企业的产品质量风险是构成企业管理风险的重要组成部分，而内部控制工作的主要任务就是建立和维护企业内控管理体系，预防企业管理风险。与全球质量管理体系蓬勃发展的情况相较，企业内控管理体系建设的发展相对滞后，而建立独立第三方企业内控体系认证机构不失为一种有益尝试。
掌握全面风险管理的知识与技能，建立完善的企业内部控制机制，是当代企业成功必备的核心竞争力之一。近几年来，随着国内外公司各类丑闻的不断发生，如何能够在瞬息万变的商海中，抓住机遇，规避风险，保障企业目标的实现，受到越来越多企业家的关注，也引起了世界各国政府的重视。而参照全球质量管理体系建立独立第三方内控体系认证机构，是使得内控治理得以“落地”的可行手段。
内控管理体系认证缺失之弊
众所周知，全球有一个权威的国际质量体系管理组织，中国也成立了相应的质量管理协会。在中国政府中，更有一个权威的质量监督检验检疫总局。这些组织机构为推动企业不断提高产品质量，开发了一整套针对各个行业的质量管理标准。社会上也随之产生了一大批独立的质量管理认证机构。正是在这些独立第三方认证机构的积极推动下，全球的产品制造和服务质量得到了巨大的提高。
从汽车行业来看，质量管理体系已经从ISO9000发展到QS9000、再到现在的TS16949.正是通过贯彻实施这一系列的质量管理标准，全球汽车制造业，包括相关零部件的制造水平和产品质量不断提高。TS16949已经成为当前汽车和汽车零部件行业的共同标准。所有主要汽车制造商和重要零部件生产企业都成立了质量管理部门，并建立了相应的质量管理体系。可以说质量管理已经成为企业日常运营管理中的主要工作之一。正是这项工作使得企业质量风险得到了有效的控制。
企业的产品质量风险是构成企业管理风险的重要组成部分，而内部控制工作的主要任务就是建立和维护企业内控管理体系，预防企业管理风险。与全球质量管理体系蓬勃发展的情况相较，笔者自1995年开始系统接触企业内控管理以来，发现国际和国内竟然没有一个专门从事推动企业内部控制的专门组织机构！国际内部审计师协会和相关注册会计师协会虽然也在为推动企业内控管理体系建设方面做了大量工作，但毕竟这些机构涉及的范围非常有限。
鉴于对内控管理体系在企业管理中重要性的逐步深化认识，国际权威的内部审计师协会以及中国政府有关部委也在努力制定相关的体系文件和标准，但毕竟没有形成类似的国际质量管理组织。所制订的一些准则和标准无论是从权威性方面还是从系统科学性方面考量都无法和国际质量管理标准相比。
此外，虽然在国际和国内的咨询服务市场上几乎所有会计师和审计师事务所都在开展针对企业内控管理体系的审核评价工作，但是，这些审核评价与企业内控管理的实际情况存在重大差距，不能满足企业和有关方面的实际需要。具体表现如下：
1. 评价目的与企业需求不同——用于审计机构本身的控制审计风险；
2. 评价范围有限——集中于财务报告及会计数据的真实性；
3. 评价结果的权威性——没有专业的权威组织或行业协会的资格认证；
4. 评价标准——各个审计师的评价标准不完全统一；
5. 评价结果没有通用性——没有权力颁发公认的认证证书。
从中国资本市场看，通过研究中国广大股民对上市公司的财务真实性普遍不满或不信任的状况，基本可以认定，上市企业建立的内部控制体系没能有效发挥其作用是造成这种现象的重要因素。具体表现如下：
1.上市前企业没有经过权威的内控体系认证；
2.上市后又没有具有公信力的机构对其进行持续不断的跟踪检查；
3.企业的关联交易以及项目投资几乎不受任何控制；
4.各种造假现象普遍存在。
笔者认为，如上种种是广大股民对上市公司普遍不信任的根本症结所在，也是导致国内股市持续多年下滑至几近崩溃边缘的始作俑者。而最近股市状况的改善，希望不是政府加大向股市输血的结果。
除企业界外，中国银行业的呆坏账水平早已成为业内人士关注的重点。为什么银行的呆坏账主要发生在国有企业？除了历史的贷款包袱外，新增贷款的巨大坏账又是如何发生的？相信所有银行都会对外宣称在审贷前内部也做了大量的资信评估，但这些内部做的资信评估究竟发挥了多大的作用？恐怕业内人士都心知肚明。
中国企业间的相互拖欠款项问题似乎也没有得到有效的解决。由此产生的大量经济纠纷给社会造成的损害更加毋庸赘言了。大量的典型案例都可以说明，中国企业在内控管理体系方面存在严重问题！而这些隐性问题导致的结果是有目共睹且触目惊心的！
笔者认为，从根本上促进解决企业内控管理问题的有效办法之一就是开展类似企业质量管理的“独立第三方内控体系认证”。为此，早在2001年由中国成本研究会在国家会计学院举办的中国企业内部控制高层研讨会上笔者就呼吁成立专门的企业内部控制管理协会，为促进开展独立第三方认证创造条件。
独立第三方认证机构之“利”
通过这些年从事内控管理工作，笔者认为政府机构和有关行业、组织应该开始考虑建立独立的行业管理机构，专门制订企业内控管理体系的相关标准并对独立第三方服务行业组织颁发认证资格。理由如下：
1.自从美国政府颁发“萨-奥”法案后，政府及行业协会大大加强了对上市公司的监管。为保证此类监督的长期有效，该工作应该交由有认证资格的社会组织进行。
2.对于准备申请上市的企业组织，应该接受由独立第三方权威机构进行的全面的内控体系认证。此等认证应该被有关批准上市的证券监管机构和推荐上市的金融机构所认可。
3.企业为申请银行贷款，除了接受银行金融机构的内部审核外，还应当向银行提供由独立第三方权威机构颁发的内控体系认证书，证明企业的管理风险已经通过内控管理体系得到了有效的控制。
4.当企业获得了权威机构颁发的内控体系认证证书，这本身就是对企业资信情况的补充证明。因此，该证书可以匹配银行或信用评价机构的资信等级证书一起使用。
5.企业股东董事会可以为股权重组提供依据，减少收购者的评估时间和成本，进而提高股权重组的成功几率。
6.鉴于内控体系在控制和预防意外风险以及责任风险方面的特殊作用，获得内控体系认证的企业，应该在购买企业保险，特别是责任保险产品时，得到保险公司提供的优惠费率。
7.获得内控体系认证的企业，一方面在争取客户订单时，可以配合质量体系认证证书一起提供给客户，以提高客户对企业抵御交货风险的信心。同时也可降低上游供应商对企业付款能力的担忧，提高企业在供应商客户清单上的等级地位，从而获得更高的赊销垫款额度。
8.通过实施内控管理体系认证，可以促进企业在控制管理风险方面做出更多的努力，进而提高企业抵抗风险的综合能力。
9.通过实施企业内控管理体系独立第三方认证，还可以促进服务行业的进一步发展，有效整合相关审计、工程技术和管理咨询等各方面的专业机构及各类专家协同工作。
其实，如果仔细对内控体系进行更深入的研究，相信应该还可以找出开展独立第三方认证的更多理由。
跨越开展第三方内控认证障碍
虽然笔者提出了以上开展独立第三方内控体系认证种种“势在必行”的理由，但详细考量当前国内的实际情况，发现要在中国推动成立这样的组织机构还存在以下一些障碍：
1.成立相关组织机构有困难。如前所述，既然要推动独立第三方体系认证，那就必然需要成立权威的内控管理协会，具体负责协调和推进这件事。正如质量体系认证，政府有质检总局，行业协会有质量管理协会一样，要建立“中国内控管理协会”（或类似组织）就需要得到各界的支持。这里主要包括政府和行业协会两个层面。就政府层面来说，由于企业内控涉及管理中的方方面面，这自然也涉及政府中的许多部门，包括审计总暑、监察部、财政部、质检总局、中国证券监督委员会等有关机构。究竟由哪个部门为主出面推动此事，似乎需要平衡各方复杂的关系后才能确定。
就行业协会层面来说，中国目前的注册会计师协会、内部审计师协会、证券业协会、中国质量管理协会、成本研究会等也都有条件涉及企业内控领域。由谁牵头组织成立中国权威的内控管理行业协会，也面临一个协调的问题。
根据国际国内内控体系发展现状，笔者认为政府机构应当由审计总署出面，行业协会则由中国内部审计师协会牵头，联合其他政府部门和行业协会共同商讨筹备组建中国内控管理协会比较合理。而内控管理协会的宗旨应该是促进中国企业内控体系建设，预防企业管理风险。主要任务应当是建立和维护企业（组织机构）的内控体系评价标准；授权独立机构开展企业内控体系评审和认证业务。
2.确定内控体系评价标准（准则）问题。既然要对企业内控管理体系进行评价，就需要确定统一的评价标准。当前国际、国内对企业内控体系的评价标准并不完善，也不统一。这就需要在成立内控管理行业协会后，邀请相关的行业人员和专家学者做大量的工作后由政府或权威的内控行业组织机构批准发布。好在国际和国内的内部审计师协会已经发布了一系列针对企业内控体系的审计准则，这些准则经过改造补充后有许多可以直接转化为内控体系评价标准。
3.与有关企业风险评估机构的协调。建立企业内控体系的核心任务就是预防各种潜在的管理风险。对此COSO报告中已经有非常明确的解释。如果说风险评估机构的主要任务是评定组织机构的潜在风险种类和大小等级，那么内控体系认证则主要是评价组织机构预防潜在管理风险的控制体系是否完善。两者之间既有联系也有区别。同样也存在行业之间的协调问题。这样目前存在的风险等级评估机构在获得内控管理协会的授权后，也可以获得企业内控体系的评估资格。
考虑到建立独立第三方企业内控体系认证机构的复杂性，这就需要动员各种积极因素方能促成。
最后，受笔者的经验所限，以上建立独立第三方企业内控体系认证机构的设想必然存在各种不完善之处，欢迎各位读者朋友指正。
（作者为亚新科工业技术有限公司内控部总监）
