风险管理的利器：企业内部控制的实施和完善

内部控制是衡量企业管理的重要标志。内部控制作为企业生产经营活动的自我调节和自我约束机制在企业管理系统中具有举足轻重的作用。近日，财政部“企业内部控制规范体系实施与监管”课题组通过问卷调查的方式，对我国企业内控规范体系实施现状进行了调查研究。通过问卷调查，对我国企业内控规范体系建设的现状、存在的问题有了比较充分的了解，为下一步推动内控规范体系在我国的全面实施奠定了坚实的基础。现代信息技术的应用已经渗入到企业管理和运营的方方面面，尤其是财务和会计对于信息化的依赖，决定了企业内部控制必须要和信息化的发展结合起来。以系统化的管理思想为核心的ERP在企业中的实施，对于内控的建设和完善是个很好的机遇。“历史”是本最好的教科书——基于企业内部控制的历程回顾历史学家汤恩比说过：“一个国家乃至一个民族，其衰亡是从内部开始的，外部力量不过是其衰亡前的最后一击。”企业何尝不是如此。内部控制是衡量企业管理的重要标志。内部控制作为企业生产经营活动的自我调节和自我约束机制在企业管理系统中具有举足轻重的作用。现在很多企业在内控建设方面仅仅是为了贯彻上级主管部门的要求或者监察，而不是从企业自身的需求和风险管理的需要去做内控。回顾内控的历程，不是简单地重复，而是从企业内控的建设初衷出发，更好的警醒企业在内部控制建设上的短视或不足。下面，我们用时间轴的方式对美国和中国企业内部控制的历史进行详细的梳理(见图1和图2)。一、美国企业内部控制及风险管理发展历程(图1)萨班斯法案自2002年7月通过并实施至今，恰好十年。这十年中，无论是美国企业还是其他国家的企业，在内部控制及风险管理方面都有了长足的进步。萨班斯法案为公众公司的外部审计师创建了一个新的监督体制，并把对财务报告的内部控制作为关注的具体内容，不仅要求管理层报告公司对财务报告的内部控制，而且要求外部审计师证实管理层报告的准确性。美国企业界普遍认为，《萨班斯法案》是自20世纪30年代通过证券法案以来，对美国商界和会计界影响最为巨大的一次立法。《萨班斯法案》完善了现行美国法规在处理虚假财务报表、虚假财务审计、销毁财务证据等方面的漏洞。二、中国企业内部控制及风险管理发展历程(图2)2008年6月财政部、证监会、审计署、银监会、保监会五部门联合发布的《企业内部控制基本规范》要求企业建立内部控制体系时应符合以下目标：(1)合理保证企业经营管理合法合规；(2)资产安全；(3)财务报告及相关信息真实完整；(4)提高经营效率和效果；(5)促进企业实现发展战略。内控规范借鉴了以美国COSO报告为代表的国际内部控制框架，并结合中国国情，要求企业所建立与实施的内部控制，应当包括下列五个要素：(1)内部环境；(2)风险评估；(3)控制活动；(4)信息与沟通；(5)内部监督。2010年4月财政部、证监会、审计署、银监会、保监会等五部委联合发布的《企业内部控制配套指引》包括18项《企业内部控制应用指引》、《企业内部控制评价指引》和《企业内部控制审计指引》如表1。表1 《企业内部控制配套指引》《企业内部控制应用指引》针对组织结构、发展战略、人力资源、社会责任、企业文化、资金活动、采购业务、资产管理、销售业务、研究与开发、工程项目、担保业务、业务外包、财务报告、全面预算、合同管理、内部信息传递、信息系统共18项企业主要业务的内控领域或内控手段，提出了建议性的应用指引，为企业以及外部审核人，建立与评价内控体系提供了参照性标准。《企业内部控制评价指引》为企业对内部控制的有效性进行全面评价，形成评价结论、出具评价报告提供指引。该评价指引明确内部控制评价应围绕内部环境、风险评估、控制活动、信息与沟通、内部监督等要素，企业应当确定评价的具体内容及对内部控制设计与运行情况进行全面评价。同时，指引中对内部控制评价的内容、程序、缺陷的认定、评价报告、工作底稿要求、评估基准日等方面作出了规定。《企业内部控制审计指引》为会计师事务所对特定基准日与财务报告相关内部控制设计与执行有效性进行审计提供指引。它明确注册会计师应对财务报告内部控制的有效性发表审计
意见，并对内部控制审计过程中注意到的非财务报告内部控制的重大缺陷予以披露。同时，就审计计划工作、审计实施、如何评价控制缺陷、审计期后事项、审计报告内容和方法以及审计工作底稿作出了规定。我国企业内部控制规范体系实施情况分析——基于财政部“企业内部控制规范体系实施与监管”课题组的问卷调查自2008年财政部等五部委联合制定下发《企业内部控制基本规范》以来，到2010年五部委又联合下发《企业内部控制配套指引》，至今企业内部控制的建设和实施已历时4年，近日，财政部通过问卷调查的方式，对于企业内控建设和实施情况进行了详细的调查，本文对该调查报告的分析结论做了节选解读，对相关企业内部控制的工作应该会有指导意义。为及时全面了解我国企业内控建设的现状，分析内控规范体系在实施过程中存在的问题，近日，财政部“企业内部控制规范体系实施与监管”课题组通过问卷调查的方式，对我国企业内控规范体系实施现状进行了调查研究。通过问卷调查，对我国企业内控规范体系建设的现状、存在的问题有了比较充分的了解，为下一步推动内控规范体系在我国的全面实施奠定了坚实的基础。本次问卷调查在全国范围内展开，调查对象主要针对企业内部控制部门负责人、财务总监(或总会计师)、董事会秘书、总经理以及董事长。共收回问卷1100份，剔除信息不详、资料不完整的问卷287份，最终得到有效问卷813份，样本有效率73.91%。调查样本保持了在公司性质、规模、行业等方面的广泛分布。从行业分布来看，制造企业占比最大为46%，电力行业、综合类企业、交通运输企业、批发和零售贸易业居前。具体行业比重见表1。问卷中很多项目的设计均用数值表示调查对象对此项目的态度，如对内部控制规范体系的熟悉和了解程度，设置了0、1、2、3、4、5六档数值，5表示调查对象对内部控制规范体系完全熟悉，0表示调查对象对内部控制规范体系完全不熟悉，即回答的数值越高表示熟悉和了解的程度越高。因此在下面的分析中，对很多项目的分析评价将用数值表示。一、企业对内部控制的认知、宣传、培训情况(分析)(一)从对内部控制规范体系的熟悉和了解情况看，企业平均得分为3.45，股份制企业平均分为3.54，上市企业平均分为3.63，表明企业对于内部控制规范体系的熟悉和了解程度还比较高，上市企业的熟悉程度更高一点，这与财政部等五部委2008年发布的《企业内部控制基本规范》有关，即要求《企业内部控制基本规范》首先在上市公司范围内施行。(二)从对内部控制规范体系的了解渠道来看，以主管部门下达的文件和公司组织的培训为主，考虑到我国特殊的制度背景，政府在内控的推动实施中扮演着重要的角色，这一点不难理解。(三)从公司实施内控规范体系的原因和动机来看，选择促进企业目标实现的达71.96%，远高于国家强制规定、境内外资本市场要求等原因，可见企业推行实施内控规范体系主要目的还是为了提升企业应对风险的能力，进而促进企业目标实现。详见表2。二、内部控制规范体系实施情况及组织情况(分析)(一)在所获取的813个样本中，有735家企业按照要求实施了内部控制规范体系，占90.41%，这可能与中央政府以及地方政府的强制推动有关。有约87.5%的企业制定了内部控制实施计划，上市公司的制定率为92%，说明内部控制规范体系的执行情况比较好，特别是上市公司的执行情况更好一些。(二)在企业内部控制制度的建设方面，企业得分均值为3.61，上市公司均值为3.78，说明上市公司在内部控制制度的建设方面较为领先；从行业分布来看，金融行业制度建设情况最好，这与金融行业的内部控制制度与风险管理制度的建设早、要求严都有很大的关系。见表3。(三)关于企业内控归口部门，比较集中的是财务部，值得注意的是在其他类中，填写审计部及负责审计职能的如内审考核部、稽核部的企业也很多，约有107个。因此，审计部门被认为是除财务部以外的第二大内控归口部门。另一方面也表明现在企业中还较少成立专门的内控部门或者风险管理部门。从上述企业的牵头部门可看出：一些企业的内控以“财务内控”为主体，而一些风险管理水平较高的企业(如金融企业和一些开展了全面风险管理的央企)则表现出以“合规内控/风险内控”为侧重点的特征。此外，在深度分析时发现，一些行业合规性监管要求较高和风险管理水平较高的企业，其内部控制呈“全面管理内控”的特征；反之，若仅仅是为了满足资本市场的监管要求的企业(尤其是上市公司)则以“财务内控”为主，这一点也正好印合了证监会于2010年12月31日发布的[2010]37号公告，即要求上市公司在2010年年报中披露财务报告内部控制相关信息。(四)在组织实施情况方面，从整体上看，企业倾向于内部成立专门的部门或者成立内控团队来执行基本规范。但上市公司则倾向于由外部顾问团队以及内设内部控制部门的方式进行建设，究其原因，我们认为这与上市公司考虑到未来内控评价报告的披露有关，他们为了将来能顺利通过内控审计，在内控建设上希望获得更多的外部支持以确保顺利过关。顾问团队的选择上，也体现了这一特点，从整体看，企业更多地将国内事务所作为首选项，而上市公司则将四大作为首选，这也表明上市公司首先考虑到内控审计的通过。三、对内控规范体系的设计和适用情况的评价(分析)2010年建成的内部控制规范体系被认为融合了国际经验，并结合了中国实际，企业也积极推动实施，那么内控规范体系的设计是否合理呢？在多大程度上适用于公司呢？调查结果显示，企业对内控规范体系设计的合理性、全面性和理解性评分较高，但对其可操作性和适应程度评分较低，这表明制度本身较易理解，但如何执行，使《基本规范》更具操作性，提高适用度则是监管部门在下一阶段需要着重解决的问题。见表4。四、内控规范体系实施情况评价(分析)(一)总体分析。从执行的效果来看，按照一级指标，实施前五项要素(内部控制环境、风险评估、控制活动、信息与沟通、内部监督)之和的平均值为15.75，实施后平均值为19.15；二级指标和的均值实施前为199.43，实施后为235.19，均显示出内部控制规范体系实施前后有明显的变化。见表5。(根据企业内部控制基本规范的五大要素和具体细则，问卷制定了包括内部环境、风险评估、控制活动、信息沟通和内部监督在内的五大一级指标以及下设61个二级指标，每个指标0-5分，一级指标总分25分，二级指标总分305分。)(二)分项分析从各分项看，内部控制规范体系对内控环境、风险识别等因素影响程度较大，对信息交流与沟通因素影响较小。见表6。内控环境、风险控制、控制活动、信息与沟通以及内部监督在实施前后均有明显变化，总体提升都比较明显，并且从分布上看上市公司得分较高，说明上市公司在内部控制制度的建设方面较为领先，非上市企业在内控方面相对比较薄弱。在行业分布上，金融行业得分较高，这与其关注风险管理、内控建设起步较早有关。对五大要素的二级指标进行分析：关于内控环境，从因子的迁徙情况来看，实施后企业更关心管理层是否积极管理风险和认知度，以及管理层是否有这样的能力，而变化最大的分项则说明实施的关键是否责任明确，建议规范明确管理者在内控管理中的责任；关于风险控制，就因子情况来看，风险评估中最关心的问题是目标实现的关键因素以及目标设定的先进性和合理性；关于控制活动，从因子指标来看政策与程序的变化程度相当，二级指标第一第二位也未发生变化，表明企业在内控措施方面仍然重视日常财务以及解决运营问题，只是在考虑层面上更为具体；关于信息与沟通，从因子迁徙情况看，前后变化并不明显；关于内部监督，从因子迁徙上看，三大因素没有发生变化，只是操作层面更为重视如何进行内部监督。综合分析五个方面，从整体因子的迁徙情况看，在《基本规范》及其配套指引实施后，企业逐步从概念层转入关注实际操作和运行层面，更关注在实际工作中的作用。如何出台相应的指导意见指导企业具体执行就显得尤为重要。五、内控规范体系实施效果评价(分析)调查显示，目前《基本规范》及配套指引的有效程度为3.73，表明该规范及其配套指引得到了企业的认可，总体有效程度较高，从内控五个目标来看，情况各异，财务真实、合法合规、资产安全成为最具保证程度的目标，其次是实现战略的保证程度，同时也显示规范对企业经营效率效果的保证程度最低。值得引起注意的是，内部控制规范体系在保证财务报告真实可靠目标方面的得分在以下三个分类中均得分最高，这也一定程度上印证了财务报告内部控制的有效性是监管机构要求的最低目标，在一定程度上显示出政府监管的有效性。见表7。六、企业内部控制自我评价、外部审计情况(分析)内控规范体系要求企业对内部控制进行自我评价，并经外部审计机构审计。这一要求对于明确企业董事会和管理层的责任，保证内部控制的有效性，保护外部投资者的利益具有重要的作用。(一)从是否设置内部控制自我评价机构来看，设置了内部控制自我评价机构的有569家，占比70%；没有设置内部控制自我评价机构的有191家，占比约23%；不清楚是否设置了内部控制自我评价机构的有53个回答者，占比7%。(二)在是否制定内部控制自我评价这一项上，有602家企业制定了内部控制自我评价办法，占比约74%；170家企业并未制定内部控制自我评价办法，占比约21%；另外还有41个回答者表示并不清楚，占比约5%。(三)对于控制过程中发现的内部控制缺陷应该及时进行报告，以便及时发现问题进行整改。调查显示约有86%的企业及时发现内控缺陷并上报，7%的企业没有做到这一点，另外7%的回答者则表示并不清楚。(四)在内控评价报告是否报经外部审计师审计这一项，有391家企业回答“是”，占比48%；有356家企业回答“否”，占比44%；还有66个回答者表示并不清楚，占比8%。前面统计上市企业有336家，可见许多企业已经开始主动将内部控制自我评价报告提交外部审计师审计。(五)在内部控制自我评价报告和审计报告是否对外披露这个问题上，有394家企业选择“是”，占比约48%；有350家企业选择“否”，占比约43%；还有约9%的回答者表示不清楚。上市企业336家，均强制要求披露内部控制自我评价报告和审计报告，调查显示有394家企业回答“是”，表明有一部分企业已经主动进行内控自我评价并经外部审计，且均在年度报告中有所披露。七、企业内部控制缺陷认定情况(分析)对于当前内控规范体系实施存在的障碍，调查表明存在的问题是缺乏熟悉内部控制的专业技术人才、内部控制缺陷认定标准存在难度等。见表8。对于内部控制缺陷的认定这一问题，能够明确提出缺陷标准的企业只有47家，占总数的5.8%，大部分企业未明确回答缺陷标准。在回答较好的当中仍以财务缺陷为主，且相对清晰，其他标准均为定性判断角度，显示在缺陷标准认定环节，国内企业仍需加强。有关内控缺陷的认定标准可以归纳为以下几个方面：(1)财务因素：通过对财务的影响及错报情况来确定。例如：资产总额潜在错漏大于资产总额的0.5%或1100万元且小于资产总额的1%或2200万元。收入潜在错漏大于收入总额的0.5或330万元且小于收入总额的1%或660万元费用及支出潜在错漏大于费用及支出总额的0.5%或230万元且小于费用及支出总额的1%或460万元。(2)风险因素：通过风险评价进行判定。例如，通过对风险因素发生的可能性，结合风险影响程度和发生的可能性形成风险矩阵，将因风险因素形成的高、中、低影响与重大缺陷、重要缺陷和一般缺陷进行链接，制定内控风险评估标准。(3)目标偏移度：从导致企业无法及时防范或发现偏离整体控制目标的程度进行判断。例如对存在问题不采取行动、有一定的可能性导致较大范围的目标偏离，认定为重要缺陷。上面的调查显示出，中国企业内控规范体系建设正在向国际标准靠拢；强化内部控制已成为企业经营管理的重要组成部分和提升公司治理水平的制度建设，同时也显示出政府监管部门对于企业内控和风险管理在监督方面的重视。但是，企业内部控制不仅要满足政府监管机构的监管要求，企业更要从自身的需求出发，真正地意识到内控的建设和实施是企业风险控制目前最有效的举措，通过内部控制规范的建设和实施提升企业自身风险管理的水平，增强风险防范能力，实现企业价值增值。尤其是在当前世界经济复苏缓慢、欧债危机解除无望、中国经济增长缓慢、企业经营困难重重、企业腐败事件频发的背景下，企业风险控制就显得尤为重要。企业内部控制失败案例无论是成功的公司还是失败的企业，可以相信：成功的企业、内部控制有效的企业，其“秘诀”是共同的；而失败的企业，尽管各有各的不幸，但有一点也是共同的，那就是内部控制失效。对任何企业来说，再完美的制度，如果得不到严格执行，就是一种摆设。企业内部控制中的信息化建设和政府监管部门的作用一、当前企业内部控制手段的局限性和信息化手段的运用由于受技术条件的限制，目前我国大多数企业主要通过人工操作、现场检查等手段实施内控，极大地阻碍了企业内控目标的实现。随着市场经济的发展和企业环境的变化，仅仅依靠传统的手段无法满足内控的要求，也难以应对企业面临的市场风险。同时，企业各部门之间的内控要求也有待于进一步协调，以便为内部控制自我评估和外部评价提供统一标准，这也迫切需要控制手段的现代化。当前企业中落后的控制手段不能够适应日益复杂的控制环境和控制程序，主要体现在以下三个方面：(1)难以实施全业务范围的内部控制。有内控制度的企业很多，但全面范围实施的却不多，一般都只局限于部分业务范围比如物资管理系统或财务系统，而且各系统平台之间彼此分离、各自为政，信息和数据无法共享，资源重复建设，造成浪费。(2)实施全业务过程的内部控制难度很大。传统的内控制度一般只重点事中控制和事后控制，而忽视事前控制。因为许多业务过程时间漫长，没有计算机信息系统辅助，事前控制无法与事中、事后控制配合发挥应有作用。(3)受人员的素质影响大。现代企业提倡“以人为本”、“人性化管理”等管理理念，因此在制度的制订和执行过程中不能忽视人性的弱点。而通过人工进行内控难以完全逾越人情障碍。在对关键环节的控制中，难免发生由于控制人“抹不开面子”、“躲不开人情”而丧失原则的情况。同时，员工在执行内控过程中，也易受熟悉程度、心理压力、责任心等因素的影响而发生错误或疏漏。(4)内部控制效率低下。现代企业的经营环境复杂，经营内容广泛，地理分布辽阔，在相互牵制、相互核对以及检查监督等重要内控措施的实施过程中，有大量的信息提取、传输和校验等工作要做。如果采用传统手段，不仅速度慢，多费周折，而且管理人员在控制点上容易对具体细则产生模糊，如要通过直观判断进行确认比较困难，容易造成审批时间长，效率低下，即使有错误的审批也一时难以发现。现代信息技术的应用已经渗入到企业管理和运营的方方面面，尤其是财务和会计对于信息化的依赖，决定了企业内部控制必须要和信息化的发展结合起来。以系统化的管理思想为核心的企业资源计划(Enterprise Resource Planning)(以下简称“ERP”)在企业中的实施，对于内控的建设和完善是个很好的机遇，通过ERP系统，企业可以在内控方面提高控制效率，加强控制效果，促进内控工作的顺利开展。利用ERP系统实施内控，其优势在于：(1)利用ERP系统可全业务范围实施内控。ERP系统是企业经营活动的全业务范围的集成系统，它在企业资源最优化配置的前提下，整合企业内部主要或所有的经营活动，包括财务、资产、项目、生产维护、采购、物料、人力资源等等，达成了高效化的经营。ERP系统是一个具有比较完整的实施内控的平台，其控制范围与颁布实施的《企业内部控制基本规范》的控制范围基本一致。利用ERP系统可以对企业经营管理的各个环节采取措施，实现对人、财、物的全面控制，从而避免了企业要利用多个平台才能实施内控的不足。(2)利用ERP系统可全业务过程实施内控。ERP系统还是一个业务全过程控制的平台。业务发生前，预算控制将企业的整体目标中分解为具体的控制项目和明确的控制标准，并落实到相应的责任单位或责任人；授权控制，根据企业的组织结构及员工的岗位责任，设置每个员工对系统的操作权限以及对信息的查询范围。系统将保证企业的各项业务活动均是由被批准或被授权的员工执行。业务发生时，业务操作控制自动拒绝不符合规范的操作步骤，并将实际情况与预算目标进行比较，对不符合目标的业务操作进行否决或提请授权机构决策。业务发生后，数据分析控制可自动核对内部外部数据的发生额及余额是否符合指定的逻辑关系，并把异常情况及时提交给相关的监控部门，可定期将企业的实际绩效与计划目标相比较，分析各项具体工作的进展情况及其变动趋势是否符合要求；风险评估控制可定期搜集相关数据，根据风险模型，评价企业面临的风险状况，生成风险评估报告。(3)利用ERP系统可以弥补人工控制的缺陷。一方面，通过计算机和网络进行信息处理和传输工作，可以极大地提高工作效率；另一方面，通过软件系统实施控制，可以克服人为因素的干扰，做到一丝不苟、铁面无私。同时，由于系统能够留下每次操作的痕迹，借此还可以对内控管理人员实施再监督。(4)利用ERP系统实施内控高效快捷。ERP系统构建的统一的平台，为内控数据的提取、传输和校验等工作提供了方便，提高了工作效率。统一的操作流程和量化的控制目标，让管理人员在控制点上判断客观直接，可操作性加强。整个操作流程公开公平，有错误或舞弊也能一目了然，并有据可查。利用ERP系统进行企业内部控制管理有利有弊，但总体而言，相对于传统人工控制优势明显，将对内部控制产生广泛而深远的影响，是企业内部控制进一步完善的标志。企业在应用这一系统的过程中，应该注意权衡上述各项利弊得失，根据环境条件的变化对ERP系统适时进行调整，使其成为企业规范管理、健康成长的有力保障。二、政府监管部门在企业内部控制实施中应发挥的作用第二章中提到的财政部近日对我国企业内控规范体系实施现状进行了调查研究，该调查显示，实施内控规范体系的企业希望财政、证监等部门在以下方面能够发挥更积极的作用。(1)加强宣传，普及教育推广，强化风险防范和责任意识，为全面贯彻实施企业内部控制规范体系营造良好的环境基础；(2)加强内控业务培训，切实提高人员技能素质，重点培训企业高级管理人员和相关监管部门的工作人员，并将内控规范培训纳入会计人员继续教育内容；(3)考虑到内控人员的职业发展，建议在全国推出资格认证，并提供考试和培训；(4)完善企业内控规范体系实施前的各项准备工作，协调好内控规范体系与其他法规制度的一致性，为拟执行内控规范体系的企业提供可靠有力的保证，确保内控规范体系的实施工作平稳、有序、顺利进行；(5)分行业制定详细的内部控制操作手册，将典型案例研究作为操作指南向企业内部推广；通过个性化的代表案例分析，分析成功企业内部控制与经营成果之间的必然联系；同时在案例选取方面应当是多种所有制结构的，包括国有、民营、外资等；(6)推进企业信息化建设，促进企业自我完善和监督：积极引导并加强企业对自身内部控制有效运行的自我完善与监督，特别是要加强引导企业信息系统建设工作，将企业的内部控制建设与监管工作建立在良好的信息系统基础之上，同时加强并促进企业内部控制文化建设，营造内部控制实施并有效运行的良好氛围，保证内部控制监管体系深入到企业的每一个方面；(7)规范中介机构管理，要加强对企业和会计师事务所执行内部控制规范体系的监督检查力度，对违反内部控制规范要求的单位和个人依法严肃处理；加强对相关中介机构的监管，严格执业认定，完善专业培训，提高质量管理，积极发挥其内控鉴证业务的质量和公允性；(8)要加强部门沟通，协调监管政策，规范监管口径，形成监管合力，提高监管效能；(9)加大违法处罚力度，提高企业内控的违规成本，强化企业内部控制；(10)推进企业内部控制规范国际交流与合作，争取在内部控制建设所依据的规范、内部控制审计所遵循的准则及注册会计师相关业务监管要求等方面，建立互认机制，切实降低中国企业境外融资成本。此外，企业内控体系建设也应当考虑几个层面的问题，即国家大法的要求、行政法规的要求、行业协会的示范作用和企业自身特点的要求，企业内控环境建设应考虑到外部治理环境和内部治理要求。在外部环境方面，主要是政府法规、市场监管、外部力量对公司的约束机制。在这个环节中科学干预、依法干预、适度干预的理念和原则应当体现在政府监管措施中；在市场之利方面，成熟的市场机制，包括对企业管理者行为的约束，职业经理人的制度建设、运行机制等方面应进一步地健全和完善；在外部力量方面，公众监督、新闻披露和司法力量是促进公司保持良好治理的重要力量。通过新闻媒体积极宣传公司良好治理的典型案例，有利于从精神层面上推动企业内控文化建设。而司法介入也将作为一个独立的第三方权威机构解决公司制度建设方面遇到的纠纷与问题。在内部治理方面，内控体系建设应到要考虑到现代公司治理的核心制衡问题，公司高管的利益最大化与股东利益的最大化仅仅依靠各方的约束远远不够，制衡与激励是公司治理与企业内控制度建设需要考虑的重要问题，企业内部控制体系是企业内部管理制度的整合，包括财务管理、资金管理、人力资源管理、项目管理、子公司管理、生产管理和风险控制等等。有效的公司治理结构需要良好的内部控制体系作保障，如果忽视公司自身的内部控制机制，再好的公司治理结构也只能流于形式。