控制活动设计实务

　　控制活动，是企业主体根据风险应对策略所采取的针对主体在实现其既定目标过程中可能遭遇到的风险而制定和实施的相关措施的过程，是实施有效内部控制的关键步骤。

　　企业主体通过采取适当的针对性措施控制风险，确保将剩余风险控制在可接受水平之内，有助于确保管理层命令得以执行。当然，企业在采取控制措施时，也要考虑机会的把握。

　　控制活动内容设计

　　控制活动内容，就是企业主体对风险进行控制所采取的措施。控制活动内容由具体的控制目的、控制岗位、控制内容、控制政策、控制程序、控制方法、控制方式、控制技术、控制工具等构成。企业主体采取控制风险措施，要考虑控制目的、谁来干、干什么、怎么干的问题。

　　笔者认为，控制措施一定要结合企业具体业务的特点与要求。控制活动内容并不能简单地界定为政策和程序，而更应该关注其适应性与操作性。

　　实际上，在实践中控制活动的内容是复杂多样的。控制措施因企业性质、业务规模、风险类别等的不同而不同。针对各类风险，企业应根据实际情况，重点考虑安全方针、资产的分类与控制、人员安全、物理与环境安全、通信与运作管理、访问控制、系统的开发与维护、业务持续性管理、符合性等方面的控制。

　　控制活动、控制措施的设计一定要和具体的企业实际相结合，与控制活动管理相融合，并嵌入到控制活动流程当中。控制活动总体的控制措施是重要的，但更重要的是针对关键控制点采取具体的控制措施。

　　控制活动的控制方法一般可以通过控制图来进行。控制图是用来分析和判断目标实施过程的变化、控制的稳定性、消除失调现象的一种重要工具。

　　《企业内部控制基本规范》(以下简称《基本规范》)指出，控制措施一般包括：不相容职务分离控制、授权审批控制、会计系统控制、财产保护控制、预算控制、运营分析控制和绩效考评控制等。基于《基本规范》的控制措施表见表一。

　　控制活动程序设计

　　控制活动程序，是企业主体实施风险控制的步骤与流程。控制活动程序的关键步骤包括：

　　建立风险控制文档。企业主体通过建立风险控制文档进行差异分析，查找现有控制的差距和不足，然后补充和完善现有控制措施，以达到防范风险的目的。同时，也为进一步补充、修订制度提供依据。风险控制文档用于确认、记录每个流程及每个步骤中存在的风险和已建立的控制，并与相应的制度和控制实施证据对应。
 

　　建立关键控制。关键控制，是在相关流程中影响力和控制力相对较强的一项或多项控制，其控制作用是必不可少和不可替代的。如果缺少该项控制，将很可能直接导致财务风险的产生。
 

　　企业在构建与实施控制活动内部控制过程中，要针对控制活动风险评估的结果，确定控制活动的一般控制点和关键控制点，并编制控制活动控制要点表。

　　一般而言，企业的活动大致可分为：管理活动、经营活动、财务活动、行政活动等。其内部控制的关键点至少包括：针对企业的每一项业务活动都有必要和恰当的政策和程序;已确定的控制行为得到恰当的执行。

　　制定控制程序文件。企业主体在建立风险控制文档的基础上，建立与控制相对应的程序文件和与控制相关的、有示范意义的控制证据。

　　根据变化的内外部环境调整控制措施，并完善相应的制度文件。随着经营活动外部环境和内部管理的变化，风险评估的结果也会不断更新，风险控制也随之发生变化。因此，内控部门每年定期组织相关部门对新增或变动的风险进行以下判断：是否有新增的业务活动;已有的控制活动是否有变化;这些控制活动中哪些是关键控制。然后将这些新增或变化后的控制活动记录在风险控制文档中，并根据识别出的关键控制对关键控制文档进行更新。

　　笔者认为，确定设计风险控制措施很重要，而实施过程中真正执行所确定的风险控制措施则更为重要。企业主体应根据风险的影响、管理的复杂性和其他因素的影响，设计出一套风险处理记录模式，对风险控制措施的执行情况进行适当程度的记录。

　　同时，企业主体应建立评估标准，对风险控制措施的执行情况进行评估。企业主体还应明确风险控制执行情况的责任人，并定期反馈风险控制的执行情况，向管理层报告所有风险控制失效的情况，以保证及时采取必要的措施以纠正风险控制失效。企业主体根据风险控制反馈情况信息，评估风险控制的执行效果，并及时进行修正。

　　控制活动方法设计

　　风险控制方法很多，因采取具体措施的不同而不同。我国《基本规范》将美国科索委员会(COSO)制定的《内部控制——整合框架》中的防止性控制、检查性控制、手工控制、计算机控制和管理性控制等控制活动类型界定为通过手工控制与自动控制、预防性控制与发现性控制相结合的方法。

　　基于COSO财务报告内部控制——较小型公众公司指南的控制活动原则、方法如表二。