一、企业内部控制构建基本内容 财政部、证监会、审计署、银监会、保监会等五部委颁布的《企业内部控制基本规范》(以下简称“基本规范”)及《企业内部控制配套指引》(以下简称“配套指引”)已相继施行，必将有效地推动上市公司建立和完善内部控制(以下或简称“内控”)。笔者认为完善有效的内部控制对企业有重大意义：保障经营活动合法合规，防范经营风险、道德风险和操作风险；保障资产的安全与完整，确保企业资产保值增值；规范经营管理活动和会计核算，保障财务报告及相关信息真实完整；提高企业的经营效率和效果，持续维持、提高企业的核心竞争力；确保各项战略举措得到有效实施，促进企业实现发展战略；确保控制剩余风险在企业可承受的范围内；提高企业对内对外的信息与沟通能力，增强企业对外部环境的适应能力；满足财政部、证监会、深交所以及国资委的监管要求或管理规定；与顾客、社区、社会互动共赢，彰显公司的社会责任感，提升企业形象和品牌知名度。 (一)内部控制构成。《基本规范》提出了内部控制建设(以下简称“内控建设”)和实施应该遵循的基本原则和总体要求，具有强制性；《配套指引》对企业常见的、一般性生产经营过程的主要方面和环节进行了规范，是对《基本规范》相关规定的进一步补充和说明，具有指导性和适应性。但是，《基本规范》和《配套指引》两者均没有明确完善的内部控制的构成，这是企业在构建内部控制过程中不得不面对的一道难题。在美国的《萨班斯—奥克斯利法案》(Sarbanes—Oxley Act,2002)颁布实施以来，有关内控建设的理论研究和实践取得丰硕的成果，国际上较普遍的共识是一套完善的内部控制应该包括：业务流程图及说明、内部控制信息系统、完善的内部控制制度、健全的控制环境及内部控制评价标准。 (二)内部控制有效性评价标准。根据多年的企业内部控制构建及内部控制自我测试评价经验，笔者认为衡量一项具体业务的控制措施是否有效，包括设计的有效性和执行的有效性，应坚持“风险、控制措施、制度、人”四位一体，具体评价标准如下：该业务的主要风险是什么？针对该风险的控制措施是否存在？该控制措施是否合理可行，可否预防风险或及时发现问题？合理可行的控制措施是否得到有效执行？控制中发现的问题是否被及时处理？控制措施是否有相关制度支撑？控制实施人员是否具备实施控制的能力？控制实施人员是否真正理解控制措施或相关制度？在实施控制中所使用的信息是否可靠？控制剩余风险是否在企业可接受的范围内？控制是否适应变化的环境？ (三)内部控制构建步骤。为了有效推动各主板上市公司全面实施《基本规范》，规范内控建设管理，提高内控建设效率和效果，证券监管机构为上市公司规定了内控建设路线图，其中，内控建设阶段的主要工作如表1所示。
表1的工作步骤可用图形示例，如图1所示。
图1 实际上，企业开展内控建设的过程与上图存在一些差异，这些差异主要有两个环节：第一，由于内部可胜任的内控人才匮乏或人员编制限制等原因，企业一般聘请专业的项目咨询机构帮助开展内控建设，因此在梳理流程、识别风险之后，就开展内控设计，初步形成业务流程，然后进行控制分析和制度缺口分析，修订完善业务流程，提出制度修订建议，编制内控手册；第二，内控自我测试中发现的缺陷，大部分是执行方面的问题，只有少部分属于设计方面的问题，由于员工已形成惯性思维和操作习惯，对新的内部控制的认识理解需要过程，难以一步到位，因此，内控手册修订完善与内控测试及缺陷整改往往是多次交互进行，螺旋式前进，而不是“一站式”或直线运动，因此，内部控制实际的构建过程如图2所示。
图2 业务流程是指企业所进行的一系列逻辑相关的、跨越时间和空间的、有序的活动。对业务流程的描述应该体现该项业务活动如何发生、处理、记录、报告的自始至终过程，体现出审批、授权、复核、资产保全、职责分离等控制活动。 在初步完成业务流程绘制后，应将内部控制整体情况与控制标准进行比照，建立“风险控制分析模板”进行控制差异分析和制度缺口分析，记录、归集分析结果，提出制度修订建议、整改控制差异，最终建立一套满足管控要求、符合公司实际情况的业务流程。 控制差异分析：根据企业统一确定的风险标准，结合具体业务确定各业务流程中存在的风险；将已有的控制和已经确定的风险相对照，分析权衡现有的控制环节与方法是否可以应对已确定的各种风险，如果已有的控制措施不能确保控制剩余风险在企业可接受的范围内，就需要增设新的控制措施。
