第三章内部控制要素之控制环境概要

第三章：内部控制要素之控制环境概要：控制环境决定了企业的基调，影响企业员工的控制意识。它是其他要素的基础，提供了基本规则和构架。 控制环境因素包括：员工的诚信度、道德观和能力；管理哲学和经 营风格；管理层授权和职责分工、人员组织和发展方式；以及董事会的重视程度和提供的指 导。控制环境对企业行为架构、目标设立和风险评估的方式有潜移默化的影响。它也影响控制活动、信息和沟通系统、以及监控行为。实际上控制环境不仅影响它们的设计，而且影响它们的日常运转。 控制环境受企业文化和历史的影响。它影响员工的控制意识。 具有有效控制的企业，尽力聘用有能力的员工，灌输诚信的企业文化和控制意识，设定一个积极？quot;最高基调”（完美行为规范）。它们确立适当的政策和程序，常常包括一本书面操作手册，培 养共同的价值和团队精神，以期实现企业目标。控制环境要素控制环境包括以下讨论的要素。尽管每个要素都很重要，但根据企业的不同， 侧重的程度还是有所差异。例如，一个集中经营的小作坊的总裁，也许不会建立正式的职责分工和详细的经营策略，但其仍可能有一个适当的控制环境。诚信和道德观企业目标及其实现方式建立在偏好、价值判断和管理风格的基础上。偏好和价值判断， 转化为行为标准后，会反映出管理层的诚信度和遵行的道德观。鉴于企业好名声的巨大价值，行为标准必然高于遵法、汀N税押妹 鄙透 詈玫墓 荆 缁岫运 堑钠诒伪茸窦褪胤u 嗜？br内部控制的有效性不可能超越创造、管理和监控这些制度的人们的诚信度和道德观。诚信度和道德观是控制环境的关键因素，它们影响其他内部控制要素的设计、管理和监控。诚信是企业各方面活动道德行为的先决条件。正如Treadway委员会所报告的：在各层次上的良好公司道德氛围对公司、全体员工、顾客和公众的健康都至关重要。这一氛围对公司策略和控制系统的有效执行非常重要，也有助于影响那些即使最精细的内控系统也难以管制的行为。因需考虑到多方面的情况，确立道德价值通常很困难。高级管理层的价值必须与企业、 雇员、供应商、顾客、竞争对手和公众的要求相协调。由于各方利益的分歧，协调可能是复 杂和不令人满意的。例如，供应某种关键产品（如石油、木材或食品）可能会引起环境问题。经营良好企业的经理日益同意”道德是有价值的-道德行为就是好商机这一观点。 有很 多正面和负面的例证。医药公司对涉及某一主要产品的危机作出很好的公开处理，这一行为既合乎道德，又能带来商机。公司负面消息， 如利润下滑或违法行为的缓慢释放， 其对客户 关系和股价的影响比起及时的披露要糟糕得多。仅仅关注短期效应，甚至会造成短期的损害。对底线-销售或利润-的集中关注，常会引发始料不及的行为和反应。例如，高压的销售策略，冷酷无情的谈判或暗中的回扣，可能会引发具有即时（亦或持续）效果的反应。道德行为和管理层诚信度是公司文化的产物。公司文化包括道德和行为标准及其如何传递，如何在实践中被加强。 书面正式的公司政策定义了管理层希望发生什么，而公司文化决定了实际发生什么，哪些规则得到遵守、违反或忽略。从总裁开始的高层管理人员在公司文 化的定位上起关键作用。总裁通常是企业的决定性人物，有责任设立企业的道德基准。刺激和诱惑。几年前的一个研究建议， 某些特定的组织因素会影响欺诈和可疑财务报告行为的 可能性。同样的因素还可能影响道德行为。个人可能仅仅因为其组织给予他们的强烈刺激和诱惑而从事不诚实、非法或不道德的行为。强调结果，特别短期结果，培养了失败代价很高的环境。 导致从事欺诈、可疑财务报告行为以及其他不道德行为的诱因有：l达到不切实际的业绩目标，特别是短期业绩的压力 l与业绩挂钩的高回报l高于或低于奖金计划的奖励研究还列出导致雇员作出不正当行为的一？quot;诱惑:l控制不存在或失效， 如敏感区域未作很好的职责分离，提供了偷窃或隐藏不良操作的 诱惑。l组织高度分散，导致高层管理人员不清楚基层的行为，因此，减少了基层舞弊被发现 的机会。l内部审计职能薄弱，无法发现和报告不正确的行为。l低效的董事会不能提供对高层管理人员的客观监管。l对不正确行为的惩罚力度不够或不公开，从而失去了应有的威慑力。去掉或减少这些刺激和诱惑对减少预期外行为大有裨益。正如所建议的，只要实施合理、有利可图的商业实践，就可以取得这一效果。例如，只要业绩目标切实可行，业绩激励加之适 当的控制可以成为有用的管理工具。制定现实的业绩目标是很好的激励措施；它减少了达不到预期目标的压力，同时也减少了不切实际的目标所造成的虚假财务报告的诱因。类似的， 一个控制良好的报告系统可用于防范编制虚假业绩。提供并传递道德指引。除了刚才讨论过的刺激和诱惑外，前面提及的研究发现引起欺诈和可疑财务报告的又一因素：无知。研究发现在许多出现虚假财务报告的公司，相关人员或不知道自己做错，或错误相信他们所做 的符合公司利益”。此类无知常常由缺乏的道德背景或指导造成，而并非故意欺骗。因此， 不仅要传递道德价值，而且要对是非对错提供明确的指引。在组织内传递道德行为的最有效方式是以例证方式。人们愿意模仿上司。雇员有可能形成与高级管理层类似的对错观念（包括对内部控制的态度）知得知总裁在面临艰难决策时作出合乎道德的正确选择，会给企业各 层传递强烈的信息。仅树立一个好榜样是不够的。 高层管理人员应向雇员口头传递企业价值和行为标准。几年前的一个研究指出一套正式的行为准则是向雇员传递公司关于责任和诚信预期的广泛应用的方法。”准则涵盖一系列行为，包括诚信和道德、利益冲突、非法或不正确的支付以及 反竞争安排。部分受国防行业丑闻揭露的推动，许多公司最近都采纳了这样的行为准则，连同必要的信息传递途径和监控。懿僮魇植峻怯邪镭模床皇窍蜿驮薄9.丁 c毯涂突T疣赖录壑档奈丁煌揪丁 ？/p存在雇员能接收和理解的行为准则， 甚至是文件， 仍然不能保证其执行。 高层管理人员的行为和榜样是遵行道德标准 （不管道德标准是否写进行为准则） 的最佳保证。 对违反准则的雇员的相应惩罚； 鼓励员工揭发违规行为的机制； 以及对未能汇报违规行为员工的培训都具有特别重要的意义。管理层在这些情况下采取的行动所传递的信息很快便植入公司文化中。才能才能应反映出完成个人工作任务所需的知识和技能。 这些任务需要完成到何种程度， 总体上是来自于管理层决策， 需要考虑到企业目标、 管理层策略和实现目标的计划。 在才能和 成本之间经常需要权衡-例如，没有必要雇佣一名电子工程师来换一只灯泡。管理层需要为特定的工作确定所需的才能水平， 并将之具体到所需的知识和技能。 而必要的知识和技能又有赖于个人的学识、 培训和经验。 确立知识和技能水平所需考虑的因素包括特定工作的性质和所需的职业判断。常需在监管的程度和个人所需才能水平之间取得平衡。董事会或审计委员会控制环境和最高基调 受到企业董事会和审计委员会的显著影响。 因素包括董事会或审计委员会相对于管理层的独立性， 成员的经验和地位， 活动的涉及面和深入程度， 以及行为的适当性。 另一因素是经理层关于计划和业绩的棘手问题被提出和从事的程度。 董事会或审计委员会与内部和外部审计师的协同合作也是影响控制环境的因素。鉴于其重要性， 一个积极参与的董事会， 监事会或其他类似机构-具有适当程度的管理、技术和其他专业技能， 加之必要的地位和头脑， 使其能充分行使必要的监管、 指导和监控职责-对有效的内部控制至关重要。由于董事会必须对问题有所准备，仔细监察企业活动，提出可供选择的观点， 具有勇气在明显的错误面前采取行动， 因此必须设立外部独立董事。 当然，本企业的管理人员和雇员也常是高效、重要的董事会成员，将公司情况摆上桌面。 但必须取得一个制衡。尽管中小型企业有困难吸引或承担半数以上外部董事的花费，-这在大企业通常不成问题 - 董事会至少应包括一定量的外部独立董事，这一点非常重要。外部董事的具体数量应符合企业具体环境的需要， 但通常需要超过一个的外部董事来使董事会达到必要的制衡。管理哲学和经营风格管理哲学和经营风格影响企业管理的方式， 包括企业承受的风险类型。 一个已经成功承担巨大风险的企业和一个由于冒险而面临艰难经济条件和监管结果的企业在内部控制上可能会有所不同。 一个非正规管理的企业， 可能大部分依赖与关键管理人员面对面的交流来实施经营控制。而正规些的公司可能更多依赖书面的政策、业绩指标和例外报告来实施控制。其他管理哲学和经营风格要素包括对财务报告的态度、 对可选会计原则保守或激进的选择，对所作会计估计的保守和尽责，以及对数据处理、会计和人事职能的态度。组织结构企业的组织结构提供了一个构架， 在此构架中规划、 执行、 控制和监督为实现企业目标而进行的活动。企业活动可能与有时所指的价值链相联系：采购（收货）的行为，运作或生产，外运（运输） ，市场、销售和服务。还可以有支持功能，与管理、人力资源或技术发展相关。确立相关组织结构的主要方面包括定义关键领域的权责分工， 确定合适的报告途径。 例如， 内审部门对高级职员应有不受限制的接触权， 不直接负责编制财务报表， 并有充分的授 权以保证内部审计的范围，以及跟进所发现和建议的事项。每个企业都根据自己的需要确定组织结构。 一些是集权型， 一些是分权型。 一些具有直接的报告关系， 一些则更多的是矩阵型的组织结构。 一些企业按照行业或产品线， 按照地理分布， 按照特定的分销渠道或营销网点来组织架构。 另外一些经济实体， 包括国家和地方政府和非赢利机构，则按照功能来组织。企业组织结构的适当性部分取决于规模和所从事经营活动的性质。一个结构严密的组织， 包括正式的报告路线和权责分工， 可能适合一个拥有很多部门分支， 包括海外机构的大型企业。然而， 它却可能阻挡小企业内的信息流动。不管何种组织结构，应有利于组织实施为实现特定目标而制定的策略。权力和职责分配这包括经营行为的权责分配， 报告关系和授权协议的确立。 它涉及个人和团队被鼓励主动提出和解决问题的程度以及权力限制的程度。 它还涉及定义恰当的企业行为， 关键人员的 知识和经验，以及用以履行职责的资源的政策。将权力下放， 使决策与一线人员更靠近， 这样的趋势日益明显。 企业可能实行这样的方针以成为更加市场推动型或质量关注型企业-可能为了消除缺陷，缩短产品周期或提高客户满意度。 为达到上述目的， 企业需要认识不断变化的市场偏好、 商业关系和公众期望并作出反应。所设计的授权和职责的结合通常为了鼓励在一定限制内的个人能动性。 分权或授权指将某商业决策的集中权力下放到低层梯队-那些与日常交易最接近的人。这可能涉及对销售折扣的授权；长期供应合同、许可和专利的谈判；或结盟或合资。关键的挑战是授权只到实现企业目标所需的程度。 这要求确保风险承受度是建立在鉴别和最小化风险的良好实践上， 包括度量风险， 将潜在的风险与赢利相权衡， 以进行好的决策。另一个挑战是确保所有员工理解企业的目标。 每个人都知道各自行为与目标的内在联系以及对目标的贡献，这是非常关键的。有时日益增长的分权会伴随着或成为企业组织结构简化或扁平化的结果，而且是有目的的。有意为之的结构改变以鼓励创新、 能动性、 和迅速反应的能力能增强企业的竞争力和客户满意度。这种日益增长的分权可能带来对员工更高级别的管理者能力以及更大责任的内在需要。 它也需要管理层实施有效的程序对结果监控。 伴随着更好的市场推动型决策， 授权可能增加不合需要或预期外决策的数量。如果某一地区销售经理认为，为了赢得市场分额， 35%的销售折扣授权有权决定临时性的 45% 的折扣这一行为是正当的，管理层可能需要过问，决定这一决策是越权还是继续得以实施下去。控制环境受到个人对各自职责认识程度的重大影响。这即便对主要管理者也是正确的，他们是企业一切活动，包括内部控制的最终负责人。人力资源政策和措施人力资源措施向员工传递关于预期的诚信度、 道德行为和才能的信息。 这些与雇佣、 指导、 培训、 评估、 咨询、提升、 补偿、 矫正等行为相关。 例如， 那些聘用最合格员工的标准，将重点放在教育背景、工作经验、过去的成就、诚信的品格和道德的行为， 显示了企业对有才能和值得信赖的员工的偏好。 包括正式、深入的面试， 对企业历史、 文化和经营风格广泛和见解深刻的演示在内的招聘活动传递了企业以人为本的理念。传达未来的职责的培训政策，包括培训学校、研讨会的实践、个案研究、角色扮演练习，这些都反映了企业预期的员工业绩和行为水平。 由定期业绩评估推动的人员轮换和提升， 显示了企业将合格人员及时提升到更高级别的承诺。 竞争补偿计划包括奖金激励， 用于促进和增强优秀的业绩。 惩罚性措施表明对预定行为的违反是不能容忍的。部分受日新月异的科技和日趋激烈的竞争的推动，企业面临的问题也迅速变化并日趋复杂，因此人事必须准备迎接新的挑战。教育和培训，无论是课堂中的指导， 自学或在职培训，必须使企业员工有准备跟上时代， 有效应对环境的变化。 还须加强企业影响质量能动性的能力。仅聘用能干的员工，进行一时的培训是不够的。必须进行持续教育。差异和影响由于管理层偏好、 价值判断和管理风格的差异， 企业的独立运营分部、 国内外分公司的控制环境也大有差异。 控制环境的差异有许多方面的原因。 既然没有两个运营分部、 国内外分公司以相同的方式经营， 那么控制环境也不可能一样。 因此， 认识到不同控制环境会对控制制度的其他要素产生影响，是很重要的。无效控制环境的影响是深远的， 可能造成财务损失， 公众形象受到影响或导致企业破产。以一家被公认具备有效内部控制的军工承包企业为例。 该公司具有设计良好的信息系统和控制活动，众多描述内控职能的政策手册， 以及广泛的协调和监控程序。 它接受政府审计。然而， 它的内控环境存在很大的缺陷。 高层管理人员不想知道有没有发生不正当行为。 即使欺诈现象非常严重， 高层管理人员仍予以否认。 该公司被发现在五角大楼从事欺诈活动， 被判一大笔罚金，并遭到媒体的广泛披露，公众形象尴尬。高层管理人员对有效内部控制的态度和关注必须渗透入企业内部。 仅说正确的话是不够的。 我行我素 的态度必然会带来不健康的控制环境。中小型企业的应用虽然每个企业都应包括本章所讨论的概念， 但是中小型企业对控制环境的应用会不同于大型企业。 例如， 小公司可以没有书面的行为准则， 但这并不表示其没有强调诚信和道德行为重要性的公司文化。 通过总裁或老板-经理和高级管理人员的直接参与，可以在员工会议、个人会面、 和与供应商和客户打交道的过程中将对诚信和道德行为的要求以口头方式进行传达。 由于雇员与他们有直接的接触， 因此他们自身的信誉和行为就很重要， 并应与口头宣传相符。通常的，管理的层次越少，可以接受何种行为的信息就传递得越快。类似的，人力资源政策可能不象大公司那样正式。政策和措施仍然能够存在并被传递。总裁可以口头指示他需要招聘何种类型的人来从事某一特定工作， 甚至可能积极参与招聘过程。并不一定需要正式的文件来使政策得以实行和实现有效的经营。由于董事会或类似机构的重要性，即使小公司也需要这样的机构来获得有效的内部控制。 如前所述： 小企业设立大量的独立董事是有困难和不经济的， 而且它可能不必要这样做。可以通过少量的独立董事来达到所需的独立性。一个重要的因素是需要存在 关键性的多数 ，即足够的外部董事来保证董事会提出强硬的措施和在必要时采取一些艰难的措施。对这种需要只有一个例外。 对于不需要公开筹资的私人企业， 尽管独立董事也是有益的， 但通常对有效内部控制不起关键作用。评估评判有效内部控制是否存在， 评估者需要考虑到每个控制环境因素。 需要重点关注的事项列示如下。这一列示并未涵盖全部，也非对每个企业都适用；它仅仅是一个起点。尽管有些具有很强的主观性，需要相当的职业判断，但总体上与控制环境的有效性相关。诚信度和道德价值l 行为和其他政策的指导手册的存在和应用。包括：可接受的商业行为，利益的冲突或期望的道德标准和行为。l 与雇员、 供应商、 顾客、 投资者、 债权人、 保险商、 竞争对手和审计师等打交道。 （例如， 管理层是否在高道德标准上从事商业活动， 并坚持他人也这样做， 还是对道德问题很少关注）l 实现不切实际的业绩目标的压力 -尤其是短期目标- 以及为了实现这些目标而所需补偿的程度 对才能的要求l 对工作和构成工作的任务的正式或非正式的描述和定义。l 对足够完成工作所需的知识和技能的分析。董事会或审计委员会l 与经理层独立，以提出必要，甚至是困难和需要查明的问题。l 与财务总监或财务经理、内部审计师、外部审计师会晤的频率和时机。l 信息向董事会或审计委员会传达的充分性和及时性，使管理层的目标和策略、企业财务状况和经营成果、以及重大合同的条款得到监控。l 董事会或审计委员会得知敏感信息、调查和不正确行为的充分性和及时性。 （例如，高级管理人员的差旅费、 重大诉讼、 监管机构的调查、 贪污、 挪用资产、 违法内部交易规则、政治贿赂和非法支付等。 ）管理哲学和经营风格l 可承受商业风险的类型。例如，管理层是否经常从介入高风险活动，或在风险承受方面特别谨慎。l 高级管理层和日常经营管理层之间相互交流的频率， 特别是当相互之间在地理位置非常遥远时。l 对财务报告的态度和行动，包括对会计处理应用的分歧（例如，保守或激进会计政策的选择； 是否存在会计原则的错误应用、 重要财务信息没有披露、 或财务报告被粉饰或伪造。 ）组织结构l 企业组织结构的恰当性及提供必要的信息流以管理其行为的能力。l 主要经理人员职责的充分定义及其对自身权责的理解。l 与职责相对应的主要经理人员的知识和经验的充分性。权力和职责的分配l 权力和职责的分解，以应对组织目标，经营职能和法规要求，包括关于 信息系统 的责任和应对变化的授权。l 与控制相关的标准和程序的适当性，包括雇员工作描述。l 员工的合适数量，尤其对于数据处理和会计部门，需要与企业规模和工作、系统性质 和复杂性相符的技能水平。人力资源政策和措施l 雇佣、培训、提升和补偿员工的政策措施到位的程度。l 对偏离经批准的政策程序进行补救的措施的适当性。l 对拟聘雇员背景调查的充分程度，尤其是有关那些企业不能接受的过往行为。l 员工对标准的保持和提升的充分程度和信息收集技巧（如业绩评估） 以及与行为准则 或其他行为指南的关系。