第3章　内部控制的实施过程

【篇首语】

从宏观角度来看，内部控制的实施过程包括内部控制制度的设计、执行与评价。本章侧重介绍内部控制制度的设计，内部控制制度的执行与评价将会在其他章节予以阐述。良好的内部控制制度设计是企业成功实施内部控制的基本前提。企业在设计内部控制制度时，首要任务是明确内部控制实施的主体，确立内部控制建立和实施的原则；在具体的设计过程中，企业应确保内控制度的完整性和完善性，即保证为实现控制目标所必需的内部控制程序都存在并且设计恰当，从而为控制目标的最终实现提供合理保证。

中国石油天然气股份有限公司（简称“中国石油”）作为最早在美上市的中国大型企业之一，在执行《萨班斯法案》404条款第一年即以零缺陷通过内控审计。鉴于中国石油所构建的内控制度已经十分成熟并得到实践检验，本章在介绍内控制度设计的案例安排中，主要参考中国石油的成功经验，以期为处于内控制度建设初级阶段的广大企业提供有益借鉴。

【引导案例】

光大证券“乌龙指”的内控之殇21

2013年8月16日11点05分，多只权重股瞬间出现巨额买单。大批权重股瞬间被一两个大单拉升之后，又跟着涌现出大批巨额买单，带动了整个股指和其他股票的上涨，以致多达59只权重股瞬间封涨停。指数的第一波拉升主要发生在11点05分和11点08分之间，然后出现阶段性的回落。11点15分起，上证指数开始第二波拉升，这一次最高达到2198点，在11点30分收盘时收于2149点。11点29分，有媒体发布消息：“今天上午的A股暴涨，源于光大证券自营盘70亿元的乌龙指”。这就是著名的光大证券“乌龙指”事件。光大证券8月18日发布公告称，当日盯市损失约为1.94亿元人民币。之后在9月2日的公告中披露受到证监会的相应处罚：没收公司ETF相关内幕交易违法所得13070806.63元，并处以违法所得5倍的罚款；没收公司股指期货内幕交易违法所得74143471.45元，并处以违法所得5倍的罚款。上述两项罚没款共计523285668.48元。光大证券“乌龙指”事件看似一个偶然事件，其实存在必然性。事件所折射出的光大证券内部控制制度缺陷是主要原因。

一方面，光大证券的内控体系没有嵌入业务系统。从表面上看，错单爆发点属于几个简单的程序错误；但实际上，这暴露出的问题是，光大证券的内控部门与业务部门的匹配度过低，业务与内控各成独立系统，内控制度缺乏与业务系统的“嵌入性”，没有真正实现内控系统对业务的实时控制，使得内控体系不能完全发挥抵御风险的作用。

另一方面，光大证券的交易系统存在重大缺陷。券商的具体业务涉及资金量大，对操作水平、操作精确度、信息系统安全等方面的要求较高，但在券商的实际管理工作中，相对于投资决策的高技术含量和对业务人才高素质水平的要求，其实际业务执行与操作人员的水平较低。

另外，实际业务的操作时点强，基本都要求立刻执行，容易产生操作风险。因此，操作风险本身就应该作为光大证券的关键风险管控，其实际控制水平显然存在缺陷，无论是交易审核还是IT系统，都存在不足。

以上问题主要反映出光大证券在业务流程梳理和风险控制设计等方面的不足，甚至缺失，而它们恰恰就是内部控制制度设计中的重要步骤。那么内控制度的设计都包括哪几个阶段和环节？如何确保设计出的内控制度能够涵盖所有关键风险控制点？内控制度设计的最终载体和直观表现是什么？本章将在明晰内控实施主体和确立内控实施原则的基础上，为读者解答这些问题。