成功的企业由于内控有效而得以扩张；而内控失败必将使企业蒙受重大损失，甚至破产。美国忠诚与保证公司的调查结论是：70%的公司破产是由于内控不力导致的。巴林银行、“郑百文”、银广夏这些曾经辉煌的企业，犹如一座大厦在顷刻间倒塌，原因只有一个，就是被人们称为现代企业稳健发展的“稳定器”——内控制度在这些企业成了一纸空文，中航油事件也是如此。

 

一、中航油事件的简单回顾

 

中航油新加坡公司于2001年底获批在新加坡上市，在取得中国航油集团公司授权后，自2003年开始做油品套期保值业务。但在此期间，总裁陈久霖擅自扩大业务范围，从事石油衍生品期权交易。2004年12月，中航油新加坡公司因从事投机性石油衍生品交易，亏损5.54亿美元，不久就向新加坡证券交易所申请停牌，并向当地法院申请破产保护，成为继巴林银行破产以来最大的投机丑闻。

 

2005年3月，新加坡普华永道在种种猜疑下提交了针对此亏损事件所做的第一期调查报告。报告中认为，中航油新加坡公司的巨额亏损由诸多因素造成，主要包括：2003年第四季度对未来油价走势的错误判断；公司未能根据行业标准评估期权组合价值；缺乏推行基本的对期权投机的风险管理措施；对期权交易的风险管理规则和控制，管理层也没有做好执行的准备等。

 

排除一些从事市场交易活动都难以避免的技术原因，我们从普华永道的报告可以得出一个不算离谱的结论：中航油从事期权交易业务的决策以及整个交易过程都无视制度的存在，公司最终的巨亏是不按制度行事的结果。这次事件引发了政府、企业和理论界对内控执行和完善的思考，内控的有效性再度引起了大家的关注。

 

二、内控的新思考

 

（一）内控的重心：应从细节控制转向风险管理

 

2004年的中航油事件对我国的海外上市公司产生了重大的负面影响，大大损害了海外上市公司的形象。透视中航油事件，我们得到的关于内控的启示就是：内控的重心要从细节控制转向风险管理。

 

随着新的企业风险管理的形成，COSO委员会为了应对来自理论界与实务界的挑战，于2004年10月发布了《企业风险管理框架》（简称ERM），认为企业风险管理包括内控，并且会全面取代内控，从而确立了内控向企业风险管理发展的合理性。

 

事实上，几乎所有的企业内部都有一大套的管理制度，这些制度大到对外投资，小到差旅费报销。因此，企业董事会与管理层狭隘的认为，这些制度的执行就是内控的所有内容。但是，由于有限的管理资源和可观的控制成本，使得企业的精力不能放在所有的细枝末节上，所以，ERM框架要求董事会与管理层特别重视可能产生重大风险的环节，且将风险管理作为内控的最主要内容。

 

2002年中航油的年报显示其当年的投机交易盈利，2002年下半年，中航油开始进行石油期权交易，到年底也收益颇多，此时就面临着事项识别中的识别机会与风险问题。当我们看到该事项为公司赚取了大量利润的同时，应该也清醒地认识到，其可能产生巨大风险。但是，中航油的决策者风险意识淡薄，判断、控制和驾驭风险的能力明显偏弱。如果管理当局在赚取巨额利润的同时，能认清形势，清醒地意识到可能产生的风险，或许中航油的事件就不会发生。

 

（二）内控的主体：应从单元主体转向多元主体

 

我国《独立审计基本准则》一般准则第5条指出，建立健全内控制度是被审单位管理当局的责任；我国《内部会计控制规范——基本规范》第5条规定，单位负责人对本单位内部会计控制的建立健全及有效实施负责。这都将内控的主体定为单元主体，而现代企业制度下，所有权与经营权的分离导致经营管理者实质性拥有了企业控制权，所有者本身需要对管理者进行控制，管理者本身就是内控的对象。若管理当局是内控的单一责任主体，负责内控的设计与执行，并对内控的执行情况加以认定与评估，这样的角色和责任的定位是否有待商榷？因为由管理者自己管理自己，自己监督评价自己，势必会产生“该控制的控制不了”，滥用职权、牟取私利、独断专行等后果，以至于企业控制失灵。中航油新加坡公司虽然有健全的内控和风险管理制度，但是事件的核心人物——新加坡公司原总裁陈久霖凌驾于控制之上，亲自操盘期货期权投机交易，而他本人是中航油新加坡公司内控的责任主体，在单一控制主体下，没有其他主体对他实施控制，所以内控应从单元主体转向多元主体。

 

如果由董事会来承担内控的责任，进行多元控制，就能保证内控实施力度，内控也就更具说服力。这也正是ERM框架中所要求的：ERM框架使董事会在企业风险管理方面扮演更加重要的角色——负总体责任，并且要求其变得更加警惕。企业风险管理的成功与否在很大程度上依赖于董事会，董事会需要批准组织的风险偏好。

 

1992年的COSO报告中指出：组织中的每一个人对内控都有责任。首席执行官对内控体系负有根本的责任，并且享有该系统的所有权。首席执行官是通过领导高级管理人员并发布指令，评估高级管理人员控制经营的方式来履行该责任的。高级管理人员将建立更具体的内控政策和程序的责任按部门的功能分派给有关人员。

 

另外，注册会计师对企业内控也具有一定的鉴定作用。关于内控的重大缺陷，注册会计师与管理当局进行一定的沟通，并出具“管理建议书”，提出建议。

 

从以上分析可以得出内控主体应从单元主体向董事会、管理当局以及CPA多元主体转变。董事会全面负责内控，管理层负责其具体有效的执行，注册会计师对内控进行再评价，这样就达到了多元控制的目的。

 

（三）内控的监督：应从关注内控建立转向内控运行和评价

 

中航油内部的《风险管理手册》设计得很完善，手册规定了相应的审批程序和各级管理人员的权限，通过联签的方式降低资金使用的风险；采用世界上最先进的风险管理软件系统将现货、纸货和期货三者融合在一起，全盘监控。同时建立三级风险防御机制，通过环环相扣、层层把关的三个制衡措施来强化公司的风险管理，使风险管理日常化、制度化。由此可见，公司在设计内控时，是花了相当大的精力的，但在如何保证实施制度方面，却缺乏应有的措施。因此，内控必须要有一个监督机制来促使它的执行。

 

在ERM框架中，内部审计人员在监督和评价成果方面承担重要任务。他们必须协助管理层和董事会监督、评价、检查、报告和改革ERM。

 

内部审计是企业自我独立评价的一种活动，具有得天独厚的优势。它本身在企业中不直接参与相关的经济活动，处于相对独立的位置，但同时又处在各项管理活动中，对企业内部的各项业务比较熟悉，对发生的事件比较了解。公司的内部审计，应向审计委员会报告工作，接受审计委员会的业务指导，并直接对董事会负责，任何重要的审计决策由审计委员会提出方案，并经董事会批准。这既保证了公司内部审计的相对独立性，又保证了其权威性。在这样的前提下，内审部门通过对内控的审查和评价，可以从中找出控制薄弱点，发现内部控制不尽完善和执行无力之处，进而提出改进意见和措施，以监督其他控制政策和程序的有效执行。

 

（四）内控的对象：应从基层、中层转向高管控制

 

中航油事件的致命原因从根本上说是个人权力过大，缺乏对个人权力的有效制约和监管，使得个人凌驾于制度之上，制度得不到执行。

 

一个表面看起来制度规章明确、组织健全、人员齐备、技术先进的内控或风险管理体系，其在实际运行中能否有效管理风险和防止重大损失的发生，关键在于高层领导在这个体系中所发挥的作用。这不仅因为他们是内控的首要责任主体和最基础的推动力，更重要的是他们本身所拥有的绝对权力，所以高层领导必须纳入到以相互检查和权力制衡为基本原则的整个内控体系中，成为控制和约束的重要对象。否则，高层领导将具有超越内控约束的特殊权力，从而导致整个内控或风险管理机制形同虚设，从根本上丧失有效性。

 

（五）应建立内控失效的补救措施

 

中航油事件发生后，人们都会问这样一个问题，这么大的损失是在一夜之间发生的吗？如果不是，那公司在损失4亿、3亿、2亿、1亿甚至5千万和1千万美元的时候为什么没有及时采取补救措施！

 

陈久霖事后在接受记者专访时透露了母公司中航油集团处理危机的几个细节：“中航油集团2004年10月3日就开始了解到事件的严重性。当时的账面亏损为8000万美元，如果那时集团决定斩仓，整个盘位的实际亏损可能不会超过1亿美元。然而，集团领导大部分在休假。9日，新加坡公司正式向集团提出书面紧急请示。如果当时斩仓，实际亏损应为1.8亿美元。然而直到16日，集团才召开党政联席会议。”如果新加坡公司及其母公司在一些细节换一种处理方式，也许会出现不同的局面。这些事实说明，一旦公司的控制失效，出现风险时，公司必须建立一套补救措施，将损失尽可能的降低。

 

内控分为事前控制、事中控制和事后控制三个阶段，每个阶段都不能忽视，因为一个有效的内控是全过程的。事前控制起到一个防患于未然的作用，这是最理想的，但是由于内控具有一定的局限性及固有风险的存在，不是所有的风险都能在事前、事中得到有效控制。决策者和管理当局识别风险能力的不同，对待风险态度的不同，回避风险魄力的不同，都可能有截然相反的结果。所以管理当局必须建立一套补救措施，全面考虑公司存在的潜在风险，对由内控失败或由管理者决策失误导致的不良后果加以事中控制、事后弥补。董事会和管理当局要站在战略目标的高度重新审时度势，制定适合时宜的政策方针，减少决策失误产生的不利影响。★ （作者单位：南京财经大学会计学院）