李颖琦 | 《法制日报》：破解内控“重形式、轻实质”难题 夯实民营企业治理底座【2026年11月9日】

党的二十届三中全会提出，要“完善中国特色现代企业制度，弘扬企业家精神”。今年以来，工商联系统开展“一企一策”调研服务，笔者作为治理专家参与其中，一个突出感受是：民营企业内部控制建设“有没有”的问题基本解决，“好不好”的问题浮出水面——制度文本越来越全，执行却层层递减，“重形式、轻实质”成为制约治理提质增效的突出短板。

内部控制审计为此提供了一个观察窗口。财政部、中国证监会《关于强化上市公司及拟上市企业内部控制建设推进内部控制评价和审计的通知》要求，自2024年年报起所有上市公司披露内部控制审计报告，内控审计由此进入“全覆盖”时代。据中注协各年度年报审计情况快报，2023—2025年度，披露内控审计报告的上市公司由3804家增至5505家，被出具否定意见的分别为47家、39家和56家，占比分别为1.23%、0.72%、1.02%，2025年度呈回升态势。从涉及事项看，资金占用、违规担保、关联交易失控等高频出现，被出具否定意见的公司多已被实施风险警示；据笔者对中注协披露的明细表的梳理，其中绝大多数为民营控股公司。民企内控的差距不在“有没有制度”，而在制度管不管得住“关键少数”；内控建设最难的也不在“建设”，而在“执行”。

一、管住资金核心先管住“一支笔”

翻看近三年上市公司内部控制审计被出具否定意见的报告，资金问题出现得最多：资金占用、违规担保、体外循环，大多与实控人“一支笔”有关。这一现象在理论上并不新鲜——即便所有权与控制权合一，民企同样存在代理问题，只是冲突双方换成了实控人与中小股东、债权人，学界称之为“第二类代理问题”；约束缺位，通过资金占用、违规担保攫取公司利益的掏空行为就会发生。实践中这类情形大同小异：章程写明大额资金须集体决策，实际却由创始人一人签批；子公司账户林立，融资性贸易异化为“提款通道”。调研中就有企业直到银行集中抽贷，才发现账面资金与实际可动用资金相差数亿元，而制度里写明的审批程序从未启动过一次。

整改路径并不复杂：账户统一管理，大额资金两人以上联签并留痕，关联方资金往来逐笔识别、按月核对，印章、票据、网银密钥分人保管。需要提醒的是，一些企业在整改中习惯把这类问题归咎于财务人员失职，这是归因失焦——只要实控人或者高管个人权限不受约束，换谁当财务负责人结果都一样。

二、风控合规嵌入业务流程

内控不是挂在墙上的制度汇编，而是嵌入业务流程的控制活动。《企业内部控制基本规范》将其界定为由董事会、监事会、经理层和全体员工共同实施，旨在合理保证经营合法合规、资产安全、财务报告真实完整的过程；COSO《内部控制——整合框架》把“控制活动”列为五大要素之一，同样强调控制活动要与具体业务场景融合。对照这个标准，调研中的“制度空转”大体三类：制度上墙不落地，检查前突击补录；审批走形式，业务先办、审批后补，审批沦为事后“追认”；风控靠边站，合规部门没有否决权，风险提示成了“仅供参考”。

破题之道在于风险导向的流程再造。以采购、销售、投资、研发等业务为主线，逐项梳理风险节点，把合规校验挪到业务发起之前：供应商准入时同步做关联方筛查，合同签订前完成合规审查，投资立项时嵌入风险评估，让“控”赶在“做”前面，变事后补救为事前预警、事中管控。同时为了制衡有效，内控合规部门还应握有实质性的暂停权和越级报告权——高风险事项，内控说“不行”，业务就得停下来，不能绕道走。

三、让审计委员会和独立董事真正发挥作用

架构上，规模以上民企大多设立了审计委员会，不少公司聘了独立董事，但“有”不等于“管用”。《上市公司独立董事管理办法》对独董知情权保障、履职支持已有明确规定，关键在企业如何落实。调研发现，有的审计委员会一年只开一两次会，议题就是听取年报审计安排；独董对关联交易、对外担保的真实情况不了解，自然谈不上独立判断。独董能不能履职，关键不仅仅依赖于专业水平及勤勉尽责，对于独董的知情权保障也是非常重要的。

激活这道制衡，可以从以下几个维度提升。信息供给上，关联交易、重大投资、对外担保等事项应向独董提供完整底稿和专项说明，建立定期质询和专项沟通，避免“会前不看材料、会上泛泛表态”。组织保障上，内部审计应由审计委员会直接领导，内审负责人的任免、考核向审计委员会报告，让内审敢于对“一把手”亮剑。程序刚性上，涉及实控人及关联方的资金往来、担保事项，应设置独董前置发表意见的程序；独董有重大疑虑的，必须重新提交董事会审议，必要时请第三方专项核查。只要制衡真正管用，许多风险在酿成损失之前就能被拦住。

四、用数智化提升制度执行的刚性

传统内控监督靠人工抽查，覆盖面窄、反应慢，一个月上万笔交易，抽查难免挂一漏万。2024年修正的会计法首次把内部控制写入法律条款，对内控执行刚性的要求更高。大数据和人工智能提供了新工具：搭建统一的智能风控平台，建立覆盖各业务条线的风险指标库和动态预警模型；把人工智能、知识图谱用于合同合规校验、交易异常筛查、制度执行巡检，用机器替代重复性人工核验，减少人为偏差和“人情放行”。

更进一步，数智化能把内控规则固化到系统里：不相容职务分离、分级授权、审批权限等要求嵌入流程，从源头堵住“先斩后奏”。当然，技术只是手段——制度本身的权责逻辑混乱，再先进的系统也只是把混乱执行得更快。因此，企业需要先把制度理顺，再谈数智化流程优化。

随着退市制度持续完善，自2024年度起，单个会计年度内控审计报告被出具否定意见或无法表示意见的上市公司将被实施其他风险警示（ST），连续两个会计年度非标的将被实施退市风险警示（*ST），其后首个会计年度仍未消除的，将面临终止上市。内控失效的代价，已经从“资产受损”升级为“生死攸关”。对民企而言，内控合规不是发展的成本，而是安身立命的底线和价值创造的保障；监管越严，早做实的企业越能在融资、估值和合作中获得信任溢价。令人欣慰的是在调研服务中发现，不少企业家正在从“要我合规”转向“我要合规”。期待更多民营企业从管住资金、嵌入流程、激活制衡、数智赋能四个方面持续提升，推动内部控制从“纸面合规”走向“实质有效”，在高质量发展中行稳致远，实现基业长青。

（作者系上海国家会计学院教授、博士生导师，财政部内部控制标准委员会咨询专家，全国工商联民营企业现代治理专家委员会委员）