【作　　者】
李连华（博士生导师）

【作者单位】
（浙江财经大学内部控制研究所 杭州 310018）

【摘　　要】

      【摘要】本文对比分析了中国与美国、英国、加拿大等国在内部控制实施机制上的差异，以及可供我国的借鉴之处。建议我国应该加强上位法与《企业内部控制基本规范》之间的衔接程度，减少企业自我理解和执行的机会主义空间；同时，在相关法规中应该明确对于内部控制规范不执行或者执行不到位时的处罚条款、处罚程度。
【关键词】内部控制   实施机制   比较   经验   借鉴

企业内部控制规范的实施机制与实施效果，既是一个实践问题，也是一个理论问题。本文拟通过对内部控制规范及其配套机制的国际比较研究来寻求提高我国内部控制规范执行效率的可行之策，从而在丰富内部控制理论研究的同时又推动对于内部控制规范实施难这一现实问题的解决。
一、国外内部控制规范实施机制比较
内部控制规范的实施机制不同于内部控制规范本身。依照目前主流观点的理解，内部控制规范是指有关于内部控制体系建设的技术性规定和管理要求，其主要的构成要素包括内部控制目标、内部控制要素、内部控制原则和内部控制方法等，而且不同国家对于内部控制规范的称谓也是大不相同的。比如，美国的内部控制规范称为“内部控制——整合框架”，是单独成文的，而英国的内部控制规范则称为“Turnbull报告”，实际上是公司治理规则的一个组成部分。
内部控制规范的实施机制则是指为了保证内部控制规范得以实施而建立或者形成的工作机制的总称。这些机制中有些是指相互支持、相互衔接的法律、法规、监管政策、上市规则等正式的制度；有些则是指市场、文化、习俗、道德价值观念等非正式的制度因素。但是，无论是前者或者是后者，它们都会以某种方式作用于内部控制的实践过程，从而影响到内部控制规范的执行效率。在这一点上两者是相同的。而本文的研究对象仅限于内部控制规范实施机制中的正式机制，目的是通过显性的制度规范的建立与完善来提高我国企业对于内部控制规范的执行力度和执行效果。至于非正式的内部控制实施机制，则因其包含内容繁杂本文不予涉及。
1. 美国内部控制规范的实施机制。美国内部控制规范的实施机制，从总体特征上分析，采用的是一种以上位法为主的保障机制。这种上位法的保障机制是将内部控制规范的控制要求直接融合到比它更高层次的法律规范之中，从而在上位法中形成与内部控制规范相互呼应、相互衔接并提供强力支持的保障机制。
美国的内部控制规范是由COSO委员会颁布的《内部控制——整合框架》。但是，由于COSO委员会属于职业组织而非立法机关，因此，从严格的法理上来讲，《内部控制——整合框架》并不是正式的法律，而只是技术性指导规范，其本身并不具有强制的执行力。假如没有来自于其他更高层次的法律支持，它在实践中将可能因为缺乏约束力而难以得到贯彻执行。为了解决这个问题，美国采用了上位法的保障机制。具体来说，就是在由美国国会通过的、比《内部控制——整合框架》而言具有更高法律层次的《证券法》、《萨班斯法案》中嵌入到内部控制规范的管理要求，从而实现《证券法》→《萨班斯法案》→《内部控制——整合框架》之间的相互衔接和支持。比如，在《萨班斯法案》第302节中规定：“签字官员”也即企业高层管理者需要“对建立和保持内部控制负责”。通过这一条款，原本属于职业性技术规范的《内部控制——整合框架》就嵌入到了国家的法律层面，因此具备了强制性的执行效力。同时，该法案还设计了相应的责任追究机制，对在内部控制上失责的官员规定了具体的惩戒措施。比如，在法案第304节“没收奖金与收益”、第305节“对公司官员及董事的惩罚”、第八章“公司欺诈及其刑事责任”中都对公司及其管理者的失责行为做出了相应的处罚规定，强化了对内部控制规范的执行力和威慑力。
2. 英国内部控制的实施机制。英国和美国虽然文化上同源，但是在内部控制规范体系及其实施机制上却有着较大差异。目前有些文献将两者视为一类是不准确的，或者是存在着一定的误解。英国目前内部控制规范的主体文件是1999年颁布的《内部控制框架报告》，由于该报告是由Turnbull先生领导下完成的，因此，又被称为《Turnbull报告》。从法律性质上看，这个文件和美国的《内部控制——整合框架》一样同属于职业组织颁布的，因此也存在着执行力较弱的问题。但是，在解决该问题时英国却采用了有别于美国上位法的做法。
根据现有法规体系判断，英国在解决内部控制规范的贯彻执行问题上采用的是一种以同位法为主的保障机制。所谓的同位法保障机制是指通过将内部控制规范的管理要求嵌入到相同层次的其他法规之中来加强对内部控制规范的支持力和执行力。具体来说英国的做法是：第一，在《联合准则》中嵌入内部控制的相关要求。英国的《联合准则》是由伦敦证卷交易所1998年发布的。由于该机构并不是立法机关，所以，从性质上讲《联合准则》也不是正式的法律，与《Turnbull报告》处于相同的规范层次。最初，《联合准则》中并没有包含对于内部控制的执行要求，后来在2003年修订时该准则增加了有关内部控制的管理要求。其中原则C.2规定，“董事会应当维持一个健全的内部控制系统，以保护股东的投资和公司的资产”，这样就实现了与《Turnbull报告》之间在内容上的相互衔接。第二，在《上市规则》中嵌入内部控制的管理要求。《上市规则》也是由伦敦证卷交易所颁布的管理文件，旨在规范上市公司的登记和信息披露。该规则中规定，上市公司在年报中要报告执行内部控制的情况，如果没有建立健全内部控制，或者部分建立了内部控制，那么需要详细说明其原因。
由此英国通过将《Turnbull报告》嵌入到《联合准则》和《上市规则》之中，就增加了上市公司对内部控制规范的执行效力。因为对于上市公司来说，由伦敦证券交易所颁布的管理规范显然要比由专业性职业组织英国财务报告理事会（FRC）下的“内部控制工作小组”颁布的《Turnbull报告》更加具有约束力和法律效力。
3. 加拿大内部控制的实施机制。加拿大的内部控制规范文件是指由加拿大特许会计师协会（CICA）下属的控制标准委员会（CoCo）于1995年颁布的《控制指南》。这一文件如果单纯从名称上看似乎和美国、英国有着根本不同，甚至大家可能会怀疑它们是否属于相同的规范体系。但是，如果从《控制指南》规定的“经营效果与效率”、“内部和外部报告的可靠性”和“遵守适用的法律、规章和内部政策”这三个目标来分析，它和美国、英国内部控制规范的目标诉求是一致的。这也是人们之所以把加拿大的《控制指南》和美国的《内部控制——整合框架》、英国《Turnbull报告》共同视为内部控制规范的重要依据。只不过是加拿大对于内部控制的理解相较于美国、英国而言更为宽泛一些而已。
内部控制规范本身并不能完全解决它自己的实施问题。这个问题对于加拿大来说是同样存在的。为了解决这个难题，加拿大采用了类似于英国的同位法保障机制，即在相同的法规层次上实现对于内部控制的相互呼应和相互支持。具体来说，第一，在公司治理联合委员会（JCCG）2001年发布的《超越遵循：建立治理的文化》报告中，提出对于《控制指南》的遵守要求，其中规定“董事会应对管理经营风险的系统进行检查和监督”；第二，在2000年发布的《董事指南：应对董事会的风险》报告中，规定董事会对内部控制的评价责任。
4. 法国内部控制的实施机制。法国内部控制规范体系的建设路程与实施机制具有自己的特点。尽管在总体特征上，它和美国一样都是采用上位法的保证机制，但是美国的情况是内部控制规范制定在前，而上位法的实施机制建立于后。而法国则是正好相反，其上位法中对于内部控制的要求在前，而专门的内部控制规范形成在后。这样以来，内部控制规范的出现就可以被理解为是为了贯彻相关法律的执行而制订的，内部控制规范一开始就具有了上位法提供的保证机制。
法国对于内部控制的要求最早出现于2003年发布的《金融安全法》，其中要求上市公司的董事会要披露公司治理和内部控制情况，同时规定注册会计师要对上述信息进行审核。但是，这些规定太多原则性，缺乏详尽的操作指引，因此，实施起来比较困难。为了配合《金融安全法》的实施，为上市公司提供一套比较实用的管理工具，同时也为了对应美国COSO的内部控制框架，法国金融监管局于2007年颁布了自己的内部控制框架，由此便形成了《金融安全法》→《内部控制框架》相互支撑、相互配套的完整体系。
5. 小结。通过上述对美国、英国、加拿大、法国的内部控制规范及其与之相关的法律制度的结构分析可知，这些国家在内部控制规范的实施机制上采用了两种不同的模式：一种是通过上位法来对内部控制规范的实施提供保障；另一种是通过同位法来为内部控制规范的实施提供保障。这应该是最有代表性的两种实施机制。当然，如果从法规的权威性上来讲，由上位法来为内部控制规范的实施提供保障机制更加具有良好的理论预期。这种意义上，可以说美国和法国的内部控制规范实施机制是最为先进的，代表着未来的发展方向。尽管他们两者的形成历程与先后顺序正好相反。
二、中国内部控制规范实施机制的总体特征
中国内部控制规范的主体是2008年颁布的《企业内部控制基本规范》，以及2010年颁布的《企业内部控制应用指引》、《企业内部控制审计指引》和《企业内部控制评价指引》。从更加广泛的意义上讲，也可以把2012年发布的《企业内部控制规范体系实施中相关问题解释第1号》和《企业内部控制规范体系实施中相关问题解释第2号》纳入其中。这些规范在总体上为企业设计和实施内部控制系统提供了技术性的标准和指南。
由于上述规范都是由中国财政部会同审计署、证监会、保监会、银监会联合颁布或者单独发布的，因此，从立法的角度上讲它们都不是严格的法律，而只能算是部门规章。自然，其执行过程中也会存在着权威性较低、强制力较弱的短板。这也是造成目前我国内部控制规范在实践中出现执行力弱甚至在有些企业中流于形式、不能落地的重要原因。为了解决这个问题，我国在法规框架上采用了上位法、同位法和下位法相互结合的制度支援体系。这种“三位一体”的实施机制构成了中国内部控制规范实施机制的总体特征。
1. 我国在上位法中嵌入了对于内部控制规范的执行要求，为内部控制规范的实施提供了法律支援。比如，在《公司法》第二章第二节第47条和第51中规定，董事会和经理要制订本公司的基本管理制度。这里的“基本管理制度”应当包含了内部控制制度；在《会计法》第4章第47条中规定，各单位应当建立健全本单位内部会计监督制度。其中尤其强调了岗位分离的相互牵制制度；在《证券法》第52条第8款中规定，公司发行股票要满足证券交易所上市规则规定的其他条件。这里其他条件包括了上交所和深交所颁布的内部控制要求。
2. 在同位法中增加对内部控制规范的支持性和配套性，提高对内部控制规范的执行力。比如，2012年5月国资委发布《关于加快构建央企内部控制体系相关事宜的通知》、2013年国资委发布《中央企业开展全面风险管理工作有关事项的通知》，通过这种同位法的再次“背书”无疑进一步强化了对内部控制规范的执行力。
3. 通过下位法为内部控制规范的贯彻提供帮助。具体来说，由上海证券交易所和深圳证券交易所分别发布《上海证券交易所上市公司内部控制指引》、《深圳证券交易所上市公司内部控制指引》等。这些由证券交易所颁布的规范文件虽然在法律层次上低于财政部规范的部门规章，但是由于其更加具体和有针对性，因此，其在企业中的影响力和约束力仍然不能小觑。比如，在近些年约有101家企业因为内部控制不完整而在IPO闯关时失败。
三、基于国际经验改进中国内部控制规范实施机制的建议
由上述我国内部控制规范实施机制的结构特征可以看出，为了保证内部控制规范得到贯彻实施，中国已经建立起了结构相对完整的一套实施机制。如果单纯从理论的逻辑分析和制度配套的严密性上来分析，中国的内部控制规范实施机制可以说是世界上结构最为健全的。但是，即使如此，那么为什么内部控制规范实施机制却没有产生出预期的控制效率呢？我们认为，这里的主要问题是出在以下两个方面，并建议对其予以改进，以促使对内部控制规范执行力的不断提升：
1. 上位法与内部控制规范之间的相互衔接不够明确，容易造成多种误读和理解。中国尽管在《公司法》、《会计法》中嵌入了企业必须建立、健全内部控制制度的管理要求，在内容上实现了和《企业内部控制基本规范》之间的相互呼应和对接，但是，这些要求却不是非常明确，在实际执行中给企业留下了较大的自我理解和解释空间。比如，《公司法》与内部控制规范的衔接点是“基本管理制度”，而《会计法》与内部控制规范的衔接点是“内部会计监督制度”，但是它们都没有明指“内部控制制度”。如此一来，在上位法和内部控制规范之间的相互衔接上就出现了缝隙，给企业逃避实施内部控制规范而留下了一定的余地和口实，也就影响了上位法对于企业内部控制规范的支持效力。
因此，未来在相关法规的修订时，建议我国应该像美国那样在上位法中明确提出对于内部控制规范的执行要求，以实现上位法和内部控制规范之间的无缝衔接。
2. 惩罚机制的设计上存有缺陷。实施机制必须有明确的、可行的、具有连续性的奖惩制度和条款（繆艳娟，2010）。这是实施机制的核心要素之一。可以说，没有惩罚机制就没有对制度规范的遵守。因为，任何制度规范的遵守都不是以奖励为条件的，而是建立在对违规行为进行处罚的可预期基础上的。
我国目前无论是在上位法中或者是在内部控制规范中都没有对不执行内部控制规范的行为制定有明确的惩戒条款。这样就大大降低了企业对于不执行内部控制规范时的违规成本的预期，甚至个别企业可能会误以为企业内部控制规范只是一个劝导性的技术标准，而不是一定要强制实施的法规。事实上在我国企业管理中只要不发生重大的经营管理事故，也很少有企业因为对内部控制规范的不执行或者执行不到位而受到处罚的。所以，我国在未来对《公司法》、《会计法》及《证券法》的修改过程中，应该明确规定在内部控制规范不执行或者执行不到位时对企业负责人的追责和处罚条款，以此增加在内部控制规范实施中的威慑力和对于违规行为的成本预期。
【注】本文系教育部人文社会科学基金课题“基于制度演化视角的内部控制实施机制及其实施效率研究”（课题编号：13YJA630045）的中期研究成果。
主要参考文献
缪艳娟.企业内部控制规范机制的新制度经济学分析.会计研究，2010；11