一个完善的内控架构，不仅需要符合相关法律法规的要求，更重要的是要从自身的实际情况出发，充分考虑到效率、成本以及实际操作中的若干特性。探索出最适合自己的体系来。只有最适合自己的，才是最好的。

文/郭林

2008年6月28日财政部、证监会等五部委联合发布的《内部控制基本规范》(以下简称《基本规范》)以及相应指引的征求意见稿拓宽了内控的视野，突破了我国传统的将内部控制局限于会计与审计的局面，将内部控制嵌入公司治理并融入生产、人力资源、营销等环节的管理；拓宽了内控的目标，不仅要保证企业经营的合理合法、保护资产的安全、保证财务报告真实可靠，还将目标延伸到管理的效率和效果、服务于企业战略的实施；将内控关口前移，以事前的内部控制环境评价和风险评估为前提构建内部控制系统，将传统的查错纠弊式内控转化为事前防范和威慑与事中查错纠弊相结合的内控体系。

企业内控控制和风险控制对企业实践将产生深远的影响。为探究企业财务应对内控新规更高要求的策略和具体执行措施，《首席财务官》杂志特别采访了致力于提供独立内部审计、商业风险咨询和技术风险咨询服务的国际专业机构甫瀚(Protiviti)公司执行董事北京分公司总经理王海瑛女士。

新规新挑战

《首席财务官》：内控新规出台的“新”，对企业和CFO来讲，具体体现在哪些方面？

王海瑛：此次出台的内控新规是基于市场或整个经营环境对企业以及企业高管的要求而生，所以它的要求其实就是市场对企业文化、经营管理等要求的具体反映，具体表现在以下几个方面：

时间要求：特别是上市公司，适用时间在2009年7月1日，时间非常紧迫。

责任主体：其实是在董事会，而非CFO个体。要求企业从上到下都在内部控制工作中承担不同的责任。

涉及范围：不仅仅是财务信息的可靠性，更是对管理信息质量、企业战略执行能力、资产安全性管理能力、经营效率和效果的要求。

“软硬”兼需：不仅仅关注企业日常经营管理的“硬”指标，更关注内部控制的“软”因素，比如公司文化、沟通、管理层的正直品质等等。

执行力：不仅仅关注制度本身的存在与否及其合理性，更关注执行制度的效果。

从某种意义上讲，内控新规的出台对CFO既是挑战也是机遇。根据我们的经验，企业整体对内控的认识与接受，往往都要经历从被动接受到主动运用的过程。因此外在的法规需求可以给CFO增加了一个说服其他企业高管在初始年度构建内控工作团队的外在理由。

由于知识结构的关系，一般而言，在企业中，财务部门的人员会对风险与内控有较早和深入的认识，财务部门也常常 “受此所累”，提起风险和内控，企业内部人员首先会想到由财务部门负责，似乎只与财务部有关，而事实上财务部能真正负责的是结果的准确性，造成风险或内控失败的源头往往在非财务部门。内控新规明确了各方的责任，对CFO来讲正好利用这个机会，完成以前很难推动的源头风险控制。

基本规范的出台也意味着企业在内控方面需要面对更高标准的要求，对于那些内控机制尚未健全，甚至仍处于空白状态的企业而言，这可能会增加企业的管理成本。实际上，一方面在规范中已经体现了重要性和成本效益兼顾的考虑；另一方面，企业如果充分理解并运用好内部控制这一管理工具，给企业带来的收益或防范的风险损失将远远超过实施成本。

《首席财务官》：对于企业和CFO来讲，面对新规出台，应该如何积极应对？您有什么建议？

王海瑛：我认为首要的是树立正确的“内控观”。内部控制体系并不是一个独立于企业现有管理体系外的新东西，更不意味着对企业现有管理体系的否定。实际上，内部控制体系更应该扮演现有管理体系的“整合者”角色。内部控制体系应该融入到企业的文化中去，企业领导应该真正认识到内控的精神实质，才能积极推动企业内控的发展，并真正帮助企业实现价值的最大化。我们建议按照以下的步骤具体执行：

评估现状。参照规范的内容对企业自身进行一个自我检查，看自己做到了哪一步，还有什么缺陷。充分理解企业现存的内部控制措施以及其中存在的内部控制缺陷，并对企业的业务流程进行全方位的梳理，这将为企业进一步建设和完善内部控制体系提供良好的基础。

建立初步规划。由于基本规范不仅要求企业要像“萨班斯法案”那样财务报表合规，还包括对效率效果的合规、合法性、资产安全以及战略方面等五个目标全部要合规。因此，企业目前可以配合自身管理的需要去建立一个初步的规划，然后再逐步实现目标。

建立有效的工作团队。企业应按照基本规范的要求，明确董事会、监事会以及各级管理层在内部控制中的责任，规范审计委员会以及内部审计职能的独立性。在此基础上根据自身情况搭建内部控制体系，建立内控团队，启动一系列内部培训，包括在企业内部对内控重要性的宣传，因为企业文化不是一朝一夕形成的。对于某些企业而言，如果执行内部控制标准过高，可以考虑将其业务外包，由专业中间机构提供服务，尽可能提高效率、减少成本。

必须关注内控指引的建设与更新。由于基本规范对部分关键的标准和程序只提出原则性的要求，而具体的指引都还处于征求意见的阶段，因此企业一方面要关注现有政策内的明确要求(如证券交易所内控指引中提出的关注领域)，另一方面需要时刻关注指引内容的变化与要求。在某种情况下，对政策要求的误判，可能会直接造成企业成本的增加，甚至浪费。