2008年6月，财政部等五部委联合发布《企业内部控制基本规范》，标志着我国企业内部控制规范体系建设取得重大突破。近年来，包括上市公司在内的诸多企业越来越关注内部控制建设问题，并着手推动内部控制体系的建立和完善。但在我国转型经济背景下，企业的股权结构、公司治理特征和面临的经营环境与发达国家存在较大差异，搞好我国企业内部控制建设，一方面固然可以借鉴国外经验，但另一方面，则要结合企业自身特点，探索出一条可行的、本土化的内部控制建设之路。笔者在此针对我国企业内部控制建设当中的几个典型问题谈些个人看法。

　　一、内部控制对效率的影响：降低效率还是提高效率？

　　在推进内部控制建设时，我们经常听到这样一种声音：抱怨企业搞内部控制会导致控制环节增加，束缚了业务活动开展、导致营业收入和利润下降、效益滑坡。因此就认为企业应当优先考虑业务开展，而不应过多地设置内部控制，尤其是业务部门，持有这种观点的人更多。不少企业高层领导也往往有这样的顾虑，从而不愿或不敢切实推行内部控制建设。在建立和完善内部控制过程当中，这些观念上的认识会使企业员工产生不理解和抵触情绪，既可能影响到内控设计，也可能导致企业内部控制执行受阻，最终使内部控制不能被真正有效执行。此外，在理论界，谈及内部控制局限性时，也经常会提到“内部控制可能会一定程度地影响到企业经营效率”。

　　有鉴于此，企业在进行内部控制建设时，有必要先在观念层面上，厘清内部控制和经营效率之间关系的认识。提高经营效率和效果本来就是内部控制的重要目标之一，几乎所有内部控制标准或规范（无论是COSO内部控制整体框架（1992）提出的三目标，还是我国的《企业内部控制基本规范》提出的五目标，抑或其他内部控制标准）都将提高经营效率和效果列为内部控制的重要目标。可见，内部控制与经营效率并不存在必然的矛盾，对内部控制与经营效率的关系需要辩证地来看待。

　　从我国企业内部控制建设的实践来看，笔者认为内部控制至少有助于从以下几方面提高企业经营效率。

　　其一，组织结构的设计调整、岗位权责的清晰界定以及业务流程梳理、优化，有利于保证经营中每个环节功能的实现，促进各岗位之间有效的沟通与协调，使各项工作流程顺利进行。明确权、责、利，避免不必要的推诿，可以让所有员工一目了然地知道办事程序、涉及的部门、人员和规章制度，知道每件事谁去做，如何做？即使是新来的员工也可以快速上手工作。这无疑会大大提高经营效率。而目前我国很多企业内部恰恰存在组织结构和岗位职责不清楚、缺乏清晰的岗位描述和业务流程图等现象，影响了企业经营效率与效果，通过加强内部控制建设，恰恰可以在提高经营效率方面收到很好的效果。

　　其二，合理的内部控制可在风险评估基础上，按照重要性原则和成本效益原则，找出关键控制点予以重点控制，从而提高经营效率。在一些企业当中，由于缺乏系统的风险识别和评估，在控制风险时不分主次，没有区分关键控制点和非关键控制点，胡子眉毛一把抓，缺乏适当的授权审批机制，甚至连一些小额费用开支都要层层报批并要单位负责人签字方能报销，导致程序繁琐、效率低下。通过建立健全科学、系统的内部控制体系，可以起到优化流程、提高经营效率的作用。

　　其三，搞好内部控制，可以将风险控制在合理水平之内，企业发生舞弊或违规、违法等事项的概率将大大降低，企业需要处理的应急性危机事件也就会少很多。从整体角度来说，这也是提高了经营效率。反之，如果内控较差，各种风险事件频频发生，企业疲于应付，这样的话又谈何效率呢？

　　当然，勿庸讳言，企业控制活动增加在一定程度上的确会影响效率，譬如，按照内部控制原则，需要将不相容职务进行分离。以采购为例，如果将采购申请、询价、执行采购甚至验收，都交给一个人办理，也不需履行相关审批手续，在效率上可能很高，但由此可能导致采购成本上升或错弊风险大大增加。企业经营目标是实现股东价值最大化，因此，企业经营时不能只考虑效率，还必须考虑风险防范和可持续发展等。内部控制需要平衡风险与效率的关系，企业效率高低会影响企业发展的快慢，但风险控制则涉及企业的存亡，尤其是一些重大风险往往会给企业带来毁灭性灾难，因此，牺牲一定程度的效率是控制风险所必须付出的成本。由于风险控制的薄弱，在陈久霖一手掌控下的中航油参与的石油衍生产品交易巨亏高达5.5亿美元才事发，导致中航油陷入破产境地。据事后调查，中航油在经营过程中，几乎所有决定都是由陈久霖一个人说了算，风险控制体系形同虚设，这种公司即使效率很高，又有什么意义呢？

　　在进行企业内部控制建设时，既要和员工讲清内部控制具有理顺工作流程、提高经营效率的作用，取得员工支持，减少内控建设和执行过程中的阻力；同时，对新增的一些可能影响效率的控制措施，也要讲清其对风险防范的作用和意义，促使员工能够理解并严格按内部控制的规定去执行。

　　二、内部控制建设过程：速决战还是持久战？

　　企业进行大规模内部控制体系建设或变革，往往不外乎两类原因：一是外部原因，即为满足监管机构的法规要求或上级主管公司的要求；二是内部原因，即出于企业经营的内在自发性要求，有时是两类原因兼而有之。这种大规模内部控制体系建设或变革，往往是“运动式”的，在整个公司（或集团）内，广泛动员，深入宣传，并由某一部门牵头，几乎所有部门都会参与，通常还会请专业咨询公司一起来做这件事。在企业发展的某个阶段，采用“运动式”手段来推进内部控制建设本身并无大的不妥，但有些企业的高层领导对内部控制了解不够，往往有毕其功于一役的想法，寄希望在短时间内使企业拥有非常完善的内部控制体系。这种追求内部控制一步到位的想法是不现实的，也不利于企业内部控制建设。冰冻三尺非一日之寒，一个企业已有的企业文化、工作习惯及利益格局都是在长期发展过程中逐步形成的。企业内部控制建设势必会涉及到很多变革，而公司管理层及一般员工的思想观念、工作习惯的改变则需要一个过程，加上变革时不可避免地会涉及到职权、职责和利益格局的调整，因此在推动公司内部控制时难免会遇到阻力和困难。此外，内部控制本身就是一个持续的过程，内部控制建设是一项持久战，企业不应抱有速战速决的思想。对于企业内部控制诊断出的各类问题，不能期望一次性全部解决。为此，企业应当分清主次，考虑内控问题的重要性和解决的难易程度，对内部控制中存在的问题进行排序，采取逐步推进的方式，先致力于解决重要的、相对容易的问题，再解决那些重要性程度相对较低的问题，这样实施起来也才更具可操作性。

　　三、内部控制执行：内容重要还是形式重要？

　　在法学界，常常有实体正义与程序正义之争，关于程序正义的重要性，英国著名大法官丹宁勋爵有句名言，“正义不仅要实现，而且要以看得见的方式实现。”借用这句话，我们可以说，“内部控制不仅要实现，而且要有确凿的证据证明它已实现”。这种证据，一般是事后可审查的书面证据，包括以纸质或电子形式保存的文档资料、交易系统中留下的控制痕迹等，例如书面规定、审批流转单、会议记录等。现实中，很多企业在内控制度设计和执行过程中，往往重内容、轻形式，忽视控制过程中书面记录的重要性，认为只要实施了控制活动就可以了，而不太关注控制过程是否留有证据。例如，某一重大事项是经高层领导或各部门开会讨论通过的，但却没有相关会议记录，或虽有记录，但对涉及到的重要决策事项，没有相关人员签字；支付一笔款项，需要领导审批，由于时间比较紧急，在电话请示同意后，财务人员予以支付，事后也无补签手续；会计凭证或某些表格需要复核，复核人在复核后不在上面签字或盖章以证明已复核过。

　　控制过程当中没有留下可审查的痕迹、证据，会导致几个方面的问题：首先，很难保证内部控制真正执行到位。由于无法验证，控制活动是否执行只有当事人自己清楚。在企业中，经常会碰到凭证或表单需要复核而无复核签章的现象，复核的人往往辩称确实已执行过复核控制，但试想一下，如果复核人连举手之劳的签字或加盖印章都做不到，又怎么让别人相信他能认真地履行复核这个控制程序呢？其次，不利于内部控制的监督和评价。对控制活动的监督和评价所能依据的只能是客观证据，而不是控制执行人员的口头描述。如果没有证据支持，从内控监督人员或审计人员角度来说，就只能认定该项控制缺失。第三，不利于信息传递和沟通。如果没有留下书面记录，其他非直接当事人往往难以了解相关情况，比如没有详细的会议纪录，非参会人员就难以了解会议议题、讨论情况和决策过程。第四，不利于责任清晰界定，甚至会带来很大的法律风险。这种责任界定不清，既可能涉及到企业内部不同部门、不同员工的责任界定，也可能涉及到本企业与其他单位之间的责任界定。另外，在与外单位的来往中，企业也应在控制过程中注意书面证据的使用和保管。譬如通过运输公司发货，企业应当保留清晰的书面发货单据，否则，一旦货物丢失或毁损，就很难说清到底是谁的责任。

　　此外，使用书面凭证形式不规范的现象也在很多企业广泛存在，无固定格式的表单（如对同一类事项的付款申请，使用的报告或表单五花八门）、表单无编号、表单上签字不规范（如以画圈代签名、不签日期）等，这些都会削弱内部控制活动的效果。

　　司法界有“没有程序正义，就没有司法公正”的说法，而对内部控制来说，也可以说“没有证据，就没有控制（no evidence, no control）。”对我国企业来说，应当改变重内容、轻形式的观念，在设计内控制度时，注意相关控制表单的设计和运用；在内部控制执行过程中，加强培训和监督，促使控制活动过程留下“痕迹”，以保证内部控制得到真正有效的执行。

　　四、授权审批控制：注重结果还是注重过程？

　　授权审批控制是企业一项非常重要的控制措施。在实务中，无论是企业管理人员还是审计人员，抑或从事内控咨询的咨询顾问，往往存在这样一种倾向：那就是非常关注企业某项业务活动是否经过授权范围内的审批程序。如果是，便认定该项操作是符合公司制度规定的并已得到足够的控制。笔者认为，这种过于关注授权审批形式合法性、忽视审批过程合理性的做法是不太妥当的。任何一项审批，都是一个审核、决策的过程，如何保证这项决策相对科学、合理非常重要，一方面需要企业设计合理的流程，主要看该项活动有哪些部门参与审批，审批顺序是否合理；另一方面要使决策主体（审批人）得到相对充分的信息，以支撑他的决策相对科学、合理，而不是“盲人骑瞎马、夜半临深池”。内部控制不仅有合规性目标，经营效率与效果也是一项很重要的目标。试想一下，如果一项重大采购支出报总经理审批，经办人仅仅提供采购事项简要说明和采购发票，而对该项采购的必要性、该产品的优缺点、同类产品质量和市场价格比较等决策必需信息都没有提供，那么即使该项采购在控制程序上已经各级领导审批，这种审批也只会流于形式，起不到真正的控制效果，最后可能会导致采购不合理或成本偏高。现实中，很多企业从审批过程来看，重要业务活动确实经过多个部门、从下到上的层层审批，但由于审批人缺乏审批事项的信息支撑，审批流于形式，反而会出现由“人人有责”变成“人人都没有真正负责”的现象。因此，内部控制建设在考虑授权审批控制时，不仅要关注“是否”有审批，更要关注审批的合理性、是否从制度上保证审批决策人得到相对充分的支撑信息。