基于风险管理的中小企业内部控制问题研究

陶娅

【摘 要】 风险无处不在，无时不在，内部控制就是围绕如何使企业降低各种风险而展开的一系列控制活动，它能否有效贯彻执行关系到一个企业的生死存亡。文章正是基于这样的认识，以风险导向为视角，以内部控制信息披露为研究切入点，分析中小企业内部控制问题的原因，并从控制环境、风险评估、控制活动、信息与沟通及监督五个方面阐释了具体的措施。

【关键词】 风险； 中小企业； 内部控制

中图分类号：F275.1 文献标识码：A 文章编号：1004-5937（2015）23-0028-05

中小企业在我国的国民经济发展中发挥的作用越来越重要，成为创造GDP、维持社会稳定、解决就业、支持创新的重要力量。现阶段中国经济处于发展的新常态，表现出经济增长速度放缓、结构深度调整、政策逐步消化的特点，在宏观发展环境变化的情况下，中小企业如何顺应发展趋势、如何在日趋复杂的风险竞争环境中生存下来并且获得长远发展，是我们需要思考并探索的社会问题。其中，中小企业的内部控制是重要的影响因素，企业的各项活动都必须在内部控制规范下进行，如果没有完善健全的内部控制，中小企业的生存乃至发展就是空谈。

一、中小企业内部控制规范发展历程

我国的内部控制及其信息披露相关法规可以追溯至二十多年前。具体发展历程见图1。

二十多年的发展，企业内部控制规范经历了从无到有，从萌芽到成熟的阶段。《会计法》1985年颁布，经历了1993年、1999年的两次修订，从国家法律的高度对企业的内部会计监督制度包括职责权限、监督范围、处理规则、内部审计等方面作了规定；2000年12月中国证监会对上市的金融企业内部控制提出了特殊要求，重点披露完整性、合理性和有效性；2001年6月财政部颁布了《内部会计控制规范——基本规范（试行）》和一系列具体规范，重点是内部的会计控制；2006年和2007年开始实施的证券交易所《内控指引》，标志着我国内部控制信息进入强制性披露阶段；2008年6月的《企业内部控制基本规范》和2010年4月的《企业内部控制配套指引》的颁布说明我国的内部控制体系已经进入成熟发展阶段。

特别需要强调的是，在这个发展过程中，2007年12月深交所出台了《中小企业板上市公司内部审计工作指引》，从内控流程、风险评估、内控监督、评价标准等方面对中小企业的内部控制作了详细规定。

二、中小企业内部控制发展现状

我国的内部控制体系经历了从萌芽到成熟的发展阶段，在中小企业内部控制的流程、评估、效果等方面也有了相应规定，取得了一定成绩，但是中小企业由于规模小、发展不规范、自身抵御风险的能力较差，还存在内部控制制度不健全、控制意识较差、信息披露不全面等问题，很多中小企业在内部控制如何建立、完善方面还是感到无所适从，因此中小企业的内部控制实施效果大打折扣。在这样的状况下，中小企业仍然面临着较大较多的各类风险，研究内部控制问题显得尤为迫切。

（一）研究对象概况及代表性说明

自1994年内蒙古第一家上市公司内蒙华电在上交所上市以来，截至目前内蒙古辖区内共有24家上市公司，其中20家在沪、深两市上市，4家在深市中小企业板和创业板上市。这4家分别为福瑞股份、东宝生物、金河生物、蒙草抗旱，直接融资达22.73亿元，计划进行中小企业私募债备案的公司有5家，预计融资11亿元。

截至2015年6月，国内中小企业板和创业板上市公司已达1 234家，总市值达19.67亿元，而内蒙古中小企业板和创业板上市公司仅有4家，占全国比例极小，差距较大。但是我们也不能忽视它巨大的发展潜力。在内蒙古大约15万家左右的中小企业中，规模以上中小工业企业约有4 127家，增加值占比64.9%，对内蒙古工业增长的贡献率为47.6%（截至2014年6月底数据）。由于地区优势，涌现出一批新能源、新材料和农牧业产业化龙头企业，是中小企业板和创业板市场十分欢迎的选择对象，比如东升庙矿业2013年在深交所中小板借壳上市、银基矿业于2014年在天津股权交易所挂牌等，这些企业为内蒙古中小企业在资本市场融资起到了带头示范作用。内蒙古的中小企业已经成为推动国民经济发展的一支重要力量。

在众多的中小企业中，笔者选择了在深市中小企业板和创业板上市的四家中小上市公司作为研究对象，分析研究其内部控制信息披露状况。由于它们具备健康有活力的资产、优良的资本结构和公司治理结构、良好的发展业绩等优势而走在了众多中小企业的前列，成为了内蒙古中小企业发展的榜样，因此，研究这四家中小企业上市公司的内部控制信息披露状况，具有一定的代表性。由于四家上市公司的上市时间在2010—2012年，因此本文研究的时间范围是2013—2015年。四家公司基本情况见表1。

（二）内部控制信息披露状况分析

1.总体情况

本文选取的4家样本公司都对内部控制信息进行了披露（表2）。

2.内部控制信息披露载体

（1）董事会报告

从2013—2015年，董事会报告是公司内部控制信息披露的重要场地，从董事会报告中可以大体了解到公司内部控制信息的框架和基本设置。选取的四家样本公司在董事会报告中都会首先介绍我国内部控制信息披露的会计政策与原则等，继而对本公司内部控制信息披露的方式、内部控制的基本设置以及本公司未来内部控制的设想作进一步介绍。

（2）公司治理结构

内部控制在企业发挥作用的首要条件是良好的内部治理结构。公司内部控制信息披露的重要载体是公司的治理结构，它是否高效、系统、先进，决定了公司内部控制信息披露的完整性、合理性和有效性。在2013—2015年研究期间，四家样本公司无一例外地从公司治理结构谈到公司内部控制制度。内部控制是有助于确保管理层的指令得到实施的政策和程序，而公司治理结构是内部控制制度的重要组成部分，样本公司在财务报告中都介绍了公司治理机制，内容包括治理结构的层次、薪酬计划、股权激励机制等，这样就对外披露了内部控制的实施主体、实施流程、风险评估、收益分配等具体信息。

（3）监事会报告

上市公司基本上都是在监事会报告的“监事会就有关事项发表独立意见”中专门设置“内部控制制度情况”披露相关意见。在分析的四家样本公司中，监事会对公司的内控制度信息没有作进一步的说明和指导。

（4）附件、内部控制自评报告和审计机构审核报告

通过对四家公司财务报告的研究，四家样本公司都在内部控制自评报告中对公司的内部控制信息作了进一步披露（表3），这也是报告使用者了解公司内部控制信息的另一个重要途径。以东宝公司2014年度为例，该公司在内部控制自评报告中介绍了本公司内部控制的方向以及目标和基本原则，紧接着进一步披露了公司的内部控制系统以及内部控制的执行情况。在这一部分披露中，详细介绍了公司运营过程中各环节的内部控制制度，包括货币资金管理制度、采购资料管理制度、生产管理制度、销售管理制度、筹资与投资管理制度以及关联交易制度等。这部分详细的内部控制信息披露为大家揭开公司运营的面纱，使大家了解到公司运营这趟列车向前行驶的制度根基所在。同样的，公司在自评报告中对进一步完善内部控制制度的措施及下年度的工作计划作出概述。

附件以及审计机构的审核报告对公司的内部控制涉及较少，一方面，源于审计报告大多出具无保留意见，这意味着公司的内部控制比较完善；另一方面，审计机构的审核报告如果对公司的内部控制给出意见，就说明这家公司在内部控制方面可能存在严重问题，才会使得审计机构单独质疑公司的内部控制。

3.内部控制信息披露组成要素

企业内部控制信息披露是一个完整且全面的系统，作为基本规范及其配套指引要求的一部分，企业应当记录、测试和评估内部控制的组成要素。

（1）内部控制环境

内部控制环境确定了公司的总体态度，是内部控制所有其他组成要素的基础。内部控制环境主要包括以下要素：公司治理结构、组织架构、对诚信和道德价值观念的沟通与落实、对胜任能力的重视、治理层的参与程度、管理层的理念及经营风格、职责和权限的分配等。

从表4可以看出，样本公司对内部控制环境的信息披露还是比较全面的，涉及内容较多，在公司治理结构、组织架构以及职责分配和管理层的理念及经营风格方面都进行了披露，并且都有详细而清晰的阐述。而对诚信和道德价值观念的沟通与落实、对胜任能力的重视、治理层的参与程度这三个方面都没有做到全部披露，还需要进一步改进和完善。此外，按照基本规范的要求，内部控制环境中应该披露的还有人力资源政策及程序、社会责任等。实际上，内部控制环境并不局限于某几个方面，而是泛指能推动公司内部控制建设和推广落实的所有方面，因此，样本公司虽然涉及内容较多，但是应该更加全面、完整地对控制环境进行披露。

（2）风险评估

为了有效执行内部控制，公司必须制定目标和了解实现目标所面临的风险，这个过程就是风险评估。在这四家样本公司中，关于风险评估这一方面的缺失与漏洞显而易见。在三年的考察期中，没有一家样本公司在对外披露的财务报告中进行风险评估内容的介绍。

（3）控制活动

控制活动是一系列政策和程序，为了确保管理层的指令得到实施，它涉及整个企业的所有层面，包括不相容职务分离控制、会计系统控制、授权审批控制、绩效考评控制等。样本公司都采取了一般性的、常规的控制措施，例如专职部门的设立，采购、生产、销售、核算方面的控制以及绩效控制等。尤其对会计系统的控制，在四家样本公司中，每一家都认识到它的重要性，对会计核算手段、方法以及资金周转、企业经营等方面都进行了会计披露，都注明了核算方法以及资金流向等内部控制流程。事实上，目前大多数企业尤其是中小企业仍在以会计系统控制代替企业内部控制。可以说，会计系统控制是企业内部控制的基础与核心。但是由于样本公司风险评估的缺失，而控制活动又具有一般普遍性，都是为了满足基本规范要求而设立的，因此使得控制活动的效果不尽如人意。

（4）信息与沟通

信息与沟通要素是一系列信息确认、获取和交流的系统，它同时渗透在内部控制的其他组成要素中，样本公司都没有对相关信息进行收集，也没有对包括保证信息安全的控制系统、授权交易的程序以及保管记录文件的系统等进行了解和关注，更没有对信息与沟通情况的评估。

（5）内部监督

内部监督是用来评估公司内部控制工作质量以及内部控制有效性持续的过程。它包括持续监督、独立评估或定期监督、缺陷报告。样本公司对内部控制的整体情况以及有效性都有正面的描述和评价，而对监督过程中发现的内部控制缺陷没有涉及，也没有分析缺陷产生的性质和原因，更没有提出整改方案。

4.内部控制信息披露内容

根据我国会计准则以及信息披露的有关政策，上市公司信息披露一般包括以下几方面内容。

（1）内部控制实施情况；

（2）内部控制评价的范围、内容、程序、方法等；

（3）内部控制责任主体的声明；

（4）内部控制评价的依据；

（5）内部控制重大缺陷及其认定情况；

（6）内部控制的“三性”，经济性、效果性、规范性。

从表5—表7看，样本公司对内部控制的框架进行了描述，对本公司内部控制信息的评价都是积极且正面的，极少涉及负面消息的评价；四家样本公司都对内部控制的“三性”进行了评价，但基本没有涉及内部控制的评价标准，且四家样本公司都在财务报告中对下一年度公司内部控制提出了愿景和期许，但是没有一家公司制定下一年度具体的改进完善措施。

通过对四家内蒙古中小企业板上市公司年报数据进行分析，发现2013—2015年这四家公司全部披露了内部控制相关信息，说明随着我国市场环境和相关法律法规的完善，企业对内部控制信息披露的意识不断增强，正在逐步改善内部控制信息披露的状况，但是也暴露出了许多问题和不足。比如，对内部控制缺乏正确认识，信息披露自愿性较差；信息披露的内容不全面，缺乏实质性内容；对内部控制的控制环境、控制活动披露情况最好，而对内部控制评价标准、监事会的相关信息以及风险评估、内部控制缺陷等重要内容的披露却不完善，甚至没有。

三、中小企业内部控制现状成因剖析

（一）中小企业整体发展层次不高，竞争力不强，内部控制水平低

内蒙古具有明显的经济资源型特征，多数中小企业都是依托自然资源的优势，70%以上的中小企业还属于分散化经营，没有形成产业集群，缺乏专业化分工和协作；90%以上的中小企业都集中在传统的劳动密集型行业，如有色金属加工业、农副产品加工业、煤炭开采等，规模小，产品档次偏低，精深加工产品、高附加值产品所占比重较低，自主创新能力较弱，更加缺乏持续创新能力。这些问题严重影响了企业的发展水平和竞争能力，制约了企业内部控制机制的有效运行。绝大多数中小企业并没有形成自己的企业文化，没有根据企业长远的战略目标发展需要，将内部控制的建设和企业文化、企业制度等很好地结合起来。

（二）中小企业严重短缺内部控制人才，管理理念落后，风险意识差

目前，内蒙古中小企业主要缺乏三类人才：一是具备丰富管理经验的职业经理人、高级管理人才；二是各类专业技术人才，尤其是熟练工、中高级技师；三是国际贸易人才。企业的内部控制涉及控制环境、风险评估、控制活动等因素，专业性较强，此类人才的缺乏必会影响内部控制的有效制定与执行。中小企业规模小，尤其在初创时期，体现出明显的家族制管理模式，优点较明显，但是在随后的扩大规模及发展壮大过程中，也暴露出了较多弊端，尤其是缺乏先进的现代管理理念，难以将内部控制、风险评估和企业发展联系起来，导致企业的发展出现起伏。

（三）缺乏适合中国国情、适合中小企业规模和产权性质的内部控制模式

我国的内部控制发展较多借鉴西方尤其是美国的控制框架和模式，且基本上都是适应于上市公司的，而我国的政治体制和经济体制都不同于西方，是政府主导型的市场经济体制，99%的企业又都是中小企业，这样就不能照搬西方国家的内部控制模式，要将我国的国情特点和内部控制结合起来，考虑政府、文化、区域、市场等不同情况，才能制定出适合中小企业发展规模以及产权性质的内部控制模式。

四、基于风险管理的中小企业内部控制措施解析

通过对内蒙古中小企业板上市公司内部控制信息披露进行分析，不难发现我国中小企业在内部控制方面还存在很多问题及不足，如何推动中小企业内部控制体系的完善，加强对中小企业内部控制实施有效性监督等是今后需要关注和努力的方向。近几年中小企业的发展，包括发展方向、发展模式等都受到了广泛的关注，国家、政府、社会公众都在关心并且支持中小企业的发展。那么，中小企业怎样才能实现健康、有序、可持续的发展呢？非常重要的一个因素就是要建立适合具有高度适应性的内部控制模式，避免内部控制的形式化、全能化、空洞化。

（一）优化内部控制环境，适应外部控制环境

内部控制的控制环境是其他组成要素的基础，应该包含内部环境和外部环境，是内外部环境的集合。在对中小企业进行内部控制制度设计时，不仅要关注企业的内部环境，比如中小企业的组织结构是否包含有授权和责任的关键领域以及建立适当的报告流程，董事会和审计委员会与管理者之间的独立性、行为的适当性，人力资源的政策及程序的合理性等，还要更加关注和重视企业的外部环境，特别是要重视政府和社会文化对企业内控的实际影响，将企业的内部控制嵌入到社会结构之中。只有这样，内部控制的制定与实施才能去掉形式化的外衣，才能与中国的社会结构和社会文化相适应。

内部控制环境是中小企业能够控制并加以影响的，因此，中小企业应该遵循实用性和科学性原则，通过不断优化自己的内部控制环境，致力于提高企业的价值，提高员工的工作能力，促进企业的可持续发展。外部控制环境是相对较宏观的，各种环境因素和风险因素是不可控的，因此中小企业只能根据自身状况主动适应它，才能在复杂多变的社会和经济环境中立于不败之地。

（二）强化风险评估

中小企业由于自身的发展规模较小，内部控制水平较低，与之而来的就是抗风险能力弱，而它们又时时处在千变万化的风险当中，那么，如何在风险来临时具备抵御风险的能力，避免企业陷于不利境地呢？就是企业必须提高风险评估的能力，努力使自己所处的风险等级降低。这就要求企业必须制定目标和了解实现目标所面临的风险，即设立目标、风险识别、风险控制。只有先将目标确定下来，才能做到有的放矢，针对目标确定的风险类别采取具体的措施管理风险。风险识别是一个循环往复的过程，包括对内外部环境中风险因素的识别，以及对重大风险的估计和对风险发生可能性的评估；在风险识别出来之后，根据重要程度确定应对风险的方法，进而实施风险控制。中小企业尤其要提高自身风险评估能力，建立常设的风险评估机构，提高其在企业中的地位，使它真正融入企业的管理之中。

（三）明确内控活动范围

内部控制活动是为了降低风险，有助于确保管理层的指令得到实施的政策和程序。它体现在整个企业的所有级别和职能部门中，包括不相容职务分离控制、批准授权控制、财产保护控制、业绩考核控制等。在企业的不同层面普遍执行控制活动，既确保了业务的贯彻执行，也使企业保持了实现目标的正确方向。中小企业在对内部控制活动进行设置时，应该明确“做什么”和“如何做”，将内部控制活动的范围进行细化，将整个企业都纳入内部控制的活动范畴，建立针对所有经营及财务活动的权限和权责分配以及报告关系和授权协议体系，争取做到问题的发现及解决在最快时间实现。

（四）建立有效的信息沟通

在信息时代下，中小企业也在逐步实现经济活动的信息化。相关信息的识别、掌握、沟通能够提高中小企业的经营效率，促进企业的长远发展。因此，中小企业应该构建良好的信息交流平台与顺畅的信息沟通系统，信息的传递与反馈能够顺利完成，这样整个企业才能实现及时有效的沟通。这是企业内部控制体系的重要组成部分，也是降低风险等级、控制风险因素的重要途径。

（五）构造良好的内部牵制和监督机制

内部控制经历了从内部牵制到监督的过程，它们之间相互交融、相互促进。内部牵制和监督是管理层采用的一种用来评估公司内部控制工作质量的持续过程。有效的内部控制实施离不开科学的牵制和监督机制，包括在公司日常经营过程中发生的持续监督、管理层定期对内部控制系统进行的独立评估或定期监督以及向相关管理人员和董事会上报的内部控制缺陷报告。从中小企业自身角度来说，内部控制应以内部牵制和监督为核心，要将经营、财务领域设计和应用内部牵制和监督机制，尽可能落到实处，不能流于形式，同时还要借助外部监控主体的力量进行有效监督。此外，随着我国独立审计事业的快速发展和注册会计师行业的逐步规范，独立审计服务中小企业管理已成为可能。

【参考文献】

[1] 李军训，秦静，李少莉.基于战略目标导向的中小企业内部控制问题研究[J].财会研究，2010（7）：59-61.

[2] 李心合.内部控制研究的困惑与思考[J].会计研究，2013（6）：54-61.

[3] 赵丽芳，祁祖仪.内部控制信息披露经济后果实证研究[J].财经理论研究，2013（5）：100-108.

[4] 王连英，闫龙，蒋鑫.内蒙古中小企业适应新常态转变方式谋发展[J/OL].正北方网http：//www.northnews，2014.

[5] 孙文娟.中小企业内部控制报告的披露效果研究[J].会计之友，2012（29）：88-93.

[6] 王素艳，毛文静.内蒙古中小企业集群发展的问题与对策：以呼包鄂经济圈为例[J].中小企业研究，2013（1）：90-92.

[7] 王琴.我国企业内部控制信息披露的发展历程[J].商业经济，2011（5）：37-38.