【作　　者】
戴春兰 丁小书

【作者单位】
（武汉理工大学管理学院 武汉 430070）

【摘　　要】

      【摘要】本文将组织免疫理论引入内部控制领域，运用规范研究方法探讨了组织免疫的内涵及其与内部控制的关系，并根据组织免疫的分类，设计了企业内部控制评价指标体系，构建了基于组织免疫视角的企业内部控制评价模型，为企业内部控制的评价提供了新思路。
【关键词】组织免疫   组织监视   组织防御   内部控制评价

      内部控制是企业日常经营管理活动的重要组成部分，也是企业推行全面风险管理的重要手段。“安然”事件发生后，美国通过了SOX法案。受SOX法案影响，世界各国纷纷出台类似规范，要求上市公司进行内部控制评价。我国先后出台《企业内部控制基本规范》（简称《基本规范》）和《企业内部控制评价指引》，内部控制评价也成为国内学者研究的热点问题。本文试图将组织免疫理论引入内部控制评价，以组织免疫的相关理论为基础构建企业内部控制评价体系，为企业进行内部控制评价提供新的思路。
一、组织免疫与内部控制
在医学上，免疫是指机体识别“自己”与“非己”，并排除异己以维持机体内部稳定的一种防御机制，这是人们健康长寿必须具备的条件之一。而组织免疫是指组织排除组织内外部的风险因素并产生记忆，以维护组织正常运转的能力，这种能力能够使企业可持续发展。
（一）组织免疫的作用机制
      组织免疫行为的根本目的在于防范组织内外部的风险，使组织始终处于健康状态。非特异性免疫是组织应对内外部风险因素的第一道防线。在非特异性免疫作用阶段，企业要根据自身所处环境和领导者的意愿设计组织免疫系统，包括设计组织结构、制定各种规章制度，并逐步形成组织文化，这些要素决定了组织“先天的”免疫力。但非特异性免疫显然无法抵御企业内外部的所有风险因素，因此，特异性免疫也十分重要。
      特异性免疫是组织针对内外部具体风险因素进行特殊干预所产生的免疫行为：通过组织监视即对风险进行识别与评估，然后针对识别和评估的风险进行组织防御即选择适当的应对策略，最后控制和应对风险并形成组织记忆。组织监视、组织防御和组织记忆是一个循序渐进的过程，经过这个过程，企业才能最终达到控制风险的目的。
（二）基于组织免疫评价内部控制的优势
      传统的内部控制评价方法主要依赖于专业人员的主观判断，没有充分考虑人的主观能动性以及人的道德、观念、态度、风格等因素，从而无法充分调动员工的积极性，甚至会导致员工产生抵触情绪。借用组织免疫理论评价内部控制，将企业对内外部的风险因素应对分为事先的、有计划的、一般的应对和后天的、特定的应对。对事先的、有计划的、一般的应对的评价类似于传统的内部控制评价。后天的、特定的应对能够针对特殊的重大的风险因素进行特殊控制，这从另一方面反映了在内部控制评价中人的主观能动性，克服了传统内部控制评价方法的局限性。从事先的、有计划的、一般的应对到后天的特定的应对，也体现了组织免疫视角下的内部控制评价的层次性及可操作性，避免了以五要素为基础和以目标为导向的内部控制评价层次复杂难操作的缺陷。
二、组织免疫视角下的内部控制评价体系构建
（一）选取评价指标
笔者结合组织免疫理论和《基本规范》，考虑全面风险管理的要求，将内部控制的评价指标分为三个层次：第一层次是内部控制有效性水平（为了便于模型的构建，事先给每个指标设定一个代码，这里设定X代表内部控制有效性水平），这是最高级的评价指标。第二层为组织免疫的目标层，分别由组织免疫的六个指标构成：组织结构（X1），规章制度（X2），组织文化（X3），组织监视（X4），组织防御（X5），组织记忆（X6）。前三个指标属于非特异性免疫，后三个指标属于特异性免疫。第三层是方案层，分别是用来评价组织免疫的各项具体方案和控制措施的指标，各指标分别用（Xij）表示（i=1，2…，6；j=1，2…，ni；ni为目标层指标Xi包含方案层的指标个数）。
1. 组织结构（X1）。完善的组织结构是企业建立有效内部控制体系的有力保障，我国《基本规范》第十二条到第十五条，分别强调了董事会、审计委员会、内部审计机构在企业内部控制中的重要作用，这些都属于组织结构的范畴，因此分别设立董事会的设立及职责履行、审计委员会的设立及权责履行、内部审计机构的设立及权责履行”三个第三层次指标。并分别用X11、X12、X13表示。
2. 规章制度（X2）。企业的规章制度是指组织中明文规定的各种规章制度。企业必须在规章制度中强调内部控制的重要性，并将抽象的内部控制落实为具体的措施。与内部控制紧密相关的规章制度有人力资源制度（X21）、权力分配制度（X22）和内控管理制度（X23）。首先，内部控制有五大目标，分别是战略目标、经营目标、合规性目标、资产安全目标和报告目标，而良好的人力资源制度无疑是保证战略目标实现的基石。其次，内部控制的一个重要问题是实现内部牵制，这就涉及到了企业的权力分配制度。最后，企业的内控管理制度合理与否也是直接影响内部控制有效性的重要因素。
3. 组织文化（X3）。《基本规范》对企业文化建设有明确规定：“企业应当加强文化建设，培育积极向上的价值观和社会责任感，倡导诚实守信、爱岗敬业、开拓创新和团队协作精神，树立现代管理理念，强化风险意识。”可见企业文化在内部控制中的重要地位。结合《基本规范》的要求，本文选取企业价值观（X31）、企业的社会责任感（X32）和企业风险意识（X33）三个评价指标。
4. 组织监视（X4）。组织监视属于特异性免疫的范畴，也是发现企业内部控制风险点的关键一环。企业组织监视的能力可以从以下几方面衡量：①企业内部控制目标的准确性（X41）。如果企业内部控制的目标设立过高，就有可能造成内控成本的大幅增加，这不符合内部控制的成本效益原则；如果目标定得过低，则有可能发现不了企业中存在的内部控制缺陷，造成内部控制的失效。因此，准确的目标对企业的内部控制尤为重要。②企业内部风险识别（X42）。对企业的风险进行准确的识别无疑是组织监视的重要职能，企业不仅应该关心财务状况，业务流程等内部风险因素，还应该关注经济形势、法律法规等外部风险因素。③企业的风险分析（X43）。企业应该分析各风险因素的严重程度，确定关注重点和应当控制的风险。
5. 组织防御（X5）。组织防御是对识别出的风险进行应对的过程，既包括具体的风险应对措施（X51），也包括授权审批控制（X52）、不相容职务分离控制（X53）、预算控制（X54）、运营分析控制（X55）、绩效考评控制（X56）等常规风险控制措施。
6. 组织记忆（X6）。组织记忆是存储过去的信息，为将来的决策服务的过程，它对企业的内部控制同样具有重要意义。一个好的企业应该善于及时对过去的信息进行收集、传递和处理，防止将来再犯过去的错误。企业应该设立专门机构以过去的信息为基础，对内部控制进行专项监督与日常监督，以提高内部控制的有效性。评价组织记忆水平的高低可以设计信息系统控制（X61）、信息质量控制（X62）、沟通控制（X63）、监督机构（X64）、监督活动（X65）等五个指标予以评价。
（二）选择评价方法
目前常见的评价方法有德尔菲法、层次分析法、模糊综合评价法、BP神经网络法、数据包络分析法（DEA）等。由于内部控制的评价指标全是定性指标，BP神经网络法和数据包络分析法不适用，而德尔菲法的主观性太强，因此本文选用模糊综合评价法，将定性判断的指标转化为定量描述的综合指数，从而对企业内部控制水平进行相对客观的评价。
（三）构建评价模型
      运用模糊评价法构建企业内部控制综合评价模型的基本步骤是：①建立评价因素集；②建立评语集；③为各层次指标赋权。考虑到指标具有层次性，本文采用层次分析法确定指标权重，以减小赋权过程的主观性；最后进行模糊综合评价。
1． 建立评价因素集。设企业内部控制的评价因素集为X，则X=｛Xi｝（i=1，2，…，6）。X1=｛x11，x12，x13｝，X2=｛x21，x22，x23｝， X3=｛x31，x32，x33｝，X4=｛x41，x42，x43｝，X5=｛x51，x52，x53，x54，x55，x56｝，X6=｛x61，x62，x63，x64，x65｝。
2． 建立评语集。设企业内部控制的评语集为V=｛vj｝。j=1，2，…，5；vj表示企业内部控制水平。
实践中，应当根据具体企业的实际情况选择确定评语集的复杂程度。A［90-100）表示企业内部控制健全有效，组织免疫能力非常强，基本上不存在缺陷；B［80-90）表示企业内部控制比较健全有效，具有较强的组织免疫能力，但存在一些轻微缺陷，应当予以完善；C［70-80）表示企业内部控制水平一般，组织免疫能力不佳，存在不少应当改进的缺陷；D［60-70）表示企业内部控制水平偏低，存在大量必须改进的一般缺陷或重要缺陷，组织免疫能力较差；E（＜60）表示企业内部控制水平很低，存在大量必须改进的重要缺陷或重大缺陷，几乎没有组织免疫能力。
3. 利用层次分析法确定权重。利用层次分析法确定目标层（x1，x2，…，x6）对综合评价X的权重向量W=（w1，w2，…，w6）以及方案层对目标层的6个权重向量Wxi=（wi1，wi2，…，wini），ni为每个目标层指标xi包含方案层的指标个数。现以组织免疫的目标层为例，进行指标权重的确定。
（1）构建判断矩阵。对目标层的因素进行两两重要性比较，构建其判断矩阵A。因素之间的重要性标度采用T.L.Saaty教授提出的1 ～ 9的比例标度，经过比较得到的组织免疫目标层的判断矩阵见表1。

依据表1构建组织免疫目标层判断矩阵A=（aij），同样的方法可以构建X1，X2，…，X6的判断矩阵A1，A2，…，A6。
（2）计算权值。根据组织免疫目标层判断矩阵A，求出矩阵A最大特征值对应的特征向量，并进行归一化处理后得到X的权重向量W：
W=（w1，w2，…，w6） （1）  
具体步骤如下：①计算表1中每行元素的积Mi。②计算M行的N次方根值W=        ，n=6。W=（1.201 0，0.890 9，0.490 3，1，1.906 4，1）T。③对向量作归一化处理，即Wi=          ，得到

判断矩阵的特征向量：Wi=（0.185 1，0.137 3，0.075 6，0.154 1，0.293 8，0.154 1）T。
（3）进行一致性检验。判断矩阵的构建具有主观性，需要检验其一致性。检验判断矩阵一致性的计算公式如下：
CR=CI/RI （2）  
其中：CR为判断矩阵随机一致性比率，CI为矩阵的一致性指标，RI代表同阶次矩阵的平均随机一致性指标。
当CR<0.1时，表明判断矩阵具有令人满意的一致性，否则，需要对判断矩阵进行调整，直到有令人满意的一致性为止。
判断矩阵的一致性指标CI定义为：
CI=（?姿max-n）/（n-1）         （3）  
其中：?姿max代表判断矩阵的最大特征值，采用和法或幂法可近似求得，n代表判断矩阵的阶数。
判断矩阵平均随机一致性指标（RI）取值如表2所示。

根据以上公式及数据可以对目标层判断矩阵进行一致性检验：
①求最大特征根：
     ?姿max=■    ■=■（■+■+■+■+■+■）=6.072 2
②建立一致性指标：CI=■=■=0.014 443。
③查找相应的平均随机一致性指标RI，计算一致性比率CR=■=■=0.011 46<0.1。
CR<0.1，认定判断矩阵的一致性可以接受，所以得出组织免疫目标层Xi的权重Wi分别为：0.185 1、0.137 3、0.075 6、0.154 1、0.293 8、0.154 1。
最终确定的各个目标层的方案层的权重，见表3。

同理，也可计算目标层的6个权重向量Wxi=（wi1，wi2，…，wini），i=1，2，…，6。并通过上述方法可以对各判断矩阵进行一致性检验。
（4）构建隶属度矩阵。请专家对每个指标进行评价（5种评分等级），构建各个第二层次指标的隶属矩阵R1，R2，…，R6，可以用矩阵Ri表示：

其中：rij代表矩阵第i行第j列的一个元素，表示第i个指标得到第j种评语的可能性，可以用专家选择该评语的百分比表示，ni表示目标层xi指标所属构成因素的个数。
4. 进行模糊综合评价。以湖北某化工企业上市公司为例。针对该公司具体的组织结构、规章制度、组织文化、组织监视、组织防御和组织记忆对企业内部控制评价的影响情况，进行如下运算：
（1）确定模糊评价矩阵。通过专家打分法得出各定性指标的隶属度，并据此确定方案层的模糊评价矩阵Rm（m=1，2，…，6），如R1可表示为：

（2）计算对评语集V的隶属向量。计算目标层对评语集的隶属向量Bm（m=1，2，3，4，5，6）。
Bm=Wm·Rm  （5）  

=［0.658 7  0.124 9  0.125 1  0.091 3  0］
运用相同的计算程序和方法分别计算得出B2、B3、B4、B5、B6。
由B1、B2、B3、B4、B5、B6。构建矩阵R：

（3）根据权重W和评价矩阵计算综合评价结果S：

（4）根据企业内部控制水平A、B、C、D、E五个等级评价集对应的分数向量G（每个等级取其值域的中间值）：G=（95，85，75，65，50）T，可以得出最终评估分值V：
V=S·G  （7）  
（5）举例。湖北某化工上市公司组织免疫视角下的内部控制综合评价计算如下：    

=［0.622 9  0.194 8  0.128 7  0.053 6  0］
运用湖北某化工上市公司相关数据计算该公司组织免疫视角下的内部控制综合评价的最终评估分值：
V=S·G =0.622 9×95+0.194 8×85+0.128 7×75+0.053 6×65+0×50=89.14
计算结果表明，在组织免疫视角下的企业内部控制综合评价中，有62.29%的专家认为湖北某化工企业上市公司内部控制水平为A［90，-100），19.48%的专家认为该公司的内部控制水平为B［80，-90），有12.87%的专家认为其内部控制水平为C［70，-80），有5.36%的专家认为该公司内部控制水平为D［60，-70），没有专家认为该公司的内部控制水平为E（＜60）。组织免疫视角下的企业内部控制评价指标的最终评价得分为89.14分，即为B等，表示企业内部控制比较健全有效，具有较强的组织免疫能力，但存在一些轻微缺陷，应当予以完善。
（四）评价结果分析
运用所构建的模型，既可以计算出企业内部控制整体有效性水平的数值，也可以得知在组织结构、规章制度、组织文化、组织监视、组织防御和组织记忆这六个环节中，哪些方面做得比较好，哪些方面还有待改进，从而清楚地辨别企业内部控制的关键控制点和有缺陷的控制点。同时，该方法将定性的问题定量化，有助于企业更好地对比不同时期的内部控制执行情况，实现企业内部控制的动态评价。
三、结束语
将组织免疫理论引入企业的内部控制，结合组织免疫系统设计企业内部控制评价指标体系，运用层次分析法和模糊综合评价原理构建基于组织免疫视角的企业内部控制评价模型，对企业内部控制水平进行综合评价是一个新的尝试。
      然而，本文只是对组织免疫与内部控制结合的初步探索，设计的模型只能作为企业内部控制自我评价和社会评价的参考，目前还不能取代内部控制审计。在今后的研究中，笔者将继续借助组织免疫理论研究企业风险的形成机理与传导路径，运用本研究成果进一步研究上市公司内部控制的具体评价措施和方法。
主要参考文献
1. 吕萍，王以华.组织免疫系统的构建与运行机制——对大田湾核电站的案例研究. 科学学与科学技术管理，2009；6
2. 王以华，吕萍，徐波，杨震宁，苏晓阳，杜德斌，宋知程，段兴国.组织免疫研究初探.科学学与科学技术管理，2006；6
3. 许晖，纪春礼等.基于组织免疫视角的科技型中小企业风险应对机理研究.管理世界，2011；2
4. 骆良彬，王河流.基于AHR的上市公司内部控制质量模糊评价.审计研究，2008；6
5. 韩传模，汪士果.基于AHR的企业内部控制模糊综合评价.会计研究，2009；4
6. 熊立，梁樑，王国华.层次分析法中数字标度的选择与评价方法研究.系统工程理论与实践，2005；3
7. 叶耀军，王首军等.矩阵最大特征值的近似求法.河南农业大学学报，2001；9