成本效益原则并不适用于企业内控
“最近一直被大家热议的成本效益原则，其实它并不适用于企业的内部控制和风险管理。原因有两方面：一方面，风险折现期限的无限延长使得风险控制的成本收益不再局限于当期损益；另一方面，相应的风险爆发后带来的损害远非单纯的财务指标就能衡量的。
因此，成本效益原则更适用于管理控制而非风险控制。”近日，北京国家会计学院审计与风险管理研究所所长、中国会计学会内部控制专业委员会委员刘霄仑在接受记者专访时，提醒那些正在积极筹划、组织落实内部控制规范相关要求的企业。
企业内控实施普遍存在三大问题
《中国会计报》：企业目前在落实内部控制规范相关要求的过程中，存在着哪些普遍性的问题？刘霄仑：通过在企业中的大量实地调研，我们发现企业在实施内部控制规范要求的过程中，普遍存在以下三大问题。
其一，企业设置的部门机构及其职责比较混乱。有的企业设置了专门的内控部门，有的设置了风险管理部门，有的两者并存。从报告对象角度看，有的部门向董事会报告，有的则向总经理报告。从报告的内容上看，由于权限不清，具体职责不清，报告内容也不规范。
有的企业对一个报告，仅修改一下标题便分别报送给国资委和财政部，而不考虑《中央企业全面风险管理指引》与内部控制规范体系的不同侧重点和不同要求。
其二，从企业内控工作的责任落实角度看，相当部分企业将责任落实在总会计师和财务人员身上，也有部分企业落实在企业总法律顾问或内审部门负责人身上。这样的安排导致其他部门人员置身事外，而相关负责部门则感觉压力太大，难以确定工作重点和目标。
其三，企业普遍感到难以掌握内控工作的目标设定及考核标准。
从内控的目标设定上来说，内控应如何为促进企业战略目标的实现服务，如何提高运营效率，如何更好地满足财务报告目标和合规目 标的要求，企业很难为此制定具体的任务指标并加以量化，自然也就无从考核。从内控部门的角度看，最初几年的工作相对容易设定，包括梳理流程、建立风险库、明确相关人员职权等，但应如何考核业绩？如果以设定流程或制度的多少为评价标准，那么流程或制度是不是设立的越多越好？再者，内控制度建立后，如果日后出现内控失败的问题，谁来承担责任？
机构如何设置？责任如何落实？考核标准如何确定？
《中国会计报》：企业内部控制机构应怎样设置？刘霄仑：关于机构的设置问题，可在董事会内设置内部控制委员会，也可由审计委员会代行相关职责。为了更好地实施内控工作，也可以在管理层下设立内部控制部门，负责内部控制的设计、实施等工作，并向总经理汇报工作。但在内控委员会与内控部门这两者之间不应存在直接报告关系，否则内控委员会的相关内控监督职责就不能由审计委员会代行。
有的企业在董事会内部设置风险管理委员会，对企业运营层面的风险管理进行监督，其实质也是内部控制委员会。例如，金融企业设置的风险管理委员会，对金融企业的信用风险、市场风险、操作风险进行监督，由于这些风险都属于运营风险，所以金融企业的风险管理委员会，实质上是内部控制委员会。
《中国会计报》：企业实施内部控制的责任应如何落实？刘霄仑：我认为，内部控制总的责任有两个，一个是内部控制实施工作的责任，总的责任人是总经理，因为内部控制的实施是一个全员、全过程、全方位的工作，很难由某个或几个部门承担职责，因此应由总经理承担实施责任，指挥工作。
内部控制的另一个责任是监督工作，总的责任人是董事长。任何人都不能监督自己的工作，因此必须将实施工作与监督责任相分离。当企业存在内部控制重大缺陷或内部控制薄弱环节的时候，企业董事长和总经理都应负连带责任。
内部控制的责任要落实在企业的每一名员工身上。员工承担管理职责，就应管理与该职责相关的风险，包括职责履行不力的风险、履行职责过程中产生的运营风险、信息不畅产生的风险等。
《中国会计报》：企业内部控制的评价标准应如何确定？刘霄仑：内部控制的评价标准与经营业绩的评价标准是不同的。
企业经营业绩完成得越好，得到的评价就越高。但是对于内部控制评价，应该将“勤勉尽责”和“应尽关注”作为评价标准。“无过便是功”，但责任追索期应延长。
制度是内控的最外在表现
《中国会计报》：您对企业实施内部控制有何其他建议？刘霄仑：加拿大管理会计师协会发布的COCO控制指引、英国的特恩布尔报告等已经在欧美等国得以顺利实施。一个重要前提就是企业人员有比较统一的价值观，社会有普遍较高的道德水准。有形的制度容易借鉴和建立，而无形的道德基础很难形成。
日前，对于唐骏“学历门”事件的网络大讨论表明，中国人的道德标准和价值观极度多元化，对人对己采取双重标准成为普遍现象。企业负责人应该充分认识到这种状况，了解其对企业构建内控体系带来的不利影响。归根结底，我认为，内部控制首先表现为个人的意识，其次反映为企业的一种文化，最外在的表现才是内部控制的相关制度。