内控是一道“免疫系统”

　　“尽管很多风险依靠内控无法解决，但内控是企业风险控制的重要手段，好比一道人体最基础的‘免疫系统’，以帮助企业抵御外部来临的更高的风险。”德勤中国企业风险管理服务合伙人杨莹向记者表示。

　　2008年6月五部委已发布的《企业内部控制基本规范》，对公司内控环境、风险评估、控制活动、信息与沟通、内部监督五方面都做出了要求。“具体在操作层面上，公司将要基于自身内部环境进行风险识别，然后再看就此制定的控制活动是否存在以及执行是否有效，而后由内部管理层进行自我评估，由内部审计机构进行测试，最后给出结果，使得董事会层面形成一个可以对外公布的内控报告。”杨莹这样解释。

　　不同类型企业面临的风险不同，如资源类公司对原材料价格波动较为敏感，而有些企业则对政策因素依赖性较高，由此不同企业确定的关注重点和优先控制的风险也不相同，具体的内控活动方式也会有所差异。但是相同之处在于，好的内部控制可以“解放”管理层，使其有更多精力进行更高端的投资或风控决策，全面提高公司抗风险能力和决策效率，而不仅仅是有助于提升财务报告质量，降低商业欺诈风险。

　　非单一财务审计

　　此次的《指引》在原有《规范》的框架内，涵盖了资金活动、采购业务、资产管理等各个方面，为企业提供了比较明确的指导。不过，制度性框架构建之后，内控效果的发挥还取决于其实行的有效性。

　　“由于对内控认识不一，有些公司为了披露而披露内控报告，并非将内部控制作为企业内部管理的手段。” 杨莹表示。这使得内控只流于形式，实际效果大打折扣。

　　同时，内审机构的独立性也备受考验。如何保证内审机构有权力列席审计委员会或董事会会议，如何保证内审机构人员独立于公司业务流程执行测试，都是内审机构工作中要面临的问题。

　　由此，在对公司内控有效性的评价上，来自于外部专业机构的审计也至关重要。德勤方面表示，外部审计机构评价公司的内控是否有效，其支撑包括以下方面，如某个时间节点公司是否存在制度流程和实际的控制活动；同时，审计机构将对某些活动的样本量进行外部测试，以判断上述样本活动是否按照内控制度执行。“内控报告的审计对象是公司内审机构的报告，以及公司日常运营过程中的一系列文档。”杨莹提示