內部控制作為公司治理的關鍵環節和經營管理的重要舉措，在企業發展壯大中具有舉足輕重的作用。為此，許多國家通過立法強化企業內部控制。我國財政部、審計署、國資委、證監會等部門和機構也陸續出臺了相關法律法規，規范和加強公司內部控制建設，為企業加強內部控制建設提供了基礎性、權威性的指引。

　　上海大眾充分吸收和借鑒了COSO內控框架，內控體系建設嚴格按照控制環境、風險評估、控制活動、信息溝通和監督控制等五大要素進行，并將完整的內部控制體系提交董事會批準，由管理層和有關人員負責實施，為達到“經營效率和效果、財務報告的可靠性以及相關法令的遵守性”三大目的提供合理保證。

　　一、上海大眾構建全面風險管理內控體系介紹

　　（一）內容構成

　　上海大眾內控建設項目工作小組經過反復調研和論證，按照COSO的五大要素，將企業內控活動劃分為各個獨立的單元：1.“控制環境”要素，覆蓋了企業的員工道德準則、企業文化、組織結構、職責分工、公司議事機制、人力資源政策、內部審計工作機制和反舞弊機制等相關領域和內容；2.“風險評估”要素，納入并發展了企業組織體系風險評估、持續性風險評估和專項風險評估等內容；3.“控制活動”要素，涵蓋了企業生產、財務、銷售等管理領域的業務活動，諸如貨幣資金管理、存貨管理、固定資產管理、無形資產管理、采購與付款、銷售與收款、研究與開發、投資管理、項目子公司管理、籌資管理、擔保管理、預算管理、成本費用管理、財務管理、人事薪酬管理、行政管理、信息系統管理、企業文化形象及危機管理；4.“信息溝通”要素，匯集了整個企業的多個信息溝通渠道，包括行政會議、內部報告、信息披露、投資者接待、公共信息管理；5.“監督檢查”要素，對整個企業風險管理的監督體系進行了梳理，確定為組織體系職能確定及改進、持續性監督檢查、專項監督檢查、計劃與報告流轉以及跟蹤與改進。

　　在內控體系構建中，上海大眾將每個內控活動單元進行書面體系化，規范表達，說明主要描述對象及要求，每個單元包括流程綜述、適用范圍、控制目標與關鍵控制點、工作流程、相關參考政策及文件、職責安排及分工、流程附件等要點。

　　（二）構建方法論

　　首先，成立專項小組。總經理掛帥，審計部、財務部、總經理辦公室等部門高級經理組成了上海大眾內控建設項目領導小組，對項目中重大問題進行定期決策和推動；并從相關部門中選取了人員專職從事內控建設，成立上海大眾內控建設項目工作小組（以下簡稱項目組），負責內控建設的具體實施工作。其次，確定項目藍圖。將整項工作劃分為項目啟動和前期培訓、業務流程描述和程序文件匯集、風險分析評估和確認、完善內控體系、內控體系內部測試以及維護改進等若干階段。同時，將每個階段的具體任務進行列示，落實具體責任部門和責任人。

　　二、自我評估在構建內控體系中的運用

　　內部控制自我評估（CSA），是指由對內部控制的制定與執行負有責任的組織和人員對內部控制進行定期或不定期評價的過程。CSA在歐美一些發達國家得到積極的推廣，也得到國際內部審計師協會的大力推薦，成為內控發展的一個新趨勢。上海大眾在內控體系建設過程中，積極引進了內部控制自我評估方法，先由總部各職能部門以及分支機構實施自我評估，在此基礎上項目組進行內部控制的獨立測評。

　　1. 關鍵控制活動選擇。項目組于內部控制自我評估活動開始前，從內控體系中選擇要進行評估的關鍵控制活動，關鍵控制活動的選擇必須以風險為導向，重點關注影響財務報告信息真實、可靠的相關控制活動，同時兼顧一定的全面性，力求覆蓋公司所有的業務領域及環節。

　　2. 設計、發放自我評估問卷進行部門自我評估。在選定關鍵控制活動后，項目組負責設計《內控關鍵控制點自評問卷》，并發送內部控制自我評估通知。各部門接到內部控制自我評估問卷后，在規定的期限內，根據要求填列并上報，開展對與本部門相關的內部控制的自我評估。

　　3. 內部控制測評。首先，項目組根據時間進度收集各職能部門、分支機構的問卷及其附表，進行匯總、分析，確定測評范圍。測評范圍的確定必須以風險為導向，同時依賴于項目組人員的職業判斷。其次，設計并確定測評程序及測評工作底稿。在正式開展測評工作之前，項目組人員必須事先設計并確定各項關鍵控制活動的測試程序及工作底稿，用以規范內控審計工作，降低審計風險。最后，在下發內部控制測評通知后，項目組根據審計程序開展現場審計工作。

　　4. 測評報告和后期跟蹤。項目組根據各職能部門自我評估以及獨立測評的結果，向管理層和董事會提交內部控制測評報告。針對內部控制自我評估及獨立測評過程中所發現的內部控制缺陷，相關職能部門、分支機構必須擬定整改計劃，并實施整改，項目組負責整改事項的監督，必要時實施后續審計。

　　三、啟示和思考

　　全面風險管理的內控體系建設在我國尚處于發展階段，上海大眾在整個項目的執行過程中，留給我們許多啟示和思考：

　　1.治理效果問題。每一家企業都有自己的內控體系，只是水平層次不齊。構建全面風險管理內控體系，不是否定原來存在的一切內部控制制度、重新樹立一套新的控制體系，而應該在梳理已有內控體系的基礎上，根據企業自身治理水平的長處和短處進行完善和提高，整個建設過程應平穩積極，避免過多的震動，同時又能積極提升公司治理水平。

　　2.建設支持問題。上海大眾在內控建設上的成功，在很大程度上歸功于董事會、高管層對內控建設的高度重視。內控體系是公司風險管理的重要抓手，是公司健康運行的“神經系統”。在公司內部進行充分宣傳，取得公司各個層面的理解和支持，在思想上取得認同，是企業建立真正行之有效的內控體系的關鍵。

　　3.收益成本問題。內控體系的成本不僅在于制定的過程需要大量的投入，耗費企業一定的財力和人力，內控體系的日常執行，在一定程度上也會提高公司的運行成本。所以，在內控體系的設計上，對任何企業控制點的設立，必須科學地進行分析，根據企業管理水平進行最為恰當的設計和建立，而不是簡單地照照搬其他企業的控制體系。

　　4.持續改善問題。應該說，內控體系的建設只有起點，沒有終點。內控體系的不斷完善，實質上也是公司管理水平、治理水平不斷提升的過程。上海大眾對內控建設提出了“不斷完善，追求卓越”的口號，實際上正是出于這一考慮，內控體系建設是一場真正的從普通到優秀、從優秀到卓越的持久戰。