上市公司内控水平调查

文/马新莉

从2008年到2010年，深圳迪博企业风险管理咨询有限公司连续三年发布了《中国上市公司内部控制白皮书》。“在白皮说中，我们不谈理论，只做实证，每年的样本量都在1200家公司以上，囊括了所有上市公司。我们关注的是投入资本回报率和内部控制之间的关系。”公司创始人胡为民说。

内部环境和内部监督最糟糕

内部控制有五大要素，一头一尾两个要素是目前国内企业做得最差的部分。

第一是内部环境，如果企业的治理结构不好，或者企业文化里没有关于风险的理念，即便制定了内控措施也是纸上谈兵，更谈不上运行。

内部环境讲起来虚，实际上又很实在。中国的社会文化对内控环境不是很有利，这首先跟中国文化有很大关联。“我从文化差异的角度比较过欧美和国内的大型并购案。单从并购合同上就能看出很大区别。比如主合同一般都有几十页，再加上副合同就三五百页了，而国内并购合同都是只有两三页纸。国外把违约的一切可能性采用程序化一一列出来，对任何一种违约都有处理办法，国内却是含糊其词，背后隐藏着很多风险。其次，转型时期对利益分配和道德诚信的认识，对整个内部环境存在很大挑战，价值观比较紊乱，没有已经固化下来的标准，要做也都是纸面化的东西。”胡为民说。

最后一个要素是内部监督。内部监督是再控制，是目前最令人担忧的地方。首先，几十年历史的大型国企，都不缺制度，条目特别多，不能说不完善，但是制度跟制度之间的衔接是否合理，却没人说得清楚。其次，制度的执行情况更是没人能说明白，大型企业都缺乏一套有效的内部监督体制。“大企业一般都有一个内审部，干什么工作?还是在做财务审计、专项审计和责任审计，真实的管理审计几乎都没有做。再加上很多领导不太重视内部审计工作，在人员和资源配置上都不理想，所以很难做好内部监督，也就根本没办法去判断制度执行的好坏。”

人往往有这样的本能——不懂的不做，不考核的不做，不奖励的不做。如果内部控制不跟绩效考核挂起钩来，谁愿意天天学雷锋呢?内部控制有若干对人的行为的控制，但人从本能上都是追求自由的，谁愿意按照规定动作去做?但从公司角度，一定需要一种约束，才能提高整个组织的效率，这构成了一种天然矛盾。

高管利益与内控水平息息相关

理论最终还要落到实践上。一味在说内控的理论意义，而没有跟个人的切身利益联系起来，领导者的重视程度就会大打折扣。

“我们在发布的白皮书里有个很有意思的研究，就是搞清楚风险控制跟上市公司高管的切身利益有何关系。”胡为民说。《白皮书》得到了三个结论：第一，上一年度被监管机构处罚的上市公司，高管的利益水平要低于没有被处罚的上市公司水平。内部控制不好，更多的情况不是公司受处罚，而是高管，比如董事长、董事长秘书和财务总监。有的被终身禁止进入资本市场，有的还要追究刑事责任，无论哪种处罚，对高管的职业生涯和声誉都是非常大的负面影响。第二，ST股公司的高管利益水平要远远低于非ST公司的水平。第三，拟实施内部控制的上市公司高管利益水平要高于没有实施内部控制的上市公司。

还有一个政策层面的原因是，目前上市公司要做股权激励要报监管机构批准，被批准的基本条件是公司的内部控制水平不错。“要实施股权激励，做好内控是一个必修功课。由于股权激励的受益者都是核心中高层，所以实际上这是一个内部逻辑，内控水平跟高管的切身利益是息息相关的。最后有一个结论也很有意思，前三名董事的薪酬高低，跟内部控制水平也是有关联的。内控水平越好，前三名董事的薪酬趋势越高。单看某个政策要求怎么做，对高管的触动不大，但这是1000多家上市公司的实证调查结果，对他们是很有说服力的，特别是国企。”

建立和运行一个有效的内部控制，实际上对整个管理层都是有效的保护。内部控制失效，不一定能带来资产的损失，但只要出现重大资产损失，除了天灾以外，一定是内部控制失效引起的。这是终身责任追究，退休了或者调离岗位也要追究。“我联想到美国也有类似条例：如果公司职员的过失犯罪给投资人带来损失，只要公司不能证明已经采取了合理的控制措施，那么公司要承担连带责任。所以企业有事没事都会请人来重估一下风险。美国咨询业特别发达也是这个原因。”

风险管理和经营管理不是两张皮

内控风险管理是非常好的一个管理工具和手段，一旦搞成两张皮，就是劳民伤财了。“现在的大学里没有专门的内控专业和课程，这本身是交叉学科，牵扯到企业的方方面面，在这个岗位上的人，要对企业的方方面面都非常了解。既要熟悉业务，又要熟悉内控的方法，具备这两个条件，才能胜任这个工作。”胡为民说。

目前，国内在这个行业里面临很严重的人才短缺。以中铁集团为例，现在从事内控工作的都是做从基层慢慢成长起来的、经历过很多工作岗位的业务骨干，对企业整个运行很熟悉，学习能力也比较强，对内控的理论和方法掌握得很快。“这还牵扯到一个内控职能部门的定位问题，不是说内控部门这几个人就把整个企业的风险管理全都做了，这是个误解。所有的业务部门其实每天都在做的就是管控风险，不让意外事件发生，内控部门要发挥的是一个牵头和组织的作用。”

内控风险管理和日常经营管理是个什么关系?“很多人以为它们是几张皮各行其事。其实内部风险管理和日常经营管理是高度融合的，内部风险管理只是借鉴一种理念、方法和工具，来优化和提升现有的管控体系，而不是把现有的管控体系推倒重来，是建立在现有的管控基础上，对现有的管理进行一个持续的优化和提升。”

所以内部控制风险管理的一个魅力在于，它是持续性的，先问目标是什么，然后问在实现目标的过程中我们面临哪些风险，这里面用到很多定性定量的工具，对风险进行识别和评估，把风险管控到我们可以承受的范围内，为目标实现提供一个合理的保证。“先看目标，再找风险，第三要看我们现在如何管控风险，这样管控能不能把风险防范住，如果防范不了，看到底是执行还是运营上的缺陷。内控是一个有生命力、有价值的理念，如果最后仅仅沦落为纸面上的一个东西，就会变得毫无意义。”胡为民说。

即使风险发生的概率极小，一旦发生就是100%的严重后果，内控就需要年复一年、日复一日去遵循风险管理的规定。可见，对待风险要心怀敬畏，循规蹈矩地去做预防，没有什么捷径可走。