2　內(nèi)部控制理論及采購流程內(nèi)控

2.1　內(nèi)部控制理論

當(dāng)今，企業(yè)在經(jīng)濟(jì)活動(dòng)中要面臨來自企業(yè)內(nèi)部、外部的各種風(fēng)險(xiǎn)，而內(nèi)部控制作為應(yīng)對(duì)風(fēng)險(xiǎn)、增強(qiáng)綜合競(jìng)爭(zhēng)能力的重要手段，在現(xiàn)代企業(yè)的管理中扮演了十分關(guān)鍵的角色。完善企業(yè)內(nèi)部控制制度既能完善公司治理結(jié)構(gòu)和信息披露制度，也能保護(hù)投資者的合法權(quán)益和保證資本市場(chǎng)的有效運(yùn)行。

2.1.1　內(nèi)部控制的內(nèi)涵

1985年，美國(guó)反舞弊性財(cái)務(wù)報(bào)告委員會(huì)（National Commission On Fraudulent Financial Reporting，亦稱The Treadway Commission）由美國(guó)注冊(cè)會(huì)計(jì)師協(xié)會(huì)等五家單位發(fā)起成立，該委員會(huì)旨在探討財(cái)務(wù)報(bào)告中產(chǎn)生舞弊的原因，并尋求解決之道［44］。1982年，這五家單位又聯(lián)合成立了COSO委員會(huì)（Committee of Sponsoring Organizations of the Treadway Commission），專門研究?jī)?nèi)部控制的相關(guān)議題。COSO委員會(huì)將內(nèi)部控制的定義為“一個(gè)由主體的董事會(huì)、管理層和其他員工實(shí)施的，旨在為實(shí)現(xiàn)運(yùn)營(yíng)、報(bào)告和合規(guī)目標(biāo)提供合理保證的過程”。該定義突出了內(nèi)部控制的主題與目標(biāo)，并表明內(nèi)部控制是一個(gè)持續(xù)不斷的過程，它是達(dá)到目的的手段，而非目的本身。具體來看，內(nèi)部控制需要努力達(dá)成的目標(biāo)分為三個(gè)方面：一是運(yùn)營(yíng)目標(biāo)，即組織運(yùn)營(yíng)的效果和效率，包括運(yùn)營(yíng)和財(cái)務(wù)業(yè)績(jī)目標(biāo)、保護(hù)資產(chǎn)以避免損失；二是報(bào)告目標(biāo)，即內(nèi)外部的財(cái)務(wù)和非財(cái)務(wù)報(bào)告的可靠性、及時(shí)性、透明度，以及監(jiān)管者、標(biāo)準(zhǔn)制定機(jī)構(gòu)和組織政策所要求的其他方面；三是合規(guī)目標(biāo)，即遵守組織所使用的法律法規(guī)及規(guī)章［45］。

2.1.2　企業(yè)風(fēng)險(xiǎn)管理整合框架

1992年，COSO委員會(huì)提出了《內(nèi)部控制—整合框架》（Internal Control-Integrated Framework），并于2003年進(jìn)行了更新，同時(shí)對(duì)外發(fā)布《企業(yè)風(fēng)險(xiǎn)管理—整合框架（征求意見稿）》。該框架致力于使管理層更有效且高效地建立一個(gè)能夠適應(yīng)業(yè)務(wù)及經(jīng)營(yíng)環(huán)境變化的內(nèi)部控制體系，將風(fēng)險(xiǎn)降至可接受水平，以幫助他們更好地進(jìn)行決策和治理［46］。

具體來看，COSO《企業(yè)風(fēng)險(xiǎn)管理—整合框架》在《內(nèi)部控制—整合框架》五個(gè)要素基礎(chǔ)上又增加了三個(gè)要素（見圖2-1），具體包括內(nèi)部環(huán)境、目標(biāo)設(shè)定、事項(xiàng)識(shí)別、風(fēng)險(xiǎn)評(píng)估、風(fēng)險(xiǎn)應(yīng)對(duì)、控制活動(dòng)、信息與溝通、監(jiān)控八個(gè)相互關(guān)聯(lián)要素。

2.1.2.1　內(nèi)部環(huán)境

內(nèi)部環(huán)境包含組織內(nèi)人員的職業(yè)操守、道德價(jià)值和專業(yè)能力等，為所有其他內(nèi)部控制的要素奠定了基礎(chǔ)，并提供了各要素運(yùn)作的規(guī)則，同時(shí)影響著組織內(nèi)人員的控制意識(shí)。

在COSO內(nèi)部控制整合模型中，與內(nèi)部環(huán)境要素相對(duì)應(yīng)的原則包含以下幾點(diǎn)：其一，企業(yè)對(duì)誠信和道德價(jià)值觀的承諾；其二，董事會(huì)獨(dú)立于管理層，對(duì)內(nèi)部控制的制定及其績(jī)效施以監(jiān)督；其三，管理層在董事會(huì)的監(jiān)督下，建立目標(biāo)實(shí)現(xiàn)過程中所涉及的組織架構(gòu)、報(bào)告路徑及適當(dāng)?shù)臋?quán)利和責(zé)任；其四，企業(yè)致力于吸引、發(fā)展和留任優(yōu)秀人才，以配合企業(yè)目標(biāo)達(dá)成；其五，企業(yè)內(nèi)部控制責(zé)任人的問責(zé)制度。

2.1.2.2　目標(biāo)設(shè)定

目標(biāo)是事件識(shí)別、風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)應(yīng)對(duì)的前提。企業(yè)風(fēng)險(xiǎn)管理的目標(biāo)分為四個(gè)方面，包括戰(zhàn)略目標(biāo)（長(zhǎng)期）、經(jīng)營(yíng)目標(biāo)（短期）、報(bào)告目標(biāo)（有效）和合規(guī)目標(biāo)（法律法規(guī)遵循）。其中，長(zhǎng)期戰(zhàn)略目標(biāo)與高層目標(biāo)相關(guān)，與企業(yè)任務(wù)和愿景一致并為后者提供支持。對(duì)于任何主體而言，制定支持選定的戰(zhàn)略和與之協(xié)調(diào)的目標(biāo)是成功的關(guān)鍵，目標(biāo)分為經(jīng)營(yíng)、報(bào)告和合規(guī)三類；只有確定這些層次的目標(biāo)后，才能衡量出成功要素及其量化的計(jì)量標(biāo)準(zhǔn)。

2.1.2.3　事項(xiàng)識(shí)別

管理當(dāng)局識(shí)別對(duì)主體產(chǎn)生影響的潛在事項(xiàng)，包括外部和內(nèi)部因素，即確定潛在事項(xiàng)是機(jī)會(huì)還是風(fēng)險(xiǎn)；如果是機(jī)會(huì)，應(yīng)將其反饋到戰(zhàn)略和目標(biāo)設(shè)定之中，而如果是風(fēng)險(xiǎn)則應(yīng)該予以評(píng)估和應(yīng)對(duì)。

這些事項(xiàng)來自內(nèi)部或外部的影響實(shí)施戰(zhàn)略和目標(biāo)實(shí)現(xiàn)的事故或事件，其驅(qū)動(dòng)因素可能來自很多方面，比如外部的經(jīng)濟(jì)（價(jià)格、資本等）、自然環(huán)境、政治、技術(shù)、社會(huì)等因素，以及內(nèi)部的基礎(chǔ)結(jié)構(gòu)、人員、流程、技術(shù)等。企業(yè)應(yīng)該采取各種方式，如互動(dòng)研討、統(tǒng)計(jì)數(shù)據(jù)、追蹤技術(shù)、內(nèi)部分析、預(yù)警觸發(fā)等。為了更好地管理事項(xiàng)及應(yīng)對(duì)其背后的風(fēng)險(xiǎn)，應(yīng)該關(guān)注事項(xiàng)之間的關(guān)系和事項(xiàng)類別的劃分（包括正負(fù)向劃分及不同屬性類別上的劃分）。

2.1.2.4　風(fēng)險(xiǎn)評(píng)估

當(dāng)組織面臨一系列外在和內(nèi)在的風(fēng)險(xiǎn)時(shí)，風(fēng)險(xiǎn)評(píng)估成了必不可少的工作。風(fēng)險(xiǎn)評(píng)估的前提是，聯(lián)系組織內(nèi)不同的層級(jí)，進(jìn)而建立具有內(nèi)部一致性的目標(biāo)體系。管理層應(yīng)當(dāng)明確運(yùn)營(yíng)方面、財(cái)務(wù)方面及合規(guī)方面的目標(biāo)，并識(shí)別、分析在目標(biāo)達(dá)成過程中的相關(guān)風(fēng)險(xiǎn)，為風(fēng)險(xiǎn)管理制定出相應(yīng)機(jī)制。

在COSO內(nèi)部控制整合模型中，企業(yè)需要制定足夠清晰的目標(biāo)，以便識(shí)別和評(píng)估有關(guān)目標(biāo)所涉及的風(fēng)險(xiǎn)（運(yùn)營(yíng)目標(biāo)、外部財(cái)務(wù)報(bào)告目標(biāo)、外部非財(cái)務(wù)報(bào)告目標(biāo)、內(nèi)部報(bào)告目標(biāo)、合規(guī)目標(biāo)）。然后，從整個(gè)企業(yè)的角度來識(shí)別實(shí)現(xiàn)目標(biāo)所涉及的風(fēng)險(xiǎn)，分析風(fēng)險(xiǎn)，并據(jù)此決定應(yīng)如何管理這些風(fēng)險(xiǎn)。同時(shí)，企業(yè)在評(píng)估影響目標(biāo)實(shí)現(xiàn)的風(fēng)險(xiǎn)時(shí)，考慮到潛在的舞弊行為，需要評(píng)估可能會(huì)對(duì)內(nèi)部控制系統(tǒng)產(chǎn)企業(yè)生重大影響的變更。

2.1.2.5　風(fēng)險(xiǎn)應(yīng)對(duì)

風(fēng)險(xiǎn)應(yīng)對(duì)要求管理當(dāng)局在風(fēng)險(xiǎn)容忍度和成本—收益原則下，確定風(fēng)險(xiǎn)應(yīng)對(duì)方案并考慮其對(duì)事項(xiàng)的可能性和效果的影響，然后設(shè)計(jì)、確定和實(shí)施選擇的應(yīng)對(duì)方案。風(fēng)險(xiǎn)應(yīng)對(duì)措施通常包括回避、降低、分擔(dān)和承擔(dān)四種。另外，在風(fēng)險(xiǎn)應(yīng)對(duì)的過程中，還應(yīng)該有組合的觀念——一個(gè)不同風(fēng)險(xiǎn)組合應(yīng)對(duì)之后，其應(yīng)對(duì)管理成本可能會(huì)下降，也可能因?yàn)榻M合而積聚上升變得更加重要。

2.1.2.6　控制活動(dòng)

控制活動(dòng)可以幫助確保管理層的指令順利傳達(dá)并為其提供一定的政策和程序，具體包含核準(zhǔn)、授權(quán)、驗(yàn)證、對(duì)賬、對(duì)經(jīng)營(yíng)活動(dòng)的審查、對(duì)資產(chǎn)的保護(hù)和對(duì)不相容職務(wù)的分離等多種形式。控制活動(dòng)貫穿了組織的不同層級(jí)與職能部門，它保證了組織通過必要措施能有效應(yīng)對(duì)目標(biāo)達(dá)成中的風(fēng)險(xiǎn)。

企業(yè)需要選擇并制定能將目標(biāo)實(shí)現(xiàn)風(fēng)險(xiǎn)降低至可接受水平的控制活動(dòng)，在這個(gè)過程中，企業(yè)用以支持目標(biāo)實(shí)現(xiàn)的技術(shù)選擇并制定一般控制政策，并通過政策和程序來部署控制活動(dòng)。

2.1.2.7　信息與溝通

為了促使企業(yè)人員在一定的形式與時(shí)間框架內(nèi)履行其職責(zé)，需要及時(shí)識(shí)別、獲取、傳達(dá)有效的信息。企業(yè)內(nèi)信息系統(tǒng)所生成的報(bào)告應(yīng)當(dāng)包含與企業(yè)運(yùn)營(yíng)、財(cái)務(wù)、合規(guī)相關(guān)的信息，從而使企業(yè)內(nèi)控成為可能。其中，不僅有來自企業(yè)內(nèi)部的數(shù)據(jù)，還應(yīng)有對(duì)合理的商業(yè)決策的關(guān)于企業(yè)外部事件、活動(dòng)與條件的關(guān)鍵信息。有效的溝通也應(yīng)在較廣的范圍內(nèi)進(jìn)行，管理層須知會(huì)所有工作人員審慎對(duì)待內(nèi)部控制的職責(zé)。工作人員必須明白自己在內(nèi)部控制體系中的角色，以及個(gè)人活動(dòng)對(duì)他人工作的影響。除此之外，與外方有效的溝通也十分重要，如顧客、供應(yīng)商、監(jiān)管者和股東等。

2.1.2.8　監(jiān)控

內(nèi)部控制體系應(yīng)當(dāng)受到監(jiān)控，即評(píng)估該體系在一段時(shí)間內(nèi)的運(yùn)行質(zhì)量。監(jiān)控可以分為持續(xù)性監(jiān)督與獨(dú)立性評(píng)估，前者包含日常管理、例行監(jiān)督和常規(guī)性事后監(jiān)督等，后者的頻率與范圍取決于風(fēng)險(xiǎn)評(píng)估或持續(xù)性監(jiān)督程序的有效性。監(jiān)控中所發(fā)現(xiàn)的內(nèi)部控制缺陷應(yīng)當(dāng)上報(bào)至高層領(lǐng)導(dǎo)與董事會(huì)。

企業(yè)需要選擇、制定并實(shí)行持續(xù)及（或）單獨(dú)的評(píng)估，以判定內(nèi)部控制各要素是否存在且發(fā)揮效用，同時(shí)企業(yè)要及時(shí)評(píng)估內(nèi)部控制缺陷，并將缺陷及時(shí)通報(bào)給負(fù)責(zé)整改措施的相關(guān)方，包括高級(jí)管理層和董事會(huì)。