部控制建设终究是要讲成本效益和实用的。因此，不必拘泥于是否一定要编制一套内部控制管理手册，而是要以建设目标为核心，以风险导向为原则，真正解决企业控制不足的问题。

或许您还想看

作者简介

陶光辉

德衡律师集团高级合伙人

陶光辉，德衡律师集团高级合伙人、集团合规与企业法治业务中心总监。法学硕士，高级经济师，曾任500强法务总监，获ALB2016中国最佳总法律顾问称号，目前担任“北大全球高端法商人才计划”（PKUGLBE）未来领袖授课专家，大连大学法学院客座教授，中国人民大学企业法治研究所研究员，青岛仲裁委互联网仲裁院副院长等社会职务，出版《公司法务部》、《法务之道》等书籍。陶律师专注国企合规与风控、法治管理等领域，为多家大型央、国企提供合规管理体系方面的培训与讲座，并发表多篇关于企业合规的文章。

手机：[phone]

邮箱：[e-mail]

质控人简介

王琳琳

合伙人

合规与企业法治业务中心执行总监

[e-mail]

✦本文仅代表作者观点，如需转载、节选，请在后台留言