内部控制

《内部控制问题研究》课题组

。

【摘要】 公司治理与内部控制存在着内在的、密切的联系。二者既相互影响，又相互促进；既相互交叉，又各有侧重。因此，在实践中不能人为地将其割裂开来，而需要在组织结构与战略管理上将二者进行有效的对接，通过公司治理控制、管理控制、作业控制来保证内部控制目标与公司治理目标的实现。此外本文还对我国内部控制规范问题进行了分析。

【关键词】 公司治理结构 内部控制 对接 规范建设 根据代理理论，在公司中所有者与经营者、经营者与下层管理者、下层管理者与一般员工之间存在着各种委托代理关系以及代理问题。公司治理与内部控制就是为了解决公司代理问题而做出的不同制度安排。但实践证明，如果单纯依靠公司治理或内部控制其中之一，将难以有效解决公司代理问题，进而实现各自的目标。在我国，由于公司治理缺陷而导致内部控制薄弱已是不争的事实。鉴于此，公司治理与内部控制已引起我国会计学界的关注，并引发了激烈的讨论，许多学者从不同的角度论证了他们之间的关系，提出了很多有价值的研究结论和建议。但是，这些研究尚不完整、不全面，缺乏系统性，本文拟从公司治理结构1的角度，对内部控制作进一步的研究，并在此基础之上，对我国公司内部控制规范建设提出自己的一点看法和建议。

一、公司治理与内部控制问题的研究回顾

20世纪90年代以来，国内外对于内部控制的研究进入了一个新阶段，即对内部控制的研究视角从会计审计扩展到公司治理，并取得了较为丰富的理论研究成果与建设成果，其内容主要包括以下几个方面：

（一）关于内部控制与公司治理的关系问题

内部控制与公司治理具有紧密的内在联系，二者的关系是现阶段内部控制研究的重点，归纳起来主要有以下几种观点：

1.公司治理是内部控制的环境要素之一，它是内部控制的前提。持这一观点的学者颇多。阎达五、杨有红（2001）认为，内部控制目标随公司治理机制的完善呈多元化趋势，内部控制框架与公司治理机制的关系是内部管理监控系统与制度环境的关系。黄世忠（2001）提出，惟有强化公司治理，才能净化控制环境。如果不强化公司治理结构的基础建设，要建立、健全内部控制以确保会计信息的真实、完整只能是奢谈。程新生（2004）也认为公司治理是内部控制的基础和源头。吴水澎和陈汉文等（2000）、张安明（2002）、李明辉（2003）在相关研究中均持这种观点。COSO委员会在1992年发布了《内部控制—整体框架》（Internal Control-Integrated Framework），即COSO报告，1994 收稿日期：2005－10－15

作者简介：本研究报告的参与者及执笔者均为中南财经政法大学会计学院的在读博士研究生

执笔统稿人：黄中生

报告起草人：黄中生、聂曼曼、陈 辉、邵天营、骆铭民、朱康萍、蔡传里、卢 柯

1

公司治理与公司治理结构是有区别的。公司治理结构侧重于相关权力机关和组织机构的配置，即股东大会、董事会、监事会和经理层之间的制衡关系，这仅是一种通过组织和制度发挥作用的公司内部治理。公司治理的含义则广泛得多，他除了内部的制衡机制和组织架构外，还包括各种治理制度的设计与安排及外部治理机制。本文对这二者未加严格区分，但侧重于公司治理结构。

年修订时在有关控制环境的论述中，增加了包含股东大会、董事会结构等公司治理的内容，表明其也将公司治理视为内部控制环境要素的一部分。

2.内部控制是公司治理的基础。杨雄胜（2005）认为，没有系统、具体而有效的内部控制，公司治理将成为一纸空文。就此而言，与其把公司治理看作内部控制的前提，不如把内部控制视为实现公司治理的基础设施予以建设。他指出，“深化内部控制理论研究，可以丰富公司治理理论研究”。在美国银行管理学会（Bank Administration Institute）的信托风险管理2004年年会上，联邦储备委员会（Governor of Federal Reserve Board）理事Susan.Schmidt.Bies在题为“公司治理中的当前问题”的发言中谈到，董事有责任监督内部控制过程，唯此才能合理预期他们的指示得到完全遵循。她认为进行公司治理的前提是落实内部控制。

3.内部控制与公司治理是会计系统运行的两个同等重要的因素，两者相辅相成、相互促进。唐予华等（2003）提出，内部会计控制和公司治理对于会计信息质量都具有相当重要的意义，是“会计系统运行的两个重要环境因素”。王蕾（2001）认为，内部控制与公司治理具有高度的相关性，一个健全的内部控制机制实际上是完善的公司治理结构的体现。反过来，内部控制的创新和深化也将促进公司治理结构的完善和现代企业制度的建立。

4.内部控制与公司治理是你中有我、我中有你的嵌合关系。李连华（2005）指出，内部控制与公司治理这两个管理系统在主体、目标和内容上有着很多重合点和交叉性，将二者的关系概括为主体与环境的关系，降低了它们彼此之间的依赖性和对方所具有的重要意义，从而导致在内部控制建设中忽视公司治理结构的影响或者在构建公司治理结构时忽视内部控制的重要性。他认为内部控制与公司治理结构不是内部与外部、主体与环境的关系，而是“你中有我、我中有你”的相互包含关系，因此“嵌合论”更能准确地描述公司治理结构和内部控制的相互关系。

（二）关于内部控制和公司治理的对接和互动问题

有学者认为，内部控制和公司治理存在对接和互动的可能性和必要性，通过对接和互动可以实现内部控制和公司治理的“双赢”。杨有红、胡燕（2004）指出，内部控制系统局限性的克服不仅依靠系统本身的完善，还有赖于公司治理与内部控制两者间的无缝对接。公司治理与内部控制都产生于委托代理问题，但两者委托代理的层次是不同的。两者思想上同源性与产生背景的差异性是对接的基础，公司治理规范的创新是实施对接的途径。李立平、王军茹（2004）提出应当构建内部控制和公司治理的互动模式，该模式包括两方面的内容：互动激励控制系统与动态财务监控系统，两种系统的设计分别确立了不同管理主体——股东大会、董事会及经理层的内部控制权限，从而有助于解决公司制企业中的内部人控制问题。李连华（2005）认为，可以通过建立公司治理和内部控制相互关联的共时结构，实现二者的对接和互动。共时结构是一个综合控制系统，它“既是提高内部控制效果的根本途径，也是提高公司治理效率的手段。”

（三）关于如何从公司治理的角度加强并落实内部控制问题

对于如何加强、落实内部控制，有不少研究成果从公司治理的角度进行了积极的探索，归纳起来主要有以下几个方面：

1.通过公司外部治理手段克服内部控制的局限性完善内部控制机制。刘明辉和张宜霞（2002）认为，内部控制从经济学角度看具有一定的公共物品性质，进而具有外部效应。但是如果一个企业的某种活动可以增进社会福利而自己却得不到报酬，它的这种活动必然低于社会最优的水平。内部控制建设由企业承担全部成本，它必然服从于企业个体的成本效益原则，只可能将内部控制建设到企业边际成本等于企业边际收益的水平，因而需要有外部管制来加强内部控制。郑志刚（2004）的实证研究也表明，外部控制系统的存在将使内部控制系统的监督功能加强，从而使公司治理机制整

体形成对企业家道德风险行为的有效约束。

2.在公司治理结构制度创新的基础上构建内部控制制度创新的框架。冯均科（2001）指出，只有把握好了产权结构以及其所引致的治理结构的内在规律，内部控制效率的提高才可能建立在良好的基础上。因此，应当针对特定产权结构，从改善企业治理结构出发提高内部控制效率。张宝贵（2003）认为，内部控制的制度创新有赖于有效率的公司治理结构的不断完善，治理结构效率的改进可以为内部控制有效运行营造一个良好的制度环境。只有建立起公司各个参与者（股东、债权人、经营者和其他利益相关者）之间责任、权利和利益的合理配置和相互制衡的制度安排，才能相应地确定内部控制的措施和程序。

3.从董事会和董事如何履行内部控制职责等方面加强内部控制。这方面的研究成果首推英国的三份有关公司治理的研究报告，即1992年发布的《卡德伯利报告》（Cadbury Report）、1998年发布的《哈姆佩尔报告》（Hampel Report）和1999年发布的《特恩布尔报告》（Turnbull Report），它们也被称为英国公司治理和内部控制研究史上的三大里程碑。《卡德伯利报告》认为，有效的内部控制是公司治理结构的重要环节，建议董事会对内部控制的有效性发表声明，并要求外部审计师对该声明进行审核。《哈姆佩尔报告》将内部控制的范围由原来的财务控制扩展到全面的业务控制，重申了董事会和董事的风险管理职责，要求董事会和董事发表声明，承认其对内部控制的有效性负责，但同时说明内部控制只能合理保证发现重大错报。《特恩布尔报告》则为董事会和董事履行内部控制职责提供了可行的操作指南。

4.从经理人激励的角度优化内部控制环境。现代公司治理中的核心问题是经理人激励。有学者认为，我国目前经理人的报酬水平与公司经营业绩之间的关系非常微弱，应当考虑从经理人激励的角度优化内部控制环境，如一方面设计、实施具有短期激励效应的收入分配激励与具有长期激励效应的财产分配激励相结合的激励方案，另一方面加大经理人舞弊成本约束的力度，以便为内部控制的实施营造良好的环境（孟焰、朱小芳，2004）。

二、公司治理结构与内部控制的关系分析

公司治理问题是与公司制企业相伴而生的，它与公司内部控制的关系也有待进一步的理论分析和实践总结。准确把握公司治理结构和内部控制各自的涵义和本质，对于厘清二者的关系，进而完善公司治理结构、强化内部控制具有十分重要的理论和实践价值。

（一）公司治理及其结构的内涵与本质

资本所有权与经营权的分离是公司制企业最基本的特征之一，这也是公司治理问题产生的根本原因所在。两权分离所产生的利益相关者各方及其相互间的权、责、利关系的界定与划分构成了公司治理结构的内核。但对于公司治理应如何界定，学术界至今尚未取得完全一致的看法。据统计，国内外关于公司治理（结构）的概念、定义多达22种，田志龙（1999）从公司的具体形式、制度功能、制度构成、理论基础、基本问题、潜在冲突等六个方面对此进行了归纳与总结，由此可见公司治理结构这一概念内涵的丰富性。对于公司治理结构的内涵，可以从以下几个方面来理解：一是公司治理结构是一种经济关系；二是公司治理结构是一种契约关系；三是公司治理结构是一种制度安排；四是公司治理结构是一种权力制衡机制；五是公司治理结构是一种实现经济民主的有效形式（叶祥松，2000）。

透过公司治理结构的内涵，我们不难把握其本质。第一，公司治理结构是一种关系合约。关系 2

2

由于 \"经济人\"的有限理性和机会主义，规范各利益相关者之间责、权、利关系的合约通常是不完备的，为了节约合约成本(签约、履约和监督的费用)，不完备合约常常采取关系合约的形式，即合约各方不求对行为的详细内容达

合同是一种不完全合同，它只给出关系框架，而不对具体行为作预先规定。公司治理结构应当以《公司法》和公司章程为依据，以简约的方式规范公司各利益相关者之间的关系，其本质就是一种关系合同。第二，公司治理结构主要治理代理问题。在现代公司中，存在着股东——董事会——－经理的多重委托——代理链。由于委托人与代理人的目标函数不一致，以及市场的不确定性、信息不对称、合约不完备等原因，就会引发一系列的代理问题。公司治理的目的就是通过设计必要的控制程序、组织结构及激励机制，以约束和规范代理人的行为，提高公司运营效率和效果。第三，公司治理结构是一种控制与激励机制。公司治理结构的根本点在于明确划分股东大会、董事会、经理和监事会各自的权力、责任和利益，形成权力制衡、控制与激励并存的机制，保证公司恰当地经营。

（二）内部控制的内涵与本质

与公司治理结构相比，内部控制的思想和实践历史悠久，它伴随着组织的形成而产生。但是，“内部控制”这一专门术语的提出及其受到人们的广泛重视则是20世纪的事。从“内部牵制”发展至今，内部控制理论的发展先后经历了内部牵制、内部控制制度、内部控制结构、内部控制整体框架、企业风险管理框架五个阶段。在每一阶段，内部控制都被赋予不同的内涵。

15世纪资本主义的发展和复式记账法的出现，为内部控制的发展提供了动力，以账目间的相互核对为主要内容、实行职能分离的内部牵制开始得到广泛应用。但是对内部控制的研究却开始于19世纪末，当时基于审计业务的需要，审计人员才把内部控制从企业管理活动中抽象出来，将其由实践上升为理论。1949年，美国注册会计师协会（American Institute of Certified Public Accountants，简称AICPA）的审计程序委员会首次对内部控制进行了定义，此后，该委员会又多次对内部控制重新定义，但这些定义多是从财务审计的角度进行的，立足于查错防弊，从而限制了内部控制实践和理论的发展。

随着20世纪60年代以来大量公司倒闭或陷入财务困境所诱发的审计“诉讼爆炸”，导致了审计风险骤增以及对“内部控制”的质疑，AICPA于1988年正式以“内部控制结构”这一概念代替了“内部控制”，提出了内部控制结构三个基本要素：控制环境、会计制度和控制程序。这一发展使内部控制的研究重点从一般涵义引向具体内容，从而更加反映了内部控制自身的性质。

为了提高财务报告的质量，1985年，由美国会计学会（American Accounting Association，简称AAA）、美国注册会计师协会（AICPA）、财务经理协会（Financial Executives Institute ，简称FEI）、国际内部审计人员协会（Institute of Internal Auditors，简称IIA）及管理会计师协会（Institute of Management Accountants ，简称IMA）共同赞助成立了“反对虚假财务报告委员会”（National Commission On Fraudulent Financlal Reporting，即Treadway委员会），该委员会所探讨的主要问题之一就是舞弊性财务报告产生的原因，其中也包括内部控制制度不健全方面的问题。两年之后，基于Tdreadway委员会的建议，其赞助机构又组成了一个专门研究内部控制问题的机构——“发起组织委员会”（Committee of Sponsoring Organizations，简称COSO）。由于COSO的努力，20世纪90年代以后，内部控制的研究与实践开始步入一个以强调“内部控制——整体框架”为主导的新阶段。1992年，COSO发布了具有革命性的研究报告：《内部控制——整体框架》，将内部控制定义为由董事会、经理层和其他员工共同实施的，为营运效率、财务报告的可靠性和相关法规的遵守等目标的达成而提供合理保证的过程，并把内部控制整体框架区分为控制环境、风险评估、控制活动、信息与沟通、监督等五个互为关联的组成部分。该框架尽管得到广泛认可，但理论界与实务界还是认为存在缺陷，如对风险强调不够，使得内部控制与企业风险管理无法很好结合（朱荣恩、贺欣，2003）。

为了适应21世纪商业环境发展对内部控制的要求以及风险管理的需要，COSO于2004年9月正式颁布了《企业风险管理——整体框架》，这一报告代表了内部控制理论的最新发展。COSO的2004年报告指出：“内部控制是企业风险管理的有机组成部分，企业风险管理包含内部控制，并形成一个（比 成协议，而是对目标、总的原则、谁享有决策权以及解决可能出现争议的机制等达成协议。

内部控制）更为广泛的管理概念和工具”。因此，内部控制与风险管理之间的融合已是一种必然趋势，这种融合可理解为风险管理包含了内部控制，还可理解为企业风险管理框架就是企业内部控制的外在表现（严晖，2005）。风险管理框架在1992年的整体框架的基础上又增加了三个内部控制要素：目标制定、事项识别、风险评估，同时把内部控制的目标定位提高到战略定位，这是内部控制史的又一次飞跃。

从上述内部控制概念及其理论演变可以看出，内部控制的发展存在一个总的趋势，即目标越来越明确，范围越来越大，边界越来越清晰，内容越来越丰富，且有与管理逐步融合之势。但我们同时要认识到，国外的内部控制概念大多由实务界特别是审计监管组织所界定，它更多的是站在审计与监督立场考虑如何理解和评价现存的或正在运行着的内部控制制度，因而对内部控制的本质揭示不够充分（亚新科集团课题组，2001），内部控制缺乏经济学理论的支撑，较少将制度纳入分析框架，这是其缺陷所在。

基于厘清内部控制与公司治理的关系，还应进一步明确内部控制的主体、客体、功能、目标、构成、手段等方面的问题。内部控制的主体，即制定和实施内部控制的机构和个人，包括董事会、经理人员、职能管理部门、职工等。内部控制的客体，即内部控制的对象和边界，前者是指被内部控制主体加以控制的对象物，包括企业发生的所有交易或事项以及从事、参与这些交易或事项的机构和个人，后者是指内部控制主体对控制对象加以控制的有效范围，即按有关法律法规、章程、合同、协议等，企业应该为之承担责任的所有交易或事项及相关的机构和个人。内部控制的功能，即内部控制客观上能做些什么，主要包括授权分权、权力制衡、激励、制约、指导、评价等主要功能。内部控制的目标在于，通过内部控制的事实，保证企业目标的实现。内部控制的手段，即内部控制主体为实现内部控制的目标，对内部控制客体进行控制的各种方法、措施，具体包括通过公司章程、议事规则、报酬计划与股权合约等进行的公司治理控制；通过机构设置、岗位分离、授权与分权等进行的组织控制；通过招聘、培训、薪酬设计、业绩考核评价、晋升、奖惩等进行的人事控制；通过制定基本制度、管理制度、流程规范、技术规范、业务规范等进行的制度控制；通过授权、批准、制定作业标准、记录、复核等进行的作业控制；通过出入库手续制度、实物防护措施、盘点等进行的实物控制；通过凭证、记录、核对等进行的信息质量控制；通过内部审计进行的综合控制；通过企业的管理哲学和企业文化进行的软控制等。

所以，内部控制是由企业管理当局和其他员工实施的、为确保企业目标的实现、对企业负有责任的所有交易或事项（也可称为作业）及相关机构和人员进行的控制。在本质上，内部控制是在企业内部存在的一个控制机制，是一套控制体系，也是一种制度安排。

（三）公司治理与内部控制的关系

基于公司治理和内部控制各自特定的涵义与本质，我们认为，既不能将二者混为一谈而不加以区分，也不能简单地将二者归结为制度环境与内部监控体系的关系或包含与被包含的关系。

首先，公司治理和内部控制之间有质的不同。二者产生的基础虽然都是委托代理，都是在委托代理关系成为现实的情况下，为实现不丧失控制的授权的一种制度安排，具有思想的同源性，但二者产生的具体背景不同，公司治理产生于两权分离，是基于所有权、控制权、经营权相分离的事实而建立的约束、激励和监督机制，它试图解决所有者与经营者的委托代理问题，主要处理股东（权力人）、董事会（决策层）和经理人员（执行层）三者间的关系；内部控制则解决公司经营管理中由于分权管理所产生的不同层次经营者之间的委托代理问题，主要处理董事会（决策层）、经理班子（执行层）和次级执行层（各部门、单位、职工个人）的关系，二者在主体、客体、功能、目标和手段等方面都存在明确的差异，这就决定了二者存在本质上的不同。

其次，公司治理和内部控制绝非简单的制度环境和内部监控体系的关系。虽然美国注册会计师协会《审计准则第55号》和COSO的《内部控制——整体框架》和《企业风险管理——整体框架》两

个研究报告均把董事会及其对待内部控制的态度视为内部控制的控制环境，而董事会又恰好是现行公司治理结构的核心，但这两个报告同时又明确控制环境为内部控制结构或整体框架的必要构成要

3

素，并非我们所理解的环境。因为制度环境应与内部控制主体相对应并外在于内部控制主体，二者不应存在交叉或重叠，这与企业的管理实践中公司治理结构和内部控制存在的大量交叉和重叠显然不符。

最后，内部控制与公司治理结构之间也不存在严格包含与被包含关系。有人认为，公司治理是内部控制的一个重要构成要素，内部控制包含公司治理结构。这实际上超越了内部控制的边界，人为扩大了内部控制的职能范围。严格来讲，内部控制的主体、客体、功能、手段及其运行不能也无法超越企业这一法律主体及其所承担的责任范围，如果将公司治理结构视为内部控制的一个组成部分，就混淆了不同治理主体的权、责、利关系，也混淆了公司治理与公司管理之间的关系，不利于公司治理结构的建立及其功能作用的发挥。

基于以上的分析，我们认为，对于公司治理与内部控制之间关系的把握，应注意如下三个方面： 第一，二者互为前提，相互影响，相互促进。公司治理与内部控制同属为保证企业正常运行的制度安排。内部控制是企业管理的一部分，是公司治理结构中基于董事会与管理者、管理层上下级间的委托代理关系而产生的一种监督机制，也是公司治理契约在企业组织内部的进一步延伸。公司治理功能作用的有效发挥，需要以健全完善的内部控制的有效运行为基础，缺乏有效的内部控制，公司治理结构将成为“空中楼阁”；同样，科学的公司治理结构会促使内部控制的不断健全、完善和有效运行，缺乏完善的公司治理结构，内部控制的建立和运行也只能是“无本之木”、“无源之水”。

第二，二者既相互交叉，又各有侧重，共同构成企业的运行机制体系。作为两种制度安排，公司治理和内部控制既不相互独立，又非完全重叠，而是相互交叉，各有侧重。其交叉在于：从实施主体看，二者都包括公司的董事会和经理；从控制手段来看，二者都包括约束、激励、监督、评价等基本手段。但是，二者又分属两个不同层次的制度安排，公司治理处理的是股东、董事会和经理人员三者间的关系，居于较高层次；内部控制处理的是董事会、经理班子和各部门及职工个人的关系，居于较低层次。

第三，二者的最终目标一致，内容相互关联。虽然公司治理和内部控制的具体目标有所不同，但在最终目标上却存在高度的一致。无论是公司治理还是内部控制，都致力于企业的正常、有序、高效地运行，确保企业目标的实现。同时二者在内容上也相互关联。在公司治理结构中，除独立于企业业务系统的股东、监事会行使监督权外，其余的监督权、决策权和执行权都要落实到董事会、经理人员、职能部门、业务部门、岗位乃至职工个人，纳入内部控制的总体框架之下。

基于内部控制与公司治理结构之间的这种内在关系，在内部控制制度的建立、完善和实施过程中，必须从系统观的高度考虑公司治理结构和内部控制的对接与互动。

三、公司治理与内部控制的对接与互动

公司治理与内部控制作为实现企业目标的重要手段，两者互为促进。如果缺乏有效的治理结构，内部控制制度即使再健全，也难以得到有效的贯彻与执行，其作用将极其有限。同样，如果没有健全的内部控制，公司治理也将因缺乏实际内容而难以落实到实处。因此，在企业的经营实践中，人为地将公司治理与内部控制割裂开来，单纯强调其中之一，都将不利于企业目标的实现。只有将内部控制与公司治理进行有效的对接，以此来克服公司治理与内部控制的局限性，完善公司治理机制与内部控制机制。

（一）内部控制与公司治理对接的可能性

3

我们所理解的环境应是对内部控制活动产生影响的各种内部与外部条件，它是外在于内部控制主体的各种影响因素。

公司治理与内部控制可以从两方面进行有效对接：组织结构与公司管理。

从组织结构来看，公司治理结构主要包括股东会、董事会和经理班子，这三者是公司治理结构的主体，其中董事会是核心。而总经理之下的业务执行系统，未纳入传统公司治理结构考虑范畴。

内部控制则包括董事会、经理班子和次级执行层，这三者是内部控制的主体，经理层处于核心地位。

因此，从组织结构来看，董事会和总经理既是公司治理结构的主体，又是内部控制的主体，在公司治理结构与内部控制的控制主体上存在交叉。而公司治理与内部控制的控制手段的相同性、目标的一致性、内容的关联性又为二者的对接提供了具体的、丰富的内容。公司治理与内部控制在组织结构上的对接可用图1表示：

公司治理组织结构 公司治理内部控制在组织结构中的对接区域 内部控制组织结构 股东会 董事会 经理层 部门经理员 工

图1 公司治理与内部控制的组织结构对接图

从管理层次上来看，公司治理与公司管理是同一硬币的两个面，谁也不能脱离谁而存在。公司治理规定了整个企业的基本网络框架，公司管理则在这个既定的框架下驾驭企业奔向目标，两者在公司战略层次上连接起来。战略管理成为维系公司治理与公司管理的根本纽带。内部控制作为公司管理职能的一部分，随着其目标的日益扩展，也逐渐由公司管理的业务层上升到战略层。COSO《企业风险管理——整体框架》的重大贡献在于引入了战略目标，将目标设定的视角首次导向企业的整体层面，其隐含的控制已和公司管理相融合，涉及公司管理的所有层次，控制和管理的职能与界限已经模糊。因此，从公司管理上看，公司治理与内部控制可以在战略管理与风险控制上相衔接。用图2表示如下：

公司治理 战略管理和风险控制 （公司治理与内部控制 在管理中的对接区域） 内部控制 公司管理

图2 公司治理与内部控制的战略管理风险控制衔接图 （二）内部控制与公司治理对接的方式 既然内部控制与公司治理有必要对接，又有可能对接，那么采用何种方式来实现它们的对接呢？

我们认为，可以通过内部控制内涵的扩展来达到目的。从内部控制发展来看，导致内部控制与公司治理脱节的根源在于我们对内部控制的理解仅仅停留在会计控制或管理控制之上，未能对其进行拓展。

根据科斯的理论，企业和市场都是交易的一种组织形式，所不同的仅是交易成本的大小。企业相对市场而言是一种不完备的契约，要使交易从市场转移到企业内部，就需要在企业内部存在一个有效的控制机制来弥补企业契约的不完备性，减少交易成本，保证企业的正常运作和发展。这可视为企业内部控制的本质（刘明辉、张宜霞，2002）。企业是一个有机构成的系统，要对它实施有效的控制，必须从系统整体的角度来考虑问题，必须从企业整体的角度来定义和设计控制体系。根据控制机理的差异以及前面的分析，可以把企业内部控制进一步分为企业治理控制、管理控制和作业控制。

企业治理控制是内部控制的最高层次，是内部控制与公司治理的对接点。企业治理控制通过所有权的适当配置，建立合适的委托代理契约关系，保证企业投资者的利益能够得到企业内部代理人的有效维护。企业治理控制的目标是战略与风险控制，其表现形式主要是董事会与高级管理人员之间的控制、约束管理，既包括显性的组织结构上的职权分配控制，又包括隐性的各种激励机制。它要确保企业长期战略目标和计划得以确立，确保整个管理机构能够按部就班的实现这些目标和计划，还要确保整个管理机构能够维护企业的向心力和完整，保持和提高企业的声誉等。战略目标是企业内部控制的最高层次目标，为实现这一目标，有必要对目标进行细化，将战略目标转化为经营目标，而这些细化的经营目标的实现就需要管理控制与作业控制来保证。

企业管理控制是内部控制的第二个层次，它以经营管理权为基础，控制主体一般包括高级管理层、中层管理层、内部审计组织、一般员工等，涉及的范围主要是企业日常管理的控制与约束。当企业设定了目标之后，就开始制定计划，向各部门分派任务，雇佣人员，对人员进行培训和激励。为了保证业务活动按照既定的计划进行，就需要监控其组织绩效，将实际表现与预先设定的目标进行比较。如果出现任何显著的偏差，就采取措施使其回到正确的轨道上来。因此，企业管理控制是对企业管理的直接控制，它直接对企业生产经营中的各种资源进行监督和控制，直接影响到企业利润目标的实现。

作业控制是内部控制的第三个层次，是最基层的控制。它是以部门以及部门内部的职责分工为基础，是企业员工与作业之间的一种控制关系。作业控制主要由中层管理者以下的员工来完成，所面对的主要是企业内的日常业务和事项。

从企业整体上来看，企业治理控制、管理控制和作业控制是企业整体内部控制的三个子系统，每个系统都有各自的运作机制，又通过系统间有机联系和作用结合在一起构成整个内部控制系统。

通过扩展内部控制的内涵，在企业内部控制系统的治理控制这一层次上可以实现内部控制与公司治理的对接。在企业治理控制这个层次上，应把公司治理结构的设计和内部控制的机理相结合，公司治理结构设计不仅要体现股东大会、董事会、监事会、经理层间的制衡，还必须从治理机制设计上为上述机构间的分级授权和不相容职务间的制衡提供制度保障。

在以董事会与高级管理人员为主体的治理控制中，董事会是控制的中心。因为在股权高度分散情况下，董事会既是连接出资者和经营者的桥梁，又是公司的权力中心。董事会的作用在于选聘高管人员、考评并更换不称职的管理者、行使决策权并代表股东监督经理层。内部控制是董事会抑制管理人员机会主义倾向，保证法律、公司政策及董事会决议切实贯彻实施的措施；内部控制以及涉及内部控制的信息流动构成解决信息不对称、保证会计信息真实可靠的重要手段，而确保信息质量是董事会不可推卸的责任。因此，要使企业治理控制发挥有效作用，就需要完善董事会构建机制，加强董事会在内部控制中的核心地位。

（三）内部控制与公司治理的互动

内部控制与公司治理相互影响，不可分割。从内部控制而言，它是公司治理契约在企业内部的进一步延伸。完善的内部控制能保证相关法律法规及公司规章制度的遵循以及董事会决议的贯彻实施，从而有利于董事会对经营管理者行为的约束；而内部控制对财务信息真实、可靠的合理保证，既有利于保证董事会对重大问题决策的正确性，也有利于消除所有者与经营者之间的信息不对称。另外，《企业风险管理——整体框架》中许多针对风险管理的方法，将控制从事后事中延伸至事前，有利于提高决策的科学性，董事会还可以通过风险管理框架渗透到公司的各个层次，贯彻其治理理念，从而更好的监督公司管理层，所有这些均有利于公司治理目标的实现。从公司治理而言，公司治理机制有效，董事会才能履行其引导、监控的责任，从而保证不同层次控制目标的一致性；才能从源头实施内部控制，避免内部控制的控制域中存在的盲区域或弱区域，杜绝虚假信息与经济舞弊行为的发生，维护各利益相关者的权益。

因此，公司治理结构的建设要遵守有关的法律法规，还要融合公司文化、内部控制等内在制度因素，内部控制的建立要体现公司治理的本质要求并以实现其目标为起点，公司治理结构的落实应以健全完善的内部控制的建立和高效运行为基础。如果内部控制不能与公司治理兼容，将导致治理成本骤增；如果没有健全的内部控制，公司治理留下的空间将导致机会主义行为，由此可能演变为制约公司发展的顽疾（程新生，2004）。内部控制与公司治理相得益彰。离开公司治理，内部控制就缺乏完整性，实现不了有效控制；而没有完善的内部控制做支撑，公司治理所追求的公平与效率目标也必然会落空。

四、公司治理结构下的我国内部控制规范体系建设

为了发挥内部控制在企业科学管理中的作用，我国从上个世纪90年代起开始重视内部控制的建设，相继颁布了一系列与之相关的法律法规，这些法律法规对于改善我国内部控制现状起到了重要的作用。然而，近年来我国经济活动中出现了经济舞弊、虚假信息以及企业在经营中无视风险等一些具有广泛代表性问题。这些问题的出现与我国内部控制规范建设中缺乏对公司治理结构的重视有关，同时也说明了我国的内部控制规范建设尚不完善，还有继续改进的空间。从前面对内部控制的分析我们可以看到，随着对内部控制研究的深入，内部控制的内容不断得到深化，人们越来越认识到公司治理结构对于内部控制的重要性。因此，适当借鉴英美等发达国家内部控制的有益经验，从公司治理结构的角度来研究建立、健全内部控制制度，对于推进我国内部控制规范体系建设意义重大。

通过对我国目前已经出台有关内部控制规范的研究可见，有关内部控制的原则性要求，现在已经融入到相关法律、政策之中，或者体现为单独的规章制度，很多规模较大、管理比较规范的企业在继承长期存在的管理思想和管理经验的基础上已经按照有关法规的要求建立起较完善的内部控制制度。但是从1996年末中国注册会计师协会发布《内部控制与审计风险》以来，中国相关部门提出内部控制这一概念不过才七八年的时间，关于内部控制的定义和内容也几经演变，但至今尚未提出类似COSO报告那样受到广泛认可的内部控制标准体系，有些指导原则或指导意见比较概括，对企业内部控制制度建设缺乏具体的指导，即使2002年以来新发布的有关内部控制规范有向COSO报告靠拢的趋势，但主要也是从从审计角度发布的，无法作为指导企业设计和执行内部控制的直接依据（周勤业、王啸，2005）。虽然财政部发布的有关内部会计控制的规范比较详细，具有一定的可操作性，但这些规范将内部控制定位于内部会计控制，兼顾与会计相关的控制，难以充分发挥内部控制制度对企业经营的促进作用，因此，在进一步规范我国内部控制体系的过程中尚有如下两类问题有待进一步地研究与完善。

（一）完善我国内部控制规范体系应当考虑的五个主要问题

第一，是制定机构问题。以独立的专门机构来对内部控制进行专门的研究，无疑能提高研究的系统性与深度，其研究成果也具有更高的代表性和权威性。在美国，由AICPA等专业团体共同发起设立COSO组织，专门从事内部控制的研究；英国也成立了各种委员会发布有关内部控制的专门研究报告，如著名的卡德伯利报告等。而我国有关内部控制的指导原则、指引、规范则主要出自不同的政府部门，不利于内部控制规范的统一与协调，不利于企业内部控制规范的贯彻与实施。内部控制体系及规范的建设、完善不是短期内就能完成的，也不是单靠某个政府部门的努力就可以达到的。为此，我国相关部门、机构应通力协调合作，财政部、中注协、证监会等应联合成立专门的内部控制研究机构，广泛吸收社会各界人士参与内部控制体系、规范研究和制定，提供高水平、切合中国企业实际情况、可操作的、权威性的内部控制框架与实务指引。

第二，是内部控制目标问题。内部控制目标的定位是内部控制存在及存在形式的根本所在，也是建立内部控制框架体系以及进行内部控制设计、评价和考核的原则指导与参照（陈玲，2001）。早期的内部牵制主要关注资产的安全与完整、财务信息的可靠性，以防弊为主要目标。COSO报告和哈姆佩尔报告将内部控制的目标定位于财务报告的可靠性、经营的效率效果及法律法规的遵循性，而《风险管理框架》和特恩布尔报告在此基础上增加了战略目标，美英内部控制目标呈范围由小到大、层次由低到高、目标多元化且逐渐扩展与明确的发展趋势。

而我国内部控制规范是“以单位内部会计控制为主，同时兼顾与会计相关的控制”，内部控制的目标仅局限于保证业务活动的有效进行、防错纠弊、会计资料的真实、合法与资产的安全和完整方面。这种目标定位相对较低，与美英内部控制目标定位相比还有较大差距，缺失追求经营效果与效率这一目标，存在一定的局限性。尽管这与我国目前经济环境和企业现状较为符合，但随着经济社会的不断发展和企业状况的不断改善，目标定位还应有一定的前瞻性，以避免由于日后频繁的修订影响规范的可操作性及稳定性。为此，我们不仅需要借鉴国际上有关内部控制的目标定位，同时也需要立足于中国的现实，从改善中国企业现状和完善公司治理的角度出发，既遵循适当的前瞻性与发展性，又要考虑规范的稳定性与可操作性，从而给中国的内部控制一个合适的目标定位（陈玲，2001）。根据我国企业的实际情况，内部控制目标可以设为报告的可靠性、经营的效率与效果、经营的合法性。此内部控制目标可按公司治理控制、管理控制、作业控制来进行进一步具体的分解。

第三，内部控制规范体系问题。目前，我国虽已制定了内部控制的各种规范，但从完整性来看，还远未达到社会主义市场经济对内部控制规范体系完整性的要求。我国应努力完善内部控制规范体系。

首先，有关机构在建立、健全内部控制法规体系时，应注意内部控制相关法规之间的协调统一。例如，在《公司法》、《证券法》、《会计法》及其相关行政法规涉及内部控制时，对其概念、目标、内容等表述要统一规范，要起到对内部控制专门规范的统驭作用，避免不能自成体系或相互矛盾。

其次，在公司治理规范中应有内部控制的专门规定。内部控制作为管理当局为履行管理目标而建立的一系列规则、政策和组织实施程序，与公司治理是密不可分的。事实上，各国有关公司治理的法规和准则中都对内部控制做出了基本要求。例如，美国内部控制从制度发展到三要素构成的结构和五要素构成的框架，与美国《反海外腐败法》的颁布与完善是分不开的。而英国内部控制的发展离不开公司治理的推动，内部控制研究均置于公司治理的框架之内，将内部控制作为公司治理的组成部分。因此公司治理规范中必须提出对内部控制构建的基本要求，从而保证内部控制目标与公司治理目标的高度一致性。

再次，内部控制体系及其规范至少应包括内部会计控制和内部管理控制两个方面。内部控制从管理结构上分为内部会计控制和内部管理控制两个方面。虽然COSO报告表面上没有区分会计控制与管理控制，但从其确定的五大要素来看，显然还是由用于保证财务报告可靠性的会计控制和用于保证经营活动的效率与效果的管理控制所构成。英国内部控制的发展，经历了财务控制、财务控制与管理控制相结合、内部控制与风险管理相融合等几个阶段，其范围不断扩大，早已超出了会计控制的范围（王光远、刘秋明，2003）。然而我国内部控制规范内容主要集中在内部会计控制领域，忽

视了内部管理控制。《会计法》、《企业内部会计控制——基本规范》等法律规范主要是从会计控制的角度来规范内部控制；独立审计准则中的定位也是着重在企业的会计责任方面。为此我国应建立一个包括内部会计控制和内部管理控制的完整的内部控制规范体系。

最后，应该建立内部控制评价规范。内部控制评价是对内部控制执行设计和有效性的检测，是内部控制得以建立、健全并有效实施的重要措施，也是发现内部控制的缺陷或薄弱环节，不断改进与完善内部控制的重要保障（古淑萍，2003），为此企业需要按一定标准和方法进行内部控制自我评估。为了评价内部控制系统的有效性和恰当性，1987年加拿大海湾公司最早提出了控制自我评估方法（CSA），20世纪90年代CSA得到不断发展，特别是在1992年COSO报告公布之后。英国一直重视内部控制的自我评估，卡德伯利报告和哈姆佩尔报告要求对内部控制系统进行复核，而特恩布尔报告用了相当大篇幅对内部控制自我评估做出了原则性的规定。美国的相关法律条款和实务都要求在内部控制评价的早期确定科学的评价标准，且由美国证券交易委员会（SEC）形成了最终的规则。目前，我国缺乏一套完整的内部控制评价标准，已制定和出台的内部控制规范，对这方面的内容尚未作为主要部分以予重视，造成内部控制评价流于形式，进一步导致企业内部控制形同虚设。我国应从评价内部控制的健全性、合理性和有效性角度规定评价的指标、程序、方法、形式、责任等内容，建立一套完善的、符合实际的、具有可操作性的评价规范，使内部控制评价落到实处。

第四，企业内部控制的责任主体问题。从某种意义上说，内部控制由谁负责，是关系到内部控制能否发挥实效的根本问题。较传统的观点认为，内部控制理应由公司总经理（经营层）负责。但是，将内部控制职责交由总经理或经营层的最大问题在于，经营层控制下的内部控制也许能够按照经营者的意志有效运行（比如可以防止和及时发现底层员工和特殊岗位员工舞弊），但难以有效地维护股东和债权人的权益。近年来不少案件表明，很多舞弊行为都直接来自公司高层，高层舞弊活动大大限制了传统内部控制的作用。

近年来，内部控制有效运行的重要性开始得到董事会的强调与重视。例如COSO报告在1994年修订后，在关于控制环境的论述中，包含了股东大会、董事会等公司治理的有关内容，2004年发布的《企业风险管理——整体框架》则特别强调董事会在企业风险管理方面的重要角色。英国从开始就将内部控制置于公司治理框架中进行研究，其有关内部控制规范、公司治理规范均强调董事会对内部控制的责任。

我国法律法规没有明确规定内部控制的责任主体，虽然有部分文件间接要求监事会、审计委员会对内部控制制度制订和执行情况进行监督，但这些规定过于简单，仅仅强调监事会、审计委员会对公司内部控制的监督、审查责任，并未直接明确内部控制的制定和执行由谁负责的问题。

尽管我国《公司法》规定了股东大会、董事会、经理层和监事会三权分立的组织架构。但是由于我国上市公司特殊的股权结构，监事会形同虚设、董事会受到管理层控制或大股东控制的问题普遍存在。我国的内部控制问题，突出表现在由于公司治理的不健全，关键人凌驾于内部控制之上，管理层串通舞弊。针对我国这种现实，合理的选择应该是由董事会和管理当局承担内部控制及信息披露的责任。并将董事会、管理当局对内部控制的责任落实实际执掌公司大权的关键人和实际负责公司资产安全和财务可靠性的高级管理人员身上。借鉴《萨班斯——奥克斯利法案》，考虑我国法律现实，应该要求公司法定代表人（董事长）、总经理和财务负责人（总会计师或财务总监）组成的管理当局对内部控制的设计和有效运行负责，并在财务报告内部控制报告上面签字盖章（周勤业、王啸，2005）。

第五，内部控制体系的内容构成问题。关于内部控制体系的内容构成，我国仍停留在内部牵制和内部控制制度阶段，并没有明确内部控制的构成要素，而是直接列出了内部控制的内容。从一定程度上讲，也就是将内部控制的设置限定在业务内容层次上进行。譬如，现行的内部会计控制规范均以具体内容而非要素形式存在，包括货币资金、实物资产、对外投资、工程项目、采购与付款、筹资、销售与收款、成本费用、担保等经济业务的会计控制。而美国的内部控制已采用内部控制要素的观念，内部控制的设立是按照业务循环及每个业务循环的五项或八项构成要素来进行的。按照

业务内容来设置内部控制制度，首先面临的问题就是须制订各个项目的内部控制制度，这会出现大量的内部控制制度的重复，并且不易被企业及企业各部门所理解。同时这种按业务内容制定的具体规范将会由于行业特点的不同，导致每个行业需按自身需要再制定适用的内部控制制度，不利于降低控制成本。而且随着中国经济的迅猛发展，相应的与企业内部控制相关的内容范围也会越来越宽泛，按业务内容制定内部控制规范也缺乏稳定性。按照业务循环要素设置内部控制可以避免按业务内容设置内部控制的繁杂程序，强调具体控制的构成要素对不同业务性质的企业更具有普遍性的指导意义。为建立一个我国统一的内部控制规范整体框架，不能局限于中国现有内部控制规范的内容范围，应该借鉴国外内部控制的要素理论。当然为利用按业务内容设置内部控制具有针对性、容易揭示出管理中主要问题的优点，我们可以在统一的内部控制规范整体框架下再提供进一步的操作规范，指导企业内部控制的设计与执行。

（二）内部控制规范体系建设中需要重点研究的三个问题

从我国现有的有关内部控制规范的内容来看，我国企业的控制环境、风险管理、信息沟通等方面相对较弱，在今后内部控制内容范围的制定中需加以强调，故下文进行专门讨论。

第一，内部控制环境问题。内部控制环境指建立、加强或削弱特定政策和程序效率发生影响的各种因素，是企业能否建立和实施有效的内部控制制度的基础。任何内部控制规范都是在特定的控制环境中实施的，内部控制规范功能发挥的过程就是内部控制规范与控制环境相互作用的过程，控制环境将直接决定到内部控制规范实施的效果。美国的COSO报告以及英国的特恩布尔报告等非常重视内部控制的控制环境。而我国在各种内控指导原则、意见或指引中对内部控制环境这一要素缺乏详细的规范。因此，在完善我国内部控制规范体系的同时，应强调优化控制环境，推进内部控制规范的实施，特别是对于我国控制环境薄弱的现状更应如此。针对现实，我们认为优化我国内部控制环境应从以下几个方面入手：一是优化企业内部控制宏观环境。包括加快现代企业产权制度改革，优化上市公司股权结构，推进产权主体多元化；建立健全产品市场、经理市场体系，完善企业竞争机制；完善会计审计监督体系，提高社会会计监督质量；加快司法改革，强化监管执法力度等。二是加强企业法人治理结构的建设，使董事会、监事会、经理三者相互制衡，从根本上改善内部控制环境。包括强化董事会的独立性、权力和职能，强化董事会在内部控制中的核心地位；完善董事会专业委员会职能以及决策与监督程序，为董事会核心作用的发挥提供信息与技术支持；完善监事会制度，强化监事会的财务监督职能等。三是改善人力资源管理机制，提高企业员工的整体素质。包括运用市场机制选择合格人才；建立有效的激励与约束机制；加强公司员工宣传教育，使全体员工特别是管理人员树立内部控制理念等。四是重塑企业文化，增强企业凝聚力。

第二，内部控制风险管理问题。当今社会经济环境日趋复杂，企业不可避免会遇到各种风险，因此企业应建立风险管理机制，以防范规避风险。而分析和辨认风险是有效内部控制的关键组成要素。从COSO的两份重要报告中可以看出，不论是1992年的《内部控制——整体框架》，还是2004年的《企业风险管理——整体框架》，均把风险管理作为主要内部控制要素，强调识别和管理风险的重要性，强调企业的风险管理应针对企业目标的实现并且在企业战略制定阶段就予以考虑。而英国的特恩布尔报告则扩大了内部控制的范围，将内部控制与风险管理合为一体，认为两者是近乎等同的概念。可见，内部控制和风险管理日益融合，风险导向已是内控控制的发展方向。

近年来，我国企业开始重视传统的内部控制概念，但对风险的认识还远远不够，这一点从2004年11月发生的“中航油事件”可以充分意识到。虽然《内部会计控制规范——基本规范试行》第二十四条要求单位树立风险意识，针对各个风险控制点，建立有效的风险管理系统，通过风险预警、风险识别、风险评估、风险分析、风险报告等措施对财务风险和经营风险进行全面防范和控制，强调风险控制，强化风险管理，适合当前的现实需要。但我国还没有把内部控制与风险管理紧密结合，没有把风险管理作为内部控制的主要手段，对风险评估与管理这一内部控制要素要么不涉及，要么

语焉不详。

内部控制是一个系统工程，风险管理是一个更大的系统工程。为防止风险、及时地发现风险、预测风险可能造成的影响，并设法把不良影响控制在最低的程度上，达到与企业整体经营战略相结合的风险最优化，我国内部控制必须从风险管理的角度展开，内部控制体系及规范的建设必须将风险管理考虑进去，使风险管理成为一种重要的控制和检验手段。为此各个企业应制定严密的业务操作规程及信息传输报告制度，建立一个有效的全面风险管理体系（包括风险识别、风险评估、风险控制等），对整个企业每个层次和部门的业务单位、各个种类的风险进行通盘管理。

第三，内部控制信息披露问题。信息交流与沟通是内部控制重要要素，有效的内部控制必须建立有效的内部控制信息交流沟通渠道，包括内部沟通和外部沟通。内部沟通要确保所有员工充分理解和支持现行的内部控制政策，了解在内部控制中所扮演的角色、所担负的责任，使内部控制有效发挥作用。外部沟通则通过内部控制的信息对外披露，可以使企业外部人员（包括投资者、债权人、注册会计师等）了解企业内部控制的设置情况及存在的风险，从而做出相应的决策，同时也可以督促企业自觉地建立与实施有效的内部控制制度。为此国际上内部控制制度比较完善的国家和地区，大都要求企业对外界出具内部控制的报告，有些国家还要求注册会计师对内部控制情况进行审计，并出具审计报告。美国在《审计鉴证准则——第六号》中就明确规定了需要注册会计师审计和披露的关于公司内部控制问题的内容（黄淑芬，2002）。英国的卡德伯利报告要求董事会应对公司内部控制的有效性进行报告，外部审计师要对此进行复核和报告。哈姆佩尔报告、特恩布尔报告均有类似的规定。

2000年中国证监会发布的《公开发行证券公司信息披露编报规则》第1、3、5号均要求商业银行、保险公司、公开发行证券公司建立健全内部控制制度，并披露对内部控制制度完整性、合理性和有效性的自我评估意见。同时要求注册会计师对其内部控制制度及风险管理系统的完整性、合理性和有效性进行评价，提出改进意见，并以内部控制评价报告的形式做出报告。仔细分析我们不难发现：首先，对于一般上市公司，我国仅要求在上市公告书中披露企业建立内部控制制度，年度报告中并无内部控制报告方面的要求。实际上我国上市公司自愿披露内部控制信息者寥寥无几（周勤业、王啸，2005）。其次，这些规范对于内部控制报告的格式和内容尚缺乏详细规定。这不仅造成上市公司披露时无所适从，导致上市公司信息披露很不规范，更使得一些上市公司应付了事，不披露详细的信息。相关的实证分析也证实了这一点（李明辉等，2003）。第三，仅要求会计师事务所对内部控制制度提出改进建议并出具评价报告，并未要求会计师事务所对管理当局出具的内部控制自我评价报告进行验证；另外，评价报告只要求随年度报告一起报送有关监管部门，并未要求公开披露，这不利于形成对企业设置有效内部控制的动力，也不利于提高公司披露内部控制信息的可靠性。

鉴于以上我国内部控制信息披露的不足，我们认为，应当要求所有上市公司董事会在年度报告中披露内部控制的有关信息，同时要求监事会和审计委员会发表对内部控制进行评价的意见。为了防止内部控制信息披露的形式化，可以借鉴美国的做法，要求管理当局提供单独的内部控制报告。相关规范必须对内部控制信息披露的具体内容和格式做出详细规定，以统一上市公司的内部控制信息披露行为，加强制度的可操作性。对于披露的内容，我们认为《萨班斯——奥克斯利法案》的规定可资借鉴，即内部控制报告应当包含两个实质内容：一个是管理当局的责任声明，即管理当局负责为财务报告目的建立内部控制的结构和程序，并负责其有效运行；另一个就是管理当局对这部分内部控制有效性的自我评价。最后为了提高内部控制报告的可信度，还可考虑由注册会计师进行验证，并提供审核报告。相关机构也应加强对上市公司内部控制信息披露的监管，对不披露内部控制信息、披露虚假的信息或者隐瞒内部控制存在的不足的，应当予以惩处。

结 语

公司治理结构与内部控制均是企业为解决代理问题、降低代理成本而做出的一种制度安排。从企业契约理论的角度来看，内部控制可以看作是公司治理这个不完全契约在企业内部的进一步延伸。

公司治理与内部控制既非简单的环境与制度的关系，也非包含与被包含的关系。事实上，公司治理与内部控制在控制手段上基本相同，在内容上相互关联，它们两者既相联系，又相区别；既相互影响，又相互促进；既有交叉，又各有侧重。因此在实践中，为保证企业最终目标的实现，就需要将二者进行有效的对接。这种对接，在结构上表现为二者在董事会与经理层之间的交叉；在内容上表现为战略管理与风险控制的一致；在形式上表现为内部控制的拓展。自20世纪90年以来，我国已经出台了一系列与内部控制相关的法律法规。尽管这些法律法规对于加强我国内部控制规范建设、促进我国企业的科学管理、强化企业内部的监督起到极其重要的作用，但是内部控制规范不完善、企业内部控制不健全的现象仍普遍存在，内部控制规范建设中还有许多问题值得思考，其中值得注意的一点就是，我国企业内部控制研究及其规范建设必须考虑公司治理结构对内部控制的影响，必须强调董事会在公司内部控制中的重要作用，这也应该成为内部控制今后进一步发展的一个重要方向。

参考文献：

1.陈慧.2004.现行企业内部控制制度存在的问题及其对策.南京财经大学学报，3：83-85。 2.陈继云.2002.COSO报告与内部控制研究.上海会计，6：42-44。 3.陈玲.2001.关于我国内部控制规范建设的思考.会计研究，8：50-52。

4.程新生.2004.公司治理、内部控制、组织结构互动关系研究.会计研究，4：14-18。 5.冯均科.2001.不同产权结构下内部控制效率的研究.中国工业经济，8：28-33。 6.冯忠铭.2005.我国企业构建有效内部控制制度的对策探讨.引进与决策，9：30-31。 7.古淑萍.2003.内部控制与公司治理结构.经济问题探索.9：59-61。

8.胡彦燕.2003.内部控制与风险管理——特恩布尔报告及其启示.财会月刊，A12：43-44。 9.黄世忠.2001.强化公司治理、完善控制环境.财会通讯，1：33-34。

10.黄淑芬.2002.健全的内部控制制度是公司科学治理的保障.商业研究，.8：53-55。 11.李立平、王军茹.2004.内部控制与公司治理的互动模式研究.财会月刊，B9：69-70。 12.李连华.2005.公司治理结构与内部控制的对链接与互动.会计研究，2：64-69。 13.李凤鸣.2002.内部控制学.北京：北京大学出版社。

14.李明辉.2003.内部公司治理与内部控制.中国注册会计师，11：22-24。 15.李明辉.2002.内部控制与会计信息质量.当代财经，3：72-77。 16.李明辉、张宜霞.2002.内部控制的经济学思考.会计研究，8：54-56。 17.李明辉等.2003.我国上市公司内部控制信息披露状况的分析.审计研究，.1. 18.李仁安等.2001.论构建我国企业内部控制框架.武汉理工大学学报，6：76-79。

19.林朝华、唐予华.2003.CSA内部控制系统评价的新观念与新方法.上海会计，1：15-18。 20.娄权.2002.公司治理结构中的会计控制创新.金融会计，.5:28-30。

21.孟焰、朱小芳.2004.“企业内部控制与预算管理”专题研讨会综述.会计研究，92-94。 22.潘俊、许良虎.2005.上市公司内部控制信息披露问题初探.事业财会，1：19-20。

23.潘晓梅.2003.完善企业内部控制环境的有效途径.西北民族大学学报（哲学社会科学版），6：44-48 24.潘煜双.2004.内部控制目标定位的现实思考.嘉兴学院学报，1：69-73。

25.宋鑫.2004.现代公司治理下的内部控制目标构建.郑州航空工业管理学院学报（社会科学版），3：31-33。 26.唐予华、李明辉.2003.内部会计控制与会计信息质量研究.北京：中国财政经济出版社，48-75。 27.田志龙.1999.经营者监督与激励.北京：中国发展出版社，85-90。

28.王光远、刘秋明.2003.公司治理下的内部控制与审计——英国的经验与启示.中国注册会计师，2：17-21。 29.王正伟.2001.略论现代企业制度下内部控制框架的构建.审计研究，4：57-59。 30.吴水澎、陈汉文、邵贤弟.2000.企业内部控制理论的发展与启示.会计研究，4：2-8。

31.王蕾.2001.内部控制与公司治理.四川会计，6:17-18。

32.许家林.2002.我国内部会计控制规范建立及其运行的基础.会计论坛，1：76-84。 33.徐雷.2005.由中美内部控制规范引发的思考.辽宁教育行政学院学报，3：38-39。

34.亚新科集团内部控制管理程序修正课题组.2001.现代企业内部控制制度：概念界定与设计思路.会计研究，11:19-29。

35.严国强、倪鹏翔.2004.萨班斯—奥克斯利法案下的内部控制框架思考.中国注册会计师，9：66-68。 36.阎达五、杨有红.2001.内部控制框架的构建.会计研究，2：9-14。

37.严晖.2005.公司治理、公司管理与内部控制.财会通讯（学术版），4:10-14。 38.杨雄胜.2005.内部控制理论研究新视野.会计研究，7:49-55。 39.杨小舟、张南海.企业内部控制框架比较与应用.新理财，40-49。

40.杨有红、胡燕.2004.试论公司治理与内部控制的对接.会计研究，10：14-14。 41.叶祥松.2000.国有公司产权关系和治理结构.北京：经济管理出版社。 42.张安明.2002.从美国财务危机看COSO报告.会计研究，8:61-62。 43.张安明.2002.内部控制与公司治理研究.厦门大学博士论文，7。 44.张宝贵.2003.现代企业内部控制的制度创新.审计与经济研究，1:53-57。 45.张宜霞.2004.内部控制——基于企业本质的研究.北京：中国财政经济出版社。 46.郑志刚.2004.投资者之间的利益冲突和公司治理机制的整合.经济研究，2:115。 47.周勤业、王啸.2005.美国内部控制信息披露的发展及其借鉴.会计研究，.2：24-31。 48.朱荣恩、贺欣.2003.内部控制框架的新发展－企业风险管理框架.审计研究，6:11-15。

49.Committee of Sponsoring Organizations. Internal Control-Integrated Framework Executive Summary.

50.http://www.coso.org/publications/executive_summary_integrated_framework.htm. 2005年9月19日访问。

51.Susan Schmidt Bies. 2004. Current Issues In Corporate Governance - Effective Risk Management. Vital Speeches of the Day，4：26.

52.The Committee on the Financial Aspects of Corporate Governance and Gee and Co. Ltd.1992.The Financial Aspects of Corporate Governance. （即Cadbury Report）.

53.The Committee on Corporate Governance.1998. Hampel Committee, Final Report.

54.The Institute of Chartered Accountants in England & Wales.1999. Internal Control-Guidance for Directors on the Combined Code.

55.The committee of sponsoring organization of the Treadway commission（COSO）.2004.Enterprise risk management-integrated framework, executive summary.

A study on internal control based on corporate governance structure

Project Studies Team

Abstract Corporate governance structure and internal control system have a close relation.They not only affect each

other, but also promote each other. Joining corporate governance structure and internal control system with organization structure and strategic management,we can simultaneously help achieve their goals through governance control、management control and activity control. Finally, the paper analyzes the norms construction of internal control system in Chinese corporation.

Key words corporate governance structure internal control join norms construction