控制活动的趋同与创新

　　财政部、证监会、审计署、银监会、保监会联合发布的《企业内部控制基本规范》(以下简称“基本规范”)明确，科学界定控制活动是企业实施内部控制的具体措施。《基本规范》对于控制活动的界定，实现了国际趋同及创新。

　　控制活动定义的变迁及其具体内容的多样性

　　在国外，美国全国虚假财务报告委员会下属的发起人委员会(COSO)发布的《内部控制报告》将控制活动定义为，为确保管理层指示得以执行的政策和程序。它们有助于保证采取必要措施来管理风险以实现企业目标。
 

　　由COSO制定发布、方红星和王红编译的《企业风险管理———整合框架》明确，控制活动是帮助确保管理当局的风险应对得以实施的政策和程序，控制程序是指人们直接或通过对技术的应用来执行政策的行动。

　　在国内，《证券公司内部控制指引》明确，控制活动与措施是保证实现证券公司战略目标和经营目标的政策、程序，以及防范、化解风险的措施。

　　《中国注册会计师审计准则第1211号———了解被审计单位及其环境并评估重大错报风险》明确，控制活动是指有助于确保管理层的指令得以执行的政策和程序。

　　纵观以上国内外内部控制规范关于控制活动的描述，基本都将控制活动定义为政策和程序。《基本规范》中又将控制措施改为控制活动，并定义为控制活动是企业根据风险评估结果，采用相应的控制措施，将风险控制在可承受度之内。即，控制活动是企业根据风险评估情况综合采取的具体控制措施。由此看来，国内外内部控制规范关于控制活动的定义是从政策和程序到控制措施的过程。

　　同时，控制活动的具体内容或措施又是多种多样的。在国外，COSO内部控制报告指出，控制活动包括一系列不同的活动，如批准、授权、查证、核对、复核经营业绩、资产保护以及职责分工等。

　　在国内，《证券公司内部控制指引》明确，控制活动与措施主要包括证券公司经营与管理中的授权与审批、复核与查证、业务规程与操作程序、岗位权限与职责分工、相互独立与制衡、应急与预防等措施。

　　《中国注册会计师审计准则第1211号———了解被审计单位及其环境并评估重大错报风险》指出，控制活动包括与授权、业绩评价、信息处理、实物控制和职责分离等相关的活动。

　　《中央企业全面风险管理指引》明确，企业制定内控措施一般至少包括以下内容：建立内控岗位授权制度、建立内控报告制度、建立内控批准制度、建立内控责任制度、建立内控审计检查制度、建立内控考核评价制度、建立重大风险预警制度、建立健全以总法律顾问制度为核心的企业法律顾问制度、建立重要岗位权力制衡制度。
 

　　《基本规范》明确，控制措施一般包括不相容职务分离控制、授权审批控制、会计系统控制、财产保护控制、预算控制、运营分析控制、绩效考评控制等。
 

　　由此看来，国内外内部控制规范中关于控制活动的具体活动或措施是多种多样的。《基本规范》与COSO内部控制报告对控制活动中的具体活动或措施认识存在不一致的地方：COSO内部控制报告系列不同的活动有查证、核对、复核经营业绩，《基本规范》控制措施则包括会计系统控制、预算控制、运营分析控制、绩效考评控制等。

　　控制活动的类型及控制活动的全面性与特殊性

　　在国外，COSO内部控制报告明确，控制活动依据与之相关目标的性质可分为三类：经营性、财务报告、遵循性。虽然一些控制活动仅与某一方面有关，但是控制活动之间常常是相互联系的。根据情况的不同，一项特定的控制活动可能有助于实现企业不止一类的目标。因此，经营控制也可能有助于保证可靠的财务报告，财务报告控制也可能对遵循性目标产生影响。

　　COSO内部控制报告指出，有许多关于控制活动类型的不同描述被提出，包括防止性控制、检查性控制、手工控制、计算机控制和管理性控制等。控制活动可按照控制目标进行分类，如保证数据处理的完整性和准确性。

　　在国内，《基本规范》要求，企业应当结合风险评估结果，通过手工控制与自动控制、预防性控制与发现性控制相结合的方法，运用相应的控制措施，将风险控制在可承受度之内。
 

　　由此看来，《基本规范》将COSO内部控制报告中的防止性控制、检查性控制、手工控制、计算机控制和管理性控制等控制活动类型界定为通过手工控制与自动控制、预防性控制与发现性控制相结合的方法。

　　值得关注的是，COSO内部控制报告中明确，控制活动贯穿于企业的所有层次和部门。在风险评估的同时，管理层为了管理风险，应确定相应的行动并使之有效。被确定用于管理风险的行动也用于重点关注控制活动是否已经到位，以有助于确保正确、及时地执行这些行动。

　　《基本规范》也要求，企业应当结合风险评估结果，通过手工控制与自动控制、预防性控制与发现性控制相结合的方法，运用相应的控制措施，将风险控制在可承受度之内。
 

　　可见，COSO内部控制报告强调控制活动贯穿于企业的所有层次和部门，并与风险评估结合。《基本规范》要控制措施要结合风险评估结果，但没有贯穿于企业的所有层次和部门的明确要求。

　　笔者认为，控制活动和企业的作业活动或者经营是统一的，也就是企业生产经营活动本身也是控制活动，原因在于控制活动已经内植于经营过程之中，在企业中并不存在独立于生产经营管理活动之外的风险控制活动。

　　此外，由于企业的不同，控制活动也各不相同。
　　对此，COSO内部控制报告中明确，每个企业具有自身的一套目标和实施策略，因此在目标的结构和相关控制活动上存在不同。即使两个企业具有同一的目标和结构，其控制活动也会不同。

　　在国内，各主要规范所界定的控制活动或措施是不完全一样的，但《基本规范》没有明确企业的内部控制措施的不一致性。

　　与COSO内部控制报告相比，《基本规范》所特有的内容包括：企业应当根据内部控制目标，结合风险应对策略，综合运用控制措施，对各种业务和事项实施有效控制;企业应当建立重大风险预警机制和突发事件应急处理机制，明确风险预警标准，对可能发生的重大风险或突发事件，制定应急预案、明确责任人员、规范处置程序，确保突发事件得到及时妥善处理。

　　此外，《基本规范》具体控制措施具有实质性的规定。比如大中型企业应当设置总会计师。设置总会计师的企业，不得设置与其职权重叠的副职。