小企业内部控制问题研究
来源:用户上传
作者: 袁 敏 周 怡
一、小企业的含义：内部控制实施方面
不同的组织或监管部门采用不同的方式对小企业进行定义。如美国证监会(SEC)采用定量的描述对小企业进行定义，而美国反虚假财务报告委员会下属的发起组织委员会(COSO)则采用定性的标准定义小企业。
(一)美国证监会的定义证券交易法规则中对小企业进行了定义，认为除了投资公司外，证券发行方的总资产如果在最近财政年度的最后一天不高于500万美元，就是一个“小企业”或“小组织”。根据SEC的估计，目前美国资本市场上大约有2500家公司属于小企业，并考虑减轻其全部或部分的财务报告内部控制要求。事实上在2003年SEC提出的财务报告内部控制最终规则中，就针对“加速编报公司”和“非加速编报公司”制定了不同的实施要求，前者实施财务报告内部控制的要求为2004年6月15日(后推迟至2004年11月15日)，而后者实施的时间要求为2005年4月15日(后多次推迟，目前要求管理层提交财务报告内部控制评价结果的日期为2007年12月15日，而审计师的鉴证报告日期为2008年12月15日)，即非加速编报公司的实施要求比加速编报公司晚三年左右。这里的非加速编报公司可以理解为“规模较小的企业”，实践中通常是通过“加速编报公司”以外的公司来进行定义的。按照证券交易法的定义，对加速编报公司最常用的标准是“发行证券公司的非附属机构持有的有投票权和无投票权的普通股市价总值超过7500万美元”，而市值小于7500万美元则称为非加速编报公司。
(二)小公众公司咨询委员会的定义2006年4月，SEC下属的小公众公司咨询委员会提交了小公众公司的建议，包括对规模较小的企业证券监管、财务报告内部控制相关建议以及公司治理、披露、资本、会计准则等方面的建议等。在这份报告中咨询委员会将上市公司划分为小公众公司和大公众公司。前者包括微型公司和小公司，后者则是指市值在7.87亿美元以上的公司。微型公司的股票市值在1.28亿美元以下，占美国资本市场总市值的1％左右，而公司数量则占到上市公司总数的50％；小公司的股票市值，在1.28亿美元～7.87亿美元之间，占美国资本市场总市值的5％左右，而数量则占到上市公司总数的30％。
(三)COSO委员会的定义COSO委员会没有选择数量方面的标准来定义小企业，而是通过一些主要的特征来加以描述。根据2006年发布的小企业财务报告内部控制指南的定义，COSO从以下方面来描述小企业的标准：企业的产品线单一，生产流程简单；负责经营管理的人员是企业的创始人或数量较少的股东；管理层在实施内部控制过程中控制跨度更为广泛；战略管理方面通常仅包括在变动成本基础上获得服务，而不是作出固定成本的投资；生产或销售区域相对集中；按照收入、人员或资产计量的经营规模，使其很难获得大企业规模经济的好处。
实践中也有其他国家和地区对小规模企业进行了定义。如加拿大证券监管委员会于2004年1月发布了财务报告内部控制的监管要求，其中将总资产在5.25亿美元以下的公司看作是小规模公司。2003年2月，我国原国家经济贸易委员会、原国家发展计划委员会、财政部、国家统计局制定的《中小企业标准暂行规定》，对中小企业进行了明确界定，其中小企业的界定不包括以个人独资及合伙形式设立的小企业。企业经营规模较小是以从业人员数、销售额和资产总额三项指标为划分依据的。如对于工业企业，中小型企业必须符合以下条件：职工人数2000人以下，或销售额30000万元以下，或资产总额为40000万元以下。
二、小企业内部控制的挑战
规模不同，业务复杂程度不同，内部控制的要求和实施难度也有很大差别。大企业由于人员分工明确，内部控制档案健全，因此在内部控制的实施过程中更加关注控制活动要素；而在小企业，人员数量较少，职责分工并不充分，因此内部控制更多地以非正式的形式出现，监控要素的职能发挥更为重要。在执行内部控制方面，小企业有一定的优势，如可以通过非正常的沟通渠道解决一些内部控制方面的问题，而大企业则必须有正规的程序、会议场所、时间安排等。但无论是人员还是资金，小企业都面临更大的挑战，如需要提高董事薪酬和保险覆盖面来吸引和挽留高水平的董事，雇佣高质量的财务人员，将内部审计职能外包等。
(一)缺乏良好的指南或框架按照内部控制有关监管规则的要求，企业在建立健全内部控制过程中，首先应建立一个基本框架指导实际工作。实务中广泛采用的理论框架是COSO委员会1992年发布的《内部控制――整体框架》。然而根据2005年美国证监会(SEC)和公众企业会计监管委员会(PCAOB)召开的圆桌会议反馈情况看，很多市场参与者(尤其是会计师事务所)认为COSO的内部控制框架本身就是为大规模企业制定的，并不适合小企业。尽管COSO委员会在SEC的要求下于2006年发布了小企业内部控制实施指南，提出了20项小企业实施财务报告内部控制过程中应考虑的原则，但由于框架是原则性的规定，小企业必须面临的挑战是寻求正式的和非正式的控制之间的平衡。所谓的正式的控制是指那些根据企业制定的政策所执行的、帮助企业执行控制程序和培训员工的控制措施。显然，控制的正式化有利于帮助员工了解各自的角色和责任，因而可以提高控制的质量和实施效果，并且通过控制的正规化可以创建大量的书面证据，为审计师提供丰富的证据来源，而非正式的控制则难以达到上述效果，并且很难在实践中得到一贯运用。
(二)执行成本更高规模较小的企业面临的成本负担更重，根据Morgan(2005)的研究，对小规模企业而言(企业平均年销售收入低于20亿美元)，销售收入在10亿美元的企业平均遵循404条款的成本接近180万美元，如果加上财务报告内部控制的外部审计费用和管理层耗用的时间成本及内部资源，每10亿美元销售收入耗用在404条款上的成本将高达300～320万美元。企业规模越大，所花费的成本占销售收入的比重就越低。而美国政府责任办公室(GAO)的研究发现，按照审计费用占每百元销售收入的比重计算，市值在7500万美元及以下的企业支付的成本为1.14美元，而市值在10亿美元以上的企业每百元销售收入所支付的审计成本仅为0.13美元。尽管采用审计费用作为法案执行成本的指标有一定的局限性(如审计费用包含了内部控制审计和财务报表审计，无法直接分离出404条款的审计费用；支付给外部审计师的费用不包括企业因遵循404条款要求而发生的其他成本等)，但仍可发现不同规模的企业执行成本占收入的比重很不协调。
(三)董事会成员独立性受到质疑与大规模的上市公司相比，很多规模较小的上市公司董事会成员较少，首席财务官(CFO)可能还兼任其他的职责。在小规模企业的董事会成员中，无论是独立性还是胜任能力都偏弱，没有专门的审计委员会对财务报告内部控制进行监控，很多小企业的董事会成员本身就是企
业的创始人或大股东，其独立性也受到广泛质疑。SOX法案要求，特定的董事会结构有利于改进公司治理，提高财务报告的可靠性，如要求上市企业确保独立审计师的聘用是由一个完全独立的审计委员会来选择和监控。但保持董事的独立(或审计委员会的独立)需要花费一定的成本，根据Linch，Netter和Yang(2005)的研究，小企业支付给非雇员董事的报酬已从每千元销售收入5.91美元上升到SOX法案颁布后的9.76美元。
(四)缺乏足够的必备资源来获得合格员工，以满足独立性的要求由于小企业的人员数量较少，很难实现充分的职责分工要求，这与大企业职责分工非常明确有很大差异。美国注册会计师协会发现，规模较小的企业通常没有COSO框架指南中提到的内部审计部门，一些小企业员工本身素质就不是很高，缺乏会计专业人才使得小企业很难达到财务报告内部控制有效性的目标。由于小企业的财务实力和稳定性都不够，对高质量人才的吸引力相对较弱，因此可用来执行404条款的合格员工数量较少，如一家上市企业在提交的报告中描述了股票期权方面存在的重大控制弱点，原因在于股票期权有关的财务会计准则非常复杂，企业的员工无法理解和运用，从而导致审计师的怀疑，除了将会计处理中存在的错误指出之外，还将其引证为财务报告内部控制的重大控制弱点；而更多的企业则因为没有适当的内部会计人员而被审计师看作是财务报告内部控制存在重大弱点。显然要弥补此类缺陷，小企业只能聘请新的、合格的员工。也有很多企业聘请专业机构帮助执行404条款。如GAO(2006)的研究发现，在接受问卷的158家企业中有128家企业雇佣了一个单独的会计师事务所或咨询企业来帮助其满足404条款的要求，所提供的服务包括帮助开发遵循404条款的方法，建立内部控制的文档并进行测试，帮助管理层评估内部控制的有效性，并对所识别出的内部控制弱点进行改进或修订。规模较小企业所报告的咨询费用支出从3000美元到140万美元不等，还有一些企业报告了与培训、雇用新员工或临时工执行法案要求有关的成本。CFO和会计工作人员花费了90％的精力在第一份404条款报告要求的相关事务上；此外还有大量的企业出现了一些“机会成本”，如推迟或取消经营性改良，推迟或取消信息技术的投资等。
(五)小企业本身的特征也加大了内部控制实施的困难由于小企业变化和扩张速度很快，动态变化很多，内部控制需要及时更新和改进，而刚刚建立的内部控制文档可能因企业特征的改变而失效或重新修订。且小企业内部人员分工不明确，高级管理层通常凌驾于内部控制之上，直接介入财务报告编制和审核中，因此即使控制程序完善，也不能作为财务报告可靠性的主要依据，在执行过程中可能受到管理层的干预而使防舞弊措施失效。小企业内部控制能够发挥多大的作用还很难确定，财务报告的可靠性更多地依赖管理层本身的素质来实现。因此从内部控制上看，小企业需要加强董事会和审计委员会的监督检查功能，在董事会和高级管理层之间建立更稳固、有效的沟通体系，增加外部审计师的检查范围。实施内部控制对小企业影响很大，执行成本的上升导致小企业不堪重负，很多企业开始选择退市，根据GAO(2006)的统计，美国上市企业退市的数量从2001年的143家上升到2004年的245家，占2004年上市企业整体家数的2％左右。退市的上市企业无论是从市值、收入还是资产来衡量，都属于小企业，GAO的问卷还发现404条款的执行对小规模企业的资本筹集能力产生了负面影响。404条款的执行以及一些市场因素(如股票市场的整体低迷表现以及上市规则的改变等)对小企业的首次公开发行(IPO)也产生了影响，在1999-2004年间，收入在2500万美元及以下的企业IPO的数量从占整个IPO数量的70％下降到46％左右。
三、小企业内部控制实施对策
无论是美国还是我国，小企业在所有企业中所占比重都很高，内部控制实施要求是小企业不可回避的话题。目前美国实施的推迟小规模企业内控要求的做法值得我国学习，而提高内控意识、合并和简化内部实施要求、针对小企业建立有针对性的内控指南则更有现实意义。我国在推进企业内部控制规范的过程中应充分考虑小企业面临的特殊挑战，分步骤、有差别地稳步推进内部控制的建立健全将是可选的路径之一。而内部控制的合理设计和有效实施将有助于企业目标的实现，并通过财务信息可靠性的提高来增加小企业的吸引力。
(一)监管部门应豁免小企业的部分内部控制要求在美国证券市场监管实践中，对规模小的企业进行豁免的做法一直存在。证券法条款中就包含了“规模较小的发行”豁免规定，即赋予SEC制定规则的权利，来豁免某个特定的最大金额以下的证券发行监管要求。1992年证监会采纳了监管规则S-B，允许符合条件的“小企业发行方”(收入和公开发行的规模在2500万美元以下)可以豁免一些信息披露要求，2002年SEC将公众公司分为加速编报和非加速编报公司两类。可见规模不同、监管要求不同早有先例。在内部控制执行方面，小公众公司咨询委员会2006年提交，的报告中也建议证监会豁免部分公司的内部控制执行要求，如收入在1.25亿美元以下的微型公司(市值低于1.28亿美元)、以及收入在1000万美元以下的小公司(市值在1.28～7.87亿美元之间)既不需要提交管理层的财务报告内部控制评价报告，也不需要提供审计师的鉴证意见；而收入在1000万美元～2.5亿美元之间的小型公司则不需要提交审计师的鉴证意见。
(二)小企业在实施内部控制过程中应充分考虑自身的特征对小企业而言，资源更加有限，内部员工更少，收入更低，很难抵消执行成本以及财务报告内部控制执行的固定成本，其负担也不成比例。此外，建立内部控制文档、进行内部控制测试以及充分的内部控制证实这些对大跨国公司有益的做法，对规模较小的企业而言价值并不高，因为小企业更多依赖“上层意志”以及高层次的监控控制，无法建档也无法测试，对财务报告准确性的影响也难以评估。因此对小企业而言全面实施内部控制的结果就是成本效益衡量后，将减少股东价值，使得小企业的投资机会减弱，对小企业的竞争能力产生负面影响。尽管实施内部控制有许多好处，但小企业在实施过程中更应考虑自身特征，如更多地将精力放在监控要素上；员工职责分工不够，就应更多地考虑高级管理层的复核职能，增加一些补充性的控制手段；管理层更容易凌驾于内部控制之上，因此应强化董事会的监控作用，强调管理层素质和职业道德的培养等。
(三)监管层应建立明确的小企业内部控制指南根据SEC的观点，小企业的股权更加集中，内部人如创始人、股东、执行经理层通常持有较高的股份，此外首席财务官通常扮演了一个更加融合于企业经营的角色，因此通过内部控制提高财务信息质量显得无足轻重。根据SEC下属的经济办公室分析，那些市值在1.25亿美元及以下的公司中，内部持有人平均持有公司的股份达到30％。尽管内部人无需保护，但那些不是内部人的投资者仍然需要保护，而通过有效的财务报告内部控制可以及时发现控制弱点并及时更正，从而提高财务信息质量并保护投资者利益。问题在于小企业的内部控制有其独特的特征，如内部控制的核心即通过职责分工达到内部牵制无法在小企业中充分实现；保证内部控制有效实施的前提即人员素质和胜任能力也因小企业的吸引力和财务实力受到影响；而更为常见的管理层凌驾于内部控制之上、因成本效益原因导致IT系统缺乏或安全性不足、内部控制的文档化和稳定性不够、缺乏内部审计部门等问题都给小企业实施内部控制带来了挑战。尽管COSO委员会在SEC的要求下出台了小企业实施财务报告内部控制指南，但新的框架规定过于原则化，很难给小企业带来实质性的改善。因此要在小企业实施内部控制，还需要有明确的内部控制指南，包括监控措施的建立、改进和完善的频率、控制意识的提高、基本素质的培养、员工培训、内部审计外包等。
(编辑 熊年春)
转载注明来源:https://www.xzbu.com/3/view-798229.htm
