近日，国资委发布了《关于做好2023年中央企业内部控制体系建设与监督工作有关事项的通知》国资厅监督［2023］8号，按照惯例，这份年度内控文件一般会在去年底左右发布，对于这份姗姗来迟的年度内控，很多企业也是一直在询问，最终文件以“加急”文件的方式发布。

2019年10月19日，国资委印发了《关于加强中央企业内部控制体系建设与监督工作的实施意见》（国资发监督规〔2019〕101号），简称101号文，提出了口号：强内控、防风险、促合规，开启了中央企业以融合方式推动内部控制体系建设的新篇章。

之后几年，国资委接连发布了 《关于做好2020年中央企业内部控制体系建设与监督工作有关事项的通知》（国资厅发监督〔2019〕44号）、《关于做好2021年中央企业内部控制体系建设与监督工作有关事项的通知》（国资厅监督〔2020〕307 号）以及《关于做好2022年中央企业内部控制体系建设与监督工作有关事项的通知》（国资厅监督〔2021〕299号），以及2023年的本份文件。

今年的文件共分为以下六个部分：

一、加强组织领导，着力健全内控管理体制机制。

二、加强制度建设，持续完善内控制度体系。

三、加强专项整治，不断增强内控体系刚性约束。

四、加强风险防控，促进提升重大风险防控能力。

五、加强境外管控，有效防范境外违规经营风险。

六、加强质量控制，切实提升内控监督评价质效。

与以往的文件相比，最大的变化就是第一部分，关于加强内部控制组织领导部分。

在中央企业推动内部控制工作的组织职责方面，我们看一下这几年文件中的演变：

进一步完善企业内部管控体制机制，中央企业主要领导人员是内控体系监管工作第一责任人，负责组织领导建立健全覆盖各业务领域、部门、岗位，涵盖各级子企业全面有效的内控体系。中央企业应明确专门职能部门或机构统筹内控体系工作职责；落实各业务部门内控体系有效运行责任；企业审计部门要加强内控体系监督检查工作，准确揭示风险隐患和内控缺陷，进一步发挥查错纠弊作用，促进企业不断优化内控体系。

2019年内控文件，101号文

各中央企业要以落实国企改革三年行动方案为契机，加强组织领导，进一步深化内控体系监管工作，健全相关工作机制，落实各业务部门内控体系有效运行责任，强化内控体系监管部门职责，加强内控体系审计监督工作，持续优化企业内控体系，有效发挥内控体系强基固本、防控风险的重要作用，切实推动企业实现高质量发展。

2021年内控文件，307号文

各中央企业要持续强化组织领导体系建设，建立健全党委（党组）顶层谋划、主要领导亲自负责、董事会（或类似决策机构）全面领导、内控职能部门主责推动、业务职能部门协同配合的内控建设与监督管理体制；切实发挥内控职能部门统筹协调、组织推动、督促落实、监督评价的作用，压实内控建设和监督主体责任，进一步充实内控部门人员力量，提供必要的工作组织保障，形成领导有力、职责明确、流程清晰、规范有序的内控工作机制。

2022年内控文件，299号文

一是进一步完善党的领导融入公司治理的运行机制，加强党委（党组）对内控管理工作的全面领导，对企业内控与风险管理工作，以及存在的重大内控缺陷和风险隐患等情况，要定期向党委（党组）报告并抄送企业纪检监察机构。二是落实董事会对内控体系的监管责任，明确审计与风险管理等专门委员会推进内控体系建设与监督工作的职责，董事会要定期听取和审议内控职能部门工作情况报告。三是充分发挥内控职能部门统筹推动、组织协调、监督落实的作用，有效开展完善制度、强化执行、监督评价、整改落实等内控管理工作，切实提升内控体系规范化、法治化、专业化水平。

2023年内控文件，8号文

从文件的演变可以看出，前几年在内部控制工作的推动上，顶层的职能机构一直没有明确，只是提出把“中央企业主要领导人”作为内控体系监管的第一责任人。

2021年提出根据以《国企改革三年行动方案》为契机，加强组织领导工作。

我们都知道，在国企改革三年行动方案中，有一个关于党组织、董事会和经理层的定位描述：

那么，内部控制工作应该属于哪个层面？

从西方的企业管理实践来看，风险管理、内部控制的责任人一直是属于董事会的职责范围。

所以，我们看到董事会定战略、做决策、防风险的描述还是比较恰当的。

由于内部控制体系服务的几个目标：运营目标、财务目标、合规目标，有企业把内部控制作为经理层的职责范围，而把内部控制工作放入经理层“强管理”部分内容，也没有问题。

所以，2022年内控文件中，用“董事会（或类似决策机构）全面领导”内部控制工作，也符合国际实践。

但是，2023年，这种组织机制的定位进行了调整：

党委：对内控管理工作全面领导；

董事会：落实监管责任，明确专门委员会的建设与监督职责；

内控职能：统筹推动、组织协调、监督落实。

这种安排调整有几个问题可能需要注意：

1、党委的定位是把方向、管大局，对内控工作的全面领导是否符合这种职能定位？

我们都知道，内控涉及企业管理中大量繁杂的工作，制度完善、流程梳理，这些日常经常进行的企业管理事项到底能不能支撑把方向、管大局的目标。

换句话说，党委全面领导内部控制管理工作，到底有没有必要？会不会增加党委的工作负担，分散了应该把方向、管大局的注意力。

2、董事会或其授权的专业委员会（审计与风险管理委员会）对内控体系进行监管，在党委全面领导内部控制管理工作情况下，董事会监督内控体系的职能是否能真正实现？

3、这几年的文件中，一直没有明确的是经理层（经营层）在内部控制体系中的定位，而内部控制体系的实施主体就是这个经理层，这是个缺失。仅仅描述内控职能部门的职责不足以代替经理层在内部控制体系中的职责。

另外，目前企业的内部控制部门一般划入经理层（经营层），而不是治理层，这中间显然忽略了这个重要一环的职能描述。

但是，既然文件定了，党委全面领导内部控制管理工作的实践就启动了。

这开启了一个新的起点，未来的中央企业，甚至是所有国有企业，内部控制工作都会划归到在党委的领导下开展，这好像正好贯彻了“坚持党对一切工作的领导”的原则。