为贯彻实施《企业内部控制基本规范》(以下简称《基本规范》)及企业内部控制配套指引(以下简称配套指引)，根据《关于做好上市公司内部控制规范试点有关工作的通知》(以下简称《试点通知》)及相关要求，作为中国证监会2011年上市公司内控规范自愿试点单位之一的YY集团启动了内部控制建设，聘请了某管理咨询有限公司作为内部控制咨询中介机构(以下简称项目组)。笔者作为项目组的成员，深度参与了其内部控制的建设过程。鉴于YY集团为软件使用企业，以及笔者主要负责与信息系统相关的内控缺陷查找与整改建议的提出，笔者在此从信息化视角对其内部控制建设的经验进行总结，并得出几点启示，以期能够为2012年及以后启动类似项目的企业提供一些借鉴。 一、YY集团内部控制的建设过程 (一)YY集团内部控制建设规划 根据《试点通知》，自愿试点类公司应按照《基本规范》及配套指引的要求，做好母公司及重要子公司财务报告内部控制的建设、自我评价和审计工作。据此要求，结合YY集团的行业特征、经营特点，项目组与YY集团共同确定将其母公司和6家重要子公司作为本次内部控制咨询的对象。该咨询对象涵盖了YY集团所有有重大影响的子公司，业务内容涉及纺织加工、房地产开发和产业投资三大主要板块。进而根据“内控建设常见问题规范问答(第一期)”(http://www.csrc.gov.cn/pub/shenzhen/ztzl/ssgsnkjs/201106/t20110613_196326.html，中国证券监督管理委员会官方网站)，结合YY集团的实际情况，明确界定了母公司和6家重要子公司的内控建设流程范围，即与财务报告相关的7个重点业务流程：销售与收款、采购与付款、资金活动(包括货币资金、投资管理、筹资管理)、资产管理(包括存货、固定资产、无形资产)、财务报告、信息系统、工程项目，以及4个一般业务流程：预算管理、关联交易、合同管理和业务外包。所选取的业务流程涵盖了YY集团所有有重大影响的业务流程。内部控制建设的主要工作体现为全面梳理、完善YY集团的重要业务流程、控制制度，进行内控测试，查找内控缺陷，提出整改建议，提交最终内部控制建设成果。 (二)YY集团内部控制建设过程 1.内控缺陷的查找阶段。在此阶段，首先界定了内控缺陷的含义与分类，在此基础上以信息系统(鉴于本次项目组主要针对YY集团财务报告相关的内部控制建设，本文信息系统是指以财务信息系统为核心，涉及相关联的其他重要信息系统)为例，阐述内控缺陷查找、内控缺陷汇总和内控缺陷整改建议等内容。此外，项目组还向YY集团展示了内部控制评价软件的原型，确定其对内部控制评价软件的个性化需求。 (1)内控缺陷的界定与分类。内控缺陷主要有两种类型，一种为设计缺陷，具体是指企业缺少为实现控制目标所必需的控制，或现存控制设计不适当，即使正常运行也难以实现控制目标；还有一种为运行缺陷(在实际业务中一般称为“执行缺陷”，下文统称为“执行缺陷”)，具体是指设计有效(合理且适当)的内部控制由于运行不当而导致无法有效地实施控制，运行不当包括由不恰当的人执行、未按设计的方式运行、运行的时间或频率不当、没有得到一贯有效的运行等，此种缺陷一般出于执行者没有获得必要授权或缺乏胜任能力所致。 (2)内控缺陷的查找及整改建议。项目组通过个别访谈、实地查看、数据收集和比较分析等查找方法，共计发现YY集团信息系统方面的内控缺陷11个，其中设计缺陷9个，执行缺陷2个。针对查找出的缺陷，项目组给出了缺陷描述、风险描述和整改建议，具体内容见表1。 通过调研软件的实际使用情况以及对软件供应商的进一步咨询，项目组认为YY集团下一步的信息系统工作重点有两个：一是整改已发现的信息系统方面的设计缺陷和执行缺陷，降低相关风险；二是在集团范围内统一财务软件，并做好各子公司不同ERP等软件与财务软件之间的接口。
(3)对内部控制评价软件的个性化需求。项目组向YY集团演示了内部控制评价软件的原型版本，并根据系统论中的层次性原理，结合需求调研，确立了YY集团的五层次内部控制评价指标体系，分别为三级指标、二级指标、五要素指标、一级指标和综合指标。五个层次的指标，仅需采集最低一个层次指标的评价值，其他层次指标的评价值和评价结果皆根据基于灰色关联度的模糊综合评判方法一级一级自动汇聚而成，无需人工干预，即：由三级指标的隶属度和权重汇聚得出二级指标的评价值(即隶属度)和评价结果，由二级指标的隶属度和权重汇聚得出五要素指标的评价值和评价结果，由五要素指标的隶属度和权重汇聚得出一级指标的评价值和评价结果，由一级指标的隶属度和权重汇聚得出综合指标的评价值和评价结果。 2.内部控制的建设阶段。管理层根据项目组在内控缺陷查找阶段提出的内控缺陷和整改建议，组织集团各相关职能部门、分子公司负责人进行学习，按照各自的管理职责和权限进行对照整改。各职能部门和分子公司对照内控缺陷，制定内控缺陷整改计划，建立健全相关制度，建立、完善相应控制文档，把内控缺陷整改工作落实到具体岗位责任，具体做了以下三个方面的工作：
