企业内部控制流程梳理与构建(企业内部管理体系,关键词优化)

该要素是内部控制框架的基础所在，涵盖治理结构、机构设置及权责分配、内部审计、人力资源政策、公司文化、诚信与道德观等多方面内容。虽然内部控制更强调相互牵制的制度性安排，但显然人的因素在内部控制，尤其是内部环境中发挥着重要的作用。咱们常说“道德使之不愿、法律使之不敢、制度使之不能”，这说明诚信与道德观也许是公司文化在某种程度上是高于制度本身的。资料显示，三鹿集团早在2008年3月就接到消费者反映，但直到2008年8月三鹿已经秘密召回部分问题奶粉之时，却仍然没有将事件真相及可能产生的后果公之于众，有媒体称这种做法直接导致此后的一个多月里又有一批婴儿食用了三鹿问题奶粉。显然此次事件在某种程度上检验了三鹿集团决策层的诚信与道德观。事实上除了三鹿集团外，向牛奶中添加三聚氰胺的耿氏兄弟等不法分子、告知这些不法分子通过添加三聚氰胺可通过检测的技术人员、销售给不法分子三聚氰胺化工原料的人员，都存在着只顾利益不顾消费者健康的问题，而这种环境因素可能才是真正导致此次事件的罪魁祸首。

我国的内部控制基本规范中将职业道德修养和专业胜任才能作为聘用员工的重要标准，要求公司加强文化建设，培育积极向上的价值观和社会责任感，这对培育一个良好的环境氛围，更好地发挥内部控制的风险防范作用有着积极的意义，而要实现这个目标显然非一朝一夕之功。

内部环境是企业建立与实施有效内部控制的重要基础。三鹿集团的大股东享有56%的控股权，第二大股东是持有43%的股权，其余1%的零散股份由小股东持有。从表面上看，三鹿集团具有形成良好治理的所有权结构。但大股东三鹿乳业公司推行的是员工持股，并且由经营者持大股，96%左右的股份由900多名老职工拥有，因此，三鹿集团的实际控制人或者说股权相当分散。以田文华为代表的强势管理层的存在，使得三鹿集团的治理结构演变成内部人控制。

风险评估——重要环节:

风险评估是企业建立与实施有效内部控制的重要环节。咱们理解，一般的公司内部控制都是针对常规事项进行设计的（如奶粉的营养成分是否达标等），而对例外事项（如添加三聚氰胺）则重视不足。这对内部控制的设计提出了挑战。食品加工公司除了对原料采购、作品加工、存储储藏、物流配送等各个环节进行风险评价、分析之外，还应当就最可能产生风险的环节设立应对措施，例如风险评估时针对生产的奶粉原料中可能会含有那些有害物质，原料提供者添加这些物质的可能性以及消费者食用这些物质的后果严重性等进行评价、排序，并从原料采购、产成品的检测验收等方面设定有针对性的指标，以提高内部控制的效率和效果。 我国乳品加工厂一般没有自己的奶源，主要采用的原奶采购模式，就是“奶农——奶站——乳企”，三鹿集团也不例外。奶源短缺和竞争激烈是近年来我国奶业发展的突出特征。没有足够的优质奶源，发展战略的实现就会放缓，而要取得优质奶源必须提高价格、严把质量检验关，否则，风险就会无限放大。不幸的是，三鹿集团铤而走险，选择了低价和放松质量检验。河北行唐县一位参与奶站经营的农民反映，蒙牛、伊利来行唐收奶，奶价一般比三鹿集团贵0.10元甚至0.20元，其化验程序复杂，相对比较严格。

控制活动——重要手段"

控制活动是建立与实施有效内部控制的重要手段。按照业务流程进行生产经营管理是确保产品质量的一种最基本控制活动，三鹿集团违背业务流程的情况是存在的。2005年7月5日，天津市河西区质量技术监督局执法人员在一库房内发现，“三鹿原味酸牛奶”生产日期是2005年7月6日。拆开包装箱后，里面一千克袋装原味酸牛奶的生产日期也是6日。执法人员在司机提供的发货凭证上确定这批酸牛奶是在本月4日发出的。现场检查表明，这批三鹿酸牛奶已经涉嫌伪造生产日期。这即是三鹿“早产奶”事件。

根据警方抓获的耿某介绍，在2007年底前向三鹿集团销售的牛奶就屡次因检验不合格而被拒收。而三鹿集团对这种“屡次不合格”牛奶的提供者居然没有“诚信记录”，在其向牛奶中添加三聚氰胺，使得“问题”奶进一步演化为“毒奶”而顺利通过检测后没有保持“合理怀疑”。

从事实看，三鹿集团能够在2007年前“屡次”查出耿某提供的牛奶不合格，说明公司拥有严格的采购验收制度并得到切实执行，但如果能对日常控制活动中发现的部分不良信息进行收集、整理，并对异常现象（屡次不合格的原料提供者后来提供的都是合格原料）寻找合理解释，以进一步提高控制活动的效率效果，则发现“耿某”类不法分子的伎俩并非全无可能。

重大风险的预警机制和突发事件的应急处理机制的失灵，是三鹿集团存在的另一个重大问题。三鹿集团在对毒奶粉事件知情的情况下，继续生产和对外销售，导致事态扩大。事情暴露后，三鹿集团采取对媒体隐瞒和否认的做法，从坚决否认到遮遮掩掩，从推卸责任到被迫道歉，在事件到了无法隐瞒的时候，才开始产品的全面召回。

信息与沟通——重要条件:

信息与沟通是建立与实施有效内部控制的重要条件。在发展过程中，三鹿集团的企业规模不断膨胀，以致无法有效地管理企业。按食品安全法规定，食品安全事故的发生单位应当及时向事故发生地县级卫生行政部门报告。但三鹿集团“长期隐瞒问题”，９月１５日“三鹿事件”曝光，三鹿集团多次否认自己奶粉出现问题，并拿出“甘肃省质检局”的质检报告，证实无毒。但在同天晚上，“三鹿集团”自打耳光，承认自己700吨奶粉受到污染；声誉基本为零，再无翻身的机会。

内部监督——重要保证:

内部监督是建立与实施有效内部控制的重要保证，包括日常监督和专项监督两大方面。驻站员监督检查，是日常监督中重要的一环，作为中国食品工业百强、农业产业化国家重点龙头公司，三鹿对内部监督不能说不重视，因为其作品是经过“1100道检测”的。但是三鹿集团未能落实到位，导致在原奶进入三鹿集团的生产企业之前，缺乏对奶站经营者的有效监督。

发现内部控制缺陷，修正与完善内部控制系统，专项监督不可或缺。2004年，“大头娃娃”事件没有让三鹿集团警醒，只是看到农村奶粉市场的外部扩张，没有将关注点放在内部控制机制的完善上。2005年“早产奶”事件，三鹿集团本应开展全面的业务流程专项大检查，但除了将销售部门有关人员调离岗位，对直接负责人扣除20%年薪之外，没能从消除内控隐患的角度去解决问题。

内部控制五目标分析;

合法合规性——底线

合法合规是内部控制的最低目标。三鹿集团身处关系国计民生的食品行业，不仅没有信守承诺——向社会提供优质乳制品，反而在市场和利润的利益诱惑面前，置合法合规性于不顾，在三鹿婴幼儿奶粉里掺入大量的有毒化学原料“三聚氰胺”，致使数名婴儿死亡。这种见利忘义、逆道而行的做法，是三鹿集团悲剧的罪魁祸首。

资产安全性——警戒线

资产安全是内部控制的传统目标。三鹿集团是曾经的行业龙头和银行的优质客户，2007年底净资产为12.24亿元，资产负债率仅为24%。但随着毒奶粉事件曝光，三鹿集团近150亿元无形资产瞬间灰飞烟灭。三鹿所有的奶粉在全国下架，接受顾客的退赔要求，全国所有的加工厂停产整顿。三鹿集团的总负债保守估算接近20亿元，最终破产。这表明违背合法合规底线的资产安全，是极其脆弱的，更是靠不住的。

信息真实完整性——主线

信息真实完整是内部控制的永恒目标。田文华曾强调，“诚信对企业而言，就如同生命对于个人……”只可惜三鹿集团言行不一，其信息披露没能遵循诚信原则。2008年6月，三鹿集团检验发现奶粉中含有三聚氰胺，但管理层对新西兰恒天然集团要求采取的应对措施置若罔闻，意图瞒天过海。恒天然集团因反映情况无果，最终直接向中国政府反映情况。不及时披露信息，甚至瞒报、谎报信息，三鹿集团的信息目标与内部控制要求是背道而驰的。

经营效率和效果性——生命线

经营效率和效果是内部控制的核心。内部控制是利润动机的自然产物。三鹿集团采取的是“牌子（三鹿集团）+奶源（地方小乳品厂）”的经营策略，收购地方加工厂、增资扩产，贴牌生产。但三鹿集团旗下子公司、联营企业大多厂房破旧、设备简陋，资金投入、机器设备及内部管理跟不上，奶源的卫生安全管理处于盲点状态，产品质量管理水平大大降低，经济效益和社会效益、生态效益割裂，经营风险不断累积。这种饮鸩止渴式的经营效率和效果，使得内部控制不过是虚妄之谈。

战略实现性——愿景线

战略实现是内部控制的最高目标。三鹿集团制定了积极扩张的企业发展战略，目标是确保配方奶粉、力争功能性食品和酸牛奶产销量全国第一，液态奶及乳饮料保持前三位。但在全球性原奶危机的背景下，奶源短缺和竞争激烈是近年来奶业发展的突出特征。1998-2006年，我国奶制品产量从60万吨增加到1622万吨，增长近28倍，原奶供应能力出现巨大缺口，没有足够的优质奶源，发展战略的实现就应放缓。三鹿集团盲目冒进的结果，是欲速则不达。

内部控制建设中的常见问题及注意事项:

1.内控规划方面，可能存在下述情况：未制定内控规划，或规划脱离实际；将合规定为内控建设的终极目标，陷于机械化、表面化，不利于战略目标的实现；未制定年度实施计划，规划成为空中楼阁。为此，应充分考虑公司实际制定内控规划。

2.组织机构方面，可能存在以下实际情况：领导组组长不是公司一把手，不利于内控工作落实；领导组组长是一把手，但从不过问内控工作；工作组成员缺乏代表性，譬如没有生产单位的人员；工作组成员无暇顾及内控工作；工作组成员不了解内控规范。为此，应采取成立内控领导小组和工作小组、由一把手担任组长并督促内控工作等措施.

3.选聘咨询机构方面，可能存在几种情况：由内审或财务部门牵头做内控，不聘请咨询机构，可能因经验、人手不足而失败；通过招投标方式选聘的，只看标书，缺乏现场述标；建设内控过程中，放手让咨询机构做，缺乏与咨询机构的定期、充分沟通；内控建设结束，对咨询机构提交的成果验收不严格。为此，应邀请咨询机构现场述标，详细评标，并严格验收工作成果等。

4.内控环境建设方面，可能存在几种情况：认为内控环境比较虚，业务流程控制较实际有效；忽视内控文化、风险意识的培育，未把推行内控规范作为管理优化、文化提升的重要契机；认为战略规划是公司的秘密，不需提交股东大会审批；认为子公司不需要制定战略规划；关键岗位未定期轮岗；法律意识淡薄。为此，应相应加强措施，加强内控环境建设。

5.工作内容方面，可能存在一些具体情况：仅按18项内控应用指引设定工作内容，不涉及应用指引中未述及或较少述及的内容，譬如关联交易等；机械地与18项应用指引对标，忽视企业的实际；认为内控审计仅抽查几家大公司，不查小公司，存在侥幸心理；未识别主要流程和高风险区域，眉毛胡子一把抓；有的老厂认为，生产领域制度、规程较全，技术相对成熟稳定，风险较小，而资金、资产等财务领域风险较高。为此，内控实施应覆盖母子公司全体，应结合实际设定工作内容，识别主要流程和高风险领域等。

6.风险管理机制建设方面，可能存在下述情况：未形成风险管理机制，既无领导机构、归口部门，亦无风险分析团队、风险评估方法；生产管理领域风险识别、评估、控制工作比较到位，财务、经营风险管理较弱；风险评估缺乏相应的基础性数据；不清楚公司层面和业务层面的风险承受度，更无定量分析；未系统总结、提炼公司的风险类型和层次。为此，应明确归口部门，组建风险分析团队等。

7.内控宣贯方面，可能存在下述情况：宣贯次数和参加人数较少；培训教师侧重于理论；宣贯形式单一；宣贯工作虎头蛇尾，只是在项目启动时宣贯。为此，应对培训人员实行签到、考试、发放培训证书；多形式、不间断宣传内控；重视项目结束、移交成果后的宣贯等。

8.流程梳理方面，可能存在几种情况：没有流程图，以文字描述替代；仅将现行的工作流程画成流程图，未进行流程评估和优化；在落实流程或步骤责任人时，相互推诿，不愿承担责任；流程图滥用，事无巨细都画流程图；流程图中步骤曲折、复杂难懂；业务经办人员无法清晰地描述流程，甚至不同的人描述的流程不一致；流程图之间缺乏衔接和对应关系，无法形成闭环；流程图和制度不一致；流程图和管理信息系统(MIS)中的流程不一致。为此，绘制的流程图要清晰易懂；确保流程图之间具备衔接和对应等。