基于战略控制的内部控制模式

　　加强和完善企业内部控制， 已成为当今对企业风险管理关注的焦点之一。从内部控制的自身发展来看，其经历了内部牵制、内部控制制度、内部控制结构、内部控制整体框架、风险管理整体框架五个阶段。
　　进入21 世纪，商业环境和信息技术的迅猛发展对公司管理和内部控制提出了新的要求。风险成了公司治理、管理及内部控制要关注的重点， 同时也是影响战略的核心因素。从2001 年开始， 美国的COSO委员会着手企业风险管理框架( 以下简称ERM) 的研究， 2004 年正式对外公布ERM框架。ERM报告指出， 内部控制整合框架是包含在ERM中一体化的部分， ERM扩大了内部控制整合框架的范围， 以建立一个对风险更加关注的更强大的概念体系。ERM代表了内部控制理论的最新发展。
　　然而，考察现代企业不难发现，内部控制制度的建立并没有阻挡一些企业连续亏损，甚至破产。究其原因，除了内部控制的固有局限之外，不能存在过分强调细节或流程的控制以及内部控制硬化。为此，目前的内部控制系统要求企业从重视细节和流程控制，转向重视企业战略风险控制，在设计、实施以及评价内部控制时，均从战略风险的角度考虑内部控制以及控制的效率。

　　战略控制及战略控制系统模型
　　战略控制系统本质不仅是为了使战略按预期的设想进行，而应当是治理企业所面临的战略风险，避免其造成对企业发展的不利影响。其实，很多制定周详、论证充分甚至科学的战略最终却失败了，部分原因是战略的沟通与执行，即未能很好理解战略的意图，其余便可归因于战略失控，即企业员工不执行或企业超出了战略发展的方向仍未得到纠正，或者由于环境的动态变化或不确定性导致企业战略过时。这些战略风险问题如果不能得到及时处理和化解，最终将危及企业的生存。因此，需要建立一套战略控制系统并确保其运行，以控制企业所面临的战略风险。(如图1)
　　根据管理大师明茨伯格的观点，战略是一种计划，也可以是一种行动方式，但不是计划出来的，而是企业内部通过探索自然产生的。前者通常称为预期战略(Expected Strategy)，是指管理者根据竞争态势和现有资源能力的分析、确立长期目标、策划行动方案并分配资源以实现企业既定的目标。这种制定战略的方式遵从“ 自上而下”的方式，管理者就确定的战略在组织内纵向沟通。后者一般称为应急战略(Emergent Strategy)。许多成功的战略来自具体部门的实践经验。新的方法是靠不断摸索、不断失败而总结出来的。这种试验以及犯错，甚至运气，会带来全新的竞争手段。如果对这些革新进行临摹、巩固和正式化，管理者就能通过这种“自下而上”的方式逐渐学会如何改进他们的战略。当然，当应急战略被验证行之有效时，才可能固化成为正式的战略或替代原先确定的战略。企业一般既存在一个计划的战略，也存在一种应急战略，而在实际中战略是二者的融合。
　　从整个控制系统来看，对于预期战略而言，因为是经过周详计划的、包含长期目标和短期具体行动方案的描述，所以战略风险的来源主要是外部的威胁，来自内部因素可能较小。重点在于监控环境，采用预警系统察觉潜在的威胁，危机系统来处理现实的突然威胁，而绩效评估主要评估与预期的差距及原因。对于应急战略而言，是企业利用机会的临时行动方式，没有经验和惯例可循，所以战略风险由企业内部因素引起的可能性比外部机会本身带来的风险大，重点在于控制企业员工的行为，用信念系统指导员工以正确方式行动，用内部控制系统防范员工有错误的机会。当然，这种区分也不是绝对的，是有所交叉的，只是侧重点不同而已。

　　战略控制系统与内部控制系统的关系
　　应急战略的第二个方面就是控制组织内部产生的风险压力，这主要是指员工的行为，或者说员工达到工作目标的手段。由于行为通常不像结果那样显性，尤其是有意的错误行为更难以被察觉，如欺骗和隐瞒，所以相对较难控制。为了员工的行为不至于造成战略风险，需要建立信念系统和内部控制系统来约束员工的行为。
　　当然这里的内控系统不是局限于会计体系中的内部控制制度，而是从三个方面健全公司的内部控制系统：组织结构、信息沟通和规章制度。从组织结构方面主要是防止对资产的挪用和滥用，所以一般可以采用的措施有：权责分开，相互监督;职务轮换;明确授权，树立责任。从信息沟通的角度讲，要准确和完整地记录数据，便于查证，维护数据库的安全，及时报告。从规章制度上，要建立企业工作中涉及公司战略风险的各种流程和程序，使员工按流程或规则从事就不会犯错。信念系统是引导员工主动朝正确方向做事，无疑是避免产生犯错误的压力，而内部控制制度则是假设员工会有意或无意犯错误，通过组织结构、信息沟通和规章制度等方面的措施屏蔽犯错误的机会。
　　基于TOEM模型的内部控制系统，目标设定和战略实施的协调就成为其控制的关键。企业发展缺乏明确的战略目标是不行的，但如果战略目标缺乏相应的组织结构、管理能力、资金技术、信息沟通等条件支持，战略目标不仅不能够实现，还会使企业陷入更大的危机。为此，需要严格控制企业目标设计和战略实施的风险。因此，企业目标的设定首先要适应市场的变化，在跟进市场热点的同时，要培养起与战略目标相匹配的能够支持目标实现的技术、人才、资金与市场，平衡好战略实施过程中的内部风险压力;否则，目标将无法实现，反而招致更大的风险。

　　基于战略控制的内部控制模式
　　集中战略性控制。随着第三次经济浪潮的到来， 企业往往把包含战略的长期目标转化为具体的决策和行为。相应的， 内部控制系统必须具有战略化的集中控制能力。控制不再仅仅是约束行为的工具， 更应成为实现变革的工具。
　　整体风险化控制。在后工业时期， 企业的文化、公司治理结构、公开化的操作和高透明度的信息支持， 越来越多影响着内部控制的效果。以战略为核心的风险导向内部控制整体框架应运而生， 成为现代自控制与原始自控制之间最大的差别。
　　自我引导式控制。内部控制发展史表明内部控制的强化曾为组织变大、变强，走向正规化打下了坚实的基础。如果没有规范的内部控制制度及其统一的评价标准，会计信息的质量就无法得到保证，股份制的组织形式也无法发展壮大起来。推动和引导组织发展应成为内部控制的机制和目标之一。
　　自发团队型控制。技术革命使技术人员为核心的团队的生成加速了内部控制向自控制演化的速度。组织的网络化和虚拟化常常使得高层强制的直接控制失效，而必须代之以战略控制为核心的间接控制;团队内部会采用多样化的控制手段，来自外部的、法律的控制不会产生太大的控制作用，它们可能更多的是设定一种行业规则，对某些危害较大的失控行为进行限制等，而内部自发的、道德的控制则可能更为有效。
　　“自控制”为核心的战略性整体控制。如果将早期的内部牵制看作一种引导自控制的方法的话，那么现在我们所说的内部控制更多的是一种“他控制”， 即事先确定一个相对固定的目标体系， 由外界施加一定的控制参数， 来保证控制目标的实现。
　　在企业战略发展中，管理者不能仅仅计较规模和利润，关键在于要把握其管理控制是否能够应对发展所带来的战略风险、组织风险、财务风险、控制风险、运营风险等。任何企业的战略发展，如果仅仅考虑到资金、市场或技术等，而缺乏完善的内部控制跟进，就无法整合拓展的资金、技术、市场等优势，势必增大风险。