01.内控体系抽查评价基本情况

国资委自2012年正式全面启动中央企业内控体系建设，本质是以2006年发布的《中央企业全面风险管理指引》为基础，以五部委出台的《企业内部控制基本规范》做为建设的参照依据。我把企业的内控建设，视同为从全面风险管理中分化出来的“一种分工”，目的在于强化企业内部控制。

2019年，国资委综合监督局发布101号文《关于加强中央企业内部控制体系建设与监督工作的实施意见》，正式形成了中央企业内控管理体系建设的基本指导思想。

期间，各中央企业的内控管理与体系建设，逐步向横向扩展、向纵向深化，在不断的摸索中走向成熟。记着笔者还在某央企集团工作期间，也曾几次参加国资委组织的内控建设、评价的交流与专门汇报，创新、分布式的内控评价方式也曾得到认可。如果我没记错的话，这次抽查评价应该属于首次，或者说是公开化的首次，以官方说法为准。

本次评价，共涉及10家中央企业，对明确的10个方向或领域进行抽查评价。评价工作由4个工作小组负责实施，时间拟安排在2024年7-9月。

相信，在国务院国资委的引领与示范作用下，地方国资委也会陆续组织开展类似的抽查、评价工作。

02.如何看待本次央企内控抽查评价

以下纯属个人观点。

国资委组织开展的内控有效性评价，不同于企业自身开展的内控评价，由国资委定位与推动内控管理工作的目标决定。

习惯上，人们看待内控评价，往往自然而然地联想到业务运作中的过程控制与控制活动评价，由此而形成一种直观的、大众认同的工作方法，基本延续了内部审计的一些工作方式，区别在于从传统的以关注财务记录领域为主，向相关管理领域延伸、印证。

由于失去了财务数据的标准化和管理的刚性程度，评价往往依据18项指引中的一些说法实施。原因是，对内控缺陷的认定，很难形成统一的标准。因为，控制的目的、控制活动的设置、控制内容是由企业本身的管理目的、思想、原则、模式、方法、权限分配决定（除少量法定的岗位分离控制），所以，我总讲内控评价标准，是随着内控的建设与设计产生的。

其实，这里有两个误区：一是内控的理解，内控是一个泛化概念，泛指企业内部的所有以防风险为导向，具有控制功能的制度、程序与措施活动；二是内控评价，也可以说是一个统称，但事实上，由于内控是管理的一项职能，评价之说并不一定准确，严格意义上，用“评估”的说法，更为恰当。

因为，评估具有“追溯、逻辑推理、保证运筹逻辑有效”的判断意味，而评价是基于“确定性结果”给出的结论。管理无定式，重在效果与结果，评价说法的形成，主要是因为内部控制理论的产生，缘起于财务、审计系统留下的“影子”。如果追根溯源，把内控还原于管理的维度去看，评价的说法，并不合适。

这一观点，从“缺陷”的定义也可以得到印证。何谓缺陷？虽然存在不足，但仍可运转，只是由于应有而没有设置控制，或设置了但设计不可行、运作不稳定，可能影响了工作产出的质量，导致风险存在发生的概率。对缺陷的认定，是基于管理目的、逻辑、风险的相互印证而形成的判断。既然是判断，就不应称其为“评价”。

至于过程中发现的重复性问题事实，是另一回事儿，即已非控制“缺陷”，而是控制发生了“故障”，这才是整改的由来；缺陷，只需要改进、完善、优化。但不管怎么讲，无论是评价还是评估，无关紧要，重要的是，都有一个从宏观到微观的认识、评估、验证、判断的过程。

那么，如何看待本次抽查评价呢？

从本次抽评的题目看，其中关键词包括：内控体系、有效性、评价。如果从关键词判断，本次活动“以评促建”的意味，可能更浓厚一些。如果这种认识没有太大偏差的话，其结果应该不同于企业日常开展的内控评价产出。有什么区别呢？

企业自身开展的内控评价，更偏重于流程设计、控制活动执行，其本质是流程评价，所以，总表现出微观的“事儿”，原因是，企业内控评价的条件是：默认采用管理方法的正确，关键在于“侧重于控制活动”的设计与执行，因为，企业内部比较熟悉自己的情况。

那么，国资委这次开展的评价工作，如何定位呢？应该更偏重于对国资委要求的落实，然后通过运作过程的追溯，印证工作落实的程度与质量，关注点在于“体系”有效性，目的在于促进中央企业对“内控体系建设”的重视。

如果这种工作定位不存在认识的过大偏差，就可以确定本次工作的开展方法、工作重点与工作执行标准。这种东西，跟抽查的重点领域关系不大，核心在于评价的“目的”是什么。

当然，我的推测并不一定准确，也可能在具体操作方面，会类似企业内部的自我评价，或企业导入第三方进行的评价，是由本次抽查评价的实施方案设计决定的。

03.对内控抽查评价工作的一点想法

站在国资委的立场看，制度、内控、合规、风控，都是十几年来在中央企业力推的工作，而且，可以在国资委组织开展的一系列活动中映射出来。譬如，司库建设、安全生产管理、主辅分离、考核指标结构等等。

怎么看待这些事情呢？就好比不同人看一个事物，认知的程度决定了认知的结果，譬如：国资委开展价值创造活动，有的人看到的是国资委公开的半页纸新闻报道，不知道别人怎么看，我看到后浮现于脑海中的是，每句话背后企业应该采取的措施与活动，足有几十页的信息量。

中央企业的内控管理也一样，由此产生了不同企业间对内控体系建设的认识、态度、重视程度与行动。认识、态度、行动不同，企业间的建设产出结果，就会呈现非常大的差异性。

比如，如果视同为一项任务，那就产出一份结果，把任务一次搞定，无论范围如何，先解决“有没有”的问题，然后总结出若干“美丽”的说法，满足上级要求；如果视同为一项管理提升活动，那就侧重于实效，强调可执行性、持续性。追求不同，结果必然不一样。

如何开展评价，是基于国资委预期、要求而设计。譬如，内控建设要求落实到3级单位，那抽查就应延伸到3级，央企集团总部层建设的好，直接对应的是国资委，但不代表集团整体做的好，所以，一级、二级、三级单位基于“内控体系”的评价，就可以形成“一致的执行标准”，这是其一。

其二，考虑各央企对内控管理态度的不同，就应突出让付出巨大努力的优秀企业脱颖而出，让直接负责该方面管理的工作人员，获得多少年努力应有的荣誉与肯定，应该有一个单位间工作水平的横向评价。怎么办？

在评价之初的实施方案设计阶段，一般不会把评价直接导向业务领域，不能从评价方式上，直接把各个企业放在同一屋顶下“过度”进行微观的评价，而是倾力于“体系”，上不封顶，先让“身高”者站起来，不再弯腰曲就，与“矮子”同处一个屋檐下，然后才是“微观”过程验证。为什么？

因为，微观评价基于人的认知，属于操作层面，而体系化评价基于标准上的判断，是客观的，但需要评价者拥有一定的能力为条件。如果把精力全部放在“微观”的操作层面，最后的结果无非是：每个企业都有几个重要缺陷、一般缺陷而已。问题是，这不是关键。

比如：内控体系体制机制评价，评不评没什么差别，因为，这是国资委制度决定的，每个企业基本都一样，无非是“最高层”还是“主管者”的不同；制度体系，每个企业都有自己的管理方式与方法，大型企业的制度，相对也比较完善，无非就转化成企业制度与上位制度的符合性评价，又一次转入到微观的“点”上，而制度管理的关键在于“机制”的作用。那怎么办呢？

首先，必须理解什么是体系，体系管理的形式与方法是什么。与体系对应的制度，并不代表体系本身，体系是无形但客观存在的，需要通过管理手册、程序手册表达出来，其中就包括体系治理、体系运作、支撑与保障部分，会看的，一眼就可以看出体系的品质，判断出体系设计的可行性，印证的方式也很简单，拿体系中的表达，评估“认识的一致性”，即可做出基本的判断。

其次，需要搞明白“体系有效性”指的是什么？不然怎么评呢？长期以来，都流传着设计有效性、执行有效性的说法，在我看来，如果停留于这种认知，根本就无法开展评价。什么是体系有效性呢？

体系中的环境、程序设计具有“可行性”，只有可行性，才具备过程抽查、印证执行效果的可能。就好比质量一样，什么是产品质量呢？只要生产的产品，符合设计的技术标准，就代表有质量，但设计出现了质量问题，产品质量就是另一回事儿了，所以，才有了项目设计过程中的质量保证。

那怎么判断设计可行呢？基于管理的目的、思想、方法，具备方法转变为操作的条件，操作的产出，具有可以防范风险的能力。而设计可行性的判断，是需要经验的。有一个基本方法：让不同人理解设计，看看理解的结果是否一致，一致的，基本可行，不一致的，那就是“白描”。

什么是执行有效呢？按照设计要求不折不扣地执行，当然，这是一种最高追求。如何印证呢？问控制角色的控制目的、控制内容，如果基本与设计一致，就可以“证明”执行有效。这种做法，比查一些过程证据的方法强的多。因为，证据也需要“预先设计”出来，才谈的上是证据，而不是人认为的“应该如何”。

其三，不要认为评价人员有什么资格，用人就可以保证评价的相对准确。评价，只有对上级政策有深刻洞知，才能理解设计，才能彼此印证，而不是用一套“常识”化标准衡量，这就是有效的管理设计。事实上，大型企业中每个控制活动基本都存在，也有签字的记录，但更多的是，签字的人根本不知道为什么而“签”，是由设计缺陷决定的。

最后，内控评价要考虑企业的层级、规模大小、发展时期的长短。内控体系，不是统一的约定俗称的东西，而是基于发展、灵活、合规、创新、风险各要素之间综合平衡得到的结果。

04.结语

看到公开的内控体系抽查评价信息，由衷地感到欣慰，企业中的每件事儿，只要有部署，就会有成本。成本，应该视同为一项投资，投资就需要追求回报。

在国资企业管理中，衷心地希望不要出现中国资本市场把“金融投资者”变成“金融消费者”的荒诞，更不要出现为满足上级要求，把工作当任务，把主管者变成为保证任务而不负责任的“消费”。

内控管理，既然要做，就要追求效果，就要鼓励适应现代管理的创新，而不是用僵化的习惯、不求本质的想当然认识，去干预、束缚管理创新。

2024年内控抽查评价，是一个好的开始。祝愿每一次内控评价，都成为促进企业提升管理水平的使能器。管理提升，应是一步一个台阶，而不是每次都从头再来。来源：互联网