管理控制在企业中的应用

顾沁蓝

随着企业外部环境的复杂性和多变性不断增强，管理控制作为一种企业内部管理职能在国际各大企业中担当起日益重要的角色。反观中国，大多数的企业往往因为企业结构不够完善、经营理念不够成熟、社会文化难以接轨，未能将管理控制的思想落实到企业管理实务的应用中，使得企业在经营活动过程中偏离目标而难以及时纠正，企业运营缺乏效率和成果。文章通过厘清管理控制的核心观点，并比较其在两种模型下的框架，以作为借鉴，使管理控制成为我国企业经济管理的有效工具。

一、管理控制概念的厘清

（一）管理控制的定义

当今西方学界主要认为有两种解释：广义的管理控制即通过对组织流程、组织行为和人力资源的控制来确保员工能够实现组织目标的方法和手段。而狭义的管理控制则是由确定标准、评价业绩、纠正偏差构成的一种信息反馈系统 。本文以广义概念为讨论背景，认为其在企业实务中的职能，主要表现为在确立目标定位、计划编制和报告反馈的基础上加以协调和控制，使得战略、财务和组织流程富有经济效率。基于此，管理控制在企业管理实务中所负责的内容有：预算、运营计划编制和监控、战略计划编制和监控、内部报表、投资管理控制、成本核算、管理咨询等。

（二）与财务管理的关系

在现代企业管理中管理控制较为宏观，包括人力资源、生产、资金等多种管理控制活动，保证企业整体经营活动的有效性，而财务管理是通过对资金的管理让企业在财务活动上实现利益最大化。由于两者的包含关系，在管理对象和实施办法上管理控制相较于财务管理也更为宽泛。管理控制的职能是管理者对于企业的整体经营活动进行监督与控制，可以通过货币计量和评估报告相结合的手段进行管理。而財务管理的职能是仅面向于企业财务活动的预算、核算、投资等进行管理，主要是以会计信息系统为手段。

（三）与风险管理的关系

管理控制与风险管理都以实现战略目标为立足点，同时也具有共同的控制活动。但两者在具体目标和实现方式上具有显著差异。管理控制的目标是控制如何落实战略的过程，它是以业绩目标为导向来引导员工有效执行任务。而风险管理是将影响既定目标达成的风险控制在可接受水平之内，是通过减少控制薄弱环节来尽可能降低风险对于目标达成的损害。可以说，管理控制是对企业施加积极作用力以促进其实现战略，而风险管理是通过减少企业内外部的消极作用力以保证其实现战略。

二、管理控制理念在两种框架下的运用

（一）COSO模型

由于目前在实务中大多数美国上市企业及在美国开展业务的国际企业在所披露的报告中仍然遵循2013年COSO （The Committee of Sponsoring Organizations of the Treadway Commission）发布的《内部控制整合框架》进行企业内部管理控制，因此将其作为本文探讨的模型。这一内部控制框架面对五大要素提出了17项基本原则，并给出了具体的规范和指导，使企业在实务中更易执行和操作。在控制环境方面，对公司组织结构和权责分配进行严格的规定，同时要求具有独立性的审计委员会对企业内部的管理控制负责;在风险评估方面，同时对经营风险、财务风险与企业总风险进行识别和应对，并强调要将风险降到可接受的水平以下;在控制活动方面，企业通常以风险评估的结果为基础，运用规章制度和信息系统对企业的预算、财产保护、运营和绩效进行预防的事前控制或及时的事后控制;在信息与沟通方面，要求信息具有及时性、可靠性和合规性，并认为反映企业经营管理的非财务信息也应在报告中进行披露;在监督方面，要求企业进行持续监控活动和内部审计，同时确认了外部监管主体在内控监督中的角色 。

（二）GRC模型

GRC（integrated governance，risk management and compliance model）是由SAP率先提出并由内部控制管理的体系，企业通过建立完整的公司治理结构、识别并设计受法规影响的流程、识别及评估风险、设计并实施内部控制系统、监督并改进内部控制系统有效性等工作使得企业满足内部和外部的法定要求和标准 。同样地，该模型以设定的战略计划为指引，以企业风险偏好为前提，将企业内部管理控制活动分解为公司治理、风险管理和合规活动，并构建了三道防线以明确企业在每条防线内的管理控制任务。同时，在此模型下衍生出了各类GRC系统以支持企业内部运营和管理控制，SAP、普华永道和德勤等咨询部门都在此模型上提供了成熟的实施方案和软件应用，为企业实务提供了更多可能性。

三、管理控制理念在我国企业中的运用

在我国，所有上市公司所披露的内部管理控制报告都是依据《企业内部控制基本规范》进行描述的，主要由控制范围、评价工作依据及内部控制缺陷认定标准、控制缺陷认定及整改情况的适用与否构成。但整个企业管理控制体系的逻辑和实际控制标准与流程难以体现，难免流于形式。上市公司已然如此，其他中小企业的内部管理控制更是难以落实。明显地，中国企业在内部管理控制实务中存在以下问题。

（一）缺乏统一的控制评价系统

在实际执行中，《企业内部控制基本规范》对于企业缺乏有效的指引，各企业纳入评价的范围不尽相同，遵循的评价标准并不统一，无论是定量指标还是定性指标的认定，企业都有较大的自主选择的空间和自由解释的余地。因此，对内来说不能有效服务于企业管理层有效实施和持续改进内部控制，对外来说对于企业间内部控制系统的有效性无法进行分析比较。

（二）缺乏与企业战略接轨的控制系统

国内现有的企业内部控制体系往往是基于会计系统构建的，管理控制的逻辑是从会计工作出发，再到业务流程的监控，主要是在运营活动上实施。然而建立内部控制体系的关键在于如何让管理控制从企业活动中创造价值，使得企业的管理控制制度作为综合战略的一部分与之相互依存。仅仅从业务运营出发的财务管理与公司战略是不适应的，这样的内部控制只是一种公式化的流程。

（三）缺乏有效的执行主体

在绝大多数德国企业中都设有独立的管理控制部门，在其中工作的管理控制师担负信息供给者、计划编制者以及监控者的多重职责。而在美国企业内部则建立了以外部监督为主的监事会制度和独立的审计委员会，利用审计机构和投资者作为强有力的监督主体来规范公司运作。而在中国企业内部通常仅仅依靠内部審计和财务控制部门进行财务活动上的管理控制，而对于企业战略和运营上的控制则主要依赖于管理层进行简单决策，这同时也是上文提到的管理控制系统脱节的表现。

针对以上问题，基于之前分析的COSO模型和GRC模型，笔者对完善我国企业内部管理控制系统提出以下建议：

第一，重塑管理控制逻辑。《企业内部控制基本规范》主要是在借鉴COSO模型的基础上，结合我国国情进行适当修改完善后形成的。然而COSO 模型本身存在着五要素并行且难以划分的问题，其具体细则又无法一一对应中国企业的经营规则进行实施，因此有学者提出重构内部控制要素框架，将内部环境作为第一层次，将内部控制实施的过程作为第二层次。第二层次保留风险评估、控制活动和内部监督，形成“依据—行为—反馈”的闭环。最后，将信息系统构建作为内部控制运行的基础，将其并入内部环境，而将其他信息和沟通的内容按其发生环节并入其他要素。

第二，完善规章制度指引。《企业内部控制基本规范》只对中国企业建立内部管理控制制度的基本原则、目标、及18个主要控制内容进行了一般性规定，而对于各个内容具体的评估指标和认定标准缺乏统一的界定。因此，为了使得各企业在进行管理控制体系建设和内控制度披露时有据可依，政府应细化对于企业内部控制制度的要求并尽可能地定量化其评价标准。在统一明确的制度地指引下，企业才能够通过建立健全并持续改进内部控制制度及评价体系，合理规避经营风险，保证资产安全，提高经营效率和效果。

第三，加强企业部门建设和信息化建设。在企业实务中，可以引入借鉴整合的GRC模型，建立GRC管理的流程和机制。这给予了中国企业两条思路，一是建立相关部门与业务运营进行同步协调由于涉及到公司各个部门，只有建立明确的工作协调机制，才能确保各项工作的有序、高效开展。二是提高信息化水平，当今社会信息系统支持的支持对企业内部管理控制体系的建立至关重要。如果企业在管理中能够运用好GRC系统的解决方案，不仅能提升管理控制工作的效率，也能降低随之产生的成本。

四、结语

身处中国市场而面向全球经济，无论是上市公司或是中小型企业，都必须面临如何有效进行企业管理的挑战。然而，如果没有统一的综合治理观念来指导管理控制实务，企业就无法有效监控运营合规性和经营风险，也无法调整业务流程以满足不断变化的市场趋势和政府监管要求，更无法有效实现企业战略。因此，对于政府来说应该积极修缮法律制度以引导企业成功“转型”，而对于企业来说则应该将重心放在更新管理理念并且优化管理控制的手段，以更好地促进企业稳定持续发展。

参考文献：

[1]何淼.基于COSO框架的企业内部控制建设探究[J].企业改革与管理，2018（17）：37-38.

[2]赵彬.如何借助IT提升GRC管理能力[N].中国计算机报，2016-10-17（006）.

[3]张巧良，宋颖超，李艳.基于GRC整合视角的企业综合防御系统框架的构建[J].南京审计学院学报，2008（03）：33-36.

[4]杜栋.管理控制[M].北京：清华大学出版社，2006：97-104.

[5]罗伯特·安东尼.维杰伊·戈文达拉杨.管理控制系统（第12版）[M].人民邮电出版社，2014：48-49.

[6]黄静.COSO内部控制框架演进发展研究[J].审计月刊，2018（04）：38-40.

[7]乌茨·舍费尔，吴煜婷，于悦.德国企业管理控制师的计划编制和监控职能[J].会计之友，2013（06）：4-8.

[8]宋建波，苏子豪，王德宏.中国特色内部控制规范体系建设的思考[J].会计研究，2018（09）：11-16.

（作者单位：同济大学）