你们家做的是什么内控？

自2008年财政部在中国大中型企业和上市公司推行内部控制以来，虽然很多企业都构建了内控体系，开展了内控手册和制度的建设，但是对于自己到底做的是什么内控，并不清楚。对企业来说，全面风险内控和财务报告内控是两套看似一样，实质不同的内控体系。

2001开始，美国安然、世通等一系列恶性会计信息造假案的曝光，企业内部控制成为了市场与监管的焦点。2002年7月，美国国会通过的《萨班斯—奥克斯利法案》第一次对内部控制的有效性评价提出了明确的要求，即要求在年报中提供管理层对内部控制的评价信息。内部控制信息披露可以提高企业管理当局内部控制的意识，促进管理当局改进内部控制；可以为外部信息使用者提供附加信息，以了解公司的内部控制设计是否完善，执行是否有效，进而判断企业的经营业绩和财务报告的质量。

在这一法案中，要求所有上市公司必须对内部控制进行体系建设和信息披露，然而在实务中，上市公司、会计事务所等都对内部控制的具体边界和范畴有困惑，因为内部控制是一个广义的概念，涉及到企业管理的各个方面，所以如何进行全面的内控披露和审计是一个大难题。

2003年6月，为了配合《萨班斯——奥克斯利法案》有关内部控制规定的实施，美国证券交易委员会（SEC）出台了“最终规则”（Final Rule），提出了“财务报告内部控制”（Internal Control Over Financial Reporting ）的操作性定义：财务报告内部控制是一个过程，由发行人的主要执行官员、主要财务官员或者行使类似职权的人员设计或监控，受发行人的董事会、管理当局和其他人员所影响，为财务呈报的可靠性和财务报表（供外部使用的）的编制符合公认会计原则提供合理的保证。由此可见，SEC为了明确资本市场的内控监管边界，将内部控制限定在了财务报表编制的内部控制的范围内，因此使用了“财务报告内部控制”这一术语。正是财务报告内部控制这一概念的提出，使得原来广义的内部控制成为了全面风险内部控制，并与财务报告内部控制形成了不同的体系。

数说内控 - 全面风险内部控制VS财务报告内部控制（内部控制全面风险管理）

第一，建设的目标不同。全面风险内部控制以内控的五个目标为出发点，包括了资产安全、合规合法、财报真实、经营效率、战略实现，为了实现全业务环节的风险防范；财务报告内部控制是为了满足资本市场监管需求下，以财报真实为目标，为了实现财务数据和财务报告的真实准确。所以财务报告内部控制的目标是全面风险内部控制的整体目标下的一个子集。

第二，建设的牵头部门不同。全面风险内部控制因为与公司的产供销全流程相融合，与公司的整体管理制度相协同，所以其牵头部门一般由公司的风险和流程制度管理部门来担任较为合适，可以实现管理的一体化；财务报告内部控制因为以财务报告的真实编制和披露为目标，其牵头部门由财务或者审计部门来担任较为合适。

第三，建设的逻辑步骤不同。全面风险内部控制以流程为出发点，通过“流程—目标—风险—措施”的四个步骤，构建一套规范的操作程序，实现对全流程的风险识别和防范；财务报告内部控制以财报为出发点，通过“财务报告—会计科目—凭证单据—流转规范”的四个步骤，从会计报表项目及其涉及的会计科目出发，确认各会计科目对应的经济业务和环节，根据业务流程及风险制订并实施的内控措施，按相关要求和标准评价/审计最终影响财务报告的真实、完整，包括针对与会计报表中所有重要科目和信息披露相关的所有会计认定所实施的内部控制的有效性。所以财务报告内部控制主要体现会计报表“数据”和“（内部）控制”之间的关系模型。

从两者关系可以看出，企业管理层喜欢的是风险内部控制，也是企业自发的原生的内控需求；而财务报告内部控制是资本市场监管机构关注的内控重点，是企业需要面对的内控的外生性需求。对上市公司来说，财务报告内部控制是其必须要达到的底线，而全面风险内部控制是其不断提升改进的高要求。

一般来说，财务报告内部控制的建设步骤可以分为以下几步：

1、明确财务报告的内部控制目标。保持详细程度合理的会计记录,准确公允地反映资产的交易和处置情况；对发生的交易进行必要的记录,从而使财务报表的编制满足公认会计原则的要求；公司所有的收支活动经过公司管理层和董事的合理授权；为防止或及时发现公司资产未经授权的取得、使用和处置提供合理保证, 这种未经授权的取得、使用和处置资产的行为可能对财务报表产生重要影响。

2、识别重要的会计科目和报表科目。从企业会计报表的科目出发，以金额为判断依据，建立重要性水平的标准，确定企业的重要会计科目和报表科目。

3、划分企业的业务流程。企业应根据各自行业及所涉及业务的具体特点，将自身的运营活动划分为若干个主要业务循环。

4、确定财务报表重要会计科目与主要业务流程的关联关系。企业需要根据自己的业务特点，找出财务报表重要会计科目与主要业务循环的关联关系。

5、确定各主要业务循环的子流程，建立相关控制制度。根据之前步骤的结果，确定各主要业务循环的子循环，找出控制要点，绘制流程图及叙述性文档，确定相关的审计（评价）程序。