如何建好内控体系长效机制

　　明确地区公司内控部门的职责、制定明确内部控制标准和范围、处理好内控体系与公司内部其他体系的关系建立长效机制，是内控体系运行中应该注意的几个问题。

　　-文/刘 衡 孙 伟

　　2007年6月，经普华永道会计师事务所对其内控体系运行有效性的审计后，中国石油以零缺陷成为在美上市的中国公司中率先通过《萨班斯-奥克斯利法案》(以下简称《萨-奥法》)四零四条款的央企控股大型企业之一。

　　《萨-奥法》被誉为美国乃至全球“新的上市公司准则”，是本世纪初美国安然、世通、施乐等一系列大公司的财务丑闻导致股票价格暴跌后出台的。《萨-奥法》对上市公司的内控机制及外部审计做出了明确的严格规定，强调了公司内控的重要性，从管理者、内部审计及外部审计等几个层面对公司内控作了具体规定，并设定了问责机制和相应的惩罚措施。

　　2003年，中国石油董事会决定以美国《萨-奥法》的颁布为契机启动内控体系建设。2006年中国石油内控体系全面进入正式运行。率先通过《萨-奥法》可以说是中国石油内控体系建设的一个里程碑。但内控体系的建设和运行如何保持与公司的快速发展过程同步，成为一套长期有效的机制？

　　明确部门职责

　　从内控体系建设过程中可以体会出，组织和制度建设是这项工作成败的关键因素。内控体系建立伊始，中国石油股份公司主要领导主抓，地区公司成立“内控建设委员会”和“内控办公室”等机构负责内控建设工作，形成了内控管理和考核办法，针对信息系统内控建设出台了GCC等管理办法。这些机构和制度有力地促进了内控体系的建设。

　　内控体系建成后，在日常运行和维护中仍然需要主要领导的重视、地区公司内控部门定位和专门机构和专职人员等条件的支持。其中，明确地区公司内控部门的职责定位十分必要。比如，如果地区管理层自测等权责明确了，地区公司内部控制体系的测试等工作会开展的更顺利，否则可能出现相关部门相互推诿的情况。

　　地区公司设置负责内部控制体系建设和运行的专门机构和专职人员，更有利于建立内控体系的长效机制。在一定时期内减少内控人员流动，将会巩固内控工作成果，同时也有利于内控人员自我主动加强学习，提高专业素质，也有利于股份公司内部内控工作的上情下达和下情上达，保证股份公司内控工作部署的落实。

　　制定标准范围

　　在内控体系建设和运行过程中，除了领导高度重视、组织保障和宣传得力等环境因素外，内部控制标准和范围的明确制定是整个内控标准体系建设过程中最基本、最关键的问题。

　　在中国石油股份公司层面，已经构成了以COSO框架为基础、以基本流程目录和风险数据库为指导、以关键控制文档为核心的标准和范围体系。但是下属各个地区公司在内控体系建设和运行过程中，也出现了一些具体问题：

　　首先是公司新增业务的风险和控制措施如何确认，部分新增业务未在风险数据库中。内控体系建设伊始，为了突出重点，体系涵盖的范围以确保财务报告真实性为原则来确定。由于公司业务在不断发展变化，其相应的流程和风险、控制也在调整和变化。新增业务也可能存在不同的风险，甚至是重要风险，因此如何处理好新增业务和调整业务的风险和控制，是内控体系运行维护的重要工作。

　　按照风险和控制的确认管理不同，可以分为两种方法解决:一是风险评估和控制确认工作放在总部来做，这就需要有一个迅捷的运行维护体系，这样基层单位的变更能及时上达和处理。二是重要风险和控制由总部控制，一般风险由地区公司自行评估，并报总部备案。这就需要地区公司内控人员具有较高的内控专业素质，以便自行识别、判断存在的风险，并形成对应的控制。

　　其次是如何界定内控体系涵盖的范围。目前，地区公司的业务存在一定差异，不同公司相同业务的内控流程存在较大差别，造成企业选择流程的范围标准不同、流程繁简不同以及名称相同的流程内容重点不同的问题。比如有的销售企业只有200多个流程，有的公司则有将近300个流程。究其原因，主要有两个，一是对内控体系建设的理解不同，二是各公司的管理制度存在差异。目前，中国石油股份公司内部控制部正在组织人员对销售企业的加油站流程和炼化企业的流程进行调研和标准化。如果在各个业务板块都形成模板，那么这个问题可以逐步解决。

　　再次是地区公司内控体系的建设和运行必须与实际工作结合起来。从目前的测试情况看，测试的依据就是本公司的内控体系文件，即检查“说到的”是否“做到了”。但是，地区公司特点各异，对风险的确认也存在差异化。因此，地区公司要建立有效的内控体系，还需要结合本公司实际，识别本公司的重要业务流程和重要风险，这样才能制定出有效的控制，避免企业经营中的风险。

　　地区公司要做好这项工作，必须加强对内控人员的培训，不断提高内控工作人员的素质，同时加强对其综合能力的培养。内控人员既有较高的内控专业素质，同时了解企业实际，才能更好地适应地区公司的内控工作。同时，加强对全体员工的培训和宣传，使全员都参与到内控体系的运行和维护工作中，使完成本岗位内控工作成为每一名员工自觉的行为，这样内控体系才能在企业中真正有效的运行。

　　建立长效机制

　　目前，在每个地区公司内部都存在多个综合管理体系，比如内控体系、QHSE体系、全面预算管理、业务流程手册等。一些重要业务流程往往出现在众多体系中，出现对一个流程多头管理的现象，这就容易产生执行困难的情况。要解决好这个问题，就要在不同综合管理体系的框架内，对相同的流程规定统一的执行内容，使不同体系中对相同流程的描述内容一致。从长远看，这一问题并不容易解决。

　　需要特别注意的是内部控制与财务控制的区别。内部控制是依据《萨-奥法》，以COSO框架为基础开展的控制工作，是一套以规避风险为轴心、与企业生产和管理若干因素相结合的系统管理规范，目的是避免企业的经营风险，减少舞弊。财务控制是以会计法、会计准则和企业财务通则为依据，是对企业经济业务的确认、计量和报告做出规定，是专业技术规范，以保护单位的财产、会计记录的准确可靠和及时提供可靠的财务信息为目的。可以说广义的内部控制包括了财务控制。但是，内部控制流程没有涵盖全部财务流程，只是纳入了重要的财务流程。二者是不同的。

　　由于中国石油内部控制工作前期目标是保证财务报告的准确性，因此，在内控体系建设中财务部分的流程和风险、控制占到整体的70%以上。但是从长远看，内部控制的目标应该是公司避免经营风险和法律风险，内控体系建设也应逐步向业务前端推进，特别是SAP的上线将加速内控体系推进的速度，因此实现有效的业务源头控制是内控工作的规范方向。

　　地区公司建立内控长效机制除了要健全地区公司内控机构、建立相应的内控管理和运行办法、建立健全内控考核办法外，还要强化信息系统的建设，并加强对内控体系的研究，利用标杆管理等新的管理思想来不断完善内控体系，形成不断自我更新的体系。

　　在制定内控标准的同时，要着手认真研究内控标准的实施路径，明确内部控制与企业管理文化、管理制度和管理程序之间的关系，理清内控流程与企业实物流、资金流、信息流之间的关系和衔接点，建立起一套完善内部控制评价制度，确保在企业内部形成顺畅的内部控制实施机制，向以目标管理为导向和以重要风险管理为手段的全面、全员、全过程的内部控制。