對付財務會計領域的“泛假主義”，無論如何離不開“兩手抓”：一手抓結果，即財務會計報告，另一手抓過程，即生成財務信息的內部控制。以往，會計主管部門似乎“一手硬，一手軟”，重會計報表而輕內部控制。面對財務舞弊手段“日日新、茍日新、又日新”的窘況，它終于意識到“兩手抓，兩手都要硬”的偉大意義，于是，義無反顧地走上內部會計控制體系建設的漫漫途程。

　　“內部控制”理念的演進

　　在近、現代的內部控制發展史上，占了先機的是美國人。1947年，美國注冊會計師協會（AICPA）下屬的審計程序委員會（CAP）在其《審計準則暫行公告》中第一次提出了內部控制概念。1949年，審計程序委員會發表了一份特別報告——《內部控制：一種協調性系統要素及其對管理當局和注冊會計師的重要性》。在這份報告中，CAP對內部控制作了如下定義：“內部控制是企業為了保證資產的安全完整，檢查會計資料的準確性和可靠性，提高經營效益，推動企業貫徹執行既定的各項政策而采取的組織規劃和一系列相互協調的方法與措施。”這里，內部控制的范圍不止在財務會計方面，“提高經營效益”、“推動企業貫徹執行既定的各項政策”皆被列入了內部控制目標。對于注冊會計師而言，要做企業管理的“萬能醫生”，所承擔的，似乎是“不可能完成的任務”。

　　有鑒于此，1963年，AICPA在《審計程序公告第33號》（SAP No.33）中將內部控制做了劃分，表述為會計控制和管理控制，前者旨在保護企業資產完整，檢查會計信息的可靠性，后者在于促使有關人員遵守既定的管理政策，提高經營的有效性。根據SAP No.33，“注冊會計師主要關注會計控制”，“如果獨立審計人員認為某些管理控制可能對財務記錄可靠性有影響，可以考慮評價管理控制”。

　　1988年，AICPA在《審計準則公告第55號》（SAS No.55）中以“內部控制結構”的提法替代了“內部控制”，認為“企業內部控制結構包括為合理保證企業特定目標的實現而建立的各種政策和程序”，并確立了內部控制結構的三要素——控制環境、會計系統和控制程序，這被認為是內部控制概念發展的一個里程碑。

　　1992年，美國國會“反對虛假財務報告委員會”（National Commission on Fraudulent Reporting，又稱Treadway Committee）所屬的Treadway委員會發起成立COSO委員會，發布了COSO報告——《內部控制——整體架構》，報告指出：“內部控制是由企業董事會、管理層和其他員工制定和實施的，旨在為經營的效果和效率、財務報告的可靠性以及相關法律法規的遵循性等目標提供合理保證的過程。”并歸納了內部控制的“五大要素”：（1）控制環境；（2）風險評估；（3）控制活動；（4）信息與溝通；（5）監控。鑒于COSO報告對內部控制的認定與《審計準則公告第55號》（SAS No.55）有較大差距，AICPA于1995年發布了《審計準則公告第78號》（SAS No.78），修改了SAS No.55，全面接受了COSO報告的觀點。

　　2002年，美國政府頒布了《薩班斯一奧克斯利法案》（SOX法案），要求所有依照美國1934年證券交易法第13（a）或15（d）節的規定向證券交易委員會（SEC）提交財務報告的上市公司，都要在年報中提供“內部控制報告”，評價公司內部控制設計及其執行的有效性，注冊會計師要對企業的“內部控制報告”進行審核和報告。公司的首席執行官與首席財務官須出具書面保證，不僅要確保財務會計報告的真實性，還要確保公司擁有完善的內部控制系統——堪稱“兩手抓”方針下的實證樣本。

　　是內生，還是靠外力

　　我國對企業內部控制建設的推進發軔于上世紀90年代，有關部門相繼出臺了若干涉及內部控制的文件：

　　——1996年12月，財政部發布了《獨立審計準則第9號——內部控制和審計風險》，提出了內部控制“三要素”，幫助注冊會計師判斷是否信賴內部控制，以確定審計的性質、時間與范圍。

　　——1997年5月，中國人民銀行發布了《加強金融機構內部控制的指導原則），就銀行、保險公司等金融機構內部控制的目標；原則、要素、基本要求等作出了規范。

　　———2000年11月，證監會發布了《公開發行證券公司信息披露編報規則》，要求公開發行證券的商業銀行、保險公司、證券公司建立健全內部控制制度，并在招股說明書正文中說明內部控制制度的完整性、合理性和有效性，同時，要求注冊會計師對被審計者的內部控制制度及風險管理的“三性”進行評價和報告。

　　——2001年1月，證監會發布了《證券公司內部控制指引》，要求所有的證券公司建立和完善內部控制機制和內部控制制度。

　　——2001年6月，財政部發布了《內部會計控制——基本規范（試行）》和《內部會計控制規范——貨幣資金（試行）》，明確了單位建立和完善內部會計控制體系的基本框架和要求，以及貨幣資金內部控制的要求。

　　——2002年2月9日，中國注冊會計師協會發布《內部控制審核指導意見》，規范注冊會計師就被審核單位管理當局在特定日期對內部控制有效性的認定進行審核，并發表審核意見。

　　——2002年12月，財政部又發布了《內部會計控制規范——采購與付款（試行）》和《內部會計控制規范——銷售與收款（試行）》。之后，又相繼發布《內部會計控制規范——擔保（征求意見稿）》、《內部會計控制規范——成本費用（征求意見稿）》。

　　——2003年10月22日，財政部發布了《內部會計控制規范——工程項目（試行）》，主張各單位應當建立適合本單位業務特點和管理要求的工程項目內部管理制度，并組織實施。

　　根據財政部會計司最初的規劃，“《內部會計控制規范》采取分批分步制定實施的方式，針對當前會計及相關工作中管理最為薄弱的環節，先制定迫切需要的《內部會計控制規范》，如貨幣資金、工程項目、采購與付款、銷售與收款等環節的控制，成熟一個發布一個”。“‘基本規范’和‘貨幣資金規范’，只是內部會計控制規范的開始。嗣后，財政部將加快相關內部會計控制規范的建設步伐，力爭用2—3年的時間，建立起適應我國經濟發展要求的內部會計控制規范體系”。這是一個棘手的任務，更難的，還在于要在千千萬萬個企業中生根、滋長。

　　從企業的角度看，政府的著力推動自然屬于外力，然而，從內部控制的起源研判，內部控制的產生其實是企業發乎內心的真切需要。即使在早期的業主制組織中，由于所有權與經營權兩權合一，業主出于保護自身資產、防范錯誤和舞弊的考慮，便已設置諸如賬款分離、定期盤點等關鍵控制點。

　　隨著企業規模的擴大與企業組織形式的復雜，內部控制的動因開始迷離起來。尤其在以兩權分離為特征的現代大型企業里，企業的利益相關者驟增，業主和企業的關系不再像業主制或合伙制企業那樣邊界模糊，股東只能對企業保持一種“疏離的眷戀”（detached attachment），日益普遍的“強執行、弱股東”格局甚至有將股東邊緣化為“外部人”的征兆。至于“一股獨大”的國有企業，經營管理層體會到“內部人控制”更容易帶來職務方便，因而，集體無意識地認為內部控制缺失比內部控制有效更對自己有利，傾向于渾水摸魚者必然多于清流運作者。

　　反倒是注冊會計師這樣的“外人”對內部控制的影響來得直接，甚至起著關鍵的推動作用。假如企業管理層的內部控制設計合理且執行有效。那么，注冊會計師的標準無保留審核意見的報告就相當于“背書”，肯定會給財務會計報告的使用者傳遞積極的信號；一旦企業管理層的內部控制設計與執行存在重大缺陷，注冊會計師發表的非標準無保留審核意見等于為企業改善內部控制提供了線索，給財務會計報告使用人作了特別的提醒。是的，實質面（最終的經營業績反映于財務會計報告）固然重要，而程序面（平時的內部控制制度反映于審核報告）同樣不可或缺——雙軌確認已成為國際上鑒別財務會計報告質量的通行做法。

　　控制環境為基，執行有效為源

　　如果我們把企業理解為一個和股東隔著一層“面紗”（veil）的獨立實體，那么公司治理結構可以理解為“主外”，公司內部控制“主內”，由此延伸出企業的兩大控制：一是所有者對經營者的控制；二是經營者對企業經營管理活動的控制。過去，內部控制指的是第二層控制，但現實的發展促使內部控制和公司治理發生交集融合，公司治理要“沉入”到第二層的控制中，否則，無法防止“內部人控制”對所有者利益的侵蝕；內部控制政策與程序則要“上升”到公司治理結構中，否則，公司治理不免“形備而神不至”。

　　國人常講，“正心、誠意、修身、齊家、治國、平天下”，可謂是一種“由內而外的美”。做人如是，做企業亦當如是。內部控制畢競是一個極富彈性的制度，倘若公司管理層偏激地認為只針對下屬，只具防錯糾弊功能，忽視了內部控制對支撐現代公司治理結構的重大意義，忽視了內部控制可以提升經營效率的積極目的，為了省卻執行內部控制可能的花費，破壞制度應有的程序，則內部控制就會降格為“放在抽屜里，掛在墻上”的紙介質。

　　“我們必須始終如一地遵守內部控制，直到被傷害為止。”一位美國內部控制專家如是說。

　　控制環境包括操守與道德價值、董事會職責、管理哲學與管理形態、組織結構、職權分工與人力資源政策。內部控制的有效性隨著建立、執行和監督此控制人員的操守與道德價值優劣而定。例如，操守較差者可能為獲取高額績效獎金或實現利潤目標，而采取不當行為或編制虛假財務報表。董事會承諾建立、健全內部控制是一種“簡單的美麗”，盡管董事會的承諾并不能使可能無效的內部控制變為有效的內部控制，但董事會及其所屬委員會（比如審計委員會）可以確立內部控制審核的“三角關系”，實現內部審計與外部審計的互動，從而減少弊端的滋生。企業經營能否蒸蒸日上，則有賴于管理層的經營哲學，能否在不好高婺遠的情形下，看到長遠的未來，在不急功近利的情形下，把握時代的脈動，即形成沐浴員工的企業文化——“君子之德，風；小人之德，草；草上之風，必偃。”至于適當的人員擁有適當的職權，被選任的控制人員能勝任所執行的工作，更是成了控制環境的精髓。

　　內部控制有效的公司，其幸福是共同的（控制環境良好），而內部控制失效的公司，卻各有各的不幸。

　　有著200多年歷史，資本雄厚的巴林銀行，在衍生性金融產品的不當操作下宣告破產，即是一樁百分之百內部控制失效的例證。雖然稽核人員早已稽核出來其操作異常，但因為管理當局的寬貸，違背了內部控制的精神，終究使這家歷史悠久的銀行回天乏術。曾經以利潤高速增長現身的“鄭百文”，在初步成績面前，頭昏腦熱，奉行激進擴張的管理哲學，對眾多的下屬子公司管理失控，迅速跌入經營失敗的困境，上演了一幕扼腕長嘆的悲劇。更有離奇者，像銀廣夏，表面上有關憑證審核、批準等控制環節齊全，背地里卻是一個不折不扣的造假鏈！

　　“一個人做一件好事并不難，難的是一輩子做好事，不做壞事。”設計內部控制制度類似于“做一件好事”，不算太難，而執行內部控制制度類似于“一輩子做好事”，有難度。

　　“鉆一次空子、統一次制度、違一次規不至于暴露吧。”倘若一個人總是這樣想、這樣做，倘若很多人都偶爾這樣想、這樣做，倘若很多人都總是這樣想、這樣做，內部控制制度就是“若有還無”了。

　　中國內部控制體系建設，確是一件棘手的任務——東方文化的不認真成分，管理舞弊的巨大沖動，實用主義的價值觀導向，人們意識中逾越控制的慣性，實務控制理論的缺失……都在印證“棘手”的難度。但愿，不要成為“不可能完成的任務”。

　　我們可以原諒粗陋的控制缺陷，甚至可以原諒疑似控制，但絕不能原諒精心的偽控制。