企业内部控制自我评价体系构建及应用(2)

　　内部控制和公司治理是不可分割的两部分，企业在经营过程中，应该将内部控制作为企业管理的一个有效手段，对于内部控制的评价应该视同于企业管理绩效的评价，只不过评价的对象是内部控制的有效性。笔者引入BSC，从管理的角度出发，对内部控制进行评价。尝试建立基于BSC模式下的结果型评价指标体系，完善内部控制评价体系。根据BSC的基本框架和控制自我评价需要，将整个体系划分为财务维度、内部流程维度、学习和成长维度以及外部利益相关者维度。
　　（一）财务维度该维度各个评价项目指标的选取如下：（1）资金管理需要注意的风险包括筹资决策不当可能引起的负债危机或导致企业筹资资本过高、投资决策不当导致资金利用效率低、资金管理调度不合理导致运营不畅。所以，可以选取的指标有：资产负债率、流动比率、筹资计划完成率、筹资成本控制率、投资利润率（静态）、货币资金管理的账实相符度。（2）资产管理需要注意的风险包括存货积压与存货短缺带来的损失、固定资产管理更新不善带来的损失、无形资产核心技术落后或所属权不清等问题带来的损失。所以，选取相关的指标有：净资产收益率、流动资产周转率、总资产周转率、净资产增长率、存货周转率（次数）、设备故障率。（3）全面预算需要注意的风险包括预算编制不健全导致盲目经营、预算不合理导致难以实现或资源浪费、考核不严导致管理流于形式，可以用费用降低率来定量衡量是否造成资源浪费，如：管理费用率下降率、销售费用率、综合成本费用率。（4）财务报告需要注意的风险包括违反国家统一准则带来企业声誉受损、出具虚假报告、报告利用不合理。可以用出具标准审计意见的次数来定量评价财务报告的真实性。
　　（二）内部流程维度该维度指标选取如下：（1）采购业务需要注意的风险包括采购不当造成的库存积压及存货短缺所导致的损失、供应商管理不当导致采购价格过高、验收环节不当导致的损失。可以用购入不合格率、材料采购成本降低率、库存短货率、库存积压率来定量评价。（2）工程项目需要注意的风险包括立项可行性研究不当导致的损失、工程物资造价过高带来的损失、竣工验收不严带来的损失等。可以从竣工准时率、施工事故发生次数、工程返工次数、全员劳动生产率、项目成本控制度等方面来定量评价。（3）担保业务需要注意的风险包括对担保申请人的资质调查不足带来的损失、对被担保人经营监控不善带来的损失、舞弊带来的损失。所以，用担保牵连次数，即因担保被牵连入诉讼等的次数来定量评价。（4）内部信息传递与沟通需要注意的风险包括内部信息传递不当带来的损失、信息系统开发维护不当带来的损失。可用出错率来评估内部信息传递与沟通，如信息内容出错率、信息系统事故次数、信息系统维护频率、信息系统的先进性。（5）销售业务需要注意的风险包括销售政策和决策不当带来的损失、客户信用评价不当导致货款回收不力等带来的损失。可以用市场占有率、销售回款率、销售收入增长率、销售计划完成率等指标来评价。（6）合同管理需要注意的风险包括合同订立不当造成的损失、合同履行或监控不当带来的损失、合同纠纷处理不当带来的损失。所以用企业牵涉入合同纠纷的次数来衡量合同管理。（7）外包业务需要注意的风险包括承包商选择不当带来的损失、业务外包监控不严造成的损失、可能存在舞弊导致相关人员涉案的风险。可以选取外包环节（如研发、资信调查、可行性研究、委托加工等）出错率来衡量，如外包环节出错率、承包商违约率。
　　（三）学习与成长维度该维度指标选取如下：（1）人力资源需要关注的风险包括人力资源结构不合理带来的损失、激励约束等机制不合理导致人才流失带来的损失等。可以选取的指标有：关键人才流失率、关键人才增长率、员工自然流动率、安全生产教育培训投入、员工获取资质率。（2）社会责任需要关注的风险包括安全投入不够导致安全事故带来的损失、环境保护不够带来的环境污染、员工权益保护不足带来的损失等。可以选取的相关指标有：安全投入率、环保投入率、公益投入率、员工辞退率、生产安全事故损失率、客户投诉率。（3）发展战略主要风险是战略制定不够合理导致企业经营脱离轨道，造成经营困难。可以选取费用和利润目标完成度来衡量其合理性。（4）组织结构主要风险是结构不合理导致企业运行效率低，甚至经营失败。可以用事务处理效率来衡量结构是否合理。（5）企业文化主要风险是缺少积极向上的文化，不能够团结员工，导致企业经营困难。所以，用员工出席、舞弊事件发生率等衡量企业文化环境。
　　（四）外部利益相关者维度外部利益相关者维度是通过对企业与其利益相关者之间的交易活动进行评价，从结果上侧面反映企业在该方面的内部控制是否有效。所以，该维度评议指标可以从对各个利益相关者的评价指标中选取。具体而言，供应商指标包括供应商交货延迟率、供应商产品次品率、供应商一次交检合格率，零售商指标如货款准时回收率，顾客指标如退货率、投诉率、客户保有率，投资者指标如投资新增率，分包商指标如竣工准时率、施工事故率。
　　四、基于BSC的内部控制自我评价应用
　　内部控制自我评价目前主要有两种方式：传统的内部审计方式和CSA。CSA在西方国家已经发展较为成熟完善，形成了20多种方法，而在国内，多数企业对于内部控制的评价还是传统的内部审计方式。CSA相对于传统的内部审计方式来说，是一种全员参与的更加全面的评价，可以提高所有员工的内部控制意识，有助于所有员工更好的理解和承担对有效的内部控制和风险管理的责任和义务。另一方面，由于是全员参与的评价，将评价范围扩大，有助于及时发现风险，进行改善，从而提高整个企业的内部控制自觉性，改善企业的控制环境，更好地保障企业内部控制有效运行，为企业经营发展提供可靠保障。与传统内部审计方式相比，CSA是一种更加有效的有利于企业管理的内部控制评价方式，为CSA的实施建立一个应用框架。
　　（一）明确评价目标无论是传统的内部审计方法，还是CSA，内部控制自我评价的最终目标都是评价内部控制的有效性，包括：（1）制度设计的有效性。内部控制制度设计的有效性是内部控制执行有效性的前提，是实现内部控制有效性的必要条件。内部控制的建设是从制度的设计开始的，制度的设计是执行的前提条件，设计有效的内部控制制度能够为执行的有效奠定良好的基础，一个健全有效的内部控制必须建立在制度设计有效的基础之上，否则，无论执行再有效也是徒劳。（2）执行的有效性。在制度设计有效的前提下，执行的有效性是保证企业内部控制有效性的另一个必要条件。执行的有效性评价贯穿企业整个营运期间，并不是静止于某一点的有效性，是一个动态的有效性目标。（3）考虑成本效益原则。企业在保证内部控制有效的前提下，要尽可能降低内部控制的运行成本并做到简单易行，内部控制的设计要与企业自身的规模、所处行业性质等相符，不能单纯地为实现某一项目标而特意增加很多岗位，只要在有限岗位下能够实现控制目标即可，不必拘泥于形式。
　　（二）明确评价主体传统的内部审计，评价主体主要是内部审计人员，CSA作为一项全员参与的评价方法，评价主体自然转换为企业全部员工，包括管理层和其他员工。在内部审计的引导下，由管理层及员工评估风险，由各部门分析控制架构，进行自评，提出意见，最后由评价小组提出最终的评价报告。
　　（三）明确评价标准随着我国内部控制的发展，2008年颁布的《企业内部控制基本规范》和2010年颁布的《企业内部控制配套指引》，尤其是配套指引中的《企业内部控制评价指引》，是我国企业进行内部控制评价的基本准绳和最佳标准。在实际中，企业可以结合自身的控制目标、内部控制的风险点和控制措施等，明确具体的评价标准。
　　（四）组建评价小组在CSA中，评价小组主要作用是引导全体员工参与并进行内部控制的评价。在对内部审计人员和各部门管理人员深入了解的基础上，选取适当的人员组成评价小组。评价小组应确保内部审计人员和各个部门相关人员都包含在内。
　　（五）实施评价虽然CSA现有方法有20多种，但总体上可分为专题讨论会法、问卷调查法和管理层分析法。各种方法并不是相互独立的，企业可以根据需要，将几种方法结合使用。本文将选取专题讨论会和问卷调查法，对如何利用所构建的指标体系进行评价做出简略说明。以专题讨论会法为例，其实施评价的过程一般如下：（1）针对企业的控制环境、风险评估、控制活动、信息与沟通、监督，结合每个部门的具体业务，设计调查问卷，由各个部门的所有员工，包括一般人员和管理人员，对其进行评价打分。（2）由评价小组根据企业评价期内的实际情况，对结果型指标体系中的各项指标值进行计算。根据计算结果，以及由评价小组协议商定的得分标准，给出每一项的得分。（3）选取适当的方法，对评分结果进行处理，找出风险存在点。目前对于各个指标评价结果的数学处理方法较常见的是AHP，管理熵的提出也为内部控制评价提供了一个新的思路。当然，企业可以根据自身实际情况，选择适合自身的评价方法进行评价。（4）根据发现的风险薄弱项目，召开专题讨论会。根据出现风险薄弱环节的项目，在评价小组的引导下，召集相关部门的员工进行专题研讨，收集征询改善方案等。需要注意的是出现薄弱环节的部门，参与的员工应尽量包含各个层次的员工，而不仅仅是管理层。（5）评价小组根据征集的意见，制定初步的修改意见表，并在薄弱环节部门公示，征询意见，进行最后的完善，形成最终的改善意见。