在上公司年报监管暨内控工作会议

在上市公司年报监管暨内控工作会议的培训讲义财政部注册会计师处处长王宏2011年12月8日我自己分管了10年的内控工作，利用这个机会向同志们报告一下自己一点点的初步体会。

我在很多场合都讲，内控不是一个新鲜话题，更不是个新鲜事物。

中国在几千年的历史长河当中，早就讲内控了。

老外早就讲，中国西周时期的预算和内控是无与伦比的。

我在很多场合也举一个小例子，东北的军阀张作霖文化水平不高，但是同样不排除他是一个内控高手。

比如说张作霖签发银票很简单，别人给他送来一张银票，他取出自己的毛笔点一点朱砂，在银票上一杵一戳，即完成银票的签发流程。

别人说大帅的做法这么简单啊，于是偷偷地想方设法搞了一张银票，拿出自己的毛笔照猫画虎，在朱砂里点一点，往银票上一戳，就想去蒙事，去支取银子，结果到了账房那儿不仅不给他银子，还派人把他拘押了起来。

后来大家才发现大帅这么一个看似简单的签发动作实际上有很深的玄机，秘诀就在他这支毛笔不是普通毛笔，他偷偷地在毛笔里加了一根针，用毛笔往银票上一戳，银票上就有一小孔，账房跟他有多年的默契，每次拿到银票举起来对着光看一看，有没有这个小孔，有小孔说明用今天的行话来说是经过授权审批的，没有就是假冒伪劣的。

我们说，为什么近十年来内控得到了这么高度的重视，这么多的部门：财政部、证监会、审计署、银监会、保监会、国资委来推动这个事，包括上市部、会计部的领导和我们一直在一个战壕里做这个事。

应该说，大道理我不想讲，有关法律法规都把内控实施写进了条文里了，监管要求也不用说，财政部、证监会都有监管要求，两个交易所也有各自的监管要求。

审计署从内控评价角度发了内控评价准则，银监会发了商业银行内控指引、内控评价指引，保监会发布了保险企业内控基本准则，中注协前些年也对当时那个阶段内控披露审阅问题发布了指引。

所以说，法律要求、监管要求等等，大道理说为了会计信息质量，为了经济秩序，为了强化管理，我都不说了，我只说一个小道理，说一千道一万，强化上市公司内控，是企业自身的需求，防范风险，提高经营管理水平的内在需求。

为什么说是内在需求，我给同志们报几个数，大家可能有一点直观的概念。

有学者研究以企业的生命周期为例说明为什么要搞内控，学者研究得出世界五百强的平均寿命是44周岁，一般跨国公司的平均寿命是14周岁，我们中国企业的平均寿命是8.9岁，其中中国民营企业的平均寿命2.9岁，所以说我在和上市公司董事长、总经理包括50多个央企做过交流，我们说看看这些数据，特别对上市公司而言，讲得浅显一点，企业、上市公司要活下去，而且能够活得更好，必须抓内控，特别是在后金融危机时期，经营管理的外部环境、内部环境各种不确定性、市场不确定性、经济文化的不确定性，应当说有各种各样的风险，如何应对这些风险，我想这是强化内控的内在微观基础。

对这部分我不展开讲，怎么说意义都不过分。

第二个汇报，企业内控规范体系究竟有哪些特点和创新。

大家都知道2008年五部委联合发了基本规范，2010年又发布了3个配套指引，分为应用指引、评价指引和审计指引。

应用指引主要结合企业经营管理事项比如说资金管理、采购管理、销售管理、投融资管理、业务外包管理、信息系统管理、人力资源管理等等，发布了若干应用指引，评价指引主要是给上市公司进行内控的自我评价，一个指导性的原则准则，审计指引主要是给会计师事务所如何进行内控审计，发布了一套准绳、指引。

那么，这一套体系究竟有哪些变化，我自己把它总结了6个更加：第一，更加注重全面风险控制。

一是突破了原来会计控制的范畴。

从2000年开始，根据第二次修订的会计法，财政部发布了一系列会计控制规范，应当说在实践中取得了积极的成效。

但是也暴露出问题。

一说是会计控制、财务控制，大家就觉得是总会计师、财务总监、财会部门的事情，因此得不到应有的重视，推动力度不够。

所以实践中财会部门反映，这一套规范发布后不是说给我增加了舞台、地位，而是说增加了很多框框，很难搞下去，举步维艰。

同志们可以看到，这次内控规范体系大大拓展了内控的范畴，大大拓展了财务控制或者会计控制，更多地转向全面风险控制，更多地与企业经营管理融合在一起。

再比如说，也突破了以前内控就是流程控制的比较狭隘的观点。

无论是中国颁布的内控规范和配套指引，还是美国的COSO，一系列当今最权威的内控框架都已经把内控拓展为五要素、甚至八要素的范畴，也就是说流程控制仅仅是其中一个要素——控制活动的组成部分，在这之外我们有内部环境、环境因素，有风险评估，有信息与沟通，有监控等等，若干并列的要素。

如果我们把内控仅仅作为一个流程控制，那就完了。

流程控制是很重要的基础，但不是全部，否则最后就是庸俗哲学，搞几大板，图画得密密麻麻，实践中一点用也没有。

所以说，第一个，更加注重全面风险控制，不仅仅会计控制、财务控制，更不仅仅是流程控制。

第二，更加注重过程控制。

这次发布的内控规范，过程观是其中的一个非常重要的理论基础，强调内部控制是一套过程，是一个过程。

以前说内控是办法、是制度、是规章，是结果，有了根本性的变化。

强调内控是个过程，实际上为我们提供了一个动态的理念，一个不断的提升、改善的理念。

我经常举这么一个例子，拿出三五家上市公司的报表来看，可能这些公司的报表数据非常漂亮，我们来审查他们的报表，看上去可能数据都差不多，但是这些公司在资产质量、经营状况、盈利能力、核心竞争力、发展前景、管理水平等方面就真的一样，好比我们去餐馆吃饭，偶尔去一下四星级酒店，也经常去大排档，同样一盘菜可能都是热气腾腾，都是色香味俱全，好比这几家上市公司报表，看上去都差不多，但实际上一样吗？我们说可能存在很大差距，如海鲜的原料，加工的厨师，加工的卫生条件，都不一样。

所以说，以前我们只看到这几张报表，只看到端上桌子来的这几盘菜，至于这些菜是谁炒的，用什么原料，在什么样的卫生条件下炒的，投资者、公众、监管部门可能并不完全清楚。

通过实施内控我们两大制度安排，一是自我评价，二是外部审计，使大家不仅能看到结果，看到端上桌子的菜，而且可以看到结果是怎样生成，谁来生成，在什么样的保障机制下生成，所以说给我们提供一个基于过程控制的内控的一个动态控制的衡器、一个理念。

第三，更加注重企业层面控制。

内控从大的方面讲两个层面：一个企业层面，一个业务层面，或者流程层面。

企业层面包括内部环境，风险评估，包括信息与沟通，包括监控，等等，这些要素更加注重。

内部环境，包括权责分配，高管经营理念、管理风格，人力资源安排，审计制度安排，等等。

我毫不讳言，我对这套体系的建成，感觉到非常好。

但是，这套体系能不能取得成功，有不有实际效果，我并不过分乐观。

如果没有其他要素，没有企业层面要素的配合支持，如果不重视，很可能变成形式主义。

特别是环境要素，特别是高管人员、董监高在内控当中作用的发挥，如果不在这方面有一个根本性的改变，包括我们的治理结构，很难。

所以说，内控评价、审计一定要涉及这方面的内容。

如果我们还局限在以前，从审计的角度，单纯讲财务报告内控，完了。

当然，作为第一步，起步阶段，从审计的角度讲，财务报告内控是可以理解的，可以这么去试，但是从真正的企业管控的角度讲，财务报告内控绝对是死胡同，最后又会变成会计控制、财务控制，又会变成总会计师的单打独斗、孤军奋战，没用。

第四，更加注重缺陷的评价与披露。

这次内控两大制度安排：自我评价和外部审计，重中之重是去查找、发现、认定、改进内控缺陷，包括重大缺陷、重要缺陷、一般缺陷。

老外尤其是美国把重大缺陷又叫实质性漏洞。

这个方面的改进核心是促进企业的执行力问题，也是内控监控要素中特别强调的问题。

我说中国的企业是否缺内控、缺管理啊，不缺，就像老外、前两年世界银行评估中国的会计准则一样，有的老外提出一个观点，说中国相当一部分企业没有建账，没有账。

我为他们感到一点点悲哀。

我心里想，不是他们没有建账，而是不给你看账，还有企业存在多少套账的问题，不存在没有账的问题。

同样的观点，我们的内控，不是我们没有内控，没有规章，没有制度，而是多年来我们的规章制度是空纸、是废纸。

我和工农中建联系比较多，工农中建平均的管理制度有1500-2000项，不可谓不多，但是在一定程度上金融领域是违法违规、内控失效的重灾区。

美国也一样，美国曾搞过十大行业内控水平调研，就整体水平而言，金融行业还是不错的，但是就研究的几家个体而言，几家金融企业排在所有抽样企业倒数第二位。

中国的内控也是从金融领域起步，最初的部门规章是《关于加强金融机构内控的若干规定》，但这么多年过去了，我们的很多问题仍然没有得到有效解决，所以说，执行力问题永远是个大问题。

我们讲内控缺陷从缺陷形成原因来讲可分为设计缺陷、运行缺陷，也就是执行缺陷。

怎么样评价我们的缺陷、指出来缺陷的严重程度，然后有针对性的去改进，这也是内控规范体系的一个重大变化，重大的制度安排。

第五，更加注重规范制度的统一协调。

既包括与国际的协调，也包括几个监管部门的协调，甚至也包括两个交易所的协调。

应当以内控规范与配套指引发布为契机，大家都统一到这套规范体系上来。

这套体系尽管是五部委发的，但是经过国务院批准同意之后发的。

严格意义上讲，具有行政法规的性质。

发布之前专门给国务院作了报告，国务院作了批示，然后五部委一起发的，应当成为大家实施内控的统一的基本准则。

第六，更加注重强制性审计。

全球范围内的内控模式有三大模式，一是美国模式，基础是财务报告内控，说白了就是保证财务报告的真实、可靠为基础、为核心，要求管理者既有强制性的自我评价，又有强制性的外部审计。

二是欧盟模式，制度基础是全面风险控制，不仅仅局限于财务报告，要求强制性自我评价、董事会披露，但不要求强制性的审计。

三是中国模式，这是最严格的，制度基础是欧盟模式，但我们的制度安排和美国是一样的，既要求强制性的自我评价，又要求强制性的外部审计，注册会计师审计。

这一制度安排的结果是在上市公司年报中必须增加两份报告：一是上市公司自身对内控有效性的自我评价报告，二是注册会计师对内控有效性的审计报告。

这两个报告与财务报告是分开的。

这两个报告的影响力可能远远大于财务报告。

因为现阶段资本市场还处在机构投资者不强、散户投资者为主的时期，散户投资者只要不是文盲，基本能够读懂内控语言。

第三大问题，如何判断上市公司是在真正实施内控。

即从监管部门角度看，如何判断上市公司是在真干还是假干。

应至少抓住这几点：一是领导重视。

一个感受，怎样体现领导重视，送大家两句话：大庆油田的标语——“单位好不好，关键看领导；班子行不行，首先看前两名”。

这两句话对搞内控至关重要。

主要领导董事长、总经理在内控建设当中是不是足够的重视、足够的支持，是不是亲自抓，很重要的判断。

如其只是挂个名，最后抓的只是总会计师、财务总监的时候，悬。

董事会、经理办公会有多少时候在讨论内控、抓管理，定了多少办法。