如何判断内控体系有效性

管理会计

        中国的上市公司在《企业内部控制基本规范》颁布之前，已有部分公司依据上交所与深交所的内部控制指引公开披露内部控制评价报告，但那时并未明确要求上市公司对自身内部控制体系的有效性下结论，多数上市公司的有效性结论是模棱两可的，例如有些企业披露内部控制有效性结论为“制度健全，执行基本有效”。然而，在2010年“企业内部控制指引”颁布之日起，要求上市公司在披露内部控制评价报告时，必须对自身内部控制体系出具有效还是无效的明确结论，不再存在模糊的所谓“基本有效”的灰色地带。

　　那么，内部控制体系有效性的判断标准是什么呢？从正向的维度而言，是企业内部控制体系的建立合理保证了企业目标的实现；而从负向的维度而言，是企业是否存在内部控制重大缺陷。这说明上市公司只要存在一个内部控制重大缺陷，就表示该公司的内部控制体系是失效的。也就是说，内部控制体系的有效性对重大缺陷是“零容忍”的，例如企业仅存在1个重大缺陷，与企业存在100个重大缺陷，其内部控制体系的有效性结论都是无效的。而这一个重大缺陷可能出现在企业的集团本部、子公司、子公司的某个部门、甚至某个部门的某个岗位上，这种“零容忍”的判断标准对公司的管理提出了巨大的挑战。公司需要确保所有的业务活动、流程等控制都是有效的，不存在重大缺陷，才能在内部控制评价报告中出具有效的结论。

　　鉴于内部控制有效性是个时间点的概念，也就是说上市公司披露的内部控制有效性结论是针对2011年12月31日那一天的，而非某个时间段的概念，因此为了在年末“达标”，企业往往尽早开展内控梳理工作，尽早开展整改工作。在整个年度的内控建设和梳理过程中，企业往往会发现许多内部控制缺陷，甚至重大缺陷。这在衡量上市公司内部控制水平的“迪博？中国上市公司内部控制指数”上得到印证，该指数发现，上市公司的内部控制水平是呈正态分布的(见图1)，这表明中国上市公司内部控制“极好”和“极差”的企业都是较少的，绝大部分企业处于中间地带。而处于中间地带的这些企业，其内部控制水平和整体管理水平并没有达到非常优秀，并不排除某些业务活动或流程中存在内部控制重大缺陷的可能性。