内部控制是一个过程

天堂里的猫

       内部控制并非单一的事件或环境，而是针对企业行为的一系列活动。这些活动是潜移默化的，蕴含于管理层的日常经营行为中。

      企业横向和纵向的经营行为都是通过计划、执行和监控这一基本过程进行的。内部控制是与这一过程密不可分的一部分，使之能够良好运行，并监督运行以保持持续的相关性。它是管理层的工具，而非管理的替代品。

      这一定义与很多人不同，他们认为内部控制在企业的运营过程之外，是立法者和监管当局给企业增加的负担。内控系统与企业的运营紧密相连，因基本的商业动机而存在。只有内部控制成为企业内部构架中关键的一部分时，才最为有效。内部控制应该“嵌入” 企业之中，而非“外置”在企业之外。
“嵌入式”控制直接影响企业实现其目标的能力，并支持企业的质量举措。对质量的要求直接与企业的运营和控制相联系。质量举措已成为企业运营构架的一部分：

      高层管理人员确信质量价值蕴涵于企业的经营方式中。
      确立质量目标与企业的信息收集、分析及其他过程相联系。
      运用对有关竞争活动和客户期望的认知来不断推进质量的提高。

      以上质量要素与有效的内控系统要素相重合。实际上，内部控制不仅与质量规划紧密结合，而且对其成功起关键作用。

      “嵌入式”控制对成本节约和减少反应时滞有重要作用。

      多数企业面临高度的市场竞争和节约成本的需要。在现有的过程上增加新程序必然会增加费用。如果将重点放在当前的运营及其对有效内部控制的影响上，并将内部控制嵌入企业的日常经工作中，常能使企业避免不必要的程序和成本。

      将内部控制嵌入企业的运营构架中，有助于针对新的经营行为采取新的控制措施。这种自动反应增加了企业的敏捷度和竞争力。

人的因素

      内部控制受到企业董事会、经理层和其他人员的影响。它是通过企业员工的言行才实现的。人们确立企业的目标并将内控系统付诸实施。同样，内部控制也影响人们的行为。人们理解、交流和行动的方式并非一成不变，每个人都有独特的背景和才干，具有不同的需求和重点。这些现实既对内部控制产生影响也受到其影响。人们必须知道各自的职责和权限。相应的，在不同职责和执行方式之间应有明确的分工和联系，企业的各层目标也是一样。

      企业员工包括董事会、经理层和其他职员。尽管董事被视为实施监管的主要人员，他们也进行工作指导，批准某些交易和政策。因此，董事会也是内部控制的一个重要元素。

合理性保证

      内部控制，无论设计和执行多么理想，也只能就企业目标的实现向经理层和董事会提供合理的保证。企业目标实现的可能性受到内部控制内在局限的影响：包括人员决策上的失误；建立内部控制需考虑成本效益原则；人为错误和失误带来的内部控制失效。另外，内部控制会因两个或更多人的联合欺诈而失效。最后，经理层具有越过内控系统的权力。

      目标

      每个企业都有自己的使命，确立需实现的目标及相应战略。目标的设立应针对整个企业或企业内特定行为。虽然很多目标只针对特定企业，有一些还是普遍适用的，例如，几乎对所有企业普遍适用的目标是：在企业界和客户层保持良好的声誉，向股东提供可靠的财务报表，以及合法合规经营。

      本报告将目标分为三类：

      经营——关于企业资源利用的效率、效果
       财务报告——关于编制公开财务报表的可靠性
       遵循性——关于法律和法规的遵循性

      这一分类有利于将内部控制的重点放在不同方面。这些既相互独立又相互联系的分类体现了不同的需求，也可能是不同管理人员的职责。这一分类还利于区分每类控制的可能结果。
内控系统可以为实现财务报告的可靠性和法律法规的遵循性目标提供合理的保证。这些目标（很大程度上是外界施加的）的实现有赖于企业内控系统的实施。
然而，经营目标的实现——如投资回报、市场份额、引进新产品——并非完全在企业控制能力之内。内部控制并不能阻止决策失误和意外事件的发生。只有当管理层及时了解企业向既定目标迈进的程度，内控系统才能为企业目标的实现提供合理的保证。