企业文化内部控制设计实务
目前，理论界对于企业文化内部控制设计概念还没有统一的定义。中天恒3C框架认为，企业文化的内部控制设计，是在遵循国家和企业文化相关法规制度的基础上，以国家监管部门制定的内部控制规范及其应用指引为依据，结合各自企业文化实际情况，用系统控制的技术和方法，构建企业自身企业文化内部控制体系的动态过程。简单说，企业文化内部控制设计是构建企业文化内控的首要环节。
企业文化的定义及内控设计流程
一般而言，企业文化的定义大致有三种。狭义的定义认为，企业文化属于意识范畴，仅仅包括企业的思想、意识、习惯、感情领域。广义的定义认为，企业文化是指企业在创业和发展的过程中所形成的物质文明和精神文明的总和，包括企业管理中的硬件与软件、外显文化与隐型文化(或者称为“表层文化与深层文化”)两部分。折中定义认为，企业文化是指企业全体员工在长期的创业和发展过程中培育形成并共同遵守的最高目标、价值标准、基本信念及行为规范，是企业理念形态文化、物质形态文化和制度形态文化的复合体。
《企业内部控制应用指引第5号——企业文化》(以下简称《五号应用指引》)第二条规定：“本指引所称企业文化，是指企业在生产经营实践中逐步形成的、为整体团队所认同并遵守的价值观、经营理念和企业精神，以及在此基础上形成的行为规范的总称。”《五号应用指引》中定义的企业文化，是指企业为整体团队所认同并遵守的价值观、经营理念和企业精神，高度概括了企业文化的内容。
企业应当根据《五号应用指引》的要求，通过设计内部控制手册，使全体员工了解企业文化的内部机构设置、岗位职责、业务流程等情况，明确权责分配，正确行使职权，从而促进企业加强企业文化建设，充分发挥企业文化在企业发展中的重要作用。
随着知识经济时代的到来，创造知识产品的脑力劳动将成为社会劳动的主要形式。这预示着文化管理必将取代科学管理，成为知识经济时代唯一适用的管理模式。对待复杂的、无形的脑力劳动，企业的管理重点则必须转移到进行“自我控制”的轨道上来。也就是说，企业要注重满足员工自我实现需要的内在激励，注意更充分地尊重员工，鼓励员工的敬业精神和创新精神，并且在价值观方面取得共识，而培育共同价值观正是企业文化建设的核心内容。
同时，在服务致胜时代，理性管理必然让位于以人为中心的、高度重视观念和情感因素的非理性管理模式，即文化管理。这种管理模式并不排除理性因素，而是使之与非理性因素有机结合，相得益彰。
企业文化内部控制设计是个复杂的系统工程，基本流程包括设计准备、设计实施、试行及完善等。中天恒在丰富的内部控制设计实践中总结的描述现状、风险评估、设计控制是内部控制设计的三个关键方面，同样适应企业文化内部控制设计。不过，根据企业文化内部控制设计的需要，在基本流程的基础上，还要有更多层次的具体流程，每个具体流程中需要明确工作内容、方法、步骤以及相应的表单等，要突出企业文化内部控制设计的特色。
描述企业文化现状
企业构建与实施企业文化内部控制，首先要在认真学习领会国家法律法规的基础上，对企业文化的现状进行仔细梳理，了解企业文化的现状。梳理企业文化现状的工作涉及方方面面，主要包括：
1、梳理描述制度文件。梳理描述制度文件，是梳理企业文化方面的内部管理制度或相关文件，重点关注有无企业文化的方面的相关制度，是否完善、是否执行;有无具体可控的操作文件或表单等等。笔者注意到，对大多数企业来说，企业文化制度是比较欠缺的。
2、梳理描述现状业务流程。企业文化现行的业务流程到底怎么样，包括哪些环节，是否能有效控制企业文化风险，并要将企业文化方面的现状业务流程用图表的形式描绘出来。
3、确定业务流程目录。根据企业文化的实际情况，确定企业文化的业务流程目录。这可为企业构建与实施企业文化内部控制界定边界。企业不同，企业文化的业务流程目录肯定也不一样。简单说，企业文化业务流程可简单分为企业文化的建设和评估两个主要阶段。
本阶段企业文化内部控制设计工作的成果是形成《企业文化内部管理制度或相关文件情况表》、《企业文化流程目录》、《企业文化业务流程图、表》等。
评估企业文化风险
企业文化风险评估的基本程序为：识别企业文化风险，并进行具体描述;分析企业文化风险，编制企业文化风险分析表;评价企业文化风险，编制企业文化风险评价表;确定企业文化风险应对策略;提出企业文化重大风险解决方案。在实践中，企业文化风险分析及其评价是合在一起进行的。而企业文化重大风险解决方案的提出要看企业是否需要，这也可以在企业文化内部控制设计完成后单独进行。
1、识别并描述风险。评估企业文化风险，首先要把企业文化具体风险识别出来，然后整理出整体层面的风险。企业文化具体风险是多种多样的，因企业的不同而不同。关于企业文化风险，按照《五号应用指引》要求，在评估企业文化风险时，设计人员至少应当关注下列风险：缺乏积极向上的企业文化，可能导致员工丧失对企业的信心和认同感，企业缺乏凝聚力和竞争力;缺乏开拓创新、团队协作和风险意识，可能导致企业发展目标难以实现，影响可持续发展;缺乏诚实守信的经营理念，可能导致舞弊事件的发生，造成企业损失，影响企业信誉;忽视企业并购重组中的文化差异和理念冲突，可能导致并购重组失败。
2、分析风险。企业文化理风险分析的内容很多，一般应从成因和结果两个方面进行，并编制企业文化风险分析表。
3、评价风险。企业文化风险评价应从可能性和影响程度两个维度进行，根据评价结果进行风险排序、划分风险等级，并编制企业文化风险评价表。
4、选择风险应对策略。企业文化风险应对是根据风险评价的结果，针对不同等级风险选择企业文化风险应对策略的过程。不同等级的企业文化风险采取的应对策略不一样，一般有规避、降低、转移、接受等策略。不论选择哪种策略应对企业文化风险，都需要编制企业文化风险应对表。
5、编制风险数据库或绘制风险图谱。依据企业文化风险评估的结果编制企业文化层面的风险数据库或绘制风险图谱。企业文化风险数据库基本要素包括业务流程、风险描述、风险分析、风险排序、应对策略、剩余风险等，也可以加上内部控制设计完成后控制措施、控制部门或岗位等等。风险图谱一般适用于公司层面的风险描述。
本阶段企业文化内部控制设计工作的成果是形成《企业文化风险及其描述表》、《企业文化整体层面风险清单》、《企业文化风险分析表》、《企业文化风险评价表》、《企业文化风险应对策略表》、《企业文化风险解决方案》等。
设计企业文化内部控制
设计企业文化控制，就是在评估企业文化风险的基础上，设计企业文化内部控制的过程，是企业文化内部控制设计的关键环节。企业文化内部控制设计基本程序包括：确定企业文化关键控制点;明确企业文化控制目标;提出企业文化控制措施;设计企业文化控制证据;完善企业文化相关制度;绘制企业文化控制流程图;编制企业文化控制矩阵。
1、设计关键控制点。企业在构建与实施企业文化内部控制过程中，要针对企业文化风险评估的结果，确定企业文化的一般控制点和关键控制点，并编制企业文化控制要点表。确定企业文化的一般控制点和关键控制是件很困难的事，要根据企业实际情况确定，也因人们的专业判断的不同而不同。《五号应用指引》重点对企业文化的建设、企业文化的评估等环节进行规范。
2、设计控制目标。企业文化内部控制目标就是要保证企业文化合法、安全、有效、可靠，从而有效控制缺乏积极向上的企业文化，可能导致员工丧失对企业的信心和认同感，企业缺乏凝聚力和竞争力;缺乏开拓创新、团队协作和风险意识，可能导致企业发展目标难以实现，影响可持续发展;缺乏诚实守信的经营理念，可能导致舞弊事件的发生，造成企业损失，影响企业信誉;忽视企业并购重组中的文化差异和理念冲突，可能导致并购重组失败等方面的风险。实际工作中，企业文化内部控制目标应根据识别出来的企业文化可能存在的具体风险来设计，不能固定化、模式化。
3、设计控制措施。根据《企业内部控制基本规范》要求：企业应当加强文化建设，培育积极向上的价值观和社会责任感，倡导诚实守信、爱岗敬业、开拓创新和团队协作精神，树立现代管理理念，强化风险意识。董事、监事、经理及其他高级管理人员应当在企业文化建设中发挥主导作用。企业员工应当遵守员工行为守则，认真履行岗位职责。企业应当加强法制教育，增强董事、监事、经理及其他高级管理人员和员工的法制观念，严格依法决策、依法办事、依法监督，建立健全法律顾问制度和重大法律纠纷案件备案制度。
4、设计控制证据。为了企业文化制度能够有效实施，需要制定必要的表单，作为企业文化制度的附件，为企业文化过程留下控制证据。企业文化相关文件资料很多，包括企业发展愿景、价值观、文化规范、员工行为守则、企业文化沟通记录、员工文化教育和熏陶记录、企业文化评估报告等。
5、优化控制制度。企业需要建立一系列制度体系和机制保障，促进企业文化的作用得到有效发挥。企业文化控制制度不是独立建立一套新的制度，而是将内部控制思想嵌入到企业文化制度中去。企业文化制度应制定多少个，内容包括哪些，这因企业的不同而不同。
《五号应用指引》界定了企业文化的定义，描述了企业文化中的风险，明确了企业文化的建设、企业文化的评估方面的控制措施，对优化企业文化制度具有重要意义。
6、绘制控制流程图。一般而言，企业文化内部控制流程图大多业务流程图，都没有标注企业文化风险点和控制点。中天恒3C框架主张绘制企业文化控制流程图要根据企业文化流程、风险点、控制点及其相关的控制措施，结合具体单位的实际情况来绘制。特别要强调的是应把企业文化内部控制流程和企业文化流程整合在一起，并在图上标示风险点和控制点。
7、编制控制矩阵。企业文化控制矩阵是对企业文化流程图中风险点、控制措施和控制证据等的详细说明与描述，是企业文化内部控制设计结果的集中体现，也是企业内部控制管理手册重要的组成部分，是上述工作的综合汇总。
