一、引言

随着我国市场经济的发展和现代企业制度的逐步完善，内部控制在企业生产运营中发挥着越来越重要的作用。内部控制体系保证企业在快速发展过程中始终保持清醒的头脑，注重把风险控制在我们可忍受的范围内。加强内部控制体系构建，能够合理保证《企业内部控制基本规范》提出的“企业经营管理合法活动合规、资产安全完整、财务报告及相关信息的真实完整可靠，提高企业经营的效率和效果，促进企业实现发展战略”等目标。

毋庸置疑，内部控制作用的发挥有赖于内部控制体系的有效性，虽然内部控制的有效性可以通过内部自我评估和外部审计得到一定确证，但是这种评估和确证都是事后的，由于内部控制体系构建时逻辑模型存在的模糊性、不稳定性，以及不可及时验证性，使得事先很难测试内部控制体系需求分析的正确性和完整性，加以内部控制体系涉及很多管理体制、组织结构、人文思想和社会环境等社会因素，使得需求分析阶段的错误，不能立即纠正，影响后面内部控制体系的构建和实施，而且错误犯得越早，纠错代价越高。

众所周知，内部控制体系构建是一个技术复杂、涉及面广、投资不菲的系统工程，即使某一个环节、层级或者职能出现问题都可能降低企业内部控制体系的有效性，影响内部控制目标的实现。根据证监会会计部和财政部会计司对截至2010年12月31日，我国境内外同时上市的67家公司披露的2011年内控评价报告、内部控制审计报告以及相关数据整理分析发现70%以上的企业存在内部控制缺陷，其中新华制药因子公司山东新华医药贸易有限公司对客户授信额度过大导致较大经济损失，被报告为内控无效、具有重大缺陷。这些重大缺陷、一般缺陷的存在一定程度上否定了“内部控制体系的有效性”。

通过对部分企业构建内部控制体系的实地调研、深入分析，我们发现企业内部控制体系失效源于内部控制体系构建的初期，所以本书研究企业构建内部控制体系的决策问题。本书利用规范研究方法，阐述内部控制体系构建的基础条件，分析内部控制体系设计误区，探求内部控制系统的设计和实施规律，归纳中国企业内部控制体系发展的理论模型，诠释我国企业内部控制体系构建三段论，系统描述了内部控制系统三个阶段的特征、体系目标以及对信息系统、企业管理的要求，建立过程导向的可行性分析体系，为企业内部控制系统构建提供理论参考和实务依据。

二、研究框架设计

鉴于企业内部控制体系构建是一项涉及面广、技术复杂的系统工程，本书以系统论为理论指导，以问题为导向，应用规范研究方法，设计相应的研究框架。

首先，确定研究问题和研究条件。本书在回顾前人研究成果的基础上，基于问题导向确定了研究问题，研究企业构建内部控制体系的决策问题，为相关领域的同类和后续研究提供助推力量和参考基础，为学术资源体系贡献文献积累和知识增量，同时也试图推动和启发与内部控制体系构建和实施相关的更多的纵深研究；在界定研究问题的前提下，明确研究基础是信息化和工业化深度融合条件。

其次，通过分析企业构建内部控制体系存在的误区，明确中国企业内部控制体系构建和实施过程存在的误区和原因，探索我国企业内部控制体系构建规律。

最后，诠释我国企业内部控制体系构建三段论，明确每一阶段的特征、目标以及过程导向的内部控制体系构建可行性评价标准，使企业能够结合自身的管理水平、信息化阶段、技术基础和管理基础构建企业内部控制体系，拓展了企业内部控制理论研究，为我国企业构建内部控制体系提供实践指导。

三、企业内部控制体系的构建

（一）企业内部控制体系的构建基础和前提条件

以计算机技术为代表的现代信息技术推动人类进入了21世纪，目前我们处于信息无处不在的时代，企业的生产经营等活动处于信息技术环境中，现代信息技术改变了其内部控制的内容、形式和手段。尽管信息技术给企业带来了和信息、信息系统有关的风险，但由于内部控制规则已经嵌入信息系统中，所以企业在执行信息系统时会自觉履行内部控制规则，使内部控制变得方便、可靠、有效和高效。

党的十八大提出“坚持走中国特色新型工业化、信息化、城镇化、农业现代化道路，推动信息化和工业化深度融合……”信息化和工业化深度融合要求企业做到信息化和内部控制深度结合、无缝连接和水乳交融，在内部控制体系构建过程中，梳理、完善业务流程和管理流程，优化、升级嵌入业务流程和管理流程规则的信息系统，通过信息化和内部控制结合来提升企业价值。

两化深度融合条件下，信息化程度和管理水平的高低对企业内部控制体系构建的影响是显而易见的。企业信息化程度越高，信息系统嵌入的内部控制规则越充分，构建内部控制体系程度、级别和阶段越高；企业信息化程度比较低，信息系统嵌入的内部控制规则不充分，构建程度、级别和阶段较高的内部控制体系，不仅达不到预期的效果而且也不符合成本效益原则。企业的管理水平、技术基础越高，员工执行内部控制规则的积极性和效率越高，容易构建程度、级别和阶段较高的内部控制体系；反之则相反。

（二）企业构建内部控制体系的误区和原因分析

内部控制活动由来已久，在我国企业构建内部控制体系过程中，不少企业借助内部控制体系的构建和实施，有效防范各种风险，提高了企业管理水平，增强了市场竞争力，从内部控制体系构建中获得了巨大的经济效益、提升了企业价值。但是也有部分企业由于缺少对内部控制体系内涵、本质的理解和把握，在内部控制体系构建过程中做出一些错误决策，使构建的内部控制体系达不到预期的效果，给企业造成巨大经济损失。通过广泛调研和自己指导企业构建内部控制体系的经验，笔者发现许多企业在内部控制体系构建阶段存在很多误区，导致在内部控制体系构建阶段就埋下了日后实施失效的种子，这些误区主要有：

1.扩大内部控制体系作用，盲目求全求细。

部分企业片面认为，一旦构建和实施内部控制体系会立即给企业管理带来革命性的变化。这些企业在内部控制体系构建开始就试图“一步到位”，耗用巨资委托“四大”等专业机构构建全面、系统、细致的内部控制体系，而且尽可能覆盖企业的所有业务和流程。这样极易出现的问题是，一方面，内部控制系统质量严重过剩，不符合成本效益原则；另一方面，在内部控制体系实施过程中，企业的项目实际实施部门和推动部门经常出现严重的分歧、讨论和争吵，构建的内部控制体系在执行阶段遭遇到极大的挑战和阻力。由于多数企业员工缺乏足够的心理准备和相关技能来应对突如其来的管理变革和全新的工作方式，导致内部控制体系实施小组和业务部门每日争论不休。虽然有少数企业能够坚持实施最后获得部分成功，但是大部分的企业最终还是用内部控制的术语来模拟“原先的操作”，甚至上千万的内部控制体系投资成为了手册、流程图和文档等摆设。

2.忽视内部控制体系作用，盲目分散缺乏规划。

与那些投入巨资构建内部控制体系的企业相反，另一些企业则不太重视内部控制体系在企业管理中的应用，简单认为内部控制体系构建仅仅是五部委的合规性要求。他们通常没有设立内部控制体系主管部门，甚至没有一位公司级、厂级领导专门负责内部控制体系的构建，因而缺乏总体的、长期的内部控制体系规划。出于应付规范体系合规合法性的强制要求，一些业务部门如采购、生产、销售和财务等部门各自构建应用于自己部门、自己单位的内部控制体系，走盲目、分散构建之路，最终内部控制信息孤立存在于企业内部不同部门，给最后的信息集成造成不可逾越的困难。

3.割裂内部控制和管理制度的关系，内部控制难以融入企业管理。

内部控制体系和管理制度应该是融为一体的，有的企业把内部控制体系和管理制度割裂开来，片面认为内部控制体系和管理制度是完全不同的两个方面。在设计和实施内部控制体系时，强调内部控制体系的设计和实施，忽略对其他管理制度的梳理、风险点的选择、风险应对措施的制定和优化。这会严重影响内部控制系统的设计和实施效果，因为企业在实施内部控制体系时会发生和其他管理制度相悖或者不一致的地方，每每如此，实施者会手足无措陷于迷茫。

从企业构建内部控制体系的误区来看，造成内部控制体系构建失误的主要原因有两点：（1）对内部控制体系的实质内涵和不同构建阶段的特征缺乏了解；（2）误解内部控制和企业管理的关系。基于此，本书以下内容首先诠释内部控制体系的发展阶段以及不同阶段的内部控制体系特征、目标、对信息系统和企业管理的要求；然后设计一套过程导向的分析体系，帮助企业构建符合企业管理现状、技术基础的内部控制体系。

（三）内部控制体系构建的三个阶段

内部控制发展轨迹表明，企业的管理基础、技术基础决定了企业适合构建内部控制体系的阶段。当内部控制体系符合企业的管理基础和技术基础时，它就能够合理保证企业内部控制的相关目标，并将企业的各种风险控制在企业可以忍受的范围内，从而提升企业价值；反之，不仅不符合成本效益原则，而且会制约内部控制体系作用的发挥，甚至导致内部控制体系失效。

内部控制体系的构建是一个螺旋式上升的过程，企业不可能构建一种满足现在和将来所有环境的、一成不变的内部控制体系。内部控制实践的多姿多彩、企业管理理论的快速发展以及现代信息技术的日新月异推动着企业内部控制体系模式、结构和功能的演变。本书认为，企业构建内部控制体系可以分为内部控制体系合法合规型，内部控制规则嵌入流程型和内部控制和管理制度完全融为一体型三个阶段。

1.内部控制体系合法合规型

（1）特征和体系目标

合法合规是企业构建内部控制体系最基本的目标，该阶段的内部控制体系的特征是：企业正处于生命周期的导入期，企业规模相对较小，管理基础薄弱。从会计角度讲，凭证填制、审核，期末的记账、结账等程序除个别部分依靠利用计算机实现业务的自动化和半自动化外更多依赖员工的手工劳动，会计政策选择、会计估计变更等完全依赖人工的职业判断，工资核算、折旧的计提等重复性的劳动仍然是烦琐、机械、重复。信息处理的强度大，准确性差，及时性、可靠性有待于进一步提高。

该阶段内部控制体系的目标是：企业构建的内部控制体系符合规范体系的最低要求。

（2）对信息系统的要求

企业的信息系统处于面向事务处理的阶段，采购、生产、销售等子系统是一个个独立的系统，相互之间不发生联系，存在相互独立的“信息孤岛”。比如会计信息系统的功能主要是记账、报表、工资和固定资产核算等，主要目标是将员工从机械重复的工作中解脱出来，通过自动化和半自动化的计算机系统提高业务处理的效率和准确性。此种信息系统对业务数据只能进行事后分析，可以向个别的部门提供有限的管理信息。

（3）对企业管理的要求

由于采购、生产、销售、仓储等内部控制模块都在各自部门内部构建，模块之间因存在“信息孤岛”，数据老死不相往来。所以合法合规型内部控制体系要求采购、生产、销售、仓储等部门业务流程和管理流程自动化，部门内部基础数据要统一规范。

2.内部控制规则嵌入流程型

（1）特征和体系目标

内部控制规则嵌入流程型是内部控制体系的第二个阶段，该阶段的特征是：随着企业生命周期从导人期过渡到成长期，企业规模进一步扩大、竞争环境的发展变化，企业不仅面临着管理水平迅速提高的迫切要求，同时企业面临着无处不在的政治风险、操作风险、经营风险和财务风险，企业对内部控制的内容、手段和方式提出了更高的要求。同时随着信息技术的快速发展和大规模联网，财务系统与供应、生产、销售等系统的全面集成为内部控制规则嵌入业务流程提供了技术条件，随着先进的管理思想如JIT、MRP等的出现，企业进行业务流程重组，对关键业务流程和管理流程重新梳理，将内部控制规则嵌入信息系统中。

该阶段内部控制体系的目标是：企业构建的内部控制体系满足规范体系的合法合规性已经不是最终目标，此时随着计算机技术的发展内部控制规则嵌入业务流程，企业在执行企业的业务流程时，就自动执行了内部控制规则。

（2）对信息系统的要求

企业的信息系统处于面向系统的阶段，因为系统高度集成使会计信息系统成为MIS系统的一个子系统。信息系统实现业务活动、管理活动和信息活动的“三流合一”，采购/付款、转换以及销售/收款等业务活动发生时，信息系统通过计划、执行、控制、评价等管理活动自动记录、维护、报告业务活动发生的信息。信息化的业务活动、管理活动嵌入了内部控制的规则，使业务系统的数据能够实时传递到会计信息系统中的同时提高了内部控制的工作效率和有效性。

（3）对企业管理的要求

在内部控制规则嵌入流程型阶段，由于业务活动、管理活动和信息活动的“三流合一”，企业采购、生产、销售、回收等业务环节中固定资产、人力资源、供销存等模块中的数据会自动传递到总账模块，系统之间的数据报告取代了了部门之间的凭证传递，这就要求企业内部不同部门的基础数据必须统一。另一方面，由于部门之间的协调工作也在信息系统中完成，这要求部门之间的协调工作要实现规范化、程序化、制度化，并嵌入到信息系统如“有借必有贷、借贷必相等”、“资产=负债+所有者权益”等各种规则中。只有部门内部基础数据统一，部门之间协调工作规范化才能保证内部控制体系构建后的有效实施。

3.内部控制和管理制度完全融为一体型

（1）特征和体系目标

内部控制和管理制度完全融为一体是内部控制体系构建的最高阶段，该阶段的特征是：随着企业由成长期进入成熟期，同业竞争日趋激烈，同时随着企业生产、经营业务的自动化管理，企业的供应链向外扩展。内部控制信息的产生、维护和报告已完全信息化，此时企业不仅存在传统意义上的政治风险、操作风险、经营风险、财务风险等，还会存在与信息和信息技术相关的信息风险，企业风险无处不在，对内部控制体系提出了新的要求。内部控制和管理制度完全融为一体，企业在执行管理制度的同时就保证了内部控制规则的履行。

因为内部控制和管理制度完全融为一体，所以这个阶段的内部控制的目标就是企业管理制度的目标。

（2）对信息系统的要求

企业的信息系统处于OD（面向决策）的阶段，信息系统采用了全新的体系结构、运用了最新的信息技术。信息系统覆盖企业所有业务流程和环节，存储各视角数据，同时支持多种输出设备、输出内容和输出方式需要。信息系统可以直接记录、存储和维护时间、地点、人物、资源、风险等业务事件的属性。因为这些属性数据对使用部门是“透明”的，信息系统可以支持多种视角和层次、不同过程的信息需求。(www.daowen.com)

另一方面，数据仓库技术、OLAP、数据挖掘技术等大大加强了信息系统的信息支持和企业决策能力。

简言之，本阶段信息系统注重的是如何提供对外扩展相关信息，为企业战略决策服务。

（3）对企业管理的要求

内部控制和管理制度完全融为一体型阶段，内部控制体系对企业管理的要求转变为在业务、流程自动化基础上内部控制体系如何和信息系统深度融合提升企业价值。此时，内部控制规则、管理制度已经完全嵌入高度自动化的业务处理过程。DW、OLAP和DM等新技术为内部控制有关部门人员提供有价值的内部控制信息，使有关决策更加完善、有效和高效。同时新技术的广泛应用对内部控制各级管理人员提出了更加苛刻的要求。首先，各级管理人员必须不走样地执行企业的各种管理制度、内部控制规则和相关要求；其次，要求企业的各级管理人员必须切实了解掌握相关业务流程、管理流程和信息流程，明确内部控制体系在企业整个管理体系中的地位和作用；最后，企业的各级管理人员应该理解、掌握计算机技术和各种分析工具的运用，能够发挥计算机的高准确性、实时、高效等优势，用信息系统输出的信息来实现反应和决策职能。

以上内部控制体系阶段的划分是根据企业所处的生命周期、企业规模、管理水平、技术基础的企业对内部控制体系的要求进行的。企业最重要的是从自身管理水平和技术水平出发，做好内部控制体系构建的系统、长期规划，为以后内部控制体系顺利向更高阶段发展做好铺垫、打好基础。

（四）建立内部控制体系分阶段的可行性分析标准

笔者在总结内部控制体系构建实践误区、经验和教训，归纳内部控制体系构建规律基础上，建立了一套过程导向的可行性分析体系，企业应该对自身的管理基础、技术基础、信息化程度等进行评估，以构建恰当的内部控制体系。过程导向有利于企业决策层侧重在分析评价的过程中充分认识构建内部控制体系的困难和面临的各种风险，以便对构建内部控制体系做好相关的充分准备。

1.分析体系的组成

该分析体系由影响企业内部控制体系构建的企业内部、外部因素组成。企业内部因素包括企业内部管理制度和业务流程、员工素质以及内部控制体系构建现状和预算等；外部因素包括企业的生存环境等。

在两化深度融合条件下，企业内部管理制度和业务流程是内部控制规则的载体，内部管理制度是否健全、完整、有效，业务流程能否得到严格、有效执行直接决定了内部控制体系构建的成效；企业员工是内部控制体系构建的主体，他们的素质直接影响到内部控制体系构建的质量和速度；内部控制体系构建现状是企业内部控制体系当前的状态，说明企业内部控制体系目前处于什么发展阶段；企业生存环境，即包括政治法律、经济环境、社会文化和技术环境等方面，又包括供应方、同业竞争者、潜在进入者、购买方和替代品五种力量。

2.评价题目举例

因为本书建立的评价体系是过程导向的，该分析体系的作用主要包括提供“最低标准”、度量构建难度和做好构建准备等。分析体系提供数个严格的“最低标准”，企业如果达不到某个“最低标准”，则不能建立相应阶段的内部控制体系；度量构建难度标准主要度量企业构建该阶段内部控制体系的难易度，一般而言“最低标准”之外其他的标准符合得越多，构建该阶段内部控制体系就越容易，反之则相反；同时该分析体系有利于促使企业决策层全面深入地分析企业的管理、技术状况，全面评估构建内部控制体系的风险，进一步做好构建内部控制体系的各种准备，防范意想之外的因素导致的内部控制体系失效。

为了提高该分析体系的可行性，本书为各影响因素设定了评价题目，企业可以有针对性地裁减。

（1）内部管理制度和业务流程评价题目举例

第一，各部门是否已经制定了完善的管理制度；（最低标准）

说明：企业内部管理制度的存在是构建内部控制体系的基础。

第二，部门内部管理制度是否得以贯彻执行；（最低标准）

说明：该标准是建立合法合规型内部控制体系的基础。

第三，涉及部门协调的管理制度是否得到严格执行；（最低标准）

说明：部门之间协调的规范化、制度化是建立内部控制规则嵌入流程型内部控制体系的基础。

第四，企业的管理制度是否频繁变动；

第五，企业是否达到了编码的唯一性、一致性；（最低标准）

说明：该标准时规则嵌入流程型内部控制体系构建的基础。

第六，部门内部基础数据是否统一规范；（最低标准）

说明：该标准是合法合规型内部控制体系构建的基础。

第七，是否对客户进行档案管理，是否定期对客户进行评价，企业前十大客户是否经常变动，主要客户的信誉如何。

第八，是否对供应商资料进行档案管理，是否定期对供应商进行评价，主要供应商是否经常变动，主要供应商的信誉如何，是否定期对供应商的交货提前期进行核实、管理和评价。

第九，企业销售预测方法是否科学、准确。

（2）员工素质评价题目举例

第一，是否有90%以上的职工接受了内部控制体系构建有关内容的培训；

第二，企业各部门、各级管理人员是否掌握内部控制的基本内容、原理和方法；

第三，企业员工是否具备上岗必需的业务素质和技能；

第四，企业员工是否有做好内部控制体系的愿望。

（3）内部控制体系构建现状和预算评价题目举例

第一，企业是否有副厂长、副总经理级别以上的领导专门负责内部控制体系构建工作；

第二，企业是否设立内部控制管理部门；

第三，企业是否有长期、整体的内部控制体系构建规划；

第四，企业中是否已经有个别部门将内部控制规则嵌入信息系统，自动履行内部控制规则；

第五，企业中是否存在多个特想集成的内部控制自动化的部门；

第七，企业目前所采用的信息技术能否支持内部控制体系的扩展和升级；

第八，企业是否有满足内部控制体系构建需要的预算。

说明：内部控制体系构建预算受企业规模、行业性质影响，在此按预算占营业收入的百分比来计算。

第九，在构建内部控制体系时是否存在其他业务、项目对内部控制体系构建资金和人员的占用。

（4）企业生存环境评价题目举例

第一，企业是否存在稳定的市场环境，是否存在较大的经营风险；

第二，企业的政企关系如何，企业在多大程度上依赖于地方政府的保护，当地政府给企业哪些有利于企业生存的特殊政策，这些政策有效期多长；

第三，企业是否经常出现违反常规的业务，企业主营业务是否经常变化。

内部控制体系的构建是一项技术复杂、耗资不菲的系统工程，企业只有按照内部控制体系的构建规律，根据企业的技术基础和管理基础选择相应阶段的内部控制体系，才能实现内部控制的目标。本书认为内部控制体系分为合法合规型，规则嵌入流程型以及内部控制和管理制度完全融为一体型等三个阶段，每一阶段都有各自的特征和目标、对信息系统以及对企业管理的要求。为了帮助企业选择内部控制体系，本书建立了一套过程导向的可行性分析体系，为企业构建内部控制体系决策提供了选择依据。该分析体系由企业内部和企业外部影响因素组成。企业内部影响因素包括：内部管理制度和业务流程、员工素质、内部控制体系构建现状和预算等；企业外部影响因素包括企业生存环境等。