企业内控专业人才培养与发展趋势

企业内控专业人才培养与发展趋势随着我国企业内部控制基本规范及各项配套指引的出台，企业建设内部控制体系已经有了明确的参照依据。在实施内部控制过程中，企业普遍感到缺乏内部控制专业人才。为了更好地推动内控专业人才培训工作，由人力资源和社会保障部中国职工教育和职业培训协会与中经安信息科技(北京)有限公司合作开展企业内部控制师岗位培训项目，已在中国职工教育和职业培训协会正式获得批准，并将在全国范围内正式推行。在人社部中国职协相关领导的指导和大力支持下，由中经安公司承办的“2012中国内控人才发展论坛暨企业内控师岗位培训项目启动仪式”于2012年12月6日上午在腾达大厦五层会议厅隆重召开。企业内部控制师作为新兴专业人才正式登上职业舞台。作为企业内部控制师岗位培训项目实施机构负责人，她的专题发言涉及三个方面：1、企业进入全面内部控制的时代;2、内控专业人才培养与发展趋势;3、企业内控师岗位培训项目简介。首先，内控体系建设是企业一把手工程，企业内部控制体系的最后控制人是企业的最高决策者，内控制度是否发挥作用并高效运行，关键在于董事长和总经理能否身先士卒带头遵守内部控制制度。加快内控体系建设人才是关键，当前内控规范体系实施存在一些障碍，主要原因是缺乏内部控制专业人才、内部控制缺陷认定标准不明确、内控信息化建设滞后等。企业内控体系建设成本效益不匹配的原因有多种：一是片面强调内部控制的合规性，忽略了推动管理创新，实现价值增值的目标;二是企业内控体系的制定主体和执行主体不明确;三是从监管角度定义的内控概念从政府、社会、注册会计师的立场看似具有较切实的意义，可以评判企业的会计控制与合规性控制;但从企业的角度看，内控概念包括的内容不全面，忽略生产控制和管理控制的内容。先作为这一次论坛的承办单位，我要对所有在座来自各企业、各部门和有关行业的领导、参会代表表示衷心的感谢，谢谢大家能够关注和支持企业内控体系建设，关注内控建设当中人才培养的重要性。借此次论坛机会，我就“企业内部控制专业人才培养和发展趋势”专题作一个发言，主要针对三方面内容，与大家进行交流与探讨。一、企业进入全面内部控制的时代二、加快内控体系建设人才是关键三、企业内控师岗位培训项目简介一、企业进入全面内部控制的时代很多专家都提到了企业加强内部控制的国际国内环境，国际方面加强了对上市公司和企业的监管，国内财政部等五部委包括国资委都颁布了企业内部控制的基本规范和关于加快构建中央企业内部控制体系有关事项的通知。我们现在谈的内控是大内控，而不是讨论风险管理和内部控制谁包含谁的问题。企业进入全面内部控制时代，它要打造的是企业自身的免疫能力。如果人免疫能力强的话，外面有一些风寒，不会那么容易感冒的;即使得了病，自身免疫能力强的人能够很快康复。企业内控的本质就是自我管理和自我约束。全面内部控制的特征体现在：外部控制包括法规控制和政府监管部门的控制，它讲究的是长远和宏观控制，必须和企业内部的微观控制相结合，才能发挥整体效益;企业的内控活动已经渗透到企业经营管理的全过程，实际上全员参与控制;以控制风险为导向，有助于提高企业风险防范能力;在整个内控体系建设过程中，需要以企业的业务流程作为载体，同时要考虑成本效益的平衡，最终提升企业核心竞争力。我们的控制不是单一的控制，要与多种控制措施为手段，以信息化系统为管理平台，这样才能充分发挥内部控制体系的有效性。(一)内控体系建设是企业一把手工程一个企业实施内控体系建设必须是一把手高度重视，如果一把手不能高度重视，实际上这个企业的内控体系是做不好的。领导的态度决定一切。美国通用电气(GE)公司被认为是全世界最伟大的公司之一，每次GE领导人的换届更迭，公司付出的努力不亚于做一次几十亿美元的并购重组。我们现在很多企业做并购重组是在资金和资源方面做，通用电气在一把手方面开始做这个工作。因为GE公司认为，领导人承载和传承着GE成功密码，这个密码是凝聚企业文化、气质、理念的舍利子，选错了人，所有的完美制度都将变成鸡肋，成功密码也就失去了功效。企业内部控制体系的最后控制人是企业的最高决策者，内控制度是否发挥作用并高效运行，关键在于董事长和总经理能否身先士卒带头遵守内部控制制度。(二)企业内控是全过程与全员控制在企业内控体系建设过程中，从董事会、监事会、经理层、全体员工都有明确的职责分工;要实现五个目标，即保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，规避生产经营风险。具体地说，董事会、高级管理层、部门经理和基层员工在内控体系中各自的职责是不一样的，应明确界定责任制。(三)企业内部控制体系建设的内容财政部基本规范和配套指引综合起来可以看，内控体系建设的内容很多。首先，在公司层面要考虑的是内部环境，包括组织架构、发展战略、人力资源、社会责任和企业文化五个应用指引，在公司层面，还有一项可能很多企业忽略的就是IT一般控制，这也应该作为公司层面一并考虑，但现在很多企业在IT一般控制方面已经比较滞后。业务层面控制包括，资金活动、采购业务、资产管理、销售业务、研究与开发、工程项目、担保业务、业务外包、财务报告九项业务活动，通过全面预算、合同管理、内部信息传递和IT应用控制四个控制手段加以控制。(四)中美审计跨境监管合作达成初步协议今年10月15日，证监会、财政部和美国公众公司会计监察委员会(PCAOB)签订了美方来华观察中方检查的协议，我们的监管机构同意PCAOB派员工以观察员身份来华视察在美注册的境内会计师事务所质量控制的检查。虽然我们证监会说不允许美方观察人员带走任何的文档资料，但美方观察人员只要现场观察会计师事务所是怎么做审计的，我想会计师事务所的很多流程、规范和审计标准就需要规范化。业内认为此举或将改善中国企业赴美IPO低迷问题，中概股遇寒实务状况或有改善2010年中国企业到美国上市的是41家，退市3家;2011年到美国上市的是15家，退市43家;今年上半年只有1家在美国上市，而退市的为12家。就在昨天(12月5日)，我还看到一则消息，美国证监会对五大会计师事务所(四大加上立信)的中国分所提出了起诉，原因是美国证监会发现在美国上市的部分中国公司有财务造假和会计不规范行为，要求调阅这些会计师事务所的文档资料。这些会计师事务所以我国的保密法和档案法为由，拒绝提供美方所需的文档资料。美方说作为上市公司的信息应该公开透明，在这种信息不公开不透明的情况下，美国证监会就对五大会计师事务所中国分所提出起诉。这对我们注册会计师行业也提出了非常严峻的挑战。二、加快内控体系建设人才是关键德勤从2007开始，连续四年发布了内控方面的调查，在2010年中国上市公司内部控制调查中，就提到内控专业人才储备不足的问题。(一)如何解决内控专业人才不足的状况财政部王军副部长在企业内部控制配套指引发布会上指出，内部培训是确保企业内部控制规范有效实施的关键环节。做任何事都需要人，没有专业人才做不好内控工作，这确实是关键的环节。我们内控专业人才不足的情况是怎么解决的呢?有三种形式：一是利用外部咨询机构，外包出去，20062009年尤其在海外上市的企业，当时不知道怎么做内控，请了“四大”和咨询公司用外包方式做设计。二是自行设计和运行，很多企业抱着“学中干，干中学”的精神，边摸索边实践地把内控体系建起来。三是自行设计和外包评价相结合，逐步完善内控制度体系。(二)着力解决内控体系建设成本效益不匹配的问题刚才杨小舟博士提到，一定要让高管看到成效，高管才会投入精力、资源做件事。为什么现在很多内控成本和效益不匹配?今年5月份我在深圳做演讲时，我记得美的集团的高管人员也说过，三年来他们已经做了很多内控工作，所有环节和领域都做了，但最后的感觉好像是头痛医头，脚痛医脚，难以系统化和整体发挥效益。企业内控体系建设成本效益不匹配，原因有多种：一是片面强调内部控制的合规性，忽略了推动管理创新，实现价值增值的目标如果企业做内控工作不能够带来价值增值的话，很多老板可能最后就会走过场。二是企业内控体系的制定主体和执行主体不明确。现在是要求董事会实施和健全整个内控体系，但董事会人员很少，不可能自己制定。制定主体不明确，各个部门都站在自己的角度上制定，内控体系的合理性、科学性、有效性就会有问题。执行主体也有问题，需要明确界定执行主体各自的职责。三是从监管角度定义的内控概念从政府、社会、注册会计师的立场看具有较切实的意义，可以评判企业的会计控制与合规性控制;但从企业的角度看，内控概念包括的内容不全面，忽略生产控制和管理控制的内容。这方面也需要完善。由于缺乏内控专业人才，我国企业在内控体系建设初期大多选择了利用中介机构提供外部咨询服务。据了解，一些在美国上市的中国公司因遵循萨奥法案付出了几千万美元高昂的成本。例如，中国人寿2006年为执行萨奥法案付出的费用是近7000万元。有些金融机构的内控审计费用都超过1-2个亿元。这也是许多企业对建立内部控制体系望而生畏的重要原因之一。所以说，如果我们的内控人才培养得力，能在各个岗位发挥作用的话，可以给企业节约合规成本和创造价值。(三)企业内部控制师的主要职责企业内部控制师的主要职责是：负责组织协调内部控制体系的设计、建立、运行、评价与改进等工作。企业内控师岗位包括：内控总监、内控经理、内控专员、内控骨干员工。企业内部控制师与其他专业人才的区别，可以从企业内部控制师的主要职责可以看出：在企业经营管理全程和全员控制的体系建设中，企业内部控制师发挥着领队、教练员、运动员的作用。审计师、质量工程师、评估师等专业人士主要任务是对企业经营管理活动、会计处理以及财务报告进行审计监督与评价，对照适用的法律法规、企业章程、绩效与财务标准，检查企业是否存在违法违规行为，质量管理是否符合各项要求等。审计师和评估师是内控体系建设的裁判员。某一企业3万多员工，审计部门也就那2030人，如果3万多员工都不能在各自的岗位有效履行职责，靠少数的内审人员很难做到有效监督。而且内审人员不可能把所有员工的业务重新做一遍，所以内部监督要发挥两条主线，一是日常的常规监督，内控总监是领队，内控经理相当于教练员，带领着内控专员和很多其他员工一起“下场打球”，要发挥团队精神打好这场球。审计师、质量工程师、评估师起到裁判员的作用，看到哪个部门或人员做得不到位或者违规了，要吹哨警告。(四)企业内控专业人才的培养途径2012年9月，财政部发布了企业内部控制规范体系实施中相关问题解释第2号。文中明确指出，“企业领导要高度重视内部控制专业人才队伍建设，解决企业内部控制专业人才紧缺状况，在强调全员参与内部控制的基础上，采取多种措施，建立激励机制，鼓励从事内部控制的专业人员岗位成才。”根据第2号解释文件，企业如何改善内控专业人才紧缺的状况?提供了三个途径。1、派员参加培训班学习，使内控专业人才掌握相关的知识和技能。2、要求在工作实践中自我学习，自我积累，借鉴其他企业经验，提升自己的水平。3、利用中介机构的专业力量，通过业务沟通交流和实际运作来培养专业人才。这一途径存在的问题是：中介机构会传授核心技术吗?为什么现在国内的企业觉得COSO内控框架很难落地?内部控制应该是一个系统工程。COSO是把控制体系建设分为公司层面(控制环境)和业务层面两个层面的控制，尤其在业务层面的控制活动如果大而化之，不细化就难以操作。有时候即使付费给中介机构做咨询业务，中介机构都未必会传授内控流程、模板、审核清单等核心技术方法和工具。国际内部控制协会ICI将内控体系分为三个层级控制，即董事会和高级管理层负责控制环境，有10大属性、11项控制目标;中间层级是各职能部门的经理负责业务流程控制，有4项控制目标，各个业务职能部门要落实组织的控制目标，包括进行风险评估;第三层级的控制活动是操作岗的员工和基层管理人员，落实9项控制目标，所有的表单和工具必须嵌入在这个环节。只有做到管理制度化，制度流程化，流程信息化，才能使内控体系建设实现既定目标。三、人社部中职协企业内部控制师岗位培训项目为了加快培养内部控制专业人才，推动企业加快构建内部控制体系，实现管理创新、加快转型和提升企业核心竞争力，由人力资源和社会保障部中国职工教育和职业培训协会与中经安信息科技(北京)有限公司合作开展企业内部控制师岗位培训项目已于2012年10月在中国职工教育和职业培训协会正式获得批准，将在全国范围内正式推行。该培训项目重在培养学员从事内控相关工作的知识与实际操作能力，培训内容主要讲解企业贯彻落实内部控制规范体系中应关注的重点、各项业务流程与控制活动的主要风险、关键控制点及监督评价内控体系的要点。促进企业内部控制师作为新兴专业人才正式登上职业舞台。(一)企业内控师培训的特点现在企业内部控制是全员控制的话，从总经理到下面基层员工，但都需要加强培训，只不过按照不同的层次和内容进行培训。会计师事务所、律师事务所、咨询公司、软件公司等内控体系建设相关人员也需要接受内控培训。培训目标是要注重提高学员的实际操作技能，尤其对大量在一线岗位员工来讲，就是要解决他们实操方面的技能。通过系统化和规范化培训，使原来掌握某一领域知识技能的专业人士和院校学生能系统全面地掌握内部控制体系建设所需的理论知识与技术方法，成为胜任内控岗位工作的复合型人才。培训的特点体现在：1、立足本国实际，借鉴国际经验在贯彻落实企业内部控制规范体系过程中，无论对员工进行内控相关知识和技能的培训，还是在设计和执行内控体系的过程中，都需要借鉴和吸收国际内部控制领域的理论成果、流程框架、实务指南与评估工具等技术方法。这有利于减少企业研发时间和节约成本，加快我国企业内部控制体系建设的速度和提高质量，实现内部控制目标。国际内部控制协会会长威廉E.佩里先生指出:“绝大多数企业面临的主要挑战是经理和员工缺乏足够的内部控制实务培训。他们中很少有人能适当地定义内部控制系统或控制目标。全球从事内控相关工作的大多数个人没有接受过内部控制现代定义的适当教育或训练。无论是独立审计师还是内部审计师，大多数人只接受过内部控制财务定义方面的培训。”为此，国际内部控制协会设有国际注册内部控制师的资格认证项目，并开展这方面的培训。可以借鉴国际经验，加快内控专业人才的培养。2、采用科学系统的知识与技能体系刚才很多专家提到开展内控培训需要比较科学系统合理的知识和体系。只有科学而系统的知识与技能体系,才能承载起开拓内部控制师新职业的重任。国际注册内部控制师培训项目的课程体系包括内容：内部控制理论及法规综述、萨奥法案对内控的影响、如何构建内部控制环境、风险管理与风险评估、应用控制评估标准与方案、业务系统内部控制设计与评价、内部控制合规性评价、公司治理、内部控制案例分析。除了内控原理以外，控制环境的内容最终要形成有效的公司治理机制;风险识别与应对要包括风险管理的内容和识别风险的程序、风险计划编制;风险评估主要是技术层面，五级风险，内外风险，在计算机环境下人员风险应该怎么识别;业务系统主要是指信息系统方面，业务流程梳理完毕后如何在信息化管理平台上实现、文档记录管理的要求等;在评估应用控制方面，除了按照COSO内控五要素评估之外，还有全面的萨奥法案的合规性评价。此外，内控体系设计和执行的全过程，都要贯彻质量管理的计划、执行、检查和整改的PDCA循环，因为企业内控体系需要持续不断改进和改善的，需要把质量保障的概念纳入内控体系的改进完善过程中。汇诠恒公司通过和国际内部控制协会的独家合作，将国际内部控制协会评估方案框架和中国内控规范体系的关系做了对接，提供的培训产品和框架体系已经把几大控制目标设计进去了，风险评估包括事项识别、风险评估和风险应对三项内容。在控制环境方面，国内有五项应用指引，国际有十大属性，企业可以自己选择;在应用控制措施方面，我们有九项控制活动，还有信息管理平台;信息沟通和监控方面都一一作了对应比较。现在国内缺的就是落地的实务技术方法，有些企业花了非常大的成本和代价想把这块做完善了，否则业务部门没法操作。在财务报告内部控制有效性的审计评价方面，有九项控制目标，数据准确、数据完整、数据及时、按照一般公认会计原则处理，遵守组织的政策和程序等，对应的14项风险暴露都涵盖在这张图表中。这些可以借鉴的方法和工具，我们可以直接借鉴，根据企业实际情况加以改造。3、术业有专攻，分行业分类培训术业有专攻，要分行业分类进行培训。泛泛的培训，像万金油一样可以解决头痛脑热，但解决不了大病。美国某一协会2011年对金融专业人士的支付和舞弊控制的调查结果是，75%的受访组织有过舞弊行为，典型案例每次发生平均损失约15200美元，30%的受访企业