Focus|特稿
论企业发展战略与内部控制的关系
□吴秋生
[摘
要]本文认为合理保证企业发展战略顺利实施，是内部控制的最高目标，发展战略是影响内部控制设计和运行的重要环
境因素。发展战略与内部控制是相互交融、密不可分的。企业应当科学制定发展战略，以便有效实施内部控制；应当切实依据发展战略，设计和实施内部控制；应当充分运用内部控制来制定和实施发展战略。
[关键词]发展战略；内部控制；关系[中图分类号]F272．1
[文献标识码]A
[文章编号]1006－5024(2012)10－0005－05
“管理层凌驾内部控制预警指标体系研究”（批准号：11YJA630154）[基金项目]教育部人文社会科学研究规划基金项目
[作者简介]吴秋生，山西财经大学会计学院教授，博士生导师，管理学博士，研究方向为审计与内部控制。（山西太原030006）Abstract：Thepaperarguesthatreasonablyassuringthesmoothimplementationoftheenterprisedevelopmentstrategyisthehighest
goaloftheinternalcontrol，andthedevelopmentstrategyisoneoftheimportantenvironmentalfactorsaffectingtheinternalcontroldesignandoperation．Developmentstrategyandinternalcontrolareinteractingwitheachotherandinseparable．En-terprisesshouldscientificallyformulatedevelopmentstrategiestodesignandimplementtheinternalcontrolandmakefulluseoftheinternalcontroltoformulateandimplementthedevelopmentstrategies．
Keywords：developmentstrategy;internalcontrol;relationship
常言道：“三年发展靠机遇，十年发展靠战略”。战略
（strategy）是指重大的、长远的、带全局性的或决定全局在企业管理领域，战略也被称为企业发展战略，的谋划。
是指企业在对现实状况和未来趋势进行综合分析和科学预测的基础上，制定并实施的战略目标与战略规划。企业发展战略与内部控制是相互依存、密不可分的。弄清两者之间的关系，对于恰当制定企业发展战略，有效实施内部控制都具有重要意义。
一、合理保证企业发展战略实现是内部控制的最高目标
内部控制的目标，通常指内部控制所要达到的预期效果和所要完成的控制任务。内部控制目标是建立和实施内部控制的导向，直接影响着内部控制建设和运行的效率。
关于内部控制的目标目前会计职业界尚有不同看法。美国COSO1994年在其发布的《内部控制———整体框架》把内部控制目标设定为3个：合理保证经营的效
EnterpriseEconomy
2012年第10期(总第386期
)
率和效果、财务报告的可靠性、适用法律法规的遵循
《企业内部控制性。我国财政部等五部委2008年发布的基本规范》将内部控制的目标设定为5个：合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整、经营效率和效果、企业发展战略顺利实施。
中美两国内部控制基本规范在内部控制目标设定上的主要分歧在于是否将合理保证企业发展战略的顺利实施确定为内部控制的目标。我们认为，发展战略本身的重要性和发展战略对内部控制的重要性，都要求把合理保证企业发展战略的顺利实施作为高层次的内部控制目标，这是因为任何人类活动如果把目标设定为多个并列的目标，则意味着目标不明确；没有明确目标的人类活动，其效率难以提高，也难以衡量。如果把企业内部控制的目标仅仅设定为合理保证企业经营的效率和效果，财务报告及相关信息的真实可靠、资产的安全完整和国家法律法规的严格遵循，就会出现内部控制目标不明确的问题，就会导致内部控制的制定和实施无所适从，难以制定和有效实施。
5
论企业发展战略与内部控制的关系
要明确内部控制的目标，基本方法有两个：一是从效率和效果、真实性和遵循性三个目标中甄别出一个真正的内部控制目标予以保留，其他现有目标则予以删除；二是在上述三个目标的基础上归纳提升出一个更高层次的最高目标，实现有三个目标能够统一为一个更高我们认为，效率和效果、真实性和遵循性都层次的目标。
是内部控制应当实现的直接目标，但是这三个目标都不是内部控制的根本目标，而且相互之间有时会出现内部控制要求的冲突，如效率目标要求经营管理应尽可能省略审批手续，而真实性和遵循性目标则要求尽可能健全审批手续。为了能尽可能协调这三个目标之间的冲突，促进这三个目标更有效地实现，也为了使内部控制的目标明确，保证和提高内部控制的质量和效率，必须在这三个目标的基础上为内部控制设定一个合理的最高层次的目标。
有的人认为这个最高目标是企业价值最大化。李心
这合（2008）认为：“企业的目标是追求企业价值最大化，”也是内部控制的基本目标。我们认为，企业价值最大化作为企业整体的最高目标尚不够全面，没有考虑到企业的社会责任履行要求，而且，把企业价值最大化作为内部控制的最高目标，体现不出内部控制本身的特点———
控制风险而不是创造价值。企业价值最大化“与内部控制的直接目标之间没有直接的联系，对内部控制的建设
（杨瑞平，和运行也没有明确的指导意义。”2010）现代内部控制“有一个共同的目标指向，即降低各
（李连华，种风险带来的损失。”识别、评估、2007）因此，应对、控制风险是现代内部控制的基本职责。风险是相对于目标而言的，没有目标就没有风险。COSO在2004
《企业风险管理——年制定的—整合框架》认为，目标设定是风险评估的前提条件。必须首先有目标，管理层才能识别这些目标的风险，并采取必要的措施来管理风险。因此，风险的本质是影响目标顺利实现的各种可能因素和可能性程度。就企业而言，最高层次的目标就是战略目标。因此，从根本上说，判定企业面临的某种因素是否是风险因素、有多大的风险，根本的标准是其对企业发展战略顺利实施是否有影响，以及影响程度的大小。由此可见，合理保证企业发展战略的顺利实施，是企业内部控制的最高目标。
就发展战略在企业管理体系中的地位来说，它也应当作为企业内部控制的最终目标，因为发展战略是企业经营管理活动的总导向，作为企业管理机制的重要组成
“战略部分的内部控制也应当以发展战略为根本导向。目标反映了管理层就如何努力为其利益相关者创造价值所作出的选择，是最高层次的目标，与其使命相关联
6
”（郑洪涛，并支撑其使命。张颖，合理保证企2009）因此，业经营的效率和效果、财务报告及相关信息的真实可资产的安全完整这三项目标应当服从和服务于促进靠、
企业发展战略顺利实施这一最高目标，至于合理保证法律法规的贯彻执行，既是法制社会的共同要求，也是促进企业顺利实现发展战略的需要。
二、发展战略是影响内部控制设计和运行的重要环境因素
（一）发展战略直接影响风险评估的结果和时间内部控制中的风险评估是指企业参与控制的人员应当及时识别、科学分析影响企业内部控制目标实现的各种风险因素及其水平，并据以确定应对策略的过程，风险识别、风险分析、风险应对策略确它包括目标设定、
定等环节。风险评估确定的风险应对策略，是企业实施内部控制活动的直接依据。
目标设定是风险识别、风险分析和风险应对策略确定的前提。企业应当按照战略目标、企业整体的和具体业务层次的风险承受能力及法律法规、企业章程等的要求，设定每年的经营目标、财务报告目标、资产安全目标和合规性目标等内部控制目标，进而根据内部外部各种可能影响企业目标实现的因素识别风险，根据识别出来的风险因素分析其发生的可能性及其影响程度，确定其风险水平，根据风险水平和企业风险容限、风险偏好等因素选择风险应对策略。
发展战略也直接决定着企业各种经营风险的高低，是引发经营风险的首要因素，是控制企业风险的首要着力点。国外的安然公司破产案和国内的中航油新加坡分公司经营失败案件等案例都表明，过于激进的发展战略是企业经营风险的根本源头。因此，评估风险应当从企业发展战略的制定开始，评估风险的高低也首先要看它对发展战略的影响程度；发展战略制定过程中考虑过的各种可能的意外因素，也是战略实施过程中需要反复考虑和谨慎应对的风险因素。
“不冒风险但是，并不是发展战略越谨慎越好。其实
最危险”。在竞争激烈的市场经济社会，竞争是无法回避的，没有积极进取的发展战略，就必将导致企业不进则退，竞争失败。最合理的发展战略应当是与企业风险偏好相一致的。风险偏好是企业在实施发展战略过程中愿意接受的，能够最大限度地利用市场机会，最有效地运用企业资源，同时又不至于使企业破产清算的，经过董事会审查批准的风险性质和水平，是制定战略和确定风险应对策略的重要依据。当企业发现战略风险明显超过企业风险偏好时，就应当选择风险回避策略，即应当对
EnterpriseEconomy
2012年第10期(总第386期)
论企业发展战略与内部控制的关系
发展战略进行调整，以适当降低其相关风险。
“在对风险发生的可能性和影响程度进行估计时，需要注意评估的时间范围应该与相关战略和目标的时
（杨瑞平，间范围相一致。”2010）“因为许多主体的战略和目标着眼于短期或中期的时间范围，因此，管理当局战略方向自然就关注这个时间范围相关的风险。然而，和目标的某些方面却延伸到较长的时期。因此，管理当局需要认识到较长的时间范围，并且不能忽略那些可能（李心合，延伸的风险。”2008）
所以，发展战略是内部控制风险评估需要考虑的首要因素，对内部控制风险评估具有重要的影响，直接制约风险识别、风险计量和风险应对策略确定。
（二）发展战略直接影响控制活动的内容和方式
控制活动是指企业参与控制的人员根据风险评估确定的风险控制应对策略的要求设计和实施的，以合理保证将各种风险控制在可接受水平（风险容限）之内而控制活动所采用的控制措施一般实施的各种控制措施。
包括：不相容职务分离控制、授权审批控制、会计系统控财产保护控制、预算控制、运营分析控制和绩效考评制、控制等。
发展战略决定着要实施的控制活动种类和方式、方法。发展战略影响风险评估的结果，风险评估的结果“控制活动中控制什么、用什影响着控制活动的实施。
谁来控制，都要以风险评估结果为主要导么措施控制、
向，要确保将企业面临的风险控制在企业自身的风险（杨瑞平，容限（risktolerance）之内。”2010）风险容限也风险承受力，它是企业在实现目标的称为风险容忍度、
过程中可以容忍的有关风险因素导致的实际目标实现程度与预期目标实现程度之间的偏差。企业设定的风险偏好的最大值不应超过企业风险容限。确定风险容
限要考虑经营管理具体目标（分年度、分业务类型或单元的目标）对企业发展战略的影响。某种具体目标对发展战略实施影响越大就越重要，其实现过程中允许出现的偏差就越小，其风险容限水平应当越低。在确定风险容限时，还应当具有风险组合的观念，以企业发展战略的顺利实施为依据，综合考虑相关风险与相关机会的关系，综合考虑风险的危害性和机遇性的关系，综合考虑局部的风险与整体的机遇或局部的机遇与整体的风险关系，综合考虑近期的风险与长远的机遇或近期的机遇与长远的风险关系等，全面权衡、准确确定风险容限，为控制活动提供合理的风险控制目标：把实际风险控制在风险容限内。
发展战略是全面预算控制、营运分析控制、绩效考评控制等控制活动的根本导向和分析、评价标准，而且
EnterpriseEconomy
2012年第10期(总第386期)
发展战略的实施需要通过制定年度经营管理计划，实施全面预算、目标责任指标分解和考核、绩效考核和奖惩战略实施过程本身在很等控制活动来进行。也就是说，
大程度上就是内部控制活动过程。因此，控制活动的建设和实施必须以合理保证发展战略的有效实施为转比如，预算控制必须体现发展战略的要求。如果企业移。
选择外部扩张的发展战略，就需要采取以销售预算为核心的预算控制模式；如果企业选择巩固市场的内涵发展战略，则预算控制就应当采取以成本预算为核心的预算控制目标。又比如，近年来绩效考评控制活动中产生的关键评价指标（KeyPerformanceIndication，就是发KPI），展战略在企业管理中日益受到重视并实际运用的结果。KPI是指根据企业战略目标确定的衡量企业、部门及个人绩效的指标体系，是衡量企业发展战略实施效果—基的关键指标，它包括三个层次的指标：企业级KPI——于战略的关键成功因素分析建立的关键绩效指标；部门—根据企业级KPI、部门职责和业务流程分解级KPI——
建立的关键绩效指标；个人KPI———根据部门级KPI、岗位职责和业务流程演化建立的关键绩效指标。
（三）发展战略影响着信息收集的内容与沟通途径
内部控制中的信息与沟通是指企业参与控制的人员应当及时、准确、完整地收集与企业经营管理相关的各种信息，并使这些信息以适当的方式在企业有关层级之间、企业与外部有关各方进行及时传递、有效沟通和正确应用的过程。信息与沟通是有效实施内部控制的重要条件，因为有关岗位、人员和部门之间要能够相互联系、相互制约就必须首先相互了解，即保证相关信息的对称或透明。
企业的信息收集和沟通不仅是实现组织内部各部门、各岗位之间相互联系、相互制约的前提条件，也是保证发展战略合理制定和顺利实施的重要条件；企业没有充分的信息收集、分析与沟通，就不可能制定出合理的发展战略。发展战略制定和实施的有关信息也是内部控制的信息与沟通的重要内容，因为合理保证发展战略的顺利实施是内部控制的根本目标。发展战略的重要性决定了它的制定和实施信息是包括内部控制在内的各项企业管理活动需要密切关注和分析利用的信息。要保证企业各项管理活动有效，就必须注意及时收集和充分利用与发展战略形成和实施有关的信息，据以确定管理政策和指令，实施内部控制活动，使企业的各项经营管理活动都能围绕促进发展战略顺利实施来有效进行。
值得注意的是，2000年7月由国际电脑稽核协会所属的信息系统审计与控制基金会修订的COBIT(ControlledObjectivesforInformationandRelatedTech-7
论企业发展战略与内部控制的关系
将IT过程、nology)标准，IT资源及信息与企业的发展战略与目标联系起来，使得信息技术运用与企业发展战略
“COBIT考虑了企业自身的战略实施之间实现了互动。
规划，对业务环境和企业总体的业务战略进行了分析定政策、行动计划作为信位，并将战略规划所产生的目标、息技术的关键环境，由此确定了IT准则。在IT准则指导下，利用控制目标模型，分别从规划与组织、获取与实施、服务与技术、监控与评估等过程来控制与管理信息资源，在信息系统管理与控制的同时，引入审计指南，从
（郑洪而保证IT资源管理安全性、可靠性和有效性。”涛，张颖，2009）
（四）发展战略也是进行内部控制监控的根本依据
内部控制监控是企业内部审计等部门和人员、企业聘请的社会中介机构和人员对企业内部控制的有效性进行的评价和审计等工作，是有效实施内部控制的重要保证。
无论是内部控制评价还是内部控制审计，直接的目的都是确定内部控制是否存在重要的和重大的缺陷，都需要事先设定缺陷的判断标准。评价内部控制是否有效的直接标准是内部控制能够合理保证财务报告及相关信息的真实可靠、经营管理的效率和效果、资产的安全完整、法律法规的遵循，根本的标准则是内部控制能否合理保证发展战略的顺利实施、战略目标的顺利实现；审计鉴证内部控制缺陷是否重大缺陷，主要标准之一也是缺陷对发展战略顺利实施的影响程度，影响程度越大的缺陷越重要。
三、实现发展战略与内部控制良性互动的建议（一）科学制定发展战略为有效实施内部控制提供重要条件
企业应当明确成功的发展战略具备的特征：(1)有先进的经过充分努力能够实现的战略目标；(2)能引导企业长期持续奋斗；(3)能够调动企业全体人员参与其中；(4)能够充分利用内外部环境；(5)能使企业超越现状或竞争对手。
企业应当在董事会下设立战略委员会，负责发展战略制定的具体组织领导和发展战略实施的监督指导。战略委员会主任应由董事长担任，委员应当具有战略管理素质和经验，其任职资格和选任程序应当符合有关法律法规和企业章程的规定。企业应当明确战略委员会的职权、议事规则和办事程序，保证其职能作用的充分发挥。企业管理层应设置专门的战略管理机构或指定相关管理机构负责发展战略的具体制定、督促实施和检查评战略管理机构应当在总经理的价等战略管理具体工作。
8
直接领导下工作，及时主动地向战略委员会报告工作，接受战略委员会的工作指导和监督。
企业应当在充分调查、仔细分析、反复论证的基础上制定发展战略。需要调查分析的外部环境因素主要包行业环境及竞争对手、经营环括：企业所处的宏观环境、
境等，分析时应当着重分析这些环境因素的变化和发展趋势及其对企业发展可能造成的影响，要特别注意捕捉机会和识别风险；需要调查分析的内部资源条件主要包括：企业资源、企业能力、核心竞争力等各种有形和无形资源。分析时应当着重关注这些资源和能力使企业在同行业中处于何种地位？企业有哪些优势和劣势？企业制定的发展战略所承担的风险应当与管理层在董事会监督下确定的风险偏好相一致，否则应当修改发展战略直至发展战略与风险偏好一致为止。确定风险偏好需要考虑内部控制对战略风险的控制能力。企业认为必要时可以聘请中介机构或外部专家协助进行战略的调查、分论证工作。析、
企业发展战略应包括战略目标和战略规划两个要企业确定战略目标应当能充分发挥和不断强化企业素。
的核心竞争力，应当既不冒进又不保守，能充分利用外部环境和内部资源条件，充分把握机会和规避风险。战略规划应当明确企业发展的阶段性目标和工作任务，确方式和方法。制定战略规划要定完成这些任务的路径、
充分考虑各种可能出现的意外并准备好预案，对内外部条件的利用要留有余地，要为可能发生的战略调整做好准备。企业战略委员会及战略管理部门应当加强对发展战略实施情况的监控，定期收集和分析与内外部环境变化相关的信息，果断而慎重地作出战略调整甚至改变。企业的发展战略方案或战略调整方案应在董事会
审议通过后，报经股东（代表）大会批准后实施。企业管理层应当严格根据战略目标制定年度工作计划，运用目标责任制、全面预算管理、科学的绩效考核和严格的奖惩，把年度计划任务分解落实到每个部门甚至每个人，让每一个人都清楚地了解自己的行动对实现企业战略目标的作用。
（二）切实依据发展战略设计和实施内部控制
作为内部控制的重要目标和环境因素，发展战略对内部控制五个要素都有着重要的影响，企业在设计和实施内部控制时应当全面考虑发展战略对内部控制各要素的影响，努力适应发展战略的要求，积极促进发展战略的顺利实施。为此，企业应当努力做好下列工作：
企业应当根据发展战略的要求，建设和优化内部控制的内部环境，包括合理设置或调整企业组织结构和权责分配，建立董事会的战略委员会和经理层的战略管理
EnterpriseEconomy
2012年第10期(总第386期)
论企业发展战略与内部控制的关系
机构，合理确定他们的职责权限和相互关系，优化公司治理结构；从发展战略顺利实施的要求出发对企业组织结构和权责分配作出适当的调整和完善；合理确立高管人员的风险理念和经营风格，董事会应当聘请专家对发展战略的风险水平及其与企业风险容限的匹配程度进行评估，并将评估结论提交董事会审定，确保将发展战略的风险限制在企业的风险容限之内；合理配置企业的人力资源，充分考虑发展战略实施的需要和企业现有员工作态度，适当调配人员组合，补充或削工的专业特长、减工作人员。
企业管理层应当根据发展战略及其实施情况及时、全面地评估企业面临的风险，包括应当充分考虑发展战略的要求确定企业各项业务的具体目标；不但要根据具体目标识别各项业务面临的风险或机会，而且要根据发展战略识别整个企业面临的风险或机会；评估有关风险的程度时，不但要依据各种风险因素对具体目标顺利实现的影响程度，而且要依据各种风险因素对战略目标顺利实现的影响程度。
企业应当根据发展战略及其顺利实施的要求开展控制活动，包括要切实以风险评估结果及其所决策的风险应对策略为依据设计和实施控制活动，高管人员特别是董事会要以企业发展战略及其顺利实施为根本依据对设计和实施的重要控制活动进行审批和调整。
企业管理层应当根据发展战略及其顺利实施的要求改进信息收集和沟通渠道和方法，注意收集和运用与发展战略科学制定有关的信息，及时收集和沟通与发展战略实施情况有关的信息，提高企业信息收集与沟通质量，为科学制定和及时调整发展战略，为正确评估相关风险，有效实施相关控制活动和内部控制监控，保证发展战略的顺利实施提供全面而可靠的信息。
企业治理层应当以发展战略及其顺利实施对内部控制的要求为根本标准，组织内部控制管理机构及参与内部控制的各个部门和人员，对内部控制有效性进行专项或全面的评价，及时发现并解决问题，保证发展战略的顺利实施；聘请注册会计师对内部控制有效性进行独立审计，充分发现内部控制存在的缺陷，准确判断内部控制缺陷的性质，如实报告内部控制有效性信息，帮助财务报表使用者正确作出判断和决策，强化企业外部治理，促进企业发展战略的顺利实施。
（三）充分运用内部控制制定和实施发展战略
最后需要指出的是，发展战略对内部控制虽然具有根本导向和基本影响因素的作用，内部控制应当按照合
理保证发展战略顺利实施的要求进行建设和运行，努力提高风险控制能力，保证发展战略的顺利实施，但是，内企部控制对于发展战略也具有支持和保障作用。为此，业应当做好以下工作：
企业发展战略的制定必须以内部控制的风险控制能力为重要依据，发展战略及其实施引发的相关风险不能超越企业在战略实施过程中可以实施内部控制的风险控制能力。
企业发展战略的制定过程必须符合内部控制的要求。企业发展战略的制定是企业最重要的决策之一。为了保证决策的科学性和民主化，这一决策过程也应当置于内部控制之中，按内部控制的要求，合理设置组织机构和配置职权，建立合理的工作程序，进行严格而合法的审批手续，建立严肃而有效的监督机制等等。
企业发展战略的实施过程必须完全置于内部控制之中。企业不但要做好日常经营管理活动的控制，保证发展战略的有效实施，而且经理层应当定期对发展战略的实施情况进行分析总结，并向董事提交发展战略实施情况总结分析报告；董事会定期指派内部审计机构或聘请外部审计机构对发展战略实施情况进行审计，应当结合审计报告对经理层提交的发展战略实施情况总结分析报告进行审核，并就分析总结报告中提出的调整发展战略或调整战略实施的重要措施或关键人员进行决策，对管理层实施战略的绩效进行评价并提出指导性意见。
参考文献：
[1]财政部等五部委．企业内部控制基本规范[S]．2008．[2]财政部等五部委．企业内部控制应用指引第2号：发展战略[S]．2010．
[3][美]COSO．内部控制———整合框架[S]．1994．[4]李心合．企业内部控制基本规范导读[M]．大连：大连出版社，2008．
[5]李连华．内部控制理论结构———控制效率的思想基础和政策建议[M]．厦门：厦门大学出版社，2007．
[6]郑洪涛，张颖．企业内部控制学[M]．大连：东北财经大学出版社，2009．
[7]王方华，吕巍．战略管理[M]．北京：机械工业出版社，2004．
[8]杨瑞平．基于发展战略视角的企业内控目标研究[J]．管理现代化，2010，(6)．
[责任编辑：熊一坚]
EnterpriseEconomy
2012年第10期(总第386期)
9
Focus|特稿
论企业发展战略与内部控制的关系
□吴秋生
[摘
要]本文认为合理保证企业发展战略顺利实施，是内部控制的最高目标，发展战略是影响内部控制设计和运行的重要环
境因素。发展战略与内部控制是相互交融、密不可分的。企业应当科学制定发展战略，以便有效实施内部控制；应当切实依据发展战略，设计和实施内部控制；应当充分运用内部控制来制定和实施发展战略。
[关键词]发展战略；内部控制；关系[中图分类号]F272．1
[文献标识码]A
[文章编号]1006－5024(2012)10－0005－05
“管理层凌驾内部控制预警指标体系研究”（批准号：11YJA630154）[基金项目]教育部人文社会科学研究规划基金项目
[作者简介]吴秋生，山西财经大学会计学院教授，博士生导师，管理学博士，研究方向为审计与内部控制。（山西太原030006）Abstract：Thepaperarguesthatreasonablyassuringthesmoothimplementationoftheenterprisedevelopmentstrategyisthehighest
goaloftheinternalcontrol，andthedevelopmentstrategyisoneoftheimportantenvironmentalfactorsaffectingtheinternalcontroldesignandoperation．Developmentstrategyandinternalcontrolareinteractingwitheachotherandinseparable．En-terprisesshouldscientificallyformulatedevelopmentstrategiestodesignandimplementtheinternalcontrolandmakefulluseoftheinternalcontroltoformulateandimplementthedevelopmentstrategies．
Keywords：developmentstrategy;internalcontrol;relationship
常言道：“三年发展靠机遇，十年发展靠战略”。战略
（strategy）是指重大的、长远的、带全局性的或决定全局在企业管理领域，战略也被称为企业发展战略，的谋划。
是指企业在对现实状况和未来趋势进行综合分析和科学预测的基础上，制定并实施的战略目标与战略规划。企业发展战略与内部控制是相互依存、密不可分的。弄清两者之间的关系，对于恰当制定企业发展战略，有效实施内部控制都具有重要意义。
一、合理保证企业发展战略实现是内部控制的最高目标
内部控制的目标，通常指内部控制所要达到的预期效果和所要完成的控制任务。内部控制目标是建立和实施内部控制的导向，直接影响着内部控制建设和运行的效率。
关于内部控制的目标目前会计职业界尚有不同看法。美国COSO1994年在其发布的《内部控制———整体框架》把内部控制目标设定为3个：合理保证经营的效
EnterpriseEconomy
2012年第10期(总第386期
)
率和效果、财务报告的可靠性、适用法律法规的遵循
《企业内部控制性。我国财政部等五部委2008年发布的基本规范》将内部控制的目标设定为5个：合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整、经营效率和效果、企业发展战略顺利实施。
中美两国内部控制基本规范在内部控制目标设定上的主要分歧在于是否将合理保证企业发展战略的顺利实施确定为内部控制的目标。我们认为，发展战略本身的重要性和发展战略对内部控制的重要性，都要求把合理保证企业发展战略的顺利实施作为高层次的内部控制目标，这是因为任何人类活动如果把目标设定为多个并列的目标，则意味着目标不明确；没有明确目标的人类活动，其效率难以提高，也难以衡量。如果把企业内部控制的目标仅仅设定为合理保证企业经营的效率和效果，财务报告及相关信息的真实可靠、资产的安全完整和国家法律法规的严格遵循，就会出现内部控制目标不明确的问题，就会导致内部控制的制定和实施无所适从，难以制定和有效实施。
5
论企业发展战略与内部控制的关系
要明确内部控制的目标，基本方法有两个：一是从效率和效果、真实性和遵循性三个目标中甄别出一个真正的内部控制目标予以保留，其他现有目标则予以删除；二是在上述三个目标的基础上归纳提升出一个更高层次的最高目标，实现有三个目标能够统一为一个更高我们认为，效率和效果、真实性和遵循性都层次的目标。
是内部控制应当实现的直接目标，但是这三个目标都不是内部控制的根本目标，而且相互之间有时会出现内部控制要求的冲突，如效率目标要求经营管理应尽可能省略审批手续，而真实性和遵循性目标则要求尽可能健全审批手续。为了能尽可能协调这三个目标之间的冲突，促进这三个目标更有效地实现，也为了使内部控制的目标明确，保证和提高内部控制的质量和效率，必须在这三个目标的基础上为内部控制设定一个合理的最高层次的目标。
有的人认为这个最高目标是企业价值最大化。李心
这合（2008）认为：“企业的目标是追求企业价值最大化，”也是内部控制的基本目标。我们认为，企业价值最大化作为企业整体的最高目标尚不够全面，没有考虑到企业的社会责任履行要求，而且，把企业价值最大化作为内部控制的最高目标，体现不出内部控制本身的特点———
控制风险而不是创造价值。企业价值最大化“与内部控制的直接目标之间没有直接的联系，对内部控制的建设
（杨瑞平，和运行也没有明确的指导意义。”2010）现代内部控制“有一个共同的目标指向，即降低各
（李连华，种风险带来的损失。”识别、评估、2007）因此，应对、控制风险是现代内部控制的基本职责。风险是相对于目标而言的，没有目标就没有风险。COSO在2004
《企业风险管理——年制定的—整合框架》认为，目标设定是风险评估的前提条件。必须首先有目标，管理层才能识别这些目标的风险，并采取必要的措施来管理风险。因此，风险的本质是影响目标顺利实现的各种可能因素和可能性程度。就企业而言，最高层次的目标就是战略目标。因此，从根本上说，判定企业面临的某种因素是否是风险因素、有多大的风险，根本的标准是其对企业发展战略顺利实施是否有影响，以及影响程度的大小。由此可见，合理保证企业发展战略的顺利实施，是企业内部控制的最高目标。
就发展战略在企业管理体系中的地位来说，它也应当作为企业内部控制的最终目标，因为发展战略是企业经营管理活动的总导向，作为企业管理机制的重要组成
“战略部分的内部控制也应当以发展战略为根本导向。目标反映了管理层就如何努力为其利益相关者创造价值所作出的选择，是最高层次的目标，与其使命相关联
6
”（郑洪涛，并支撑其使命。张颖，合理保证企2009）因此，业经营的效率和效果、财务报告及相关信息的真实可资产的安全完整这三项目标应当服从和服务于促进靠、
企业发展战略顺利实施这一最高目标，至于合理保证法律法规的贯彻执行，既是法制社会的共同要求，也是促进企业顺利实现发展战略的需要。
二、发展战略是影响内部控制设计和运行的重要环境因素
（一）发展战略直接影响风险评估的结果和时间内部控制中的风险评估是指企业参与控制的人员应当及时识别、科学分析影响企业内部控制目标实现的各种风险因素及其水平，并据以确定应对策略的过程，风险识别、风险分析、风险应对策略确它包括目标设定、
定等环节。风险评估确定的风险应对策略，是企业实施内部控制活动的直接依据。
目标设定是风险识别、风险分析和风险应对策略确定的前提。企业应当按照战略目标、企业整体的和具体业务层次的风险承受能力及法律法规、企业章程等的要求，设定每年的经营目标、财务报告目标、资产安全目标和合规性目标等内部控制目标，进而根据内部外部各种可能影响企业目标实现的因素识别风险，根据识别出来的风险因素分析其发生的可能性及其影响程度，确定其风险水平，根据风险水平和企业风险容限、风险偏好等因素选择风险应对策略。
发展战略也直接决定着企业各种经营风险的高低，是引发经营风险的首要因素，是控制企业风险的首要着力点。国外的安然公司破产案和国内的中航油新加坡分公司经营失败案件等案例都表明，过于激进的发展战略是企业经营风险的根本源头。因此，评估风险应当从企业发展战略的制定开始，评估风险的高低也首先要看它对发展战略的影响程度；发展战略制定过程中考虑过的各种可能的意外因素，也是战略实施过程中需要反复考虑和谨慎应对的风险因素。
“不冒风险但是，并不是发展战略越谨慎越好。其实
最危险”。在竞争激烈的市场经济社会，竞争是无法回避的，没有积极进取的发展战略，就必将导致企业不进则退，竞争失败。最合理的发展战略应当是与企业风险偏好相一致的。风险偏好是企业在实施发展战略过程中愿意接受的，能够最大限度地利用市场机会，最有效地运用企业资源，同时又不至于使企业破产清算的，经过董事会审查批准的风险性质和水平，是制定战略和确定风险应对策略的重要依据。当企业发现战略风险明显超过企业风险偏好时，就应当选择风险回避策略，即应当对
EnterpriseEconomy
2012年第10期(总第386期)
论企业发展战略与内部控制的关系
发展战略进行调整，以适当降低其相关风险。
“在对风险发生的可能性和影响程度进行估计时，需要注意评估的时间范围应该与相关战略和目标的时
（杨瑞平，间范围相一致。”2010）“因为许多主体的战略和目标着眼于短期或中期的时间范围，因此，管理当局战略方向自然就关注这个时间范围相关的风险。然而，和目标的某些方面却延伸到较长的时期。因此，管理当局需要认识到较长的时间范围，并且不能忽略那些可能（李心合，延伸的风险。”2008）
所以，发展战略是内部控制风险评估需要考虑的首要因素，对内部控制风险评估具有重要的影响，直接制约风险识别、风险计量和风险应对策略确定。
（二）发展战略直接影响控制活动的内容和方式
控制活动是指企业参与控制的人员根据风险评估确定的风险控制应对策略的要求设计和实施的，以合理保证将各种风险控制在可接受水平（风险容限）之内而控制活动所采用的控制措施一般实施的各种控制措施。
包括：不相容职务分离控制、授权审批控制、会计系统控财产保护控制、预算控制、运营分析控制和绩效考评制、控制等。
发展战略决定着要实施的控制活动种类和方式、方法。发展战略影响风险评估的结果，风险评估的结果“控制活动中控制什么、用什影响着控制活动的实施。
谁来控制，都要以风险评估结果为主要导么措施控制、
向，要确保将企业面临的风险控制在企业自身的风险（杨瑞平，容限（risktolerance）之内。”2010）风险容限也风险承受力，它是企业在实现目标的称为风险容忍度、
过程中可以容忍的有关风险因素导致的实际目标实现程度与预期目标实现程度之间的偏差。企业设定的风险偏好的最大值不应超过企业风险容限。确定风险容
限要考虑经营管理具体目标（分年度、分业务类型或单元的目标）对企业发展战略的影响。某种具体目标对发展战略实施影响越大就越重要，其实现过程中允许出现的偏差就越小，其风险容限水平应当越低。在确定风险容限时，还应当具有风险组合的观念，以企业发展战略的顺利实施为依据，综合考虑相关风险与相关机会的关系，综合考虑风险的危害性和机遇性的关系，综合考虑局部的风险与整体的机遇或局部的机遇与整体的风险关系，综合考虑近期的风险与长远的机遇或近期的机遇与长远的风险关系等，全面权衡、准确确定风险容限，为控制活动提供合理的风险控制目标：把实际风险控制在风险容限内。
发展战略是全面预算控制、营运分析控制、绩效考评控制等控制活动的根本导向和分析、评价标准，而且
EnterpriseEconomy
2012年第10期(总第386期)
发展战略的实施需要通过制定年度经营管理计划，实施全面预算、目标责任指标分解和考核、绩效考核和奖惩战略实施过程本身在很等控制活动来进行。也就是说，
大程度上就是内部控制活动过程。因此，控制活动的建设和实施必须以合理保证发展战略的有效实施为转比如，预算控制必须体现发展战略的要求。如果企业移。
选择外部扩张的发展战略，就需要采取以销售预算为核心的预算控制模式；如果企业选择巩固市场的内涵发展战略，则预算控制就应当采取以成本预算为核心的预算控制目标。又比如，近年来绩效考评控制活动中产生的关键评价指标（KeyPerformanceIndication，就是发KPI），展战略在企业管理中日益受到重视并实际运用的结果。KPI是指根据企业战略目标确定的衡量企业、部门及个人绩效的指标体系，是衡量企业发展战略实施效果—基的关键指标，它包括三个层次的指标：企业级KPI——于战略的关键成功因素分析建立的关键绩效指标；部门—根据企业级KPI、部门职责和业务流程分解级KPI——
建立的关键绩效指标；个人KPI———根据部门级KPI、岗位职责和业务流程演化建立的关键绩效指标。
（三）发展战略影响着信息收集的内容与沟通途径
内部控制中的信息与沟通是指企业参与控制的人员应当及时、准确、完整地收集与企业经营管理相关的各种信息，并使这些信息以适当的方式在企业有关层级之间、企业与外部有关各方进行及时传递、有效沟通和正确应用的过程。信息与沟通是有效实施内部控制的重要条件，因为有关岗位、人员和部门之间要能够相互联系、相互制约就必须首先相互了解，即保证相关信息的对称或透明。
企业的信息收集和沟通不仅是实现组织内部各部门、各岗位之间相互联系、相互制约的前提条件，也是保证发展战略合理制定和顺利实施的重要条件；企业没有充分的信息收集、分析与沟通，就不可能制定出合理的发展战略。发展战略制定和实施的有关信息也是内部控制的信息与沟通的重要内容，因为合理保证发展战略的顺利实施是内部控制的根本目标。发展战略的重要性决定了它的制定和实施信息是包括内部控制在内的各项企业管理活动需要密切关注和分析利用的信息。要保证企业各项管理活动有效，就必须注意及时收集和充分利用与发展战略形成和实施有关的信息，据以确定管理政策和指令，实施内部控制活动，使企业的各项经营管理活动都能围绕促进发展战略顺利实施来有效进行。
值得注意的是，2000年7月由国际电脑稽核协会所属的信息系统审计与控制基金会修订的COBIT(ControlledObjectivesforInformationandRelatedTech-7
论企业发展战略与内部控制的关系
将IT过程、nology)标准，IT资源及信息与企业的发展战略与目标联系起来，使得信息技术运用与企业发展战略
“COBIT考虑了企业自身的战略实施之间实现了互动。
规划，对业务环境和企业总体的业务战略进行了分析定政策、行动计划作为信位，并将战略规划所产生的目标、息技术的关键环境，由此确定了IT准则。在IT准则指导下，利用控制目标模型，分别从规划与组织、获取与实施、服务与技术、监控与评估等过程来控制与管理信息资源，在信息系统管理与控制的同时，引入审计指南，从
（郑洪而保证IT资源管理安全性、可靠性和有效性。”涛，张颖，2009）
（四）发展战略也是进行内部控制监控的根本依据
内部控制监控是企业内部审计等部门和人员、企业聘请的社会中介机构和人员对企业内部控制的有效性进行的评价和审计等工作，是有效实施内部控制的重要保证。
无论是内部控制评价还是内部控制审计，直接的目的都是确定内部控制是否存在重要的和重大的缺陷，都需要事先设定缺陷的判断标准。评价内部控制是否有效的直接标准是内部控制能够合理保证财务报告及相关信息的真实可靠、经营管理的效率和效果、资产的安全完整、法律法规的遵循，根本的标准则是内部控制能否合理保证发展战略的顺利实施、战略目标的顺利实现；审计鉴证内部控制缺陷是否重大缺陷，主要标准之一也是缺陷对发展战略顺利实施的影响程度，影响程度越大的缺陷越重要。
三、实现发展战略与内部控制良性互动的建议（一）科学制定发展战略为有效实施内部控制提供重要条件
企业应当明确成功的发展战略具备的特征：(1)有先进的经过充分努力能够实现的战略目标；(2)能引导企业长期持续奋斗；(3)能够调动企业全体人员参与其中；(4)能够充分利用内外部环境；(5)能使企业超越现状或竞争对手。
企业应当在董事会下设立战略委员会，负责发展战略制定的具体组织领导和发展战略实施的监督指导。战略委员会主任应由董事长担任，委员应当具有战略管理素质和经验，其任职资格和选任程序应当符合有关法律法规和企业章程的规定。企业应当明确战略委员会的职权、议事规则和办事程序，保证其职能作用的充分发挥。企业管理层应设置专门的战略管理机构或指定相关管理机构负责发展战略的具体制定、督促实施和检查评战略管理机构应当在总经理的价等战略管理具体工作。
8
直接领导下工作，及时主动地向战略委员会报告工作，接受战略委员会的工作指导和监督。
企业应当在充分调查、仔细分析、反复论证的基础上制定发展战略。需要调查分析的外部环境因素主要包行业环境及竞争对手、经营环括：企业所处的宏观环境、
境等，分析时应当着重分析这些环境因素的变化和发展趋势及其对企业发展可能造成的影响，要特别注意捕捉机会和识别风险；需要调查分析的内部资源条件主要包括：企业资源、企业能力、核心竞争力等各种有形和无形资源。分析时应当着重关注这些资源和能力使企业在同行业中处于何种地位？企业有哪些优势和劣势？企业制定的发展战略所承担的风险应当与管理层在董事会监督下确定的风险偏好相一致，否则应当修改发展战略直至发展战略与风险偏好一致为止。确定风险偏好需要考虑内部控制对战略风险的控制能力。企业认为必要时可以聘请中介机构或外部专家协助进行战略的调查、分论证工作。析、
企业发展战略应包括战略目标和战略规划两个要企业确定战略目标应当能充分发挥和不断强化企业素。
的核心竞争力，应当既不冒进又不保守，能充分利用外部环境和内部资源条件，充分把握机会和规避风险。战略规划应当明确企业发展的阶段性目标和工作任务，确方式和方法。制定战略规划要定完成这些任务的路径、
充分考虑各种可能出现的意外并准备好预案，对内外部条件的利用要留有余地，要为可能发生的战略调整做好准备。企业战略委员会及战略管理部门应当加强对发展战略实施情况的监控，定期收集和分析与内外部环境变化相关的信息，果断而慎重地作出战略调整甚至改变。企业的发展战略方案或战略调整方案应在董事会
审议通过后，报经股东（代表）大会批准后实施。企业管理层应当严格根据战略目标制定年度工作计划，运用目标责任制、全面预算管理、科学的绩效考核和严格的奖惩，把年度计划任务分解落实到每个部门甚至每个人，让每一个人都清楚地了解自己的行动对实现企业战略目标的作用。
（二）切实依据发展战略设计和实施内部控制
作为内部控制的重要目标和环境因素，发展战略对内部控制五个要素都有着重要的影响，企业在设计和实施内部控制时应当全面考虑发展战略对内部控制各要素的影响，努力适应发展战略的要求，积极促进发展战略的顺利实施。为此，企业应当努力做好下列工作：
企业应当根据发展战略的要求，建设和优化内部控制的内部环境，包括合理设置或调整企业组织结构和权责分配，建立董事会的战略委员会和经理层的战略管理
EnterpriseEconomy
2012年第10期(总第386期)
论企业发展战略与内部控制的关系
机构，合理确定他们的职责权限和相互关系，优化公司治理结构；从发展战略顺利实施的要求出发对企业组织结构和权责分配作出适当的调整和完善；合理确立高管人员的风险理念和经营风格，董事会应当聘请专家对发展战略的风险水平及其与企业风险容限的匹配程度进行评估，并将评估结论提交董事会审定，确保将发展战略的风险限制在企业的风险容限之内；合理配置企业的人力资源，充分考虑发展战略实施的需要和企业现有员工作态度，适当调配人员组合，补充或削工的专业特长、减工作人员。
企业管理层应当根据发展战略及其实施情况及时、全面地评估企业面临的风险，包括应当充分考虑发展战略的要求确定企业各项业务的具体目标；不但要根据具体目标识别各项业务面临的风险或机会，而且要根据发展战略识别整个企业面临的风险或机会；评估有关风险的程度时，不但要依据各种风险因素对具体目标顺利实现的影响程度，而且要依据各种风险因素对战略目标顺利实现的影响程度。
企业应当根据发展战略及其顺利实施的要求开展控制活动，包括要切实以风险评估结果及其所决策的风险应对策略为依据设计和实施控制活动，高管人员特别是董事会要以企业发展战略及其顺利实施为根本依据对设计和实施的重要控制活动进行审批和调整。
企业管理层应当根据发展战略及其顺利实施的要求改进信息收集和沟通渠道和方法，注意收集和运用与发展战略科学制定有关的信息，及时收集和沟通与发展战略实施情况有关的信息，提高企业信息收集与沟通质量，为科学制定和及时调整发展战略，为正确评估相关风险，有效实施相关控制活动和内部控制监控，保证发展战略的顺利实施提供全面而可靠的信息。
企业治理层应当以发展战略及其顺利实施对内部控制的要求为根本标准，组织内部控制管理机构及参与内部控制的各个部门和人员，对内部控制有效性进行专项或全面的评价，及时发现并解决问题，保证发展战略的顺利实施；聘请注册会计师对内部控制有效性进行独立审计，充分发现内部控制存在的缺陷，准确判断内部控制缺陷的性质，如实报告内部控制有效性信息，帮助财务报表使用者正确作出判断和决策，强化企业外部治理，促进企业发展战略的顺利实施。
（三）充分运用内部控制制定和实施发展战略
最后需要指出的是，发展战略对内部控制虽然具有根本导向和基本影响因素的作用，内部控制应当按照合
理保证发展战略顺利实施的要求进行建设和运行，努力提高风险控制能力，保证发展战略的顺利实施，但是，内企部控制对于发展战略也具有支持和保障作用。为此，业应当做好以下工作：
企业发展战略的制定必须以内部控制的风险控制能力为重要依据，发展战略及其实施引发的相关风险不能超越企业在战略实施过程中可以实施内部控制的风险控制能力。
企业发展战略的制定过程必须符合内部控制的要求。企业发展战略的制定是企业最重要的决策之一。为了保证决策的科学性和民主化，这一决策过程也应当置于内部控制之中，按内部控制的要求，合理设置组织机构和配置职权，建立合理的工作程序，进行严格而合法的审批手续，建立严肃而有效的监督机制等等。
企业发展战略的实施过程必须完全置于内部控制之中。企业不但要做好日常经营管理活动的控制，保证发展战略的有效实施，而且经理层应当定期对发展战略的实施情况进行分析总结，并向董事提交发展战略实施情况总结分析报告；董事会定期指派内部审计机构或聘请外部审计机构对发展战略实施情况进行审计，应当结合审计报告对经理层提交的发展战略实施情况总结分析报告进行审核，并就分析总结报告中提出的调整发展战略或调整战略实施的重要措施或关键人员进行决策，对管理层实施战略的绩效进行评价并提出指导性意见。
参考文献：
[1]财政部等五部委．企业内部控制基本规范[S]．2008．[2]财政部等五部委．企业内部控制应用指引第2号：发展战略[S]．2010．
[3][美]COSO．内部控制———整合框架[S]．1994．[4]李心合．企业内部控制基本规范导读[M]．大连：大连出版社，2008．
[5]李连华．内部控制理论结构———控制效率的思想基础和政策建议[M]．厦门：厦门大学出版社，2007．
[6]郑洪涛，张颖．企业内部控制学[M]．大连：东北财经大学出版社，2009．
[7]王方华，吕巍．战略管理[M]．北京：机械工业出版社，2004．
[8]杨瑞平．基于发展战略视角的企业内控目标研究[J]．管理现代化，2010，(6)．
[责任编辑：熊一坚]
EnterpriseEconomy
2012年第10期(总第386期)
9