如何依托流程开展内部控制体系建设

自财政部2008年发布《企业内部控制基本规范》以来，中国企业的内部控制工作在持续进步，很多企业构建了内部控制规范体系，也发布了《内部控制手册》等内控制度和操作文件，形式上有了一套能满足合规要求的内控体系文件，但是如何避免内控体系成为摆设，如何利用内控体系解决企业实际问题，提升企业管理水平，内控体系本身如何有效运转，也成为很多企业在内控体系建设和实施过程中普遍面临的困惑和问题。

依据笔者多年来内部控制项目的实施经验，要想解决上述问题，构建一套接地气、有生命力的内控体系，最关键的手段和工具就是流程。

众所周知，内部控制是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程，内部控制的显性化体现就是企业的各种规章制度、程序规则及操作说明等体系文件，企业即使没开展过内控体系建设，没有编制过内部控制手册，其内控也是切切实实存在的。

因此，内控体系并不是要白手起家、另立炉灶，重新树立一套管理体系，也不是搞面子工程、形式主义，发起一次运动、形成一本手册了事，内控体系要与企业现有的各种管理体系文件充分融合，要与企业的实际业务充分融合，而这个融合的工具就是流程。

流程就像贯穿企业的神经系统，其作用不仅仅限于流程图一张纸，流程应该是连接和整合企业各项管理制度体系文件的抓手和纽带。一套系统、规范、科学的流程体系应该包含企业的各种管理要素，包括组织职能、制度规定、管理要求、操作说明、风险提示、控制活动，以及承载相关管理规定的表单模板。而这套流程体系也是内控体系建立的基础和前提。

基于上述理念，笔者认为，一个企业要想建立一套有效的内部控制体系，应该从流程管理的角度入手，经历流程体系架构搭建、业务流程梳理及管理体系整合、基于流程的风险识别及控制设定、内控自评价机制设计及运转等几个步骤。

一、流程体系架构搭建

流程管理的第一步是要建立结构化、可视化的流程体系框架，包含各层级的流程场景和流程清单。随着现代企业规模日益扩大，组织机构日益扩张，职能分工越来越细致，要想建立一套涵盖企业各项业务和职能领域、层级分类结构清晰明确的流程架构需要一套科学的方法来指导。

国际领先的业务流程管理AVE方法论提供了一套完善的将流程分类、分层的体系框架构建方法。AVE方法论首先按服务对象的不同将流程整体分为三大类：

第一类为核心流程，直接面向市场和客户，为企业带来价值增值的流程，也就是传统理论所说的价值链相关流程，例如研发制造、广告促销等流程。

第二类为管理流程，面向企业管理层及外部利益相关者和外部监管机构，是对核心流程及其他流程进行管理和控制的流程，包括战略规划、全面预算、合规管理等流程。

第三类为支持流程，面向企业内部各部门或团队，为核心流程和管理流程提供支持和保障服务，使企业其他流程能够更好地运转，一般包括人力资源、财务、信息科技、综合后勤等流程。

在纵向上，按颗粒度由粗到细，流程可以分为四层：

第一层为流程地图。流程地图是企业流程的总图，无论企业流程有多少或者多么复杂，都将在流程地图上找得到入口和源头，流程地图应涵盖企业所有管理、业务和职能领域，流程地图的各模块由流程区域组成。

第二层为流程区域图。流程区域描述的是为“客户”提供产品服务的过程中，根据不同的业务条件（如不同的客户细分，不同的产品服务，不同的执行环境等）下的流程分类，这些分类成为“流程场景”。

第三层为流程场景图。流程场景将具体描述一个场景由哪些重要流程组成，场景中的每一个环节才是我们真正狭义上的“流程”。

第四层为流程图。流程图将具体描述一个流程的执行过程。中间将关联的各种流程对象。

以采购业务为例，流程地图中的一个模块为采购管理流程区域，采购管理流程区域按业务开展过程分为采购计划、采购实施、仓储配送、供应商管理等几个流程场景，供应商管理流程场景下包括供应商资质审核、供应商定期评价等具体流程。

通过清晰的层级与类别划分，横纵交织之后，就会形成一套完整的，反映企业业务全貌的流程体系与清单，下一步是具体流程的梳理，以及在梳理过程中系统整合企业现有管理体系。

二、业务流程梳理及管理体系整合

德国著名流程管理专家Scheer教授认为，业务流程是以产出产品和服务为目标的一系列连贯的、有序的活动组合，流程的梳理过程应考虑到企业各业务环节、各种管理要素及其之间的相关性，通过流程梳理来实现对企业各要素地有效管理。据此，Scheer教授提出了著名的房式结构理论，如下图所示：

所谓房式结构理论，是指在流程梳理过程中，不是直接绘制流程图，而是先梳理企业的组织、数据、产品/服务、功能（即流程活动）等要素，然后根据业务场景将各管理要素组合成流程。就如同我们生产一台机器，先在各分厂车间把零组件生产出来，然后在总装车间完成机器的组装。

如图中示例所述，企业内部包含包括销售部门在内的多个组织机构，每个组织机构都会提供相关的产品与服务，例如销售部门是为企业从客户方挖掘出销售机会并最终确立合同。各组织机构为实现其目标所开展的工作，称之为功能，也就是流程活动，例如销售部门的功能之一是需求处理及报价。要完成相应功能，需要一些信息输入，也会输出一部分信息，这称之为数据，例如开展需求处理及报价活动需要获取客户信息，并为客户提供报价单。最终，需求处理及报价流程，就是将以上提到的“销售部门”，通过“销售处理”活动，实现“客户合同”的订立，这一过程使用了“客户信息”，提供了“报价单”，将以上这些要素按一定业务逻辑拼装起来，就梳理出了完整的流程。

以上只是房式结构的一个简单示例，我们在具体流程梳理过程中，还有一个重要工作是对企业现有管理体系的整合。

当今企业在发展过程中往往会不断地引入并应用各种先进的管理理念和方法，这些理念和方法的引进一般都以项目实施的形式展开，并随着项目的结束给企业留下一套套的管理体系和制度，由于这些体系和制度之间并没有进行过有效的整合，从而造成各体系之间存在相互脱节甚至相互冲突的情况。另外，这些项目通常又是以一个或几个部门为单位展开的，职能部门由于职责分工所造成的边界效应也进一步加剧了“管理体系孤岛”的形成。

例如某企业在系统流程梳理之前，已经制定了四五百本各项管理制度，与采购相关的至少就包括采购管理规定及相应细则，ISO9001中的《程序文件》，平衡计分卡项目形成的《行动计划》，以及ERP项目组出具的《采购业务操作手册》，其采购员每次都只按照ERP规定的操作开展采购行为，因为都是固化的IT系统，没法绕开，但是他并不能保证其行为符合公司其他管理体系和制度的要求。

针对这种情况，我们利用房式结构梳理流程的过程就是各管理体系的整合过程。例如细致梳理采购业务相关流程的各关键环节，提炼这些环节上各项管理体系和制度的要求，变成流程的描述和操作说明，在这个过程中，还可以系统分析企业制度缺失、制度冲突等管理问题，最终输出的流程手册也为员工提供了一套完整的、符合各项管理要求的操作说明文档。

 

三、基于流程的风险识别及控制设定

有了一套系统的、整合的、科学的流程体系，内控体系建设就有了坚实的基础。接下来要做的是以业务流程为依据，将风险与控制的内容加进去。

在传统的风险内控管理中，往往通过大范围的调研访谈和问卷调查及行业对比进行风险的收集，这种方式往往会导致风险的重复率高，后期汇总复杂，而且与业务联系不够紧密。

从业务流程的角度，尤其是针对业务流程关键环节着手去收集识别风险，并在流程中设定控制措施，保证了风险内控与业务的紧密联系，由此形成的内控手册也将会是一套整合的管理体系文件，从而保证了内控体系与企业现有体系的融合，与企业实际业务的融合。

以合同管理流程为例，从合同调查、合同谈判、合同文本拟定、合同审核、合同签署、合同履行、合同结算、合同登记、合同执行后评估等环节入手，识别合同管理过程中存在的风险点，再根据现有制度和管理体系要求提炼控制措施，如果企业现有控制措施还不足以达到风险控制的目标，那就需要针对风险实际情况，在流程中加入新的控制要求，甚至编制新的规章制度，补充现有管理体系，最终形成合同管理流程风险控制矩阵示例如下表所示：

编号	流程环节	重大风险点	控制措施	相关管理体系及制度
01	合同调查	忽视被调查对象的主体资格审查，准合同对象不具有相应民事权利能力和民事行为能力或不具备特定资质……	审查被调查对象的身份证件、法人登记证书、资质证明、授权委托书等证明原件，必要时，可通过发证机关查询证书的真实性和合法……	《合同管理办法》
…	……	……	……	……
05	合同签署	超越权限签订合同，合同印章管理不当，签署后的合同被篡改，因手续不全导致合同无效等。	按照规定的权限和程序与对方当事人签署合同。授权签署合同的，应当签署授权委托书……	《合同管理办法》、《公章管理办法》
…	……	……	……	……
07	合同结算	违反合同条款，未按合同规定期限、金额或方式付款；疏于管理，未能及时催收到期合同款项……	财会部门应当在审核合同条款后办理结算业务，按照合同规定付款，及时催收到期欠款……	《会计工作指引》、《资金管理办法》

四、内控自评价机制设计及运转

内部控制体系建设完成之后，接下来企业遇到的问题将是如何运用这套体系解决实际问题，实现管理提升，进而推动内控体系的持续运转与改进，这就要靠内部控制评价工作的开展及端到端流程的组装。

内部控制评价是企业对其内部控制的有效性进行评价、形成评价结论并进行整改的过程。内部控制评价工作在全面性的基础上应该具有针对性，应关注重要业务单位，重大业务事项和高风险领域，并推动企业管理水平的提升。

开展内控评价的传统方法是挑选完被测试业务之后，查阅分析与该业务有关的流程描述、制度规定、内控手册中的相关控制措施等，对有效性测试标准进行梳理和明确，然后开展穿行测试和抽样检查，而后形成评价结论，编制评价报告。

但是企业的很多内控缺陷与问题都具有系统性，问题通常表现在末端流程，但症结其实在前端流程，因此只关注某项业务本身的风险与控制情况可能导致头痛医头、脚痛医脚的情况，为了提升内控评价工作的效果，更有效地解决企业实际管理问题，就有必要使用端到端流程组装的理念和方法。

所谓端到端是指从一个从业务需求发起到此业务需求被关闭的过程。从本质上说明，端到端本身也是一种类型的流程，只不过端到端由流程组成，而流程由流程活动组成，端到端是颗粒度更粗的一种流程。用一个形象的比喻，京沪线是一条铁路大动脉，它包括很多局部站点之间的短途铁路，这个大动脉就可以比喻为端到端流程，而一截一截的短途铁路则是组成这条端到端的具体流程。

企业可以根据自己的管理需要组装多条端到端流程，用于整体问题的分析与优化，就像铁路提速必须从整体出发，统一规划，只有从主干线着手才能最大限度体现提速的价值，只考虑短途铁路速度的提升是没有意义的，单纯局部速度的提升反而可能给其他区域的车辆运行带来麻烦和隐患。

例如某企业针对其高库存管理问题开展了内部控制评价与改进工作，但是仅从库存管理本身入手，着眼于入库、出库、库房管理的相关风险及控制要求并不能实际解决高库存问题。该企业利用端到端流程的思路和方法，组装了采购库存管理端到端，如下图所示：

通过对端到端流程的系统分析发现，导致该企业库存高企的原因包括需求计划与生产计划衔接不紧密，采购计划没有随生产计划的变动和更改及时调整，供应商管理分散，各制造部门自主采购行为缺乏约束和规范等。

由上面的示例可以看出，端到端流程通常会跨越多个部门，因此在内控改进时也就有必要跳出部门界限，通过加强各流程之间及相关责任部门之间的沟通协调，实现整体提升和优化。

——END