基于COSO框架下中小企業內部控制的研究

摘 要：目前，內部控制已成為當代企業經營管理的一個關鍵組成部分。在西方，強化企業的內部控制早已成為發達國家治理公司的重要手段。而在國內，內部控制也是大勢所趨，不過盡管各類大企業雖然也早已進入內部控制時代，但是相當一部分中小企業這方面的經驗還是相對比較欠缺，還存在很大的空間需要來完善。鑒于此，文章通過COSO內部控制框架對中小企業內部控制進行研究。

關鍵詞：COSO框架;中小企業;內部控制

一、 中小企業的劃分標準及其特點

（一）中小企業的劃分標準

中小企業是相對于大型企業定義的，然而企業的大小分類在不同的時代，不同的國家以及不同的行業都有所不同，在我國，中小企業劃分為中型、小型、微型三種類型，具體標準根據企業從業人員、營業收入、資產總額等指標進行劃分。

（二）中小企業的特點

中小型企業近年來發展速度過快，但同時也給市場經濟發展造成很多困擾。中小型企業管理層要豐富管理經驗，還要借鑒國外管理經驗為我國中小型企業提供保障，同時還要重視中小型企業的可持續發展。中小型發展問題主要有以下幾個方面。

第一，中小型企業員工素質低下。要為員工提供思想道德培訓，提升中小型企業員工思想道德素質，能夠提升企業整體性發展。企業會計人員不了解企業會計政策，會計制度不完整，會計人員職責不明確，主要原因在于中小型企業還沒有建立完整的會計人員管理制度，因而導致中小型企業會計人員工作性質混亂，增加了企業經營成本，也不利于中小型企業發展。

第二，中小型企業員工管理制度不完善。中小型企業發展規模較小，資金有限，企業管理制度不健全，員工職責不明確，一人身兼多職現象普遍，從而導致員工難以承受工作負荷，流動性大，也是中小型企業面臨的巨大挑戰。中小型企業由于自身資金不足，且企業生存周期較短，難以解決中小型企業面臨的挑戰，對于中小型企業發展而言，難以擴大企業發展規模，與國外中小型企業發展狀況相比，我國中小型企業還存在很多不足。

第三，中小型企業員工職責不明確。由于我國中小型企業沒有建立完整的企業制度，甚至有些企業獨攬經營大權，不懂企業操作，中小型企業沒有進行準確定位，也沒有豐富的管理經驗，員工專業能力不足，技術落后，中小型企業要提升技術能力，為中小型企業提供技術支持。

第四，中小型企業技術落后。由于中小型企業文化素質偏低，且企業難以為員工提供相關培訓，對于員工文化要求較低，從而導致中小型企業知識結構難以調整。中小型企業不重視員工學歷要求，員工專業技能不足，導致中小型企業發展速度緩慢。

二、 內部控制理論基礎

（一）內部控制的含義

對企業而言，內部控制即是通過一系列方法和活動規范企業的經營管理活動，以實現保護資產的安全完整、保證財務信息的真實可靠、確保經營方針的全面貫徹實施、保障經營活動的經濟和高效、促進企業經營目標的實現、提高企業效益為目的。

（二）內部控制的基本原則

1. 全面性原則

全面性原則包括全過程控制和全員控制。全過程控制要求企業將建立和實施內部控制滲透到各種業務中的各個管理環節上，及時識別風險，最大限度地規避風險，實現企業平穩發展。全員控制要求企業所有層面的員工都應該根據具體實際的工作情況參與到企業內部控制的建立與實施中，保證內部控制沒有空白點。

2. 重要性原則

當前社會的變化速度已經超出了我們的想象，尤其是當前的“大數據”和“信息化”，一個企業成就在一瞬間，毀滅也在一瞬間，所以，企業內部控制不應該只關注經營管理狀況，還應該特意關注企業某些重要業務事項和一些高風險、高概率事件。也就是說，企業要根據自身業務實際情況，重點防范最有可能造成風險和損失的業務環節，幫助企業平穩流暢運營。

3. 制衡性原則

主要體現在設置不相容機構、崗位或人員，如果一個企業做不到不相容崗位的制約和分離，那么就將極有可能造成職權濫用、營私舞弊等不良事件的發生，給企業發展帶來不可估量的損失，就像“巴林銀行倒閉案”一樣。

4. 適應性原則

就是說企業的內部控制不要墨守成規，一成不變，而是要隨著經營規模、業務范圍、經營狀況、和同行業競爭水平等方面的變化而變化，但這并不意味著企業要多變內部控制活動，而是要在保持相對穩定的基礎上不斷加以優化和改進，這樣才能幫助企業應對復雜多變的市場環境，真正做到“因地制宜”“因企制宜”。

5. 成本效益原則

要求實施內部控制必須權衡成本與效益，做到費用與收益相平衡，換句話說就是花最少的錢得到最好的收益，畢竟一個企業建立與實施內部控制會產生相關費用和成本，直接或間接的給企業帶來一些負擔。但從長遠來看，企業沒有一套科學高效的內部控制體系是不會真正在競爭中脫穎而出，立于不敗之地的。

（三）內部控制整體構架

根據《內部控制整體框架》和我國《企業內部控制基本規范》，內部控制主要包括五方面的內容，這五方面相互聯系、相互促進。

1. 控制環境

控制環境是最基礎的要素，決定了企業是否有可能貫徹執行內部控制，會對企業經營目標和戰略目標的實現產生影響?？刂骗h境主要包括誠信和道德觀、員工勝任能力、董事會或審計委員會、組織結構、權力和職責分配等幾個層面。

（1）誠信和道德觀：這是控制環境的關鍵因素，而誠信是企業道德行為的先決條件，因此良好的道德氛圍，特別是誠信的氛圍對公司的控制的有效執行至關重要。

（2）員工勝任能力：管理層在制訂崗位時，應當確定特定工作崗位所需的知識和技能，以保證工作的質量和效率。

（3）董事會或審計委員會：董事會或審計委員會成員的經驗和地位、相對于管理層的獨立性、涉及活動的廣度和深度、與內外部審計師的合作，都是影響控制環境的重要因素。

（4）組織結構：是企業運轉、設置部門、規劃職能的基本框架，企業為了實現目標而在這個框架中規劃、執行、控制和監督。企業應當根據自身規模和經營活動的性質選擇適當的組織結構。

（5）權力和職責分配：這要求企業建立報告和授權機制，適當地將權力下放能夠提高企業的效率。在企業的實際經營中應當重點關注不相容職位分離的情況。

2. 風險評估

風險評估就是對某個事件帶來的影響或損失的可能程度進行量化的評估，并采取必要的應對策略。風險評估的步驟包括識別影響企業目標的風險，分析風險，應對風險。無論企業是何種規模和結構，也無論企業處于什么行業，都必須接受一個現實——面臨風險。風險會對企業的生存能力造成影響，也關乎企業是否能夠保持財務實力和公眾形象、在行業內是否能夠成功競爭、能否保持人員、產品和服務的總體質量。

3. 控制活動

控制活動的表現形式是企業內部控制的政策和程序，是內部控制中最具體的方面。人們通過執行政策來保證管理層的指示得以執行?？刂苹顒又饕ㄒ韵路矫?。

（1）預算控制：它是管理控制中最常用的一種控制方法，通過用數字表達預期的結果來進行約束，規范預算的編制、審批和執行，規定各部門在預算方面的權限。

（2）資金管理：資金的調度不合理，有可能使企業陷入財務困境或出現資金冗余;資金的管控不嚴密，則可能導致資金被挪用、侵占等。

（3）授權審批控制：包括以書面文件形式的一般授權和由上級領導特批的特別授權。授權審批控制保證各級人員在職責范圍以內處理業務，不會出現越權處理的情況。

（4）資產管理控制：保證企業的實物資產不被非正常途徑獲得和使用，主要包括日常管理和定期清查兩方面。

（5）不相容職責分離控制：要求企業理清不相容職務，并保證這些不相容的職務由兩個或兩個以上的人員擔任，以加強崗位間的牽制性，降低舞弊風險。

（6）會計系統控制：指的是企業遵循會計準則的規定，對會計信息、會計處理的控制。

4. 信息與溝通

信息包括財務和非財務的、外部的和內部的，每個企業都必須獲取相關的信息，從而更好地進行經營決策。這種信息必須符合兩點要求：這些信息必須由管理層確認與企業的經營相關;這些信息存在的形式必須具備使人們行使各自的控制和其他職能并在一定的時限內傳遞給需要的人的特點。

5. 內部監督

內部控制是不斷變化的，因此，管理層必須需要隨時判斷內部控制系統是否繼續有效，是否能夠應對新風險。內部監督則成了內部控制持續有效的保障。內部監督這一過程要求由適當的人員及時評估內部控制各項制度的設計和執行，并采取必要措施。它適用于企業的所有行為，有時還適用于與企業有業務往來的外部人員。

總的來說，風險評估、控制活動、控制環境、監督、信息與溝通五個分支，在內部控制中處于重要的地位。具體來說，控制環境屬于內部控制的基礎，內部控制想要實現順利的、有效的運行，那么必須擁有良好的控制環境;在對控制程序、控制活動設計期間，需要全面的、綜合的來分析企業可能面臨的風險。當然，為了能夠保障風險的評估與控制，那么實現內部信息順暢的溝通是尤為重要的。最后，有效的監督，對于內部控制制度、體系的良好實施具有積極意義?？偟膩碚f，這五個分支間具有相互關聯且獨立的關系，在內部環境、外部環境不斷變動的背景下，內部控制可以根據實際情況來做出相應的反應，為企業的發展“保駕護航”。

三、 內部控制整體框架在中小企業中的應用

中小企業受到資源及規模的限制，難以制訂完美的內部控制體系，針對這個情況，在《內部控制——整體框架》中，結合中小型企業的特點，專門指出了在中小型企業當中的應用。

（一）控制環境

中小型企業可以根據實際情況采取不同于大型企業的內控形式。比如可以不訂立書面的行為準則，而由高級管理人員以口頭方式傳達;人力資源政策不必像大公司那樣需要正式的文件來保證政策得以實行，可以由總經理口頭提出要求，招聘符合其要求的人來從事某項特定工作。

（二）風險與評估

中小企業的風險評估過程相較于大企業顯得不正式且缺乏組織性;中小企業即使沒有明確的風險評估的目標，也可以有效地向低層管理層傳遞其隱含的目標;高層管理人員直接向員工和外界獲取信息能夠幫助識別和分析阻礙企業目標實現的風險，風險管理機制不必十分正式。

（三）控制活動

中小企業實施控制活動的正式程度跟大企業有很多差別，總裁和其他關鍵管理人員直接參與其中，對更詳細控制活動的要求降低;職責的分離和信息系統的控制，對中小型企業而言存在困難，因此必須保證高層管理者直接參與控制活動，提供必要的控制。

（四）信息與溝通

中小企業雖沒有像大企業一樣正式的信息系統，但是其信息系統因特別受到高級管理人員對外部事件的監控能力的影響，也有可能具備高效性;在溝通方面，中小企業比大企業更容易實現，加強日常的聯系，高級管理人員更多地傾聽意見，就可以提供有效的溝通。

（五）內部監督

中小企業的內部監督會涉及企業的高層管理人員，他們對企業的監控行為通常來源于企業管理的需要。企業管理人員通過直接參與經營活動中的絕大多數方面，并非一定是所有的方面，高度有效的內部監督從某種程度上也可能代替獨立評估的作用。

參考文獻：

[1]張昌生.我國企業內部控制存在的問題及完善措施[J].會計之友，2012（26）：52-53.

[2]薛春燕.健全內部控制，提升管理水平一談小企業內部控制[J].會計之友，2011（26）：15-17.

[3]斬磊.關于小企業內部控制規范[J].財會月刊，2006（8）：63-64.

[4]和麗芬.對中小企業內部控制框架構建的思考[J].會計之友，2008（13）：54-55.

[5]國家工商行政管理總局：《全國小微企業發展報告》內容，2014年3月28日發布.

[6]崔素芳.中小企業如何建立有效的內部控制制度[J].經濟研究導刊，2010（5）：126-127.

[7]楊紀紅.我國中小企業內部控制問題研究[J].國際商務財會，2008（12）：58-59.

作者簡介：

汪均香，蘭州財經大學。