更新時(shí)間：2021-12-30 14:44:55作者：admin2
不知不覺(jué)參與公司SOX項(xiàng)目半年有余了，暫停下來(lái)思考一下，感觸頗多。 為什么做SOX項(xiàng)目？為了通過(guò)美國(guó)證券市場(chǎng)對(duì)上市公司提出的“遵循薩班斯法案第404條款”的法定要求。“薩班斯法案第404條款”要求在公司年報(bào)中包含一份內(nèi)控報(bào)告，該報(bào)告應(yīng)表明公司管理層有建立和維持財(cái)務(wù)報(bào)告內(nèi)部控制系統(tǒng)及相關(guān)控制程序充分有效的職責(zé)；應(yīng)包含管理層在最近一個(gè)財(cái)政年度年底對(duì)財(cái)務(wù)報(bào)告內(nèi)部控制系統(tǒng)及程序有效性進(jìn)行評(píng)估的結(jié)果。簡(jiǎn)而言之，就是管理層對(duì)內(nèi)部控制的評(píng)估。 [ 轉(zhuǎn)自鐵血社區(qū) ]無(wú)疑SOX是針對(duì)內(nèi)部控制的。而企業(yè)內(nèi)控體系的搭建，美國(guó)證監(jiān)會(huì)推薦COSO框架。COSO框架對(duì)內(nèi)控的定義是：由一個(gè)企業(yè)的董事會(huì)、管理層和其他人員實(shí)現(xiàn)的過(guò)程，旨在為下列目標(biāo)提供合理保證：財(cái)務(wù)報(bào)告的可靠性；經(jīng)營(yíng)的效果和效率；符合適用的法律和法規(guī)。 COSO將內(nèi)部控制劃分為五個(gè)相互關(guān)聯(lián)的要素：控制環(huán)境、風(fēng)險(xiǎn)評(píng)估、控制活動(dòng)、信息與溝通、監(jiān)控。內(nèi)審也只是監(jiān)控的一個(gè)組成部分。一提到控制，總讓人不那么舒服，其實(shí)不然。表面看來(lái)，控制可能會(huì)拖慢了速度，影響了效率。 現(xiàn)代控制理念強(qiáng)調(diào)的是長(zhǎng)遠(yuǎn)的效率與效果，假如我們可以預(yù)知出錯(cuò)的風(fēng)險(xiǎn)，而做出防范，出錯(cuò)的風(fēng)險(xiǎn)就可以降低，效率和效果將因適當(dāng)?shù)目刂贫岣撸瑥亩鴰椭銓?shí)現(xiàn)目標(biāo)。這就是我們常說(shuō)的內(nèi)控“鐵三角”，即“目標(biāo)－風(fēng)險(xiǎn)－控制”。舉個(gè)生活中的例子：過(guò)馬路。“過(guò)馬路”的目標(biāo)是“安全過(guò)去”；風(fēng)險(xiǎn)是“不能安全過(guò)去，過(guò)程中出現(xiàn)意外”；面對(duì)風(fēng)險(xiǎn)，你有選擇：可以選擇接受風(fēng)險(xiǎn)，不采取任何措施，結(jié)果呢？也許運(yùn)氣好，安全過(guò)去了，但也可能倒霉，跟車(chē)親密接觸了；當(dāng)然，可以選擇采取一些措施，來(lái)降低風(fēng)險(xiǎn)，實(shí)現(xiàn)目標(biāo)，比如說(shuō)每次過(guò)馬路都遵循“一站、二看、三通過(guò)”的原則。比較起來(lái)，增加了一個(gè)小小的控制，提高了我們無(wú)數(shù)次過(guò)馬路的成功率。但是不是萬(wàn)無(wú)一失呢？也不是。雖然你控制的不錯(cuò)，但可能天有不測(cè)風(fēng)云，剛好碰上個(gè)酒后駕車(chē)的（不可控因素）；或者沉思中忘了執(zhí)行“一站、二看、三通過(guò)”的控制（執(zhí)行問(wèn)題），被人鳴笛警示。可見(jiàn)，控制只是有效降低了風(fēng)險(xiǎn)，增加預(yù)期目標(biāo)實(shí)現(xiàn)的可能性，而非100％防止風(fēng)險(xiǎn)。 對(duì)企業(yè)而言，內(nèi)控是普遍存在的，無(wú)論你是否意識(shí)到。可以把企業(yè)看作許多人構(gòu)成的一個(gè)系統(tǒng)，為了滿足市場(chǎng)的需求，在競(jìng)爭(zhēng)中立于不敗之地，必然需要先制訂戰(zhàn)略，再將其轉(zhuǎn)化為具體的目標(biāo)。整體目標(biāo)的實(shí)現(xiàn)需要層層分解，先是四大系統(tǒng)，再到各部門(mén)，再到各職能小組，最終落實(shí)到個(gè)人。實(shí)現(xiàn)公司下達(dá)的目標(biāo)是每個(gè)管理者的職責(zé)，我想每個(gè)管理者都會(huì)擔(dān)心目標(biāo)無(wú)法實(shí)現(xiàn)，風(fēng)險(xiǎn)就這樣來(lái)了（風(fēng)險(xiǎn)即是目標(biāo)不能實(shí)現(xiàn)的可能性）。怎么辦？采取措施，廣義來(lái)看，只要是把偏離目標(biāo)的行為拉到正規(guī)上的行動(dòng)都可以視為控制。從公司制訂《反舞弊守則》等各項(xiàng)規(guī)章制度、到付款的授權(quán)審批、到不相容職務(wù)分離、到工作的交叉復(fù)核、再到個(gè)人的時(shí)間管理，控制真可謂無(wú)處不在。但如何先識(shí)別風(fēng)險(xiǎn)，再建立有效的內(nèi)控，并確保其有效執(zhí)行；以促成目標(biāo)的實(shí)現(xiàn)，是每個(gè)管理者都應(yīng)該、也一定是已經(jīng)在思考的問(wèn)題了（又稱(chēng)為“流程負(fù)責(zé)人”，Process Owner，以下簡(jiǎn)稱(chēng)PO），只是各自采用的方式不同。 其實(shí)，SOX項(xiàng)目就是提供了這樣一個(gè)工具，一套系統(tǒng)的方法：首先，通過(guò)流程圖直觀的描述流程（流程圖，F(xiàn)low Chart）；其次，設(shè)立流程的目標(biāo)，考慮影響目標(biāo)實(shí)現(xiàn)的諸多風(fēng)險(xiǎn)，再設(shè)計(jì)控制來(lái)有效降低風(fēng)險(xiǎn)（風(fēng)險(xiǎn)控制矩陣，Risk Control Matrix，以下簡(jiǎn)稱(chēng)RCM）；最后，監(jiān)督已建立控制的有效執(zhí)行。最關(guān)鍵的是目標(biāo)的設(shè)立，今年我們“遵循薩班斯法案第404條款”的SOX項(xiàng)目，主要將目標(biāo)集中在財(cái)務(wù)報(bào)告的可靠性，相關(guān)的控制自然也主要針對(duì)此；但COSO提出的內(nèi)控的其他兩個(gè)目標(biāo)：合規(guī)和經(jīng)營(yíng)目標(biāo)，也許并沒(méi)有完全體現(xiàn)在我們現(xiàn)在的RCM中，但這幾個(gè)方面流程負(fù)責(zé)人在經(jīng)營(yíng)管理中怎么會(huì)不考慮呢？可見(jiàn)，目前我們的SOX包括的范圍是有限的，相關(guān)內(nèi)控也是最基本的要求；有效管理的范圍是大于它的。但PO可借助這一方法，實(shí)現(xiàn)其更廣闊的目標(biāo)（因?yàn)槟繕?biāo)是可增減的），因?yàn)轱L(fēng)險(xiǎn)管理是應(yīng)該有意識(shí)的嵌套進(jìn)PO的日常管理中的。我想，我們是可以超越SOX的，因?yàn)樘峁┛煽康呢?cái)務(wù)報(bào)告是投資者希望企業(yè)做到的；有效率、有效果的經(jīng)營(yíng)、遵守法律法規(guī)，做一個(gè)真正健康的實(shí)體，更是投資者想要看到的。當(dāng)細(xì)想內(nèi)控時(shí)，發(fā)現(xiàn)它挺有趣。首先，這個(gè)領(lǐng)域充滿了判斷，主觀性比較強(qiáng)。 目標(biāo)的確定、風(fēng)險(xiǎn)的識(shí)別，如何設(shè)計(jì)控制，多少足夠；設(shè)計(jì)好了，開(kāi)始運(yùn)行，又如何評(píng)價(jià)運(yùn)行的有效性；每個(gè)人都會(huì)有不同想法。舉個(gè)例子：為了確保應(yīng)收賬款的真實(shí)準(zhǔn)確，PO設(shè)計(jì)了一個(gè)控制“每季度，由分公司抽查部分客戶(hù)，發(fā)對(duì)帳單對(duì)賬，對(duì)賬結(jié)果記錄在《抽查登記表》上，電郵財(cái)務(wù)部和銷(xiāo)售管理部”，這個(gè)內(nèi)控怎樣才算執(zhí)行有效性呢？財(cái)務(wù)部收到所有的《抽查登記表》可以了嗎？如何判斷？這時(shí)，可以反問(wèn)自己控制的目標(biāo)是什么，做到這一步能降低風(fēng)險(xiǎn)實(shí)現(xiàn)目標(biāo)嗎？回答是，還差點(diǎn)。財(cái)務(wù)部還會(huì)審閱分公司電郵《抽查登記表》的對(duì)賬結(jié)果：是不是都發(fā)了但沒(méi)一個(gè)客戶(hù)回？若回了，與我們記錄的一致嗎？若不一致，原因何在？查明原因后，是否需要調(diào)賬？一般認(rèn)為，做到這一步，控制才基本到位了。但可能另一個(gè)人會(huì)提出，不行，還要抽幾個(gè)客戶(hù)的《對(duì)帳單回函》看看，是不是跟分公司電郵的結(jié)果一致；或者全部回函都要看。可見(jiàn)，對(duì)控制運(yùn)行有效性的評(píng)價(jià)是充滿主觀判斷的；但基本標(biāo)準(zhǔn)也是存在的。 其次，內(nèi)控是充滿變化的。流程圖畫(huà)好了不是鐵定不可改了，它只是個(gè)描述流程的工具而已，PO會(huì)也有責(zé)任根據(jù)管理的需要和環(huán)境的改變不斷優(yōu)化流程，以促進(jìn)自己承擔(dān)目標(biāo)的實(shí)現(xiàn)。在做出決策時(shí)，可以參考現(xiàn)存的流程圖以及對(duì)現(xiàn)有流程目標(biāo)、風(fēng)險(xiǎn)和控制的描述；一旦做好了改變的決策，自然需要更新相關(guān)文檔，以有效指導(dǎo)實(shí)際操作；這可能就引起了內(nèi)控的改變。舉個(gè)例子，以前發(fā)貨后，從ERP系統(tǒng)中逐張打印紙質(zhì)《待開(kāi)發(fā)票登記簿》，經(jīng)PO簽字審核后，再由財(cái)務(wù)審核過(guò)賬。后來(lái)，ERP新增了“訂單審核功能”，PO共同決定改逐張打印紙質(zhì)的《待開(kāi)發(fā)票登記簿》，為分批導(dǎo)出電子的《待開(kāi)發(fā)票清單》；因?yàn)樾略鯥T系統(tǒng)控制后，已經(jīng)可以有效降低未經(jīng)授權(quán)修改訂單的風(fēng)險(xiǎn)了。我們可以看到，改變后，即有效控制了風(fēng)險(xiǎn)，又提高了流程的效率、節(jié)約了資源，是合理的。 [ 轉(zhuǎn)自鐵血社區(qū) ]最后，內(nèi)控遵循的一個(gè)原則是：看形式，但更看實(shí)質(zhì)。這里有個(gè)正副經(jīng)理之爭(zhēng)的有趣問(wèn)題。每個(gè)月總部HR都會(huì)導(dǎo)出各部門(mén)的異常刷卡報(bào)表，由員工本人和部門(mén)經(jīng)理簽字確認(rèn)。PO之所以設(shè)計(jì)“員工和部門(mén)經(jīng)理簽字確認(rèn)異常刷卡報(bào)表”這個(gè)控制，是為了降低考勤記錄、扣款不真實(shí)、不準(zhǔn)確的風(fēng)險(xiǎn)，確保員工工作時(shí)間記錄沒(méi)有爭(zhēng)議。在執(zhí)行這個(gè)控制時(shí)，有一個(gè)問(wèn)題出現(xiàn)了：經(jīng)理出差不在，副經(jīng)理簽字，該控制運(yùn)行是否有效？SOX強(qiáng)調(diào)簽字，強(qiáng)調(diào)對(duì)制度的遵循，有時(shí)到了近乎苛刻、讓人惱火的程度；似乎很形式，很表面，其實(shí)是有理由的，簽字是為了留下控制的證據(jù)，強(qiáng)調(diào)制度化以及制度的執(zhí)行是為了確立一些內(nèi)控的依據(jù)、標(biāo)準(zhǔn)、維持傳承性；這只是良好內(nèi)控的基本要求，還需要看實(shí)質(zhì)，即簽字是否真正達(dá)到了控制的目標(biāo)（究竟檢查、審核了哪些方面？），是否實(shí)質(zhì)上遵循了制度。 由此看來(lái)，正副經(jīng)理之爭(zhēng)就不成問(wèn)題了，只要能降低考勤記錄、扣款不真實(shí)、不準(zhǔn)確的風(fēng)險(xiǎn)，實(shí)現(xiàn)“確保員工工作時(shí)間記錄沒(méi)有爭(zhēng)議”的目標(biāo)即可。其實(shí)，涉及內(nèi)控的方面還有很多，以上只是目前感觸比較深的幾個(gè)方面。如果你能對(duì)內(nèi)控發(fā)生一些興趣，增加一些內(nèi)控意識(shí)，運(yùn)用控制的思想和方法來(lái)降低身邊的風(fēng)險(xiǎn)、實(shí)現(xiàn)目標(biāo)，我的目標(biāo)就實(shí)現(xiàn)了。