內部控制旨在合理地保證經營的效果性和效率性、財務報告的可信性、對有關法律和規章制度的遵循性。有效的內部控制包括內部環境、風險評估、控制與活動、信息與溝通、監督五個要素。

　　文/王 勁 張 慶 羅 毅

　　一、巨虧始末

　　為了降低公司在澳大利亞鐵礦石項目中面對的貨幣風險，從2007年起，中信泰富開始購買澳元的累計外匯期權合約進行對沖。2008年10月20日，中信泰富發布公告稱，該澳元累計目標可贖回遠期合約，因澳元大幅貶值，已經確認155億港元虧損。到10月29日，由于澳元的進一步貶值，該合約虧損已接近200億港元。截至2008年12月5日，中信泰富股價收于5.80港元，在一個多月內市值縮水超過210億港元。

　　就中信泰富投資外匯造成重大虧損，并涉嫌信息披露延遲，香港證監會對其展開了調查。2008年11月12日，中信泰富再次發布公告，與母公司中信集團達成初步重組協議，其一是中信集團以強制性可轉債方式，向中信泰富注資15億美元。據中信泰富12月19日披露，該條議案在當天的股東大會上獲得了99.94%的贊成票。其二是以“外科手術”般的方式將部分衍生品交易合約從上市公司剔除，中信集團將協助中信泰富分兩步重組現存的87億澳元合約。按照公告，中信集團希望在12月30日前完成重組。此次衍生產品巨額虧損事件階段性地告一段落。

　　二、原因探析

　　內部控制是一個要靠組織的董事會、管理層和其他員工去實現的過程，實現這一過程是為了合理地保證經營的效果性和效率性、財務報告的可信性、對有關法律和規章制度的遵循性。有效的內部控制包括內部環境、風險評估、控制與活動、信息與溝通、監督五個要素。

　　內部控制的五項要素是從建立和實施內部控制角度提出的,是對內部控制制度進行的高度提煉。建立一項內部控制制度,不能僅從某一要素來考慮,而必須統籌內部控制的五個要素。通過對企業各項經濟業務及其業務流程進行梳理,根據設定的內部控制目標,分別從內部環境、風險評估、控制活動、信息與溝通以及內部監督等五個方面,設計和實施內部控制。

　　從此次中信泰富投資外匯衍生品造成巨額虧損及應對始末我們可以發現，從這五個要素來看中信泰富都存在或多或少的不足。我們應從中吸取教訓，深深反思。

　　1．內部環境

　　內部環境構成一個單位的氛圍，影響內部人員控制其它成份的基礎。包括：

　　◆ 員工的誠實性和道德觀。如有無描述可接受的商業行為、利益沖突、道德行為標準的行為準則；

　　◆ 員工的勝任能力。如雇員是否能勝任質量管理要求；

　　◆ 董事會或審計委員會。如董事會是否獨立于管理層；

　　◆ 管理哲學和經營方式。如管理層對人為操縱的或錯誤的記錄的態度；

　　◆ 組織結構。如信息是否到達合適的管理階層；

　　◆ 授予權利和責任的方式。關鍵部門的經理的職責是否有充分規定；

　　◆ 人力資源政策和實施。如是否有關于雇傭、培訓、提升和獎勵雇員的政策。

　　業績巨虧、股價大跌、股民指責、司法介入，作為中信泰富董事局主席的榮智健居然表示自己對合同“不知情”。據中信泰富審核委員會的調查，此事并不牽涉欺詐或其他不法行為，而是財務董事未遵守集團對沖風險政策，且在進行交易前未按規定取得董事會主席批準，超越了其權限所為。

　　如果情況真的屬實，那么我們不禁要質疑中信泰富的內部環境存在多么大的漏洞！涉及到幾百億金額之巨的大合同，公司財務層可以不經過董事會主席的批準擅自行事，且先不論員工的誠實性和勝任能力，僅就中信泰富這樣的紅籌公司的組織結構和授予權力、責任的方式就值得深省！如果每個部門都各行其是，不請示、不匯報，一盤散沙的結構，企業缺乏良好的內部控制環境，整個企業運營系統就會存在很大的漏洞；企業管理層犯錯的危險系數也被放大，這樣恐怕企業離敗落已不遠矣，企業文化建設更是無從談起。

　　2.風險評估

　　風險評估指管理層識別并采取相應行動來管理對經營、財務報告符合性目標有影響的內部或外部風險，包括風險識別和風險分析。風險識別包括對外部因素(如技術發展、競爭、經濟變化)和內部因素(如員工素質、公司活動性質、信息系統處理的特點)進行檢查。風險分析涉及估計風險的重大程度、評價風險發生的可能性、考慮如何管理風險等。

　　中信泰富事件反映出其內部的風險監管和治理機制存在問題，累計期權的風險與收益嚴重不匹配，收益固定但風險卻無限。中信泰富選擇了澳元作為買賣產品，這筆合同并未考慮相關貨幣貶值而設定止損金額，從而為日后的無限量虧損埋下禍根。

　　事實上，在中信泰富事件之前，累計期權因為高風險在業內已經聲名狼藉，并獲得了“I kill you later”(“我早晚滅了你”，與累計期權英文詞匯Accumulator發音相近)的綽號。面對如此高風險的金融衍生品，中信泰富還投入如此巨資，我們不禁要懷疑其風險識別能力和應對能力。作為中信泰富董事局主席的榮智健自己也承認：“有關外匯合同的簽訂未經過恰當的審批，而且其潛在的風險也未得到正確的評估”。風險控制關系到公司的治理結構，治理機制若不健全，本身就是企業的一大風險源。

　　一個內部治理結構混亂的企業，其風險控制的能力肯定就差，從而發生的經營風險也多。中信泰富需借此機會，針對衍生工具業務的特點，建立專門的風險內部控制機制，改善公司的治理結構，完善工作程序，嚴格控制投機性交易，從而降低企業運營風險。

　　3.控制活動

　　控制活動指對所確認的風險采取必要的措施，以保證單位目標得以實現的政策和程序。實踐中，控制活動形式多樣，可將其歸結為以下幾類：業績評價、信息處理、實物控制、職責分離。

　　2008年10月20日，中信泰富發出盈利預警，首次披露持有超過百億澳元的累計期權，并稱早在9月已經察覺其潛在風險。為什么在已經察覺其風險的情況下，公司管理層卻不作為呢？亡羊補牢，為時未晚，如果及時做出補救措施，損失也不會達到155億港元之巨！

　　中信泰富事件折射出我國國有企業公司治理存在的弊端和漏洞。雖然在最近的幾年中，市場監管部門、國有資產管理部門為推動我國公司治理的制度建設做了大量工作，在健全公司治理的規章方面與過去相比有了明顯的改善。但要看到，僅僅有規章而沒有落實，公司治理的風險仍然是巨大的。

　　中信泰富外匯衍生品交易在操作上違背了基本的內部控制原則，盡管公司有很多的規章，實際上都成了擺設，而沒有被執行。從這個意義上來說，制度的落實甚至比制度本身更重要，因為沒有被落實的制度形同虛設。所以，控制活動一定要落實到位，只有這樣才能將風險控制在可以接受的范圍之內。

　　4．信息與溝通

　　信息與溝通指為了使職員能執行其職責，企業必須識別、捕捉、交流外部和內部信息。外部信息包括市場份額、法規要求和客戶投訴等信息。內部信息包括會計制度，即由管理當局建立的記錄和報告經濟業務和事項，維護資產、負債和業主權益的方法和記錄。溝通是使員工了解其職責，保持對財務報告的控制。它包括使員工了解在會計制度中他們的工作如何與他人相聯系，如何對上級報告例外情況。

　　企業所有員工必須從最高管理階層清楚地獲取承擔控制責任的信息，而且必須有向上級部門溝通重要信息的方法，并對外界顧客、供應商、政府主管機關和股東等做有效的溝通。這個要素從某種程度上可以看作是內部控制的神經系統，它要求企業及時、準確的搜集、傳遞與企業內部控制的相關信息，確保信息在企業內部、企業與外部之間進行有效溝通。

　　首先，中信泰富的財務層面對金額如此巨大的金融衍生品合同，不向公司董事會匯報與請示，信息在企業內部就不流暢；另外，早在2008年9月7日，中信泰富董事會即已獲悉該公司投資外匯交易，釀成百億虧損，卻在9月9日的一份公函中稱，“公司的財務或交易狀況沒有出現重大不利改變”，而直到2008年10月20日，該公司才正式對外坦誠損失。此舉涉嫌延遲披露、非法陳述，違反香港證監法規。

　　2008年10月22日，因中信泰富涉嫌延遲披露、非法陳述，香港證監會確認對其展開調查。中信泰富在發現問題6個星期之后才進行相應的信息披露，從一定程度上使得我們對于中信泰富整個內部控制體系的設置和執行的有效性產生了巨大的懷疑，中信泰富的內部控制體系和公司治理機制可能存在重大缺陷，提供的信息可能存在失真及受人為操縱的現象。另外，對于公司經營中如此之嚴重的違規行為，就沒有一名員工對其風險性和違法性提出質疑？試問公司內部是否有適當的溝通與反映渠道的存在。一個企業，對內不能有效的交流與溝通經營管理中存在的問題，對外不能遵照法律法規的要求及時披露相關信息，恐怕這個企業很難取得投資及消費大眾的信任，更難在競爭如此激烈的市場經濟中生存下去！

　　5．內部監督

　　該要素要求企業對內部控制建立與實施情況進行監督與檢查，評價內部控制的有效性，發現內部控制缺陷，應當及時加以改進。內部監督分為日常監督和專項監督。

　　中信泰富作為在業內頗有影響的紅籌股公司，其自身的內部監督卻沒能合理有效的設計與落實。中信泰富董事局主席榮志健的公開信中稱，“集團財務董事未遵守集團風險對沖政策，在進行交易前未按照公司一貫規定取得董事會主席的事先批準，超越了職權限度”，“財務總監未盡其應有的把關職責，沒有將此等不尋常的對沖交易提請董事會主席關注”。在這些事情發生的時候，公司的監督程序與監管人員在哪里呢？評級機構標準普爾報告指出，中信泰富巨額的外匯交易虧損反映該公司欠缺適當的內部監管，透明度不足。要知道沒有監督與制衡的權利是危險的，是可怕的！企業要想建立完善的內部控制系統并切實予以實施，且實施的效果良好、內部控制能夠隨時適應新情況等，就需要對內部控制的執行情況進行再控制，即對內部控制進行監督。因為，無論制度多么先進、完備，如果沒有有效的控制、考核，沒有對整個內部控制的過程施以恰當的監督，則很難發揮出它應有的作用。

　　任何一項控制措施都必須從上述五項要素進行考慮,首先基于企業現有的內部環境,對企業經營活動風險,包括公司層面的風險和業務流程方面的風險進行評估,確定相應的風險應對策略,并針對風險評估確定的風險點確定相應的控制措施,實施內部控制活動;與此同時建立相應的信息收集和溝通機制,對企業經營活動相關的內部信息和外部信息進行收集、加工、整理,及時反饋至企業內部控制相關的各方,并同時實施日常監督和專項監督,以提高控制措施實施的有效性,從而實現內部控制的目標。中信泰富正是對風險沒有合理估計，對權力沒有有效監督，在信息披露上又嚴重違規，結果導致內部控制系統漏洞百出，最終成為其巨額虧損的根本原因。