摘要：目前，由于我国企业内控体系建设起步较晚，中小企业内控意识淡薄、风险防范能力较弱，且内部控制基本规范也未针对中小非上市企业提出内控体系实施要求，因此，多数中小非上市企业没有内控体系，不愿投入人力财力，更不用说聘请会计师事务所开展此项工作了。文章从工作实践出发，探讨中小企业在管理层的领导下依靠内部力量建设内控体系的步骤和方法。
关键词：内控体系 中小企业 建设
随着内部控制基本规范及配套指引的颁布，如何建立和完善内控体系、加强内部监督、建立评价机制成为企业日益关注的课题。上市公司及大中型企业一般都聘请管理咨询公司或会计师事务所等中介机构代为建立和完善内控体系，但对于内部控制基本规范没有要求的中小非上市企业，投资人几乎不会投入更多的财力在“不创造价值”的事情上。中小企业如何依靠内部力量建立和完善内控体系，本文对此进行探讨。
一、取得股东或董事会支持
内控体系建设过程是董事会、监事会、管理层及全员参与的过程，内部控制基本规范指出，董事会负责内部控制的建立健全和有效实施，经理层负责组织领导企业内部控制的日常运行。但中小企业的董事会成员一般都是股东或股东直接指挥管理层，他们重点关注企业的利润，很少参与企业的日常管理，更不愿意在“不创造价值”的事情上花钱，这就给内控体系建设带来困难。要想开展此项工作，管理层首先要说服股东或董事会支持此项工作，向其说明内部控制有着规范企业经营活动和内部管理、提高企业管理水平、提升企业风险防范能力、保证公司资产和财产安全、提高企业经营效果和效率、为企业战略发展提供有效保证等重大意义。事实上，风险防范能力较强的企业，可以为投资人避免损失；提高企业的管理水平和经营效率，又可以为投资人带来更高的投资回报。
二、高管牵头、具体分工、全员参与的组织保障
由于内控体系涵盖企业运营的所有方面，需要全员参与，因此，管理层取得股东或董事会支持后，需要建立一个跨部门的项目小组，对内控建设总体负责。在内控体系建设过程中很多人抱有谁组织谁负责、应付等心理，高管牵头并积极参与对成功完成此项工作就显得尤为重要。由于内控体系建设涉及所有部门，总经理作为所有部门的共同负责人，参与其中并担当项目领导角色能有效推动内控体系建设，以免内控体系建设变成只是财务或内部审计部门的事。应成立一个由总经理任组长、分管业务的副总经理、财务总监、审计总监为组员的内控体系建设领导小组。但在实际工作中，中小企业的管理层难以抽出多余的时间和精力，因此可以在内控体系建设领导小组下设内控体系建设执行小组，组长由财务总监或审计总监担任，组员由各部门经理或副经理或部门骨干等管理人员组成，再由各组员组织本部门人员开展内控体系建设。如有分支机构或子公司，分支机构或子公司的管理层也应纳入执行小组，以便他们参照总部的方案组织本单位的内控体系建设，将内控体系建设的责任层层落实到各个单位。
内控体系建设是个持续的过程，领导小组应通过直接与企业员工或执行小组沟通，或通过内部刊物和会议等方式，传达其对项目的支持和投入、对项目成功完成的决心和信心。
三、内控体系建设实施过程
（一）风险评估。内部控制基本规范第一条明确指出“为了加强和规范企业内部控制，提高企业经营管理水平和风险防范能力”制定本规范，所以内控体系建设应以风险为出发点，根据当前的经济形势、法律法规、行业状况和企业内部环境进行风险评估。
风险评估是及时识别、科学分析和评价影响企业内部控制目标实现的各种不确定因素并采取应对措施的过程。风险评估主要包括目标设定、风险识别、风险分析和风险应对。目标设定是前提，企业应根据战略目标设定各种经营目标，并根据经营目标确定企业可接受的风险水平和具体业务层次上可接受的风险水平。风险识别是找出影响企业预期目标的主要风险，是风险评估的重要环节。风险识别不是识别出企业的所有风险，而是根据企业的风险可接受水平识别出主要风险，再进行分析并制定控制措施。风险评估应同时考虑经济形势、行业水平、法律法规、技术进步等外部因素和企业发展阶段、规模、组织架构、企业文化、业务复杂程度等内部因素。
内控体系建设不可能一蹴而就、一步到位。内控体系建设执行小组在风险评估时就应该关注主要风险和重点领域，忽略那些发生概率很小、即使发生也不会引起重大经营损失的风险。正如上文所说，股东和董事会更多地关注企业的盈利情况，执行小组首先应关注引起财务报告错报的主要风险。内部控制基本规范配套指引还指出“审计师应当对财务报告内部控制的有效性发表审计意见，并对内部控制审计过程中注意到的非财务报告内部控制的重大缺陷，在内部控制审计报告中增加‘非财务报告内部控制重大缺陷描述段’予以披露”，所以执行小组还要关注风险较大的重点领域和特定领域，例如企业的新业务和新技术、容易引起舞弊的环节、重要子公司、管理较困难的经营场所等领域。
内部控制基本规范要求企业实施时遵照重要性原则，内控建设既要遵守全面性原则，但也不是平均分配资源，应有侧重点，识别重要风险领域。内控体系建设执行小组在进行风险评估时应当以定量和定性分析相结合的方式确定主要风险和重点领域。定量分析方法_定重要性水平包括采取一个资产负债表或利润表项目的适当比例，如总资产、收入、所有者权益或税前利润的5%。定性分析要考虑与财务报表的重大错报相关的会计科目、复杂交易、存在较高舞弊风险的领域等。
（二）根据风险评估结果制定控制措施和工作流程，并记录实施证据。完成风险评估后，企业应针对评估的风险点，通过制定控制措施、完善流程等手段，规避、防范风险的发生。每个企业都有一定的控制措施，制定流程和设计记录文件应考虑现有流程和记录，如果现有流程或在此基础上稍加修订即可满足防范风险的要求，可考虑采用现有流程及措施。制定控制措施要考虑风险类型（经营风险、财务风险、舞弊风险等）、控制类型（预防型和检查型）、控制方法（自动和人工）、控制频率，以及控制的层次――由高层控制还是一般管理人员控制。
内部控制基本规范要求“企业应当以书面或其他适当的形式妥善保存内部控制建立与实施过程中的相关记录或者资料，确保内部控制建立与实施过程的可验证性”。企业应当建立内部控制记录，包括流程记录和实施证据录。流程记录可采用二维表、流程图、文字描述、决策图、权限表等不同的形式，其中流程图配合流程描述通常是最有效、最直观的流程记录形式。流程记录最好能包括某某岗位做什么事、以什么样的表格或其他记录、流程节点的风险标识、控制措施标识等实操性强的信息。实施证据记录可采用经签字Excel和Word、邮件等书面形式，避免采用口头形式。统一的记录格式能够使对控制有效性的评估变得容易简单，但开发或设计一套全新的记录格式或方法需要投入更多的人力物力，企业应权衡设计全新的记录的成本和效益。记录文件的设计应考虑稳定性，但可随内控评价整改定期修订。
制定控制措施时应加强对信息系统的应用，自动控制既能节约人力资源，又能使执行有力到位，但企业在应用信息系统前，应重点制定对信息系统的更新、检测、维护、程序变更、访问权限、数据备份等流程的控制。
在内控体系建设过程中，企业应建立会审制度，梳理或新建的制度和流程需经内控建设执行小组会审，相应制度和流程的制定人员、涉及部门的小组成员和业务骨干必须参加，确保控制措施适度得当，既能保证风险可控，又不影响业务发展和工作效率。
（三）测试控制措施的有效性。纸上谈兵不可取，再好的设计也必须落到实处。内部控制基本规范也要求企业进行内控体系建设时坚持应用性原则。为了确保设计的内部控制运行有效，在内部控制建设基本完成后需要对其进行测试，以检验内部控制措施的应用性和适用性。内控建设执行小组应制定详细的测试计划，包括管理理念、测试方法、测试范围、重点领域、特定风险等，报内控建设领导小组批准。但是，不是所有的控制都可以提供相同的保证，设计是否存在缺陷、执行控制人员的知识和经验、控制的期间、控制的频率、控制的方法等都会对控制效果产生影响。如果控制设计有缺陷，即使控制按设计的流程去运行，也不能保证控制能够防范风险的发生。如果设计没有缺陷、控制按照设计运行，执行人员具有必要授权和专业胜任能力，能够实现控制目标，则表明控制运行有效。
如果某个控制每天运行，测试中出现例外情况，内控建设执行小组必须对例外情况出现的原因进行评估，通过调查确定控制是否有效运行，如果调查结果不能确定是否存在缺陷，则应选择另一组数据样本进行测试，如果没有再次出现例外，可不确认为缺陷。如果控制频率为一个月、一季度的控制出现了例外，则应认为存在缺陷，因为样本总体太小。测试中还应特别注意自动控制，针对自动控制，首先测试系统总体控制是否有效，如果有效，测试项目数量可以减少，且针对系统控制的每个特性都要进行有关控制运行有效性的测试，如果输入的无效信息或高层次人员能绕过流程，则表示控制无效。
内控体系建设执行小组应编制所有内部控制缺陷的清单，记录每个缺陷的原因并评估必要的整改行动，如重新设计控制等，并需要对整改后的控制进行再测试来证明其运行的有效性。
四、内控体系正式实施并逐步完善
测试完毕并确认各类控制运行有效且不存在重大缺陷后，内控体系建设执行小组编写测试报告，报领导小组批准并实施。内控体系正式实施后，内控体系建设领导小组和执行小组可能会被取消，但随之产生的内控委员会或内控小组等类似机构应承担起内控体系修订和完善的职责。随内外部环境、经营战略、重要业务范围等的变化，内控体系需要及时修订和完善，即使上述因素在短期内不发生变化，企业也应每年定期对内控体系进行评价，然后根据评价结果修订和完善。
参考文献：
[1]普华永道内部控制基本规范专业团队.《企业内部控制基本规范》管理层实务操作指南[M].北京：中国财政经济出版社，2012.
[2]胡八一.企业内控体系建设实务[M].北京：人民邮电出版社，2014.
[3]袁建华.泰安市中小企业内部控制调查研究[J].商业会计，2016，（8）.
[4]杜妍.加强企业内控体系建设的管理与实践[J].管理观察，2015，（2）.
