本文副标题：在企业内部控制规范联合培训班上的讲话
7月19日，财政部和证监会联合举办境内外上市公司董事长、总经理、董秘和内控工作负责人内控规范培训班，并联合《中国会计报》、中国会计学会等单位举办“中国企业内控论坛”，这既是一次高层次的法规和业务研讨培训，也是一项维护资本市场健康发展的重要举措。
借此机会，我和大家分享一些对内控规范的认识。
一、何为内部控制
国内外学术界曾给内部控制下过各式各样的定义，从突出内部牵制、到偏向会计控制、再到强调风险控制，各有侧重，不一而足。目前，国际上较为公认的定义为：“内部控制是由企业董事会、监事会、经理层和全体员工共同实施的、旨在实现控制目标的过程”。这一概念看似简明易懂，实则大有学问。作为企业领导，了解内部控制的本质，我认为还应着重在其内涵的引申和外延的拓展上下功夫。
在内涵上，需要着重认识“控制”二字。“控制”一词最初常见于工程学科，意指“掌握住对象不使其任意活动或超出范围”，后来拓展应用于管理学科，表示“判定组织是否正朝着既定的目标健康地向前发展，并在必要时采取矫正措施”，因此逐步衍生出一个基本假定，即：两个或两个以上的人同时做一件事，比一个人独自做一件事出错和作弊的可能性大大减少。也就是说，企业要实现有效控制，就必须尽量确保各项管理行为和业务活动相互制约。因此，只有认识和掌握这一基本假定，才能真正理解内部控制的内涵，才会明白为什么我们的基本规范和配套指引一再突出强调“职责分离”和“岗位授权”的重要性。
在外延上，需要科学解读“内部”二字。有人认为内部控制就是企业“内部”的事，不涉及外部相关方，这种理解具有片面性或至少不全面。正确的理解是：“内部”不单是指企业内部独立流程，还包括企业与股东、投资者、债权人、供应商、客户、政府监管部门等外部利益相关者之间发生的内外衔接流程。也就是说，有效的内部控制不仅帮助企业解决自身问题，还有助于改善企业与外部相关方的关系。我们的配套指引中有一项社会责任指引，就是定位于解决内外关系的控制问题；还有一项业务外包指引，主要解决内外衔接流程的控制问题。此外，还有若干应用指引也着力对此作了规范。所以，现代内部控制已经发展成为一个全面、动态、复合、开放的概念。
基于上述理念，自2006年7月开始，财政部会同证监会、审计署、银监会、保监会、国资委成立中国企业内部控制标准委员会，耗时三年，对内部控制的理论与实务进行总结和提炼，最终以法规条文的形式发布了中国第一套完整的企业内部控制规范体系。这是企业微观层面提升风险防范水平、改进经营管理能力的重要平台，也是国家宏观层面调整经济结构、转变发展方式的重要抓手。对此，我们要深刻理解，统一思想、提高认识。
二、为何制定内控规范
有人可能会问，内部控制应是企业“修炼内功”的“家法家规”，为什么要政府部门出面制定统一的规范并要求企业必须执行呢？这个问题，可以从三个方面来理解：一是在经济全球化、公司股份化背景下，国家制定统一的内控制度安排并尽可能与国际通行做法趋同，是大势所趋；是保障股东利益特别是小股东利益，使资本市场健康、稳定、可持续发展的客观要求；是促进企业参与国际竞争，接受并自觉遵循虽各有特色但实质趋同的企业内控游戏规则，不断完善企业制度的客观要求；是国家行使社会管理职能的客观要求。美国国会2002年颁布《萨班斯法案》，就是一个典型例证。
二是就我国企业而言，更具有客观必要性。大家知道，自上个世纪末亚洲金融危机以来，我国财政、审计、证券监管、银行监管、保险监管和国资监管等部门已陆续和分别出台了不少有关内部控制的政策规定，为提高我国企业经营管理水平和风险防范能力做出了重要贡献。
但是，所在行业不同，进入的资本市场各异，使企业面临内部控制监管多头化的矛盾。以中石油为例。中石油作为在美上市企业，必须遵循《萨班斯法案》的要求；作为境内上市企业，必须符合证券监管部门和交易所对内部控制的规范要求；作为国有大型企业，又必须遵守国资监管部门的内部控制相关规定和财政部门有关内部会计控制的制度约束。
再比如中国银行，情形可能更为复杂，还需要考虑银行监管部门和保险监管部门的有关内部控制的政策规定。为此，财政部、证监会、审计署、银监会、保监会五部委联合发布实施一套“统一”的、与国际通行做法实质趋同的中国企业内部控制规范体系，对我国企业而言，不仅十分必要，而且非常迫切。有了统一的规范，可以有效缓解政出多门的现象；有了统一的规范，可以有效减轻企业的政策执行成本；有了统一的规范，可以有效防范国民经济的系统风险；有了统一的规范，可以使我们具备并加大与内部控制国际互认趋同谈判的砝码，进而为我国企业“走出去”、参与国际竞争创造良好的政策环境和技术条件。
三是国家统一的内部控制规范，从一定意义上讲就是国家标准。
它要求众多企业达到这个要求，引导企业更加重视和加强科学化、精细化管理，但它不仅不妨碍反而有助于优秀企业在此基础上制定和实施高于国家标准的、自己的内部控制标准。
三、为何学内控规范
诸位董事长、总经理是上市公司的当家人，各位董秘是企业的高级管理人员。为什么我部和证监会要组织大家集中学习内控规范体系呢？这是因为：第一，大家是内部控制的剧中人。现代内部控制不再只是组织（企业）高层对下的控制，而是对全员的控制。也就是说，一个组织的内部控制要“控”的，既有基层，更有高层。
它就像一张无形的“网”，布在组织的“面”上。从这个意义上讲，如果将内控建设看作是演一场戏，那么要演好这场戏，要求剧中的演员首先学习好、理解透“剧本”。这就更应注重内部控制规范的学习。惟有如此，演好企业内部控制建设这场“戏”才有基础和前提。
第二,大家是内部控制的责任人。贯彻内控规范是董事会和经理层的法定职责，也可以说是法定其要承担主要责任。以董事长为代表的董事会全体成员对内部控制的建立健全和有效实施负责；以总经理为代表的经理层负责组织领导企业内部控制的日常运行；董事会秘书负责与内部控制评价报告和审计报告相关的信息披露等重要事宜；内控负责人具体组织协调内部控制的建立实施及日常工作。这是基本规范、评价指引和审计指引的明确要求，也是内控规范体系的基本要领之一。在这一点上，大多数发达国家、市场经济国家有关内部控制的监管规定大都一致且十分明确。既然如此，要担当起责任、履行好职责，就更须带头学，充分发挥领导和示范作用。
第三，大家是内部控制的受益人。内部控制的最终目标是促进企业实现发展战略。内部控制的目标多元、范围广泛，其涉及的战略决策、组织重塑、规划运行、管理创新和流程再造等内容，是企业董事长、总经理和其他高级管理人员在日常管理实践中最为关心、最为重视的问题。了解和掌握这些内部控制规定，不仅可以确保决策的科学性和透明度，在某种程度上还可以对董事长和总经理的合法权益起到保护作用。从另一个角度看，企业发展了，竞争力增强了，从一定意义上看，大家还是最大的受益者。
四、如何学内控规范
基本规范、应用指引、评价指引和审计指引是一个庞大的体系，作为企业的当家人如何有针对性地最大限度地掌握自己应知应会的核心内容呢？我以为，在这个庞大的体系中，最基本也是最重要的当属基本规范。应用指引建立在基本规范基础之上，评价指引围绕基本规范和应用指引来展开，审计指引无论从企业层面还是从业务层面进行外部评价，仍然要以基础规范为基石。而基本规范中，除内部控制概念外，最核心的内容应是“五要素”，即内部环境、风险评估、控制活动、信息与沟通、内部监督。我体会，抓住了“内控五要素”就扭住了内部控制的“牛鼻子”。参加此次培训的企业属于境内外同时上市的企业，相对而言，在内部控制建设方面基础较好。
如果内部控制要进一步提升，依然要注重对“内控五要素”的深入理解和透彻把握。除此之外，各位企业当家人还要着力关注以下三个方面的差异：一是境内监管要求与境外监管要求的差异。由于法律环境、商业环境等方面存有差异，境内外市场监管要求自然难于统一。境内外同时上市的公司在实施企业内部控制规范时，对此应予特别关注。但是，境内外监管差异的存在，并不意味着企业在贯彻落实我国企业内部控制规范体系时另起炉灶，而是要在现有基础上进行优化和适当拓展，即：要从境外监管要求上市公司着重财务报告内部控制，逐步转向全方位内部控制，顺利实现从关注财务报告风险到全面风险管控的转变。这既是现代内部控制理念的真正体现，也是本次国际金融危机带给人们的重要启示。
二是普遍要求与行业特色的差异。现行内控规范体系的条款文本主要针对一般工商业企业的主要业务或事项，属于普遍要求。有些具备鲜明行业特色的境内外上市公司可能会问，这些要求对我都适用吗？这就涉及到了普遍要求和行业特色之间的差异问题。对于特殊行业企业，比如商业银行、保险公司、证券公司、信托公司、基金公司、期货公司等金融类企业，由于其经营业务特殊，涉及金融风险，与经济发展和金融安全关系重大，财政部、证监会、审计署、银监会、保监会等有关部门还将尽快研究制定这些特殊行业的控制指引，但这并不代表现有的规范要求对于上述金融企业就不重要了。正确的理解是：除业务特殊外，现有配套指引绝大多数规定对金融机构同样适用；基本规范的各项要求对金融类上市公司完全适用。为此，具有行业特色的企业在学习内控规范的过程中，要专心致志，领其要义，并努力做到举一反三、融会贯通。
三是内部评价与外部审计的差异。内部控制自我评价和外部审计评价是我国企业内部控制规范体系建设的两大制度层面。我国企业内部控制规范体系不仅关注财务报告内部控制问题，还关注与企业发展战略和经营效率、效果相关的控制问题。为此，内控规范要求企业内部控制自我评价必须以全面评价为基础，企业董事会和经理层需要对所有控制目标的实现情况进行综合评价。相对而言，内部控制外部审计的评价范围要窄一些，仅包含对财务报告内部控制有效性的审计，对其他控制目标的实现情况仅需描述说明，不需发表审计意见。大家在学习内控规范的过程中，应当关注内部评价和外部审计之间的差异，并分别加深对两者评价程序、评价方法、缺陷认定、报告途径的理解。千万不要仅以适应外部审计评价为满足。
五、如何贯彻内控规范
在企业内部控制配套指引发布会上，我提出过政府推动内控规范顺利实施的基本思路和主要措施，请大家认真落实。此次，再着重就境内外同时上市的公司领导层如何贯彻实施内部控制规范谈几点意见，供大家参考。
一是强化组织领导，自上而下推动。内控规范明确要求企业董事、监事、经理及其他高级管理人员在构建良好的内部环境过程中发挥主导作用。在座各位企业当家人，一定要进一步强化责任意识、法制意识和风险意识，亲身参与、大力支持内控规范的学习培训和贯彻执行，自愿担当起本单位内部控制建设的领路人。要从完善公司治理结构、建立健全审计委员会制度做起，要从规范战略决策程序、立足企业长远发展做起，要从培育优秀企业文化、打造企业核心品牌做起，真正将贯彻实施内控规范营造成为企业“高层基调”。与此同时，要及时将内控规范的精神实质和核心内容在全公司范围内予以下达，引起广大中层管理者和基层员工的重视，让内控规范的相关标准和要求真正发展成为企业“基层守则”。另外，大家肩负着先行试行的重要责任，更是希望大家能带个好头。
二是开展宣传培训，及时转变观念。现代意义上的内部控制在内涵和外延上都有了极大的拓展，内控规范的精神实质和核心内容与企业传统认识相比有了长足的发展，需要在座各位领导和企业全体员工及时转变观念、拓展视野、更新知识。在美上市公司执行《萨班斯法案》的实证研究表明，凡是未能通过内部控制有效性审计、存在内部控制缺陷的上市公司，大多与内部控制宣传培训不到位、组织成员对自身在内控体系建设的定位认识不足有着直接或间接的关系。境内外同时上市的公司应当充分利用下半年的准备期，采取集中研修、内部研讨、专题讲座、业务竞赛、专家咨询等各种行之有效的形式，进一步抓好针对公司全体员工的内部控制宣传培训工作。希望在座上市公司董事长和总经理及其他高级管理人员在培训结束后，能够主动承担起宣讲内控规范的任务，通过实际行动向全体员工传递重视内控、推广内控、主动内控的积极信息。
三是结合企业实际，制定操作规范。内控规范以原则为导向。如何将内部控制规范中的理念和原则与企业的治理结构、组织机构、业务流程、管理制度很好地衔接、融合，是真正落实好内部控制规范的关键。
在企业经营管理实践中，各行各业企业的情况千差万别，内外部因素十分复杂，这就要求各企业必须根据基本规范和相关配套指引的要求，结合企业经营特点和管理实际，建立健全适合本企业实际的操作规范。惟有如此，才能将贯彻实施内控规范真正落到实处。与此同时，内控规范的贯彻实施，对企业传统业务流程及与之相关的管理信息系统提出了新的要求，原有的管理软件、报告系统面临升级换代和更新维护的现实需求，希望大家继续重视这方面工作，夯实内控工作的信息基础。
执行中有何问题和建议，请及时与财政部及证监会联系。
四是重视人才培养，谋求长远发展。内控工作能不能做好、做久、做实，人才是关键。当前我国企业内控人才紧缺，严重制约着内控规范的顺利实施。财政部已经将内部控制纳入会计人员继续教育和高级会计师考试的范畴，与此同时，正在会同证监会等有关部门积极商讨未来一段时期如何继续加大内控知识培训力度和广度，着力打造高层次内控人才队伍。希望在座境内外同时上市的公司领导高度重视该项工作，将其作为关乎企业长远发展的一项重要举措来抓。
企业是市场经济的活跃因子，上市公司是资本市场的主要力量。
财政部愿意与证监会及有关部门一道，为上市公司的不断发展壮大提供全面全程的服务。让我们在学习掌握内控规范的过程中，开阔视野、解放思想、提高素质；在贯彻执行内控规范的过程中，开创企业与社会、企业与经济、企业与环境协调可持续发展的新局面，为维护我国资本市场和国民经济的健康稳定作出新的贡献！
