从法律的角度看企业的内控痛点

随着《企业内部控制基本规范》的发布和推行实施时间的逼近，中国上市公司对内部控制重要性的认识已经有了“飞跃”，但是对于如何实现有效的内部控制，仍缺乏清晰的标准，也还没有形成成熟的风险管理文化和管理体系。

由于风险管理本身是从金融业衍生出来的，全球包括中国在内的金融机构在风险管理上都较之企业先进，目前一些银行提出可以凭借自身在风险管理上的优势为企业伙伴的风险防控提供咨询服务，帮助企业规避部分风险。对此接受本刊采访的专业人士均表示，在资金管理业务上银行与企业间的确有广阔的合作空间，但企业所面临风险的广度和量化的难度不能与金融机构同日而语。全球性的商业咨询和内部审计专业机构——甫瀚公司董事总经理兼大中华区总裁刘建新表示，金融业本身的风险相对企业来说是比较容易量化的。金融业对企业风险的把握主要是从资金运作、存贷的比例和评估企业的信贷程度的层面，而从企业的角度看，风险其实还有很多方面的内容，包括供应链的风险、买卖的风险、价格的风险等。其中很多风险量化起来比较困难。据刘建新介绍，风险管理在近5到10年来已经运用到企业里面。“企业本身在过去没有框架和理论去评估它自身风险在哪里的时候，其运作是以盈利为主的，而现在的企业要面对投资的风险或者是供应商的风险，是否有相应的决策和控制活动，甚至一些体系去应对和量化这些风险就变得非常重要。”

《企业内部控制基本规范》自颁布以来在国际上被称为是“中国的‘萨班斯法案’”，这个评价是相当高的。专家因此表示，按照规范的系统性改造和提升，会给很多中国企业的公司治理带来整体性的改善。

中国社会科学院世界经济与政治研究所公司治理研究中心主任鲁桐对此评价说，从风险内控来说，银行业有其特殊性，可以借鉴，但不能因循。企业现在也有了财政部等五部委发布的内控架构，而且有与之配套的具体实施指引。“这些对企业来说都是量化和考量风险的依据和方向，但的确还需要很多细化的工作，这方面很多公司是比较茫然的。”

企业应该根据发展的不同阶段投入相应合理的资源进行内部控制的改造和提升。“实际上，一个年销售收入只有3000万元的公司却有一个大规模的董事会也是不现实的。但企业必须意识到内控是只有起点没有终点的。”鲁桐特别强调道。随着企业的成长会不断有新的风险出现，关键是要有一个基本的架构，从控制环境、控制程序、体系、人员的配置、IT的应用等方面来审视风险。这些环节在不同的时期侧重点也不一样。不同行业的企业也有其具体要求，因此着眼点也不太一样。随着企业内部环境的变化，外部的风险也在不断变化。这套体系能对内外部的风险有很好的适应性和控制力是更重要的。

金融危机及其衍生的全球经济衰退的一个“正面”价值就在于企业较之以前空前重视风险管理和内部控制，但企业成本在可控的范围内找到量化风险的管理架构和工具是目前企业普遍的困惑。

新规将在今年7月1日实施，但目前各个企业进度差异巨大。据鲁桐介绍，有些企业改造得相当快，特别是A+H股的企业以及那些已经在纽交所或者纳斯达克上市的企业，他们已经到海外上市了，有些本身已经符合美国“萨班斯法案”的严格要求，因此按照新的规范再改造起来就相对比较容易。7月1日这个时间点对大多数内地企业来说是比较有压力的。一些比较规范、规模比较大的公司，有资源和能力在合规性上做很多的工作，而许多规模小且不规范的公司实际上还没有能力做这件事。