2.3　內部控制的要素

內部控制的內容，歸根結底是由基本要素組成的。這些要素及其構成方式，決定著內部控制的內容與形式。《企業內部控制基本規范》第五條規定了內部控制的五要素，即內部環境、風險評估、控制活動、信息與溝通和內部監督。

2.3.1　內部環境

內部環境是企業實施內部控制的基礎，對其他要素產生影響。內部環境一般包括治理結構、機構設置及權責分配、內部審計、人力資源政策、企業文化等。內部環境的好壞決定著內部控制其他要素能否有效運行。其中，治理結構是重中之重，企業實施內部控制應先從治理結構入手。內部環境是內部控制其他四個構成要素的基礎，在企業內部控制的建立與實施中發揮著基礎性作用。

如果企業不具備良好的內部環境，在治理結構層面，就可能面臨治理結構形同虛設，缺乏科學的決策、良性的運行機制與執行力而導致經營失敗，面臨難以實現其發展戰略目標等方面的風險；在機構設置與權責分配方面，就可能面臨因權責分配不合理而導致的機構重置、職能交叉或缺失、相互扯皮、運營效率低等方面的風險；在人力資源政策方面，就可能引起人力資源的缺乏或過剩、人才流失、人力資源激勵機制和退出機制不當等風險；在企業文化方面，因員工缺乏積極性、缺乏誠實守信的經營理念等問題，就可能導致企業信譽下降，影響企業的持續經營。同時，企業在缺失良好的內部環境的經營狀態下，就可能影響內部審計的有效性。

【案例2-6】

由三鹿事件引發的企業內部環境思考16

三鹿事件在2008年中國十大違法事件中位列首位，美國《時代周刊》將“毒奶粉”事件列入2008年全球十大新聞。2008年12月25日，石家莊市委、市政府發布三鹿破產消息，破產裁定書已送達石家莊三鹿集團有限公司，一個曾經作為奶業龍頭的企業一夜之間消失。究其根源，企業內部環境不佳是主要原因之一。

（1）“內部人控制”現象嚴重。三鹿集團的大股東是三鹿乳業公司，持有三鹿集團56%的股權；第二大股東是新西蘭恒天然集團，持有43%的股權；其余1%的零散股份由小股東持有。從表面上看，三鹿集團具有形成良好治理的所有權結構。但大股東三鹿乳業公司推行的是員工持股，并且由經營者持大股，96%左右的股份由900多名老職工擁有，其余股份由石家莊國資委持有。因此，三鹿集團的實際控制人或者說股權相當分散。董事長兼總經理田文華1987—2008年任職長達21年。可見，該公司不僅股權相當分散，董事長與總經理之間的制衡關系也無從談起，“內部人控制”現象不言而喻，治理機構的制衡機制失效，這種不良的內部環境成了管理層道德缺失的溫床，也為“毒奶粉”事件埋下了治理隱患。

（2）管理者不正確的經營理念。三鹿事件中，企業管理層在利潤的誘導下，以工業用原料三聚氰胺加入奶粉中，置消費者的健康于不顧，完全突破道德底線。這種為了追求經濟利益，不惜違背經營目標所采取的短期行為，使制度的執行因為人的主觀意志而存在不應有的彈性，導致內部控制的功能大大削弱，引起整個企業的“群體越軌”現象，致使控制環境惡化，造成嚴重的后果。

（3）企業文化與“責任作秀”。三鹿集團曾宣稱其企業文化的靈魂是為提高大眾的營養健康水平而不懈地進取。其宣傳資料顯示，三鹿集團多年來以履行社會責任為己任，扶持農民養牛、抗洪救災、抗擊“非典”、老區扶貧、扶殘助教、為多胞胎家庭等捐資捐物，贏得了社會各界的廣泛贊譽；企業先后榮獲全國“五一”勞動獎狀、全國輕工業十佳企業、全國質量管理先進企業等省級以上榮譽稱號200余項。三鹿集團所履行的社會責任和取得的各種榮譽無可厚非，但是，企業社會責任主要是通過為社會提供優質的產品來實現。三鹿集團產品中含有大量三聚氰胺，已給嬰幼兒及食用者造成身心傷害，給中國奶業造成了巨大損失，尤其是發現問題后的處理方式造成了非常惡劣的社會影響。

（4）組織結構與盲目擴張。由于三鹿集團有品牌而缺乏奶源，一些地方小乳品廠有奶源而缺品牌，因此集團在內部開創“品牌和奶源”結合的發展模式。沿著這種模式，三鹿集團以產權為紐帶，以品牌為旗幟，相繼兼并了山東、河北、陜西、河南、甘肅等省瀕臨破產的30多家中小企業，使得三鹿的組織結構發生了很大變化。例如，行唐三鹿乳業有限公司由三鹿集團控股51%，另外49%的股權由行唐縣政府控制。本質上，這種兼并在一定程度上壯大了企業規模，擴大了市場份額，有利于三鹿集團的發展。然而，在被三鹿集團兼并之后，行唐三鹿乳業未增添任何新設備和資金，開動老機器就開始生產奶粉，廠區內景象破舊不堪。三鹿集團旗下類似這樣的分公司或子公司比比皆是。這種擴張導致了資金投入跟不上、機器設備及內部管理跟不上等問題，埋下了諸多安全隱患。

三鹿集團為我國企業敲響了警鐘：創建和諧的企業內部環境，關乎企業的盛衰榮辱和生死存亡。企業的內部環境是內部控制的關鍵，確定了一個企業的基調，它影響著整個企業內部所有人員的控制意識。因此，控制環境是一種氛圍，能夠影響企業內部控制制度的貫徹執行以及企業經營目標及整體戰略目標的實現，如果沒有有效的控制環境，其他控制要素無論質量如何，都不可能形成有效的內部控制。在三鹿集團的案例中，如果該企業具有良好的內部環境，就有可能降低“毒奶粉”事件發生的可能性。

2.3.2　風險評估

風險評估是企業及時識別、系統分析經營活動中與實現內部控制目標相關的風險，合理確定風險應對策略的過程。它是實施內部控制的重要環節，是采取控制活動的根據。風險評估主要包括目標設定、風險識別、風險分析和風險應對等環節。控制主體必須制定與生產、銷售、財務等業務相關的目標，設立可辨認、分析和管理相關風險的機制，以了解本單位所面臨的來自內部和外部的各種不同風險。在充分識別各種潛在風險因素后，要對固有風險（即不采取任何防范措施可能造成的損失程度）進行評估，同時，重點評估剩余風險（即采取了應對措施之后仍可能造成的損失程度）。單位管理層在評估了相關風險的可能性和后果及成本效益之后，要選擇一系列策略使剩余風險處于期望的風險承受度之內。

在當今信息時代的大背景下，企業所面臨的風險瞬息萬變，如果企業對風險的評估不及時或是出現錯誤，就會直接影響企業的控制活動，容易導致內部控制滯后，甚至使得企業經營失敗。

【案例2-7】

中信泰富投資巨虧17

2008年10月20日，中信泰富（00267.HK）發布公告稱，公司為減低西澳洲鐵礦項目面對的貨幣風險，簽訂若干杠桿式外匯買賣合約而引致虧損，實際已虧損8.07億港元。至10月17日，仍在生效的杠桿式外匯合約按公平價定值的虧損為147億港元。換言之，相關外匯合約導致已變現及未變現虧損總額為155.07億港元。從表面來看，導致中信泰富巨額損失是由于澳元對美元匯率發生異常波動而導致的市場風險，但事實上，乃是由于該公司內部控制失控而產生的操作風險。在現實中，操作風險往往是衍生工具的核心風險。

具體而言，中信泰富在衍生工具內部控制方面缺乏有效的風險識別與評估機制，不僅在交易之前缺乏風險識別與評估，而且在合約持續期間，企業也沒有持續關注風險因素并對其發生的概率和損失的金額進行評估，其結果是導致所簽訂的投資合約存在兩個問題：其一，交易金額遠遠超過套期保值需要，投機成分重過套期保值；其二，沒有制定嚴格的限額控制。在簽訂的合約中，只規定盈利上限，沒有規定止損點；沒有對衍生工具頭寸及其風險限額進行嚴格的限制，從而為巨額損失埋下了隱患。

2.3.3　控制活動

根據明確的風險應對策略，企業需要及時采取控制措施，有效控制風險，盡量避免風險的發生，盡量降低企業的損失，這就是控制活動要素。控制活動是指結合具體業務和事項，運用相應的控制政策和程序或者控制手段去實施控制。也就是在風險評估之后，控制主體應采取相應的控制措施將風險控制在可承受范圍之內。常見的控制措施有不相容職務分離控制、授權審批控制、會計系統控制、財產保護控制、預算控制、運營分析控制、績效考評控制等。

企業缺乏控制活動或者控制活動失效，則無法應對企業中存在的風險。例如，企業在經營活動中會出現錯誤或舞弊行為，未能保證資金資產安全，預算管理缺乏剛性使其管理流于形式等情況。這些狀況會影響企業的正常運行，嚴重時會導致企業經營失敗。此外，企業采取手工控制和自動控制以及預防性控制和發現性控制相結合的方法實施控制可能會達到更好的效果。

2.3.4　信息與溝通

信息與溝通是企業及時、準確地收集、傳遞與內部控制相關信息的過程，其確保信息在企業內部、企業與外部之間進行有效傳遞與理解。它是實施內部控制的重要條件，控制環境與其他組成因素之間的相互作用需要通過信息與溝通這一橋梁才能發揮作用。信息與溝通的主要環節有：確認、計量、記錄有效的經濟業務；在財務報告中恰當揭示財務狀況、經營成果和現金流量；保證管理層與單位內部、外部的順暢溝通，包括與股東、債權人、監管部門、注冊會計師、供應商等的溝通。信息與溝通的方式是靈活多樣的，但無論哪種方式，都應當保證信息的相關性、真實性和及時性。缺少了信息傳遞與內外溝通，內部控制其他因素就可能無法保持緊密的聯系，整合框架也就不再是一個有機的整體。

如果企業信息流轉不當，會導致決策失誤或相關決策難以落實；如果企業信息資源管理不當，會使得信息收集不規范或失真，嚴重時導致信息無法共享；如果企業內外部信息資料保管不當，會造成重要資料丟失或泄密，令企業蒙受經濟及信譽損失等；如果企業的信息與溝通處理不當，會直接影響企業的運作效率，有時甚至會影響企業聲譽，從而阻礙企業經營目標的實現。

【案例2-8】

華夏證券破產風云18

華夏證券股份有限公司成立于1992年10月，由中國工行、農行、中行、建行、人保五家金融機構作為主要發起人，聯合其他41家大型企業共同組建，是我國較早成立的全國性證券公司。在當時，華夏證券與南方證券、國泰證券并稱中國最早的三大全國性證券公司。

華夏證券公司成立后迅猛發展，曾一度擁有91家營業部和24家證券服務部，并成為第一家全國交易聯網券商。與此同時，公司尚未健全的內部控制制度卻屢遭人破壞。這一方面導致了挪用客戶保證金、違規回購國債、賬外經營和投資、違規自營和坐莊、賬目作假和不清等內部風險的頻繁發生；另一方面使公司喪失了應對銀行提前收貸、融資成本高漲、實業投資損失、證券市場低迷等外部風險的抵御能力。而主管部門在對其拯救中未能對癥施治，內亂外患之下，公司逐漸走向衰亡。

資料顯示，2005年12月，華夏證券公司總資產為81.76億元，負債為133.09億元，所有者權益為-51.33億元，被中國證監會和北京市政府責令停止證券業務活動，撤銷證券業務許可證；2007年10月，公司總資產為38.18億元，負債為89.86億元，所有者權益為-51.68億元，失去持續經營能力，無法清償到期債務，公司申請破產；2008年4月，破產申請獲證監會批準，公司正式宣告破產。

華夏證券破產的原因之一在于企業信息不實，溝通不暢。具體表現如下：刻意封鎖經營信息，如封鎖負責自營業務的“四人領導小組”成員林某的電腦信息，封閉正常交易數據和情況；編制假賬，如2002年公司通過將21家上市公司法人股轉讓給下屬公司，虛增利潤5.15億元，2003年通過計提應收債權項目的利息和罰息，虛增利潤4.5億元；證券資料缺失，如有8只三板上市法人股投資和2筆長期投資項目既無權屬資料，也無賬戶信息或其他證明文件；違規修改電腦數據，如下屬3家營業部違規以經紀人提成為名，異戶返傭2214.7萬元，少交大量營業稅；巨額資產變動成謎，如公司2007年財務報告中的總資產比2005年減少40多億元，卻沒有披露變動原因；大量債權記錄不準，如截至2007年11月，超過一半的債權人對于自己和他人債權的核定存在異議；交易信息披露不完整，如對證券資產轉讓過程是否通過公開拍賣等程序以及應收賬款等相關信息，未作任何披露。

信息的閉塞與不實，成為華夏證券財務舞弊產生、飽受爭議直至破產的根源。即使其他內部控制要素再完善與合理，缺少信息與溝通就會造成整個內部控制系統的失效。為此，如何建立有效的溝通渠道，完善信息傳遞途徑，也是企業內部控制中必不可少的環節。

2.3.5　內部監督

內部監督是針對于內部控制其他要素的，是自上而下的單向檢查，是對內部控制的質量進行評價的過程。它是單位對內部控制建立與實施情況的監督檢查，評價內部控制的有效性，發現內部控制缺陷，及時加以改進，是實施內部控制的重要保證，是對內部控制的控制。內部監督包括日常監督和專項監督。監督情況應當形成書面報告，并在報告中揭示內部控制的重要缺陷。內部監督形成的報告應當有暢通的報告渠道，確保發現的重要問題能及時送達治理層和管理層；同時，應當建立內部控制缺陷糾正、改進機制，充分發揮內部監督效力。

在實踐中，有識之士都十分重視內部監督，有人甚至將其看作內部控制的本質之一。就連“薩班斯法案”也一再強調監督的重要性，如其中的302條款中要求首席執行官（CEO）、首席財務官（CFO）負責建立和維持公司的內部控制機制，保證CEO、CFO能夠全面了解上市公司及其子公司的所有重大信息，并評估內控體系是否有效可行，以監督其運行情況。良好的內部控制制度只是開展內部控制的第一步，要想它高效運行，必然離不開內部監督，許多企業管理者就是在缺乏內部監督的情況下，走上了觸犯法律的不歸路。

【案例2-9】

紫鑫疑云19

吉林紫鑫藥業股份有限公司（簡稱“紫鑫藥業”）前身系通化紫金藥業有限責任公司，于1998年5月25日成立，是一家集科研、開發、生產、銷售、藥用動植物種養殖為一體的高科技股份制企業。

2010—2012年，紫鑫藥業股價一路飆升，從2010年下半年開始，一年多時間暴漲了300%，上演了一輪波瀾壯闊的大牛行情。期間，公司成功高價增發，再融資10億元。紫鑫藥業由此引起了市場強烈關注，其中不乏大批專業投資者。從2010年年底開始，包括長江證券、國海證券在內的多家券商連續發出十多篇關于紫鑫藥業的研究報告，且無一不是圍繞紫鑫藥業人參業務展開。

2012年7月8日，某網友在中國會計視野論壇的“CPA之聲”版面發布了《紫鑫藥業空賣空買人參》一文，并附上了舉報材料。2012年8月17日，中國證券網多名記者刊發了《自導自演上下游客戶，紫鑫藥業炮制驚天騙局》一文，由此揭開紫鑫藥業造假的經過。紫鑫藥業5家主要大客戶（四川平大生物、千草藥業、吉林正德藥業、通化立發人參貿易有限公司、通化文博人參貿易有限公司）2010年為公司帶來2.3億元收入，占比達到36%。《上海證券報》記者調查大量信息后發現，這幾大客戶背后與紫鑫藥業之間存在著諸多牽連。多家公司最終均直接指向紫鑫藥業實際控制人郭春生或其家族，這些公司的注冊、變更、高管、股東等信息中無不存在紫鑫藥業及其關聯方的影子。2014年2月13日，中國證監會對紫鑫藥業股份有限公司、郭春生、曹恩輝等9名責任人進行行政處罰。

“紫鑫事件”凸顯出我國家族企業存在的內部監督問題。其內部控制的漏洞在于：紫鑫藥業的違法事實為與延邊耀宇人參貿易有限責任公司等的關聯關系和關聯交易，違反了《證券法》關于上市公司依法披露信息的規定。從表面上看，隱瞞關聯方及關聯交易是其違法的主要原因，但從內部控制的角度來看，還有著更為深刻的原因。

（1）不合理的股權結構導致公司治理結構不完善。紫鑫藥業的股權結構為一股獨大，前兩大股東分別是擁有49.02%股權的敦化市康平投資有限公司和擁有6.04%股權的自然人股東仲維光。

（2）內部人控制明顯。紫鑫藥業的董事長郭春生不僅是紫鑫的實際控制人，而且兼任總經理一職，集控制權、執行權及監督權于一身，這使得公司對高層管理人員的管理和控制無從談起，甚至為其與管理層共同進行財務舞弊創造了方便條件。

（3）公司內部審計部門形同虛設。

2.3.6　內部控制五要素之間的關系

內部控制五要素之間緊密聯系，相互支持，形成統一的邏輯整體，如圖2-2所示。

內部環境作為內部控制的基礎，位于圖形的最底部，影響著其他要素，所以說內部環境的好壞決定著內部控制其他要素能否有效運行。內部監督位于最頂部，說明它是針對其他要素而存在的，是一種自上而下的檢查，是對內部控制質量進行評價的過程。由于企業在實施戰略的過程中會受到內外部環境的影響，因此企業需要識別哪些影響戰略目標實現的有利和不利因素，并對存在的隱患進行定量和定性分析，進而制定應對策略，這就是我們之前所說的風險評估，它是控制活動的依據。根據明確的風險應對策略，企業要及時采取控制措施，有效控制風險，盡量避免風險的發生，盡量降低企業的損失，這就是控制活動要素。由圖2-2可知，信息與溝通在這五個要素中處于一個承上啟下、溝通內外的關鍵地位。控制環境與其他組成因素之間的相互作用，需要通過信息與溝通這一橋梁才能發揮作用；風險評估、控制活動和內部監督的實施需要以信息與溝通的結果為依據，同時，它們的結果也要通過信息與溝通來傳遞。因此，任何將這五個要素割裂的內部控制系統，都不會是有效的，甚至會無形中增加企業的成本，降低經營效率。