企业内部控制有效性分析
中图分类号：F275 文献标志码：A 文章编号：1673-291X（2014）19-0142-02
内部控制是形成一系列具有控制职能的方法、措施、程序，并予以规范化和系统化，使之成为一个严密、完整的体系。控制的目标是合理保证单位经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进单位实现发展战略。内部控制是否有效关键看其是否能实现控制目标。因此，有效的内部控制就是能够为实现内部控制目标提供合理保证的内部控制。包括设计的有效性和执行的有效性两方面，而保证内部控制有效性需要一个持续的监督过程，即：内部控制有效性=设计的有效性×执行的有效性。这说明只有当上述两个因素同时有效时内部控制才是有效的，反之，内部控制有效性将大大降低甚至丧失。
一、内部控制设计有效性分析
（一）内部控制设计合法合规性分析
合法合规是指企业的所有行为必须合法，符合相关的规章制度或规则。它是内部控制的最低目标或者说是底线。因此，在对内部控制的设计进行分析时一定要考虑其合法合规性。具体来说，分析时既要考虑外部的法律法规、行业准则和自律组织的规定，也要考虑企业内部的规章制度。在内容上既要分析企业日常经营管理的合法合规也要分析员工执行行为的合法合规。内部控制在设计时如不考虑合法合规性最终可能会给企业带来灭顶之灾。如三鹿集团身处关系国计民生的食品行业，不仅没有信守承诺――向社会提供优质乳制品，为提高国民的身体素质作出贡献，反而在市场和利润的巨大利益诱惑面前，置合法合规性于不顾，在三鹿婴幼儿奶粉里掺入大量的有毒化学原料“三聚氰胺”，致使数名婴儿死亡。这种见利忘义、逆道而行的做法，是酿成三鹿集团悲剧的罪魁祸首。
（二）内部控制设计的全面性分析
不少企业认为内部控制就是为了保证资产的安全，即通过制衡保证资产安全尽量避免舞弊现象的产生。但是，随着现代管理与内部控制的融合，风险管理在现代企业管理中地位逐渐攀升，风险管理与控制已经成为内部控制的重要目标之一。因此，在设计内部控制的过程中应该考虑设置较为全面且完善的风险管控流程，当风险集中时，风险委员会可依据控制流程对集团提供预警报告，建议分散风险，或者进行其他风险转移程序。
虽然内部控制强调要全面理解内部控制目标，不局限于某一流程、某一部门的控制程序设计，但不是说内部控制设计越全面越好。这是因为内部控制的设计必将耗费一定的成本，越全面的控制设计其设计和执行耗费的成本就越高。同时，过于全面的控制设计容易造成程序繁冗，执行流于形式，也会影响控制效果的发挥。对此企业应在考虑自身实力与自身情况的前提下积极调研，针对核心业务、关键控制点制定有效的控制流程，使其覆盖核心业务具有普遍约束力，从而起到有效控制的目的。这样不仅能最大限度地合理利用资源，还尽可能有大的发挥。
（三）内部控制设计的约束力分析
内部控制的约束力分析是指内部控制对董事会、监事会、经理层和员工是否具有普遍的约束力。从本质上看，控制的主要对象是人的行为。而内部控制最终由谁负责，是关系到内部控制能否发挥效果的根本问题。一般情况下，公司内部控制的制定直接受命于公司董事会和监事会，并直接汇报给董事会和监事会，从而避免了由于实际经营管理者操控内部控制条件造成的内部控制失效。在明确了董事会在内部控制中的责任的同时，应加大外部监督和约束力度，建立董事会内部控制考核制度。不过内部控制的最高境界是形成自我约束的机制和文化，因此，应倡导内部控制自我评价，实行内部控制与风险管理述职制度，从而自上而下传递内部控制理念，营造良好的内部控制氛围。
（四）内部控制设计适应性分析
适应性指内部控制设计是否与企业自身的经营特点、业务模式以及风险管理模式相匹配。一个企业内部控制的设计是可以借鉴国内外成功案例来完善自身控制程序设计的。但由于企业受自身的行业特性、经济属性限制，决定了任何两个企业的内部控制设计都不可能完全一样的。同样的控制流程设计在不同国家、不同经济实体、不同规模的企业中的效果是不一样的，企业不应盲目地崇拜大型公司的成功案例，盲目复制，而是应该结合自身特色有的放矢地设计既能涵盖企业自身核心业务，又能确实有效实现控制目标的程序。例如，投资企业其关键领域、关键控制点应集中在如何防范、分散投资风险上，所以其内部控制的重点应放在风险管理建设上。而对于一般的商业、工业企业可能更强调与重视实物资产的安全。
二、内部控制执行有效性分析
（一）内部控制运行方式的有效性分析
内部控制关注的是过程，因此，在对内部控制运行方式进行分析的时候要考虑内部控制是否设计了合理科学的程序控制，是否明确了流程中不同执行人的责任义务，是否明确了不同执行人的工作范围，当发生了由于分工不明或责任界定不清产生的事故能否提供有效的参考依据。另外，还应考虑管理者是否关注管理效率的提高，对经营目标的达成是否有实质的影响。要做到以上几点笔者认为，为了是内部控制得到有效的运行不应仅仅考虑制度建设，还应考虑企业文化、管理风格、人员道德素质等许多软性环节的控制。
内部控制的设计执行是一个庞博的体系，它影响着企业发展的始终，也影响着企业的每一个部门。因此，在对内部控制运行方式有效性进行分析的时候还应考虑它是否涵盖了经济实体运行的各个部门，如公司的管理层、采购、人事等部门，它们是否承担了其在内部控制执行的过程中应承担的相应责任。 （二）内部控制运行持续一致的有效性分析
内部控制程序的设计是否被执行，是否得到持续一致的执行，执行的效果如何？笔者认为较为有效的分析方法是进行穿行测试。即通过抽取一份全过程的文件，来了解整个业务流程中内部控制的被执行情况，并进行评估评价的方法。分析时需注意穿行测试不是某一个环节某一个部门的流程测试，而是一种纵深的贯穿不同部门不同流程的测试，以及部门之间交接程序的测试。另外，测试可选择随机对不同程序执行情况进行抽测，检验控制程序是否被一贯执行。这样可以在一定意义上避免针对审计而做的事先准备，强化了测试效果的客观性。穿行测试不仅可以检测内部控制是否被一贯执行，还可以验证测试效果如何，进而对不理想的控制执行进行修改、完善，从而改善整个控制体系的执行效果。
（三）内部控制执行人员的权限、能力分析
在对内部控制执行人员的权限进行分析时，应重点考虑公司是否建立权限指引与授权机制，分工是否合理，每一岗位的权限与责任是否明确，不同层级的员工可行使的权利是否与其承担的责任相匹配？根据近几年的案例分析发现，公司高层的各种贪污、腐败行为时有发生，原因主要为高层领导权力过于集中，缺乏内部牵制。解决这个问题最关键就是要建立健全法人治理结构和内部监控机制。科学健全的法人治理结构应是股东会―董事会―管理层，要充分发挥其监督制约作用，处理好股东会与董事会之间的信任和委托关系，董事会与经理层之间委托代理管理财务关系。另外，公司内部经理人员的监督主要来自董事会。经理人员的权限必须受到严格的制约和监督。一方面，经理人员的管理权限不能超越董事会的授权范围；另一方面，经理人员的经营行为也要受到董事会的监督和评判。为了有效地对经理人员进行监督，一个独立、准确、负责任的内部审计机构或外部审计机构必须在董事会的直接授权下工作。
执行人员的能力包括执行人员的职业道德、业务素质和专业技能等方面，是内部控制能够得到有效实施的关键。这里的执行人员主要指企业的内审人员和各个控制点的控制审核人。作为内控的执行者，其判断影响整个系统的执行是否有效。如果控制点的控制审核人，出于私愿或者由于自身水平缺失，导致判断失误，即使该控制程序设计再完美也无法发挥其功效。同时内部审计人员作为整个内部控制的执行和审核人，其判断水平直接影响当前控制点的管控水平，并间接影响整个系统的实施。因此可见人在内部控制中的作用是不可忽视的，内审执行人员作为内部控制执行有效性的评价人、监督人，应具有独立审计或会计师资格。除具备专业的职业判断能力外，内审部门对其部门职能要有明确的职责声明，并有严格的岗位规章制度指导相关审计执行人员的行为活动。另外，还应加强内部审计人员的职业道德水平和心理素质的培养。如果一个内审人员具有极高的外在执行能力而缺乏相应的道德约束，将给内部控制执行带来更大的风险。
三、结论与建议
内部控制设计的有效性和执行的有效性不是孤立的、一成不变的，这两者保持着良好的动态的平衡。即内部控制设计的有效性是执行能够有效进行的依据和基础，而内部控制执行有效性则有利于内部控制设计有效性的进一步完善。
设计有效性可以说是执行有效性的前提，如果没有有效的控制程序，那么无论执行方法多么先进，执行效果多么完美都是于事无补的，因为整个控制的基础――内部控制程序设计本身就存在问题。所以要想内部控制真正有效的实现，那么首先就需要在内部控制的设计上确保有效。同时，内部控制执行有效性作为设计有效性的检验与支持，其作用也是必不可少的。内部控制执行的有效性结果，将反映出内部控制设计方面和执行方面的缺失，针对设计方面的缺失要及时反映给设计者进行调整，进一步完善程序设置，规避风险，从而更好地达到内部控制的目标。只有将内部控制的设计有效性和执行有效性联系起来，而非割裂地去看待，才能真正实现有效的内部控制系统。
