本土內控警惕人治風險

　　按照不相容任務原則，作為第三方出現的審計機構，不能參與、決定任何日常的具體操作，即不能又是裁判又是運動員。但問題在于，企業及監管方都沒有意識到這樣的沖突及從而導致的潛在風險。

　　文/ 邢帆

　　6月30日，德勤公布的最新調查報告顯示，2009年由于金融危機導致經濟形勢急轉直下，被調查的中國上市企業中超過80%的企業強調已加強了監督管理，但在被調查對象中，有一個數字顯得突兀而驚人，與之前的超過80%相對應的是，僅約17.65%的企業落實了內部控制考核工作。也就是說盡管本土企業在意識上已經將警惕內控風險提上日程，但真正落實下來卻并不順利。

　　為什么這么多的企業對于落實內控考核感到力不從心？有企業對記者表示，“中國薩班斯”雖然很早就被提出，但《企業內部控制基本規范》的難產，讓本就對內控不明就里的企業心里打鼓。以目前的形式想要復制國外的做法很難，因此很多企業開始寄希望于“外包”，而依靠第三方來全權打理企業內部審計是不是就能讓企業高枕無憂呢？對于這一說法，華寶興業基金管理有限公司長期從事內控審計風險管理的管理部經理施施樂頗有微詞。他提醒，企業在進行財務審計時，一定要與第三方劃清權責，警惕權力之爭帶來的人為風險。

　　東西方的沖突

　　簡單的說，財務內部控制審計的目的是通過全面審查財務內部控制體系，進而發現企業內部的財務管理問題。但這樣的制衡體系放入東方的管理語境中，則會出現理解上的偏差或誤區。 “坦率來講，這些概念都是西方管理學的技術，是舶來品，與東方的經營理念存在一定出入?！笔┦氛f：“本土企業管理層的教育背景不同、為滿足本土企業治理的需要，這些概念常常會有不同的闡述。表面是溝通問題，背后則多少存在權力分配博弈的味道?！?/p>

　　傳統意義上的企業對于人、財、物管理合在一起才是企業內部控制。它是確保公司正常運轉的體系，與企業方向性的決策機制沒有直接關系。所以“內部控制”不是一個部門可以做的事，企業設立“內控部”只是一個牽頭部門，一個管理工具而已。正因為是工具，往往受制于不同部門的操控，一旦發生協調不利，產生權力分歧，其概念就會被人為誤讀，造成理解上的偏差。而這些情況在西方企業管理體系中發生的概率極低。

　　除了觀念上的不同，基于本土企業對“內控管理”認識上的偏頗，在日常溝通中，往往會有意無意地混淆內外部審計的概念?！皞鹘y外部審計是監管機構、股東、第三方對企業財務健康狀況的一種體系外的監督?！笔┦氛f：“內部審計則是企業內部控制體系的一部分。它向管理層負責，有的甚至可以直達董事會。它的責任是對企業內部既定制度、流程等機制的有效性進行檢驗。會計師事務所做的是針對外部審計的內容，而不應該涉及企業內部管理。而內控則是針對企業內控體系的考察。換句話說，倘若要求會計師事務所出具評判結果(作裁判)，就不應該允許其對企業內部流程的建立提出建議(作運動員)。即按照不相容任務原則，作為第三方出現的審計機構，不能參與、決定任何日常的具體操作，即不能又是裁判又是運動員。但問題在于，企業及監管方都沒有意識到這樣的沖突及從而導致的潛在風險?！?/p>

　　以基金行業為例，監管部門關心的是行業整體的風險以及防范舞弊。但傳統監管部門可以得到的信息只是外部審計(財務審計)提供的對財務報表的核實情況，這令證監會感到不安。對此，施施樂不無遺憾地解釋：監管部門的確做過多次努力。早在2002年證監會就頒布實行了“督察長”制度，目的在于不斷設法強化督察長在公司中的地位和對證監會的直屬關系；隨后，2005年與安永會計師事務所一起發布了《內部控制季度報告》，讓基金公司按季度自己匯報幾個關鍵的內部控制點情況；最后，又在2006年提出要會計師事務所在財務審計的同時出具企業《內部控制情況報告》?！斑@時候的情況實際上可以解釋為：讓一個以謹慎為生的第三方用短短兩周時間，和一份沒有標準的報告來對基金公司內部控制的有效性作出評價，暫且放下這一評論的真實性及效力不談。更為嚴重的是，這一系列舉措事實上已經進一步混淆了財務審計和內部審計的職責范圍，這讓金融業的審計工作深陷泥潭?！笔┦穼@一現象的解釋可謂一語中的。

　　會計師事務所的對策

　　企業為了適應風險管理，希望監管部門提出要求；而監管部門為了防范風險，讓第三方出面來做內部審計；既然是業務，沒有理由不做。所以既便如此，會計師事務所還是支持監管部門的要求，在收費水平能夠得到相應體現的前提下，愿意出具《內部控制情況報告》。

　　可見，當客觀審計遇到主觀權力，再現實的問題也要讓步，再清晰的思路也會模糊。在記者的一再追問下，常年從事內控審計工作的施施樂透露，面對這樣一種情況，即使有一個及其簡單的行業，會計師事務所其實也無能為力。對企業的內部控制作出評價已經遠遠超出了會計師事務所在傳統意義上的經營范圍和生存之道，這給會計師行業帶來了新的無法覆蓋的風險。用多大的監管成本來確保被監管的行業不發生系統性問題或者過大的舞弊個案，這根本就是監管部門的責任和應該考慮的問題。而現在，這個問題被簡單地丟給了會計師事務所。

　　施施樂介紹，傳統的所有非財務審計的業務，會計師事務所是放在其咨詢業務部門的，而且要用防火墻制度，即不能又做審計又做咨詢。但監管部門的這個要求與防火墻制度又恰恰是沖突的。目前，基金公司的《內部控制情況報告》沒有模板、沒有固定工作量，因此就讓財務審計團隊兼而為之。但SOX的應用則必然要動用到事務所的專門咨詢部門。屆時，會不會建立SOX咨詢與非SOX咨詢之間的第二個防火墻，我們不得而知。但事實上這樣一種無限制的設立風險——規避風險之間的循環本就是不正常的。

　　在采訪中，記者總結出企業在處理財務審計時有兩種較為常見的做法：第一，即聽從會計師事務所的建議，在企業內部設立COO，掌管運營大權，向審計單位解釋流程。這是正常順序。第二，也是施施樂認為可行性比較高的方式 “日常管理+風險管理”體系，篩選業務骨干，在企業管理體系中建立風險聯絡人，一旦審計過程中發現問題，就要向風險聯絡人問責。指導企業自己修改問題，并請職業經理人對審計效果進行評估，杜絕會計師事務所即審計又咨詢的現象，力求劃清外部審計與內部審計的職責，將會計師事務所不該承擔的風險降至最低。

　　中國SOX請把好脈

　　談及中國SOX，施施樂表示，這和證監會在基金公司做的事情是一樣的。惟一的差別在于，中國SOX要覆蓋更多的行業，因此難度更大?！皟炔靠刂频娘L險管理重點是根據業務的發展不斷變化的。這只有企業自己最清楚，監管部門需要及時找到關鍵點，進行‘把脈’”。施施樂說：“如果連監管部門都沒法及時跟上這個節奏，怎么指望一個第三方能用一個固定的模板把這些問題都給查出來呢？這就好比在用一個過期的殺毒軟件。市場上的詬病會層出不窮，不會簡單重復，如果一直盯住老問題不放，結果是病毒庫做得越大、越復雜，就越浪費計算機資源?！?/p>

　　可見本土企業面對內控所表現出的不作為，除了長時期的歷史問題，更多的則是對權責的推諉和對利益的迷茫。這也從一個側面烘托出內控審計的特征：更講究“人治”?！叭绻鸖OX能夠促進企業有條理地整頓內部制度，當然是件好事。但我個人擔心這只是又提供了一份拿來抄好就放在書架上的樣子貨?！笔┦凡粺o憂慮地說，“企業提高內部控制，不如先提高公司治理，讓船長們在掌舵的時候真正考慮到船東、船員、客人這些利益獲得者。當公司治理完善后，船長自然會去挑選好的大副和二副，不用找外部專業人員來望、聞、問、切?！?/p>

　　應變是創業板重點

　　眾所周之，創業板上市企業主要集中在高科技行業或者生產型企業，所處行業不如主板寬泛，因此對于這些企業的內控審計方法，很多企業表示思路更為混亂。而施施樂卻認為，目前擺在創業企業面前最關鍵的任務并非是盲目完善內部控制體系，而是如何適應快速變化的市場環境。

　　施施樂解釋，內控管理對流程的把握還是越細越多才好。但方法總是跟不上變化，如果在任何一個細節處理上缺少監管，都會出現問題。比方說，對于大型集團型企業來講，信息從集團到達分子公司時由于人為因素會產生消耗，而再到業務部門時，業務人員是不會花時間搞清楚審計的細節到底是怎么回事的。這種不求甚解的惡性循環到最后就是人為造成的問題被掩飾，而這一切過程很有可能都是非故意、不經意間造成的。

　　創業板企業有沒有可能遇到這樣的問題呢？“我舉一個簡單的例子?！笔┦氛f，“有一家大型連鎖餐飲企業，一度被成為連鎖餐飲業內的典范，他們的市場做得非常好，收入、利潤曾經都很高。但上市之后迫于規范流程的要求，將流程都固定下來了。但所謂過猶不及，流程固定搞成流程僵化，結果市場情況急轉直下，這其實就是一個失敗的案例?！彼M一步解釋，從財務的角度來看，如果內控管理要通通按照一個模板去套，結果就是流程固定程度越高，強化的效果越好，企業生存前景反而越暗淡。

　　與此同時，內控的效果還要看企業曾否下決心將這一舉措長久、持續地進行下去。對于大型企業來說，其優勢在于決策者的決心往往更強一些，企業高層水平比較高，推動性高，執行力強。反之，中小企業則要警惕決策層執行力弱的問題。辯證的來理解，大型企業流程多，因此推行時間比較慢，審計過程更繁瑣；而中小企業則占盡船小好調頭的優勢，可借力內控梳理內部流程。

　　可見，創業板企業首先要解決站住腳的問題，要先具備生命力。而從監管部門的角度來說，是要利用監督機制，看住關鍵的那條“紅線”。所謂關鍵那就不可能面面俱到，這就是取舍之間的博弈。