遵循薩氏法案建內控制度的聯(lián)通經驗
薩班斯法案對在美國上市的公司有很強的約束力，它既有實質性的要求，又有改善內部控制環(huán)境的員工素質和道德規(guī)范要求。實質性的要求，即建立信息披露的控制程序，體現(xiàn)在薩班斯法案302條款中。中國聯(lián)通在2003年就已經開始貫徹302條款，建立一套完整的流程。而達到302條款要求的關鍵是要做好基礎工作，在對外披露信息文件的形成過程中就建立起一種責任制度，形成行動上的監(jiān)督。這種監(jiān)督不是上級對下級的考核，而完全是由會計信息產生和報告單位自己發(fā)表的一個“聲明書”，承諾提交的會計信息真實、完整。這一流程保證了下級提供的會計報表、每個報表項目所對應的會計記錄以及會計記錄所對應的相關經濟活動都是真實可靠的、是經過層層核對的。到了總部之后，會經過一個包括CFO在內的信息披露審核委員會審核、討論。只有建立了這一程序和責任體系才符合薩班斯法案302、404條款要求。通過履行信息披露程序，最大限度控制會計信息的錯誤和舞弊行為，提高投資者的投資信心和會計信息的可信度。
事前的準備
中國聯(lián)通從2003年年底開始準備按照404條款完善公司的內部控制制度。首先是梳理會計政策、業(yè)務流程和揭示風險。按照404條款建立內控體系要符合境外的會計準則，而我們一直都是按照中國國內的會計法、會計準則和會計制度來做的，他們之間的差異需要調整。比如，負債單位利息支出資本化和費用化的界線，國內要求以特定的借款用途用于特定投資項目來界定，在達到預定可使用狀態(tài)前可以進行資本化。而香港和美國是按照實質性判斷，無論用于固定資產投資的資金來源于投資項目貸款還是流動資金貸款或其他帶息負債，只要用于這個項目的投資所產生的資金成本就應當由該項目來承擔。
第二是轉變觀念，從另一個角度說就是對內控評價或認定標準的認識。過去我們大都依賴紅頭文件，但是紅頭文件的指示和要求都很原則，由于執(zhí)行單位或執(zhí)行人的理解差異，會有很大的靈活“空間”，企業(yè)操作起來就沒有了標準。如強調“加強物資管理”，過去紅頭文件很少規(guī)定怎么管理？管理到什么樣程度？而按照內控的要求，第一，需要明確建立庫管制度，規(guī)定采購、驗收、保管、出庫、損失估計、財產安全和盤點、報告、對賬等程序規(guī)范；第二，要合理儲備物資，這就要確定物資的最高儲備限額和最低儲備定額，既要避免積壓、跌價風險，又要保證供應。這就具體到了標準上。
從2004年開始，中國聯(lián)通按照COSO框架的要求完善公司的內部控制制度。雖然由于聯(lián)通在海外上市，建立的內部控制制度必須符合COSO框架的要求，但我們這么做不僅僅是外部的要求，從企業(yè)自我發(fā)展來說也是非常迫切和必要的。一方面，圍繞防范達致經營效果和效率、財務報告真實性、遵從法律法規(guī)三個目標的各類風險為目的，在控制環(huán)境、控制活動、風險評估、信息與溝通和監(jiān)督五個方面建立一套滲透所有業(yè)務和場所的內部控制制度和管控機制；另一方面，要改變國有企業(yè)對風險管理的認識和管理者態(tài)度，建立和維護的是一套有效的內控制度和執(zhí)行程序及分散的控制責任體系，而不是僅靠領導講話和指示作為經濟活動的管理標準和工作規(guī)則。當然首先要設定內控制度建設目標，進而形成方案。目標包括階段工作內容、完成成果和時限。方案是經過獨立董事、審計委員會審批的，并聘請一家境外咨詢機構提供咨詢。
聯(lián)通審計委員會的獨立董事們曾要求我們聘請境外的審計機構不定期設計內控制度，但是境外審計機構和我們的觀點在很多方面有很激烈的碰撞。他們站在外部審計師的角度認為，內控要首先以信息的真實性為前提，即所有資產的價值都是真實的。而我們國內準則要求有些資產的受益期限是需要通過判斷決定的，比如哪些費用屬于期間費用，哪些費用可以遞延，受益期多長等，都需要判斷。但審計師有時對這種判斷不認可，比如公司對這項資產使用年限的會計估計是7年，而審計師認為是5年。審計師往往也會從防范自身審計風險的角度強調這個資產有沒有潛在風險。為什么我們與審計師會有碰撞，因為管理層有企業(yè)積累和發(fā)展的需求，唯有一定的利潤才能實現(xiàn)、支撐企業(yè)的發(fā)展和公司對投資者的責任。我們希望公司的利潤每年都有適當的增長，所以我們的會計估計都是依賴恰當的管理上的判斷來確定的。這種估計既要考慮到審計師的職業(yè)判斷，也要考慮國家對行業(yè)相關資產的規(guī)定及管理層對所使用資產經濟壽命和服務期限的判斷?，F(xiàn)在我們的內控建設，主要還是堅持以公司自己為主、外部咨詢師為輔，因為我們真正了解企業(yè)面對的風險和應設計的控制措施和控制目標。
內控方案批準后由財務部門牽頭實施。在實施過程中我們深深體會到，財務部門很難完成這個任務。就像預算一樣，內控貫穿在整個企業(yè)錯綜復雜的流程和關系中，不單單是財務的事情。財務是一個記錄、反映和監(jiān)督的過程，組織對外信息披露的任務責無旁貸，而監(jiān)督又有兩個方面，財務可以完成會計信息和經濟活動的日常監(jiān)督，但是其他一些經濟行為的監(jiān)督財務就做不到了。比如，通信計費由負責計費系統(tǒng)的維護部門管理，他們每月向財務部門報告的應收收入是否準確，必須依賴于計費部門IT系統(tǒng)總體控制和應用控制水平?？梢哉f，監(jiān)督這項職能賦予了財務很大的責任，但實施起來不盡如人意。根本原因在于影響企業(yè)財務報告（內控成果）的因素不僅是會計業(yè)務和財務管理水平，還有所有部門的業(yè)務，而企業(yè)卻沒有建立起一個普遍的控制制度，所以僅僅依靠一個部門完成是不可能的。又如，錯記通話費會出現(xiàn)1倍或幾倍的賠付，雖然不排除有人員記錄錯誤的原因，但很多時候是由于系統(tǒng)的更新和擴容或者設計缺陷造成的，是屬于技術原因。還有一些原因，比如績效考核制度，比如對經營者的業(yè)績只以收入為指標進行考核，不正確的業(yè)績觀的驅動會導致作弊和虛假收入的出現(xiàn)，因此反舞弊也是內控的目標之一。中國聯(lián)通過去沒有這方面的相關制度，對此我們針對有實質控制權力的人，包括總公司高級管理層、各省管理層和一些關鍵崗位的部門，建立了一套反舞弊的管理辦法，在履行控制程序時去發(fā)現(xiàn)、避免造假的發(fā)生?？梢哉f這種控制不僅僅是一個作業(yè)層面的控制，還包括對高級管理人員行為的控制，而所要控制的對象應該選擇重要的部門和業(yè)務。
內控首先要保證企業(yè)達到下列三個目標：一是提高經營效率和效果；二是保證財務報告真實性；三是保障法律法規(guī)的遵從性。內部控制實質上是對影響上述目標實現(xiàn)而對可預見的風險進行揭示，針對個別風險制定有效的控制措施和可接受的風險控制目標，并形成完整的內控制度體系、責任體系和運行及監(jiān)督機制。從實踐和公司的情況來說，我們認為經營效益和效率是公司當前控制的重點。財務報告的真實性通過完善的制度完全可以解決，但影響效益和效果所涉及的經濟活動太多了，不是財務一個部門能做到的。因此，公司建立了一個由“一把手”任內控建設領導小組組長、CFO組織內控辦公室的主要業(yè)務、相關業(yè)務部門負責人為成員的組織架構來實施控制。
實施的第一項工作就是培訓，端正態(tài)度，正確認識什么是內控，為什么要進行內控。之所以有薩班斯法案，大家都以為是美國惹的禍？實際上不僅僅是美國，我們自身確實存在很多問題。比如我們的損失浪費確實很大，是影響所有國有企業(yè)發(fā)展的一個重要因素；我們國家現(xiàn)行制度規(guī)定企業(yè)的重大問題由集體決策，集體決策的結果就是誰也不承擔責任或推卸個人責任，等等。這種培訓是讓每位員工都有內控制度的意識和責任，認識到這是工作的一部分，首先從思想上得到重視。
內控是以制度的形式存在的，我們前邊也提到，集體決策的結果是誰也不負責，所以內部控制先要完善制度：建立反舞弊制度和對所有業(yè)務流程的控制制度。更重要的是控制環(huán)境?？刂骗h(huán)境就是包括管理層在內的公司員工形成一種內控的理念，建立全員風險控制責任。
在聯(lián)通山東分公司的試點
2004年11月1日，我們開始在聯(lián)通山東分公司進行試點。經過近半年的時間，把省級分公司涉及的402個流程進行了所有內控制度文檔的設計，而這僅僅是設計階段。
梳理流程，找出風險點
在設計階段首先要做的是梳理流程，定義流程。對每一項經濟業(yè)務的初始點和終點都做出描述，并將相關環(huán)節(jié)串起來形成流程關系。然后找出哪些是重要的業(yè)務活動。流程中所有的作業(yè)環(huán)節(jié)必須明確作業(yè)內容及其目標和標準，而且這個標準應該是可量化的。由于每個流程會涉及到很多環(huán)節(jié)，涉及到幾個部門，所以每個流程中的各個環(huán)節(jié)都有一個任務描述，即對流程的說明，包括這個崗位是做什么的、應該做到什么程度、什么時候完成、可能發(fā)生什么問題、發(fā)生時如何處理等。當然這簡簡單單的說明后面是公司制度和規(guī)定的支持。
比如審批流程。假設我們要申請購買一個筆記本電腦，需要經過一個審批流程。以前是先看公司有沒有現(xiàn)成的授權審批制度。如果沒有，則按約定俗成的做法：由使用部門寫申請，然后上級領導逐級簽字，到財務部門看看有沒有預算，再由分管業(yè)務的副總裁簽字，財務副總裁還得簽字，最后再轉給老總簽字，可以看出審批程序很復雜。這筆業(yè)務同意了，在簽合同和借款的時候還要經過這樣一輪重復審批，回來拿發(fā)票報賬時又經一輪審批。一件事情同樣的程序批了三四次。我們的人工是有成本的，每個員工一天都在跑批這個，領導案頭也全是這樣的待批文件，哪里還談得上效率！哪里還談得上經濟效益！因此，公司需要建立一個授權審批流程，這就涉及到必須要建立內部日常的授權審批規(guī)則。首先在制度上以我國內部會計控制規(guī)范明確的兩點，即授權審批和不相容崗位分離為基礎，建立授權審批制度，明確哪些事項由誰來審批，包括審批權限和審批程序。這一制度的前提是有嚴格和規(guī)范的預算制度。在發(fā)生一項經濟活動之前必須履行預算審批。審批通過后，在執(zhí)行時只要相關業(yè)務部門負責人簽字就可以，不需再重復審批。其實審批權不一定都集中高層就一定能有效控制，誰簽這個字誰就要承擔全部責任。而以前我們的做法是把責任模糊了，部門簽完字到上一級，上一級簽完再到上一級，最后一把手簽字。出了問題責任是誰的？一把手最后簽的字，但是他對這件事情也許不是很清楚。這種控制嚴不嚴？這么多領導簽字，應該很嚴格了吧！但是我們沒有真正做到實質性的控制，只是一種權力的游戲！只有把這個權力放到一個恰當的職位做最終審批，賦予他監(jiān)督的權力，同時也承擔相應的責任，才最有效。而他的行為和勝任能力則需通過公司的干部監(jiān)管部門
再如決策程序。過去決策層對業(yè)務的決策隨心所欲，沒有一個科學的評估程序。比如業(yè)務部門設計了一種買100送50的套餐項目，沒有經過任何評估，分管領導一批，一夜之間就推出了這個新業(yè)務。這個行銷方案能獲得多少用戶？新增用戶帶來的收入是否可以補償放棄收入機會的損失？是否會引起用戶放棄原來定制的業(yè)務？和競爭對手有什么差異？和政府的政策有沒有什么違背的地方？有沒有不正當競爭？是否政府管制項目？這些問題誰來評估？是否對這些可能產生的風險設計了有效的控制措施？對這些問題首先應該做一個綜合的風險評估，制定控制措施和可接受的風險目標，然后再做決策?，F(xiàn)在往往是聽說哪個地方、哪家公司價格降了，咱們不降不行，你降，我也降。我們的考核機制和決策規(guī)則究竟控制了什么？有時為了爭取一個用戶不惜代價，因為考核指標就是看發(fā)展的用戶數，并不考慮爭取這個用戶花了多少錢，能給公司帶來多少利潤。
針對類似的問題，山東分公司的各個業(yè)務部門首先揭擺風險，梳理業(yè)務流程，再經過專家梳理和總部各個部門一起認定，確定哪些流程列入內控范圍，最后一共提出200多個大的風險。然后我們對每一個流程按照三個構成要素建立制度文檔：一個是流程圖，描述了所有業(yè)務的流程關系和所經過的從起點到終點的崗位，并標明哪一個環(huán)節(jié)有風險點和控制點；一個是流程描述，對所有崗位環(huán)節(jié)的任務（做什么、怎么做、什么時間完成等）進行描述；還有一個是風險描述及控制文檔。
繼續(xù)分解風險
在各個部門的具體運行環(huán)節(jié)中，他們還要根據自己的業(yè)務流程可能包含的大的風險繼續(xù)分解，具體到部門中是什么樣的風險。比如我們規(guī)定用戶信息錄入時重要的用戶信息必須健全，按照用戶登記卡的信息進行登記后，在開通后的第二天必須回復一個電話來確認其聯(lián)系電話和地址的真實可靠。目的就是控制用戶的欠費。我們業(yè)務的特點是先服務后付費，欠費風險很大，聯(lián)通一年欠費有幾十個億，這是影響效益的關鍵問題。那么我們在程序上就圍繞控制用戶欠費建立相關責任，在流程中的關鍵部分控制風險。首先明確這個流程當中有什么風險，把欠費的風險分解到幾個部門去，主要是業(yè)務部門。流程中哪個環(huán)節(jié)存在這個風險就應該描述出來，標在流程中，提醒這個崗位負責防范。
再比如公司的價格管理。一項服務項目的設計必須有足夠的支撐，因為價格過低可能會導致發(fā)展用戶群出現(xiàn)虧損。針對這個問題，我們要求在制定價格時必須幾個部門一起介入，拿出方案。財務部門拿出成本計算依據，計費部門提出計費技術支持方案，評估在價格上違不違背政府的管制，競爭對手反映如何。從幾個方面評估，最后進行決策。這樣就避免了盲目制定價格導致經營虧損的情況。針對這個風險我們也建立了相關制度。首先我們要評估現(xiàn)有的制度是否還有效。過去有些規(guī)定很原則，沒辦法量化。要量化就要花很大力量去收集文件，建立標準。如果以前沒有這方面的制度，我們就要求公司業(yè)務部門把這個制度補上，明確要建立制度，不能用流程代替制度。
風險也是針對我們公司面臨的問題，大家在一起揭示風險，進行梳理。怎么梳理呢？風險是哪個部門的，就把哪個部門的風險落實到哪個流程上，在哪個流程中就落實到哪個環(huán)節(jié)。這就把風險控制責任落實到一個個具體環(huán)節(jié)。有多少個環(huán)節(jié)就建立多少個控制活動。對控制活動我們在制度上進行描述。一是風險是什么，控制措施是什么，控制責任人是誰。這實際上是歸納，是風險提示，標明這項活動的風險是什么？實施怎樣的控制？是接觸性的控制還是預見性的控制？比如財務報表的風險，一個問題可能涉及幾個風險，有財務報告真實性的風險，有經營效率和效果的風險，有法律法規(guī)的風險。在這一張圖上都要表示出來：它是什么風險，風險級別程度。我們一定要關注重點風險。在我們設計的制度當中，就像美國911之后發(fā)布的安全信號一樣，用橙色、綠色、白色區(qū)別風險程度。哪些部門、哪些單位是重點，哪個關鍵流程是重點，我們都把它標示出來，重點監(jiān)督、關注這些風險。
設置記錄性文檔
設計當中還有一個重要環(huán)節(jié)，就是每一個環(huán)節(jié)要有一個記錄性文檔。記錄性文檔分幾種，一種是審批單，它記錄審批依據、審批人責任。通過審批單我們就知道這是一個什么報告或什么申請。這種文檔是傳遞性的。還有一種完全是記錄性的。我們要求每個月要進行存貨盤點，建立盤點表。這個盤點表就是記錄文檔。這個文檔要求記錄實際盤點的數量、金額和盤贏、盤虧比較，以及存貨的質量、是否存在品質殘次、是否存在積壓滯銷、是否存在跌價損失。這個文檔非常重要，因為它不僅對外部審計師進行事后復核有很重要的作用，302條款也要求所有記錄性文檔必須是可供復核的。不像我們過去問倉庫管貨員：每月盤點了嗎？他說盤點了，拿本賬對對數就行了。事后也沒辦法認定他是不是每個月都進行盤點。我們的制度要求雖然可能浪費一些成本，但是很必要。每個月有一個盤點表，看到盤點表我就承認你做了盤點，沒有盤點表我就不承認你執(zhí)行了內控責任。所以這個記錄文檔是非常關鍵的。我們在制度上要求必須有記錄性文檔。管理制度上明確了，我們會依據明確的文檔格式來認證。這其實就是相關的內部控制措施。
監(jiān)督執(zhí)行
監(jiān)督制度確立以后，上級怎么執(zhí)行也必須建立一種有約束的機制。上級要經常監(jiān)督下級掌握本崗位的工作任務、面對的風險和公司設計的控制措施并執(zhí)行這個內部制度。所有人員都把自己那塊讀懂了就足夠了。我們把所有的控制責任建立到每個人頭上，每個崗位上。這個崗位可能一崗多人，但是只要在這個崗位上工作，就要熟悉這個崗位的業(yè)務流程和相關的風險控制。過去很多企業(yè)規(guī)定每個年度末財務部門要組織進行財產清查，我們的內控制度就不是這樣。我們要求分管存貨或資產管理的部門應該主動進行盤點，把盤點結果、差異報給財務部門。過去是我們組織他們進行清倉查庫，組織盤點，現(xiàn)在要求物管部門有義務定期提供財產清查報告、差異報告。如果存在損失，還要寫出說明。過去依賴財務部門去做，不但做不過來，大家還都在應付你。過去新員工上崗，只告訴他坐在哪里，電話多少，大概講講怎么做，而沒有講他應該做什么，做到什么程度，有什么責任，將來有什么提升的機會?，F(xiàn)在我們要求上級有義務做到這些，然后監(jiān)督下級。讓每個員工熟悉自己，自己約束自己。
就像我們一直以來宣傳的那樣，經營是有風險的，不能指望這個企業(yè)沒有風險就收益好，關鍵是怎樣駕馭風險，就是把風險詳細地揭示出來。讓從事這個崗位的人員知道這個崗位有什么風險，去關注它。我們常常出現(xiàn)的情況是，一個文件當中已經講了，但有些人員根本不知道他應該控制這個風險，領導簽個字，然后存檔，沒有人來具體控制。對此，我們的內部制度要求每一個流程要把風險細化，分解到每個流程及相關環(huán)節(jié)中，并加一個標識，提示該崗位員工有什么風險，見了這個風險怎么控制，由誰來控制，落實到位。我們建立的崗位職責也是人力資源部門建立的崗位責任制度，是企業(yè)完整的架構，統(tǒng)一的標準。內控制度的崗位職責是這個崗位做什么，做到什么標準？比如收入報告應該次月幾號提供，要具體量化才能保證實現(xiàn)。以前只是知道做什么，沒有明確做到什么程度。
我們事實上構成了一個內控制度的整體，明確了每一個流程必須包括的控制要素。這些要素說起來很容易，做起來是非常難的。因為有很多東西是約定俗成的，就這么做。找制度，沒有；制度什么時候定的，不知道。師傅教徒弟，就是這么做的。執(zhí)行制度最難的就是習慣改革。我們規(guī)定，建立了這套流程和制度規(guī)范，就必須按這個執(zhí)行。不管現(xiàn)在的效果如何，必須按章辦事，這是你的職責。至于評價這個控制活動和具體控制目標的差異，特別是制度設計上的缺陷，有相關部門的相關人員來做。已有的制度不遵守，或自己認為這樣做效果更好，自己就給改了，大家都這么做，實際上就把這個制度廢掉了。這就是我們國有企業(yè)控制方式和境外企業(yè)控制方式的不同。境外企業(yè)的規(guī)定很細，哪怕一點點事項，都有最詳細的解釋。例如通信業(yè)，我們規(guī)定用戶欠費一個月以上停機，那么次月就不得計費，也就不能確認收入了。但企業(yè)出于某種利益驅動，就要出賬、報告收入。欠費了，我照樣計費；停機了我也照樣計收入，結果這個用戶存不存在都不知道，計費收入無法保證收回。對此，我們會在內控制度中詳細描述用戶欠費停機的次月起就要停止計他的月租費，把他具體量化。反過來，假如用戶欠費但未停機，根據我們的信用制度，我們要求每一個省級分公司或市級分公司必須把它量化。應該根據每一個消費者交費信用的經歷來判斷，長期交費信用好的，時間有多長應該有一個評估，在多長時間內交多少錢，有信用額度，建立和維護欠費自動停機控制程序，并且必須有專人來維系這個欠費用戶。有些特殊用戶臨時出國了，沒辦法交費，這期間他會來電話通知“我暫緩再交費。”這種情況是允許的。特別是有些政府機關本月經費沒有下來，這些客戶雖然欠費但有信用基礎。這種情況下，還需維系這些用戶的存在，不能說欠費我就停機。
山東分公司的內控制度涉及到400多個流程，用了半年多的時間，可見建設內控制度確實不容易。主要是觀念上的差異。我們建立的內控制度也有別于 ISO9000.ISO9000只是一個流程圖，反映流程關系，不是以控制風險為目標去實現(xiàn)應該達到的控制活動。從企業(yè)角度講，控制目標是降低資產損失、利益流失方面的風險，這是我們關注的重點。下一步公司打算在全國進行推廣。首先要進行動員、培訓。第一步是進行高層培訓，由我們公司的董事長來講，從企業(yè)自我發(fā)展的角度認識內控的必要性。各個部門要針對部門所管轄范圍內存在的影響經營效率和效果的風險去分析、認識內控的必要性。各個部門的老總也要講今年準備在內控上做哪些工作，要完成什么樣的目標。內控辦公室負責講內控制度設計的規(guī)范性和具體要求。我們境外的律師從薩班斯法案404條款及監(jiān)管要求、出臺背景和約束以及執(zhí)行方面的影響來講；審計師從管理建議上，針對我們公司存在的管理上的缺陷來講。通過幾個角度進行培訓，讓領導真正認識和理解404條款的重要性。
在全國推廣的過程中，山東分公司的內控制度范本可供各省級分公司參考。這個范本適用于省級分公司，但是不能完全照搬，不能代替各省應當建立的符合本單位特征的內控制度。因為生產組織不一樣，管理手段也有差異，同樣的風險可能在這里存在，在那里更突出一些；可能一個風險在山東僅是一個部門的一個控制點上，在其他地方幾個部門都有這個風險。因此，他們必須梳理風險：一個是通過分析評估來揭示，一個是預見。預見風險和現(xiàn)存的風險要進行歸納，同等對待，建立相關控制。國有企業(yè)的管理往往習慣于出了問題再說，亡羊補牢。按照這個邏輯就是待問題已經發(fā)生了再建立控制措施，預見的風險并沒有納入事先控制的范圍，這就很難保證有效地控制風險。
完善的內控制度設計雖然是一項重要突破，但關鍵是如何組織落實。落實當中要把這個制度分解到每個人，把這個制度體系分解成責任體系，這樣的內控制度才是完善和有效的。我們有信心爭取年底前把內控制度設計完成，以制度來完善現(xiàn)有的作業(yè)。明年解決年報所出現(xiàn)的問題，然后用一年的時間進一步完善。我們中國聯(lián)通的內部控制制度應該說剛剛開始做，距離一些在美國上市公司的做法和成果還有很多缺陷和不足。