基于评价体系和信息披露的公司内控体系的研究(2)

　　在设计一套内部控制模型前需要考虑两个非常关键的问题：第一，如何确定评价思路，来保证内控模型是有效的；第二，如何确保评价模型具有广泛的实践应用性。既能做到以《企业内部控制基本规范》为原则，又可以不局限于规范。

　　2006年英国学者迈克尔·C·杰克逊提出了系统整合的观点，Michael指出基于单一的理论解决方案，由于只关注了局部缺乏整体思想，会忽略掉局部之间的关系，可能无法认识到某个局部表现的最优化可能导致对整体的损害。在实际的工作中领导们如果应用“局部的优化”来处理复杂的问题，往往会事与愿违。在我国的企业当中，对于内部控制评价有一个共同的误区，通常被要求披露什么就去披露什么，对与没有强调的部分就很少予以披露，没有系统整合的内控评价思路。这种只关注局部而忽略整体的做法会掩盖可能对内部控制目标的实现产生重大影响的重要风险，但因为此项风险点不在强制披露的范围而未受到管理层的重视，给企业未来的发展埋下隐患。同时，由于信息的扭曲反映造成了对外部信息使用者的误导，从而也会给利益相关者带来损失。

　　正确的内控评价思路应该是基于系统思考从企业内部控制的本质出发。对内部控制本身的一种监督和考评是内控评价的本质，评价各控制点的措施是否满足内控目标的实现是内控评价的根本。由此可知，内控评价是不能仅仅评价局部，而更是要关注整体评价。在突出评价的全面性的同时，并不意味着否认“局部重要性”。由于“整体评价”能做到更好的系统性评价，更能关注到各个评价点之间的配合以及评价行为的恰当合作，因此，其更能组织目标的整体一致性和成本效益原则。

　　3、基于系统思路设计内部控制评价模型

　　内部控制评价模型的设计中，系统整合的思想主要运用在设计评价指标上。我国的公司企业并不像美国公司那样仅对财务报告目标内部控制进行评价，而是要根据《企业内部控制基本规范》中的规定来建立、实施、完善内部控制。规范包括内部环境、风险评估、控制活动、信息与沟通、内部监督五个要素。但是若干方面的综合性概念共同组成了内控的各个要素，对这些要素的评价需要建立在具体划分后的二级指标或者是三级指标上。

　　对于五要素中的内部环境、信息与沟通、风险评估、内部监督可采用风险导向的方法，并参考《企业内部控制基本规范》和《中小企业板上市公司内部审计工作指引》对于要素的规范来作为二级指标，结合公司的情况来设计更为细化的三级指标。但对于控制活动要素则要通过流程来控制，其通过在业务流程中找到的可能影响内部控制目标的风险点作为控制点，在通过系列的业务流来程实现。流程本身即是控制的一种，也是评价的一个重要方面。在控制活动这个要素中评价涵盖了很多公司经营管理的事项和业务，可以看成是内部控制的核心部分。内部控制评价指标体系如图1所示。

　　内部控制评价的指标体系是一个三层次的体系，对要素的内控评价、对业务流程的内控评价和对某一控制点的内控评价。对要素的内控评价包括了风险评估评价、内部环境评价、信息与沟通评价、内部监督评价和控制活动评价。对业务流程的评价包括资金活动控制评价、采购活动控制评价、资产管理控制评价、销售业务控制评价、研究与开发控制评价等。控制活动的评价就是把这些业务流程的评价的结果的汇总。参见《企业内部控制基本规范》及其应用指引对指引类指标的内容进行设计。而对某控制点的评价则依据控制的目标和业务的性质来确定，是内部控制最基本的单元。

　　三、公司内部控制信息披露

　　1、上市公司内控信息披露的规定

　　在内部控制评价的基础上建立起内部控制信息披露。就目前我国的内控信息披露来说，强制性的要求还是只针对金融行业和再融资的上市公司，对一般的上市公司和普通公司则没有特别高的披露要求。对于企业来说披露的要求还是监事会为主体，对董事会则没有过多的相关规定。关于披露没有要求监事会的评价和对公司建立的内控详细信息进行披露，只要求披露出建立的内控机制是否完善。因此披露缺乏关于内控报告格式和内容的规定。这样就会导致上市公司所做的信息披露不规范，甚至有一些上市公司不披露详细信息应付了事。

　　2、我国上市公司内控信息披露的实践

　　对于实践上市公司内部控制信息披露国内的一些学者进行了研究。研究结果表明，普遍对内控信息披露的认识不足，直接导致不能有效执行内控信息披露；很多公司对内控制度本身缺乏正确认识，内控控制制度经常以内控管理制度来取代；以监事会为主体，董事会自愿披露的比例很低，上市公司的内控信息披露自愿动力不足。

　　（1）普遍对内控信息披露的认识不足，直接导致不能有效执行内控信息披露。对于金融行业来说还能做好公司内控信息披露，但一般性上市公司的公司内控信息披露则较差。一般公司中只有一多半的还能略强一些，但也只有简单的论述，例如本公司已经建立了良好的内部控制制度，却没有任务实际的内容，信息使用者并不能从中或者由用信息。

　　（2）很多公司对内控制度本身缺乏正确认识，内控控制制度经常以内控管理制度来取代。我国上市经常忽略内控结构的整体协调，而是只重视了生产销售的控制。涉及职工素质控制、全面预算控制、信息系统控制、内部报告控制等方面则比较少；对行为者的控制经常忽视，而对实物的控制则较重视。

　　（3）以监事会为主体，董事会自愿披露的比例很低，上市公司的内控信息披露自愿动力不足。财务报告质量、公司盈利能力、财务状况会影响到上市公司内控信息披露，一般来说如果公司的内控信息披露良好，则其经营一般较好，财务报告的质量也会很高。反之，财务公司的对内控信息的披露冬季不强时财务状况一般有异常。