2001年年末，美國多家大公司爆出會計造假丑聞，美國國會迅速做出反應，于2002年通過著名的“薩克斯法案”。該法案404條款有兩點重要規(guī)定：一是公司董事會和管理當局要對公司內部控制（簡稱“內控”）的建立和有效性負有責任；二是受聘公司年終財務審計的注冊會計師要對公司內控的有效性出具評價報告，并與公司年終財務審計報告一同發(fā)布。顯然，404條款所隱含的假設是：公司外部利益相關者可以通過有效的內控制度來防范或至少緩解公司會計造假、經濟舞弊和貪腐。其結果，內部控制變身為外部控制！

　　美國的做法直接影響到我國。2006年財政部停止“內部會計控制規(guī)范”的制定，轉而會同證監(jiān)會、審計署、銀監(jiān)會、保監(jiān)會，在財政部設立“企業(yè)內部控制標準委員會”（簡稱“委員會”），啟動企業(yè)內控標準的制定工作。委員會設秘書處，負責設計企業(yè)內控標準草案。內控標準草案經財政部及其他有關部門領導審定、會簽后聯合發(fā)布實施。目前，《企業(yè)內部控制基本規(guī)范》已發(fā)布實施，預計后續(xù)將有18項應用指引、1項評價指引和1項審計指引發(fā)布，并于2011年1月1日全部實施。如果不出意外，我國也會借鑒美國的經驗，至少用法律的形式要求上市公司和大型國有企業(yè)，在貫徹企業(yè)內部控制基本規(guī)范和指引過程中，建立健全內部控制，并經由中介機構出具評價報告，與年終財務審計報告一同發(fā)布。簡言之，我國內控制度也將變身為外部控制！

　　問題是在內部控制性質已經變化的環(huán)境中，我國企業(yè)應該如何應對呢？我們認為以下四點特別值得注意：

　　我國內部控制仍具濃厚的中國特色

　　我們注意到，404條款強調了內部控制的重要性，但并未界定何謂內部控制。我們還注意到，美國五家最有影響力的民間職業(yè)團體聯合成立了一個組織，簡稱考索委員會（COSO），專門研討內部控制的設計和實施中的重大問題，1992年發(fā)表的報告《內部控制框架》和2004年發(fā)表的報告《全面風險管理框架》，在國際范圍內堪稱是最權威的內部控制文獻，但對美國企業(yè)無任何約束力。也就是說，美國企業(yè)的內部控制由企業(yè)設計，在設計時，對考索報告可以參考也可以不參考，只要內部控制有效（或者“不出事兒”）并經得住注冊會計師評價，就符合404條款。

　　我國企業(yè)內部控制的特點就是，國家對內部控制的影響比美國大，在內部控制設計時我國不如美國企業(yè)的靈活性大。我國企業(yè)建立內部控制首先落實國家的基本規(guī)范和指引，然后再將根據自己企業(yè)情況設計的內部控制與之銜接起來。這里最重要的是企業(yè)、國家和注冊會計師之間的監(jiān)管權責的劃分問題。由于我國各企業(yè)情況千差萬別，國家的基本規(guī)范和指引只能是防范會計造假、經濟舞弊和貪腐所必要的但不是充分的條件，在這樣的情況下，如果企業(yè)發(fā)生違規(guī)違法的問題，其監(jiān)管責任有可能說不清楚。這是對即將發(fā)布實施的基本規(guī)范和指引的重要觀察點之一。

　　企業(yè)內部控制的設計

　　未來我國企業(yè)內部控制有兩個來源：一是國家的基本規(guī)范和指引；二是企業(yè)本身設計。但這兩者之間不是相互獨立，而是一個有機整體。因此，內部控制的設計在邏輯上可有三種方法：一是基于國家基本規(guī)范和指引向外拓展；二是基于企業(yè)單獨設計，然后與國家基本規(guī)范和指引合并，并剔除重復部分；三是前兩種兼而有之的混合方法。我們主張用第二種方法。

　　應該說，我國一些企業(yè)所設計的內部控制，其水平和有效性不比美國的企業(yè)差。中國石油和亞新科集團是兩個突出典型，值得其他企業(yè)借鑒。這兩家企業(yè)與國家的基本規(guī)范和指引一樣，都主要基于兩個考索報告，但中國石油按五要素分別設計，加上大綱和框架共七個分冊，而亞新科集團則按項目設計，共有87個項目。有趣的是，中國石油的每個分冊或要素都涵蓋著若干項目，而亞新科的每個項目都包括著五個要素。另外，這兩家公司都基于流程理念設計控制活動，但中國石油的設計思路更為清晰。其基本思路是：從企業(yè)或單位流程中選定關鍵流程；從關鍵流程中選定關鍵作業(yè)；尋找關鍵作業(yè)的主要風險；尋找主要風險的應對措施；控制活動的記錄與歸檔。其中風險應對措施的核心是分權、牽制和透明。

　　會計報表與內部控制的對應關系

　　內部控制不僅防范會計造假、經濟舞弊和貪腐，而且是保障會計報表或財務信息及其對應資產真實完整的根本。從美國的歷史看，內部控制最初出現在1934年的《證券法》，指的是內部會計控制，與會計報表完全對應，后來證明這種單純的內部會計控制是無效的，所以才有考索委員會的出現。1992年的考索報告，在將內部控制框架界定為五個要素的同時，特別在內部會計控制之外，拓展出管理（效率與效果）控制和法律法規(guī)的控制。2004年考索報告，盡管稱為《全面風險管理框架》，但實際上是1992年考索報告的“豪華版”，加之內部控制的目的就是防范風險，而防范風險的基本工具就是內部控制，因而風險管理與內部控制無異于同一事物的兩個側面?！度骘L險管理框架》走得更遠，不僅將框架要素擴展為八個，而且還增加了戰(zhàn)略控制、并將財務信息的控制推廣到對所有信息的控制。我國放棄內部會計控制，并在借鑒考索報告的基礎上重新設計企業(yè)內部控制標準，所基于的考慮應該與美國相同。

　　必須指出的是，由此一來內部控制的范圍則遠遠超出了會計，是一個由戰(zhàn)略控制、管理（效率與效果）控制、信息（含會計）控制和法律法規(guī)控制組成的體系，在企業(yè)當中，內部控制“就是管理，就是一切”。那么，誰、或者哪個部門來牽頭制定和實施內部控制？如果首席財務官或者財務部門牽頭，在現有企業(yè)治理結構下，首席財務官或財務部門的權力是遠遠不夠的，在未來權力分配上必須有所傾斜，此其一。其二，注冊會計師的評價應該針對企業(yè)全部內部控制，而不僅僅是內部會計控制，這很有可能超出注冊會計師知識和技能的范圍。有跡象表明，美國注冊會計師傾向評價與會計報表相關的內控制度，這將對內部控制的作用大打折扣，因此我們建議我國注冊會計師要對全部內控制度進行評價，但要在加強注冊會計師知識拓展學習 的同時，企業(yè)還應設立專門的內部控制評價機構與注冊會計師評價相配合。其三，在戰(zhàn)略、管理、信息和法律法規(guī)四項內部控制中，法律法規(guī)是必要條件，而戰(zhàn)略則處于主導地位，管理控制和信息控制要符合企業(yè)戰(zhàn)略控制的需要，如何在法律法規(guī)的基礎上將戰(zhàn)略控制貫徹到管理控制和信息控制之中，并具有可操作性，依然是未來建立和實施內部控制過程中極具挑戰(zhàn)性的問題，亟待企業(yè)研究解決。

　　內部控制實施

　　任何企業(yè)都必須有一個管理控制系統，即管理當局啟動和領導企業(yè)成員向著戰(zhàn)略目標行進并最終實現戰(zhàn)略目標的機制，包括控制標準、對控制標準執(zhí)行的監(jiān)控以及對控制標準執(zhí)行結果的獎懲。為了有效地實施內部控制，企業(yè)內部控制必須作為控制標準的一部分，必須與獎懲相結合，簡言之必須成為管理控制系統的有機組成部分，加以考核。問題在于如何將管理控制系統與內部控制有機結合呢？我們注意到，管理控制系統的控制標準有兩個基本部分：一是結果控制標準，基于平衡計分卡（BSC）原理設計；二是過程控制標準，基于流程改進或再造（BPI/R）理念設計。而所謂內部控制，就其標準而言就是過程控制標準，因此實務上將內部控制與管理控制系統的控制標準結合起來沒有技術問題，只需要轉變觀念。其次，用同樣的思路來解決內部控制與獎懲結合問題也變得容易了，也就是不必單獨設計內部控制的獎懲制度，而是在管理控制系統的獎懲資源中辟出一定的份額或權重，與內部控制對應起來即可。最后，經驗告訴我們，我國大型企業(yè)的內部控制除了國家的基本規(guī)范和20個指引之外，可能還有上百或者幾百個自己設計的內部控制，按照成本效益原則，如此眾多的內部控制是否值得、是否有可能納入考核并與獎懲掛鉤？答案是肯定的，原因之一是企業(yè)都是有層級、有結構的，當上百或幾百的內部控制作為責任按組織結構、組織層級指定下去之后，每個責任者所負責的內部控制數量可能就很少了；原因之二，如果在關鍵流程基礎上設計內部控制，那么按照著名流程再造大師哈默的說法，一個企業(yè)或單位的關鍵流程大約在七個左右。也就是說，對特定考核對象來說，將內部控制列為考核內容，并不會因為增加考核內容而得不償失或不可操作；原因之三，亞新科集團從2005年就將內部控制列入子公司經理考核內容，并將內部控制結果與獎懲掛鉤，調動了子公司經理執(zhí)行內部控制的積極性和主動性，效果非常正面。