独立董事的“挑刺”：企业内控评价的“皇帝新衣”与务实改进

独立董事的“挑刺”：企业内控评价的“皇帝新衣”与务实改进

各位上市公司同仁，大家好。作为一名在审计行业摸爬滚打三十余年，如今退居二线，专门给上市公司“挑刺”的独立董事，今天想跟大家聊聊内部控制评价这个话题。但我可不是来唱赞歌的，而是想给大家提个醒，敲个警钟。

现在很多企业的内控评价报告，说白了，就是“年年岁岁花相似，岁岁年年人不同”。 内控评价报告？不就是把制度文件抄一遍，然后说一切正常吗？ 这句话虽然刺耳，但却是审计圈里心照不宣的“黑话”。 这种“走过场”式的内控评价，不仅浪费资源，更掩盖了企业内部潜在的风险。所以，今天我这篇文章，不是一篇歌功颂德的文章，而是一剂旨在帮助企业真正提升内控水平的“清醒剂”。

“皇帝的新衣”：形式主义的种种表现

现在很多企业的内部控制，就像皇帝的新衣，看似华丽，实则空空如也。下面我结合一些案例，给大家扒一扒这件“新衣”下的种种问题。

风险评估“走过场”

风险评估是内部控制的第一道防线，但很多企业却在这道防线上“放水”。

• 案例一： 某医药上市公司A公司，主要业务是药品研发和生产。在风险评估时，A公司只关注了药品质量、生产安全等显而易见的风险，却忽略了研发项目失败、核心技术泄露等潜在的、关联性的风险。结果，A公司投入巨资研发的新药未能通过审批，导致公司股价暴跌，损失惨重。

• 案例二： 某互联网公司B公司，业务发展迅速，市场变化很快。但B公司的风险评估频率却很低，一年只进行一次。当竞争对手推出颠覆性产品时，B公司未能及时识别和应对这一风险，导致市场份额被迅速蚕食。

• 案例三： 某房地产公司C公司，风险评估报告写得洋洋洒洒，但内容却空洞无物，只是简单罗列了一些风险点，缺乏实质性的分析和评估。例如，报告中提到“市场风险”，但没有具体分析市场风险的来源、影响程度和应对措施。

控制活动“纸上谈兵”

控制活动是内部控制的核心，但很多企业的控制活动却停留在纸面上，无法有效执行。

• 案例四： 某制造业公司D公司，制定了非常详细的采购管理制度，规定所有采购必须经过严格的审批流程。但实际执行中，由于审批流程过于繁琐，采购人员为了提高效率，经常绕过审批流程，直接采购。最终，D公司采购了一批劣质原材料，导致产品质量出现问题。

• 案例五： 某金融机构E公司，建立了完善的客户身份识别制度，但由于缺乏有效的监督和问责机制，一些员工为了完成业绩指标，故意放松客户身份识别标准，导致大量可疑资金流入，涉嫌洗钱。

• 案例六： 某零售企业F公司，为了降低运营成本，实施了严格的库存管理制度。但由于该制度与实际业务流程不匹配，导致库存周转率下降，商品积压严重，反而增加了运营成本。

信息与沟通“单向传输”

信息与沟通是内部控制的润滑剂，但很多企业的信息沟通渠道却不畅通，信息披露不及时。

• 案例七： 某上市公司G公司，内部举报渠道不健全，员工担心遭到报复，不敢或不愿举报违规行为。结果，G公司高管利用职务之便，侵占公司资产，长期无人知晓。

• 案例八： 某能源企业H公司，发生了一起重大安全事故。但H公司未能及时向上汇报，导致救援延误，造成了严重的人员伤亡和财产损失。

• 案例九： 某科技公司I公司，在信息披露时，故意隐瞒了一些不利信息，夸大了公司的盈利能力，误导了投资者。最终，I公司被监管部门处罚，声誉受损。

监督活动“自我循环”

监督活动是内部控制的纠错机制，但很多企业的内部监督却缺乏独立性、客观性。

• 案例十： 某贸易公司J公司，监督人员由被监督部门的人员兼任，无法有效发现问题。结果，J公司内部管理混乱，贪污腐败现象严重。

• 案例十一： 某建筑企业K公司，监督报告缺乏实质性改进建议，只是简单肯定成绩。结果，K公司的内部控制缺陷长期存在，无法得到有效解决。

• 案例十二： 某物流公司L公司，监督结果未与绩效考核挂钩，无法形成有效的激励约束。结果，L公司的员工对内部控制漠不关心，执行不到位。

“拨乱反正”：如何建设真正有效的内部控制

说了这么多问题，那么，如何才能建设真正有效的内部控制呢？我给大家提几点务实的建议。

风险评估：全面、及时、动态

风险评估不能“一劳永逸”，要根据内外部环境的变化，及时进行更新。企业可以考虑引入外部专家进行独立评估，参考财政部发布的《行政事业单位内部控制评价办法》，学习其风险评估的思路和方法。

控制活动：可操作、有效、成本效益

控制活动不能“空中楼阁”，要与业务流程紧密结合，并建立完善的监督和问责机制。控制活动的设计要充分考虑成本效益，避免过度控制，增加运营成本。

信息与沟通：畅通、及时、透明

企业要建立多渠道的沟通平台，鼓励员工积极参与内部控制建设。重要信息要及时向上汇报，并向相关利益方披露。要特别重视内部举报渠道的建设，参考《中华人民共和国会计法》，确保举报渠道的畅通和保密性。

监督活动：独立、客观、专业

企业要设立独立的内部审计部门，并定期进行内部控制自我评估。监督人员要具备专业的知识和技能，能够独立、客观地发现问题。监督结果要与绩效考核挂钩，形成有效的激励约束。

加强与监管机构的沟通

企业应增加与监管机构的沟通频率，及时了解最新的监管要求。对于监管机构提出的意见，要认真整改，确保内部控制制度符合监管要求。

结尾总结

内部控制建设不仅仅是为了应付监管要求，更是为了企业的长远发展。 “内控搞得好，睡觉也睡得着。” 这句“黑话”虽然听起来有点夸张，但却道出了内部控制的重要性。

希望各位企业重视内部控制评价，不要将其视为一项“例行公事”，而要将其作为提升管理水平的重要契机。 正如管理学大师彼得·德鲁克所说：“没有衡量，就没有管理。” 只有真正重视内部控制，企业才能避免“人为刀俎，我为鱼肉”的被动局面，才能在激烈的市场竞争中立于不败之地。 记住，内控不是“花架子”，而是企业生存发展的“压舱石”。