把握内部控制建设机遇，全面提升公司管理水平
和风险防范能力
大家好：
2008年5月22日，财政部、证监会、审计署、银监会、保监会等五部委联合下发了《企业内部控制基本规范》，2010年4月15日，五部委又联合下发了《企业内部控制规范配套指引》。这是我国继2006年实施企业会计准则和审计准则之后又一重大制度建设成果，也标志着中国企业内部控制规范体系建设目标基本实现。下面就我公司内部控制建设工作提出一些想法：
一、我国内部控制制度历史沿革
内部控制制度并不是现代才有的东西，也不是只有外国才有的东西。美国会计史学家迈克尔·查特菲尔德曾指出：“在内部控制、预算和审计程序等方面，古代世界几乎没有可以与中国周代相比的国家”。在周代就已经有了今天的岗位分工控制、实物保护控制、预算控制、内部审计控制等内控方法，周代的“九府出纳，统由司会监督”的组织结构就体现了相互牵制关系和责任管理关系。
到了现代，我国的内部控制大体经历了以下三个阶段
第一阶段是内部牵制阶段。上世纪80年代的会计法就规定了会计岗位责任制的要求；
第二阶段是会计控制阶段。1999年修订的会计法、2001年财政部发布的《内部会计控制规范-基本规范》、《内部会计控制规范-货币资金》等规定中要求进一步健全包括但不局限于内部牵制制度的会计
1 管理制度。
第三阶段是全面风险控制阶段。2006年证监会发布《首次公开发行股票并上市管理办法》，要求发行人的内部控制在所有重大方面是有效的，并由注册会计师出具了无保留意见的内部控制鉴证报告；2006年国资委发布了《中央企业全面风险管理指引》，对内控、全面风险管理工作进行了详细规定；2007年证监会发布《上市公司信息披露管理办法》，明确提出上市公司必须建立信息披露内部管理制度；2008年，财政部等五部委发布了《内部控制基本规范》，随后发布了配套指引，标志我们内控体系建设基本完成。
二、内部控制规范基本内容
此次发布的内部控制基本规范及其配套指引规定了内控目标、内控原则、内控要素、18项业务应用指引、评价指引、审计指引等内容：
1、基本规范
在基本规范中对内部控制进行了明确定义，指出：内部控制是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。
内部控制五大目标是：
合理保证企业经营合法合规，这是内控的最低目标，也是企业生产经营的底线；
维护资产安全，这是内部控制的传统目标，是内控的警戒线； 保证财务报告及相关信息真实完整，这是内部控制的永恒目标，
2 是内控的主线；
提高经营效率和效果，这是内部控制的核心目标，是内控的生命线；
促进企业实现发展战略，这是内部控制的最高目标，是愿景线。 内部控制原则主要有：
全面性原则、重要性原则、制衡性原则、适应性原则和成本效益原则。需要特别强调的是重要性原则和适应性原则，在内部控制建设中要格外关注重要业务事项和高风险领域，同时内部控制也不能脱离企业的实际情况，并且要随着情况的变化及时加以调整。
内部控制五要素是：
内部环境，是企业建立建立与实施内部控制的基础，包括治理结构、机构设置、权责分配、企业文化等；
风险评估，是内部控制的重要环节，风险评估的过程是企业在生产经营过程中发现影响企业生产经营的各种风险，并在此基础上进行分析和排序，确定关注重点和优先控制的风险，然后确定应对策略控制风险的过程；
控制活动，即控制手段，企业在实施内部控制时所采取的具体措施，包括不相容职务分离控制、授权审批控制、会计系统控制、财产保护控制、预算控制、运营分析控制、绩效考核控制等；
信息与沟通，是实现内部控制的重要条件，指内部控制相关信息的收集、处理和传递程序，确保信息及时沟通，促进内部控制有效运行；
3 内部监督，是企业内部控制得以有效实施的机制保障，说白了，就是建立专兼职的内部控制组织机构，来执行和推动内部控制工作。
2、应用指引
应用指引在内控体系中居于主体地位，针对企业主要业务与事项，基本涵盖了组织架构、发展战略、人力资源、社会责任、企业文化、资金活动、采购业务、资产管理、销售业务、研究与开发、工程项目、担保业务、业务外包、财务报告、全面预算、合同管理、内部信息传递、信息系统等，这些都是企业最为常见、带有普遍性、迫切需要加强风险控制的业务环境和领域。我个人认为该应用指引的亮点是在每个业务指引的最后都要求在实施该内部控制后，要对执行的效率和效果进行全面评估，这符合人的思维习惯！
3、评价指引
评价指引是企业管理层对本企业进行内部控制自我评价的指引和要求，这次发布的基本规范要求执行内部控制基本规范的公司每年都要进行内部控制自我评价。自我评价的过程是评价内部控制设计和运行的有效性的过程，包括：制定工作方案、成立评价组织、确定评价内容、实施现场测试、汇总评价结果、编制评价报告及反馈整改等过程。
4、审计指引
审计指引是会计师事务所执行内部控制设计业务的执业准则。这次发布的基本规范要求执行该规范的上司公司每年都要进行内部控制审计，可以单独做，也可以和年度审计同时做，即“整合审计”。这
4 里需要强调指出的是，企业的内控自我评价与事务所内控审计在范围上不完全相同，企业内控自我评价是对评价时点制定并执行的所有内部控制进行评价，而基于对会计师事务所及审计师胜任能力考虑，审计指引只要求对财务报告内部控制的有效性发表意见，只有当注意到非财务报告内部控制存在重大缺陷的，才要求在报告中增加“非财务报告内部控制缺陷描述段”予以披露。
三、内部控制规范实施的必要性
一是强制要求，在基本规范及配套指引中规定：自2011年1月1日起首先在境内外同时上市的公司施行，自2012年1月1日起扩大到在上海证券交易所、深圳证券交易所主板上市的公司施行。
二是提升公司管理水平、提高风险防范能力的必然选择。国内外企业经营管理实践表明，企业内部控制工作的完善程度反映了企业管理水平的高低，同时，内控体系建设也是提升管理水平的有效手段。在市场需求、市场供给迅速变化，法律、政策监管日趋严格，资本市场不断调整的大背景下，企业经营风险日趋加剧。通过建立完善内部控制体系，在集团和主要子公司层面开展流程、制度梳理，加大辨识关键风险点的广度和深度，并在此基础上确定企业面临的重大、重要风险，有针对性地制定管理策略和解决办法，才能有效规避风险，提高企业自身的风险防范水平。
四、如何做好内控规范实施工作
1、提高认识，加强领导
要从战略高度认识和推进内部控制工作，把握内部控制建设机
5 遇，全面提升公司管理水平和风险防范能力。要建立组织机构有计划开展内部控制工作。公司领导要亲自领导和组织内控规范实施工作，要身先士卒，以身作则，自觉接受内控制度的约束，为员工做好表率。内部控制体系的建立并非一朝一夕能够完成，要在摸索中不断完善、循序渐进，将内部控制与公司管理相融合，使其成为公司健康成长的长效保障。公司董事会应承担起加强风险管理、建设内控体系的职责，确保成功。
2、制定方案，有效实施
天下大事，必做于细；成之不易，用之更难。我们既要充分认识到内控制度体系建设的必要性和迫切性，也应清醒地意识到推进内部控制工作的艰巨性和复杂性。要制定详细可行的工作方案，认真抓好组织落实。工作方案应包括组织机构落实、人员安排、具体工作时间表等。
3、广泛宣传，注重实效
要充分利用各种宣传媒介加强对内部控制工作和内控知识的宣传，使公司从上到下了解内部控制，重视内部控制，参与、健全内部控制，营造良好的内控环境。
4、全面梳理公司现有流程、制度，找出缺陷，及时整改提高 内控的关键是什么，内控的关键是找准风险，内控是防范风险的，没有找准风险的内控是资源上的浪费；内控的灵魂是什么，内控的灵魂是牵制，小兵办事，领导批准，表面上看是审批，实质是牵制，两个不同的岗位之间的牵制控制了风险。通过梳理现有流程、制度，识
6 别风险，完善控制方法，不断查缺补漏，我们的内控水平就会不断提高。
五、行业中其他企业的做法
行业中，开展内部控制工作较早的是中国神华和中煤能源，这两家公司都在沪港两地上市。
中煤能源自2009年起就已经开展制度完善工作。2010年成立了以董事长为首的内控工作机构，实施内部控制工作，完成了内部控制手册和内部控制评价手册。通过梳理流程、制度，特别是财务报告内部控制制度，汇总分析查找出来的缺陷，并进行了整改。在内控评价时制定了“内部控制有效性评价表”，详细列出了800多个关键风险控制点，从公司本部到子公司全部纳入评价范围。公司聘请了普华永道中天会计师事务所对公司财务报告相关内部控制有效性进行了审计，并出具了标准无保留意见报告。
中国神华自成立以来不断建设和完善以风险管理为导向的内部控制体系，在财务报告编制、会计核算管理、预算管理、资金管理、物资管理、销售管理、固定资产管理、担保与融资、成本费用管理、投资管理方面均建立了运行有效的内部控制体系。在健全内部控制的过程中，公司建立了控制文件信息库，逐步完善公司风险和控制的信息整合，公司还建立了风险知识库，将风险分类，并明确各类风险的管控责任，完善风险管控策略，提高了风险防范能力。2010年中国神华董事会成立了内控工作机构并聘请毕马威华振会计师事务所进行审计，该事务所出具了无保留意见的报告。
7 同志们，“没有规矩，不能成方圆”。我们要充分认识到内部控制工作的重要性，加强学习，做好公司内部控制工作。要将企业管理、风险管理、内部控制有机结合起来。风险点就是企业日常经营的控制点，重大风险就是企业运行过程中需要解决的重要问题，从而将风险管理、内部控制落实到具体岗位中去。医学讲，最好的治疗就是预防疾病的发生；管理学讲，最好的管理就是将问题消灭在萌芽中。让我们抓住这次内部控制建设的机遇，努力工作，全面提升我们公司的管理水平和风险防范水平。
谢谢大家！
