上市公司内控设计与实施

最近和几位上市公司的内审负责人探讨了关于上市公司内控体系设计与实施的问题，从大家的疑惑中，我们一致认为，内部审计部在上市公司内控体系建设与全面风险管理体系建设中将大有可为。大家比较疑惑的是，如何将风险管理与内部控制相结合，如何将内部控制与内部审计相区分，如何处理好风险管理、内部控制、内部审计三者之间的关系。

我有幸在现在的公司全称参与了上市公司的全面风险管理与内控建设项目， 曾专门作文对风险管理、内控、内审三者的关系就行了阐述，所以凭借自己三年多风险管理、内控建设及内部审计的经验，我在这里将重点论述上市公司内控设计与实施方法及应注意的重点和难点。

上市公司内控设计与实施，统称为内控建设，内控建设的基础是内控制度，内控制度其实是公司已有制度的统称，所以上市公司内控建设的第一步是进行内控制度的设计。内控制度的设计是一项长期而复杂的过程，主要包括内控制度的初始设计及内控制度执行的定级检查修订。

内控制度初始设计阶段的时间根据上市公司规模的大小一般为6个月，制度设计的主体是各个业务单位，最终责任人是公司总经理，内部审计部门作为内控制度设计的监督者和检查者行使独立建议的权利。内控制度设计的第一步是成立制度委员会，组建内控制度建设执行小组，拟定内控制度建设规定，对制度的版式、文件层级、编号、表单要求、制度制定及签核方法、修订方法等作出明确而具体的规定。这里的重点和难点是制度制定的形式，建议业务单位拟定制度经部门审核后，需要召集相关部门进行制度讨论，最终版本经系统或手工签核到制度委员会后予以颁布（注意：一阶制度、二阶制度均需要组织PI会议和签核制度委员会）。同时上市公司下属一般有多个产业和分子公司，类似业务应公用一个内控制度，存在较大不同的业务应分别制定内控制度，集中采购的则由集团统一制定相关制度。

内控制度建设完成后，上市公司应有专门的内控部门或内审部门定期对内控制度的执行情况进行监督审计，并接受业务部门的制度执行情况反馈，由业务部门申请，内控部门组织召开制度修订PI会议。

建议制度流程执行很糟糕的上市公司（如家族企业，因上市过程实现膨胀式发展，现有制度流程已远远不能满足公司发展需要）应进行制度流程再造，从根本上摒弃旧制度根深蒂固的影响，用崭新的思想和方法规范上市公司业务流程，当然，业务流程再造也不可能脱离业务实际，已有的制度流程应参考和借鉴。同时，上市公司内控制度设计应充分考虑信息系统发展的必要性，考虑到信息系统使用前和使用后的不同情况，避免造成制度的朝令夕改。

内控建设的第二步是进行风险评估，现代企业内部控制和内部审计均是以风险为导向，脱离了风险而谈内控和内审是没有意义的。风险评估可以分为公司层面风险评估和业务层面风险评估，是一个持续动态的过程，但是上市公司应在3个月内应完成公司层面的风险评估，3-6个月内完成业务层面的风险评估和模板制定。

公司层面风险评估主要可以分为以下几个步骤：风险调查问卷-高管访谈-风险培训-风险打分-风险确定-风险模型建立。

业务层面风险评估主要可以分为以下几个步骤：内控流程梳理-内控标准模板制定（80分模板）-内控模板推广。