作者简介：
　　经济学博士，财务学与会计学教授，博士生导师，东北财经大学内部控制与风险管理研究中心主任，会计学院副院长。主要从事公司理财、内部管理控制、财务分析等领域的研究。

　　为了引导和推动企业建立健全内部控制，提高企业内部控制与经营管理水平，促进企业健康可持续发展，维护社会主义市场经济秩序和社会公众利益，中华人民共和国财政部企业内部控制标准委员会制定了《企业内部控制规范》（征求意见稿）（以下简称内部控制规范）。内部控制规范的制定充分体现了立足国情，实行创新；突出重点，解决问题；降低成本，稳步推进的原则，对完善公司治理，提高企业经营管理水平和效率，促进企业发展具有举足轻重的作用。
　　在企业内部控制规范起草说明中，提出了需要重点征求意见的几个基本问题。本文拟就内部控制几个相关理论问题进行探讨。

一、关于企业内部控制内涵的思考
　　研究企业内部控制的内涵主要应从内部控制定义、内部控制主体、内部控制目标、内部控制分类和内部控制特征几方面进行。
　　（一）企业内部控制定义的主要观点
　　关于内部控制的定义，《企业内部控制规范》的表述为：“内部控制，是指由企业董事会（或者由企业章程规定的经理、厂长办公会等类似的决策、治理机构，以下简称董事会）、管理层和全体员工共同实施的、旨在合理保证实现以下基本目标的一系列控制活动：（1）企业战略；（2）经营的效率和效果；（3）财务报告及管理信息的真实、可靠和完整；（4）资产的安全完整；（5）遵循国家法律法规和有关监管要求。有义务对外提供财务报告的企业，应当确保财务报告及管理信息的真实、可靠和完整，具备条件的，还应同时实现其他控制目标。”
　　COSO报告对内部控制定义的表述可分为两个阶段：1992年COSO报告对内部控制的定义是：“内部控制是指董事会、经理层和其他人员，为了实现经营的效率与效果、财务报告的可靠性、法律法规的遵循三类目标而提供合理保证的过程。”2004 年9月，COSO委员会对《内部控制——整体框架》进行了扩展，发布了《企业风险管理——整体框架》（以下简称为ERM框架）。ERM框架对企业风险管理的定义是：“企业风险管理是一个过程，它由一个主体的董事会、管理当局和其他人员实施，应用于战略制定并贯穿于企业之中，旨在识别可能会影响主体的潜在事项，管理风险以使其在该主体的风险容量之内，并为主体目标的实现提供合理保证。 ”
　　这些定义都从控制主体、控制目标、控制分类和控制特征方面界定了内部控制的内涵，下面我们首先从这几个方面探讨，然后给出一个内部控制的定义。
　　（二）企业内部控制的主体
　　关于企业内部控制的主体目前是比较明确的，从企业的董事会、管理层到企业的普通员工都是内部控制的主体。这一主体思想表明：
　　第一，内部控制必须体现企业的全员控制。通常人们将企业内部控制看成是管理者的职责，即管理者按照相关法规和董事会制定的目标对企业各项活动进行控制。这种观点将员工看成是被控制者，将董事会看成是决策者。现代内部控制理念将企业的全体人员都看成是控制者和被控制者，不仅管理层控制是如此，而且无论是董事会控制，还是员工控制都是如此。需要指出的是，在我国目前公司治理机制下，监事会在内部控制中具有重要的地位与作用，是全员控制的有机组成部分。
　　第二，内部控制必须体现“要我控制与我要控制”的有机结合，特别是要突出与重视“我要控制”的理念。从内部控制的产生过程看，外部要内部控制一直处于主导地位，从COSO报告的发展和我国内部会计控制规范和内部控制规范的制定等都是如此。但是，由于内部控制的主体是企业内部的全体人员，他们是否愿意控制是内部控制能否实现其目标的关键。因此，内部控制规范的制定必须充分考虑如何引导企业从“要我控制”向“我要控制”转变，搞好二者的有机结合。
　　（三）企业内部控制的目标
　　关于企业内部控制的目标目前观点并不统一，主要是控制目标确定的思路或角度不十分明确。在明确了内部控制主体的基础上，可从内部控制主体和内部控制重点确定内部控制目标。
　　第一，按控制主体确定控制目标。既然内部控制的主体为企业的董事会、监事会、管理层和员工，那么从各主体目标出发来确定其内部控制的目标就有所区别。从董事会角度出发进行内部控制，战略目标是其基本目标所在，从战略选择、战略规划到战略计划都要依据其战略控制目标进行控制。从管理层角度出发进行内部控制，经营管理目标是其基本目标所在，包括资本经营管理目标、资产经营管理目标、商品经营管理目标等都是管理层控制所要达到的目标。从员工角度进行内部控制，作业目标是其基本目标所在，在供销、生产与技术各项作业中根据作业标准进行控制。从监事会角度进行内部控制，它是对战略控制、经营控制和作业控制的监督与检查。
　　第二，按控制重点确定控制目标。企业内部控制的内容是十分广泛的，控制目标的确定还可从控制重点入手进行。从企业自我控制要求看，实现企业目标，通过控制使企业取得理想的效率与效果是内部控制的根本目标或最高目标。从企业外部“要我控制”看，法规遵循目标是企业内部控制的基本目标或最低目标，企业各项活动都应以遵守法规为准绳。无论是“要我控制”还是“我要控制”，会计信息相关可靠目标都是内部控制所必须保证的，因为会计信息如果不相关、不可靠，不可能保证有效率和效果的控制，如果会计信息不可靠，也是违背法规的。因此会计信息相关性与可靠性目标是内部控制的关键目标或中心目标。
　　（四）企业内部控制的分类
　　明确了内部控制的主体与目标，内部控制可从这两个角度进行分类。
　　1．战略控制、经营控制、作业控制
　　企业内部控制从控制主体角度可分为董事会控制、管理者控制、员工控制，从而形成三个层级的内部控制：一是以董事会为主体的战略控制；二是以管理者为主体的经营管理控制；三是以员工为主体的任务控制或作业控制。
　　以董事会为主体的内部控制是基于公司治理的战略控制，包括企业目标确定、企业战略选择、战略规划和战略计划全过程的控制。
　　以管理者为主体的内部控制其主要任务是经营管理控制，包括资本经营管理控制、资产经营管理控制、商品经营管理控制和生产经营管理控制。
　　以员工为主体的内部控制，或称作业控制或任务控制，其主要任务是有效地执行特殊任务的过程。执行这些任务的规则可被描述为经营管理控制过程的一部分。
　　三种主体的战略控制、经营管理控制及任务控制是紧密相关、相互作用、相互影响的，内部控制必须要搞好三者的有机结合。
　　2．管理控制、会计控制与法规控制
　　从企业内部控制的目标角度可分为实现经营活动效率和效果的控制、达到会计信息相关可靠性的控制和遵循相关法规的控制。在这三种控制中，经营活动有效性控制属于内部管理控制，会计信息相关可靠性控制属于内部会计控制，遵循相关法规的控制属于法规控制。
　　内部管理控制的目标是经营活动的有效性。有效性包括经营活动的效率和效果两方面。效率是经济学的核心，也是经营活动的基本目标，效果或绩效是管理学的核心，也是经营管理的基本目标。内部管理控制将效率与效果作为目标，它是内部控制的主导和关键，也是组织内部控制的核心与目标。
　　内部会计控制的目标是会计信息的相关性与可靠性。内部会计控制这一目标既包括保证会计信息的相关性与可靠性两方面，又包括保证财务会计信息质量和管理会计信息质量两方面。因此，会计控制不仅仅是通常所理解的财务会计控制，实际上应包括财务会计控制和管理会计控制。
　　法规控制虽然与会计控制和管理控制相比有其特殊性，但实际上法规控制不能孤立于会计控制与管理控制而存在。因为会计信息的相关性与可靠性和经营活动的有效性都不能离开法律法规的遵循，法规控制是会计控制和管理控制的保证。
　　（五）企业内部控制的特征
　　企业内部控制的特征从控制主体上看体现出全员控制，从控制分类上看体现出全方位控制。内部控制从资源投入产出角度看可体现出全过程控制，即资源投入控制、经营过程控制、产出成果控制、利益分配控制。
　　1．资源投入控制。企业的建立与运行需要两种资源，即人力资源和资本资源。资源投入控制包括人力资源投入控制和资本资源投入控制。从财务与会计角度看，资本资源投入的控制包括资本筹集控制和资本投资控制等。资源投入的方向、数量、质量、结构等在一定程度上影响并决定着组织的运营效率和效果。
　　2．经营运作控制。企业经营运作过程或企业营运过程主要指企业的供应、生产和销售过程的统一。企业资源投入后要取得产出成果就必须进行营运。从财务与会计角度看，营运过程中既要控制采购成本、生产成本、管理费用、营业费用，又要控制销售价格、营业收入、现金流入等。经营运作过程的控制不仅保证了营运过程各环节任务与目标的实现，而且影响并决定着产出的效率与效果。
　　3．产出成果控制。产出结果包括产出的效率和效果。产出效率是指产出成果与投入资源之比率，资产周转率、净资产收益率、成本利润率等。产出效果是指产出目标，如收入额、利润额、资本增值额等。产出成果控制包括产出效率控制和产出效果控制两方面，它是一种结果控制而不是过程控制。结果控制的效果影响并决定着管理者及员工的利益分配。
　　4．利益分配控制。利益分配从广义上看是利益相关者角度对总产出的分配，包括投资者、管理者、员工、政府等对总产出的分配。利益分配的原则通常是根据利益相关者对总产出的贡献进行。利益分配控制是指根据利益分配与产出结果的相关性，通过利益分配反作用于利益相关者的贡献，即利益相关者为取得一定的利益，必须对产出做出一定的贡献。利益分配控制机制从狭义角度主要是通过控制管理者的收益，促使其为企业及所有者做更大的贡献。
　　资源投入控制、经营运作控制、产出成果控制和利益分配控制四种控制类型由于经营循环的联系，它们之间相互联系与包容，后者通常包容前者，即经营运作控制要以资源投入控制为基础，产出结果控制要以经营运作和资源投入控制为基础，利益分配控制则要以前三种控制为基础。
　　其实，从控制本身的定义和特征看，内部控制的基本特征是过程控制，这个过程控制包括战略过程控制、经营过程控制、作业过程控制，会计信息计量、记录与报告过程控制，追求企业经营效率与效果过程控制，法规执行过程控制等。
　　（六）企业内部控制的重新定义
　　根据上述从内部控制主体、控制目标、控制分类和控制特征进行的分析，我们可将内部控制重新定义为：“企业内部控制，是指企业董事会、监事会、管理层和员工，为遵循相关法律法规，提供企业决策与控制相关与可靠的会计信息，实现企业战略目标、经营目标和作业目标，提供合理保证的过程。”
　　应当指出，上述内部控制定义还仅仅将内部控制作为一种管理手段或一种为实现某些目标的控制活动。如果将内部控制作为一种管理理念或管理模式，则应将内部控制看成是内部控制系统，内部控制作为一个控制系统，它应是有规律地或重复地执行某一项活动或某几项活动。而要保证控制系统的有规律地重复执行，在控制基础上进行的业绩评价和激励也应是内部控制系统的内涵之意。

二、关于企业内部控制要素的思考
　　一个典型的内部控制系统的一般需要或要素是什么呢？从控制要素角度研究内部控制系统，目前有三要素控制系统、四要素控制系统、五要素控制系统和八要素系统等。同样是三要素控制系统（或四要素控制系统，或五要素控制系统），其控制要素的内涵又有所不同。
　　（一）内部控制要素的几种主要观点
　　1．三要素观点
　　关于内部控制三要素观点或提法有许多，归纳起来主要有两种思路：
　　一是从控制职能角度出发，将内部控制的要素从管理程序进行界定，即：（1）控制标准；（2）评价绩效；（3）纠正偏差。持这种观点的学者非常多，只是表述略有差异，如Robinson提出了控制的三要素：（1）预测结果；（2）记录结果；(3)指出偏差及责任。Newman界定了控制过程的三个关键步骤（要素）：（1）依据战略目标设置标准；(2)检验和报告业绩；(3)采取纠偏行动。
　　二是从内部控制结构角度出发，将内部控制要素从制度结构进行界定，即：（1）控制环境；（2）会计制度；（3）控制程序。
　　2．四要素观点
　　关于四要素观点，一是彼得·罗伦基和麦克尔·S.斯科特在其“管理控制系统框架”（Lorange and Scott Morton，1974）一文中认为，管理控制系统的根本目标是帮助管理部门完成组织目标，这要通过以下几点（要素）为管理控制提供一个规范化的框架来实现：（1）相关控制变量的鉴别；（2）良好的短期计划的设计；（3）整套控制变量中短期计划实际完成程度的记录；（4）偏差的分析。
　　二是罗伯特.安东尼在其《管理控制系统》（Robert N Anthony，1998）一书中认为，内部管理控制系统包括计量、评估、执行与沟通四个要素。（1）计量用于确认被控制过程中发生的事件，即如实反映实际状况；（2）评估用于比较实际发生事件偏离标准的程度，即将实际与标准比较；（3）执行用于纠正实际与标准之间的差异，即纠正偏差；（4）沟通用于在计量、评估与执行间的信息及时传递或交流。
　　3．五要素观点
　　关于五要素观点,一是Gutenberg教授给出了一个内部控制系统的五个要素：（1）标准，进行控制首先必须有控制标准，否则将使判断没有依据；（2）信息系统，可提供管理控制过程中实际发生的各种事件的信息；（3）评估能力，能够依据标准对控制中发生的情况进行分析判断；（4）执行矫正的能力，能够根据判断结果纠正偏差，使其符合标准；（5）联系能力，能够及时将标准、信息系统、评估能力和执行矫正能力联系起来，形成一个有机整体。
　　二是COSO报告归纳出内部控制的五大要素：（1）控制环境，指组织进行控制所面临的环境，控制环境影响控制方式与手段的选择；（2）风险评估，指在组织控制中应能辨认风险因素，并能对风险因素进行评估；（3）控制活动，指能帮助管理层使其指令被执行的政策与程序，包括授权、调节等；（4）信息与沟通，指组织在进行控制过程中应保证信息真实完整，组织内部及外部沟通及时；（5）监督控制，指评价内部控制执行质量的过程。
　　三是我国《企业内部控制规范》中考虑的五个要素：（1）内部环境；（2）风险评估；（3）控制措施；（4）信息与沟通；（5）监督检查。
　　4．八要素观点
　　2004年COSO委员会在ERM框架中提出企业风险管理的八大要素：（1）内部环境；（2）目标设定；（3）事项识别；（4）风险评估；（5）风险应对；（6）控制活动；（7）信息与沟通；（8）监督控制。
　　上述四种类型八种内部控制要素的观点既有共性，也有差异。内部控制要素观点的共性产生于人们对控制本质和控制程序的理解是基本相似的，即计量、评估、纠偏；内部控制要素观点的个性或差异主要产生于以下原因：
　　第一，对要素的内涵理解不同，什么是要素？要素应包括哪些内容？
　　第二，对各要素项目范畴界定不同，如有的将评估要素包括标准、报告、评价，而有的将标准、报告、评价看成三个要素；有的将控制标准包括控制变量、标准确定，而有的将控制变量和标准确定看成是两个因素。
　　第三，对内部控制系统内涵理解不同，如有的理解是封闭系统，有的理解为开放系统。
　　（二）内部控制系统要素确定的理论基础
　　研究内部控制要素是建立内部控制系统框架不可回避的问题。而要建立内部控制要素系统，首先必须回答上述八种内部控制要素的观点产生差异的原因问题。
　　1．要素的内涵与内部控制系统要素
　　要素（essential factor，key point）是指事物必须具有的实质或本质、组成部分。或者说要素是构成事物的最重要和必要的因素，缺少了任何一个因素，事物的本质将发生变化。内部控制系统要素是指能反映内部控制本质和内部控制系统组织部分的各个因素。内部控制系统要素应反映内部控制的目的、实质、程序；内部控制系统要素应反映内部控制的系统特征。从这个角度看，内部控制要素与内部控制系统要素是不同的。
　　2．要素的特性
　　前面谈到，由于人们对要素项目范畴界定的差异，有的将一个要素分成几个要素，有的将几个要素界定为一个要素。如何界定要素的范畴是个十分复杂的问题，本研究为界定要素范畴，首先界定了要素至少应有的两个基本特性：
　　一是要素的不可缺少性，即缺少了这个要素事物的本质将发生变化，如控制标准是控制的一个要素，如果没有控制标准就没有控制或不能称为控制。
　　二是要素的不可再分性，要素应是反映某个事物的最基本的因素，应具有独立的、明确的界限范畴，如将控制标准看成是既包含控制点（变量），又包含控制水平两项内容的一个要素，就不如将其界定为控制变量与控制标准两个要素。
　　3．内部控制系统内涵与要素的范围
　　内部控制系统要素的范围与人们对内部控制系统内涵的理解紧密相关，如果将内部控制系统理解为一个开放系统，则控制环境因素、监督因素都将成为内部控制系统要素；如果将内部控制系统理解为一个封闭系统，则控制环境和监督因素就不是内部控制系统的要素。
　　（三）内部控制系统的十要素
　　依据内部控制系统确立的理论基础和内部控制系统内涵，我们认为内部控制系统的要素可归纳为十个基本要素。
　　1．控制环境
　　控制环境，指一个企业进行内部控制所面临的环境，包括企业外部环境和内部环境。外部环境有国际环境，国家政治、经济、社会发展环境，行业环境，地区环境等；内部环境包括企业信奉的诚信原则和道德价值观，企业的组织结构与职权划分，责任中心建立，人力资源政策与实务等。从内部控制角度看，内部控制环境对不同企业组织控制方式和手段的影响极大。不考虑控制环境将不可能实施有效的内部控制。
　　2．控制变量
　　控制变量，指影响企业内部控制目标的各个关键变量。企业战略目标、经营目标和作业目标能否顺利实现主要在于对风险因素、价值驱动因素等影响企业目标的关键因素的控制。因此，要搞好内部控制，要在确定目标的基础上找出关键控制变量因素，特别是风险控制变量因素是至关重要的。
　　3．控制标准
　　控制标准，指对一个企业进行内部控制的依据或准绳，它是对控制变量的量化。控制标准规划了企业应该怎么做及其程度。控制标准是企业战略控制目标的分解。从控制对象划分，控制标准可分为投入控制标准、过程控制标准和结果控制标准。从控制依据划分，控制标准可分为预算控制标准、行业控制标准、历史控制标准等。从控制标准形式划分，控制标准可分为比率控制标准和总量控制标准。控制标准正确与否将直接影响管理控制的成效。
　　4．信息报告
　　信息报告，指对企业中的各项活动的信息进行计量、记录与报告。信息报告反映了组织正在做什么。信息报告的相关性、可靠性是内部控制对信息报告最基本的质量要求。内部控制中的信息报告相关性主要体现在与控制变量及控制标准的相关方面；内部控制中的信息报告可靠性体现在对企业活动的真实反映。信息报告主要包括财务会计信息报告、管理会计信息报告、统计信息报告和业务信息报告。
　　5．执行评估
　　执行评估，指对一个企业的活动状况进行评定与估价。执行评估的过程实际上是将信息报告与控制标准进行比较、分析的过程。因此，执行评估的状况既决定于控制标准和信息报告的质量，又决定着纠正偏差的效果。执行评估中关键要区分实际与标准产生差异的主观因素与客观因素，可控制因素与不可控制因素，以保证业绩评价的准确性、及时性。
　　6．纠正偏差
　　纠正偏差，指对评估过程中发现的实际执行情况与控制标准之间的不利差异进行及时矫正或纠正。控制的本质在于纠正偏差，这是保证控制标准和内部控制目标实现的关键，也是决定内部控制质量的根本要素。纠正偏差根据控制程度要求可分为“松控制”与“紧控制”。“松控制”通常是指允许实际报告与控制标准之间有较大不利偏差（如5%）才进行纠正；而“紧控制”则是指当实际报告与控制标准之间有较小不利偏差（如2%）就进行纠正。
　　7．业绩评价
　　业绩评价，指对一个企业的控制主体的控制结果或业绩进行评价。一个企业的业绩与企业中各控制主体的业绩可能是不同的。内部控制中的业绩评价更侧重于对控制者业绩的评价。业绩评价的原则主要有：第一，经营成果指标评价与驱动因素指标评价相结合；第二，内部评价与外部评价相结合；第三，财务指标评价与非财务指标评价相结合。
　　8．激励机制
　　激励机制，指根据业绩评价结果对控制者进行奖励与惩罚。内部控制的效果只有与控制者的报酬相衔接才能保证内部控制的长期有效运行。控制者报酬的构成主要有工资、福利和激励三部分。激励往往是根据控制者当期对企业的贡献大小确定。激励是对控制者贡献价值的体现，内部控制水平高低或效果如何主要应与对控制者的激励相结合。
　　9．沟通交流
　　沟通交流，指上述内部控制要素之间的信息的及时传递或交流。这是内部控制的基础与保证。不明确控制环境和控制变量，就无法确定控制标准；没有控制标准与信息报告的沟通，就无法执行评估和纠正偏差。因此，没有各要素之间信息的及时、准确交流与沟通，就没有有效的内部控制系统。在内部控制中要做到信息沟通交流准确、及时，建立管理信息系统是十分必要的。
　　10．监督控制
　　监督控制，指对执行内部控制过程的质量进行监督。内部控制者本身也需要被控制或监督，这是一个完善的控制系统的必备要素。如果对内部控制水平高低没有监督与评价，或者说控制好坏对控制者都一样，势必影响内部控制的水平与效果。如内部审计在内部控制系统中的功能就是要对控制者控制过程进行监督控制。
　　上述十个内部控制系统要素构成了完善的内部控制系统，任何一个企业在构建内部控制系统时必须全面系统考虑这十个方面的要素，缺少任何一个要素都将影响内部控制的质量。