关于企业内部控制规范-我们怎么学才能学到位-.doc

关于企业内部控制规范,我们怎么学才能学到位?

1
1999年2月20日，大年初五，在一个名叫湖畔花园的小区，16栋三层，十八个人聚在一起，开了一个动员会。
一个叫马云的的人，张牙舞爪地讲了整整两个小时，说要做一个由中国人创办的，最伟大的互联网公司。
这就是当时的阿里巴巴。按照最新的《中小企业划型标准规定》，它只能算是个小微企业。
但10多年后，阿里巴巴成为了亚洲市值最大的公司。
如果小企业的创业者和领导者，自己将公司目标定低了，格局小了，就一定做不大，而这才是一个企业最大的内部控制缺陷。
所以，马云为校长的湖畔大学开设的网络课程，以战略为核心，围绕“上三板斧”使命、愿景、价值观和“下三板斧”组织、人才、KPI（关键绩效指标）展开。
2
内部控制也好、风险管理也好，都是用来管理风险的。
风险是什么？就是影响目标实现的某一事件发生的可能性（事件发生的概率可以大致估计）。
没有风险，也就无所谓内部控制、无所谓风险管理。
所以，内部控制的主要内容就是讨论目标如何设定？风险如何识别、评估？如何根据风险的性质和大小来设计管理的策略？如何制定并执行相关的管理制度和流程，如何通过日常监督、单独评估来持续地改进企业的内部控制或风险管理体系（机制、制度、文化等等）？
而无论是2008年五部委联合发布的《企业内部控制--基本规范》，还是前些天（2017.7.7）财政部新发布的《小企业内部控制规范（试行）》，在风险定义、风险识别、评估和管理方面的规定都不够系统和深入，风险管理的原则也过于抽象和笼统。
比如，什么是风险？什么是组合风险、个别风险？什么是内在风险和剩余风险？如何评估风险的大小？如何确定一个企业的风险容量（偏好）和风险承受度，等等。
相关规范中都语焉不详。
3
我们再来看一下2017.7.7财政部发布的《小企业内部控制规范(试行)》中的内部控制定义和内控目标：
第三条本规范所称内部控制，是指由小企业负责人及全体员工共同实施的、旨在实现控制目标的过程。
第四条小企业内部控制的目标是合理保证小企业经营管理合法合规、资金资产安全和财务报告信息真实完整可靠。
这个内部控制的目标，在我看来，定得低了、窄了，且不够完整。
1）小企业也有自己的使命、愿景和长远目标，以及实现使命、愿景和目标的战略，企业不论大小，内部控制的主要目标之一，就是提升企业战略实现的可能性（或者说，为企业的战略实现提供合理的保证）。
2）经营管理的合法合规是基础目标，是企业容易实现的。并且，无论是大企业、还是小企业，要不断提升法律法规、行政规章和部门规范性文件变化的预测能力。以更好地遵循规则、利用规则来促进企业的发展。
3）对于小企业来说，资金资产的管理绝不仅仅是安全问题，而是如何防范资金的短缺风险、提高资产的使用效率。无论是财务主管，还是非财务主管，这是大家都知道基本的经济学原理：资产的安全性、流动性与资产的收益率成反比。当我们过于强调资产的安全性，企业的收益必定低，价值增长也会受阻碍。
4）小企业不仅有自己的战略，也有简略的预算，有预算执行情况或经营分析报告，以及其他的内部管理报告。所以，内部控制的目标不应只是财务报告信息的真实完整可靠，更是管理报告的相关及时和大约的正确。
若目标定得低了，相应的政策和程序（或制度和流程）就会有遗漏、有偏颇，就会对企业的发展产生不利的影响。
关于这方面的讨论，可以参见新知一叶舟于去年9月26日发布的文章：“为什么有些企业越是在内控上发力，绩效却越差”。
4
《小企业内部控制规范(试行)》共分四章，第一章总则；第二章内部控制的建立与完善；第三章内部控制监督；第四章附则。
第二章第十六条指出，小企业在建立内部控制时，应当根据控制目标，按照风险评估的结果，结合自身实际情况，制定有效的内部控制措施。内部控制措施一般包括不相容岗位相分离控制、内部授权审批控制、会计控制、财产保护控制、单据控制等。
不论是大企业还是小企业，企业的内部控制都可以分为公司层面的内部控制和业务层面的内部控制。在实务中讨论比较多的往往是业务层面的内部控制。而决定企业成败的恰恰是公司层面的内部控制。
不管是公司层面的内部控制，还是业务层面的内部控制，最终都要落实到企业的制度和流程中去。
这里至少有两个重要问题值得深入讨论：
1）内部控制制度和企业的管理制度是一套还是两套？
2）不少企业的制度不是少，而是过多，我们如何评估这些管理制度的好坏或质量的高低？
对于第一个问题，有不少企业认为是两套。一套内部控制制度；一套管理制度。所以，不少企业花大力气、请外部咨询机构帮助设计的内控手册和流程虽然很精美，但经理和员工们却感到无所适从。
我认为内控制度和管理制度是一套，我们要将目标导向的风险管理机制嵌入到公司层面和业务层面