COSO框架下小微企业加强内部控制建设研究

王沈桥 张楚

摘要：在“大众创业，万众创新”的号召下，大批小微企业如雨后春笋般遍地开花，成为了我国国民经济的重要基础，但在小微企业创立的浪潮下，却也出现一批小微企业倒闭退出市场，分析其原因，背后自身均存在内部控制方面的缺陷。现以COSO框架分析小微企业内部控制建设存在的问题，并提出优化内部环境;完善风险评估机制;规范控制活动;改善信息传递与沟通;健全监督机制等发展对策。

关键词：小微企业;内部控制;风险评估

中图分类号：F275.2    文献标识码：A

文章编号：1005-913X（2020）08-0147-03

一、概述

（一）小微企业内部控制概念

小微企业内部控制是指由其负责人及全体员工共同实施的，旨在实现控制目标的过程。小微企业内部控制的目标包括合理保证企业经营管理合法合规、资金资产安全和财务报告信息真实完整可靠。

（二）小微企业内部控制原则

1.风险导向原则。内部控制应当以防范风险为出发点，重点关注对实现内部控制目标造成重大影响的风险领域。

2.适应性原则。内部控制应当与企业发展阶段、经营规模、管理水平等相适应，并随着情况的变化及时加以调整。

3.实质重于形式原则。内部控制应当注重实际效果，而不局限于特定的表现形式和实现手段。

4.成本效益原则。内部控制应当权衡实施成本与预期效益，以合理的成本实现有效控制。

（三）COSO内部控制框架

COSO内部控制框架是于1992年9月由美国COSO委员会提出的内部控制纲领性文件《内部控制——整体框架》对内部控制进行高度概括，经过不断更新发展至今，仍是内部控制的里程碑。COSO内部控制五要素是保证企业内部控制发挥作用的基础，包含控制环境、风险评估、控制活动、信息与沟通和监控等五个要素。控制环境是企业执行内部控制的基础，主要由组织结构、人力资源、企业文化等要素构成，是内部控制建设的根基。风险评估是指企业在发展过程中，根据设定的目标对内外部风险的识别、分析和评估风险对企业产生的负面影响和不利后果，并及时采取适当的应对措施的过程。控制活动是指企业在风险评估之后，通过采取一系列的政策和程序来管控企业的经营管理，使风险控制在企业可承受的范围之内。信息与沟通是指企业应及时、准确收集、传递与内部控制相关的信息，确保信息在企业内部和外部实现有效沟通。监控是对企业内部控制设计与执行情况进行评估的过程，发现内部控制存在的缺陷并进行整改。

二、存在的问题

（一）治理结构不健全

小微企业规模较小，管理权集中，经常出现董事长和总经理的交叉任职，董事长一人大权独揽，管理者自身的素质及教育背景往往并不高，经营风格常常带有家族性色彩，其决策必然缺乏足够的科学性和合理性，监事会设置的形式意义大于实际意义，也并不能对董事会及其决策真正起到监督作用，缺乏相互间制约，治理结构的缺陷明显。管理者的个人意志凌驾于内部控制制度之上，企业组织结构没有完善的规划设计，对于员工的选聘与考核也缺乏规范的管理，员工胜任能力难以保障，而且在企业上层结构的管理下，集体舞弊的现象也时有发生，内部控制制度无法发挥实际作用。

（二）风险评估意識不足

小微企业发展起步较晚，对于内部控制的认识也是刚刚建立，并不了解内部控制对于企业经营发展的意义。小微企业对于风险评估常不能给予足够的重视，这也与企业目标设定不清存在直接关系，目标设定是风险评估的前提，小微企业很难对其未来的发展战略明确定位，进而也无法制定出业务层面相应的合规目标、经营目标、报告目标及资产安全目标，不能有效识别企业面临的内外部风险，对于风险可能带来的不利影响和负面后果的估计通常不足，对其自身的风险承受能力缺乏全面清晰的认识，部分小微企业的决策者考虑应对风险的短期成本较高，未能进行长远效益的筹划，无法采取有效的风险应对措施，员工风险防范能力较弱阻碍企业的长远发展，风险评估整体意识不足。

（三）控制活动不完善

小微企业常存在职权划分不清，员工无法清楚了解其承担的工作职责，没有明确的界定，同时由于规模及成本的限制，往往不能完全实现不相容职务的分离，一人担任多个岗位的情况比较常见，这就给企业内部人员串通舞弊、滥用职权留下了空间。小微企业授权控制不规范，授权范围并不能涵盖所有的经营活动，临时性授权的比重较大，缺乏清晰的授权批准层次，更不具备规范的授权批准程序。小微企业对预算的控制没有足够的重视，资金管理比较混乱，缺乏系统的计划。小微企业作业流程管控不严，信息化程度低，财产保护措施得不到有效执行，忽视内部报告控制及会计系统控制，并不能落实内部控制制度的要求，主观随意性高，对于国家相关优惠政策了解不充分，导致企业成本的增加。

（四）信息与沟通效率低

小微企业受人员配置不足的影响，一人身兼多职，工作任务负担重，常会出现信息传递不及时，方式相对单一，传递信息依赖于口述或微信等非正式沟通社交软件，企业例会制度不完善，不能通过正式沟通方式进行讨论，对于工作问题不能做到集思广益，而且小微企业管理层次较少，员工担心自己的绩效考核受到影响也不愿把对企业的真实想法反馈传递给上层，信息沟通不畅。同时，小微企业人员素质参差不齐，对于外部信息了解并不敏感，不能及时把握市场的最新动态，对于国家相关政策的理解程度难以得到保证，容易错失企业发展机遇。

（五）监督机制失效

小微企业的主要关注点在于如何获取利润，缺乏科学有效的内部监督机制，对员工工作表现的监督侧重于结果评价，而忽视过程监督，更缺少对于管理者的有效监督。企业监督制度的制定得不到有效的执行，监督制度流于形式，而且小微企业通常不聘请外部审计人员对企业定期开展监督工作，仅依赖于企业的自我监督，对于内部控制的建立与实施并不能起到真正的监督作用，很难发现企业存在的内部控制缺陷，也就无法提出相应的整改方案，内部控制的作用也被大打折扣。

三、发展对策

（一）优化内部环境

内部环境是小微企业内部控制发挥作用的基础，小微企业治理结构不完善也是内部环境存在的缺陷。优化小微企业的内部环境也应先从改善治理结构入手。完善治理结构，形成股东会、董事会、总经理间有效的制衡安排，监事会要形成对董事、经理及其他高级管理人员的有效监督。面对小微企业普遍不重视内部审计的问题，应在企业内部雇佣内部审计人员直接受监事会的领导，有条件的企业还可以聘请独立董事和外部审计机构，对企业人员的履职情况进行审计，定期将审计结果反馈给企业所有者，所有者收到审计人员的反馈后应积极回应，并针对其存在的内部控制缺陷制定适合的整改方案。小微企业内部机构也应根据自身的内部控制目标、经营规模及业务内容科学设置，形成各司其职、职责明确的组织安排。

（二）完善风险评估机制

完善风险评估机制将直接影响到小微企业的生存寿命，小微企业往往因为其自身抗风险能力差，又缺乏对自身风险偏好和风险容忍度的正确认识，不能以风险组合观看待风险，在风险来临之时，败下阵来。我国于2017年6月发布《小企业内部控制规范》强调进行风险评估对于小企业的意义，忽视风险评估、只顾眼前利益的小微企业无法实现可持续发展。小微企业完善风险评估机制，首先董事会应与员工进行有效沟通后制定适合企业发展的战略目标，并为其实现制定相应的战略规划和资金预算方案。同时建立负责风险评估工作的领导小组，提高对于风险评估的重视程度，如若小微企业自身人员素质满足不了风险管理的需要，可聘请外部专家提供技术支持，由风险管理小组人员选择适当的风险识别方法，对在企业经营过程中可能遇到的内外部风险进行全面评估，制定小微企业风险评估方法及标准，深入分析识别出的风险会对企业可能造成的负面影响并对影响程度进行划分，根据风险可能造成的负面影响和风险发生的可能性选择适当的风险应对措施进行风险管理，要注意的是小微企业不应只关注风险应对措施的眼前收益和成本，要充分评估其长远效益，根据风险的特征和可供选择的风险应对措施有效应对风险，将风险控制在企业风险承受能力范围之内。

（三）规范控制活动

小微企业在內部控制设计和执行方面，对于控制活动缺乏行之有效的政策和规范的程序。小微企业受到其企业规模和成本的限制，控制活动很难做到全面细致，但也应规范控制活动，提高内部控制执行的效果。小微企业的权责分工要明确，合理设置不相容岗位，确保不相容岗位不由同一人兼任，并合理界定业务申请、审核、执行、记录及监督的范围。小微企业应严格管理企业授权审批范围，制定明确的常规授权和临时性授权的业务范围，避免随意性主观授权，确保企业员工在其职责范围内行使权力。小微企业应进行资金预算，对企业的经营做好年度规划，加强财产保护控制，严格执行国家规定的统一的会计制度，明确会计业务的处理程序，聘请符合企业需要的会计人员或委托具有相应资质的的代账公司处理会计业务，加强单据控制和会计档案管理，严格落实责任人，保证财务报告的真实完整。具有条件的小微企业应选择适应其需要的信息系统辅助企业运营，并加强对信息系统的控制，提高企业经营效率和效果。小微企业应尽可能地建立适合企业具有自身鲜明特色的内部控制制度，以制度形式约束企业各项业务流程，保障内部控制效果。

（四）改善信息传递与沟通

面对小微企业在内部信息传递上不及时的问题，可以利用现在被广泛应用的钉钉等专业办公软件，实现信息高效传递的同时，实现资源的有效共享。小微企业在内部控制的实施过程中，可以采用适当灵活的信息沟通方式，有条件的企业可以采买OA办公系统完成数据的统计与处理，以实现小微企业内部管理层间、职能部门间，以及与外部投资者、债权人、客户和供应商等有关方面之间的信息畅通。同时，小微企业还应不断拓宽其沟通渠道，例如建立意见反馈信箱，鼓励员工发表对企业的真实想法和建议，并对员工反馈的意见予以重视，适当奖励建言献策的员工，也要保障反馈意见的员工权益不会受到影响。

（五）健全监督机制

小微企业本身受制于企业规模成本的限制，建立的内部控制制度很难做到全面，对内部控制的执行情况的监督也不能给予足够的重视，缺乏健全的监督制度约束和规范监督行为，其内部控制的作用便难以得到保证。小微企业在进行内部控制设计和执行后，应对内部控制设计和执行的健全性、合理性和有效性进行监督控制，根据企业需要健全其监督机制，坚持日常监督和专业监督相结合，选择具备内部控制监督胜任能力的人员履行监督职责。内部控制监督应做到自我监督和外部监督相结合的方式，内部控制执行人员要进行自我监督，具备条件的小微企业可以在企业内部设立内审部门或外包内部审计业务，从而提高内部控制监督的独立性和质量。同时为了保证内部控制监督能够有效进行，应将内部控制监督结果纳入绩效考核的范围，引起企业的重视，对监督发现的内部控制缺陷进行及时的整改。

四、结语

小微企业本身抗风险能力较差，要想实现企业的战略目标，更应对其内部控制予以全面的重视，从内部控制的控制环境、风险评估、控制活动、信息与沟通及监控五个方面出发，切实改善其内部控制的设计与执行，建立健全其内部控制制度，才能增强其应对风险的能力，从而提高其市场竞争力，实现企业快速、稳定、长远发展的目标。

参考文献：

[1] 徐 萍.小微企业内部控制的现状及改进措施[J].现代商业，2019（24）：121-122.

[2] 朱 姝.“双创”型小微企业内部控制建设问题初探[J].中国商论，2017（12）：102-103.

[责任编辑：庞 林]