「摘要」本文根據(jù)對亞新科集團內(nèi)控制度現(xiàn)場研究的頓悟，從現(xiàn)代企業(yè)實務出發(fā)，指出ＣＯＳＯ報告和巴塞爾委員會的有關(guān)文件對內(nèi)控制度只強調(diào)評價而忽略設(shè)計和執(zhí)行的缺陷，并對內(nèi)控制度概念予以補充和擴展。其新穎之處在于將“作業(yè)”及其相關(guān)概念（諸如作業(yè)管理、供應鏈、價值鏈、流程再造等相關(guān)管理方法和ＥＲＰ、ＣＩＭＳ、Ｉｎｔｅｒｎｅｔ、辦公室自動化等新興信息技術(shù)）引進到內(nèi)控制度，特別提出內(nèi)控制度是最優(yōu)化、最簡捷和最理性的作業(yè)標準或作業(yè)程序的觀點。其次，根據(jù)擴充的內(nèi)控概念，演繹出總體設(shè)計思路和單項設(shè)計思路。前者針對一個集團或子公司而言，其方法包括三維立體的靜態(tài)結(jié)構(gòu)、過程循環(huán)式的動態(tài)結(jié)構(gòu)和常規(guī) /非常規(guī)事件結(jié)構(gòu)；后者針對單個內(nèi)控項目而言，其設(shè)計方法包括按部門、按項目和按流程。

    一、引言

    過去幾年，我國會計以至整個管理領(lǐng)域?qū)?nèi)控制度的需求日益強烈。其根源并不是控制一詞所具有的“治人”與“治于人”的含義對人們的誘惑，而是在國外成功經(jīng)驗和慘痛教訓的刺激下，我國黨和政府機關(guān)、企業(yè)及其他各類營利或非營利組織越來越傾向于將內(nèi)控制度當作治本的手段，用來遏制領(lǐng)導干部貪污腐敗、堵塞國有企業(yè)資產(chǎn)流失的漏洞、規(guī)避企業(yè)及其他營利或非營利組織的經(jīng)營風險和制止虛假企業(yè)會計信息流入證券市場以至整個社會等等。國家有關(guān)部門、營利組織已經(jīng)制訂并實施與內(nèi)控制度相關(guān)的法規(guī)或政策：

    1986年財政部頒發(fā)《會計基礎(chǔ)工作規(guī)范》，其中對內(nèi)控制度作了明確規(guī)定；

    1999年全國人民代表大會通過新《會計法》，將內(nèi)控制度當作保障會計信息“真實和完整”的基本手段之一；

    2001年6月財政部發(fā)布《內(nèi)部會計控制———基本規(guī)范（試行）》和《內(nèi)部會計控制規(guī)范———貨幣資金（試行）》；

    2000年11月證監(jiān)會發(fā)布《公開發(fā)行證券公司信息披露編報規(guī)則》，要求公開發(fā)行證券的商業(yè)銀行、保險公司、證券公司應建立健全內(nèi)部控制制度，在招股說明書正文中專設(shè)一部分，用來說明其內(nèi)控制度的完整性、合理性和有效性；

    1997年1月中國注冊會計師協(xié)會實施《獨立審計具體準則第9號──內(nèi)部控制與審計風險》，以便于會計師事務所評估審計風險，提高審計效率，保證執(zhí)業(yè)質(zhì)量；

    1997年1月國家審計署實施《中華人民共和國國家審計基本準則》，其中將對內(nèi)控制度的測試當作“作業(yè)準則”予以規(guī)定；

    中紀委、中組部等近幾年也發(fā)布了一些相當于內(nèi)控制度的文件（如“收支兩條線”的規(guī)定）。

    營利組織特別是“三資”企業(yè)大多有一套成文的內(nèi)控制度。例如接受我們咨詢的亞新科集團（亞91洲戰(zhàn)略投資集團公司的簡稱），已經(jīng)建立起比較完備的內(nèi)控體系，按篇幅計算超過150萬字，其中還不包括質(zhì)量控制項目。

    不言而喻，我國內(nèi)控制制度建設(shè)已具備相當?shù)囊?guī)模，取得重要成果。但是，還必須清醒地看到：第一，黨和國家有關(guān)部門以及各類組織的相關(guān)文件中所謂的內(nèi)控制度在概念上并不統(tǒng)一；第二，我國還沒有形成內(nèi)部控制的整體框架（結(jié)構(gòu)、內(nèi)容和聯(lián)系）；第三，我國現(xiàn)存內(nèi)控制度只注重制度的文字編寫環(huán)節(jié)，嚴重忽略了如何執(zhí)行制度、判斷和報告制度執(zhí)行的狀況、矯正制度執(zhí)行的偏差等方面；第四，在內(nèi)控制度設(shè)計上明顯存在著各自為政、就事論事的傾向；第五，與西方國家相比還有很大的差距。

    我們認為，我國內(nèi)控制度之所以存在著這些缺陷，其原因就是我們尚未注意如何界定概念和理清設(shè)計思路的問題。本文由此立論，做一些初步探討，希望對彌補這些缺陷有所裨益。

    二、何謂內(nèi)控制度

    （一）西方人的界定內(nèi)控制度是外來語，英語為ＩｎｔｅｒｎａｌＣｏｎｔｒｏｌＳｙｓｔｅｍ。美國是內(nèi)控制度最發(fā)達的國家，像巴塞爾委員會這樣的國際性銀行組織對內(nèi)控制度也特別關(guān)注，發(fā)布過很多相關(guān)的、有價值的文件。在西方，內(nèi)控制度的概念具有歷史性，是逐漸發(fā)展和完善起來的。

    1 1934年美國《證券交易法》使用“內(nèi)部會計控制”的術(shù)語，作為根除“大危機”中虛假會計信息泛濫的根本措施之一。

    2 1949年，美國注冊會計師協(xié)會（ＡＩＣＰＡ）在一份特別報告中，首次將內(nèi)部控制界定為“一個企業(yè)為保護資產(chǎn)完整、保證會計數(shù)據(jù)的正確和可靠、提高經(jīng)營效率、貫徹管理部門既定決策，所制訂的政策、程序、方法和措施。”[1]按照這個定義，內(nèi)部控制一開始就突破了財務會計的范圍，包括了成本、預算等項內(nèi)容。

    3 1958年會計程序委員會發(fā)布《獨立審計人員評價內(nèi)部控制的范圍》的報告，其中將內(nèi)部控制分為內(nèi)部會計控制和內(nèi)部管理控制，[2]這就是人們所熟知的內(nèi)部控制制度“二分法”的由來。

    4 1986年最高審計機關(guān)國際組織（ＩＮＴＯＳＡＩ）在第12屆國際審計會議上發(fā)表《總聲明》，賦予內(nèi)部控制新的涵義，即“作為完整的財務和其他控制體系， 包括組織結(jié)構(gòu)、方法程序和內(nèi)部審計。它是由管理者根據(jù)總體目標而建立的，目的在于幫助企業(yè)的經(jīng)營活動合理化，具有經(jīng)濟性、效率性和效果性；保證管理決策的貫徹；維護資產(chǎn)和資源的安全；保證會計記錄的準確和完整，并提供及時、可靠的財務和管理信息。[3]”這個概念相當?shù)膶挿?，幾乎達到無所不包的地步。

    5 1988年ＡＩＣＰＡ發(fā)布《審計準則公告第55號》，將內(nèi)部控制界定為“為合理保證企業(yè)特定目標的實現(xiàn)而建立的各種政策和程序”，在結(jié)構(gòu)上由控制環(huán)境、會計制度和控制程序三個要素組成。

    6 1992年ＣＯＳＯ委員會①發(fā)布《內(nèi)部控制———整體框架》的報告，即著名的ＣＯＳＯ報告；1995年，ＡＩＣＰＡ又以《審計準則公告第78號》的形式發(fā)表。ＣＯＳＯ報告提出：“內(nèi)部控制是由企業(yè)董事會、經(jīng)理當局以及其他員工為達到財務報告的可靠性、經(jīng)營活動的效率和效果、相關(guān)法律法規(guī)的遵循等三個目標而提供合理保證的過程?！盵4]同時提出內(nèi)部控制包括控制環(huán)境、風險評估、控制活動、信息與溝通、監(jiān)控等五個相互聯(lián)系的要素。ＣＯＳＯ報告提出的這個由“三個目標”和“五個要素”組成的內(nèi)部控制的整體框架，得到公司董事會、管理當局、投資者、債權(quán)人、審計人員及專家學者的普遍認可，因而成為迄今最權(quán)威的內(nèi)部控制的概念。

    7 1997年巴塞爾委員會發(fā)布《銀行組織中內(nèi)控制度的框架》的報告，將ＣＯＳＯ報告提出的內(nèi)控制度的02①包括美國注冊會計師協(xié)會（ＡＩＣＰＡ）、美國會計學會（ＡＡＡ）、財務經(jīng)理協(xié)會（ＦＥＩ）、內(nèi)部審計協(xié)會（ＩＩＡ）、管理會計師協(xié)會（ＩＭＡ）整體框架成功地應用于銀行業(yè)，并演繹出適合銀行業(yè)但具有一定普遍性的十三條原則②。該報告實際上是對巴林銀行失控案例的積極反應，但同時也將內(nèi)控制度的范圍推廣到無以復加的地步。

    （二）我國的提法

    在我國，由誰在哪部文獻中首先使用內(nèi)部控制概念已無從查考，但在正式法規(guī)中首先有實際意義的使用似應確定為1986年財政部頒發(fā)的《會計基礎(chǔ)工作規(guī)范》。該規(guī)范只提到內(nèi)部會計控制，并定義為“單位為了提高會計信息質(zhì)量，保護資產(chǎn)的安全、完整，確保有關(guān)法律法規(guī)和規(guī)章制度的貫徹執(zhí)行等而制定和實施的一系列控制方法、措施和程序”。這個定義為嗣后財政部發(fā)布的其他內(nèi)控文件以及《會計法》所沿襲。值得注意的是，在這些文件及《會計法》中基本上將內(nèi)部會計控制當作會計監(jiān)督的一部分。實際上英語“Ｃｏｎｔｒｏｌｓ”作為名詞的復數(shù)形式可以翻譯成“監(jiān)督”，那么，“ＩｎｔｅｒｎａｌＣｏｎｔｒｏｌｓ”完全可以翻譯成 “內(nèi)部監(jiān)督”。

    中注協(xié)的內(nèi)控概念的外延比較寬泛，在其1997年實施的《獨立審計具體準則第九號———內(nèi)部控制與審計風險》中稱內(nèi)部控制為“被審計單位為了保證業(yè)務活動的有效進行，保護資產(chǎn)的安全和完整，防止、發(fā)現(xiàn)、糾正錯誤與舞弊，保證會計資料的真實、合法、完整而制定和實施的政策與程序”，“包括控制環(huán)境、會計制度和控制程序”。該定義是審計的概念，它明顯地套用了ＡＩＣＰＡ在1988年提出的內(nèi)控定義。

    證監(jiān)會、國家審計署、中組部、中紀委等部門的內(nèi)部控制概念與上述兩種大同小異，但似乎是“各有所司”：證監(jiān)會主要防范上市公司及金融、保險機構(gòu)的會計信息失真；國家審計署主要防范政府機關(guān)和國有事業(yè)單位資產(chǎn)流失和信息失真；中紀委和中組部主要防范領(lǐng)導干部貪污腐敗，諸如此類。

    很明顯，我國內(nèi)控制度的概念受西方影響很大，中注協(xié)的概念明顯地套用了ＡＩＣＰＡ在1988年提出的內(nèi)控定義。而財政部有意識地將有關(guān)文件限定在會計控制的范圍，除了行政權(quán)限的考慮之外，也表明我們對其他內(nèi)控制度及其與會計控制的關(guān)系的認識還不成熟。

    （三）我們的觀點

    我國內(nèi)控制度在概念上基本套用西方的。西方的內(nèi)控概念概括起來無非是上文所說的“三個目標”、“五個要素”、“十三條原則”。但是，西方內(nèi)控概念大多由實務界特別是審計和經(jīng)濟監(jiān)管組織所界定，因而描述性的多，對本質(zhì)的揭示不夠充分，同時以現(xiàn)成的內(nèi)控制度為前提，強調(diào)對內(nèi)控制度的評價，忽略了如何設(shè)計和執(zhí)行內(nèi)控制度③。對企業(yè)來說，這些被忽略的東西正是第一位的。我們認為，補充下列幾點十分重要：

    1 內(nèi)控制度首先是一種授權(quán)體系和責任體系。內(nèi)控制度發(fā)生在社會領(lǐng)域的各類組織中。在抽象的意義上，控制就是Ａ委托Ｂ按照Ａ的意圖將Ａ的事情辦好。這就是代理人說中的委托代理關(guān)系。委托過程實際上是授權(quán)和指派責任的過程。由于現(xiàn)代各類組織層級多、結(jié)構(gòu)復雜，因而在各類組織中，控制或者內(nèi)部控制所體現(xiàn)的委托代理關(guān)系實際上是一種授權(quán)體系和責任體系。責任源于授權(quán)，而授權(quán)必須解決兩個問題：（1）權(quán)利來源。為什么Ａ有委托Ｂ的權(quán)利？誰有可能是Ａ或Ｂ呢？在市場經(jīng)濟條件下，資本的權(quán)利、提供經(jīng)費的權(quán)利是控制權(quán)的基本來源之一。（2）權(quán)利的運作。如果Ｂ是若干人時，權(quán)利的運作就成了問題。西方人強調(diào)在高度透明的前提下，將同一權(quán)力下授給若干人，按照相互制衡、相互監(jiān)督的原則運作權(quán)利。東方人則強調(diào)當事人對相互之間的事務的直接介入，所謂“您中有我，我中有您”。Ａ對Ｂ的控制在小規(guī)模的組織中基本上是直接的，隨著組織規(guī)模的增大，控制的間接性越強，授權(quán)體系和責任體系越復雜。

    至于Ｂ為什么接受Ａ的委托，則是因為Ｂ受到個人利益的驅(qū)動，也就是Ｂ可以從接受Ａ的委托中得到好處。

    2 內(nèi)控制度是一種最優(yōu)化、最簡捷和最理性（合乎邏輯）的作業(yè)方式或作業(yè)標準。一個組織的運營過程是由一系列作業(yè)組成。所謂作業(yè)是指“具有特定目的的一個事件、一項任務或一件工作的基本單位”。作業(yè)是相對的概念，還可以說一項作業(yè)由若干任務組成，而若干項作業(yè)又可以組成一個流程。作業(yè)可以按照不同標志進行分類，其中最流行的是將作業(yè)分成與單位產(chǎn)出相關(guān)的作業(yè)、與產(chǎn)出批量相關(guān)的作業(yè)、與產(chǎn)出類別相關(guān)的作業(yè)、與基礎(chǔ)設(shè)施相關(guān)的作業(yè)。而與基礎(chǔ)設(shè)施相關(guān)的作業(yè)也稱為與組織相關(guān)的作業(yè)，并進一步分成結(jié)構(gòu)性作業(yè)和程序性作業(yè)。

    將作業(yè)概念引進到內(nèi)控制度，具有重大意義。依此為基礎(chǔ)，可以直接引進適時制（ＪＩＴ）、作業(yè)管理（ＡＢＭ）、作業(yè)鏈、價值鏈、供應鏈等最新的管理方法，使內(nèi)控制度成為優(yōu)化、簡捷和理性的作業(yè)標準。同時也表明內(nèi)控制度不僅“治病”，而且可以“保健”。

    將內(nèi)控制度當作作業(yè)標準，就可以按照控制論或管理控制的循環(huán)步驟，執(zhí)行內(nèi)控制度，實現(xiàn)內(nèi)控制度的目標。

    3 在外延上，內(nèi)部控制包括會計（財務）控制、管理控制、業(yè)務控制和法規(guī)執(zhí)行控制。會計（財務）控制的目標是保證財務報告的可靠性，管理控制的目標是保證管理目標即效率和效果的實現(xiàn)，法規(guī)執(zhí)行控制的目標是保證法規(guī)的貫徹執(zhí)行。這三個目標與ＣＯＳＯ報告完全一致。那么，我們?yōu)槭裁从衷黾右豁棙I(yè)務控制呢？一個重要的原因是會計控制的對象為貨幣以及與貨幣有關(guān)的物，管理控制的對象為人，業(yè)務控制的對象為物。業(yè)務控制與會計控制或管理控制可能重疊，但會計控制或管理控制都不能完全涵蓋業(yè)務控制。此外，法規(guī)執(zhí)行控制是其他三項控制的前提條件。

    4 內(nèi)部控制是衡量組織風險的基礎(chǔ)。內(nèi)控制度是一種標準，而風險就是對標準的偏離程度。對一個組織來說，將內(nèi)控制度設(shè)計的越符合實際，該組織的風險越小。

    三、內(nèi)部控制制度總體設(shè)計研究

    內(nèi)控制度的概念的目的在于為內(nèi)控制度的設(shè)計提供理論指導。

    現(xiàn)代企業(yè)的內(nèi)控制度是一個體系。所謂體系是指一個有結(jié)構(gòu)或由若干因素組成的整體。因此，我們將內(nèi)控制度的設(shè)計分成總體設(shè)計和單項設(shè)計。前者說明一個現(xiàn)代企業(yè)的內(nèi)控制度的整體結(jié)構(gòu)或組成要素的設(shè)計，后者說明構(gòu)成該整體結(jié)構(gòu)中的每個要素內(nèi)容的設(shè)計。我們認為，內(nèi)控制度的整體設(shè)計可采用三條思路：

    （一）三維立體的靜態(tài)結(jié)構(gòu)

    一個現(xiàn)代企業(yè)的內(nèi)控制度在總體上應該是組織、項目和流程三個方面的綜合，具有三維立體性。

    1 關(guān)于項目維度所謂項目，是指內(nèi)控制度的基本單位。亞新科集團除質(zhì)量控制外，還有88個內(nèi)控項目，諸如人事招聘、危機處理、合同管理、工廠消防、成本控制、財務預算與預測、采購計劃、員工績效評估等等。

    那么，如何確定內(nèi)控制度項目的數(shù)量呢？由于任何兩家企業(yè)、任何兩位企業(yè)經(jīng)理總是存在著或多或少的差別，因此，不同企業(yè)、同一企業(yè)的不同經(jīng)理在項目數(shù)量上可能有不同選擇。但是，下列幾方面必須充分考慮：（1）企業(yè)愿景、戰(zhàn)略和經(jīng)營目標的要求；（2）管理的“粗細”；（3）體現(xiàn)ＣＯＳＯ報告的總體框架；（4） 涵蓋會計控制、管理控制、業(yè)務控制和法規(guī)執(zhí)行控制。此外，設(shè)計內(nèi)控制度項目數(shù)量時，可參照組織的供應鏈來進行。例如，對制造企業(yè)來說，供應鏈可從顧客開始，由研究開發(fā)、設(shè)計、制造、營銷、配運、顧客服務等組成。供應鏈可以轉(zhuǎn)化為流程，如下文所述，流程又可分解為作業(yè)和任務。以此為基礎(chǔ)便可確定內(nèi)控制度的數(shù)量。

    其次，所有內(nèi)控制度項目是不是可以等量齊觀呢？答案是否定的。它取決于相對誰來設(shè)計內(nèi)控制度項目。對證監(jiān)會、中注協(xié)和注冊會計師，會計控制可能最重要；對企業(yè)總經(jīng)理，管理控制和主營業(yè)務控制可能最重要；而對車間主任，業(yè)務控制可能最重要，諸如此類，不一而足。另外，有些項目執(zhí)行的結(jié)果是可以計量的，例如預算控制、成本控制等；而另一些項目的執(zhí)行結(jié)果，則屬于非定量的或不能直接定量的，例如危機處理等。值得注意的是，預算控制、成本控制對任何組織來說都應該放在首位。

    2 關(guān)于組織維度

    所謂組織，在這里是指具有共同行動目標的人類群體?，F(xiàn)代企業(yè)是一個組織。它可以被分成高層、中層、基層和現(xiàn)場四個層級，每個層級由若干單位組成、每個單位有若干成員。按照ＣＯＳＯ報告的思想，每個層級每個單位每個成員都與內(nèi)控制度相關(guān)，應該參與內(nèi)控活動。從組織維度設(shè)計內(nèi)控制度，需要考慮企業(yè)的控制目標、控制環(huán)境和控制方式，進而確定企業(yè)的管理跨度與管理層級、企業(yè)是實行集權(quán)制還是分權(quán)制，并建立使組織得以運行的保證———經(jīng)濟責任制度和崗位職責制度。組織維度設(shè)計得好，可以營造良好的內(nèi)控環(huán)境。

    3 關(guān)于流程維度

    所謂流程，是指企業(yè)經(jīng)營過程的一個階段，由若干項作業(yè)組成，而作業(yè)由若干項任務組成。在典型的制造業(yè)中，其經(jīng)營過程有研究開發(fā)、設(shè)計、制造、營銷、配運和售后服務等項流程。每項流程，例如制造流程，包括材料入庫、材料存儲、材料搬運、加工、半成品搬運、加工、成品入庫存儲、成品包裝發(fā)運等項作業(yè)。而每項作業(yè)，例如材料入庫，包括卸載、驗收、盤點、移動、擺放、記錄等項任務。特別重要的是，任務是由組織成員完成的，授權(quán)和責任在這里可以體現(xiàn)出來。在流程維度設(shè)計中，就是遵循著這種相對的“流程—作業(yè)—任務”三個因素之間的依次關(guān)系進行。

    4 項目、組織和流程之間的關(guān)系

    簡單說來，每個項目都是通過組織的層級、單位和成員按照一定的流程、作業(yè)和任務的要求來完成的；從流程、作業(yè)到任務，由于任務由人或組織成員來完成，因此，完成任務的成員組成單位、單位構(gòu)成層級，從流程維度很自然地過渡到組織維度。換句話說，一個內(nèi)控制度項目是由組織和流程組成，是一個二維體系，當企業(yè)存在多個項目時，就可形成由組織、流程和項目組成的三維立體框架（見圖1）。

    （二）過程循環(huán)的動態(tài)結(jié)構(gòu)

    應該指出，現(xiàn)行內(nèi)控制度設(shè)計上一個嚴重的缺陷就是沒有將內(nèi)控制度與公司總經(jīng)理（ＣＥＯ）聯(lián)系起來。ＣＯＳＯ報告和巴塞爾委員會的報告特別強調(diào)了這一點，但在操作層面上，很多人仍然在進行會計控

    制，并當作財務部門“自娛自樂”節(jié)目。另一個缺陷在上文已經(jīng)指出，即在設(shè)計內(nèi)控制度時，很少有人站在企業(yè)立場上考慮如何執(zhí)行內(nèi)控制度、實現(xiàn)內(nèi)控制度的目標的問題。我們認為，在動態(tài)上，內(nèi)控制度不僅包括制定，而且包括執(zhí)行，對執(zhí)行情況的計量或測試、對計量或測試結(jié)果的分析和報告，根據(jù)偏差進行整改（包括預先設(shè)定獎懲制度和整改方案，修訂內(nèi)控制度）等。這是一個完整的動態(tài)結(jié)構(gòu)或系統(tǒng)，可由圖2表示。

    圖2：內(nèi)控制度過程循環(huán)的動態(tài)結(jié)構(gòu)圖

    根據(jù)圖2提供的思路，在設(shè)計內(nèi)控制度時可以作如下考慮：1 與上述相同，內(nèi)控制度的設(shè)計首先考慮企業(yè)的愿景、戰(zhàn)略和目標。據(jù)此設(shè)計好內(nèi)控制度之后，便是內(nèi)控制度的執(zhí)行。但對控制者來說，最重要的不是他去執(zhí)行內(nèi)控制度，而是保證執(zhí)行者實現(xiàn)內(nèi)控制度的目標。

    2 實現(xiàn)內(nèi)控目標的第一步是對內(nèi)控制度執(zhí)行情況進行計量或測試。誠如上述，全部內(nèi)控制度的項目可以分成執(zhí)行結(jié)果可計量和不可計量的兩類。對可計量的內(nèi)控制度執(zhí)行情況的計量通常由會計核算、結(jié)算和統(tǒng)計等途徑取得，例如預算執(zhí)行結(jié)果就可以從會計核算的結(jié)果得到。對不可計量的內(nèi)控制度執(zhí)行情況的計量通常由測試表來取得，例如對公司印鑒使用控制制度的測試就必須按照該制度的要求設(shè)計問卷調(diào)查表，來了解該制度的執(zhí)行情況。應該說，一項內(nèi)控制度的執(zhí)行情況往往可計量部分和不可計量部分并存。在這里，我們統(tǒng)統(tǒng)用測試表來表示對內(nèi)控制度執(zhí)行情況的計量或測試。

    就操作層面而言，一家企業(yè)內(nèi)控制度的測試可以分成綜合測試和單項測試。前者是對全部內(nèi)控制度項目的測試，在現(xiàn)代企業(yè)中這主要是集團公司總部對子公司或二級經(jīng)營單位內(nèi)控制度的總體執(zhí)行情況的測試，其測試表的結(jié)構(gòu)按照ＣＯＳＯ報告的整體框架設(shè)計；后者是對一個內(nèi)控制度項目或一個相關(guān)的單位的測試，其測試表的結(jié)構(gòu)也是按照ＣＯＳＯ報告的整體框架設(shè)計。

    3 實現(xiàn)內(nèi)控目標的第二步是將內(nèi)控制度執(zhí)行情況計量或測試的結(jié)果與內(nèi)控制度進行比較，然后做出項判斷：

    （1）測試結(jié)果是否與內(nèi)控制度相符？如果相符，控制者不做任何干預，由執(zhí)行者或被控者照常繼續(xù)執(zhí)行；如果不相符，則過渡到下一個判斷。

    （2）偏差是否可以接受？如果可以接受，控制者不做任何干預，由執(zhí)行者或被控者照常繼續(xù)執(zhí)行；如果不可接受，則過渡到下一個判斷。

    （3）內(nèi)控制度是否符合實際？如果符合，偏差則導源于執(zhí)行者，應進一步分析偏差的原因，擬定糾偏措施，并向控制者提供測試報告，控制者依據(jù)測試報告采取糾偏行動，干預執(zhí)行者的執(zhí)行過程。如果不相符，偏差則導源于內(nèi)控制度，控制者則應采取修正或補充內(nèi)控制度的行動。為了形象理解控制者糾偏的過程，顯現(xiàn)控制的地位，我們用圖3予以說明。

    4 內(nèi)控制度執(zhí)行情況的測試報告作為一種媒介，將控制者和執(zhí)行者、總經(jīng)理的監(jiān)督和下屬的現(xiàn)場運作巧妙地連接起來，其重要性是不言而喻的。有兩個問題在設(shè)計時要特別注意：

    （1）測試報告至少分成兩種：一是對測試結(jié)果的匯總和詳細分析，稱為明細報告，留在內(nèi)控部門備查；二是在明細報告基礎(chǔ)上編制的報告，稱為簡式報告，要定期報告給總經(jīng)理。

    （2）測試報告結(jié)構(gòu)應該與測試表保持一致，也就是ＣＯＳＯ報告的整體框架。其中應就每個要素進行評估，特別說明造成制度與制度執(zhí)行情況之間偏差的動因。

    5 控制者依據(jù)測試報告采取糾偏行動有兩種含義：

    （1）直接干預，即控制者直接和強制性地要求執(zhí)行者用控制者指定的行動方式取代原有的行動方式。例如規(guī)定用辦公室電話打長途必須登記，但因執(zhí)行不嚴，致使電話費上升。其矯正措施可能是將電話上鎖，鑰匙由專人保管，強制性地讓打長途的人進行登記。

    （2）間接干預，即控制者制定和堅持一套行之有效的激勵制度，通過激勵制度“準自動化”地矯正執(zhí)行者的行為。仍以電話費為例，控制者可以規(guī)定該辦公室長途電話費超過100元部分由辦公室成員承擔50%.除非辦公室成員不喜歡錢，不然，他肯定會自動調(diào)整自己的行為。

    （三）以企業(yè)經(jīng)營活動事件的常規(guī)性、非常規(guī)性和混合性為基礎(chǔ)的結(jié)構(gòu)

    在一定意義上，企業(yè)經(jīng)營活動是由一系列事件組成，按照性質(zhì)這些事件可區(qū)分為常規(guī)性的、非常規(guī)性的和混合性的三類（見圖4）。另一種表述是：確定條件下發(fā)生的、不確定條件下發(fā)生的和混合條件下發(fā)生的。

    據(jù)此，我們可發(fā)現(xiàn)內(nèi)控制度設(shè)計的另外一些思路：

    1 在嚴格意義上，人們能夠控制的只是常規(guī)性事件，所謂內(nèi)控制度也只是相對常規(guī)性事件而言，人們無法為那些非常規(guī)性事件設(shè)計內(nèi)控制度。

    2 在設(shè)計內(nèi)控制度時，并非不考慮非常規(guī)事件。因為非常規(guī)事件發(fā)生在內(nèi)控制度控制的范圍之外，屬于企業(yè)風險，執(zhí)行者往往利用這些事件的發(fā)生采取有利于自己而不利于控制者的行動。對此，至少應采取兩種方法予以防范：

    （1）設(shè)計非常規(guī)性事件的處理原則。應該注意，盡管人們無法預見非常規(guī)事件在何時何地以何種方式發(fā)生，但憑經(jīng)驗和理性可以知道可能發(fā)生的非常規(guī)性事件的類型。例如在企業(yè)中可能發(fā)生產(chǎn)品質(zhì)量、環(huán)保事故、財務危機、生產(chǎn)安全事故等等。因此我們有可能設(shè)計非常規(guī)事件或危機處理程序，包括處理原則、程序和權(quán)責等等。例如企業(yè)可以規(guī)定當發(fā)生嚴重危害公眾事件時，管理當局在12小時之內(nèi)通過媒體做出反應，以表明誠意；要積極與政府配合；統(tǒng)一對外口徑等。

    （2）用非控制方法彌補控制方法的不足，特別要營造健康的企業(yè)文化氛圍，建立職業(yè)道德規(guī)范。健康的企業(yè)文化使企業(yè)大多數(shù)成員形成共同的價值觀念，是形成企業(yè)凝聚力和企業(yè)成員歸屬感的基礎(chǔ)，進而使企業(yè)成員熱愛企業(yè)、關(guān)心企業(yè)，這特別適合以中國為代表的東方文化。而職業(yè)道德在這里是指與企業(yè)成員的工作相關(guān)的規(guī)范，是一種穩(wěn)定的職業(yè)心理和職業(yè)習慣。因此，企業(yè)應該為不同崗位上的成員，制定相應的職業(yè)道德規(guī)范；要總結(jié)和以適當?shù)男问綇娀】档钠髽I(yè)文化。只有這樣， 當危機發(fā)生時，才會有人主動報告和處理，不至于袖手旁觀。

    3 在企業(yè)經(jīng)營活動中，大多事件既不是常規(guī)又不是非常規(guī)，而屬于混合性的。就此設(shè)計內(nèi)控制度，需要考慮下列幾個方面：

    （1）混合性事件轉(zhuǎn)化成非常規(guī)事件非常有可能，但往往有征兆。因此，在設(shè)計內(nèi)控制度時應該有相應的預防條款，防危機于未然。

    （2）混合事件的存在表明，與此相關(guān)的內(nèi)控制度本身就有風險，也就是說并非按照內(nèi)控制度去做就會完全避免錯誤。不能迷信內(nèi)控制度，它是有局限性的。因此在執(zhí)行內(nèi)控制度過程中，對內(nèi)控制度本身的評估是不可忽視的。

    （3）混合性事件完全或在一定程度上轉(zhuǎn)化為常規(guī)事件是可能的。例如未來外匯匯率是混合性的，人們可以通過套期保值使之轉(zhuǎn)化為常規(guī)性事件。當然，這需要經(jīng)驗、知識和技巧。

    四、單項內(nèi)控制度的設(shè)計思路

    所謂單項內(nèi)控制度就是指上文所說的一個內(nèi)控制度項目。這里將從三個方面給予討論：按部門進行設(shè)計、按項目進行設(shè)計、按流程進行設(shè)計。

    （一）按部門設(shè)計部門是構(gòu)成組織的單元。按部門設(shè)計內(nèi)控制度應該注意下列幾個問題：

    1 將部門既看成組織中相對獨立部分，又看成與組織中其他部門相互連接的環(huán)節(jié)，各個部門甚至形成一個投入產(chǎn)出的網(wǎng)絡(luò)。進行部門內(nèi)控制度設(shè)計時，首先要營造良好的控制環(huán)境?？刂骗h(huán)境因素包括部門內(nèi)每一個人的誠信、道德價值和能力；管理層的管理理念和經(jīng)營風格；管理層授權(quán)方式和發(fā)展其員工的方法，部門的組織結(jié)構(gòu)和崗位設(shè)置等。而要形成良好的控制環(huán)境，就需要從部門的組織結(jié)構(gòu)和崗位設(shè)置，明確責任的分派和權(quán)力的授予出發(fā)，注重提高本部門員工的誠信和工作能力，奠定良好的控制基礎(chǔ)。同時，還應發(fā)現(xiàn)該部門與其他部門的聯(lián)系。

    2 分析部門在企業(yè)中可以涉及到的項目，分析部門處于項目工作流程的哪一個環(huán)節(jié)，或?qū)儆诹鞒讨械哪囊粋€作業(yè)鏈條之中，存在何種風險，部門需要參與哪些工作任務，在執(zhí)行任務的過程中可能會遇到的風險種類及大小，初步評估部門面臨的風險，并進而確定關(guān)鍵控制點。

    3 根據(jù)控制點確定所要進行的控制活動，進行責任和權(quán)力的具體分派，制定業(yè)績考核標準。一個部門是由若干流程組成；一個流程由若干作業(yè)組成；一項作業(yè)由若干項任務組成；一項任務都是由一個或幾個人來完成；而為了完成任務，每個人都必須被指定明確的責任。在部門設(shè)計中，可以按ＡＢＭ的方式來進行設(shè)計，即按價值鏈或作業(yè)鏈來進行設(shè)計。第一步，明確各部門涉及到的作業(yè)（如部門的作業(yè)可分為三種：接受顧客需求作業(yè)；滿足顧客需求作業(yè)以及輔助作業(yè)），明確部門的作業(yè)鏈和價值鏈以及作業(yè)結(jié)構(gòu)；第二步，確定部門的主要工作流程以及各流程的投入與產(chǎn)出；第三步，確定流程中的各項作業(yè)以及相應任務；第四步，從按作業(yè)收集耗費的資源成本數(shù)據(jù)出發(fā)，確定作業(yè)的產(chǎn)出指標；第五步，制定作業(yè)的業(yè)績指標，即將部門的業(yè)績指標分解到各項作業(yè)，并根據(jù)部門的實際業(yè)績作出評價。

    按作業(yè)鏈進行部門的內(nèi)控設(shè)計，使部門明確在整個內(nèi)控制度中自身涉及到的內(nèi)控項目有哪些，處于流程中的何種地位，部門即能保持一定的獨立性，又能實現(xiàn)很好的銜接，集合各部門為整體，實現(xiàn)全企業(yè)的作業(yè)成本管理，可以將企業(yè)有限的經(jīng)濟資源合理地在部門之間進行分配，資源會實現(xiàn)合理配置。

    4 設(shè)計部門內(nèi)控制度時建立部門內(nèi)部以及部門間的信息與溝通，部門內(nèi)上下級、同級、部門間能迅速取得他們在執(zhí)行任務、管理和控制企業(yè)運營過程中所需的信息，并互相交換這些信息。

    5 部門的內(nèi)控制度應具有監(jiān)督職能，包括例行的管理和監(jiān)督活動，為確保內(nèi)控制度的執(zhí)行，還應具有協(xié)調(diào)小組，即縱向協(xié)調(diào)或橫向協(xié)調(diào)小組。

    6 設(shè)計部門的內(nèi)控制度也應區(qū)分常規(guī)性事件、非常規(guī)性事件和混合性事件。常規(guī)性事件的控制可按上述方法進行，而非常規(guī)性事件和混合性事件的控制可按本文第三部分總體設(shè)計中的有關(guān)思路進行。

    內(nèi)控制度設(shè)計后，應在部門內(nèi)部進行測試，測試的基本方法是：以部門為基礎(chǔ)，對部門的職能及崗位設(shè)置在內(nèi)控制度中的實際執(zhí)行功能進行測試。部門測試的結(jié)構(gòu)可分為以下幾個部分：部門的組織結(jié)構(gòu)及崗位設(shè)置、部門應具備的功能、部門管理的權(quán)限及范圍、人員的職責劃分，部門的主要業(yè)務（分業(yè)務種類繪制流程圖）、部門與其他部門的銜接（主要是業(yè)務上的銜接）。針對部門的測試主要看部門是否能夠完成規(guī)定的職能，部門之間的職能是否存在重疊，部門之間職責的分配是否合理， 是否符合內(nèi)部控制的一些基本原則，是否存在有的環(huán)節(jié)大家都管，而有的環(huán)節(jié)又無人問津的情況，及管理上是否節(jié)約而有效。根據(jù)測試結(jié)果決定是否修訂或增補該項內(nèi)控制度。按部門設(shè)計最實質(zhì)的內(nèi)容是流程設(shè)計。

    （二）按項目設(shè)計一個項目，有其自身的業(yè)務流程，跨越不同的組織部門。按項目設(shè)計應遵循以下步驟：

    1 分析每個項目的組織維度和流程維度。即分析在執(zhí)行該項目時都會涉及到哪些部門，部門的層級、部門之間的相互關(guān)系怎樣，組織結(jié)構(gòu)如何，以及該項目會牽扯到哪些業(yè)務流程。同時分析在執(zhí)行項目時可能面臨的相關(guān)風險，然后按項目的業(yè)務流程來進行具體設(shè)計，根據(jù)執(zhí)行項目的環(huán)節(jié)和流程，確定控制點，從組織和流程兩方面來制定相應的內(nèi)控制度：即項目的審批、授權(quán)、核實查證、責權(quán)分離、確保資產(chǎn)安全以及檢查等，還應建立完善的信息和溝通以及監(jiān)督機制。

    2 制定項目內(nèi)控制度的執(zhí)行測試方法并形成測試報告。在項目設(shè)計中，設(shè)計一套內(nèi)控制度的制定、內(nèi)控制度的執(zhí)行、內(nèi)控制度的測試、內(nèi)控制度的測試報告程序，來考證項目的組織結(jié)構(gòu)方面，包括層級、單位和責任是否合理，以及項目的業(yè)務流程方面是否能進行實際操作，測試需結(jié)合ＣＯＳＯ報告關(guān)于內(nèi)控的五個要素進行，即查看項目的控制環(huán)境、風險評估、控制活動、信息與溝通和監(jiān)控。

    3 設(shè)計項目內(nèi)控制度的修訂和增補程序。形成測試報告后，就可以根據(jù)報告結(jié)果決定是否對該內(nèi)控制度進行修訂。經(jīng)由內(nèi)控制度的制定、執(zhí)行、測試、報告、修訂等一系列循環(huán)周轉(zhuǎn)的過程進行項目內(nèi)控設(shè)計，可以使制定的內(nèi)控制度符合企業(yè)實際，具有操作的可能性。同樣，按項目設(shè)計的最實質(zhì)的內(nèi)容是流程設(shè)計。

    （三）按流程設(shè)計按流程設(shè)計，是對企業(yè)某項業(yè)務流程的控制制度進行設(shè)計，如對銷售流程、采購流程進行內(nèi)控制度的設(shè)計。一個業(yè)務流程中包括若干作業(yè)，而每項作業(yè)又由若干任務組成。按流程設(shè)計的思路是：

    1 明確業(yè)務流程的工作環(huán)節(jié)的前后銜接，確定流程的投入與產(chǎn)出。

    2 明確業(yè)務流程中涉及的作業(yè)，作業(yè)間的相互關(guān)系，建立一條作業(yè)鏈，并制定每一作業(yè)相應的作業(yè)標準，根據(jù)每一項作業(yè)的投入與產(chǎn)出，制定相應的考核指標，即將總投入與產(chǎn)出指標進行細化，落實到每一項作業(yè)中。

    3 明確每一項作業(yè)的任務組合。對每一項任務規(guī)定出相應的標準，即制定完成任務的指標，包括量化指標和非量化指標。

    4 將每一項任務落實到執(zhí)行任務的每一個組織成員。即用上述量化和非量化指標作為考核組織成員的業(yè)績指標，同時，任務需要落實到組織、單位直到個人，涉及到授權(quán)與責任，所以，流程設(shè)計與組織設(shè)計達到了有效的結(jié)合。在一項業(yè)務流程的執(zhí)行過程中，又可能涉及到不同的內(nèi)控項目，也即組織、項目、流程的三維組合。需要注意的是，上述流程設(shè)計必須建立在企業(yè)的業(yè)務流程比較合理的基礎(chǔ)之上，而為了達到這一點，就應對企業(yè)的業(yè)務流程進行優(yōu)化分析，進行業(yè)務流程再造。