人力资源总监梁满升：内部控制规范体系建设路线图

我国企业内部控制体系建设路径与三个名词紧密相关：财务报告内部控制、全面内部控制，以及全面风险管理。这三者代表着不同的内部控制体系建设路径，在实践中采取哪种具体路径，则需充分考虑企业所处的环境。企业在着手建设内部控制体系时，因不同的资本市场具体要求、监管要求及企业自身发展的需要，可能采用不同的路径。

以下分别介绍这三条主要路径的建设思路：

路径一：以财务报告内部控制为着眼点逐步开展全面内部控制体系建设

2002年萨班斯法案实施后，在美国证券市场挂牌交易的中国企业按要求须就财务报告内部控制有效性进行自我评估，并接受外部审计师实施的财务报告内部控制审计。以此为契机，这部分企业开始着手建设财务报告内部控制体系。随着相关工作的开展及不断深入，财务报告内部控制体系建设已经较为成熟，这部分企业深刻感受到内部控制建设对提升企业经营、管理水平的作用，因此将逐步建立全面的内部控制体系作为对自身发展的要求。

路径二：以全面内部控制体系建设为整体目标，立足于管理者关注的重要管理领域，开展内部控制建设

部分企业在启动内部控制体系建设工作时即强调建设全面内部控制的理念，要求将内部控制要求落实到企业经营的各个环节，但受限于实施人员、时间等方面的成本考量，企业一般会选择管理者关注的一个或几个重要管理领域作为切入点，实现“体系完善，重点突出”的内部控制管理。财务报告相关内部控制覆盖、贯穿企业各个关键业务流程，且财务报告是反映企业经营绩效与成果的直接表现，因而在大多数情况下，被企业选做重点突出的业务领域之一，率先开展工作。

路径三：以建立全面风险管理体系为蓝图开展内部控制体系建设

2006年《中央企业全面风险管理指引》下发后，企业将建设全面风险管理体系纳入工作日程。企业根据自身情况从不同角度、不同层面启动相关工作，因此建设的程度、层次也各不相同。企业开展全面风险管理体系建设工作的思路包括但不局限于以下几类：

·搭建全面风险管理的初步框架，明确组织及责任体系，梳理风险清单。

·识别及评估重大风险，就重大风险确定风险应对策略并建立持续监督机制。

·就某一类重大风险进行全面、深入的识别和评估，梳理与之相对应的内部控制体系，识别内部控制措施的薄弱环节并实施整改。

·以关键绩效指标为基础建立风险预警机制等。

内部控制体系是企业进行风险管理的方式之一。良好运作的内部控制体系能够有效降低企业内部舞弊风险、控制各岗位活动的不确定性风险，目的是将风险控制在与企业总体目标相适应并可承受的范围内。

需要说明的是，就国外管理理念和管理实践的先进经验而言，内部控制体系与全面风险管理体系在管理理念发展过程中紧密联系，均体现了对风险进行充分关注和有效管理的思想。
对中国企业而言，基于监管或自身管理需要而进行内部控制体系或全面风险管理体系建设时，应尽可能将内部控制体系与全面风险管理体系建设工作结合起来。企业应结合本企业管理现状和可动用的管理资源量，进行长期规划，建设真正服务于企业管理需要，同时满足监管要求的管理体系，避免因规划不当导致的管理资源浪费、管理理念混乱等问题。

《基本规范》明确指出：“内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。” 从这个层次分析，《基本规范》所要求建立的内部控制是“大内控”的概念。然而，自《基本规范》及其配套指引实施以后，考虑到我国上市公司的现实情况及内部控制工作的复杂性，现阶段财政部、中国证监会对上市公司内部控制的要求是以财务报告内部控制为核心，侧重于保障和提高上市公司的财务信息质量。企业在制定内部控制体系建设实施方案时，应注重短期合规目标与长远发展目标的衔接。短期来看，必须按照《基本规范》的要求，建立企业的财务报告内部控制体系，定期开展自我评估，出具评估报告并接受外部审计，这是基本要求。在此基础上，应制定规划逐步向其他生产经营领域拓展，将建立健全全方位的，既满足企业内部发展需要，又满足各级监管机构监管要求的内部控制体系并保证其有效运作作为内部控制建设的最终目标。

考虑到企业首先应满足有关财务报告内部控制方面的建设及评价要求，本书以财务报告内部控制为主要目标，主要从建设与评价财务报告内部控制有效性的角度系统性地论述内部控制规范体系建设与评价活动。