1、企业内部控制流程梳理与构建,张庆龙教授、博士、博士后国际注册管理咨询师、硕士生导师 青联委员 北京市审计局特聘专家 中国审计学会教育分会理事 北京市财政学会理事、中国商业会计学会理事 中国内部审计协会质量监督委员会委员 E-mail：,2,今天上午研讨的主题内部控制如何理解 企业生命周期与内部控制建设要点 目标管理VS流程管理 内部控制与流程梳理之间的关系 集团公司内部控制常见问题与建设中存在的问题,内部控制为什么会受到如此关注,4,+,=,内部控制是什么？,为什么 控制,控制 什么,谁来 控制,+,帮助达成 组织目标,风险:人，财 物，信息,董事会、经理 层、员工层,7,内部控制，是由企业董
2、事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。,5,内控是什么, 是门锁，是刹车 是护腕、护膝 是安全带，是保险丝 是救生圈，是防弹衣 是紧箍咒，是抓手,不是口号标语不是制度手册不是万能补药不是公证处,多了一份程序，多了一份制约， 才多了一份安全、多了一份保障。,6,内控的作用：舞弊三角理论,内控是一套体系化的方法促进流程制度的完 善,其终极目标是保障企业的经营效率与效果,在内部控制多重目标下我们把运营效率与效果、实现发展战略目标提出来作为内部控制首先要
3、保证的2大目标，其余三个目标作为基础目标处理。,COSO内控框架对内部控制的定义 ：,内部控制是受企业董事会、管理层和其他人员影响，为经营的效率效果、财务报告的可靠性、相关法规的遵循性等目标的实现而提供合理保证的过程。,财政部企业内部控制基本规范中内部控制的定义：,是由董事会、监事会、经理层和全体员工实施的、旨在为实现：合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企 业实现发展战略的过程。,众多集团公司的内控建设内控建设历程证明：内控是一 个包括建设、检查、整改、修订等在内的动态过 程，而且伴随着企业业务发展、内部管理发展、经 济活动环境变化持续
4、更新,附：财政部、证监会、审计署、银监会、保监会发布的内部控制要求 2008年6月28日五部委联合发布企业内部控制基本规范。原要求自2009年7月1日起在上市公司范围内实施。 2010年4月26日，发布企业内部控制规范配套指引。要求2011年开始在境内外同时上市的公司施行，自2012在主板上市公司施行，鼓励非上市大中型企业提前施行。 企业内部控制应用指引（18项） 企业内部控制评价指引（1项） 企业内部控制审计指引（1项）,什么是风险管理？,国资委中央企业全面风险管理指引 2006年6月，国资委中央企业全面风险管理指引中规定：“开展全面风险管理应当以对重大风险、重大事件的管理和重要流程的内部控
5、制为重点。”,风险管理 初始信息,风险评估,风险管 理策略,风险管理 解决方案,风险 管理 流程,风险管理的 监督与改进,战略风险方面的信息 财务风险方面的信息 市场风险方面的信息 运营风险方面的信息 法律风险方面的信息,风险辨识 风险分析 风险评价,风险承担 风险规避 风险转移 风险转换 风险对冲 风险补偿 风险控制,风险解决具体目标所需的组织领导 所涉及的管理及业务流程 所需的条件、手段等资源 风险事件发生前、中、后所采取的具体应对措施以及风险管理工具,部门和业务单位自查和检验 风险管理职能部门检查和检验 内部审计部门监督评价中介机构评价,董事会就全面风险管理工作的有效性对股东（大）会负责
6、 风险管理委员会对董事会负责 总经理对全面风险管理工作的有效性向董事会负责 设立专职部门或确定相关职能部门履行全面风险管理职责 董事会下设立审计委员会， 内审部门对审计委员会负责 其他职能部门及各业务单位接受风险管理职能部门和内部审计部门的组织、协调、指导和监督 指导和监督其全资、控股子企业,信息技术应用于风险管理实践 风险管理信息系统保障风险信息量化值的要求 风险管理信息系统的功能要求 风险管理信息系统应该实现跨部门的集成与共享 风险管理系统应确保安全、稳定运行 风险管理信息系统的建设与更新,风险管 理文化,风险管理文化建设的目标和任务 风险管理文化的内涵 风险管理文化和传播和培育的方法,中
7、央企业全面风险管理指引,13,COSO对企业风险管理的定义,由企业的董事会、管理层和其他员工共同参与的，应用于企业战略制定和企业内部各个层次和部门的，用于识别可能对企业造成潜在影响的事项并在其风险偏好范围内管理风险的，为企业目标的实现提供合理保证的过程。,谁做？做啥？为啥？,2004，COSO出台企业风险管理(ERM)：整体框架,内部控制与风险管理,附：内部控制的整体框架,信息与沟通,持续监控,控制活动,风险评估,控制环境,COSO,建立公司层面的目标和风险评估过程,制定识别，传达会计准则变化（GAAP)及内部控制或其运行环境变化的程序,参股公司层面目标建立具体的活动目标,制定必要的政策和程序
8、使该政策和程序所包含的控制在实践中得以贯彻实施,管理层制定清晰明确的财务及经营目标并进行差异分析和追踪,合理分配工作职责以降低舞弊风险,保护文档，记录及实物资产的安全,确保信息系统安全，对信息系统安全政策及程序的合规性进行监控,信息系统为管理层决策提供支持,开放并改善信息系统以适应公司的战略目标,管理层提供保证并监控在信息系统开发和测试中的人力和财务资源的参与度,管理层对所有主要数据中心建立业务持续计划/灾难恢复计划,管理层对员工的责任和职责进行有效沟通并建立针对潜在问题的沟通渠道,来自外部的信息在公司内部及时有效的进行沟通，使管理层能够采取及时适合的行动,定期评估内部控制及人员,实施内部控制
9、管理意见，及时改进缺陷，适当回应监管部门的报告及建议,管理层利用内部审计协助进行监控,内控中的个别（专项）评价流程,汇报内控缺陷流程,管理层的正直，道德价值观和行为,管理层的控制意识和运作类型,管理层对员工能力的承诺,董事会和审计委员会的监督,组织架构已经权责的分配授权的界面应该清晰,人力资源政策和实践,附：企业风险管理八大要素,内部环境 风险管理理念、风险文化、董事会胜任能力评估、管理方法与经营模式风险偏好,目标制定 战略目标-其他相关目标-选择目标-风险偏好-风险容忍度,事件识别 事件-影响战略及目标的因素-方法和技术-事件相互依存性-事件类别-风险和机遇,风险评估 固有风险-残存风险-可
10、能性和影响-方法和技术-相关性,风险对策 确认风险对策-评估风险对策-选择对策方案-风险组合观,控制活动 与风险对策相结合-控制活动类型-一般控制-应用控制-特定主体,信息与沟通 信息-战略和整合系统-沟通,监控 个别评估-持续评估,17,从内部控制到风险管理(ERM),内部环境,控制环境,更宽1.增加战略目标， 2.提出新理念：风险组合观风险偏好风险容忍度,控制活动,风险评估,信息沟通,监 控,目标设定,事项识别,风险评估,风险应对,控制活动,信息沟通,监 控,1.监管部门要求2012年3月，国资委出台关于中央企业开展管理提升活动的指导意见，提出力争用2年时间，通过全面开展管理提升活动，加快
11、推进中央企业管理方式由粗放型向集约化、精细化转变，全面提升企业管理水平，为“做强做优、培育具有国际竞争力的世界一流企业”工作奠定坚实基础。要求中央企业重点做好以下几个方面的工作：1.找准管理短板和瓶颈问题，实现重点突破。2.强化向管理要效益理念，切实加强基础管理。3.统筹推进专项提升，全面落实整改措施。4.总结固化成果，构建长效机制。,关于中央企业开展管理提升活动的指导意见,19,2012年5月，财政部、国资委联合下发关于加快构建中央企业内部控制体系有关事项的通知国资发评价201268号 总体安排是：已在全集团范围内建立起内部控制体系的中央企业，应当重点抓好有效执行和持续改进工作，着力提升内部
12、控制的健全性和有效性； 主业资产实现整体上市或所属控股上市公司资产比重超过60%、尚未在全集团范围内启动内部控制建设工作的中央企业，应当统筹规划、协同推进全集团内部控制体系建设，着力抓好集团总部与各类子企业同步建设与稳步实施工作，于2012年建立起覆盖全集团的内部控制体系； 其他中央企业应当抓紧启动内部控制体系建设工作，确保2013年全面完成集团内部控制体系的建设与实施工作。 各中央企业应当自2013年起，于每年5月31日前向国资委报送内部控制评价报告，同时抄送派驻本企业监事会。 各中央企业要高度重视内部控制工作，统筹协调，周密部署，抓紧推进内部控制建设与实施工作，采取有力措施保证内部控制有效
13、执行，推动经营管理水平不断提升。,关于加快构建中央企业内部控制体系有关事项的通知,2012年12月文件,关于2013年中央企业开展全面风险管理工作有关事项的通知 一、提升风险研判能力 各中央企业要紧密围绕企业发展战略，结合“做强做优、培育具有国际竞争力的世界一流企业”核心目标的要求，加强对未来中长期所面临风险的全局性、趋势性研判，准确定位风险管理工作的方向和重点，切实为企业实现经营目标提供支撑和保障。要及时把握并深入分析国内外形势的变化，提高企业对经营环境变化的敏锐性和对发展趋势的预判能力，及时调整当期经营策略和应对措施，合理控制纯粹风险，稳妥把握机会风险。要认真总结近期企业内外部发生的各类重
14、大风险损失事件和典型案例，从中汲取经验教训，举一反三，采取切实有效措施，杜绝类似事件在本企业重复发生。,二、加强重大风险的全过程管理 各中央企业要以重大风险管理为抓手，不断提升全面风险管理工作的实效性。要紧密围绕企业战略目标和当期经营目标开展风险评估，建立常态化风险评估机制，不断完善风险评估方法和流程，切合实际地制定重大风险评判标准。 要进一步完善重大风险的管理策略，明确风险偏好和风险承受度，据此制定重大风险的解决方案，明确重大风险的责任主体和应对措施，并合理配置资源，确保重大风险管理措施落到实处。 要建立重大风险的监控预警机制，科学设置监控指标，及时掌握、分析重大风险的变化趋势，动态调整管理
15、策略，实现对重大风险的动态管理和有效管控。,三、将风险管理与日常经营管理有机融合 各中央企业要将全面风险管理与日常经营管理有机融合，特别要提高全面风险管理服务于重大事项决策的能力。 要注重营造良好风险管理文化氛围，加强企业风险管理政策的宣贯力度，建立风险管理工作宣传和培训常态化机制，倡导将风险意识和风险管理思想融入日常经营管理活动中，尤其是战略决策、投资并购、“三重一大”等重大事项决策过程中。 要进一步明确董事会、经理层的风险管理责任，风险管理职能部门的风险管理业务指导责任，以及审计部门的风险管理工作监督责任。要注重发挥制度和流程的规范性作用，通过固化流程将风险管理理念、方法和技术嵌入日常经营
16、管理和重大事项决策过程中，特别是要建立重大事项的专项风险评估制度，构建风险管理服务于日常经营管理和重大事项决策的长效机制。,四、提升风险管理工作制度化、规范化水平 各中央企业要进一步健全、完善全面风险管理工作机制，提高风险管理工作的制度化、规范化水平。要建立健全风险管理报告制度，强化风险管理信息沟通机制，确保风险信息传递准确、顺畅，处理及时、有效。 要积极探索建立风险管理评价与考核制度，制定科学可行的风险管理评价办法和标准，将风险管理纳入企业绩效考核指标体系中，建立风险责任追究机制。要建立风险管理专业人才培养体系，明确风险管理岗位的专业能力要求，建立持续教育和业务考核机制，打造专业化风险管理团
17、队。 要进一步健全以风险管理为导向的内部控制系统，营造良好内部控制环境，通过强化制度建设，规范业务流程，确保内部控制的有效性，切实发挥内部控制对防范风险的重要基础作用。,2013年度中央企业全面风险管理报告.docx,内部控制建设及评价的责任主体及职责,内控体系建设委员会 负责对项目实施过程中重大事项决策 负责内控体系建设的领导工作 审批有关工作成果 制定工作范围、工作实施计划,董事会,负责描述业务流程和有关控制,确认流程记录文件,识别主要控制措施,项目工作室 业务流程负责人 记录内部控制评估内部控制设计的有效性测试内部控制执行的有效性对内控缺陷提出整改建议将工作成果提交内控体系建设委 确认、
18、改进并反馈内部控制缺陷 员会审阅项目工作文档管理等,咨询机构 提供项目技术支持 协助项目小组进行 记录与财务报告相关 的内部控制,成立内控体系建设项目管理机构,27,内控目标的关系,内部控制的原则,29,内控的原则：全面与重要制衡性适应性成本与效益,内控的局限,uuuu,决策是由人在合适的时间、依据现有的 信息，在企业经营的压力下作出的。就算是设计得完好的内控，也会因员工 执行时对指令的误解、粗心、疲倦等差 错而失效。部门经理、高级管理者出于各种目的不 实表达、提供错误文件等越过控制制度 的行为。两人或更多人合伙隐藏事实真相。,u,资源有限，控制会产生相关的开支。,人的因素,固有局限,成本-收
19、益原则,人的判断执行出错管理者越权合伙同谋,企业生命周期与内部控制建设需求分析,32,各阶段企业内控要点,优点 1 吃苦耐劳，团队信任，凝聚力强 2 灵活多变，不拘泥制度，反应快，效率高 不足 1 规模有限 2 难以做高端,最容易出问题！,优点 1 有较好的企业文化、规则、流程，易复制与模仿 2 资源丰富、能抗风险 不足 1 官僚作风，流程可能刻板，迟钝 2 较高的控制成本,33,微型企业内控要点,企业特点： 产品或服务比较单一，管理点不多；会计停留在记账、报税的层次；业务的灵活性会产生许多账外项目，核算不完整内控办法： 充分利用会计系统，会计人员必须熟悉业务并且诚实可靠。 加强管理层监管。管
20、理者或业主本人对日常业务进行频繁接触，担负起许多日常工作，尽可能少授权，“事必躬亲”，或事后尽快复核。 关键的控制点：例如合同订立、收付款、重要发票、银行票据、印鉴等必须掌握在管理者或业主手中。,34,企业特点： 客源趋于稳定，组织机构简单，制度建设刚起步； 会计有了初步分工，如出纳与会计岗位； 产生了采购和行政等一些职能岗位。 注重业务扩张，最具权威的部门往往是市场营销部门，财务人员为之服务而难以控制，短期收益与长远发展有矛盾。,小型企业内控要点,35,小型企业内控要点,内控办法： 简单的财务制度和授权措施，如制定费用标准、借款限额、采购专人负责等 重点考虑以下几个环节： 选择关键的成本费用
21、项目、业务活动或环节、重要的要素或资源。例如：报销审批、资金调度、银行对账单、交接手续、电脑操作密码等 重要员工，管理层应熟悉其信用背景，对其表现评价、实际能力和缺点等方面建立员工档案。 尽量从多渠道获得关于内控系统的报告。在重大项目上，多听取一些专业人士的意见。,36,中型企业内控要点,企业特点： 组织结构随市场扩大而壮大，资金、存货运作量变大；控制的实施仍停留在事后；会计环节上已能做到准确核算，定期核对、盘查各项资产，能够提供完整的会计信息。内控办法： 内控制度开始向各个工作节点上渗透，广泛参与到业务流程的事中控制，紧贴业务建立起一套控制制度。 建立内部牵制制度，包括适当授权、不相容职责分
22、离、凭证和记录、独立检查等环节。 注意成本效益原则。,37,成熟期企业内控要点,全面的内控体系单独设立内审岗位或内审部门，也可外包给会计师事务所,38,哪些企业亟需加强和规范风险管理及内部控制,基于提升财务收益的现实需求，减少成本增加利润 集团公司加强管控，完善价值产业链条间的环节，降低协调成本，促进专业分工协作 多元化经营、管理层级增多，规模增大必将带来风险嗅觉能力的下降，市场经营风险增大，组织效率的集成效应是否能够发挥出来，依赖于内部控制 母公司自身对内部控制认识不到位，不够重视，不能有效履行战略管理中心、投资中心、决策中心的职能。没有建立规范的管理制度和工作程序，集团内部管理混乱、职责不
23、清、效率低下，无法使得资源有效配置，难以发挥规模效应和协同效应。 子公司先斩后奏，偏离母公司要求，跨区域的子公司片面强调独立法人，抵制母公司控制。 集权过度与分权过度交织在一起。 更为重要的是长期目标管理的习惯如何向过程管理转变,企业管理的自身需求,目标管理VS流程管理,什么是目标管理,传统语录：不管黑猫白猫，逮住耗子就是好猫。典型的目标管理。 以大厨师炒菜为例，把鱼香肉丝炒到了顾客满意的程度就叫做目标管理，至于大厨师炒菜的方法，我们是不关心的。,什么是过程管理,我们把大厨师炒菜的步骤分成20个阶段，也就是20道工序，第一个人切葱花，第二个人切肉丝。，如果不好吃就重新调整第2、5、9道工序，还
24、不好吃，再调整3、7、14道工序，还不好吃，就调整18、19道工序，就这样也许经过无数次调整后，我们终于能够炒出跟大厨师一样好吃的菜，在这时，葱花的长度必须是1.1厘米，肉丝的长度必须是1.3厘米，酱油必须是2勺。以后就按照这个调整后的流程炒菜，每个人都按照这个工序严格要求来做。按照这个流程办事，而不管结果，这就是过程管理。,目标管理的缺点,大厨师一走，就把什么都带走了。 如果靠大厨炒菜，端出来什么就是什么，如果客户定制，就需要大厨调整，但是下一次还能不能炒出同样的菜，不知道， 目标管理不可修改，因为我们不知道大厨师炒菜的方法，过程管理可以修改，因为我们知道所有流程。 过程管理可以积累经验，目
25、标管理是个结果，好也是他，坏也是他，并且往往胜者为王，败者为寇。 中国人浮躁的文化，太渴望结果，而不是过程管理。,进入到价值管理的阶段的企业不重视流程管理与基础管理水平的提升，尤其是老型国有企业会陷入什么样的困境？,成员企业地域分布广，遍及海内外 ;几年间扩展到跨九大板块的200多家企业，集团管控模式还在探讨中，尚未成型;部分同事沉浸在过去的成功中，对快速发展所带来的各种风险的严重性认识不足。从某种意义上观念的缺陷是最大的内控缺陷。内控体系建设面临巨大挑战！,中国部分中央一级的上市公司、集团公司风险特点,内控缺陷举例：,基础工作薄弱，数据不实 不顾三令五申，私设小金库或公款私存仍存在 弄虚作假
26、，重大问题隐瞒不报 销售返利、提成的管理问题 应收账款坏账风险 个人违规借款 预付款损失事件 管理层违规自定多发薪资福利，以权谋私,内部：集团化企业内部水平参差不齐，大量内控薄弱环节存在,某国有企业内部控制存在的突出问题！,企业薪酬福利管理问题 收入&成本管理的问题 费用入账管理问题 资产管理问题 质量安全、生产安全管理 考核管理、干部渎职问题 车贷销售风险问题 下属企业人力资源管理问题 并购后的管理整合滞后问题,内部：集团化企业内部水平参差不齐，大量内控薄弱环节存在(4),工程投资超规模、超预算，违规招标或不招标、不按制 度规定办理手续海外某企业没有完整的财务会计信息资料海外某车厂公司对三重
27、一大的决策没有限制性规定；销售人员以低于成本的价格销售车辆仍能得到佣金；签订上千万美元的生意，既不和买家直接谈，也没有签订正式合 同；盲目以旧车换新车销售，旧车卖不掉，数百万美元资金被占用等等对海外企业缺乏管理制度、管理责任、管控行为，公司治理结构不健全,内部：集团化企业内部水平参差不齐，大量内控薄弱环节存在,49, 背景南京中北2003年和2004年年报信息披露违法行为，均涉及银行借款披露虚假、应付票据披露虚假、关联方占用披露虚假和对关联方担保披露虚假。两年累计起来，南京中北未披露的银行借款金额达6.55亿元，未披露的应付票据金额超过6.5亿元,未披露的对关联方担保金额超过4648万元。 处
28、罚证监会对南京中北处以30万元罚款公司副董事长兼总经理和总会计师被给予警告并处以30万元罚款董事长被给予警告和20万元罚款董事被处以警告上述人等被列为3年到10年市场禁入,来源：中国上市公司内部控制调查分析报告（2009）,南京中北违规行为对董事及高管的影响,50, 当事人反响相关人员声称不应承担责任 ，由于：1）由于平日基本不参与公司经营 ，对公司日常事务较少过问2）信息披露违规事项自己即未参与也不知情3）在通过年报的董事会决议上签字，是基于审计机构出具的无保留意见 证监会回应上市公司信息披露是否真实、准确、及时、有效，有赖于全体董事实施必要的、有效的监督。综合审查具体情况和当事人的申辩材料
29、，现有证据不足以证明这些人曾经对南京中北涉案信息披露事项实施了必要和有效的监督由于上市公司的会计责任与外部审计机构的审计责任是两种不同的责任，在信息披露违法时，不能以审计机构未发现、未指出为由，免除上市公司董事的责任,来源：中国上市公司内部控制调查分析报告（2009）,4,南京中北违规行为对董事及高管的影响,51,近10 多年来，中国商界风云诡谲，每隔一两年便有一些庞大而知名的企业轰然倒地。在大败局的众多案例中，那些曾经不可一世的企业家们缺乏现实的控制感和控制艺术大概是最为致命的弱项仰融无法控制华晨、唐万新无法控制德隆、顾雏军无法控制科龙、宋如华无法控制托普、李经纬和赵新先无法控制他们一手创办
30、的健力宝和三九，等等，一切悲剧都潜伏着惊人一致的逻辑。1981年，当有点口吃的杰克韦尔奇被任命为GE新总裁后，他跑到洛杉矶附近的一 个小城市去拜访当世最伟大的管理学家彼得德鲁克，他问的第一个问题就是：“我怎么控制GE下面的上千家公司？”一切伟大的治理都是从学习控制开始的。吴晓波大败局,失控导致失败！,52,在你我的身边,灰社会，潜规则 小金库 吃回扣 假发票 偷逃税收 豆腐渣工程 携款潜逃 经济犯罪 贪污腐败、行贿受贿、挪用公款,53,常见的内部控制薄弱环节,三鹿集团简介,三鹿的前身是1956年成立的幸福乳业合作社，经过50年艰苦创业，三鹿已发展成为集奶牛饲养、乳品加工、科研开发为一体的大型企
31、业集团，是全国三大乳业集团之一。 但从2007年12月起，三鹿集团陆续收到消费者投诉，反映有部分婴幼儿食用该集团生产的婴幼儿系列奶粉后尿液中出现红色沉淀物等症状。 2008年12月24日，石家庄市中级人民法院已经对三鹿发出破产令，正式宣告石家庄三鹿股份有限公司破产，其资产清算进入法律程序。,小介绍 三聚氰胺,三聚氰胺，C3H6N6,又称蜜胺,常见塑料化工原料，也可作为灭鼠药。其特点为氮原子很多。 食品工业检测中，采用“凯氏定氮法”推算蛋白质的含量，因三聚氰胺的氮原子较多，而被添加进人类食品，宠物食品，家畜饲料中。,破产事件经过,2007年,三鹿集团实现销售收入100.16亿元,同比增长15.3
32、%。但是这种高增长背后隐藏的内部控制及其环境问题却被严重忽视。从2007年12月份起,三鹿就陆续接到一些患泌尿系统结石病儿童家长的投诉,一些媒体也开始以“某品牌”影射三鹿,但是三鹿并未就此引起足够重视,加强企业内部控制,导致事态日益恶化。据估计,9.02亿元的巨额医疗费和赔款已经造成三鹿集团严重资不抵债。2008年12月25日,石家庄市委、市政府发布三鹿破产消息,破产裁定书已送达石家庄三鹿集团有限公司,一个曾经作为奶业龙头的企业一夜之间消失。,08年 5月医院爆发幼儿结石。 6月南京媒体报道幼儿批量发 病，亦可见质检总局网站投诉。 7月，长沙株洲衡阳，患者家 属投诉质量问题，长沙食品质量安全
33、监督检测中心检测合格。 9月11日，三鹿宣布召回8月6日前的部分批次产品，总量700吨。 9月12日，三鹿确认为此事件是由于不法奶农为获取更多的利润向 鲜牛奶中掺入三聚氰胺。 9月11日甘肃：甘肃上报59例，死亡1例 9月8日，中国人民解放军第一医院泌尿科接收了一名来自甘肃岷县的特殊患者，病人是一名8个月大的婴儿，患有“双肾多发性结石”和“输尿管结石”病症，这是该院自6月28日以来收治的第14名患有相同疾病的不满周岁的婴儿，这14名婴儿有着许多相同点：都来自甘肃农村，均不满周岁，都食用过三鹿奶粉。,9月10日南京： 南京出现10例。从今年3月开始， 南京鼓楼医院泌尿外科孙西钊教授陆 续接到了南
34、京儿童医院送来的10例泌 尿结石样本。经国内先进的结石红外 光谱自动分析系统分析，这是一种极 其罕见的结石。孙教授告诉记者，这10年来，他一共分析过全国各地的结石成分4710例，从来没有见过这种病例，而且都发生在尚在喝奶的婴儿身上。 9月9日陕甘宁 甘肃率先发现。甘肃省卫生厅接到解放军第一医院的电话报告，该院收治的婴儿患肾结石病例明显增多，近几个月已达十几例，患儿均食用了三鹿牌配方奶粉。 9月1日，豫、赣、鄂多省爆发： 三鹿公司相关负责人表示，患病婴儿都在食用价格在18元左右同一品牌的奶粉，而2008年，由于原材料价格上涨等因素，三鹿公司的奶粉最低零售价都在25-30元，今年三鹿没有18元价位
35、的奶粉。三鹿慧幼系列的奶粉已经于今年7月底停止生产。,内控分析,由于三鹿婴幼儿配方奶粉搀杂致毒化学物三聚氰胺曝光，三鹿集团被迅速推向破产，引发“中国奶业的大地震”，田文华由此成为“中国乳业的罪人”。在这场“9.11事件”中，三鹿集团的内部控制到底扮演了什么样的角色？我们运用其五目标和五要素的分析方法，对三鹿集团进行内部控制案例分析。,内部控制五要素分析,内部环境重要基础 该要素是内部控制框架的基础所在，涵盖治理结构、机构设置及权责分配、内部审计、人力资源政策、公司文化、诚信与道德观等多方面内容。虽然内部控制更强调相互牵制的制度性安排，但显然人的因素在内部控制，尤其是内部环境中发挥着重要的作用。
36、咱们常说“道德使之不愿、法律使之不敢、制度使之不能”，这说明诚信与道德观也许是公司文化在某种程度上是高于制度本身的。资料显示，三鹿集团早在2008年3月就接到消费者反映，但直到2008年8月三鹿已经秘密召回部分问题奶粉之时，却仍然没有将事件真相及可能产生的后果公之于众，有媒体称这种做法直接导致此后的一个多月里又有一批婴儿食用了三鹿问题奶粉。显然此次事件在某种程度上检验了三鹿集团决策层的诚信与道德观。事实上除了三鹿集团外，向牛奶中添加三聚氰胺的耿氏兄弟等不法分子、告知这些不法分子通过添加三聚氰胺可通过检测的技术人员、销售给不法分子三聚氰胺化工原料的人员，都存在着只顾利益不顾消费者健康的问题，而这
37、种环境因素可能才是真正导致此次事件的罪魁祸首。,我国的内部控制基本规范中将职业道德修养和专业胜任才能作为聘用员工的重要标准，要求公司加强文化建设，培育积极向上的价值观和社会责任感，这对培育一个良好的环境氛围，更好地发挥内部控制的风险防范作用有着积极的意义，而要实现这个目标显然非一朝一夕之功。 内部环境是企业建立与实施有效内部控制的重要基础。三鹿集团的大股东享有56%的控股权，第二大股东是持有43%的股权，其余1%的零散股份由小股东持有。从表面上看，三鹿集团具有形成良好治理的所有权结构。但大股东三鹿乳业公司推行的是员工持股，并且由经营者持大股，96%左右的股份由900多名老职工拥有，因此，三鹿集
38、团的实际控制人或者说股权相当分散。以田文华为代表的强势管理层的存在，使得三鹿集团的治理结构演变成内部人控制。,风险评估重要环节,风险评估是企业建立与实施有效内部控制的重要环节。咱们理解，一般的公司内部控制都是针对常规事项进行设计的（如奶粉的营养成分是否达标等），而对例外事项（如添加三聚氰胺）则重视不足。这对内部控制的设计提出了挑战。食品加工公司除了对原料采购、作品加工、存储储藏、物流配送等各个环节进行风险评价、分析之外，还应当就最可能产生风险的环节设立应对措施，例如风险评估时针对生产的奶粉原料中可能会含有那些有害物质，原料提供者添加这些物质的可能性以及消费者食用这些物质的后果严重性等进行评价、
39、排序，并从原料采购、产成品的检测验收等方面设定有针对性的指标，以提高内部控制的效率和效果。 我国乳品加工厂一般没有自己的奶源，主要采用的原奶采购模式，就是“奶农奶站乳企”，三鹿集团也不例外。奶源短缺和竞争激烈是近年来我国奶业发展的突出特征。没有足够的优质奶源，发展战略的实现就会放缓，而要取得优质奶源必须提高价格、严把质量检验关，否则，风险就会无限放大。不幸的是，三鹿集团铤而走险，选择了低价和放松质量检验。河北行唐县一位参与奶站经营的农民反映，蒙牛、伊利来行唐收奶，奶价一般比三鹿集团贵0.10元甚至0.20元，其化验程序复杂，相对比较严格。,控制活动重要手段,控制活动是建立与实施有效内部控制的重
40、要手段。按照业务流程进行生产经营管理是确保产品质量的一种最基本控制活动，三鹿集团违背业务流程的情况是存在的。2005年7月5日，天津市河西区质量技术监督局执法人员在一库房内发现，“三鹿原味酸牛奶”生产日期是2005年7月6日。拆开包装箱后，里面一千克袋装原味酸牛奶的生产日期也是6日。执法人员在司机提供的发货凭证上确定这批酸牛奶是在本月4日发出的。现场检查表明，这批三鹿酸牛奶已经涉嫌伪造生产日期。这即是三鹿“早产奶”事件。 根据警方抓获的耿某介绍，在2007年底前向三鹿集团销售的牛奶就屡次因检验不合格而被拒收。而三鹿集团对这种“屡次不合格”牛奶的提供者居然没有“诚信记录”，在其向牛奶中添加三聚氰
41、胺，使得“问题”奶进一步演化为“毒奶”而顺利通过检测后没有保持“合理怀疑”。,从事实看，三鹿集团能够在2007年前“屡次”查出耿某提供的牛奶不合格，说明公司拥有严格的采购验收制度并得到切实执行，但如果能对日常控制活动中发现的部分不良信息进行收集、整理，并对异常现象（屡次不合格的原料提供者后来提供的都是合格原料）寻找合理解释，以进一步提高控制活动的效率效果，则发现“耿某”类不法分子的伎俩并非全无可能。 重大风险的预警机制和突发事件的应急处理机制的失灵，是三鹿集团存在的另一个重大问题。三鹿集团在对毒奶粉事件知情的情况下，继续生产和对外销售，导致事态扩大。事情暴露后，三鹿集团采取对媒体隐瞒和否认的做
42、法，从坚决否认到遮遮掩掩，从推卸责任到被迫道歉，在事件到了无法隐瞒的时候，才开始产品的全面召回。,信息与沟通重要条件,信息与沟通是建立与实施有效内部控制的重要条件。在发展过程中，三鹿集团的企业规模不断膨胀，以致无法有效地管理企业。按食品安全法规定，食品安全事故的发生单位应当及时向事故发生地县级卫生行政部门报告。但三鹿集团“长期隐瞒问题”，月日“三鹿事件”曝光，三鹿集团多次否认自己奶粉出现问题，并拿出“甘肃省质检局”的质检报告，证实无毒。但在同天晚上，“三鹿集团”自打耳光，承认自己700吨奶粉受到污染；声誉基本为零，再无翻身的机会。,内部监督重要保证,内部监督是建立与实施有效内部控制的重要保证，
43、包括日常监督和专项监督两大方面。驻站员监督检查，是日常监督中重要的一环，作为中国食品工业百强、农业产业化国家重点龙头公司，三鹿对内部监督不能说不重视，因为其作品是经过“1100道检测”的。但是三鹿集团未能落实到位，导致在原奶进入三鹿集团的生产企业之前，缺乏对奶站经营者的有效监督。 发现内部控制缺陷，修正与完善内部控制系统，专项监督不可或缺。2004年，“大头娃娃”事件没有让三鹿集团警醒，只是看到农村奶粉市场的外部扩张，没有将关注点放在内部控制机制的完善上。2005年“早产奶”事件，三鹿集团本应开展全面的业务流程专项大检查，但除了将销售部门有关人员调离岗位，对直接负责人扣除20%年薪之外，没能从
44、消除内控隐患的角度去解决问题。,内部控制五目标分析 合法合规性底线,合法合规是内部控制的最低目标。三鹿集团身处关系国计民生的食品行业，不仅没有信守承诺向社会提供优质乳制品，反而在市场和利润的利益诱惑面前，置合法合规性于不顾，在三鹿婴幼儿奶粉里掺入大量的有毒化学原料“三聚氰胺”，致使数名婴儿死亡。这种见利忘义、逆道而行的做法，是三鹿集团悲剧的罪魁祸首。,资产安全性警戒线,资产安全是内部控制的传统目标。三鹿集团是曾经的行业龙头和银行的优质客户，2007年底净资产为12.24亿元，资产负债率仅为24%。但随着毒奶粉事件曝光，三鹿集团近150亿元无形资产瞬间灰飞烟灭。三鹿所有的奶粉在全国下架，接受顾客
45、的退赔要求，全国所有的加工厂停产整顿。三鹿集团的总负债保守估算接近20亿元，最终破产。这表明违背合法合规底线的资产安全，是极其脆弱的，更是靠不住的。,信息真实完整性主线,信息真实完整是内部控制的永恒目标。田文华曾强调，“诚信对企业而言，就如同生命对于个人”只可惜三鹿集团言行不一，其信息披露没能遵循诚信原则。2008年6月，三鹿集团检验发现奶粉中含有三聚氰胺，但管理层对新西兰恒天然集团要求采取的应对措施置若罔闻，意图瞒天过海。恒天然集团因反映情况无果，最终直接向中国政府反映情况。不及时披露信息，甚至瞒报、谎报信息，三鹿集团的信息目标与内部控制要求是背道而驰的。,经营效率和效果性生命线,经营效率和
46、效果是内部控制的核心。内部控制是利润动机的自然产物。三鹿集团采取的是“牌子（三鹿集团）+奶源（地方小乳品厂）”的经营策略，收购地方加工厂、增资扩产，贴牌生产。但三鹿集团旗下子公司、联营企业大多厂房破旧、设备简陋，资金投入、机器设备及内部管理跟不上，奶源的卫生安全管理处于盲点状态，产品质量管理水平大大降低，经济效益和社会效益、生态效益割裂，经营风险不断累积。这种饮鸩止渴式的经营效率和效果，使得内部控制不过是虚妄之谈。,战略实现性愿景线,战略实现是内部控制的最高目标。三鹿集团制定了积极扩张的企业发展战略，目标是确保配方奶粉、力争功能性食品和酸牛奶产销量全国第一，液态奶及乳饮料保持前三位。但在全球性
47、原奶危机的背景下，奶源短缺和竞争激烈是近年来奶业发展的突出特征。1998-2006年，我国奶制品产量从60万吨增加到1622万吨，增长近28倍，原奶供应能力出现巨大缺口，没有足够的优质奶源，发展战略的实现就应放缓。三鹿集团盲目冒进的结果，是欲速则不达。,三鹿案件给我们怎样的启示呢？,三鹿集团为我国企业敲响了警钟:创建和谐的企业内部控制环境,关乎企业的盛衰荣辱和生死存亡。企业的内部控制环境是内部控制的关键,确定了一个企业的基调,它影响着整个企业内部所有人员的控制意识。在三鹿集团的案例中,如果该企业具有良好的内部控制环境,就有可能降低“事件”发生的可能性。所以,企业应从各个方面优化内部控制环境,使
48、企业能够提高效率和功效,防患于未然,为企业健康运行提供保障。 同时我们应看到，内部控制的实施远比想象中的复杂和困难。如何将内部控制的要素、理念、框架、结构与企业的实际经营活动结合起来，将内控的设计、评价、改进真正落实，这是一项长期而艰巨的任务。尤其是内部环境的培育问题、内部控制实施的内在动力问题更非短期可见效的活动。作为企业管理的有机组成部分，内部控制不应是空中楼阁，它应该深植于企业的日常经营管理之中。,内部控制建设中的常见问题及注意事项,1.内控规划方面，可能存在下述情况：未制定内控规划，或规划脱离实际；将合规定为内控建设的终极目标，陷于机械化、表面化，不利于战略目标的实现；未制定年度实施计
49、划，规划成为空中楼阁。为此，应充分考虑公司实际制定内控规划。 2.组织机构方面，可能存在以下实际情况：领导组组长不是公司一把手，不利于内控工作落实；领导组组长是一把手，但从不过问内控工作；工作组成员缺乏代表性，譬如没有生产单位的人员；工作组成员无暇顾及内控工作；工作组成员不了解内控规范。为此，应采取成立内控领导小组和工作小组、由一把手担任组长并督促内控工作等措施。,3.选聘咨询机构方面，可能存在几种情况：由内审或财务部门牵头做内控，不聘请咨询机构，可能因经验、人手不足而失败；通过招投标方式选聘的，只看标书，缺乏现场述标；建设内控过程中，放手让咨询机构做，缺乏与咨询机构的定期、充分沟通；内控建设结束，对咨询机构提交的成果验收不严格。为此，应邀请咨询机构现场述标，详细评标，并严格验收工作成果等。 4.内控环境建设方面，可能存在几种情况：认为内控环境比较虚，业务流程控制较实际有效；忽视内控文化、风险意识的培育，未把推行内控规范作为管理优化、文化提升的重要契机；认为战略规划是公司的秘密，不需提交股东大会审批；认为子公司不需要制定战略规划；关键岗位未定期轮岗；法律意识淡薄。为此，应相应加强措施，加强内控环境建设。,
