日前，财政部发布了《小型企业内部控制规范(征求意见稿)》(以下简称《征求意见稿》)，正式对小型企业内部控制体系构建公开征求意见。《征求意见稿》的主要内容包括5大类共12个方面，分别对小型企业内部控制的基本框架、建设实施、监督评价以及保障机制等做出了明确的规范。
近年来，由于国家不断鼓励大众创业、万众创新，我国小企业对经济发展的推动作用愈加凸显。然而，随着小型企业的数量不断攀升，其内部控制方面的缺失已经严重地影响到了企业的成长。究竟我国小企业内部控制的现状如何?《征求意见稿》有哪些亮点?能否解决小企业内部控制方面目前存在的问题?《征求意见稿》还有哪些需要继续完善的地方?就此，《财会信报》记者采访了业界专家。
现状
小企业内控体系建设较为落后
亚洲风险与危机管理协会执行副会长黄丽虹在接受《财会信报》记者采访时，介绍了目前我国小企业内部控制以及风险管理的现状。她指出，在我国，大部分小企业老板不懂管理，他们几乎完全凭感觉去管理企业，并没有固定的制度。有些小企业的内控制度是完全照搬现成的模板，也有一些小企业根据自己的情况编写内控制度，但总体而言，小企业的内控体系建设还相对比较落后。由于对风险管理以及内部控制的认识不足，我国很多小企业创业五年左右就会倒闭。
针对我国小企业内部控制体系建设的现状，中国风险管理者联谊会特约顾问高立法指出，如今，我国小企业面临的突出问题就是成立后内部管理混乱，责权不清、控制不灵，员工往往身兼数职，不相容职务不好划分，岗位轮换机制的实施也比较困难。企业的决策权、执行权以及监督权通常都集中在一个领导人身上，而该领导人将企业看成了自己的私有财产，随意支配。这些都致使企业无法健康成长。因此，鼓励小企业进行内部控制体系构建，已经刻不容缓。
有业内专家认为，当前我国小企业内部控制存在的问题突出表现在三个方面。一是对内控的认识不足。有的小企业领导在处理内部控制与企业管理、业务发展的关系时，认为若内部控制制度过于详细、控制过严，会束缚企业的业务发展能力，错误地将内部控制与企业发展和效益对立起来。同时，小企业人员素质、职业道德水平参差不齐。由于小企业经营活动单一，经营规模小，人员配置不可能像大型企业那样做到专业对口、各司其职，导致企业员工对内部控制的认知程度较低。一些员工把内部控制简单理解为各种规章制度的单纯集合，不理解全面内部控制的意义何在。二是内控约束软化。小企业资本和技术构成较低，资金薄弱，日常管理缺乏内部控制的观念，或者是将内部控制制度视为一纸空文，使内部控制成为小企业管理工作的盲点。这增加了企业的经营风险，减少了实现企业经营目标的保障。不仅如此，企业部分部门并没有对内部控制实施日常监督或专项监督，而是过分依赖于外部监督机构，导致内部控制监督的执行力较差。三是内控评价无力。企业构建内部控制体系的目的，不但是要满足监管部门对于信息提供和披露方面的需求，还有助于企业战略目标、企业经营的效果和效率的实现。小企业通常缺乏完善的、为企业服务的内部控制评价体系，没有确定的框架和构成要素，没有系统的、确定的评价内容与指标。
造成我国小企业内部控制现状的原因是多方面的，既与其内部控制环境薄弱有密切关系，也与其内部控制建设发展滞后，特别是与财务会计内部控制制度不健全，监督管理不到位有关。具体来看，一是企业负责人的自身素质问题。目前，我国许多私营小企业主是从手工作坊起家，生产经验丰富，却缺乏丰富的行政管理和经济管理的知识和经验，更不具备对内部控制重要性的认知能力，没有意识到内部控制对防范经营风险的重要作用。二是建立健全内部控制体系的难度大。内部控制制度的内容涉及企业经营管理的所有方面和所有环节，我国很多小企业主并不愿意花费大量经费制定这些规范要求。由于小企业管理层对企业外部环境和经济业务的变化缺乏合理的预见性，无法及时制定出相应的内部控制制度，导致企业在内外环境的变革时期无章可循。因此，现阶段小企业建立健全其内部控制制度体系的难度很大。三是内部控制制度执行不到位。在我国，绝大多数建立了内部控制制度的小企业都存在内控制度流于形式的问题，仅仅将其当做应付检查的工具。四是缺乏科学的内部控制观念。许多小企业主普遍有重生产而轻财务、重效率而轻安全、重惩罚而轻控制的思维，对内部控制结构的整体协调性很少关注。长此以往，造成小企业的组织机构设置不合理，管理职能界定呈现不稳定、不清晰的状态。企业的内部机构之间也不能做到相互牵制、相互制约，甚至没有遵循不相容职务分离的原则。
亮点
《征求意见稿》搭建起小企业内控基本框架
《征求意见稿》全文共分为五章，对小型企业构建内部控制体系提出了完整的框架。在采访中，高立法表示，《征求意见稿》基本上符合小型企业内部控制目前的发展现实，能够为小企业构建内控体系提供支持和帮助。他指出，第一，《征求意见稿》界定了小型企业的范围，是十分恰当的。第二，《征求意见稿》提出了小企业内控建设的保障机制，可推动小型企业的内控建设持续发展。第三，《征求意见稿》新增了对小型企业机构设置的要求，可以保证内部控制建设顺利进行。第四，《征求意见稿》允许小型企业的内部控制体系建设可以分阶段进行，减轻了小企业在推行内控制度时的压力。第五，《征求意见稿》突出描述了小企业内控出现的种种问题，对企业领导层的权力凌驾于制度之上有很全面的认识，有助于小企业内控建设的深入推进。
重庆理工大学会计学院教授王海兵在接受《财会信报》记者采访时表示，我国于2008年颁布了《企业内部控制基本规范》，之后又陆续发布了配套的应用指引、评价指引、审计指引和分行业操作指南。这些规范文件更加适合大型上市公司和非上市的大中型企业，而中小板、创业板上市公司和其他小型企业，由于适应性原则和成本效益原则的制约，很难直接采用现有的内部控制规范体系。因此，《征求意见稿》的颁布为促进小型企业建立和实施有效的内部控制、提高经营管理水平和风险防范及应对能力、促进小型企业的健康可持续发展，带来了希望和曙光。
他指出，小型企业也需要加强内部控制建设是毋庸置疑的。在我国，小型企业数量众多，解决了大部分的社会就业问题，对社会经济发展发挥着不可替代的作用，是经济体系中的“毛细血管”和国民经济的生力军。小型企业在飞速发展的同时，由于风险防范能力弱，管理水平普遍不高，所以急需一套规范化的内控框架来指导其内控建设。因此，《征求意见稿》的制定和实施就显得尤为必要和迫切。现有的内控规范体系无疑为小型企业的内控规范建设和内控建设提供了宝贵的经验借鉴，但小型企业有其自身特点，相比大中型企业而言，小型企业的内控建设既有共性，也有特殊性，《征求意见稿》也需要对此有所反应。
建议一
《征求意见稿》应增加对小企业的战略目标的描述
在采访中，上海财苑企业管理咨询有限公司质量合伙人、注册会计师王士民表示，《征求意见稿》在体系设置上比较符合小型企业的现状，但仍存在一些需要继续完善的地方。
第一，《征求意见稿》第九条关于“内控责任人”的相关表述，应该着重强调责任人的权威性和保证性。由于建设成本较高，要想让小企业积极主动地进行内控体系建设很难，只有企业的主要责任人拥有足够的权威，小企业才会积极主动地建立内控体系，也只有如此，才能保证内控制度在小企业内部的制定和推行。因此，强调企业主要责任人的权威性和对内控活动的主动性，是促进内控体系建设的重要因素。
第二，《征求意见稿》应在内控目标中增加对企业战略目标的表述。因为一个企业的内控环境和内控体系能否真正建起来并且发挥作用，关键还是要看这个企业的环境构造能否达到内控体系设置的目标。如组织架构、事前分工、资源管理等，这些是内控环境的主要框架。战略目标是风险产生的根源，所有的风险都依托于企业战略目标而生，企业如果无法确定战略目标，就无法准确的识别由此产生的风险，也就无法搭建起内控体系。
第三，应该加强对小企业内控的监督。公共监督是检验一个体系是否可行、能否发挥作用最主要的标准。只有置于有效的监督下，小企业的内控体系才会得到有力地贯彻和执行。
第四，《征求意见稿》指出，经营的合法合规、资产的安全、经营的效率和效果以及业务、财务和管理等相关信息的真实、准确、及时、完整，这些内控目标是内控体系实现的“合理保证”。实际上，应该改为“绝对保证”。因为这些目标是企业合法合规的基础，而只有合法合规的企业才有建设内部控制体系的必要。
第五，小企业内部控制规范形成之后，为了保证其在实行过程中能得到有效地执行，建议用法律的形式固定下来。现在《征求意见稿》只是由财政部提出，在今后施行的过程中，小企业到底会不会遵照执行还是未知数。因此，《征求意见稿》应该从法律法规的角度加以固定，使小企业内控规范的权威性得到更加强有力的保证。不仅如此，在小企业构建内控体系的过程中，政府要对没有执行内部控制规范的小企业施加一定的压力，以保证内部控制规范能得到有效地贯彻落实。
高立法也认为，《征求意见稿》应对企业战略目标有所体现。因为战略目标是企业发展的方向，只有以战略目标为导向，才能更好地分析企业面临的风险。此外，《征求意见稿》应强调对小企业内控体系的监督。在企业自身的监督作用流于形式的时候，可将对小企业内控的监督权交给第三方。
建议二
应重新界定小企业内控定义
王海兵认为，《征求意见稿》应在以下几个方面继续完善。
其一，内部控制的定义。作为服务于组织治理和风险控制的重要工具，内部控制最大的局限之一就是容易被权力逾越，因此需要强化负责人和高管对内部控制的责任。建议将小型企业内部控制的定义修改为“由企业主要负责人、高管层和员工共同实施的，以风险评估为基础，通过建立和实施内部控制措施、监督评价和保障机制，旨在实现控制目标的过程。”
其二，内部控制的目标。无论是大中型企业还是小型企业，内部控制的目标应该基本一致，这是由内部控制的内在属性所决定的。建议将小型企业内部控制第一个基本目标“经营的合法合规”拓展为“经营管理的合法合规”。因为小型企业也有其自身的发展战略，内部控制如果不能和发展战略耦合，就会降低内部控制的有效性。同时，建议增加第五个目标“促进企业实现发展战略”。风险是对目标的偏离，企业最大的风险就是战略风险，将内部控制建设提高到战略高度，有助于企业从宏观和整体上把控风险，提高控制效率，从而运用战略内控思维，引领企业做大做强，从小型企业发展壮大为大中型企业。《征求意见稿》中“战略”这一词汇出现三次，分别在第十四条、第二十二条、第三十三条。在内部控制目标中增加战略层次目标，能够统御整个内部控制规范体系，为内部控制在更高层次发挥作用提供政策依据。
其三，风险评估。建议在经营管理会议、专家访谈、风险调查问卷、风险研讨会等方法基础上，增加控制自我评估(CSA)法、对标法、流程图法、穿行测试法、实地查验法、文件审查法、分析程序法。CSA非常符合内部控制的成本效益原则，能够激发业务层、管理层主动识别和评估内部控制风险，并将这项工作程序化持续推进，能够为内控风险诊断和内控持续优化提供支持。CSA要求小型企业各部门关注业务的过程和控制的成效，由管理部门负责人和员工共同进行，用结构化的方法开展内部控制自我评估。其他方法在内部控制风险评估和内部控制评价中普遍运用，建议增补，为小型企业提供更多的常用风险评估工具。
其四，缺陷认定与沟通。建议对缺陷的分类采用矩阵形式，即定性分为设计缺陷和运行缺陷，定量分为重大缺陷、重要缺陷和一般缺陷。这有助于企业全面认识内部控制缺陷，识别内部控制风险。此外，缺陷认定的责任机构或责任人应当明确，否则工作容易流于形式或经常变换，不利于小企业积累知识和经验。目前，较为现实的做法有三条：第一，配备了内部审计部门的小型企业，由内部审计部门承担这项工作;第二，没有配备内部审计机构的小型企业，可以全部或部分外包给其他外部的具有专业胜任能力的机构和人员来承担;第三，由企业主要负责人牵头，联合相关部门和人员成立内部控制缺陷认定工作组，来组织实施这项工作。
其五，其他方面。《征求意见稿》应增加法律控制相关规定。此外，还应增加企业的法制教育，增强法制观念，与内部控制有效对接，提升合法合规维度的控制效率，依法决策、依法办事、依法监督，建立健全法律顾问制度和重大法律纠纷案件备案制度等内容。还应增加风险控制策略的规定。小型企业应当综合运用风险规避、风险降低、风险分担和风险承受等风险应对策略，实现对风险的有效控制。
