国企改革背景下的内控体系建设研究

国企改革背景下的内控体系建设研究国企改革深化提升行动实施以来，完善内部控制体系已经成为国有企业落实治理要求、防控经营风险、提升核心竞争力、保障国有资产保值增值的核心支撑性制度安排。作为国资国企领域推进国家治理体系和治理能力现代化的重要组成部分，内控体系建设既不能脱离国企改革的核心目标独立运行，也不能滞后于改革进程形成风险真空，必须与完善中国特色现代企业制度、推进国有经济布局优化、健全市场化经营机制等改革任务同频共振，构建兼具合规性、适配性、实效性的内控运行机制，最终实现“放活与管好相统一、效率与安全相平衡”的改革目标。一、国企改革与内控体系建设的内在逻辑关联（一）内控体系是国企改革落地的基础制度保障从2020-2022年国企改革三年行动的推进成效看，国务院国资委公开数据显示，三年行动主体任务完成率超过98%，中国特色现代企业制度建设取得实质性进展，经理层成员任期制和契约化管理覆盖率超过99%，混合所有制改革累计推动超过9000户国企引入社会资本，国有经济布局结构持续优化，中央企业在战略性新兴产业的年均投资增速超过20%。但改革推进过程中，放权力度加大、业务边界拓展、治理主体多元等变化，客观上对风险防控提出了更高要求，如果没有匹配的内控体系托底，很容易出现国有资产流失、决策失误、内部人控制等问题。公开审计数据显示，三年行动期间，审计署累计审计发现中央企业及地方国企违规经营、内控失效问题涉及金额超过1300亿元，其中近60%的问题发生在改革授权后的新业务、新领域，充分说明内控体系是改革“放得开、管得住”的基础前提，没有完善的内控体系作为支撑，改革放权就可能变成“放任”，机制创新就可能异化为“利益输送”。（二）内控体系是国企提升核心竞争力的内在支撑当前国资监管考核体系已经从原来的“两利四率”调整为“一利五率”，核心导向是推动国企实现高质量发展，更好发挥科技创新、产业控制、安全支撑“三个作用”。内控体系的价值不仅在于防控风险，更在于通过流程优化、权责清晰、数据贯通，降低企业内部交易成本，提升经营效率。根据财政部2023年发布的《全国国有企业内部控制建设白皮书》调研数据，内控体系成熟度达到A级的国有企业，平均采购成本比内控薄弱的企业低7%-12%，投资决策失误率低15个百分点，全员劳动生产率高22%，净资产收益率平均高出6.8个百分点。对标世界一流企业的实践，成熟的内控体系能够将合规要求嵌入业务前端，减少后端整改、风险处置的隐性成本，让企业能够在稳定的预期下开展经营活动，把更多资源投入到技术创新、市场拓展中，这正是核心竞争力的重要组成部分。（三）内控体系是防范化解重大风险的第一道防线当前国企面临的外部环境复杂严峻，地缘政治冲突、市场波动、产业链供应链风险、合规风险交织叠加，2023年审计署抽查的60家中央企业中，有28家存在不同程度的境外投资风险、19家存在高负债经营风险、17家存在数据安全和反垄断合规风险。这些风险具有隐蔽性、传导性、联动性的特点，如果仅靠事后监督、事后处置，往往会造成难以挽回的损失，必须依靠内嵌到业务全流程的内控机制，把风险防控要求嵌入每个业务节点，实现风险的事前预判、事中管控，从源头上降低风险发生概率。尤其是在国企改革持续深化的过程中，新业务、新模式、新主体不断涌现，内控防线如果没有及时跟上，就可能成为风险爆发的集中区，直接影响改革成效和国有资产安全。二、当前国企内控体系建设的现实基础与共性短板根据财政部2023年对全国1276家重点国有企业（含97家中央企业、1179家地方国企）的调研，目前91%的国企已经建立了内控基本制度框架，76%的企业明确了内控牵头责任部门，62%的企业能够按年度开展内控评价，内控体系建设已经具备了广泛的实践基础。但对照国企改革深化提升的要求，仍然存在五个方面的共性短板：（一）治理层面的内控权责错配，刚性约束不足主要表现为党的领导融入公司治理的要求没有在内控流程中实现刚性固化，部分企业的“三重一大”决策流程仅在制度层面做了原则性规定，没有嵌入信息系统成为不可跳过的节点，存在“先执行、后补票”的弹性空间。比如某省属能源企业2022年发生的12.7亿元境外投资损失，核心原因就是重大境外投资项目未按规定履行党委会前置研究程序，仅由总经理办公会决策后就启动实施，未开展充分的风险评估和合规审核。此外，部分企业董事会、经理层、监事会的内控权责边界不清晰，存在“董事会管审批不管内控责任、经理层抓经营不抓内控执行、监事会重财务监督轻内控有效性监督”的问题，调研显示有38%的国企未在董事会下设专门的内控审计专业委员会，内控重大事项决策缺乏常态化的治理层面支撑，内控部门往往被定位为普通职能部门，权威性不足，难以对高层决策形成有效约束。（二）内控体系与分类改革要求适配性不足，存在“一刀切”问题一是对不同功能定位的子企业没有建立差异化的内控流程，对充分竞争类的商业一类子企业、承担战略任务的商业二类子企业、公益类子企业采用统一的管控标准，要么管控过严影响经营效率，要么管控过松形成风险。比如部分地方国企对下属从事人工智能、生物医药等新兴业务的子企业，沿用传统制造业的投资审批流程，单个项目审批周期长达6个月以上，错失市场机遇。二是混改企业的内控衔接不到位，根据国资委2023年对全国2100户混改企业的抽查，31%的混改企业存在内控体系“双轨运行”问题：部分国有控股混改企业仍然沿用传统国企的繁琐流程，没有落实民营股东的经营话语权，影响混改后的机制活力；还有部分混改企业内控体系完全由民营股东主导，国资监管的穿透式管控要求没有落地，存在关联交易输送利益、违规转移国有资产的风险。三是新业务新领域存在内控盲区，多数企业针对传统的基建、生产、贸易等业务的内控制度比较完善，但针对战略性新兴产业投资、数字化转型、数据资产运营、碳资产管理等新业务，没有及时更新内控流程，存在制度空白。（三）内控执行存在“最后一公里”堵点，破窗效应明显调研显示，当前国企存在的内控缺陷中，56.2%属于运行缺陷，也就是制度有规定但没有执行到位。一是“特殊例外”原则滥用，部分企业对重点项目、紧急业务动辄启动“绿色通道”，绕开内控流程，事后补签审批材料，某建筑类央企子公司2023年排查发现的17起虚假合同问题，涉及金额3.9亿元，全部是通过“项目紧急”名义绕开招投标、合同审核流程发生的。二是内控考核权重偏低，目前地方国企内控指标在经营业绩考核中的平均权重仅为3.2%，中央企业平均为5.7%，远低于财务指标、营收指标的权重，导致业务部门“重业绩、轻内控”，甚至为了完成业绩指标故意突破内控红线。三是内控责任追究不到位，部分企业对发现的内控缺陷仅做口头提醒，没有和薪酬、任免挂钩，对违规经营造成的损失，往往以“集体决策”“改革试错”为名免于追责，导致内控制度形同虚设，“守制度的不如绕制度的”成为部分企业的潜规则。（四）数智化内控建设滞后，人工管控效率偏低审计署2023年审计数据显示，抽查的60家中央企业中，有47家存在内控信息系统碎片化问题，占比78.3%。一是数据孤岛问题突出，财务、采购、投资、人力、生产等业务系统相互独立，数据标准不统一，无法实现跨系统的自动校验，比如采购系统的供应商信息和法务系统的失信被执行人名单没有打通，曾出现某地方国企与已被列入失信名单的供应商签订5000万元采购合同的问题。二是内控规则没有嵌入业务系统，多数企业的内控审核仍然靠人工完成，不仅效率低，而且容易出现人情审核、选择性审核的问题。三是风险预警滞后，多数企业的内控检查是事后开展的，没有建立实时的风险预警模型，等到发现问题的时候损失已经造成。比如某地方商贸国企2022年发生的2.3亿元应收账款坏账，就是因为没有建立实时的客户信用预警机制，客户已经出现多起诉讼、经营异常的时候，业务部门仍然持续发货，最终形成全额损失。（五）监督协同不足，没有形成内控监督合力当前多数国企的内控监督力量分散在内审、纪检、风控、合规、财务等多个部门，存在“多头监督、重复检查、责任模糊”的问题。调研显示，国企各监督主体对同一业务领域的年度重复检查率超过40%，子企业每年要花大量精力应付不同部门的检查，但同时存在25%左右的监督盲区，比如境外子企业、新设混改企业、新兴业务单元往往成为监督薄弱环节。此外，各部门的监督结果不共享，比如内审发现的采购违规问题，纪检部门没有及时跟进排查廉洁风险，财务部门没有及时调整资金支付策略，导致问题反复出现，整改闭环不到位，同样的内控问题年年查、年年有。三、国企改革背景下内控体系建设的核心实施路径（一）将内控要求内嵌到中国特色现代企业治理全链条，筑牢内控体系的治理根基一是把党的领导固化为内控流程的刚性节点。要对“三重一大”决策事项清单做全面梳理，将党委会前置研究讨论的法定要求嵌入企业办公系统、决策系统，设置为重大决策事项发起的必经节点，明确每个节点的审核要件、责任主体、时限要求，没有经过党委会前置研究的重大事项，不得进入董事会、经理层决策流程，从系统层面杜绝“先斩后奏”。比如中交集团在数智化决策系统中设置了12类必须党委会前置的内控节点，涉及重大战略、重大投资、重要人事、大额资金等事项，未完成前置流程的决策事项无法生成上会议程，从技术层面保障了党的领导在决策环节落地。二是明确三会一层的内控权责边界。要落实董事会对内控体系建设的最终责任，在董事会审计委员会下增设内控专门工作组，负责审批内控基本制度、年度内控评价报告、重大风险应对方案，将董事内控履职情况纳入考核，对因为内控失效造成重大损失的，要依法追究董事责任；经理层作为内控执行的第一责任主体，要明确总经理为内控执行总负责人，各分管副总经理为分管领域的内控直接责任人，负责组织内控制度落地、开展日常内控检查；监事会要将内控有效性作为监督重点，定期对董事会、经理层的内控履职情况开展监督。同时要压实内控“三道防线”责任：业务部门作为第一道防线，要对本领域内控制度的执行负责，不能把内控责任全部推给职能部门；风控、合规、财务部门作为第二道防线，要负责制度建设、日常监控、风险提示；内审、纪检部门作为第三道防线，要负责监督检查、责任追究，形成权责清晰的内控责任体系。三是建立分类授权的差异化内控体系。落实国企分类改革要求，针对不同类型的子企业设置不同的内控管控强度：对商业一类充分竞争领域子企业，特别是上市平台、混改后市场化程度较高的子企业，要最大限度下放经营层面的内控权限，将管控重点聚焦在禁止违规担保、禁止关联交易输送利益、禁止国有资产流失等红线性要求上，简化日常经营事项的审批流程，提升决策效率。深圳国资委自2021年推行分类内控授权以来，下属商业一类企业的单笔5000万元以下的主业投资、1000万元以下的采购事项全部由子企业自主决策，总部仅做备案，决策效率提升47%，同时通过红线管控，近三年未发生一起重大国有资产流失问题。对商业二类功能性子企业，重点强化重大战略任务落实、重大项目投资、能源保供、安全生产等领域的内控提级管控，确保国家战略任务落地。对公益类子企业，重点强化服务质量、成本管控、价格执行、民生保障等领域的内控节点，将用户满意度、服务投诉率、成本控制水平作为核心内控指标，提升公共服务质量。（二）围绕国企改革重点任务搭建全流程内控覆盖机制，实现改革推进到哪里、内控就延伸到哪里一是聚焦国有经济布局优化和结构调整，强化重点改革领域的内控管控。在投资管理环节，建立“投前尽调、投中管控、投后评价、责任追溯”的全链条投资内控机制：投前环节将非主业投资占比管控要求（不超过10%）、投资收益率底线、风险评估结论设置为刚性审核节点，可研报告必须由独立第三方机构出具，业务、财务、法务、风控部门联合审核签字后方可上会，对境外投资还要额外增加地缘政治、汇率、法律风险的专项评估，从源头上杜绝“拍脑袋决策”；投中环节严格落实资金拨付与项目进度挂钩机制，按照项目节点分比例拨付资金，杜绝一次性全额拨付，比如某大型新能源央企将项目资金拨付比例调整为“开工30%、主体完工30%、并网验收30%、质保期满10%”后，项目资金挪用问题从原来的年均12起下降到0；投后环节建立常态化的投后评价机制，项目投产满1年、2年分别开展后评价，对实际收益率较可研目标低20%以上的项目，启动责任追溯程序。在混改环节，内控部门要全程参与混改全流程：混改前的资产清查、评估环节，通过公开招标方式选聘评估机构，评估结果在内网公示不少于7个工作日，接受职工监督，防止国有资产低估贱卖；混改中的投资者遴选环节，将投资者的资质信誉、产业协同度作为核心审核标准，不能单纯以报价高低确定投资者，防范“资本玩家”通过混改套取国有资产；混改后要理顺管控流程，既要保障中小股东的合法权益，将股东权利固化为公司治理的内控节点，也要通过财务负责人委派、资金集中管控、内部审计穿透等方式，防止内部人控制。在重组整合环节，明确要求重组企业在6个月内完成核心内控制度的统一，重点整合资金管理、采购管理、合同管理等核心流程，防范整合期的内控真空。二是聚焦市场化经营机制健全，优化内控流程的适配性。一方面要把内控约束嵌入市场化选人用人、薪酬分配全流程：在经理层任期制和契约化管理中，将分管领域内控有效性纳入契约条款，明确出现重大内控缺陷、造成国有资产损失时的扣薪、解聘条款；在市场化招聘中，将“出题、阅卷、监考、录用”分离要求嵌入招聘流程，招聘结果全程公示，纪检部门全程监督，防止萝卜招聘、人情招聘；在薪酬分配中，系统自动校验工资总额与效益联动要求、高管与职工薪酬倍数规定，确保薪酬分配符合政策要求。另一方面要建立与激励机制相匹配的内控规则，针对科技型企业股权分红激励、员工跟投等创新激励方式，明确激励对象资格审核、授予价格确定、解锁条件设置等环节的内控要求，公开公示激励名单，防止利益输送。同时要优化科研领域的内控流程，针对科研经费使用、科研设备采购等事项简化审批流程，落实科研人员经费使用自主权，只要符合预算范围、不存在违规套取资金的情况，不得设置过多审批环节，把科研人员从繁琐的流程中解放出来。三是聚焦重点风险领域，强化内控刚性约束。在资金管控领域，严格落实集团资金集中管理要求，将子企业资金集中度提升至80%以上，所有账户纳入集团资金系统实时监控，明确大额资金支付双签要求，严禁违规担保、严禁违规拆借资金、严禁设立账外账和小金库、严禁违规开展委托理财。在采购管控领域，全面推行电子化公开采购，做到“应招尽招”，将供应商入库、评标、定标、验收、付款全流程留痕，系统自动比对采购价格与行业均价，对偏离均价10%以上的采购事项自动预警。在境外经营领域，建立境外机构内控提级管控机制，境外机构大额资金支付实行境外负责人与财务总监双签字，每年由集团总部直接开展境外审计，实现境外资金、业务、人员的全流程监控。在合规管控领域，将反垄断、安全生产、生态环保、数据安全等合规要求嵌入内控节点，比如安全投入不到位的项目不得开工，核心数据访问全程留痕，数据出境必须经过严格审批，确保经营活动合法合规。（三）强化内控体系落地的支撑保障，提升内控运行实效一是加快推进数智化内控建设，实现从“人控”到“技控”的转变。首先要打破系统数据孤岛，构建统一的内控数据中台，打通财务、采购、投资、人力、生产、法务等业务系统，统一数据标准，实现数据同源、信息共享。其次要将所有内控规则嵌入业务信息系统，把原来需要人工审核的内控要求转化为系统自动校验的刚性规则，比如报销环节自动校验发票真实性、费用标准、审批流程，不符合要求的事项自动打回，从技术层面杜绝绕开流程、违规审批的问题。最后要建立实时风险预警模型，围绕资产负债率、应收账款占比、非主业投资占比、采购价格偏离度、客户信用等级等核心风险指标设置预警阈值，一旦指标触发阈值，系统自动向对应责任人发送预警信息，重大风险预警直接推送至董事会和纪检监察部门，实现风险早识别、早处置。比如国家能源集团建成的数智内控平台，嵌入了1200余项内控规则，实现90%以上的日常内控事项自动审核，风险响应时间从原来的72小时缩短至2小时，内控缺陷整改率提升至98%以上，年均通过内控预警避免和挽回损失超过30亿元。二是构建“大监督”协同机制，形成内控监督合力。整合内审、纪检监察、巡视巡察、风控合规、财务监督等各方面监督力量，建立“统一计划、统一检查、统一台账、统一整改、统一问责”的协同监督机制：每年年初由各监督部门共同会商制定年度监督计划，避免重复检查；开展监督检查时组建联合检查组，一次检查覆盖业务合规、廉洁风险、财务真实性等多维度要求；对发现的问题建立统一的整改台账，明确整改责任人、整改时限，实行销号管理；监督结果统一运用于绩效考核、干部任免、责任追究，避免“监而不督、督而不改”。同时要强化内控评价的刚性，每年开展全面的内控有效性评价，不仅排查制度设计缺陷，更要排查制度执行缺陷，评价结果与子企业、部门的绩效考核直接挂钩，对存在重大内控缺陷的单位，年度绩效考核不得评为A级。严格落实违规经营投资责任追究制度，对因为内控失效、违规决策造成国有资产损失的，按照“终身追责”的要求严肃追究相关人员责任，坚决破除“破窗效应”。三是加强内控人才队伍与文化建设。一方面要打造专业化的内控队伍，改变过去把内控部门作为“养老部门”的做法，选拔懂业务、懂财务、懂法律、懂数字化的复合型人才充实内控岗位，在各业务部门设置专职内控岗，保障内控人员的独立性，明确内控部门可以直接向董事会审计委员会汇报重大风险事项，不受经理层的不当干预。比如宝武集团明确要求各子公司内控人员占员工总数比例不低于0.8%，每年组织内控人员培训不少于40学时，近三年通过内控队伍的专业排查，累计识别重大风险127