虽然大家都明白事后控制不如事中控制,事中控制又不如将问题在出现之前得到控制(事前控制)。但往往能够将问题在出现之前就解决的人却很难得到肯定,而那些事前不去防范,事后才想办法弥补的人却成了“救世英雄”。
本报记者 刘雅琼
中国财经报 2007-10-26 09:08:16
近日,在京举办的“现代企业内控与风险管理研讨会”,就目前国内外热切关注的如何建设企业内控与风险管理问题进行了探讨。
应邀嘉宾普华永道合伙人季瑞华表示,随着企业的日益发展,经营风险也随之扩大,内控与风险管理能力成为决定企业市场竞争力及经营管理水平高低的关键和核心。因此,对于企业来说,必须认清风险管理现状,构建体现全面风险管理的内部控制新机制,对风险进行全面有效管理。从2002年美国“萨班斯”的出台,到目前我国国资委、证监会、财政部相应的企业内控建设指引的出台,政府对于企业在内控与风险管理建设方面已经越来越重视,企业如何去做好内控与风险管理建设成为当前各企业最为重要和亟须解决的一个难题。
2006年底,中铝公司在年度内审报告中没有发现可能导致当年财务报告发生重大错报漏报的内部控制实质性漏洞,为管理层提交内部控制有效性报告提供了充分的依据。中国铝业内审总监戴锡宝表示,中铝之所以能够做到相对安全的企业内控和风险管理,很大程度上是依赖于公司实施的“404”项目。说到“404”项目,就必须要提到“404条款”和包含条款的《萨奥法案》。其中,针对企业内控管理的著名的第404条条款规定:上市公司管理层负责建立和维护有效内部控制体系;上市公司管理层于财政年度末对内部控制体系有效性进行评价。
404条款虽然内容简洁,只有这两个要求,但对企业和审计企业的会计师事务所而言,却意味着一场加强内部管理和外部监督的革命,意味着企业不仅承担建立和评估以往不需要认证的符合404条款要求的内部控制体系的责任,还要对这一过程和结果作出公开声明。这个声明在公司向美国证券监管机构递交年度财务报告时被要求一并递交。
在美国,404审计不通过的公司往往导致该类上市公司股票价格在被公布该消息后的3个月至半年内普遍平均下落5%。
中国铝业于2001年在美国纽约证券交易所上市,按照法规要求,必须在向美国证券市场监管机构报送2006年年报时,报送包含首席执行官和首席财务官声明、会计师事务所作出的404审计结论在内的审计师报告。
由于中铝的财务报表是合并总部和众多分、子公司的报表的,反映了中铝作为一个经营集团的业绩。因此,建立有效内控体系和进行有效自我评估的工作必将落实到有关总部、分、子公司内部。中铝公司将如何落实404条款的工作称为“404项目”。
中国铝业内审总监戴锡宝详细介绍了“404项目”的内容,中铝公司在公司层面、业务、财务流程层面和信息系统总体层面三个层面上建立有效内部控制体系,并编制评估文档体系。
戴锡宝说,公司层面控制的有效意味着这些准则和制度在总部、分、子公司的日常运作中被有效地制订、宣传、理解、遵从、记录、监督和报告。公司层面控制的有效自我评估则意味着整个制订、宣传、理解、遵从、记录、监督和报告过程首先在公司自己编制的一个有组织的文档体系中被反映,同时伴有被随机抽取的样本及其测试结果的记录,以证明上述过程的真实性和有效性。该套文档也要供审计师作为404审计工作对象加以审核和出具意见。
正是因为有了严格的规矩、流程,中铝公司的审计才能得出令人满意的结果。
那对于一般企业来说,应该从何处入手,建立自己的内控和风险管理呢?
有专家认为,将企业内控落实在日常管理中,就需要时时处处得以体现,而利用IT手段进行管理是将内部控制落到实处的硬性保证。慧点科技开发有限公司的业界专家韩旭军表示,通过IT化管理在企业内部打造知识共享平台,持续培育和改善企业内控环境及风险文化,是将企业内控成功经验固化的最佳方法。利用IT手段进行内控,不仅可以在协同的工作环境内大大提高效率,而且能够保证企业在实施内控时做到忙而不乱、统一规范。
韩旭军说,利用IT化管理,首先符合我国有关的法律政策规定。其次能够将内控和风险管理融入企业的日常经营当中,降低不确定因素对目标实现的影响,提高执行的效力。再次还能够将风险管理融入企业战略和目标制定中,通过风险管理增加利润,优化内部资源分配和投资决策。
北京大学光华管理学院王立彦教授也为一般企业的内控和风险管理给出了自己的建议。他首先引用《论语》中《扁鹊与齐桓公》的故事:扁鹊在三个兄弟中医术最低,却最有名气。因为大哥在病人发病前就将疾病治好了,因此没有人觉得大哥医术高明;二哥善于在病发初期将疾病治好,别人往往觉得因为疾病不严重才容易医治;而扁鹊只能在疾病症状较严重时才能判断用药将疾病治好,但却因为经常是救人于危难,却成为了天下闻名的“神医”。
王教授表示,企业实施内部控制也是一样的道理,虽然大家都明白事后控制不如事中控制,事中控制又不如将问题在出现之前得到控制(事前控制)。但往往能够将问题在出现之前就解决的人却很难得到肯定,而那些事前不去防范,事后才想办法弥补的人却成了“救世英雄”。
王立彦说,很多企业的经营者都容易忽略企业管理的事前控制,其实企业内部控制做得好不好,应该看企业是否能够长期稳定的运行。很少出现问题的企业就是内部控制做得好的企业。
美国萨班斯法案出台后,我国的相关法规也多了起来,首先从财政部发起成立了企业内部控制标准委员会,随后,证监会、国资委和中央银行也出台了相关的法规。王立彦说,从长远来看,监管企业内部控制体系将更加趋紧