成功的企業由于內控有效而得以擴張；而內控失敗必將使企業蒙受重大損失，甚至破產。美國忠誠與保證公司的調查結論是：70%的公司破產是由于內控不力導致的。巴林銀行、“鄭百文”、銀廣夏這些曾經輝煌的企業，猶如一座大廈在頃刻間倒塌，原因只有一個，就是被人們稱為現代企業穩健發展的“穩定器”-內控制度在這些企業成了一紙空文，中航油事件也是如此。

　　一、中航油事件的簡單回顧

　　中航油新加坡公司于2001年底獲批在新加坡上市，在取得中國航油集團公司授權后，自2003年開始做油品套期保值業務。但在此期間，總裁陳久霖擅自擴大業務范圍，從事石油衍生品期權交易。2004年12月，中航油新加坡公司因從事投機性石油衍生品交易，虧損5.54億美元，不久就向新加坡證券交易所申請停牌，并向當地法院申請破產保護，成為繼巴林銀行破產以來最大的投機丑聞。

　　2005年3月，新加坡普華永道在種種猜疑下提交了針對此虧損事件所做的第一期調查報告。報告中認為，中航油新加坡公司的巨額虧損由諸多因素造成，主要包括：2003年第四季度對未來油價走勢的錯誤判斷；公司未能根據行業標準評估期權組合價值；缺乏推行基本的對期權投機的風險管理措施；對期權交易的風險管理規則和控制，管理層也沒有做好執行的準備等。

　　排除一些從事市場交易活動都難以避免的技術原因，我們從普華永道的報告可以得出一個不算離譜的結論：中航油從事期權交易業務的決策以及整個交易過程都無視制度的存在，公司最終的巨虧是不按制度行事的結果。這次事件引發了政府、企業和理論界對內控執行和完善的思考，內控的有效性再度引起了大家的關注。

　　二、內控的新思考

　　（一）內控的重心：應從細節控制轉向風險管理

　　2004年的中航油事件對我國的海外上市公司產生了重大的負面影響，大大損害了海外上市公司的形象。透視中航油事件，我們得到的關于內控的啟示就是：內控的重心要從細節控制轉向風險管理。

　　隨著新的企業風險管理的形成，COSO委員會為了應對來自理論界與實務界的挑戰，于2004年10月發布了《企業風險管理框架》（簡稱ERM），認為企業風險管理包括內控，并且會全面取代內控，

　　從而確立了內控向企業風險管理發展的合理性。

　　事實上，幾乎所有的企業內部都有一大套的管理制度，這些制度大到對外投資，小到差旅費報銷。因此，企業董事會與管理層狹隘的認為，這些制度的執行就是內控的所有內容。但是，由于有限的管理資源和可觀的控制成本，使得企業的精力不能放在所有的細枝末節上，所以，ERM框架要求董事會與管理層特別重視可能產生重大風險的環節，且將風險管理作為內控的最主要內容。

　　2002年中航油的年報顯示其當年的投機交易盈利，2002年下半年，中航油開始進行石油期權交易，到年底也收益頗多，此時就面臨著事項識別中的識別機會與風險問題。當我們看到該事項為公司賺取了大量利潤的同時，應該也清醒地認識到，其可能產生巨大風險。但是，中航油的決策者風險意識淡薄，判斷、控制和駕馭風險的能力明顯偏弱。如                                              果管理當局在賺取巨額利潤的同時，能認清形勢，清醒地意識到可能產生的風險，或許中航油的事件就不會發生。

　　（二）內控的主體：應從單元主體轉向多元主體

　　我國《獨立審計基本準則》一般準則第5條指出，建立健全內控制度是被審單位管理當局的責任；我國《內部會計控制規范-基本規范》第5條規定，單位負責人對本單位內部會計控制的建立健全及有效實施負責。這都將內控的主體定為單元主體，而現代企業制度下，所有權與經營權的分離導致經營管理者實質性擁有了企業控制權，所有者本身需要對管理者進行控制，管理者本身就是內控的對象。若管理當局是內控的單一責任主體，負責內控的設計與執行，并對內控的執行情況加以認定與評估，這樣的角色和責任的定位是否有待商榷？因為由管理者自己管理自己，自己監督評價自己，勢必會產生“該控制的控制不了”，濫用職權、牟取私利、獨斷專行等后果，以至于企業控制失靈。中航油新加坡公司雖然有健全的內控和風險管理制度，但是事件的核心人物-新加坡公司原總裁陳久霖凌駕于控制之上，親自操盤期貨期權投機交易，而他本人是中航油新加坡公司內控的責任主體，在單一控制主體下，沒有其他主體對他實施控制，所以內控應從單元主體轉向多元主體。

　　如果由董事會來承擔內控的責任，進行多元控制，就能保證內控實施力度，內控也就更具說服力。這也正是ERM框架中所要求的：ERM框架使董事會在企業風險管理方面扮演更加重要的角色-負總體責任，并且要求其變得更加警惕。企業風險管理的成功與否在很大程度上依賴于董事會，董事會需要批準組織的風險偏好。

　　1992年的COSO報告中指出：組織中的每一個人對內控都有責任。首席執行官對內控體系負有根本的責任，并且享有該系統的所有權。首席執行官是通過領導高級管理人員并發布指令，評估高級管理人員控制經營的方式來履行該責任的。高級管理人員將建立更具體的內控政策和程序的責任按部門的功能分派給有關人員。

　　另外，注冊會計師對企業內控也具有一定的鑒定作用。關于內控的重大缺陷，注冊會計師與管理當局進行一定的溝通，并出具“管理建議書”，提出建議。

　　從以上分析可以得出內控主體應從單元主體向董事會、管理當局以及CPA多元主體轉變。董事會全面負責內控，管理層負責其具體有效的執行，注冊會計師對內控進行再評價，這樣就達到了多元控制的目的。

　　（三）內控的監督：應從關注內控建立轉向內控運行和評價

　　中航油內部的《風險管理手冊》設計得很完善，手冊規定了相應的審批程序和各級管理人員的權限，通過聯簽的方式降低資金使用的風險；采用世界上最先進的風險管理軟件系統將現貨、紙貨和期貨三者融合在一起，全盤監控。同時建立三級風險防御機制，通過環環相扣、層層把關的三個制衡措施來強化公司的風險管理，使風險管理日常化、制度化。由此可見，公司在設計內控時，是花了相當大的精力的，但在如何保證實施制度方面，卻缺乏應有的措施。因此，內控必須要有一個監督機制來促使它的執行。

　　在ERM框架中，內部審計人員在監督和評價成果方面承擔重要任務。他們必須協助管理層和董事會監督、評價、檢查、報告和改革ERM.

　　內部審計是企業自我獨立評價的一種活動，具有得天獨厚的優勢。它本身在企業中不直接參與相關的經濟活動，處于相對獨立的位置，但同時又處在各項管理活動中，對企業內部的各項業務比較熟悉，對發生的事件比較了解。公司的內部審計，應向審計委員會報告工作，接受審計委員會的業務指導，并直接對董事會負責，任何重要的審計決策由審計委員會提出方案，并經董事會批準。這既保證了公司內部審計的相對獨立性，又保證了其權威性。在這樣的前提下，內審部門通過對內控的審查和評價，可以從中找出控制薄弱點，發現內部控制不盡完善和執行無力之處，進而提出改進意見和措施，以監督其他控制政策和程序的有效執行。

　　（四）內控的對象：應從基層、中層轉向高管控制

　　中航油事件的致命原因從根本上說是個人權力過大，缺乏對個人權力的有效制約和監管，使得個人凌駕于制度之上，制度得不到執行。

　　一個表面看起來制度規章明確、組織健全、人員齊備、技術先進的內控或風險管理體系，其在實際運行中能否有效管理風險和防止重大損失的發生，關鍵在于高層領導在這個體系中所發揮的作用。這不僅因為他們是內控的首要責任主體和最基礎的推動力，更重要的是他們本身所擁有的絕對權力，所以高層領導必須納入到以相互檢查和權力制衡為基本原則的整個內控體系中，成為控制和約束的重要對象。否則，高層領導將具有超越內控約束的特殊權力，從而導致整個內控或風險管理機制形同虛設，從根本上喪失有效性。

　　（五）應建立內控失效的補救措施

　　中航油事件發生后，人們都會問這樣一個問題，這么大的損失是在一夜之間發生的嗎？如果不是，那公司在損失4億、3億、2億、1億甚至5千萬和1千萬美元的時候為什么沒有及時采取補救措施！

　　陳久霖事后在接受記者專訪時透露了母公司中航油集團處理危機的幾個細節：“中航油集團2004年10月3日就開始了解到事件的嚴重性。當時的賬面虧損為8000萬美元，如果那時集團決定斬倉，整個盤位的實際虧損可能不會超過1億美元。然而，集團領導大部分在休假。9日，新加坡公司正式向集團提出書面緊急請示。如果當時斬倉，實際虧損應為1.8億美元。然而直到16日，集團才召開黨政聯席會議。”如果新加坡公司及其母公司在一些細節換一種處理方式，也許會出現不同的局面。這些事實說明，一旦公司的控制失效，出現風險時，公司必須建立一套補救措施，將損失盡可能的降低。

　　內控分為事前控制、事中控制和事后控制三個階段，每個階段都不能忽視，因為一個有效的內控是全過程的。事前控制起到一個防患于未然的作用，這是最理想的，但是由于內控具有一定的局限性及固有風險的存在，不是所有的風險都能在事前、事中得到有效控制。決策者和管理當局識別風險能力的不同，對待風險態度的不同，回避風險魄力的不同，都可能有截然相反的結果。所以管理當局必須建立一套補救措施，全面考慮公司存在的潛在風險，對由內控失敗或由管理者決策失誤導致的不良后果加以事中控制、事后彌補。董事會和管理當局要站在戰略目標的高度重新審時度勢，制定適合時宜的政策方針，減少決策失誤產生的不利影響。