中石化实施COSO 内部控制框架体系研究报告
一、本课题的研究背景
内部控制是人类从事社会生产实践活动过程中的一种约束机制，在漫长的发展演变过程中，其大致经历了萌芽阶段（内部牵制）、发展阶段（内部控制制度）、形成阶段（内部控制结构）和成熟阶段（内部控制整体框架）四个发展阶段①。特别是1992年美国COSO 委员会提出的《内部控制——整体框架》，给内部控制理论及实务带来了突破性的进展。随着其内容由简单到复杂、目标由单元到多元、对象由局部到整体的演进，内部控制已成为公司管理的重要组成部分，并逐步形成了涵盖范围广泛、运行严密有序的现代企业内部控制系统，在实现公司效率经营、防止舞弊、规避风险等方面发挥着越来越重要的作用。自2001年美国安然、世通、施乐和默克等“突发”事件曝光以来，公司诚信受到普遍质疑，为根治上市公司财务造假，以美国颁布《萨班斯—奥克斯利》法案为契机，无论是理论界、实务界，还是政府机构、监管部门和中介机构，都开始给予内部控制更多的关注，进而在全球范围内掀起了强大的重塑和完善公司内部控制的风暴。据了解，截止2004年底，在美国上市的公司中，有60％以上的公司已经完成了文档描述工作，处于评估和测试阶段；有30％左右的公司正在进行文档描述；只有极少部分公司正在准备内控有效性报告。可以说，内部控制制度已成为国际上现代企业管理的重要组成部分。 中国石油化工股份有限公司（以下简称“中石化公司”）作为在纽约、香港和上海三地上市的特大型能源、化工一体化公司，按照《萨
班斯—奥克斯利法案》第302、404条款关于凡在美国上市的公司都必须于2005年12月31日前建立并保持有效的内部控制体系的客观要求，以及落实科学发展观、完善现代企业制度、规范公司管理行为、规避公司经营风险、提升公司管理水平、夯实公司长远发展基础的迫切需要，从2003年5月开始正式启动了内部控制体系建设工程。在完成抽查测试和试运行达一年之久的基础上，中石化公司吸收《企业风险管理——总体框架》（简称ERM ）的全新理念，充分借鉴和吸收了我国石油石化企业几十年来积累的大量行之有效的管理方法和成熟经验，全面修订并于2006年1月1日起在正式实施了被誉为新“家规”和“法典”的《中石化股份公司内部控制手册》。该控制手册在完善法人治理结构和理顺公司管理体制的基础上，以COSO 为框架，按照业务目标、业务风险、业务流程步骤与控制点、业务流程图表、相关制度目录和主要控制点相关资料等规范格式，设计了43个重要的内部控制业务流程和权限指引。包括中原油田分公司在内的下属90个分（子）公司根据《中石化股份公司内部控制手册》要求，结合自身的实际情况全面细化和出台了内控实施细则。从中石化公司两年多来的内部控制运行情况看，公司对推行内部控制制度的认识有了普遍提高，内部控制组织机构基本健全和运转有效，较好地发挥了内部控制的约束与激励功能，为实现公司战略目标和经营目标提供了重要保障。为了进一步加强内部控制的检查评价与考核工作，充分发挥内部控制的效能，2006年8月1日，中石化公司又根据《内部控制手册》的有关规定，结合本公司实际，制定颁发了《中国石油化工股
份有限公司内部控制检查评价与考核暂行办法》，作为公司审计部独立开展内部控制检查评价工作的依据。但是，由于中石化股份公司内部存在着多层次的委托——代理关系，特别是企业规模大、业务领域宽、分支机构数量多、经济关系较为复杂，在通过实施内部控制来规范各单位及全体员工的行为、实现国有资产保值增值的过程中，必然会面临各种各样的问题。为此，探索和总结中石化股份公司推行内控制度的实践经验，特别是对其在权力制衡、风险控制以及与全面预算管理、ERP 管理信息系统的契合等问题进行系统、深入的研究，不仅是市场经济体制下建立现代企业制度、转变经营机制、规范管理和规避风险的内在需要，而且也必将会为国有控股企业选择、构建和实施内部控制提供可资借鉴的具体案例和经验。
二、中石化公司COSO 内部控制框架体系的构建
（一）中石化公司的组织结构
中石化公司现有油田勘探开发、炼油、化工、销售及科研、外贸等全资子公司、控股和参股子公司、分公司等共90余家，经营资产和主要市场集中在中国经济最发达、最活跃的东部、南部和中部地区。它秉承竞争、开放的经营理念，扩大资源，拓展市场，降本增效，严谨投资，努力实现着公司利润最大化和股东回报最大化，并逐步向主业突出、资产优良、股权多元、技术创新、管理科学、财务严谨、具有较强国际竞争力的跨国公司迈进。中石化公司参照国际公司模式，已建立起规范的法人治理结构，实行集中决策、分级管理和专业化经营的事业部制管理体制。
企业组织结构属于控制环境范畴，它直接影响到企业内部控制的贯彻与执行。中石化公司建立了股东大会、董事会、监事会和经营管理机构四个法定刚性治理结构，从而为内部机构的建立、职责分工与制约提供了基本的组织框架。同时，中石化公司通过采取“集中政策、分散经管”的事业部制组织结构，较为清晰地界定了有关规划、执行、控制和监督活动的内部控制框架。在职能分解上强调责权利相统一，并按照业务范围组成由油田勘探开发、炼油、化工和油品销售等四个事业部为主体的利润中心，分别管理作为成本中心的下属分（子）公司并负责下属分（子）公司之间的协调。每个事业部都独立核算，在经营管理上拥有很大的自主权，但股份公司作为投资中心保留了预算、人事任免和重大投资决策等权力，并运用利润、成本等绩效指标对事业部进行控制，从而形成了控制主体明晰，责权利对称和管理效率较高的控制体系（见图1），较好地降低了协调成本和控制成本。
图1 中石化公司COSO 内部控制体系
（二）中石化公司COSO 框架体系的内容及其控制方法
选择和构建适合企业自身实际经营状况的内部控制实现方式，是内
部控制有效实现的关键。中石化公司的内部控制体系严格按照美国COSO 报告构建，它由三个目标和五项要素组成，并把内部控制定位于综合国内外证券机构监管的要求，以及有效解决委托代理关系中的委托、受托经济责任问题，由公司董事会、管理层及其全体员工实施的，为经营活动的效率和效果、财务报告的可靠性、相关法律法规的遵循性等目标的实现而提供合理保证的过程。根据COSO 报告的设计原则，中石化公司系统运用组织规划控制、授权批准控制、全面预算控制、会计信息系统控制、内部审核控制、制度控制、财务保全控制、人力资源控制、风险防范控制、内部报告控制、管理信息系统控制和内部审计控制等控制方法，以价值链管理为主线，以平衡内部控制结构和构建分权责任体系为切入点，通过与信息管理技术的融合，来达到内部控制的最优化目标。
1. 建立集中决策、分级管理的组织规划控制
组织规划控制是对企业组织机构设臵、职务分工的合理性和有效性所进行的控制。企业的组织机构有三个层面：一是法人治理结构问题，涉及公司董事会、监事会、经理的权责分派体系；二是组织结构设计，主要是构建公司运行的执行管理与经营任务体制；三是职能分工，主要通过“不相容职务相分离”来落实部门与岗位责任制。
从法人治理结构看，中石化建立了股东大会（权力机构）、董事会（决策机构）、监事会（监督机构）、总经理层（日常管理机构）四个基本组织框架，就其成员构成、职权与责任进行了严格规范。在成员构成上，引入了独立董事制度，对独立董事的担任条件及职权范围予
以明确界定。在权责分派体系上，作为所有者的中石化股东，将本应由他们拥有的契约控制权的绝大部分授予了董事会，董事会基于其下属的战略委员会、审计委员会和薪酬与考核委员会等三个专业委员会的建议，行使聘用和解雇高层管理人员、重大投资、兼并和收购等战略性的“决策控制权”（一般剩余控制权），并将日常的生产、销售、雇佣等“决策管理权”（特定控制权）只授予了公司经理层（包括各事业部），却没有授予作为成本中心的分（子）公司。
从组织结构看，与集权模式相对应，为保证高层集中精力做好战略决策和长远规划，中石化采用事业部制的组织结构类型，基于其产品结构和经营范围，分设油田勘探开发、炼油、化工和油品销售等四个事业部，各事业部按所辖业务范围下设若干分（子）公司，中石化与事业部之间、事业部与分（子）公司之间均采用经营承包方式，以层层落实委托、受托控制责任。
从其职能部门机构设臵关系看，其13个职能部门相互独立，均按照“不相容职务相分离”建立，其职责范围没有重叠和交叉，以确保国家政策、方针贯彻执行和公司目标分解、落实的执行效果。无论是职能部门、各事业部以及下属分（子），都制订了较为科学规范的人员选拔、聘用机制，以保证员工素质满足岗位工作的需要。
2. 加强网络化、全过程的全面预算控制
全面预算包括是业务预算、投资预算、资金预算和财务预算四部分，是企业内部控制系统的重要组成部分，也是企业对其分（子）公司、职能部门的责任进行集中控制的重要工具。中石化公司通过把所有业
务活动全部纳入预算管理，把预算嵌入到“授权指引”和“ERP ”系统中，使所有授权均为预算（计划）项下的授权，规范了每项业务流程中预算的编制、上报、批复程序，加强了预算执行监督考核工作，从而使各部门和各个分（子）公司，都把预算作为约束日常业务和推动优化经营管理的重要手段。在预算责任体系上，中石化公司层面建立了由董事会审查年度财务预算、各事业部和各职能部门监控预算执行和分（子）、研究院等全面落实预算目标的预算管理体系；分（子）公司层面建立了分级预算网络，以中原油田分公司来说，其建立了分（子）公司、采油厂、油藏经营管理区和采油区（队）为主体的四级预算网络，从而形成了“横向到边、纵向到底”的全员、全过程、全方位的预算责任体系（见图2）。
图2 中原油田分公司预算控制网络图
3. 构建以“授权指引”为核心的授权批准控制
为提高运营效率和最大限度地规避风险，中石化公司针对内控制度
所列业务流程，运用定性控制和定量控制的方法，以控制点上的管理和决策权限为重点，通过《权限指引》构建了“五层两级”的梯形授权体系，并基于一级法人的经营管理体系，将下属分（子）公司的权限较多地集中在经理一级，只将少数授权至副经理和处室负责人，通过明确执行部门以及与之对应的会签部门或复核岗位，进一步落实控制责任。
（1）《权限指引》的体系构架
《权限指引》是《内部控制手册》的附则，按照“规范描述”和“系统管理”原则，采用矩阵式表格，从横向、纵向两个指标体系进行描述。横向是五层两级权限系列，五层即权限的一级科目，从公司最高权力机构股东大会到董事会、总裁／总裁班子、事业部／职能部门主任、分公司经理／经理班子逐层递减；两级，即上述五层第一个一级科目下再细分成第二级科目，即董事会再对董事长的授权（2.1），总裁／总裁班子再对高级副总裁／财务总监（3.1）、副总裁（3.2）、总裁助理／各总师／董事会秘书的授权（3.3），事业部／职能部门主任对副主任的授权（4.1）、分公司经理对副经理（5.1）、分公司处室负责人／业务经理的授权（5.2）。左端为业务的执行部门，即该项目业务的具体办理单位或牵头办理单位；右端为会签部门或复核岗位。纵向的权限设臵是按照内控制度中的纵向业务类型与流程的业务序号进行一一对应。
（2）《权限指引》的主要内容
中石化公司《权限指引》中所列权限是指经总部批准的预算（计划）
项下的业务授权，包括最终的决定权、批准权（拍板权），但不包括提议权、拟订审核权等中间过程的权限。与内部控制系统相对应，它主要包括公司治理、公司管理和执行三个层面的授权控制，形式分为“一般授权”和“特殊授权”。对于常规性的重要经济业务实施“一般授权”，并按照批准层级权利依次递减；对于非常规、高风险业务则实施“特殊授权”，从而将可能发生的风险全面纳入授权体系，避免出现真空地带。以勘探开发投资业务为例：
第一，公司治理层面的内部授权。它包括股东大会、董事会、总裁／总裁班子三个层面，股东大会代表全体股东的利益，除对重大事项有决策权外，其控制权还包括：审批中长期计划和年度计划、大于净资产值5％的油田勘探开发项目和处臵大于净资产值5％的长期股权投资项目等。董事会在公司治理中处于核心地位，它既要代表股东，为股东财富的最大化进行活动；又要代表整个公司，为公司的长远发展进行活动。其控制权限除了批准年度生产经营预算、年度财务预算外，批准小于15％的年度计划调整和小于净资产值5％的油田勘探开发项目等。董事长是公司的法定代表人，他在内部控制体系中可以批准单笔大于100万元人民币的捐赠支出，签署单笔大于10亿元人民币的长期贷款合同，以及处臵总额在1亿元人民币以上的油气资产和总额在1亿元人民币以上的应收款项等事项。总裁／总裁班子除全面负责落实董事会的决策和公司的经营管理，其主要批准原油采购月（季）度计划、年度框架采购协议，批准原油配臵计划，批准成品油采购的生产经营计划和各事业部的成本和费用预算等。
第二，公司管理层面的授权。它是指事业部或职能部门主任的控制授权，其权限除了确定总部组织集中采购的供应商、批准单笔大于100万元人民币的总部直接采购项目、批准成品油采购月（季）度配臵计划、分解批准各分公司成本和费用预算以及批准各分公司销售计划外，还有权批准长期借款和融资租赁内部分割协议、批准长期借款和融资租赁本息偿还计划、批准各分公司设立账户、批准各分公司货币资金总量指标，以及审批原油产能建设3～10万吨、天然气产能建设0.5～2亿方的项目和处臵1000万元人民币以下的油气资产和固定资产等。
第三，执行层面的授权。它是指分公司经理／经理班子在内部控制体系中的控制权限，其授权除了审批原油采购合同、境内原油运输合同，批准一般物资采购的重大及年度计划，审批单笔500万元以上的一般物资采购，分解成本和费用预算指标、批准下属单位成本和费用计划外，油田企业、炼化和销售企业经理还分别有权审批50万元人民币以上、100万元人民币以上和30万元人民币以上的修理项目，以及制定原油和天然气销售价格和浮动权限等。
（3）《权限指引》中的“转授权”机制
权限指引中的“转授权”只适用于那些暂未明确设臵权限的业务，中石化公司对“转授权”业务实行权限下授但责任并不下移，由授权人对授权事项负最终责任。其“转授权”范围和方式严格界定于以下事项：
第一，对股份公司内部单位之间通过财务公司进行统一结算（如采
购、运输、销售等）的收付款业务、股份公司上下级单位之间的款项缴拨业务、在总部批准额度内的关联交易收付款事项的审批权限，允许企业进行一般性书面转授权。
第二，油田、销售企业可视情况和需要，对在管理费用项下列支的差旅费、办公费、会议费、业务招待费，以及在其他费用项下列支的该四项费用的批准权限进行书面转授权。以上两类转授权按照授权人对授权事项和被授权人的行为负责的原则，要求被授权人须将行权情况按月书面报授权人阅知，授权委托书及书面汇报应存档备查。 第三，在授权人长期出差、出国等情况下，授权人行前须召集同层级领导班子会议，并以会议纪要形式明确全权被授权人。授权人对授权事项和被授权人的行为负责，被授权人须在授权人返回后将行权情况书面报授权人阅知。授权委托书及书面汇报应存档备查。
第四，在授权人短期出差、出国等情况下，对经其同意办理的紧急事项，允许进行特殊性书面转授权，属特事特办。授权人返回后，如该事项已办理完毕，则授权人必须补签书面授权委托书，被授权人须将行权情况书面报授权人阅知。授权委托书及书面汇报应存档备查。如该事项尚未办理完毕，则授权人须亲自履行审批职责，不能再进行转授权。
除上述四种情况外，任何构成制度性安排的其他转授权行为，必须上报总部内控办公室并说明理由，被确认为确实需要转授权的，经内控办批复后方可实施。
4. 建立以《内部控制手册》为载体的制度控制
中石化公司为加强规章制度建设与管理，确保有效实施各项管理制度，实现管理工作系统化和规范化，促进生产、技术、经营活动顺利进行，在实施内部控制过程中，还在清理内部原有规章制度的基础上，制定了与《内部控制手册》相配套的《〈内部控制手册〉配套规章制度汇编》，其包含的126个规章制度分目录、索引和正文三部分，均标明了与《内部控制手册》相对应的业务流程，并与手册同步更新，保证了制度的时效性和执行力，从而形成了以《内部控制手册》为载体、《〈内部控制手册〉配套规章制度汇编》为补充，并与其他管理制度一起，共同构成了中石化公司的内部控制制度体系（见图3）。
图3 中石化公司制度控制体系
5. 建立健全风险防范控制
针对各个风险控制点中石化建立起有效的风险管理系统，它通过风险预警、风险识别、风险评估、风险控制、风险报告等措施，对财务风险、经营风险和合规风险进行全面防范和控制。其控制方法突出体
现在销售业务的信用控制、采购支出业务的市场准入、招投标、合同控制以及资金业务管理等环节。
6. 打造先进的ERP 管理信息系统控制
中石化公司的管理信息系统既有会计核算、资金管理、物资管理等分业务自成体系的管理信息系统，目前又正在规划实施与这些信息系统高度集成并以财务管理为核心的ERP 管理信息系统。截止今年3月份，已有40家企业正式上线运行。它通过把不同业务部门的人员统一在ERP 系统上进行业务操作，使业务数据一经录入，即可对企业产、供、销各环节完全集成，按相应的业务流程和规范自动生成物流、资金流和信息流“三流合一”的相关信息，并适时传输到中石化公司总部统一的数据仓库中进行监控和分析，保证风险始终处于“受控”状态。特别是ERP 系统中所有授权都是基于“预算项”下的授权，并将企业的整体目标分解为具体的控制项目和明确的控制标准，适时评价经济业务的价值链过程，作为成本控制及绩效考核的基础，实现了预算“硬约束”的功能。其控制方法如图4所示。
图4 中石化公司成本控制与绩效考核体系
7. 建立科学完善的内部控制检查评价与考核机制
为了加强企业内部控制，提高管理水平，正确评价与考核内部控制的运行情况，中石化公司遵循国内外资本市场监管要求，根据《内部控制手册》的有关规定，制定颁发了《中国石油化工股份有限公司内部控制检查评价与考核暂行办法》，并于2006年8月1日起开始执行。中石化公司内部控制检查评价与考核工作由公司内部控制领导小组统一领导，内部控制领导小组办公室负责组织实施，并实行“总部检查评价”（包括“股份公司年度综合检查评价”和“审计部独立检查评价”）和“单位自查评价”（包括“企业自查评价”和“总部部门自查及对口抽查评价”）两级检查评价体制，从而在纵向上形成了由股份公司内控领导小组检查、股份公司总部各职能部门自查及对口抽查，以及分（子）公司自查组成的三级监督网络；在横向上形成了由派驻的内控检查组、股份公司各职能部门、分（子）公司分别提交综合评价报告，再由股份公司内控领导小组最终形成年度综合评价报告
并报董事会核准的二级报告制度，做到程序规范、依据科学、报告准确。同时，根据考评需要，分别从内部控制环境评价、单位自查情况评价（企业自查情况评价／总部部门自查及对口抽查情况评价）、业务流程综合检查评价、内部控制日常工作评价、风险评价等方面，绘制了完整、规范的评价流程，使内部控制评价体系始终遵循统一的方法步骤，确保了监督、考评的公正性。
此外，公司对ERP 单轨运行企业业务流程的检查与评价做了特别说明，指出原则上实行业务流程在线检查评价，按照《ERP 单轨运行企业业务流程检查工作底稿》中规定的“检查方法”，检查ERP 系统中业务流程和审批权限的设臵及执行是否符合内部控制要求。对财产清查、盘点、资产处臵、八项减值准备计提、往来款项核对、资金支付、非经常性资本支出等业务及控制事项，必须检查线下审批手续是否齐全、有效。对缺少必要的线下审批手续，或线下审批手续不符合内控手册要求的控制点视为“未执行”，扣除控制点相应的全部分值。对ERP 单轨运行企业未实施的功能模块相应业务流程的检查评价，按照《非ERP 企业业务流程检查工作底稿》执行。
为了顺利地推进公司内部控制检查评价与考核工作的开展，内控办公室在公司各有关专业领域内公开选拔若干名业务骨干（包括IT 专业人员），组建内部控制专业人员队伍，并定期进行培训，经考试合格者颁发“内控专业人员”资格证书。年度综合检查评价时，以“内控专业人员”为主组成检查评价小组，对各单位进行现场检查和评价，各类检查评价结果必须由“内控专业人员”签字确认，确保年度综合
检查评价的独立、客观和公正。其年度综合检查评价内容及评分标准详见表1。
表1 中石化公司年度综合检查评价内容及评分情况表
三、中石化股份公司COSO 内部控制框架体系的实施状况与对策
（一）中石化公司实施COSO 内部控制框架体系的特点
中石化公司按照现代企业制度的要求和与国际规范接轨的原则，充分依托自身已有的管理优势和国际上被广泛认可的COSO 框架基础，在国内同行业中没有成熟经验可以借鉴的情况下，为搞好内部控制的建设和实施进行了许多开创性的探索。一是准确把握COSO 内部控制框架体系的内涵；二是科学确定建立内部控制的基本原则，包括：合规性原则、全面性与系统性原则、内部牵制及不相容原则、权责明确、奖惩合原则、成本效益原则、可操作性原则、包容性原则和信息反馈原则八个方面；三是把内部控制建设作为项目管理进行推进；四是通过全员培训提升内部控制理念等。
（二）中石化公司COSO 内部控制框架实施状况评价
2005年中石化公司就已初步建立了较为规范的内部控制评价体系，并规定自当年起，每半年要根据总部统一制定的检查方法和评价标准，对下属企业的流程控制和权限控制情况进行量化评价并提出整改意见，督促内部控制制度的落实。每个分（子）公司的综合得分＝［分（子）公司应该执行的点数－未执行的点数］／分（子）公司应该执行的点数×10。
按照内部控制评价体系的内容和要求，中石化公司于2005年上半年对所属65家企业的内部控制执行情况进行了检查和评价，其中，流程控制评价的平均得分为90.6分，平均分以上的企业有43家；权限控制评价的平均得分为88.2分，平均分以上的企业共35家。其中油田企业5家，炼化企业12家，销售企业18家。从这次检查和评价的结果可以看出，无论是流程控制还是权限控制，各企业都存在一些差距和不足，但总体看，流程控制普遍好于权限控制。因此，如何确保权限控制的持续性和有效性，就成为制约内部控制效用发挥的重要因素。
通过这次检查发现，中石化公司通过实施内控制度有效地促进了企业管理。有的单位以内控制度为准绳，清理、修改或重新出台了一系列专项管理制度，并把这些制度汇编成册；有的企业以网络图表的形式，按业务管理行为的步骤和岗位，绘制了《工作程序、业务流程手册》，再造了业务流程；有的企业通过搭建内部控制网络办公平台，建立了“内控管理网上签批子系统”，方便了远离机关的业务单元，提高了审批效率；有的企业把内控制度与HSE 、ISO 管理一起纳入到
一体化管理体系，将相关权限控制嵌入到ERP 和全面预算管理系统中，促进了内控制度与其他现代管理方式的融合；还有的企业对照内控制度要求，重新规范了采购合同审批单位、借款单、报销单、价格变动审批单、赊销审批单、月度存货盘点确认表等，使审批程序和责任人一目了然。但是，由于内控制度执行的时间还比较短，各级管理人员对内控制度的理解把握还有所欠缺，宣传培训也没有完全到位，每个分（子）公司在执行内控制度上都或多或少存在着一些不足。为此，中石化股份公司内控办公室依据检查中发现的问题，集中进行了答疑解惑，收到了较好效果。
我们对这次内控检查中涉及32个业务流程执行中存在的问题，按未执行控制点的多少进行了统计（见表2），由此可以看出，一般物资采购供应、修理费用管理、存货管理、人工成本管理、应收款项管理、货币资金管理、以及管理费用、营业费用、业务外支出管理和资本支出业务、持续性（经常性）关联交易、信息资源管理等10个业务流程的未执行控制点企业占到了抽查企业的60％以上，出现问题较多的业务流程又集中体现在常规性业务（一般物资采购、人工成本管理、货币资金、应收款项）、大宗资本运营业务（资本支出业务、续性关联交易）以及信息资源管理业务等三个方面，这些都是近年来诱发和导致经济案件发生的高风险领域。
表2 中石化公司内控检查未执行控制点情况—览表
众所周知，内部控制主要针对一般性与常规性业务活动而设计，即使设计了完善有效的内部控制，由于受执行者工作失误、判断失准或营私舞弊影响，仍会限制其有效程度的发挥，甚至失去控制作用。中石化公司内部控制执行中存在的上述问题，一定程度上反映了内部控制制度本身固有的局限性。特别是授权控制作为一项渗透性控制，其权责定位和功能范围存在着“弹性”空间，合理适度授权只能基于前期业务经验或对最优势和最劣势判断的假定。作为一个动态变量，随着中石化公司战略目标和业务范围的变化，必然存在着控制和反控制的“搏弈”。此外，中石化公司的内部控制设计基于合理但有限的穿行测试的结论之上，对上述未执行控制点较多的流程控制，其穿行测试的科学、合理和有效性还需要进一步验证和补充。
由于这次检查评价是中石化公司实施COSO 内部控制体系以来的首次，各检查组在检查方法和评价标准上不尽一致，检查范围也仅限于2005年发生的业务，另外，还有部分流程没有全部走通，存在着“业务未发生（或剔除控制点）”现象。因此，这次量化评价结果并不能全面反映企业内控制度的实施情况。但是，各企业在此次检查中找出的差距和不足，对树立“任何控制点的疏漏都可能导致风险”的意识，努力向“100分”的控制目标迈进仍然具有重要的意义。
（三）中石化公司COSO 内部控制体系实施中存在的主要问题 从中石化公司当前实施COSO 内部控制框架体系的运行情况来看，存在着下面一些需要解决的主要问题：
1. 内控环境存在差距。一些企业由于机制不顺，基础管理工作薄弱，导致内控环境、日常管理跟不上企业发展的需要。一些重要业务（如原油采购、材料采购、销售等）缺少必要的监督制约，不符合“不相容部门（岗位）相互分离”的内控要求；
2. 分级授权制度未能得到严格执行。在资金支出环节存在着越权审批付款的问题，费用支出上有少数企业超预算支付或变相越权支付的现象；
3. 关键控制点执行不到位。一些企业没有严格执行投资、物资采购、维修、技改技措和科研开发业务的招投标控制程序；
4. 信息管理普遍存在缺陷。主要表现为：许多企业没有制定信息分类、分级标准，信息基础管理薄弱；一些企业没有及时组织、汇总、归纳信息需求；少数企业的信息资源还滞留在某个部门或个人，没有
得到有效利用。
中石化公司COSO 内部控制框架体系的实施仅有两年时间，作为一个新生事物和一项系统工程，其内控理念、内控方式仍处在不断规范、提升阶段，员工对控制环境、信息与沟通等角色定位和职责履行还有一个自我适应和自我完善的过程，运用业务流程控制来规范各级管理者及全体员工行为，使内部控制成为落实“过程控制”目标的现实选择还有许多工作要做。
（四）中石化公司进一步完善内部控制的建议和措施
1. 不断总结经验，深化对内控制度的认识
首先，控制目标趋向更高层次的战略控制目标，中石化公司也要随着业务提升，把内部控制由关注传统的业务执行的合法性和合规性，向关注业务执行效率以及风险控制转变，以实现对实体经济进行科学管理和风险防范的内在要求。其次，控制方式趋向信息技术的集成和优化。第三，控制结构趋向逐步补充和扩展的过程。第四，控制对象趋向于对“人”的控制。第五，内部控制理论趋向与公司管理和公司治理相融合。
2. 引导员工提高认同感和参与度，夯实实施内部控制的基础
一个良好的内部控制系统，应能确保公司内每个人均清楚地知道自己所拥有的权力和承担的责任，为企业的总体目标的实现，认真履行自己的职责。内部控制要的是效率而不是屈从。
3. 进一步完善权力制衡机制，有效控制和规避风险
COSO 内部控制框架认为在现代经济环境下，虽然内部控制对企业
经营管理者仍具有十分重大的意义，但却不能只把内部控制与经营者联系在一起，除经营者外，内部控制对企业的董事会、立法和管制机关乃至众多的其他利害关系人，都有着重要的影响。因此，在构建内部控制体系时，应当使企业所有利害关系人对内部控制的理解有共同的基础，使所有企业利害关系人都充分认识控制的必要性。
4. 发挥ERP 系统在内部控制中的作用，尽快实现内部控制集成化 中石化公司应进一步加强对ERP 管理子模块的开发，扩大ERP 系统的业务涵盖范围，保证ERP 环境下的内部控制能够取得应有的效果。同时，还要做好ERP 系统本身的内部控制，以确保系统运行和数据库安全。特别是要加强对实施ERP 后如何发挥内部审计功能的探索研究，做好基于ERP 环境下的内部审计模块开发和与内部控制在系统中的有序衔接，准确界定二者的功能边界，加强对内审人员ERP 应用培训，实现内部控制的集成化管理。
5. 把握内部控制体系关键环节，不断提升内部控制质量
中石化公司目前实施的内部控制，其整体框架仍没有脱离会计、审计的范畴，仍存在诸如集体舞弊、成本过高等固有限制。为此，既要克服片面地理解内控制度，如制定细则时机械地照搬照抄，只重视权限审批，不重视业务流程控制，以计划审批代替过程审批，认为内部控制只是财务部门的事等弊端，也不能用内部控制代替专业管理，甚至代替高水平的决策。
总之，内部控制的建设是一项长期而艰巨的系统工程，需要企业上下通力、内外合作。作为我国在境外上市的大型集团公司，中石化股
份有限公司一开始就站在萨班斯法案规定的起点上，严格按照COSO 框架构建其内部控制体系，并将其结合引用到ERP 系统中，在实践中进行了积极的探索和有益的尝试。虽然还存在一些问题和不足，尚有待于进一步发展和完善，但其在内控制度方面所作的理论探索和运行实践，特别是将国际通行作法与企业实际情况有效结合的成功经验，对于我们开展内部控制的理论研究以及对其他企业建立和完善内部控制，并将内部控制作为企业长期推行的有效机制，都具有积极的借鉴参考作用。
基金项目：首都经济贸易大学《中原油田企业经营管理控制系统咨询研究》课题。课题组组长为郑海航，课题组副组长为刘英骥、陈郡、向谷峰，课题组成员包括李军航、裴德芳、孙福莉、崔璇、王霞、雷沙、马婕、穆阳、李斌。
注释：
① Heritage of Management Accounting Control, Natasha M. Koiol, 1996: Management Accounting