浅谈内部控制的基本理念

2010年4月26日，财政部等五部委联合发布了《企业内部控制配套指引》，其中包括共18项《企业内部控制应用指引》、《企业内部控制评价指引》和《企业内部控制审计指引》，并制定了实施时间表，自2012年1月1日起在上海、深圳证交所主板上市的公司实施，要求会计师事务所对企业财务报告内部控制的有效性进行审计，并出具审计意见。自此，企业建立并完善内部体系将不仅是内部发展的需求，更是外部监管对企业的要求。
内部控制究竟是什么？不熟悉财务和审计的人会表示难以理解如此抽象概念的内涵，其实内部控制的实质是管理，并且是以会计相关规范为基础，涉及到企业管理的各个层面，是一个复杂的系统工程。简而言之，就是“公司的管理是否妥当”，如果将《内部控制基本规范》中的理念通俗的理解，就是“对外证明你们的公司、你们的部门、你自己恰当的执行了日常管理”，当然，这个说法中的“对外”可以理解为客观的“第三方”，狭义上可以指外部审计师，也可以认为是公司的内部审计部门。然而，即便管理者认为自己已经有效的执行了管理流程，并能够掌控所负责的业务，也不等同很好的实施了内部控制，因为对于外部的评价者来讲，如果内部控制活动的实施无法取得相应的书面证据，是无法做出判断的。以上是对内部控制含义的简明解释，下面对内部控制的几个基本概念进行介绍。
 
·内部控制的方式——人工还是自动化
现今大多数企业出于管理效率的考虑，都会使用各种各样的信息技术。然而，即便信息技术得到了广泛使用，人工因素依然会存在于这些系统之中。通常来讲，小型或者生产经营流程较简单的企业，人工控制为主要的控制方式，对另外一些企业，可能就要更多的采取自动化的控制处理。那么究竟在什么情况下应采用自动化控制，什么情况下又该进行人工控制呢？
如果在处理大量的交易和数据时，流程本身有明确的业务规则，在处理的过程中涉及到大量计算，并且需要准确及时的获取结果时，应用自动化的信息技术能够提高工作和内部控制的效率和效果。比如在销售收款流程中，涉及到从接受订单、对客户的授信额度控制、根据销售政策确定价格，再到发出存货后的收入确认、开出发票和最后的收款，公司每天都会反复进行上述的销售流程，这时采用自动化加上流程节点人员的适当判断，就能够高效率的处理业务。
当在业务流程中出现了大额、异常或偶发的交易时，或者发生了难以防范的错误时，采用人工控制可能会更为合适。比如说在销售流程中价格的确认时，如何对价格中的商业折扣进行有效控制。通常的做法是需要对销售价格的折扣进行事前审批的，并且在相关的审批过程中需要有相应的负责人进行签字或者确认，这就是人工控制的较为典型的事项。不过在进行内部控制评价时还需要留意这种审批是否只是表面上的形式，并且还需要对发生的例外事项的处理进行关注。
·内部控制的性质——预防性控制还是检查性控制
什么是“复核”？
审计人员：“让我们把事前控制称为批准。”
业务员：“就是说事后批准是不可以的了？”
审计人员：“事后控制称为复核怎么样？”
业务员：“看清单和汇总表的倒还好，一件一件检查，似乎和‘复核’的含义不符啊。”
审计人员：“……”
上面的这个例子中提到了事前控制和事后控制，其实就是预防性控制和检查性控制，通常来讲我们在进行某一项业务流程时，提出相应的方案和申请，总是需要经过各个层级的人员审批通过，这些在业务执行前进行的审批流程就是预防性控制，或者说是事前控制；当业务活动完成以后，我们可能会继续提价相应的总结报告或者清单，相关的人员会对这些报告和清单进行检查和审核，这就是所谓的检查性控制，或者说是事后控制。
预防性和检查性的说法看似高深，其实简单说来就是事前和事后的区别。在内部控制评估和检查的过程中，明确定义并区分这些具体行为时很必要的。