3.1　内部控制实施主体

落实内部控制体系构建工作的第一要义是明确内部控制的实施主体。如果不能清晰地确定内控实施的主体及其在内控建立与实施工作中所扮演的角色，那么很容易造成管理缺位或管理混乱。《企业内部控制基本规范》对内控实施的主体作出了基本规定：“董事会负责内部控制的建立健全和有效实施。监事会对董事会建立与实施内部控制进行监督。经理层负责组织领导企业内部控制的日常运行。企业应当成立专门机构或者指定适当的机构具体负责组织协调内部控制的建立实施及日常工作。”

3.1.1　股东（大）会

《企业内部控制应用指引第1号——组织架构》规定，股东（大）会在企业内部控制的建立与实施中享有表决权，董事会和监事会都要对其负责。由此可以看出，股东（大）会对企业内部控制的有效实施具有重大影响，具体表现为股东（大）会的结构，即股权集中程度。为此，企业应合理安排产权制度，设置合理的股权结构和股权集中度，有效发挥股东（大）会在内控实施中的重要作用。

【案例3-1】

IT之星的陨落22

2007年5月14日有关媒体报道，实达电脑自2007年5月18日起暂停上市。这是一家地处东南地区、蜚声海内外的中国IT企业，由于演绎了“从16个人到16亿元”的传奇，在股权结构、应用模式、管理体制等方面为国内同行提供了可资借鉴的经验，曾被《计算机世界》评为“20世纪最有影响的中国十大IT企业之一”。这颗IT之星的陨落之谜又是什么呢？故事的谜底在于实达电脑缺乏良好的内部环境，尤其是在公司治理结构方面。完善的公司治理结构是建立内部控制制度的基础。假设公司治理结构不规范，就会直接导致内部环境出现问题，从而很可能导致公司内部控制失效。实达电脑的董事会基本上是形同虚设，并没有真正行使过职责。

从实达电脑十大股东结构表（见表3-1）中可以看到，实达电脑的前三大股东各占了15%左右的股份，都无法得到绝对的控股权。这种绝对分散的股权结构一方面保证了公司不被某一个股东操纵，有利于维护投资者的利益；另一方面也导致其决策主要依赖于经营者，从而架空了董事会。自创立以来，实达电脑高层管理者频频更换，没有一个出色的管理领袖。其结果是造成所有者监督的缺位，导致决策过程的不规范、决策效率的低下，以及决策结果的不合理。

表3-1　实达电脑十大股东结构表

3.1.2　董事会

董事会负责内部控制的建立健全和有效实施，对股东（大）会负责，依法行使企业的经营决策权。作为公司治理的核心，董事会是联系企业所有者与经营者的纽带，也是内部控制中控制环境的重要因素，无论对公司治理结构还是对内部控制而言都是至关重要的。董事会的职责是将日常的生产经营、销售管理等控制权授予公司各个高级经理层，仅保留聘用和解雇CEO和CFO、重大投资、兼并和收购等战略性的决策控制权。从内部控制而言，董事会的职责是对责任进行委托，对整个公司的内部控制的有效性负有最终责任，包括对各个委员会负责的内部控制进行监督报告与审阅评价、对风险管理进行督导与调整。

董事会应下设战略、审计、提名、薪酬与考核等专门委员会，明确各专门委员会的职责权限、任职资格、议事规则和工作程序，为董事会的科学决策提供支持。其中，审计委员会负责审查企业内部控制，监督内部控制的有效实施和内部控制自我评价情况，协调内部控制审计及其他相关事宜等。审计委员会成员全部由董事组成，其中独立董事应占多数并担任召集人，并至少应有一名独立董事是会计专业人士。

【案例3-2】

“用人不疑、疑人不用”怎能成为公司治理的信条23

2008年6月19日，四川蓝光集团以3.2亿元拍下迪康药业29.9%的股权，成为迪康药业的实际控制人。迪康集团董事长曾雁鸣15年的心血化为泡影，迪康产业控股集团改嫁他人。迪康集团管理决策真正的转折点发生在2001年。就在2001年年底，曾雁鸣决定引入职业经理人以促进企业的发展，希望实现控制权与经营权相对分离。2001年12月，曾永江等高级管理人员加入迪康集团，分别任迪康集团总裁与副总裁及收购企业的董事长等要职。曾雁鸣放权后，曾永江和他的管理团队主导了后面两年的集团发展大计，正是这两年大大小小的资本运作，给迪康带来灭顶之灾。

曾雁鸣是个“好人”，一直秉承“用人不疑、疑人不用”的公司治理理念。迪康集团在2002—2004年的一系列资本运作和扩张基本都是管理团队提倡和决策的，而迪康集团缺乏有效的公司治理机制防止这一系列错误的决策。这也是大部分民营企业中存在的普遍问题，主要体现在三个方面：

第一，有效的董事会决策管理机构缺位。不像国企和传统的民营企业，企业完全有条件建立一个以外部董事为主的董事会，特别是董事会战略管理委员会。如果迪康集团有这样一个完善的战略管理委员会，就很有可能防止一个制造企业盲目进入药品分销、多业态零售（成商集团）、金融信托和物流业，这些领域迪康并不擅长，而且迪康还为此背上了沉重的债务负担，资金链面临断裂。

第二，缺失规范化的公司决策管理流程。公司重大投资管理应该基于董事会确定的战略方向，而投资管理决策也应该按照严格规范的流程进行。在更大范围、更大规模的跨行业收购投资前，迪康集团并没有规范化的决策管理流程支撑。据知情人士介绍，收购成商集团签约前，曾雁鸣所信任的迪康管理层只拜访过被收购公司一次，而且仅仅是为了拿财务报表。由此我们很难相信，迪康的决策层有严格而全面的投资评估和投资决策流程。

第三，忠诚、信任不可代替科学决策。谁来决定派驻控股子公司董事和高管代表的人选？这应该是关乎公司而不是个人的利益和决策。控股子公司的决策必须符合公司的战略意图，集团公司需要一套好的支持体系帮助派驻董事和高管作出正确的决策。曾雁鸣贸然将曾永江和他的管理团队“空降”到控股子公司，并放手管理，其把“用人不疑、疑人不用”的思路用到公司治理方面是非常幼稚的，而在现实中，不少民营企业都用“忠诚”“信任”来代替科学决策。

3.1.3　监事会

监事会是公司内部的专职监督机构，负责监督企业董事、经理和其他高级管理人员依法履行职责。监事会对股东（大）会负责，向股东（大）会报告监督情况，为股东（大）会行使重大决策权提供必要的信息。在监督过程中，可随时要求董事会和经理人员纠正违反公司章程的越权行为。为了完成其监督职能，监事会成员必须列席董事会会议，以便了解决策情况，同时对业务活动进行全面监督。

3.1.4　管理层

管理层主持企业的生产经营管理工作，负责领导企业内部控制的日常运行。管理层主体内不同层级的管理者有着不同的内部控制责任。根据主体的特点，这些责任各不相同，需要企业根据自身组织机构设置的特点科学安排。

管理层中的核心是CEO。作为企业的领导人，CEO是负责企业内部控制的最高领导者。国际上成功的内部控制实施经验证明，一家企业想要成功实施内部控制，必须得到企业最高领导者的支持，同时更需要CEO直接负责、参与到内部控制体系的构建工作中。可以说，内部控制有效性与否很大程度上依赖于CEO的表现。CEO需要熟悉内部控制规范体系框架，与董事会及各个委员会一起工作的同时，确保他们所采用的监督方式适用于特定的环境，并且对内部控制委员会提出合理的建议。正如COSO框架文件中提到的“顶端的声音”，CEO是整个公司的代表。从内部控制角度来看，CEO负责对公司的高级管理人员进行组织计划、指导监督，对内部控制的要素进行运营与实现，从而实现公司内部控制目标。

管理层主体中的CFO和会计主管对内部控制的实施亦非常重要，他们的活动遍及和贯穿于企业的经营和其他业务单元。CFO通常参与主体层次的预算和计划，他们通常从经营和合规及财务的角度跟踪与分析业绩。

其他各业务单元的高级管理人员，对与其业务单元目标有关的内部控制负有责任。他们负责指导其所负责的业务单元目标的内部控制政策和程序的制定和实施，并确保它们与主体层次的目标相一致。

另外，关于主体中的中低层管理人员，高级管理人员应将具体的内部控制程序的责任分配给负责该业务单元的中低层管理人员。相应地，这些子单元的管理人员在设计和实施特定内部控制程序的过程中发挥着更加直接的作用。这些管理人员通常直接负责确定针对业务单元目标的内部控制程序。例如，制定采购原材料或接纳新客户的授权程序，或审核生产报告以监控产品产出。

3.1.5　一般员工（以会计人员为主）

员工，是公司最重要的资源，是人力资产的所有者。无论是COSO内部控制框架还是我国企业内部控制规范体系都强调内部控制是全员控制。企业想要保证内部控制达到提升企业营运的效率效果、财务报告的可靠性、相关法令的遵循性的目标，一般员工的重要性不言而喻。在所有员工中，会计工作的特殊性决定了会计人员在内部控制实施中所扮演的重要角色。

从会计本身的职能来看，会计的两大职能是反映和监督。其中，监督职能反映了会计参与企业管理进行内部控制的作用。从会计人员在企业中的地位来看，会计人员也是最适合的内部控制执行者。在企业内部，会计工作是企业管理的中心环节，企业的供、产、销、人、财、物等几乎全部经济业务都要经过会计环节转换为会计信息，会计人员能够全面地掌握企业的各种经济活动和企业的财务状况。COSO内部控制框架指出，内部控制的构成要素之一是信息和沟通，围绕在控制活动周围的是信息与沟通系统。这个系统使企业内部的员工能取得他们在执行、管理和控制企业经营过程中所需的信息，并交换这些信息。而会计无疑是企业管理的信息中心，由会计人员进行内部控制，可以避免注册会计师审计常常会遇到的审计范围受限等情况。因此，通过会计这个环节来建立企业权力约束制度，是由会计工作本身的地位所决定的。