AMT咨询：上市公司，请不要玩火

在国家五部委近年的大力推广下，内部控制已成为央企、国企和上市公司的热门词汇，有的公司对它热烈欢迎，有的则对它诚惶诚恐，更有甚者对它嗤之以鼻，表面上恭恭敬敬，实则敷衍了事，或者避而远之。总体来说，央企、大型国企和大型上市公司比较重视，也做得较好，但许多上市公司则不尽然，甚至抱着应付证监会审查的心态，形式化的开展合规型内部控制体系建设，而没有真正结合企业实际，深耕细作，把提高基础管理水平作为基本目标。AMT咨询风险管控专家表示上市公司主要存在以下几方面典型问题：

一、认知问题

内部控制是比较新的管理理论，大多数企业管理者对它不甚了解，甚至有人认为内部控制“是对管理层权利的牵制与约束”、“会降低企业运营效率”、“是徒耗成本的工作，并不能为企业带来多大价值”、“是证监会的要求，我们只需满足监管要求即可，不必花太大力气去做”、“内部控制体系建设很简单，证监会审查那关好过得很”……

以上来自一些上市公司管理者的真实原话，AMT咨询为这些上市公司深感担忧。

首先，没有切实把基础管理水平提升作为内部控制体系建设的根本目的。

其实每个企业不论大小都有内部控制，只是未形成完整的管理体系，它是企业新型核心竞争力的重要体现。在企业生命周期中的每个重要阶段，其基础管理水平需要进行阶段性提升，内部控制亦是如此。然而，当企业规模达到一定时候，原有的分散型内部控制已难以提升，必须进行体系化建设，才能使企业管理水平上升到新的台阶。而且，当今衡量大型企业综合管理水平的重要标准之一就是内部控制水平，只有真正重视，认真开展内部控制体系建设，才能进一步提升基础管理水平，实现可持续发展，保障战略目标实现。

其次，没有认识到内部控制体系给企业带来的价值。

一个经济学家曾说“企业利润=销售总额-总成本-不可预知损失”。其实内部控制既能帮助企业增长销售额，又能减少成本，还能减少损失。

从销售管理角度来讲，例如《内部控制配套指引》第9号——销售业务第五条说到，“企业应当加强市场调查，合理确定定价机制和信用方式，根据市场变化及时调整销售策略，灵活运用销售折扣、销售折让、信用销售、代销和广告宣传等多种策略和营销方式，促进销售目标实现，不断提高市场占有率。”但有的企业并未做好充分的市场调查及预测就盲目研发或推出新产品，同时伴随着定价机制不合理、销售策略不灵活、信用管理跟不上、货款收不回等问题，最终导致销售总额下降，这就是典型的销售管理内部控制缺失。

从成本管理角度来讲，例如《内部控制配套指引》第7号——采购业务第五条说到，“企业的采购业务应当集中，避免多头采购或分散采购，以提高采购业务效率，降低采购成本，堵塞管理漏洞”;再例如第14号——财务报告第八条说到，“各项费用、成本的确认应当符合规定，不得随意改变费用、成本的确认标准或计量方法，虚列、多列、不列或者少列费用、成本。”实际上，成本控制已蕴含于内部控制体系的各个环节，使企业成本总额合理降低。

不可预知损失指的是由于舞弊、造假、诉讼、盗窃、客户退换货、自然灾害等难以预知的风险事件带来的企业经济损失，而内部控制体系的基本作用就是防范这些风险事件的发生，或者降低其发生后带来的经济损失。

然后，错误地以为内部控制很容易通过证监会审查。

2011年，273家试点上市公司进行了内部控制体系建设，总体上取得了可喜成果。然而，其中仍有少数上市公司抱着侥幸心理，没有认真开展此项工作，在会计师事务所进行内部控制审计时发现大量内部控制缺陷，结果受到证监会公开批评，影响了公司形象，导致股价连续下跌，真是因小失大。

究其原因，一方面是这些上市公司没有认真开展内部控制体系建设，或者仅针对部分模块进行建设，另一方面是误以为《内部控制自我评价报告》还可以像以前一样由审计部关在办公室自己编写。

按照2010《企业内部控制配套指引》要求，新的自我评价不再像以前一样仅针对财务报告，而是全面性的测试与评价(至少包括指引中18个方面)，需要公司各部门共同参与，其评价工作底稿也必须留档作为审计证据。如果在体系建设时就偷工减料，在进行测试及自我评价时自然是漏洞百出，被审计出大量缺陷也就不足为奇了。

二、工作方法问题

《企业内部控制基本规范》及其配套指引只是给出了内部控制体系框架及18个方面的要求，若没有深入结合企业实际情况，采取合适的方法推进，很容易导致推进困难，成果漏洞百出，不仅难以达到提升基础管理水平的目的，反而降低企业运营效率。

首先，领导层没有高度重视，缺少有效组织、授权及考核。

内部控制体系建设包含公司运营管理各个层面，涉及大量的制度修订、流程文档及控制矩阵编写工作，必须公司所有部门参与，但很多其他部门认为这是审计部(或其他主责部门)的事情，于是敷衍了事的完成自己部门的工作，或者干脆推给审计部做，造成项目迟滞，推进困难，质量下降。因此，公司领导层必须高度重视这项工作，亲自担任项目小组领导，定期检核项目成果，纳入绩效考核，并给予审计部足够的授权，让它能够组织、协调各部门参与，共同完成这个项目。

其次，项目预算不足，项目方案只为通过证监会审查而设计。

内部控制体系建设最大的成本投入是聘请咨询公司。国内能够提供内部控制服务的咨询公司有十几家，但报价相差较大，这是由咨询公司的品牌实力、专家实力、项目经验、项目方案及服务质量等多项因素共同决定的。这两年有些上市公司投入预算严重不足，最终只能选择低价格的小咨询公司进行合作，结果服务质量大打折扣，即使勉强通过了证监会审查或审计，但建设成果不实用、不适用，变成几本束之高阁的手册，没有真正给企业带来价值。此外，一些知名咨询公司为了降低报价获得项目，严重削减项目方案，削减顾问及专家投入，口口声声表示以基础管理提升为目标，实则仅提供纯合规型方案，而客户在前期往往看不出这一点。

然后，没有站在集团整体视角看待内部控制体系建设与运作。

上市公司大多数为集团型企业，进行内部控制体系建设必须站在集团整体高度，充分考虑总部对不同产业板块、不同子公司的管控问题，将集团管控思想融入内部控制体系，才能真正建设符合集团型企业需要，能够实现跨层级运作的内部控制体系。然而，大多数咨询公司为了降低项目难度、削减成本，刻意回避这个问题，而客户也往往没有意识到这一点。最终结果是，总部与不同产业板块、不同子公司的内部控制体系衔接不畅，权责不清，流程不明，控制强度把握不好，不仅降低集团管控水平，甚至可能诱发重大风险事件发生。

三、实施落地方案

内部控制体系实施落地比体系建设更难，这是大家的共识。作为一套新管理体系，企业大多数员工是持排斥心理的，有些上市公司没有采取合适的实施落地方案，使得内部控制体系逐步流于形式。

首先，没有制定详细的实施计划，循序渐进、分布推进。

有些上市公司完成内部控制体系建设后，马上召开经理会、董事会，向证监会汇报并公开发布内部控制体系成果，然后动员全员开始执行。结果是大家执行起来不知道该做什么，或者操作起来问题重重，一些忙碌的部门根本就没有执行。究其原因是没有事先制定详细的实施计划。一般来说，应当先抽取3-5个重点部门及试点子公司先试行3-6个月，第4个月对发现的问题集中调整修订，然后逐步向其他部门及子公司铺开。同时，实施过程中应当进行足够的辅导、培训及跟踪检查，帮助大家逐步改变以前的工作习惯，适应新的管理体系要求。

其次，没有制定体系运行配套制度及流程。

内部控制体系运行配套制度至少应包括《内部控制体系工作细则》、《内部控制监督管理办法》、《内部控制绩效考核管理办法》及《内部控制测试及自我评价工作细则》等四大制度及相应的配套流程。其中，内部控制绩效考核指标制定及实施难度最大，大多数咨询公司刻意回避或做得不实，直到客户实施起来，才发现没有合理的绩效考核很难持续推行下去。

然后，没有认识到内部控制水平提升是一项长期工作。

有些上市公司以为完成了内部控制体系建设，通过了证监会审查和外部审计就大功告成了，其实这只是完成了前期工作而已。内部控制水平的持续提升才是重中之重，其工作内容至少包括持续性地培训、风险评估、缺陷记录及整改、内部控制人才培养、内控与风险文化建设等，未来时机成熟时还可以升级为全面风险管理体系，甚至可以引入全面风险管理信息系统，从人工化推向自动化。